Stand der E-Mail-Sicherheit 2023: EU-Landschaft verändert sich

Europäische Unternehmen bewegen sich im Jahr 2023 in einer sich wandelnden Cyber-Risikolandschaft, die durch den Krieg in der Ukraine, neue regulatorische Anforderungen und Telearbeit erschwert wird. Laut dem neuen Bericht von Mimecast State of Email Security 2023 (SOES 2023) müssen Unternehmen in der EU immer mehr und immer raffiniertere Angriffe abwehren, auch wenn sie durch ihre hybriden Arbeitsmodelle Bedrohungen stärker ausgesetzt sind.

Der prozentuale Anteil der Befragten in der EU, die eine Zunahme von phishing und business email compromise (BEC) angaben, stieg im vergangenen Jahr wieder an, nachdem er 2021 gesunken war. Gleichzeitig ging der Anteil der Befragten zurück, die berichteten, dass Ransomware-Angriffe erhebliche Auswirkungen auf den Geschäftsbetrieb hatten. Die zunehmende Nutzung von Kollaborationsplattformen in den meisten Unternehmen hat diese für eine weitere Angriffsmöglichkeit geöffnet. Außerdem treten in diesem Jahr neue Vorschriften in Kraft, die das Compliance-Risiko erhöhen.

Diese und andere Ergebnisse der globalen SOES 2023-Umfrage auf EU-Ebene bilden den Rahmen für eine Diskussion darüber, wie europäische Unternehmen ihre Kommunikation, ihre Mitarbeiter und ihre Daten vor bösartigen E-Mails schützen können, die die Ursache der meisten Cyberangriffe sind. Der Bericht basiert auf einer Ende 2022 durchgeführten Umfrage unter CISOs und anderen IT-Fachleuten in 12 Industriesektoren und 13 Ländern, darunter Dänemark, Frankreich, Deutschland, die Niederlande und Schweden.

SOES 2023 - Ergebnisse auf höchster Ebene: Ein weiteres Jahr voller Risiken

Mehr als drei Viertel (78 %) der Befragten in der EU, die an der SOES 2023-Umfrage teilgenommen haben, gehen davon aus, dass ein Angriff per E-Mail in diesem Jahr negative Auswirkungen auf ihr Geschäft haben wird. Diese Zahl ist zwar hoch, aber im Vergleich zu 2022, als sie auf 86 % anstieg, zurückgegangen. In der Zwischenzeit sind weitere Probleme aufgetaucht, darunter:

• Raffinierte Angriffe: Die zunehmende Raffinesse der Angriffe steht ganz oben auf der Liste der europäischen Cyber-Probleme, die von 56 % der Befragten als eine der größten Herausforderungen genannt wird.
• Mehr Angriffe: Fast ebenso hoch auf der Liste der Herausforderungen steht die schiere Menge der Versuche, die von etwa der Hälfte der Befragten genannt wurde. Vor allem die Zahl der Befragten, die eine Zunahme von Phishing mit bösartigen Links und BEC meldeten, stieg im Vergleich zum Vorjahr. 
• Mangelndes Bewusstsein: Angesichts dieses Ansturms von mehr, anderen und hinterhältigeren Bedrohungen ist es kein Wunder, dass die europäischen Befragten über das Cyber-Bewusstsein ihrer Mitarbeiter besorgt sind . Etwas mehr als die Hälfte (51 %) geben an, dass dies eine ihrer größten Herausforderungen in diesem Jahr ist, gegenüber 41 % im letzten Jahr. Diese Sorge ist allerdings in Dänemark, den Niederlanden und Schweden stärker ausgeprägt als in Frankreich und Deutschland. Vielleicht trägt zu dieser Besorgnis die Tatsache bei, dass in den drei nordischen Ländern in den letzten 12 Monaten mehr E-Mail-Ausfälle zu verzeichnen waren als in anderen Ländern.
• Personalknappheit: Die europäischen SOES 2023-Ergebnisse zeigen, dass sich der Fachkräftemangel im Bereich der Cybersicherheit verschärft und in Schweden am stärksten ausgeprägt ist. Tatsächlich ist der Einstellungsstau für etwa ein Drittel aller Befragten weltweit ein Thema, obwohl die Befragten von in Großbritannien sich weniger besorgt zeigen.
• Budgetprobleme: Mehr als ein Drittel der Unternehmen in der EU (35 %) ist der Meinung, dass eine ihrer größten Herausforderungen ein unzureichendes Budget für Cybersicherheit ist, wobei die dänischen Befragten eher ein Defizit feststellen (44 %).

Bemerkenswerte Trends: Rückläufige Auswirkungen von Ransomware, aber anhaltende kriegsbedingte Risiken

Unternehmen in der EU geben an, dass Ransomware in letzter Zeit weniger Auswirkungen auf ihre Geschäftsabläufe hatte. Mehr als ein Drittel (36 %) gibt an, dass sie im vergangenen Jahr durch diese Form der Cyber-Erpressung erhebliche Störungen erlitten haben, während es 2021 noch fast die Hälfte (47 %) waren.

Derweil nutzen Cyberangreifer den Krieg in der Ukraine als Köder für Phishing-Kampagnen in ganz Europa, so die EU-Agentur für Cybersicherheit (ENISA). "Es ist sehr wahrscheinlich, dass wir weiterhin ähnliche Social-Engineering-Angriffe zum Thema Ukraine-Krieg erleben werden (sehr wahrscheinlich neben anderen Arten von Cyberangriffen), die auf europäische Regierungen, Zivilisten und Organisationen abzielen", so die Agentur.[1]

Beobachtern zufolge scheinen die Angriffe auf die Ukraine in Wellen zu erfolgen. Die Threat Analysis Group von Google warnte vor Selbstzufriedenheit: "Wir gehen mit großer Zuversicht davon aus, dass von der russischen Regierung unterstützte Angreifer weiterhin Cyberangriffe gegen die Ukraine und NATO-Partner durchführen werden, um russische strategische Ziele zu fördern."[2]

Verwaltungsräte sollen eine größere Rolle spielen

Seit die zweite EU-Richtlinie zur Netz- und Informationssicherheit (NIS2) im Januar in Kraft getreten ist und die nationalen Vorschriften in den kommenden Monaten umgesetzt werden sollen, sind die Unternehmensvorstände alarmiert. Die NIS2 dehnt die Cyber-Rechtsvorschriften auf eine größere Gruppe von Unternehmen und Sektoren aus und konzentriert sich dabei auf die Verantwortung von Vorständen und Geschäftsführern, die für Verstöße haftbar gemacht werden können, wenn sie die Einhaltung der Vorschriften nicht wirksam überwachen.[3] 

In der Richtlinie wird auch die Schulung von Unternehmensleitern in der Überwachung der Cybersicherheit gefordert. Das Schweizer Beratungsunternehmen Cyber Risk fasst diesen Wandel in der Risikoverantwortung wie folgt zusammen: "Es ist eine klare Forderung der NIS2-Richtlinie, dass der Verwaltungsrat und der CEO über das Wissen und die Fähigkeiten verfügen müssen, die notwendig sind, um Cybersecurity-Risiken zu bewerten, Sicherheitspläne in Frage zu stellen, Aktivitäten zu diskutieren, Meinungen zu formulieren und Richtlinien und Lösungen zu bewerten, die die Vermögenswerte ihrer Organisation schützen."[4]

Laut dem Bericht SOES 2023 von Mimecast werden "Risiken, die Führungskräfte vor einigen Jahren noch ertragen haben, heute als inakzeptabel angesehen". Die zunehmende Haftung der Verwaltungsräte im Rahmen der NIS2 könnte sich in ihren Genehmigungsbefugnissen für die Budgetierung der Cybersicherheit niederschlagen. Die Teilnehmer der EU-Umfrage gaben an, dass sie im Durchschnitt 12,5 % ihres IT-Budgets für die Cybersicherheit aufwenden, und fügten hinzu, dass sie mit Ausgaben von etwa 15 % mehr Vertrauen hätten.

Zusammenarbeit erhöht das Risiko

Fast neun von zehn europäischen Unternehmen halten Collaboration-Tools für die tägliche Arbeit für unverzichtbar, und fast ebenso viele (82 %) geben an, dass ihre Nutzung dieser Tools für Konferenzen, Dateifreigabe und andere Geschäftsanforderungen im vergangenen Jahr zugenommen hat. 

Zwei Drittel der Befragten geben jedoch an, dass die nativen Sicherheitsfunktionen der heutigen Collaboration-Tools unzureichend sind. Mehr als drei Viertel der Befragten sehen in dieser Diskrepanz neue Bedrohungen und Schlupflöcher, die dringend beseitigt werden müssen. Und ebenso viele erwarten, dass ihr Unternehmen in diesem Jahr von einem Angriff auf ein Collaboration-Tool negativ betroffen sein wird. Mehr als ein Drittel der Befragten hat bereits einen Angriff auf die Kollaborationsplattform erlebt, der sich in ihrem Unternehmen ausgebreitet hat.

Einsatz neuer Verteidigungsmaßnahmen: KI/ML und Sicherheitsintegration

Fast die Hälfte der europäischen Umfrageteilnehmer gibt an, dass sie heute künstliche Intelligenz oder maschinelles Lernen (AI/ML) in ihren Cybersicherheitsprogrammen einsetzen. Etwa jeder Dritte plant, dies im kommenden Jahr zu tun, auch wenn Cyberangreifer dieselben Tools verwenden , um ihre eigenen Fähigkeiten zu beschleunigen und zu verbessern.

Diejenigen EU-Unternehmen, die KI/ML bereits einsetzen, sehen den größten Vorteil in der geringeren Arbeitsbelastung ihrer Cybersicherheitsteams, da KI/ML Aufgaben automatisiert. Als weitere Vorteile werden die genauere Erkennung, die bessere Abwehr von Bedrohungen und die schnellere Behebung von Problemen genannt.

Wenn es um die Integration geht, bevorzugen 81 % der europäischen Umfrageteilnehmer Plattformen, die unterschiedliche Tools über Anwendungsprogrammierschnittstellen (APIs) vereinen. Die Umfrageteilnehmer, die bereits Teile ihrer Programme integriert haben, gaben an, dass sie einen Effizienzgewinn von 26 % in ihren täglichen Abläufen verzeichnen konnten.

Die Quintessenz

Die Komplexität der Cybersicherheit nimmt in Europa weiter zu. Die Befragten in der EU, die an der SOES 2023-Umfrage von Mimecast teilgenommen haben, sehen mehr Kompromisse bei geschäftlichen E-Mails, weniger Auswirkungen von Ransomware, mehr Regulierung und unvorhersehbare Risiken durch den Krieg in der Ukraine. Unterm Strich erwarten fast acht von zehn europäischen Sicherheitsexperten, dass ein Angriff über E-Mail oder eine Kollaborationsplattform ihrem Unternehmen in diesem Jahr schaden wird. Lesen Sie den globalen State of Email Security 2023 Bericht, um mehr zu erfahren.

[1] "ENISA Threat Landscape 2022," EU Agentur für Cybersicherheit (ENISA)

[2] "Fog Of War: How the Ukraine Conflict Transformed the Cyber Threat Landscape," Google Threat Analysis Group

[3] "Richtlinie (Eu) 2022/2555 des Europäischen Parlaments und des Rates vom 14. Dezember 2022," Amtsblatt der Europäischen Union

[4] "NIS 2 Directive Training for the Board," Cyber Risk GmbH