IT-Sicherheit der Unternehmen in NRW

Zwei von fünf großen Unternehmen von IT-Vorfällen betroffen

Nach jüngsten Daten für das Jahr 2023 waren 42,8 % aller großen Unternehmen in Nordrhein-Westfalen von Cyber-Sicherheitsvorfällen betroffen.¹ Damit sind bei durchschnittlich zwei von fünf Großunternehmen – trotz aller Sicherheitsmaßnahmen – mindestens einmal IT-Systeme beeinträchtigt worden. Als Folge solcher Vorfälle haben entweder Unbefugte Zugang zu internen Informationen erhalten, die Integrität von IT oder Daten wurde beschädigt oder IT-Systeme waren nicht erreichbar.

Vereinfacht gesagt: Je größer Unternehmen sind, desto eher nehmen sie Schaden durch Cyber-Sicherheitsvorfälle. Kleine Unternehmen blieben dennoch nicht von Störungen ihrer IT-Sicherheit verschont. So hatte jedes vierte kleine Unternehmen (25,1 %) im Jahr 2023 mindestens einen IT-Sicherheitsvorfall zu bewältigen.
 

NRW auf Platz sechs in der Europäischen Union

Wenn NRW ein Staat wäre, dann läge das Bundesland mit rund 26,4 % auf dem sechsten Platz unter den am häufigsten von IT-Vorfällen betroffenen Staaten in der Europäischen Union (EU). Das ist über dem Durchschnitt für Deutschland und der EU. Im gesamtdeutschen Durchschnitt – einschließlich NRW – waren 25,1 % der Unternehmen betroffen. 

Im europäischen Vergleich meldeten vor allem die Unternehmen aus Finnland und Polen, dass es 2023 zu Sicherheitsvorfällen in den IT-Systemen gekommen war. Ebenfalls relativ viele Vorfälle gab es auf Malta, in Rumänien und der Tschechischen Republik. In der EU insgesamt waren es im Jahr 2023 21,5 %.
 

Risiko im Osten der EU am höchsten

Im europäischen Vergleich liegen die am stärksten von IT-Sicherheitsvorfällen betroffenen Staaten überwiegend im Osten der EU. Neben den Schwerpunkten Finnland und Polen lag der Anteil betroffener Unternehmen auch in Rumänien, der Tschechischen Republik und in Kroatien deutlich über dem EU-Durchschnitt von 21,5 %. Ebenso herrschte in Deutschland und den Niederlanden eine vergleichbare Sicherheitslage mit Anteilen betroffener Unternehmen von mehr als 25 %.
 

Nahezu alle Unternehmen schützen ihre IT-Systeme

Angesichts der Sicherheitslage im Jahr 2023 hatten nahezu alle Unternehmen in NRW entsprechende Vorkehrungen zum Schutz ihrer IT-Systeme getroffen. Beispielsweise wurde in den IT-Systemen auf starke Passwörter geachtet, es fanden regelmäßige Daten-Backups statt oder Firmendaten wurden verschlüsselt.

Zum Erhebungsstand Ende 2024 wurde in 97,0 % aller Fälle angegeben, dass zumindest eine von den elf in der Erhebung genannten Maßnahmen angewendet wurde. Bei knapp drei von vier Unternehmen waren sogar fünf oder mehr Sicherheitsmaßnahmen parallel im Einsatz.

Deutlich erkennbar wurde 2024 in der NRW-Wirtschaft oft der Aufwand für eine Reihe von gleichzeitigen Schutzmaßnahmen betrieben. Fünf gleichzeitige Hürden waren bei 72,9 % der Unternehmen aktiv und mehr als die Hälfte der Unternehmen nutzte sogar mindestens sieben Maßnahmen parallel (51,8 %). Dennoch war es eher die Ausnahme, dass alle der elf genannten Technologien zum Schutz genutzt wurden.
 

Generell ist das Schutzniveau sehr heterogen

Von den abgefragten Technologien gab es 2024 keine, die bei allen vorhandenen IT-Systemen immer vorzufinden wäre. Selbst für die gängigsten Maßnahmen lagen die Verbreitungsgrade unter dem Maximalwert von 97,0 % für den Indikator „Mindestens eine Technologie wird genutzt“ (siehe oben).

Beispielsweise wurden in jeweils neun von zehn Unternehmen entweder auf sichere Passwörter geachtet oder die Daten wurden systematisch in Backups gesichert. Diese Vorkehrungen sind technisch einfacher als beispielsweise biometrische Erkennungsmethoden oder VPN-Tunnel für externe Netzwerkzugänge. Auch das Bundesamt für Informationssicherheit empfiehlt unter anderem diese beiden Maßnahmen als ersten Einstieg in den Schutz von IT-Systemen in Unternehmen.²

Tatsächlich gab zwar eine große Mehrheit der NRW-Firmen im Jahr 2024 an, dass beide Sicherheitsverfahren angewendet wurden, daneben fanden sich aber viele alternative Kombinationen von Mechanismen, die zusammen die individuelle IT-Sicherheit der Unternehmen bildeten.

Klar erkennbar ist lediglich, dass bestimmte Maßnahmen im Mix der Systeme weniger oft zu finden waren. Beispielsweise wurden biometrische Identifizierungen nur von 24,5 % der Unternehmen eingesetzt.
 

Dokumentationen vor allem in großen Unternehmen vorhanden

Neben einzelnen Schutzmaßnahmen dokumentieren viele Unternehmen auch die Lage der möglichen Bedrohungen für die IT-Systeme. Je nach verfügbaren Ressourcen dürfte der Umfang und Detailgrad der Dokumentationen im jeweiligen Unternehmen unterschiedlich sein. Genaue Angaben waren nicht Teil der Erhebung.

Im Fragebogen der europäischen Statistik wurde stattdessen allein die Existenz von Dokumentationen als Indikator verwendet, dass in den Firmen systematisch über die IT-Sicherheitslage nachgedacht wurde. Um Dokumentation zu erstellen sind sehr wahrscheinlich verschiedene Angriffs- bzw. Schadensszenarien geprüft worden. Des Weiteren wurden Entscheidungen vorbereitet, wie mit den Risiken im Ernstfall umgegangen werden soll.

Auch in NRW sind Dokumente zur IT-Sicherheit eher in großen Unternehmen ab 250 Beschäftigten zu finden. Vier von fünf großen Unternehmen (83,4 %) waren 2024 entsprechend vorbereitet. Doch selbst unter den kleinen Unternehmen mit weniger als 50 Mitarbeitenden investierten mehr als ein Drittel (35,2 %) Ressourcen in systematische Sicherheitskonzepte.

Ein Drittel der Dokumente älter als ein Jahr 

Dokumentationen zur technischen Sicherheit sind umso wirksamer, je häufiger sie aktualisiert werden. In NRW nutzten viele Firmen im Jahr 2024 die vorhandenen Konzepte für einen vergleichsweise langen Zeitraum bis diese überarbeitet wurden. Bei 36,5 % der Unternehmen in NRW mit vorhandenen Unterlagen zur IT-Sicherheit waren die Dokumente älter als ein Jahr.

Für das Jahr 2024 wird deutlich, dass bei kleineren Unternehmen die vorhandenen Dokumente öfter erst etwas später aktualisiert wurden. Bei den kleinen Organisationen ließen sich 41,4 % der Unternehmen etwas mehr Zeit. Jedoch wurden auch bei einigen der großen Unternehmen die Dokumente nicht innerhalb eines Jahres angepasst (17,3 %).
 

Gerade große Unternehmen mit Sicherheitsverpflichtungen

Der Faktor Mensch ist eine zentrale Komponente für die Sicherheit von IT-Systemen. Zum einen können menschliche Eigenschaften für Angriffe auf IT-Systeme ausgenutzt werden. Zum anderen tragen die Mitarbeitenden durch ihr Verhalten zur technologischen Sicherheit bei. Dementsprechend bezogen die meisten Unternehmen in NRW 2024 ihre Beschäftigten in die Maßnahmen zur IT-Sicherheit mit ein. In der Erhebung wurde erstens gefragt, ob in den Unternehmen Schulungen erfolgt waren, in denen auf mögliche Risiken im Umgang mit IT-Technologien aufmerksam gemacht wurde. Als zweites konnten Unternehmen angeben, ob bereits in den Arbeitsverträgen entsprechende Verpflichtungen enthalten waren.

Im Jahr 2024 hatten über zwei Drittel der Unternehmen in NRW ihre Beschäftigten in mindestens einer Weise für die Risiken der IT-Sicherheit sensibilisiert (68,9 %). Gerade bei großen Unternehmen wurden zu 93,6 % Schulungen zu diesem Thema durchgeführt oder schriftliche Vereinbarungen abgeschlossen.