Unternehmen ungeschützt im Netz

Die Steuerung der Haustechnik eines Hotels. Passwort ist default.

Das Eindringen in vernetzte Geräte ist keine Raketenwissenschaft mehr, warnt ein IT-Experte. Unternehmern ist die Gefahr aber oft nicht bewusst. KMU müssen aufholen.

WIEN. Es dauert keine zwei Minuten, schon ist man im System: Nach der Suche über eine kostenlos zugängliche Suchmaschine, die das Internet nach angeschlossenen Geräten aller Art durchsucht, erscheint die Anmeldemaske.
Der IT-Experte-aus rechtlichen Gründen möchte er anonym bleiben-versucht es mit den Werkseinstellungen. Nutzername und Passwort sind "default", und schon hat er Zugang zur Steuerung der Haustechnik eines Tiroler Viersternehotels. Die Außenbeleuchtung Richtung Kitzbühel wird um 23.58 abgedreht, die Beleuchtung vor dem Hallenbad um 22.30, sieht man in der Programmierung. Würde man es darauf anlegen, könnte man ohne das Hotel zu betreten die Heizung aus-oder die Sauna einschalten. Oder was noch schlimmer wäre: Das Passwort ändern und die Hotelbetreiberin aus ihrem eigenen System werfen.

Bedrohung ist real

Vom gefährlichen Hacken ist man damit zwar noch weit entfernt, sagt der IT-Sicherheitsexperte. "Das Eindringen ist für Hacker nur die halbe Miete, es geht auch darum, seine Spuren zu verwischen." Das Bedrohungsszenario sei aber umso realer, sagt er. Ein Mitbewerber oder sogenannte Skript-Kids-die aus Spaß nach Schlupflöchern in Programmen und Computersystemen suchen-könnten einen enormen Schaden anrichten.

Millionenschaden

Aber auch gezielte Angriffe, um Geschäftsgeheimnisse zu erschleichen, bedrohen heimische Unternehmen. "Industriespionage ist heutzutage ein gängiges Thema", sagt Thomas Bleier, Leiter der IT-Sicherheitsforschungsgruppe am Austrian Institute of Technology (AIT). In der letzten Studie des Bundesministeriums für Inneres zu diesem Thema gaben bereits rund 31 Prozent der befragten Unternehmen an, sie seien betroffen. Der Schaden erreichte in einigen Fällen 1,5 Millionen €.

Betroffen sind davon meist Weltmarktführer mit "einer gewissen Exponiertheit",sagt Bleier. Als Querschnittsmaterie übernimmt die IT aber in vielen Branchen geschäftsrelevante Funktionen, so Bleier. Auch das Geschäft eines Bäckers hänge beispielsweise an der Verfügbarkeit der IT. Ist das System bedroht, könnte das Auswirkungen auf Bestellungen oder Lieferungen haben. Ausfälle haben für Unternehmen bereits bis zur Insolvenz geführt, heißt es in der Branche.


Zuletzt verfügten rund 97 Prozent der heimischen KMU über einen Internetzugang, 84 Prozent über eine Homepage. In Anbetracht dieser Zahlen, heißt es im Cyber-Crime-Report des Bundeskriminalamts, erlangen "Präventionsmaßnahmen sowie sicherheitsbehördliche Informations-und Aufklärungsarbeit" gerade für kleinere Unternehmen eine enorme Bedeutung. Die IT-Branche ist weiter. Werden Unternehmen nach den wichtigsten Themen befragt, liegt IT-Sicherheit weit vorn. In einer Umfrage des deutschen Branchenverbands Bitkom ist Security mit 57 Prozent Zustimmung 2014 das wichtigste IT-Thema. Und in einer Befragung der Österreichischen Wirtschaftskammer ist IT-Security seit knapp zehn Jahren unangefochten an erster Stelle.

Hohe Dunkelziffer

Die Bedeutung zeigt sich nicht zuletzt auch an den Budgets: In einer Erhebung des Marktforschers IDC gaben die heimischen IT-Manager an, dass die Ausgaben für IT-Security heuer um neun Prozent wachsen werden, für viele ist es das wichtigste Investitionsfeld. Davon profitieren die Security-Anbieter: Die Branche konnte im vergangenen Jahr laut IDC ihre Umsätze um 7,9 Prozent auf 95 Millionen € steigern.

Gestiegen ist auch die Zahl der angezeigten Cyber-Crime-Delikte. Der Anstieg ist zwar geringer als im Jahr zuvor, dennoch verzeichnete das Bundeskriminalamt ein Plus von 8,6 Prozent auf 11.199 Fälle. Die Dunkelziffer dürfte aber um einiges höher ausfallen, gerade Unternehmen sprechen ungern über Angriffe, sofern sie entdeckt werden, sagt Robert Waldner, Mitarbeiter des österreichischen Cert (Computer Emergency Response Team).

Ein Eindringen über Haustechnik sei übrigens in Österreich noch nicht gemeldet worden, sagt Waldner. Dennoch brauche es mehr Problemverständnis. Je größer ein Unternehmen ist, desto höher ist auch das Bewusstsein, "der Umkehrschluss ist aber ebenfalls zulässig".

Für das Tiroler Hotel gibt er Entwarnung: Wirtschaftsspionage passiere nicht über Wartungszugänge, und sollte ein Schaden entstehen, sieht er den Techniker in der Pflicht. Dieser habe eine Haftungspflicht, heißt es bei der Wirtschaftskammer. Dass ihre Steuerung im Internet ist, weiß die Hotelbetreiberin, für die Fernwartung sei das auch notwendig. Bedenken hat sie keine. "Wenn Sie nichts abdrehen, ist für mich alles in Ordnung", sagt die Hotelleiterin auf Nachfrage.

Erschienen in WirtschaftsBlatt