Niemand will sie haben und doch sind sie in nahezu jedem Unternehmen ein Thema: Datenlecks. Eine Studie zeigt, dass die häufigste Ursache für solche Sicherheitslücken fehlende Sicherheitsupdates sind. Wir schauen uns an, warum das so vermeidbar klingt – und trotzdem passiert.
Studie über Ursachen für Datenlecks
Datenlecks können viele Ursachen haben. Wirklich vorhersehbar sind sie selten. Die Studie des Marktforschungsunternehmens Ponemon im Auftrag von IBM zeigt aber, dass ein Grossteil davon tatsächlich vermeidbar wäre.
Für die Studie befragten die Forscher 1.848 Fachleute und Verantwortliche aus IT-Bereichen verschiedener Branchen. Einige Ergebnisse überraschen kaum – andere schon.
- Fast die Hälfte (42 %) aller Befragten gibt an, dass Datenlecks in ihren Unternehmen durch nicht durchgeführte Updates entstanden
- Durchschnittlich 28 % der Datenlecks bleiben über einen Zeitraum von sechs Monaten unverändert bestehen
- Unternehmen haben im Schnitt über 57.000 bekannte Sicherheitslücken und -schwachstellen offen, weil sie mit der Behebung im Rückstand sind
- 60 % der Befragten glauben, wertvolles Budget in Falschmeldungen zu investieren
CVSS bei der Behebung von Datenlecks selten hilfreich
Ein weiteres überraschendes Ergebnis: Das Common Vulnerability Scoring System (CVSS) taugt zur Priorisierung von Datenlecks weniger als gedacht.
Bei CVSS weist ein Unternehmen jeder identifizierten Schwachstelle eine Priorität zu – von 1 (höchste) bis 10 (niedrigste). Das System gilt als weitgehend anerkannte Strategie zur Vermeidung und Behebung von Datenlecks.
Die Realität sieht anders aus: Cyberkriminelle nutzen gezielt Schwachstellen aus, die im CVSS niedrig priorisiert wurden. Diese Lücken bleiben dann unbeachtet – anfällig sind sie trotzdem.
Sicherheitslücken gar nicht erst entstehen lassen
Die häufigste Ursache für Datenlecks bleibt ein Mangel an Sicherheitsupdates. Die Updates wären verfügbar – sie werden schlicht nicht installiert. Gründe gibt es viele: Bedenken wegen Kompatibilität mit anderen Anwendungen, fehlende Erfahrungsberichte anderer User, oder fehlendes Know-how für Administration und Feineinstellungen.
Gerade in kleinen und mittelständischen Unternehmen (KMU) sind IT-Sicherheitsteams dünn besetzt oder gar nicht vorhanden. Die Verantwortlichen sind schnell überlastet.
Schreib uns für eine Beratung zu deiner hauseigenen IT-Sicherheit – und wie du sie konkret verbessern kannst.