Mangelnde Cyber-Compliance: 28 Prozent der KMU in Europa verlieren Aufträge

Für kleine und mittlere Unternehmen (KMU) wird die Einhaltung von IT-Sicherheitsanforderungen zunehmend zur geschäftlichen Notwendigkeit. Doch laut einer aktuellen Kaspersky-Umfrage [1] besteht in Sachen Cyber-Compliance Nachholbedarf: 66 Prozent der befragten KMU in Europa erfüllen die Vorgaben ihrer Geschäftspartner nur teilweise. Die Folgen reichen von zusätzlichen Sicherheitsausgaben und Vertragsverzögerungen bis hin zum Verlust von Aufträgen: Mehr als jedes vierte betroffene Unternehmen (28 Prozent) hat bereits einen Auftrag verloren, 24 Prozent wurden von Ausschreibungen ausgeschlossen.

Angriffe auf Lieferketten, bei denen Schwachstellen in Software von Drittanbietern ausgenutzt werden, haben sich zu einer erheblichen Bedrohung für Großunternehmen entwickelt. Als Reaktion darauf verschärfen diese ihre Sicherheitsanforderungen an Lieferanten und Partner, wodurch auch der Druck auf KMU entlang der gesamten Lieferkette steigt.

So zeigt eine aktuelle Kaspersky-Studie, dass 89 Prozent der befragten KMU in Europa bereits IT-Sicherheitsanforderungen erfüllen müssen, um Teil der Lieferkette eines Kunden oder Partners zu werden. Allerdings gelingt es nur rund einem Drittel (34 Prozent), sämtliche Vorgaben einzuhalten. Die übrigen 66 Prozent erfüllten die Anforderungen lediglich teilweise. Besonders herausfordernd sind für die befragten KMU die Einhaltung nachfolgender IT-Sicherheitsanforderungen ihrer Geschäftspartner:

• Umsetzung des Least-Privilege-Prinzips, bei dem Zugriffsrechte auf das notwendige Minimum beschränkt werden, sowie gemeinsame Nutzung und Überarbeitung von Notfallplänen (25 Prozent).
• Erwerb von IT-Sicherheitszertifizierungen, Implementierung fortschrittlicher Sicherheitslösungen, Einführung rollenbasierter Zugriffsbeschränkungen und einer Multi-Faktor-Authentifizierung sowie fristgerechte Meldung von Sicherheitsvorfällen (24 Prozent).
• Einhaltung branchenspezifischer IT-Sicherheitsstandards sowie Durchführung regelmäßiger Penetrationstests oder Sicherheitsaudits durch externe Dienstleister (23 Prozent).

Mangelnde Cyber-Compliance gefährdet Geschäftsbeziehungen

Die Nichterfüllung der Sicherheitsanforderungen bleibt für Unternehmen selten ohne Folgen: Fast alle (97 Prozent) KMU in Europa berichteten von geschäftlichen Konsequenzen. Besonders häufig mussten sie ihre IT-Sicherheitsstrategie überarbeiten. Bei 49 Prozent war dies mit zusätzlichen Budget-Ausgaben verbunden, während 45 Prozent ihre Strategie ohne zusätzliche Mittel anpassten. Darüber hinaus kam es bei 39 Prozent zu Verzögerungen beim Abschluss oder bei der Verlängerung von Verträgen. Mehr als ein Drittel (38 Prozent) suchte nach alternativen Geschäftspartnern mit weniger strengen Sicherheitsanforderungen, während 35 Prozent kurzfristig zusätzliche Ausgaben für IT-Sicherheit tätigen mussten. Mehr als jedes vierte Unternehmen (28 Prozent) verlor einen Auftrag, 24 Prozent wurden von Ausschreibungen ausgeschlossen.

„Cyber-Compliance ist für kleine und mittlere Unternehmen längst nicht mehr nur eine technische oder regulatorische Frage, sondern zunehmend eine Voraussetzung für geschäftlichen Erfolg“, erklärt Waldemar Bergstreiser, General Manager DACH bei Kaspersky. „Unsere Marktforschungsergebnisse zeigen, dass die Nichterfüllung von Sicherheitsanforderungen unmittelbare wirtschaftliche Folgen haben kann – bis hin zum Verlust von Aufträgen. Gerade für KMU, die Teil komplexer Lieferketten sind, wird es deshalb immer wichtiger, die Sicherheitsanforderungen ihrer Kunden zuverlässig zu erfüllen. Gleichzeitig verfügen viele kleinere Unternehmen nicht über die personellen und finanziellen Ressourcen, um eine umfassende Sicherheitsinfrastruktur selbst aufzubauen. Entscheidend sind daher Lösungen, die fortschrittlichen Schutz bieten, einfach zu verwalten sind und mit den Anforderungen des Unternehmens wachsen. So wird Cybersicherheit nicht zur zusätzlichen Belastung, sondern zur Grundlage für stabile und langfristige Geschäftsbeziehungen.“

DACH-Umfrage zeigt weiteren Nachholbedarf bei Cyber-Compliance

Dass Unternehmen bei der Einhaltung von IT-Sicherheitsanforderungen weiterhin vor Herausforderungen stehen, zeigt auch eine weitere Kaspersky-Umfrage unter Geschäftsführern in Deutschland, Österreich und der Schweiz [2]. Zwar sind 64 Prozent der Befragten überzeugt, geeignete Cybersicherheitsmaßnahmen ausreichend nachweisen zu können, doch lediglich 16 Prozent stufen ihr Unternehmen als vollständig compliant ein. Zudem herrscht vielerorts Unsicherheit darüber, was Cyber-Compliance konkret umfasst. Neben regulatorischen Vorgaben erhöhen auch Kunden, Geschäftspartner und Lieferketten den Druck, Sicherheitsmaßnahmen nachvollziehbar zu dokumentieren. Die Ergebnisse verdeutlichen, dass technische Schutzmaßnahmen allein nicht ausreichen, sondern durch klare Verantwortlichkeiten, regelmäßige Überprüfungen und belastbare Nachweise ergänzt werden müssen.

Kaspersky-Empfehlungen für KMU

• Unternehmen sollten auf fortschrittliche Sicherheitslösungen setzen, die neben dem klassischen Endgeräteschutz auch die automatisierte Erkennung und Abwehr komplexer Bedrohungen ermöglichen. Lösungen mit Endpoint Detection and Response (EDR), wie beispielsweise Kaspersky Next EDR Optimum [3], helfen dabei, verdächtige Aktivitäten aufzudecken, Angriffspfade nachzuvollziehen und Sicherheitsvorfälle schnell einzudämmen.
• Insbesondere KMU mit begrenzten IT-Ressourcen profitieren von automatisierten und einfach zu verwaltenden Sicherheitslösungen. Technologien wie Extended Detection and Response (XDR), beispielsweise Kaspersky Next XDR Optimum [4], unterstützen dabei, häufige Bedrohungsszenarien zu erkennen und darauf zu reagieren, ohne eine komplexe Sicherheitsinfrastruktur aufbauen zu müssen.
• Um Risiken innerhalb der Lieferkette zu reduzieren, sollten Unternehmen ihre IT-Systeme fortlaufend auf verdächtige Aktivitäten und mögliche Kompromittierungen überprüfen. Managed Detection and Response (MDR)-Lösungen wie Kaspersky Next MDR Optimum [5] bieten eine expertengestützte Sicherheitsüberwachung rund um die Uhr und helfen dabei, auch Bedrohungen durch kompromittierte Partnerkonten oder manipulierte Software-Updates frühzeitig zu erkennen.
• Technische Prävention und Know-how stärken: Das Lösungspaket Kaspersky Compliance Essential [6] unterstützt Unternehmen bei Systemhärtung, Schwachstellenmanagement und Mitarbeiterschulungen.
• Erkennung und Reaktion kontinuierlich absichern: Das Lösungspaket Kaspersky Compliance Managed [7] ergänzt diese Maßnahmen um 24/7-Überwachung, Experten-gestützte Incident Response und proaktive Sicherheitsanalysen.

[1] Für die Studie befragte Kaspersky insgesamt 2.516 IT-Sicherheitsexperten und Entscheidungsträger im Bereich Cybersicherheit aus Unternehmen mit 50 bis 499 Mitarbeitern in 24 Ländern (Brasilien, Mexiko, Kolumbien, Argentinien, Chile, Peru, Frankreich, Deutschland, Italien, Spanien, Serbien, Griechenland, Russland, Indien, Indonesien, Malaysia, China (ohne Hongkong und Taiwan), Thailand, Vietnam, Ägypten, Südafrika, Saudi-Arabien, Türkei und den Vereinigten Arabischen Emiraten.

[2] https://kas.pr/compliance-report

[3] https://www.kaspersky.de/next-edr-optimum

[4] https://www.kaspersky.de/next-xdr-optimum

[5] https://www.kaspersky.de/next-mxdr-optimum

[6] https://kas.pr/compliance-promo

[7] https://kas.pr/compliance-promo

Nützliche Links:

• Kaspersky Next EDR Optimum: https://www.kaspersky.de/next-edr-optimum
• Kaspersky Next XDR Optimum: https://www.kaspersky.de/next-xdr-optimum
• Kaspersky Next MXDR Optimum: https://www.kaspersky.de/next-mxdr-optimum
• Kaspersky-Report „Cyber-Compliance in DACH: Wie Unternehmen Cybersicherheit nachweisen, steuern und weiterentwickeln“: https://kas.pr/compliance-report
• Kaspersky Compliance: https://kas.pr/compliance-promo