Die unterschätzte Gefahr: Viele Unternehmen werden ausspioniert
Nicht nur Branchengiganten werden Opfer von Datendieben. Auch Mittelständler machen unangenehme Erfahrungen. Experten mahnen zu mehr Achtsamkeit.
![Die unterschätzte Gefahr: Viele Unternehmen werden ausspioniert](https://heise.cloudimg.io/width/610/q85.png-lossy-85.webp-lossy-85.foil1/_www-heise-de_/imgs/18/2/5/5/6/9/5/7/computer-2786081_1920-b0525bf3ff05a55f.jpeg)
(Bild: Skitterphoto)
Datenklau, Geheimnisverrat, Spionage: Beinahe jeder zweite Mittelständler in Deutschland hat so etwas schon erlebt – oder vermutet es jedenfalls. Das haben das Max-Planck-Institut für ausländisches und internationales Strafrecht gemeinsam mit dem Fraunhofer-Institut für System- und Innovationsforschung und der Polizei herausgefunden. Insgesamt 583 Unternehmen befragten die Experten, außerdem werteten sie 713 Strafakten aus.
Spionage sogar mit Drohnen
Im Visier haben die Spione dabei besonders häufig Kundendaten oder interne Unternehmensdaten. Sie kopieren diese auf den USB-Stick, versenden Informationen per E-Mail, kopieren Aktenordner oder nehmen sie gleich mit, machen Fotos mit dem Handy, sagt Susanne Knickmeier vom Max-Planck-Institut, die die Ergebnisse am Donnerstag in Berlin mit vorstellte. "Da sind im Grund der Phantasie keine Grenzen gesetzt." Sogar Drohnen schickten die Spitzel auf den Weg, um Prototypen oder gar ganze Produktionsanlagen abzulichten.
Hinzu kommen Cyberkriminelle, die sich per Internet Zugang zu Rechnern verschaffen – und das lange unbemerkt, wie Knickmeier sagte. "Wenn ein Laptop geklaut ist, dann denkt man nicht als erstes, dass der Täter an den Daten interessiert ist, und nicht an dem Gerät." Betroffene bemerkten im Schnitt über acht bis neun Monate gar nicht, dass sie ausspioniert würden, sagte Werner Heyer vom Landeskriminalamt (LKA) Baden-Württemberg.
Große Gefahr durch Insider
Als besonders gefährlich schätzen die Experten jenes Täterdrittel ein, das beim betroffenen Unternehmen arbeitet; Insider wissen, welche Informationen besonders wertvoll sind und wo sie sie finden. "Beim Schutz vor Datendiebstahl konzentrieren sich viele einseitig auf mögliche Hackerangriffe von außen", bemängelte DIHK-Hauptgeschäftsführer Martin Wansleben. "Besonderes Augenmerk sollte jedoch auch den eigenen Mitarbeitern gelten."
Dabei ließe sich nach Einschätzung der Experten schon mit einfachen Maßnahmen gegensteuern, etwa mit Regeln für das Personal, regelmäßiger Prüfung der Sicherheitsmaßnahmen oder Verschlüsselung von E-Mails. "Die Ergebnisse dieser, wie auch anderer Befragungen zeigen, dass sich kein Unternehmen sicher fühlen kann", warnen die Autoren. Besonders betroffen waren demnach Bau, Handel und Dienstleistungsgewerbe. Die Dunkelziffer sei hoch. Gerade mal ein Fünftel der Vorfälle führt zu einer Anzeige.
Stattdessen zögen Übeltäter oft mit Abfindungen und einem guten Arbeitszeugnis ihrer Wege, sagte Heyer. "Das ist natürlich für uns nicht immer ganz optimal." Art und Umfang der Schäden könnten so kaum ermittelt werden. "Man hat Sorge vor einem Renommeeverlust." Betroffene verwiesen der Studie zufolge häufig auf eine geringe Schadenshöhe oder Ungewissheit darüber, wie aufwendig die Kooperation mit den Behörden werden könnte.
Selten folgt eine Anklage
Zumal die Bilanz der ausgewerteten Ermittlungsverfahren nicht ermutigend ist: Zu Strafbefehl oder Anklage kommt es relativ selten. Allerdings verzichten staatliche Stellen den Autoren zufolge auch häufig auf die Strafverfolgung und überlassen es den Geschädigten, ob sie eine Privatklage einreichen.
Außerdem hat fast jedes fünfte Unternehmen mit weniger als 50 Beschäftigen der Studie zufolge keine Strategie gegen Schnüffler vor Ort oder gegen Cyberspionage. Und Firmen, die es schon einmal erwischt hat oder die Bespitzelung vermuten, zeigten "keinerlei Lerneffekte bei der systematischen Beobachtung von Verdachtsmerkmalen". "Es ist natürlich auch ein Ressourcenproblem", sagte Michael Kilchling vom Max-Planck-Institut dazu. Gerade bei der Cybersicherheit müssten Unternehmen ständig am Ball bleiben. "Während große Konzerne Chief Security Officers, eigene Abteilungen und eigene Stäbe haben, wird das Thema Sicherheit in vielen kleinen und mittelständischen Unternehmen noch unterschätzt", sagte auch Matthias Wachter vom Bundesverband der Deutschen Industrie (BDI).
Aus Sicht der Wissenschaftler wäre viel gewonnen, wenn das deutsche Recht nicht mehr zwischen Wirtschaftsspionage fremder Staaten und Konkurrenzausspähung durch Mitbewerber unterscheiden würde. "Für das betroffene Unternehmen steht die Höhe des Schadens im Vordergrund, nicht unbedingt die Frage der Urheberschaft", sagte Kilchling vom Max-Planck-Institut. Dennoch drohten bei Wirtschaftskriminalität deutlich höhere Strafen, die Bundesanwaltschaft könne die Ermittlungen übernehmen.
In der Praxis führe das zu unklaren Kompetenzen. "Bisher führen zu viele unterschiedliche Ansprechpartner dazu, dass insbesondere kleine und mittelständische Unternehmen nicht wissen, an wen sie sich im Ernstfall wenden sollen", beklagte auch Wachter. Der BDI fordert deshalb einen Wirtschaftsschutzbeauftragten, der die Koordination der Sicherheitsbehörden verbessert. (mho)