Es ist eine unternehmenspolitische Katastrophe: Am vergangenen Sonntag haben Hacker massenhaft Telekom-Router angegriffen und rund 900 000 Kunden vom Internet abgeschnitten. Das ist erschreckend, leistet sich das Unternehmen doch immerhin als eines der wenigen ein eigenes Zentrum zur Abwehr von Cyberattacken. Die Hacker nutzten eine Schwachstelle im Fernwartungsprotokoll aus – auf die Sicherheitsexperten bereits seit zwei Jahren hinweisen. Nur durch ein Sicherheitsupdate am darauffolgenden Montag konnte das Kapern der Router verhindert werden.

Leider ist das Telekom-Desaster kein Einzelfall. Doch obwohl die Zahl solcher Attacken rapide steigt, vernachlässigen Firmen Investitionen in die digitale Sicherheitsinfrastruktur. Deutsche Bank-Chef John Cryan bezeichnete die Informationstechnik seines Hauses bei seinem Amtsantritt im Jahr 2015 gar als „lausig“.

Laut einer Studie leisten sich nur 14 Prozent der deutschen Firmen eine Sicherheitsabteilung. Viele kleine und mittlere Unternehmen sind sogar der Ansicht, dass ein Antivirenprogramm auf den Rechnern ausreiche, kritisiert das bayerische Wirtschaftsministerium.

Schlimm: Viele Unternehmen wissen gar nicht, ob sie angegriffen wurden

Dabei ist die Politik für diese Haltung mitverantwortlich. Bislang galt in Bund und Bayern das Credo: Cybersicherheit im Unternehmen ist Sache der Unternehmen. Anreize zur Investition in den Schutz der eigenen sowie der Kundendaten fehlten dadurch völlig. Es ist zwar löblich, dass sich die Bundesregierung diese Woche für eine Haftungs- und Updatepflicht für IT-Geräte-Hersteller ausgesprochen hat. Doch wichtig wäre, im Rahmen des 2015 in Kraft getretenen IT-Sicherheitsgesetzes Firmen noch deutlich stärker in die Pflicht zu nehmen. Denn seit es die Regelung gibt, ist immer noch nicht klar, welche Unternehmen in Deutschland überhaupt zur so genannten kritischen Infrastruktur zählen und Hackerangriffen damit ans Bundesamt für IT-Sicherheit melden müssen. Eine Meldepflicht, die rätselhafterweise ohnehin erst dann gilt, wenn mindestens 500 000 Nutzer betroffen sind.

Doch selbst dazu wird es wohl in Zukunft nur selten kommen: Laut einer Untersuchung erfüllen aktuell drei Viertel der Firmen nicht die Mindeststandards des IT-Sicherheitsgesetzes. Das heißt: Viele wissen nicht einmal, ob sie angegriffen werden.