Budgets werden 2023 knapper: Es ist an der Zeit, die Security zu rationalisieren

So wichtig Cybersecurity für die heutigen Unternehmen auch ist, sie ist nicht immun gegen die aufziehenden makroökonomischen Gewitterwolken. Neue Untersuchungen ergaben stagnierende oder gar reduzierte Budgets in vielen Unternehmen. Das sind schlechte Nachrichten für IT- und Sicherheitsverantwortliche, die mit immer schwierigeren Umständen konfrontiert sind. Leider unterliegt die Cybercrime-Community nicht den gleichen Budgetbeschränkungen. Sie entwickelt weiterhin gemeinsam Innovationen und sucht unermüdlich nach möglichen Schwachstellen.

IT-Chefs können diesem doppelten Druck entgegenwirken, indem sie die Beziehungen mit Anbietern auf den Prüfstand stellen. Wenn Führungskräfte Effizienz, Produktivität und Sparsamkeit wünschen, ohne Kompromisse bei der Security eingehen zu müssen, ist eine Konsolidierung auf weniger Produkte und Lieferanten der beste Weg.

Zeit, den Gürtel enger zu schnallen

Die wirtschaftlichen Aussichten für das kommende Jahr sind in den meisten Ländern ziemlich düster. Der IWF reduzierte kürzlich seine Wachstumsprognose für dieses Jahr auf 2,9 %, obwohl sie für die Industrieländer noch stärker absinkt (auf 1,2 %). In großen europäischen Märkten wie Frankreich, Deutschland, Italien und Großbritannien wird das prognostizierte BIP in diesem Jahr voraussichtlich nicht über 1 % hinausgehen, und einige Volkswirtschaften könnten sogar in eine Rezession abrutschen. Hohe Inflation und hohe Zinssätze treffen Unternehmen dort, wo es weh tut, insbesondere die steigenden Energiekosten. Und die gleichen makroökonomischen Faktoren drücken auch die Verbraucherausgaben.

Dies ist wichtig für IT-Sicherheitsverantwortliche, die bereits Schwierigkeiten haben, eine umfangreiche Angriffsfläche abzusichern und sicherzustellen, dass digitale Transformationsprojekte kein übermäßiges Risiko für ihre Unternehmen darstellen. Jüngste Untersuchungen haben ergeben, dass nur die Hälfte (49 %) der Unternehmen in EMEA und den USA glauben, dass sie über ausreichende Budgets verfügen, um die aktuellen Anforderungen zu erfüllen. Noch schlimmer ist, dass 11 % wohl nur genug haben, um ihre kritischsten Vermögenswerte zu schützen, während 35 % davon ausgehen, dass die Budgets 2023 gleich bleiben oder reduziert werden.

Dem Bericht zufolge kommt es zu diesen Budgetbeschränkungen, obwohl die Führungsspitzen der Unternehmen laut Aussage der IT-Befragten die Schwere der Cyber-Bedrohung verstehen und dass Investitionskürzungen die digitale Transformation beeinträchtigen könnten. Es sieht wohl so aus, dass keine noch so große Bitte an die Unternehmen mehr Mittel freisetzen wird.

Die Herausforderung ist besonders akut für KMUs. Ende 2022 ergab eine separate Studie, dass über die Hälfte (56 %) der kleineren Unternehmen in den USA, Großbritannien und Australien über Budgetkürzungen besorgt sind.

Es kommen immer wieder Bedrohungen

Das ist nicht anders zu erwarten. Selbst wenn die Budgets gleich bleiben würden, könnten damit nicht alle Herausforderungen bewältigt werden, mit denen viele heute konfrontiert sind. Es gibt im Wesentlichen zwei:

1. Ein hochentwickelter Untergrund für Cyberkriminalität, über den es ein Kinderspiel ist, die für ausgeklügelte Bedrohungen erforderlichen Tools und Dienste zu beschaffen. Man muss sich nur das Wachstum von Ransomware-as-a-Service ansehen, das nach wie vor mehr KMUs als große Unternehmen betrifft.
2. Eine wachsende Angriffsfläche für Unternehmen, die sich im Zuge der Pandemie durch Investitionen in Cloud Computing und die Umstellung auf hybrides Arbeiten vergrößert hat. Einer Studie zufolge befürchten 43 % der globalen Unternehmen, dass ihre Angriffsfläche „außer Kontrolle gerät“.

Aus diesen und anderen Gründen kommt es weiterhin regelmäßig zu potenziell geschäftskritischen Sicherheitsverletzungen. Laut PwC hat über ein Viertel (27 %) der globalen CFOs in den letzten drei Jahren eine erhebliche Datenschutzverletzung erlitten, die ihr Unternehmen über 1 Million US-Dollar gekostet hat. Tatsächlich belaufen sich die weltweiten durchschnittlichen Kosten einer Datenschutzverletzung jetzt auf fast 4,4 Millionen US-Dollar. Von den von PwC in Großbritannien befragten Unternehmen erwartet etwa ein Viertel, dass die Bedrohungen in diesem Jahr deutlich zunehmen werden, wobei Ransomware, „Hack and Leak“-Angriffe, Cloud-basierte Bedrohungen und Business Email Compromise (BEC) zu den Themen gehören, die ihnen am meisten Sorgen bereiten.

Mit weniger mehr erreichen

All dies deutet darauf hin, dass IT-Verantwortliche in kleinen und mittleren Unternehmen anfangen müssen, über Möglichkeiten nachzudenken, wie sie die ihnen zur Verfügung stehenden knappen Ressourcen besser nutzen können. Einerseits sollte dies kein allzu großer Bruch mit der Norm sein – selbst in den Jahren des Booms mussten kleine Unternehmen ihre Ressourcen auf eine Weise optimieren, wie es ihre größeren Pendants vielleicht nicht taten. Das aktuelle wirtschaftliche Umfeld könnte jedoch noch mehr Disziplin erfordern.

Einer Studie zufolge beschäftigen die meisten KMUs weniger als fünf Mitarbeitende im Bereich Cybersecurity. Die Hälfte gibt weniger als 20.000 Dollar pro Jahr für diese Aufgabe aus, und bei lediglich zehn Prozent sind es mehr als 50.000 Dollar pro Jahr. Wie können sie mit weniger mehr erreichen? Mit der Konsolidierung von Anbietern ist bei Bedarf schon relativ viel gewonnen. Selbst kleine und mittlere Unternehmen haben vielleicht festgestellt, dass sie ein Übermaß an Tools verwenden, die sie zur Behebung bestimmter Probleme gekauft oder im Laufe der Jahre über Fusionen und Akquisitionen erworben haben.

Potenziell überlappende punktuelle Lösungen sind jedoch aus mehreren Gründen schlecht. Sie können:

• Lücken in der Sicherheitsabdeckung durch isolierte Daten schaffen
• Management-Overhead für überlastete IT-Teams schaffen, die sich mit der Nutzung aller Tools vertraut machen müssen
• Kosten für zusätzliche Lizenzen bedeuten, die vielleicht unnötig sind
• für moderne, dynamische Cloud-Umgebungen schlecht geeignet sein

IT-Sicherheitsverantwortliche könnten diese Kosten senken, indem sie einen größeren Teil ihrer Sicherheitslösungen auf weniger Anbieter reduzieren, ohne dabei Kompromisse bei der Abwehr von Bedrohungen einzugehen. Vielleicht erkennen sie dadurch auch, dass ein plattformbasierter Ansatz besser dazu geeignet ist, Risiken zu erkennen und zu verwalten. Gepaart mit kostengünstigen Best Practices für Cyberhygiene könnte dieser Ansatz Unternehmen dabei helfen, den wirtschaftlichen Sturm nicht nur zu überstehen, sondern danach noch besser dazustehen als vorher. Selbst Gartner äußert sich zu diesem Thema.