Proofpoint und das Ponemon Institute haben heute die Ergebnisse einer neuen Studie über die Kosten von Phishing veröffentlicht. Der Bericht zeigt, dass sich die Kosten von Phishing-Angriffen in den letzten sechs Jahren fast vervierfacht haben, wobei große US-Unternehmen im Durchschnitt 14,8Mio.US$ (oder 1.500US$ pro Mitarbeiter) pro Jahr verloren haben. Laut der Studie, für die fast 600 IT-Sicherheitsexperten befragt wurden, gehören BEC- (Business Email Compromise, im Deutschen auch CEO-Betrug) und Ransomware-Angriffe zu den teuersten Bedrohungen für Unternehmen. Doch die Kosten für Unternehmen gehen weit über die an die Angreifer gezahlten Lösegelder hinaus. Das eigentliche Phishing, also der Diebstahl von Anmeldedaten eines Mitarbeiters, unter anderem für den PC oder Microsoft-365- und Google-Konten, dient in der Regel zur Vorbereitung eines digitalen Angriffs, auch bei BEC und Ransomware. Die Kriminellen nutzen dafür sowohl Social Engineering als auch technische Tricks, um persönliche Identitätsdaten und Zugangsdaten für (Finanz)-Konten zu stehlen. Die Anti-Phishing Working Group (APWG) schätzt, dass sich die Zahl der Phishing-Angriffe allein im Jahr 2020 verdoppelt hat.
Die wichtigsten Erkenntnisse der Studie im Überblick:
Der Produktivitätsverlust, beispielsweise durch gesperrte Computer, keinen Zugriff auf Daten oder die Wiederherstellung von Systemen, ist eine der kostspieligsten Folgen von Phishing. In einem durchschnittlich großen US-Unternehmen mit 9.567 Mitarbeitern bedeutet dies 63.343 vergeudete Stunden pro Jahr. Das sind rund sieben Stunden verschwendete Arbeitszeit pro Mitarbeiter, mehr als eine Verdopplung im Vergleich zu 2015.
Business Email Compromise kostet eine große Organisation durchschnittlich jährlich fast 6Mio.US$. Davon entfallen auf illegale Zahlungen an BEC-Angreifer jährlich 1,17Mio.US$ und damit nur rund 20% der tatsächlichen Aufwendungen für diese Angriffsform. Ransomware kostet große Unternehmen jährlich 5,66Mio.US$. Davon entfallen 790.000Mio.US$ auf die gezahlten Lösegelder selbst. Das heißt, lediglich ein Siebtel sind die eigentliche Lösegeldsumme, und die anderen rund 84% sind Folgekosten. Die Kosten für die Behebung von Malware-Infektionen haben sich seit 2015 mehr als verdoppelt. Die durchschnittlichen Gesamtkosten für die Behebung von Malware-Angriffen belaufen sich auf gut 800.000US$ im Jahr 2021, ein Anstieg von rund 460.000US$ seit 2015 von damals knapp 340.000US$. Die Kosten für die Kompromittierung von Zugangsdaten sind seit 2015 drastisch gestiegen. Infolgedessen müssen Unternehmen mehr Geld ausgeben, um auf diese Angriffe zu reagieren. Die durchschnittlichen Kosten für die Eindämmung von Phishing-Angriffen auf Zugangsdaten stiegen etwa 380.000US$ im Jahr 2015 auf nahezu 700.000US$ im Jahr 2021. Security-Awareness-Trainings reduzierten die Kosten für Phishing im Durchschnitt um mehr als 50% .
