Was nützen die besten Sicherheitsvorkehrungen, wenn wir sie achtloserweise nicht nutzen? Oft ergeben sich Datensicherheits-Risiken nicht durch technische Fehler sondern durch den Faktor Mensch. In einer gemeinsamen Studie, finanziert durch das österreichische Sicherheitsforschungsprogramm KIRAS, untersuchten die TU Wien und die Universität Wien daher nun das Verhalten von Firmen, Behörden und Privatpersonen beim Thema Internetsicherheit. Noch immer ist das Problembewusstsein nicht in allen Bevölkerungsgruppen ausreichend hoch, die Studie liefert zahlreiche Handlungsempfehlungen für mehr Datensicherheit.
Für die Studie wurden 809 BürgerInnen, 255 Unternehmen und 252 Behörden telefonisch zu IT-Sicherheitsthemen befragt. Ausgewählte Aspekte dieser IT-Sicherheitsthemen wurden dann zusätzlich in qualitativen Interviews mit BürgerInnen, Unternehmen und Behörden und zwei Online-Erhebungen (415 Unternehmen, 3549 Studierende) vertiefend erforscht.
Leichtsinn bei jungen Erwachsenen und Älteren
„Die gute Nachricht: Die größeren Behörden und Unternehmen in Österreich zeigen ein hohes Sicherheitsbewusstsein im IT-Bereich“, sagt Stefan Fenz vom Institut für Softwaretechnik und Interaktive Systeme der TU Wien. Über 95% der Befragten bezeichnen das Thema als wichtig oder sehr wichtig. Je größer eine Behörde oder ein Unternehmen, umso besser ist die Qualität der Sicherheitsmaßnahmen und die Verbreitung von Krisennotfallplänen.
Auch bei Privatpersonen ist durchaus ein hohes IT-Sicherheitsbewusstsein festzustellen, allerdings bestehen starke Unterschiede zwischen den Altersklassen: Weder für die jüngeren (unter 25 Jahre) noch für die älteren Befragten (über 61 Jahre) ist IT-Sicherheit ein zentrales Thema. „Bei Personen über 46 Jahren ist das Sicherheitswissen generell nur schwach ausgeprägt“, beklagt Sylvia Kritzinger vom Fakultätszentrum für Methoden der Sozialwissenschaften der Universität Wien – und selbst wer sich des Problems bewusst ist, handelt nicht notwendigerweise vernünftig: Auch unter den gut informierten treffen 19% nur unzureichende Sicherheitsmaßnahmen.
Fahrlässigkeit kann ganze Staaten gefährden
Wer mit Sicherheitsfragen im Internet fahrlässig umgeht, gefährdet nicht nur sich selbst. Sogar die IT-Infrastruktur von Staaten kann gezielt attackiert werden – oft durch sogenannte Distributed Denial-of-Service (DDoS)-Attacken. Ein großes Netzwerk von Computern greift ganz gezielt auf eine Webseite zu, die dadurch überlastet wird und nicht mehr erreichbar ist. Jeder private Computer, der nicht ausreichend geschützt ist, kann Teil eines solchen Bot-Netzes werden, oft ohne dass es der Benutzer überhaupt bemerkt, dazu genügt etwa das unbedachte Öffnen eines infizierten Email-Anhanges. „Ohne reibungslos funktionierende IT-Infrastruktur sind viele staatliche, wirtschaftliche und zivilgesellschaftliche Prozesse heute nicht mehr vorstellbar. Die Gefahr, die von solchen Attacken ausgeht, ist sehr ernst zu nehmen“, betont Thomas Neubauer von der TU Wien.
Sicherheitsbewusstsein und IT-Sicherheitskenntnisse müssen in Österreich noch ausgebaut werden, sagt die Studie – besonders bei kleinen Unternehmen und Behörden und bei jüngeren und älteren Bevölkerungsgruppen. Gesetzlich festgeschriebene Mindestsicherheitsstandards und Anreizsysteme könnten in Zukunft dabei helfen. Einen besonders starken Handlungsbedarf sieht die Studie auch bei der Smartphone-Sicherheit: Sie muss durch gezielte und zielgruppengerechte Bewusstseinsbildung durch Mobilfunkunternehmen, traditionellen Medien und Interessensvertretungen verbessert werden.
Für kleine und mittlere Behörden und Unternehmen ist es oft sehr aufwändig und teuer, eigene Sicherheitsstrategien und Notfallpläne zu entwickeln. Daher sollten auf die Branche und auf die Größe der Institution abgestimmte Vorlagen für Sicherheitskonzepte bereitgestellt werden.
Die Studie wurde im Rahmen des österreichischen Sicherheitsforschungsförderprogramms („KIRAS“) erstellt, finanziert vom Bundesministerium für Verkehr, Innovation und Technologie. Die Forschungsarbeit wurde vom Institut für Softwaretechnik und interaktive Systeme der Technischen Universität Wien und dem Fakultätszentrum für Methoden der Sozialwissenschaften der Universität Wien durchgeführt.
(TU Wien, 18.02.2013 – NPO)
