Risiken durch Cyberangriffe: Reputation in Gefahr?

Inwiefern öffentlich gewordene Cyberangriffe auf Unternehmen auch der Reputation bei Kunden und Anlegern schaden, das hat Marcel Fischer untersucht. Er ist Gründer und Geschäftsführer des Beratungsunternehmens BxC Security. Die Vermutung: Nach Bekanntwerden schwerer Zwischenfälle ziehen Kunden zur Konkurrenz, der Umsatz des Unternehmens bricht ein und bei Aktiengesellschaften sieht man das später auch am Aktienkurs. Doch: Stimmt das?

Indikator für Reputation: Börsenkurse von mehr als 50 Unternehmen untersucht

„Einen guten Indikator für Reputationsverlust finden wir bei börsenorientierten Unternehmen im Aktienkurs“, hebt Fischer hervor. In einer einzigen Zahl steckten dort sehr viele Informationen, die den gesamten Marktkontext beträfen. Damit lasse sich minütlich abbilden, wie es um das Vertrauen der Investoren bestellt sei. Untersucht wurden von ihm dazu die Aktienkurse von 50 Unternehmen, darunter die Hotelkette Marriott, der US-Gentestspezialist 23andMe sowie der Windenergieanlagen-Hersteller Nordex. Dabei zeigt sich, wie unterschiedlich sich der Einfluss der Cyberangriffe auf die Aktienkurse der Unternehmen auswirkte.

Marriott verzeichnete seit 2018 die meisten Angriffe der analysierten Unternehmen. Insgesamt dreimal wurden dabei innerhalb von sechs Jahren Kundendaten geraubt. Beim ersten Angriff 2018 handelte es sich laut dem Experten um den bis dahin größten Cyberangriff der Geschichte. Über 500 Mio. Datensätzen gingen der Hotelkette dabei verloren. Das führte zum Absturz des Aktienkurses, der sich erst nach 80 Tagen wieder erholte.

Beim nächsten Angriff 2020 sei es der ganzen Branche wegen der internationalen Reisebeschränkungen durch Covid-19 schlecht gegangen. Auch hier brach der Aktienkurs ein. Die Erholung dauerte aber nur zehn Tage. Beim Angriff 2022, bei dem 20 GByte an Daten gestohlen wurden, ging der Kurs nach Bekanntwerden des Angriffs dagegen nach oben. „Wir konnten uns das zunächst nicht erklären“, räumt Fischer ein. Es schien fast, als hätten sich die Investoren daran gewöhnt. Auch wenn sich dafür keine Ursache finden ließ, zeigte sich, dass die negative Reaktion der Börse mit jedem Zwischenfall geringer ausfiel.

Cyberangriffe treffen Branchen unterschiedlich

Wie sich eine Attacke im Vergleich zum Branchenumfeld auswirkt, macht Fischer am Verlust von Gesundheits- und Abstammungsdaten deutlich. Angreifer erbeuteten 2023 bei 23andMe, einem US-Anbieter von Gentests, Daten von 6,9 Mio. Nutzerinnen und Nutzern. Besonders kritisch sei dabei gewesen, dass es um sensible Informationen wie Namen, Adressen und Abstammungsverhältnisse bestimmter Nutzergruppen ging.

Es gab viele Klagen gegen das Unternehmen. Während sich der Kurs bis zum Cyberangriff vergleichbar zum Wettbewerber Prophase Labs entwickelte, gab es danach in einem schwierigen Marktumfeld mit sinkenden Kursen einen Einbruch gegenüber den Konkurrenten. Fischers Fazit: „Es reicht nicht nur, ein Unternehmen zu betrachten, es muss immer auch das Wettbewerbsumfeld betrachtet werden.“

Einbruch der Aktienkurse: Überraschung in der Windenergiebranche

Eine Überraschung in dieser Hinsicht lieferte dem Fachmann des Cybersecurity-Unternehmens BxC Security dann aber der Blick in die Windenergiebranche. 2022 gab es bei Nordex einen Zwischenfall mit Erpressungssoftware (Ransomware), bei dem IT-Systeme abgeschaltet und die Produktion runtergefahren werden musste. Wie von den Experten erwartet, brach der Aktienkurs danach ein.

Allerdings galt das in den folgenden 50 Tagen auch für die Kurse der Wettbewerber Vestas und Siemens Energy. Erst danach legten die Kurse der Wettbewerber wieder zu, während Nordex vom positiven Markttrend nicht wesentlich profitieren konnte. Das deute also eher auf einen allgemeinen Markttrend hin. Das ließen auch Ereignisse wie die anhaltende Covid-19-Pandemie, geopolitische Spannungen und Lieferkettenprobleme vermuten. Dass die Wettbewerber weniger schlimm davon betroffen waren, lässt sich für Fischer dabei auch nicht zwingend auf den Cyberzwischenfall zurückführen. Siemens sei beispielsweise deutlich breiter aufgestellt als Nordex und könne daher besser auf Marktschwankungen reagieren.

Auswirkungen von Cyberangriffen waren vor 2023 deutlich größer

Fischer folgert aus seinen Beobachtungen: „Die Branche hat wahrscheinlich einen sehr viel größeren Einfluss auf Entwicklungen im Aktienkurs als ein einzelner Cyberangriff.“ Deshalb habe sich BxC Security danach längere Zeitverläufe angeschaut und die Rolle des jeweiligen Krisenmanagements bei Cyberangriffen hinterfragt.

„Es gibt Indikatoren auf leichte Unterschiede zwischen verschiedenen Branchen“, berichtet Fischer. So reagiere man beispielsweise im Gesundheitssektor empfindlicher auf solche Vorfälle. Er räumt allerdings ein: „Die Datenlage ist nicht wirklich signifikant.“ Deutlicher sei dagegen zu erkennen, dass die Auswirkungen auf Aktienkurse vor 2023 deutlich größer waren. „Es sieht danach aus, als hätten wir einen Abstumpfungseffekt. Die Auswirkungen haben sich als gering erwiesen, sodass zumindest Investoren darauf kaum noch reagieren“, folgert er daraus.

Gutes Krisenmanagement hilft nach einem Cyberangriff

Als Grund dafür führt Fischer auch ein gutes Krisenmanagement der angegriffenen Unternehmen an: „Wir konnten bei diesen Unternehmen erkennen, dass der Kurseinbruch geringer war oder sich der Kurs deutlich schneller erholt hat als bei Unternehmen, die ihre Maßnahmen weniger klar kommuniziert hatten.“ Kunden und Investoren könnten damit besser abschätzen, wie es für sie weitergeht.

Insgesamt habe der Kurseinbruch aller im Jahr 2024 von BxC Security analysierten Unternehmen gerade einmal zehn Tage angedauert. Fischer konkretisiert: „Wenn wir von all diesen Unternehmen zum Stichtag des Angriffs je eine Aktie gekauft hätten, dann hätten wir beim Verkauf nach einem Jahr eine Rendite von 13 % gemacht.“ Er kommt deshalb zum Ergebnis: „Das zeigt uns, dass vom Mythos Reputationsschaden in den Daten börsenorientierter Unternehmen kaum etwas abzulesen ist.“

Menschen spüren nach Angriffen auf Unternehmen selten einen persönlichen Einfluss

Drei wesentliche Gründe dafür hat sein Unternehmen schließlich identifizieren können. Erstens komme es durch die zunehmende Zahl an Cyberangriffen gewissermaßen zu einer Abstumpfung. Dazu kommt, dass die meisten Menschen durch Cyberattacken keinen direkten Einfluss spürten, wodurch das Interesse an solchen Angriffen nachlasse und Menschen dem Unternehmen treu blieben. Als letzten Aspekt nennt Fischer den „Komfort“. Er sagt: „Wir sind alle bequem. Beim Thema Datenschutz versus Komfort wählen die meisten Menschen den Komfort. Ein neues Produkt auszuwählen, bedeutet die Komfortzone teilweise ganz erheblich zu verlassen.“

Fischer weiter: „Wenn es keine gravierenden Auswirkungen für mich gibt, gibt es auch keinen Grund die Komfortzone zu verlassen. Und selbst wenn es Gründe gibt, machen die bereits aufgebauten Netzwerke einen Wechsel schwierig – zumal auch bei einem Wechsel sichergestellt werden müsste, dass die Daten danach besser geschützt sind.“

Schlussfolgerung: Risiken bei Cyberangriffen immer wieder neu bewerten

Nach dem der Mythos Reputationsverlust damit nahezu ausgeräumt werden kann, stellt sich für den Cybrersecurity-Experten jedoch die Frage, warum weiterhin in Cybersicherheit investiert werden muss. Als entscheidende Gründe dafür nennt er andere Risiken, wie finanzielle und betriebliche Risiken, rechtliche sowie Umweltanforderungen. Es gehe deshalb inzwischen verstärkt um den Schutz geistigen Eigentums. Speziell in Industrieunternehmen komme die Vermeidung von Produktionsausfällen und schädlichen Umweltauswirkungen hinzu. „Wir sollten uns stärker auf diese Risiken konzentrieren, die wirklich einen nachhaltigen Einfluss auf das Unternehmen haben und signifikante Auswirkungen mit sich bringen“, macht er deutlich.

Die Fehleinschätzung beim Reputationsverlust zeigt laut Fischer aber auch, dass Cybersecurity-Experten ihre Annahmen immer wieder hinterfragen sollten. Außerdem wird deutlich, dass es viel wichtigere Dinge für das Überleben eines Unternehmens gibt als den Börsenkurs.