Einblicke
Warum Cybersicherheit jetzt wichtiger ist als je zuvor
|
|
Global Equity Observer
|
• |
März 27, 2026
|
Warum Cybersicherheit jetzt wichtiger ist als je zuvor
|
März 27, 2026
|
Warum Cybersicherheit jetzt wichtiger ist als je zuvor
Warum Cybersicherheit jetzt wichtiger ist als je zuvor |
|
| Pricing info as of |
|---|
| Pricing info as of |
|---|
BDC Pricing Table Component
Ein Cyberangriff kann innerhalb weniger Wochen den operativen Gewinn eines Jahres auslöschen. Cybersicherheit wird damit zur defensiven Notwendigkeit.
Angesichts der fortschreitenden Digitalisierung, der Ausbreitung von KI und anhaltender geopolitischher Spannungen nehmen Häufigkeit, Komplexität und finanzielle Folgen von Cyberangriffen weiter zu. Unternehmen in allen Sektoren – nicht nur jene, die traditionell als risikoreich gelten – sind nun diesen Risiken ausgesetzt. Für langfristig orientierte Investoren lautet die entscheidende Frage nicht, ob es Cyberrisiken gibt, sondern ob Unternehmen auf sie vorbereitet sind.
Im Jahr 2025 wendeten wir unser eigenes Rahmenwerk zur Bewertung von Cybersicherheit auf bestimmte Portfoliounternehmen an, deren Anfälligkeit für Cyberangriffe wir als relativ hoch einschätzten. Ziel war es, dieses potenziell finanziell wesentliche Risiko auf Unternehmensebene zu bewerten.
Die Bedrohungslage
Es wird erwartet, dass Cyberkriminalität im Jahr 2025 Schäden von 10,5 Bio. US-Dollar verursachte und damit die Investitionen in Cybersicherheit um nahezu das 50‑Fache übersteigt.1 Die Kreditauskunftei Equifax liefert ein eindrückliches Beispiel für die zunehmende Häufigkeit von Angriffen: 2024 reagierte sie auf mehr als 15 Millionen Cyberbedrohungen – das sind fast 175 feindliche Versuche pro Sekunde und ein Anstieg um 25 % gegenüber 2023.2 Aufsehenerregende Vorfälle machen das Ausmaß potenzieller Schäden deutlich. Im Vereinigten Königreich haben Ransomware-Angriffe im Jahr 2025 die Abläufe großer Unternehmen beeinträchtigt und zu entgangenem Gewinn und Sanierungskosten in Höhe von mehreren Hundert Millionen geführt.
Zugleich räumen viele Führungskräfte ein, dass weiterhin Lücken in der Vorbereitung bestehen. Eine Umfrage unter Chief Information Security Officers3 zeigt, dass die Mehrheit innerhalb der nächsten 12 Monate mit einem Angriff rechnet, viele sich jedoch nicht ausreichend vorbereitet fühlen.
Die Digitalisierung bedeutet, dass heute jedes Unternehmen ein Datenunternehmen ist. In der Folge hat der Umfang der Angriffsflächen von Unternehmen – die Anzahl potenzieller Punkte, an denen ein nicht autorisierter Nutzer auf ein System zugreifen und Daten exfiltrieren kann – zugenommen. Weitere Faktoren, die die Angriffsflächen eines Unternehmens ebenfalls vergrößern können, sind:
- Automatisierung und das Internet der Dinge (IoT)4
- Stärkere Abhängigkeit von Cloud- und Hybrid-Infrastruktur
- Wachsende Abhängigkeit von Drittanbietern
- Komplexere globale Lieferketten
- Größere und stärker dezentrale Belegschaften
- Anhaltende M&&A5-Aktivitäten
Menschliches Versagen bleibt eine der Hauptursachen für erfolgreiche Angriffe. Schwachstellen in der Lieferkette spielen inzwischen jedoch eine ebenso große Rolle. Vor allem für akquisitionsorientierte Unternehmen kann eine unzureichende Integration der Cybersecurity-Due-Diligence versteckte Risiken mit sich bringen.
Bahnbrechende neue Technologien
KI verändert die Cybersicherheit grundlegend. Einerseits senkt generative KI (GenAI) die Angriffshürden. Phishing-Kampagnen wirken überzeugender, Schwachstellenscans lassen sich in großem Umfang automatisieren und bösartige Aktivitäten können schneller und intelligenter durchgeführt werden. Andererseits können KI-gestützte Abwehrsysteme die Zeit bis zur Identifikation und Reaktion auf Bedrohungen deutlich verkürzen. Research deutet darauf hin, dass Organisationen, die KI in ihre Cybersicherheitsabwehr integrieren, niedrigere durchschnittliche Kosten von Sicherheitsverletzungen und eine schnellere Eindämmung verzeichnen.6 Allerdings sollten Unternehmen unseres Erachtens auch die zusätzlichen Sicherheitsanforderungen von KI-Tools berücksichtigen, da Untersuchungen KI-bezogene Schwachstellen als das sich 2025 am schnellsten ausweitende Cyberrisiko identifiziert haben.7
Quantencomputing stellt eine längerfristige, aber potenziell tiefgreifende Bedrohung dar. Die Aussicht auf „harvest now, decrypt later“ – Angriffe, bei denen verschlüsselte Daten heute entwendet werden, um sie in Zukunft zu entschlüsseln –, schafft Risiken für sensible Daten mit langer Lebensdauer, darunter Finanzunterlagen, geistiges Eigentum und Gesundheitsinformationen. Gegenmaßnahmen werden jedoch bereits entwickelt. Im Jahr 2024 veröffentlichte das U.S. National Institute of Standards and Technology (NIST) seine ersten Standards für Post-Quantum Cryptography (PQC), und US-Cyberbehörden drängen Organisationen bereits, mit Maßnahmen zur Quantum-Readiness zu beginnen. Da kryptografische Umstellungen bislang viele Jahre in Anspruch nehmen, halten wir eine frühzeitige Vorbereitung auf Post-Quantum-Kryptografie für sinnvoll, insbesondere für Unternehmen, die sensible Daten mit langer Duration halten.
Proprietärer Rahmen zur Bewertung der Cybersecurity
Um Cybersecurity strukturiert und vergleichbar zu bewerten, haben wir einen proprietären Bewertungsrahmen entwickelt. Das Rahmenwerk bewertet positive und negative Indikatoren entlang von sechs Säulen:
1. Governance: Unserer Ansicht nach umfasst Best Practice eine Aufsicht über Cybersicherheit auf Ebene des Aufsichtsrats und der Geschäftsführung mit relevanter Expertise und klar definierte Verantwortlichkeiten. Wir sind der Auffassung, dass Cybersicherheit in das unternehmensweite Risikomanagement integriert sein muss und nicht als isolierte IT-Funktion behandelt werden darf.
2. Ressourcen, Schulung und Unternehmenskultur: Technologie allein ist nicht genug. Im Einklang mit unserem Rahmenwerk umfasst ein ausgereifter Ansatz spezialisierte Teams, Phishing-Simulationen (mit Nachschulungen für Mitarbeitende, die diese nicht bestehen) und eine Unternehmenskultur, die auf Cyber-Bewusstsein aufbaut.
3. Drittparteien- und M&A-Risiken: Innerhalb unseres Rahmenwerks konzentrieren wir uns auf Nachweise für ein widerstandsfähiges Ökosystem, einschließlich Due Diligence in der Lieferkette, vertraglicher Sicherungsmechanismen und der Integration von Cybersicherheitsanalysen in Akquisitionsentscheidungen.
4. Prozesse und Kontrollen: Zu den positiven Indikatoren zählen die Ausrichtung an anerkannten Rahmenwerken sowie Nachweise von Kontrollen wie Identity- und Access-Management, Endpoint Detection and Response sowie Threat- und Vulnerability-Management. KI-gestützte Abwehrmechanismen sowie Sensibilisierung und frühzeitige Planung für post-quantenkryptografische Standards sind ebenfalls positiv.
5. Reaktionsbereitschaft: Die Reaktionsgeschwindigkeit bestimmt häufig die finanziellen Auswirkungen. Unser Rahmenwerk berücksichtigt, ob Unternehmen ihre Reaktionsbereitschaft auf Vorfälle regelmäßig testen und Simulationen auf Führungsebene und Szenarioplanungen durchführen.
6. Externe Überprüfungen: Wir achten auf unabhängige Prüfungen, Zertifizierungen (wie ISO 270018), Cyber-Versicherungen und transparente quantitative Offenlegung, die eine zusätzliche Validierung interner Kontrollen bieten.
Im Jahr 2025 suchten wir den Dialog mit zehn unserer Portfoliounternehmen, die unseres Erachtens erhöhte Cybersecurity-Risiken aufweisen. Auch wenn ein schwerwiegender Cyberangriff niemals vollständig auszuschließen ist, sind wir der Ansicht, dass diese Unternehmen das Risiko im Allgemeinen angemessen steuern. Beispiele für Best Practices sind:
- Einsatz von KI-gestützten Abwehrmechanismen, was die durchschnittliche Zeit bis zur Erkennung und Reaktion auf Vorfälle deutlich verkürzt.
- Beendigung von Lieferantenbeziehungen und sogar Ablehnung von Akquisitionen, wenn Cybersecurity-Standards nicht erfüllt wurden.
- Einführung einer Dual-Sourcing-Strategie zur Stärkung der Resilienz der Lieferketten.
- Implementierung von Kontrollen zur Begrenzung des „Schadensausmaßes“ eines Angriffs, beispielsweise durch Netzwerksegmentierung und Multi-Faktor-Authentifizierung.
- Lernen aus früheren Vorfällen, was eine Kultur der kontinuierlichen Verbesserung nahelegt.
- Einholung unabhängiger Prüfbestätigungen zu Kontrollen (z. B. gemäß ISO 27001)
- Offenlegung quantitativer Kennzahlen zur Verbesserung der Transparenz für Investoren.
- Frühe Performance-Tests von Post-Quanten-Kryptografie-Standards.
Implikation für Anlagen: Risiken und Chancen
Die wachsende Bedrohung durch Cyberangriffe hat ein strukturelles Wachstum der Ausgaben für Cybersecurity zufolge. Industrieprognosen gehen davon aus, dass die globalen Ausgaben für Cybersecurity im Jahr 2025 200 Mrd. US-Dollar übersteigen und im zweitstelligen Bereich wachsen werden.9 Eine Umfrage von CIOs zeigte, dass die Budgets für Cybersecurity schneller steigen als die Gesamtausgaben für Software.10
Dieses Umfeld schafft sowohl Chancen als auch Risiken. Aus Risikoperspektive sind Unternehmen, die zu wenig in Cybersecurity-Abwehrmaßnahmen investieren, einem höheren Risiko für finanziell wesentliche Angriffe ausgesetzt. Was Chancen betrifft, so könnten skalierte Cybersecurity-Anbieter und Plattformen, die in Unternehmensökosysteme eingebettet sind, von einem anhaltenden Nachfragewachstum profitieren.
In unseren Portfolios halten wir Unternehmen mit erheblichen Cybersecurity-Risiken, darunter:
- Microsoft, das das weltweit größte Cybersecurity-Geschäft betreibt, mit einem geschätzten Wert von 30 Mrd. US-Dollar, der sich in den vergangenen drei Jahren mehr als verdoppelt hat.11
- Visa, das seine Expertise in Zahlungssicherheit und Betrugsprävention nutzt, um Kunden Beratungsleistungen im Bereich Cybersecurity anzubieten.
- Alphabet, das im Begriff ist, sein Engagement im Bereich Cybersecurity durch die anstehende Übernahme von Wiz, einer führenden Cloud-Sicherheitsplattform, für 32 Mrd. US-Dollar auszubauen.
- Experian, dessen Lösungen für Identitätsprüfung und Betrugsprävention Unternehmen weltweit geholfen haben, Betrugsverluste von geschätzt 19 Mrd. US-Dollar zu vermeiden.12
Ernüchternde Realität
Kein Cybersecurity-System kann vollständigen Schutz garantieren. Nach unserer Einschätzung wird die Kluft zwischen Unternehmen, die vorbereitet sind, und solchen, die es nicht sind, jedoch immer größer. Cyber-Resilienz ist sowohl eine defensive Notwendigkeit als auch ein potenzieller Wettbewerbsvorteil. Unternehmen mit starker Governance, die in fortschrittliche defensive Fähigkeiten investieren und sich proaktiv an den technologischen Wandel anpassen, sind unserer Ansicht nach besser positioniert, ihre Geschäftstätigkeit und den Aktionärswert zu schützen.
|
Executive Director
International Equity Team
|
 |
Greg Heywood
Vice President
International Equity Team |