Bewusstsein für Cybersicherheit steigt

Cyberattacken haben sich 2020 in Frankreich dramatisch ausgeweitet, vor allem gegen öffentliche Verwaltungen und Gesundheitseinrichtungen. Diese Entwicklung ist aber schwer an Zahlen festzumachen, da viele Cyberattacken nicht gemeldet oder gar bemerkt werden. Der staatlichen Agentur für die Sicherheit von Informationssystemen ANSSI (Agence nationale de la sécurité des systèmes d'information) wurden 2020 mit 2.287 ähnlich viele Sicherheitsprobleme gemeldet wie im Vorjahr (2.296). Die Zahl der gemeldeten Cyberattacken (759) hat sich aber mehr als verdoppelt (370).

Angriffe mit Ransomware weiten sich aus

Die gemeldeten Cyberattacken mit Ransomware (Erpressungssoftware) haben sich vervierfacht, von 54 auf 192. Diese Häufung ist für Mathieu Feuillet, dem stellvertretenden Direktor von ANSSI, die wichtigste Entwicklung 2020. Die Tendenz habe sich 2021 zunächst fortgesetzt, aber gegen Mitte des Jahres sei eine Abflachung bei den gemeldeten Ransomware-Attacken zu beobachten. Nach Ranglisten von Sicherheitsberatungsfirmen liegt Frankreich in Europa bei der Häufigkeit von Angriffen mit Erpressungssoftware an zweiter Stelle nach Deutschland und an dritter Stelle weltweit nach Indien und Australien.

Gemäß einer jährlich durchgeführten Befragung der Vereinigung Clusif (Club de la sécurité de l'information français) erlitten 57 Prozent der befragten Unternehmen 2020 eine Cyberattacke und 19 Prozent einen Ransomware-Angriff. Die häufigsten Cyberattacken sind Mail-Spam-Kampagnen und Phishing-Angriffe (80 Prozent der Cyberopfer), Ausnutzung von Sicherheitslücken (52 Prozent), die häufig zu Datenklau (30 Prozent) oder zu Dienstblockaden, sogenannten Denial-Of-Service-Attacken (29 Prozent) führen.  

Cyberkriminelle spezialisieren sich

Nach Aussagen des Direktors von ANSSI, Guillaume Poupard, hängt das Wachstum der Cyberkriminalität nicht direkt mit der Coronakrise zusammen. Die exponentielle Ausweitung habe schon früher begonnen und werde durch eine starke Professionalisierung und Spezialisierung unter den cyberkriminellen Gruppen vorangetrieben.

Die massive Nutzung der Telearbeit 2020 hat laut Poupard nicht zu einer Häufung von Cyberattacken auf Unternehmen geführt. Zum Teil müssten aber die kurzfristig umgesetzten Erweiterungen im IT-Bereich der Unternehmen auf Sicherheitslücken überprüft werden.

Nach Informationen von Clusif hatten 2020 viele Unternehmen kurzfristig ihre Cybersicherheitsbudgets reduziert, um in der Coronakrise ihre Liquidität zu bewahren. Die Investitionsbereitschaft hat aber nach Erhebungen der Unternehmervereinigung Cesin (Club des Experts de la sécurité de l'information et du numérique) Anfang 2021 wieder zugenommen. Laut einer Umfrage vom Januar wollen 57 Prozent der befragten Unternehmen im laufenden Jahr ihr Budget ausweiten, gegenüber 62 Prozent kurz vor der Krise im Januar 2020.

Umschichtung in IT-Budgets

Ganze 85 Prozent der befragten Unternehmen wollen neue technische Lösungen anschaffen und 52 Prozent mehr Personal für Cybersicherheit einstellen. Allerdings ist der wachsende Fachkräftemangel ein Problem. Es fehlt nach Verbandsangaben vor allem an Technikern und Möglichkeiten der Weiterbildung.

Das Versicherungsunternehmen Hiscox hat ermittelt, dass das durchschnittliche Budget von Unternehmen für Cybersicherheit von rund 1,32 Millionen Euro 2019 auf 1,85 Millionen Euro 2020 angestiegen ist. 2021 sollen es bereits 2,95 Millionen Euro sein. Im laufenden Jahr habe es eine radikale Umschichtung in den IT-Budgets gegeben, und dies nicht nur in Frankreich. Die Firmen wollten 2021 etwa 20 Prozent ihrer IT-Mittel für Cybersicherheit ausgeben, gegenüber 13 Prozent 2020.

Frankreich besonders im Visier

Frankreich gilt als bevorzugtes Zielland für Ransomware-Attacken, weil hier die Unternehmen eher bereit seien, Erpressungen nachzugeben. Nach Schätzungen der Beratungsfirma Wavestone wird in 20 Prozent der Erpressungsfälle gegenüber französischen Großunternehmen ein Lösegeld gezahlt. In der Kritik steht auch die Rolle von Versicherungsunternehmen, die angeblich ihre Klienten zu Zahlungen drängen, um größeren Schaden abzuwenden.

Nach einer Studie haben etwa 87 Prozent der großen Firmen eine Versicherung gegen Cyberrisiken abgeschlossen, während es bei mittelgroßen Firmen nur 8 Prozent sind. In Frankreich sind Zahlungen in Fällen von Ransomware-Attacken nicht gesetzlich verboten. Bekannt wurden Cyberattacken so gegen unterschiedliche Firmen wie Albioma (erneuerbare Energien), Trigano (Campingwagen), Beneteau (Yachten), Bourbon (Erdölförderung), MND (Seilbahnen) und Laurent-Perrier (Champagner). 

Am stärksten betroffen von Erpressungsversuchen per Ransomware sind nach Informationen von ANSSI öffentliche Verwaltungen mit 20 Prozent der gemeldeten Attacken. Hier vor allem Gebietskörperschaften, wie Gemeinde- oder Stadtverwaltungen sowie Gesundheitseinrichtungen (11 Prozent). Die halbstaatliche Beratungsstelle für Opfer von Cyberkriminalität Acyma, hat 2020 Cyberattacken auf 159 Gebietskörperschaften registriert, nach 103 im Vorjahr. Betroffen waren etwa die Metropolregionen Grand Annecy und Aix Marseille sowie die Städte Vincennes, Alfortville, La Rochelle und Angers.

Cyberattacken machen nicht vor dem Gesundheitssektor halt

Obwohl einige internationale Hackergruppen im März 2020 aufgrund der Coronaepidemie eine Art Schonzeit für Gesundheitseinrichtungen ausgerufen hatten, sind in Frankreich seit 2020 immer mehr Krankenhäuser und Pharmaunternehmen zur Zielscheibe geworden. Seit Anfang 2021 registriert ANSSI im Durchschnitt etwa einen Cyberangriff auf eine Gesundheitseinrichtung pro Woche. Zu den Opfern zählte im März 2020 auch einer der größten Krankenhausverbunde Europas AP-HP (Assistance Publique–Hôpitaux de Paris). Eine Denial-Of-Service-Attacke legte zeitweise einige Abteilungen lahm. Die Universitätsklinik in Rouen und öffentliche Krankenhäuser in Dax und Villefranche-sur-Saône wurden mit der Erpressungssoftware Ryuk angegriffen.

Von Peter Buerstedde | Paris

Verschiedene Cyberstrategien der vergangenen Jahre konzentrierten sich vor allem auf die Landesverteidigung und hatten auch zu einer Personalaufstockung bei der staatlichen Agentur für die Sicherheit von Informationssystemen ANSSI (Agence nationale de la sécurité des systèmes d'information) geführt.

Mit der Häufung von Cyberattacken auf Gebietskörperschaften und Gesundheitseinrichtungen hat die Regierung im Februar 2021 eine neue Strategie angenommen, sowie die Mittel für Cybersicherheit im Konjunkturpaket France Relance aufgestockt. Neben der Stärkung der Cybersicherheit im öffentlichen Sektor will die Regierung mit der Strategie vor allem die Entwicklung des heimischen Cybersicherheitssektors fördern. Bis 2025 soll 1 Milliarde Euro eingesetzt werden, wovon der Staat 720 Millionen Euro beisteuert.

Regierung will bis 2025 drei französische Unicorns

Die Strategie verfolgt eine Reihe von Zielen. Die Umsätze in der Cybersicherheit sollen von 7,3 Milliarden Euro im Jahr 2019 auf 25 Milliarden Euro 2025 steigen. Auch die Zahl der Arbeitsplätze im Sektor soll von 37.000 auf 75.000 wachsen. Auf der Forschungsseite erhofft sich die Regierung 20 Prozent mehr Patente, doppelt so viele Doktorarbeiten und 30 Prozent mehr Forschungsprojekte mit mehreren Partnern. Bis 2025 soll die Start-up-Szene mindestens drei französische Einhörner, das heißt Start-ups mit einer Bewertung von mindestens 1 Milliarde US-Dollar, hervorgebracht haben.

Helfen soll hier ein Start-up-Inkubator mit Fördermitteln von 50 Millionen Euro. Forschungsprojekte mit Privatfirmen werden mit 400 Millionen Euro gefördert, wovon jeweils 200 Millionen Euro vom Staat und den Unternehmen kommen sollen. Forschungsinstitute erhalten weitere 65 Millionen Euro.

Cyber Campus in Paris als zentrales Cluster

Um die Zusammenarbeit im Sektor zu verbessern, ist bereits seit 2019 ein Cyber Campus im Geschäftsviertel La Defense westlich von Paris im Aufbau. Für 148 Millionen Euro sollen in einem dreizehnstöckigen Büroturm große Firmen, staatliche Einrichtungen, Forschungsinstitute und Start-ups zusammenkommen. Der Campus soll Ende 2021 die Arbeit aufnehmen und das zentrale Cluster für Cybersicherheit in Frankreich bilden.

Die Agentur ANSSI wird ebenfalls auf dem Cyber Campus vertreten sein. Sie richtet außerdem bis Ende 2022 oder Anfang 2023 in Rennes eine Niederlassung ein, um enger mit den dort angesiedelten Cybersicherheitsabteilungen des Armeeministeriums zusammenarbeiten zu können.

ANSSI finanziert Audits

Als Teil der Cyberstrategie und des Konjunkturpakets France Relance hat die Regierung ANSSI einen Fonds von 135 Millionen Euro übertragen. Mit den Mitteln sollen Audits in öffentlichen Verwaltungen, Krankenhäusern und öffentlichen Einrichtungen durch private Firmen kofinanziert werden. Seit dem 21. Mai 2021 können sich interessierte Dienstleister bei der ANSSI eintragen, um Informationen über die Umsetzung zu erhalten. Die Eintragung ist aber nicht obligatorisch für die Durchführung von Audits.

ANSSI hat bisher 230 öffentliche Institutionen für ein Audit ausgewählt. Dabei wird für den Stand der Cybersicherheit eine Note, der CyberScore, nach einem System vergeben, das ANSSI in der Krise kurzfristig entwickelt hat. Darüber hinaus erhält die Institution einen Ziel-CyberScore und Informationen über Maßnahmen, um dahin zu gelangen.

Des Weiteren gibt es Projektaufrufe für diejenigen Institutionen, die keinen Audit brauchen und beim Einsatz von Sicherheitstechnik schon weiter fortgeschritten sind. ANSSI soll außerdem in allen Regionen Reaktionszentren CSIRT (Computer Security Incident Response Teams) einrichten. Diese sollen Institutionen und Unternehmen, die Opfer von Cyberangriffen geworden sind, beraten und helfen. Die CSIRT sollen nach Vorbild des Reaktionszentrums von ANSSI (CERT-FR) aufgebaut werden, das auch für die Cyberabwehr zuständig ist.

Regionale Krankenhäuser mit stärkeren Sicherheitsauflagen

Von den Fördermitteln, die ANSSI übertragen werden, sollen 25 Millionen Euro den Gesundheitseinrichtungen zugutekommen. Hier geht es vor allem um 100 regionale Krankenhäuser, die jeweils die wichtigsten Krankenhäuser in einem regionalen Klinikverbund sind. Sie wurden von ANSSI als essenzielle Dienstleister OSE (Operateurs de services essentiels) eingestuft, im Einklang mit der NIS-EU-Richtlinie (Network and Information Security). Die großen Universitätskliniken sind bereits OSE. Dies beinhaltet eine verstärkte Aufsicht durch ANSSI und Maßnahmen für die Cybersicherheit. Frankreich übernimmt im 1. Halbjahr 2022 die EU-Präsidentschaft und will dann die Novellierung der Richtlinie (NIS 2) vorantreiben. 

Der Gesundheitssektor, der sich in einer starken Digitalisierungsphase befindet, soll aber weit mehr Mittel für Cybersicherheit erhalten. Im Juli 2020 hatte die Regierung ein Hilfsprogramm für den Gesundheitssektor für 19 Milliarden Euro lanciert. Davon waren 2 Milliarden Euro für die Digitalisierung von Krankenhäusern vorgesehen. Im Februar 2021 hatte Präsident Emmanuel Macron angekündigt, dass davon 350 Millionen Euro für eine Stärkung der Cybersicherheit eingesetzt werden sollen. Die Regierung hat außerdem verfügt, dass im Rahmen aller staatlich geförderten Projekte für Informationssysteme in Krankenhäusern 5 bis 10 Prozent für die Cybersicherheit eingesetzt werden müssen.

Von Peter Buerstedde | Paris

Nach einer Studie des Beratungsunternehmens Decision Etudes & Conseil für den Verband ACN (Alliance pour la confiance numérique) stiegen die Umsätze im Bereich digitale Sicherheit von 2019 auf 2020 um 6,4 Prozent. Darunter fallen neben Cybersicherheit auch digitale Lösungen und Elektronik für die Zugangs- und Identitätskontrolle sowie die Überwachung und Lokalisierung. In der Cybersicherheit (Software und Dienstleistungen) wurden 2020 rund 8,3 Milliarden Euro umgesetzt mit einem Wachstum von 11,5 Prozent. Die Regierung hatte im Februar 2021 dem Sektor das Ziel vorgegeben, bis 2025 Umsätze von 25 Milliarden zu erreichen. Das entspräche einem jährlichen Wachstum von etwa 25 Prozent.

Die Aussichten für den Markt sind gut. Die Bedrohungslage durch Cyberkriminalität verschärft sich weiter und gleichzeitig steigt das Bewusstsein für die Gefahren. In der Krise hat sich das Wachstum der Branche nur leicht verlangsamt, weil der Sektor von den Einschränkungen kaum betroffen war und die Digitalisierung einen deutlichen Schub erfahren hat - unter anderem durch Telearbeit und die Ausweitung des elektronischen Handels.

Olympische Spiele 2024 als Vitrine

Technologische Entwicklungen wie 5G-Netze, Industrie 4.0, Smart City, die Energiewende und Autonomes Fahren dürften den Bedarf an Cybersicherheit in den kommenden Jahren antreiben. In Frankreich kommen staatliche Fördermaßnahmen im Bereich der Cybersicherheitsstrategie hinzu sowie Großveranstaltungen, allen voran die Olympiade 2024 in Paris, die dem gesamten Sicherheitssektor in Frankreich als Vitrine dienen soll.

Frankreich verfügt über eine Reihe starker Akteure in der Cybersicherheit, die sich auf eine exzellente Forschung stützen können. Frankreich gilt als stark in der Künstlichen Intelligenz (KI), was sich auch daran ablesen lässt, dass große Technologiefirmen wie Google und Facebook Forschungseinrichtungen in Frankreich etabliert haben. Auch das staatliche Forschungsinstitut INRIA ist sehr anerkannt im Bereich KI.

Neben dem Cyber Campus, der Ende 2021 im Pariser Geschäftsviertel La Defense die Arbeit aufnehmen soll, gibt es weitere wichtige Cluster, die Unternehmen, Forschungseinrichtungen und Start-ups zusammenbringen, darunter Systematic in Paris (Deeptech), Safe in Südfrankreich (für Sicherheit im Zusammenhang mit der Luftfahrtindustrie), SCS ebenfalls in Südfrankreich, Pôle d'excellence Cyber in der Bretagne (Cybersicherheit zur Landesverteidigung), TES und Images et Reseaux in der Normandie sowie Cap Digital in Paris.

Französische Mittelständler vielfach Nischenanbieter

Nach Darstellung des Verbandes ACN sind französische Unternehmen traditionell stark in Feldern vertreten, die auf KI, Kryptografie und Post-Quanten-Technologien beruhen, Bereiche, die sich stark entwickeln. Ein Manko sei, dass kleine und mittlere Unternehmen auf bestimmte Nischen spezialisiert seien und daher maßgeschneiderte Lösungen anböten, die nicht für mittelständische Kunden geeignet seien. Sie arbeiteten daher überwiegend für große vorwiegend französische Firmen. 

Die größten Unternehmen am Markt stammen aus Frankreich und waren 2020 nach Erhebungen von ACN für 77 Prozent der Umsätze des Sektors in Frankreich verantwortlich. Ausländische Firmen stehen für 23 Prozent der Umsätze der niedergelassenen Unternehmen. Insgesamt schätzt ACN den Marktanteil ausländischer Anbieter in Frankreich am gesamten Markt für digitale Sicherheit auf 30 bis 40 Prozent.

Der Verband beklagt, dass inländische Firmen keinen Vorzug erhielten, sondern häufig der Preis, etwa bei öffentlichen Beschaffungen, entscheidend sei. Daher würden häufig US-amerikanische und chinesische Firmen zum Zuge kommen, da sie günstiger anbieten könnten.

Allerdings profitieren französische Anbieter wiederum von Vorgaben etwa durch die Datenschutzbehörde CNIL (Commission nationale de l'informatique et des libertés), die von internationalen Normen abweichen. Die Agentur ANSSI versucht ihrerseits mit Zertifizierungen und Labels den Unternehmen die Auswahl von Anbietern von Sicherheitslösungen und Cloud-Diensten zu erleichtern und einheimische Anbieter zu fördern. Für Cloud-Dienste gibt es das Label SecNumCloud, das auf der ISO-Norm 27001 aufbaut. Die Zertifizierung muss durch einen von der ANSSI zertifizierten Dienstleister (PASSI) erfolgen.

Konsolidierung setzt sich fort

Der Markt für digitale Sicherheit durchläuft eine Konsolidierungsphase mit zahlreichen Übernahmen. Thales ist vor allem in der Rüstungsindustrie aktiv. Das Unternehmen ist aber durch die Übernahme des niederländischen Chipkartenherstellers Gemalto 2019 zum Weltmarktführer für digitale Identifikationstechnik geworden. Unternehmen wie Idemia und IN Groupe sind ebenfalls wichtige Akteure in diesem Segment.

Atos, IBM, Orange Cyberdefense, Cap Gemini und Sopra Steria sind die größten IT-Servicefirmen auf dem Markt und führend in der Cybersicherheit. Docaposte wiederum ist eine Tochterfirma der französischen Post (La Poste). Atos hat seit Ende 2019 sieben Firmen aufgekauft, darunter Cryptovision aus Deutschland. Auch Cap Gemini und Sopra Steria wachsen durch Übernahmen, Sopra Steria etwa durch den Kauf von Bluecarat aus Deutschland im Jahr 2018. Übernahmen erfolgen in beide Richtungen. So hatte Rohde & Schwarz Cybersecurity aus München 2017 die französische Firma DenyAll aufgekauft.

Wachsende Start-up-Szene

Die Entwicklungsbank BpiFrance hat im Juni 2021 eine neue Liste von 150 französischen Start-ups veröffentlicht (+19 gegenüber 2019), die sich mit Cybersicherheit befassen. Davon weist sie 13 als Scale-ups (Start-ups mit starkem Wachstum) aus, weil sie 2020 mehr als 35 Mitarbeiter beschäftigten. Aus diesem Kreise könnten die drei von Präsident Emmanuel Macron geforderten Einhörner (Unicorns, Start-ups mit einer Bewertung über 1 Milliarde US-Dollar) hervorgehen. Eine Ausnahmeerscheinung ist das Start-up Cybelangel, das bereits für zahlreiche Großunternehmen arbeitet.

Von Peter Buerstedde | Paris