FACC-Aktie erfängt sich nach Cyber-Betrug wieder
Am Donnerstag wurde bekannt, dass der Innviertler Flugzeug-Zulieferer in den ersten drei Quartalen des Geschäftsjahres 2015/16 sowohl seinen Umsatz als auch das Ergebnis deutlich verbessert hat und nun schwarze Zahlen schreibt. Am Donnerstagvormittag notierten die FACC-Titel an der Wiener Börse mit einem Plus von 6,95 Prozent bei 5,69 Euro. Um zwischenzeitlich fast 18 Prozent war die Aktie in den Keller gerasselt. Am Mittwoch war das Papier mit minus 16,73 Prozent aus dem Handel gegangen.
Auslöser war eine Pflichtmitteilung des Leichtbau-Spezialisten, wonach ein Cyber-Angriff "50 Millionen Euro Abfluss an liquiden Mitteln" an Schaden verursacht habe. Bis zum Abend war niemand aus dem Unternehmen, auch nicht Vorstandsvorsitzender Walter Stephan, zu näheren Erklärungen bereit. Die Produktion und Entwicklung seien nicht beeinträchtigt. "Eine wirtschaftliche Gefährdung des Unternehmens (Liquidität) besteht nicht." Behördliche Ermittlungen laufen.
Auch im internationalen Vergleich ist diese Dimension von Internet-Kriminalität einzigartig, waren sich die befragten Sicherheitsfachleute einig. Zum Vergleich nennt Georg Beham von der KPMG die Schadenssumme der Vorfälle, die sein Unternehmen 2015 bei österreichischen Unternehmen aufzuklären mithalf: zehn Millionen Euro. Der Schaden durch Industriespionage bei heimischen Unternehmen dürfte gemäß der Münchner Sicherheitsberatung Corporate Trust jährlich bei 1,6 Milliarden Euro liegen.
Hohe Dunkelziffer
Jedes zweite Unternehmen erlebte bereits einen Spionageangriff oder einen Verdachtsfall. Die Dunkelziffer ist sehr hoch. Maximal jeder zehnte Vorfall wird behördlich angezeigt. Zu groß ist die Angst vor Vertrauensverlust bei Kunden und Geschäftspartnern. "Unternehmen gehen erst dann mit solchen Angriffen an die Öffentlichkeit, wenn es nicht mehr anders geht", sagt der Geschäftsführer von Corporate Trust, Christian Schaaf.
FACC musste den Schaden offenbar melden, weil es Ereignisse, die geeignet wären, den Börsekurs maßgeblich zu beeinflussen, veröffentlichen muss. Der Jahresumsatz von FACC betrug zuletzt 529 Millionen Euro, der Konzernverlust 32 Millionen Euro.
Über die Hintergründe der Täter gibt es bisher nur Spekulationen. Offenbar kamen die Täter nicht aus dem Unternehmen, aber "intern ist jemand benutzt" worden, so ein Sprecher von FACC. Allgemein nehmen komplexe und sehr zielgerichtete Angriffe, die monatelang vorbereitet werden und Mitarbeiter gezielt als Schwachstellen benützen, zu, sagt Markus Zeilinger von der Abteilung für Sichere Informationssysteme der FH Hagenberg. Mit "Social Engineering", so der Fachausdruck, werden Mitarbeiter zum Beispiel dazu gebracht, hohe Summen zu überweisen. Das kann tatsächlich funktionieren, wenn ein E-Mail-Anhang eine Schadsoftware enthält und das Unternehmen ausspäht. Dann wird etwa ein Mitarbeiter mit mehreren E-Mails vom vermeintlichen Vorgesetzten unter dem Siegel der Vertraulichkeit ("Fake president-Angriff") dazu gebracht, eine hohe Überweisung etwa für einen Großauftrag zu tätigen. Auch die Frage, ob es Insider gab, wird die Behörden interessieren.
Eine 100-prozentige Sicherheit gibt es auch bei extrem sicherheitsbewussten Unternehmen nie. "Angreifer und Opfer sind jedenfalls in einem permanenten technologischen Wettkampf", sagt Oberst Dieter Muhr, Gründer des Arbeitskreises für Cybersicherheit in Oberösterreich. Weniger als fünf Prozent der österreichischen Unternehmen versichern dieses Cyber-Risiko. In den USA sind es bereits 60 Prozent. Der Markt dafür wird in den nächsten Jahren stark wachsen, erwartet Schaaf. Ganz entscheidend sei aber die Sensibilisierung des Risikofaktors Mensch.
Es wird von erfahrenen Cyber-Kriminologen, die nicht genannt werden wollen, sogar vermutet, dass der Kurssturz Teil des Angriffes sein könnte. Inwiefern? Jemand könnte von Kurseinbrüchen profitieren. Potenzielle Käufer würden das Unternehmen billiger bekommen. Auch Erpressung könnte Teil des Verbrechens sein.