IT-Report zeigt gravierende Lücken bei Cybersicherheit
Der IT-Report 2025 der Katholischen Universität Eichstätt-Ingolstadt offenbart erhebliche Defizite bei der IT-Sicherheit in der Sozialwirtschaft. Ein Drittel der befragten Organisationen, darunter viele Pflegeeinrichtungen, hat kein Sicherheitskonzept oder kennt dessen Inhalt nicht. Auch standardisierte Verfahren und externe Prüfungen fehlen vielerorts. Zwar steigen die IT-Ausgaben, doch im Branchenvergleich liegt die Sozialwirtschaft zurück. Die Autoren warnen: Angesichts wachsender Cybergefahren sei das Risiko für Angriffe hoch.
iStock/Funtap
Der neue IT-Report für die Sozialwirtschaft zeigt große Sicherheitslücken
Der aktuelle IT-Report 2025 für die Sozialwirtschaft fällt durchwachsen aus. Zwar nehmen digitale Anwendungen zu und die Investitionen steigen, doch die IT-Sicherheit bleibt ein gravierendes Problem. Zwei Drittel der 191 Organisationen, die teilgenommen haben, verfügen über ein IT-Sicherheitskonzept. Umgekehrt bedeutet das: Rund ein Drittel hat keines oder weiß nicht, ob es existiert. "In Zeiten stetig wachsender IT-Bedrohungen ist das eigentlich ein No-Go", schreiben die Autoren.
Auch die Qualität der vorhandenen Konzepte bleibt häufig fraglich. Nur 42 Prozent der Organisationen nutzen standardisierte Verfahren zur Gewährleistung der IT-Sicherheit. Unter diesen finden sich auch vage Angaben wie "eigene Regelungen" oder gar "Menschenverstand". Nur 35 Prozent der Träger nehmen regelmäßig externe Prüfungen der Systeme auf Schwachstellen vor.
"Es gibt also noch immer reichlich Beute für die mittlerweile hochprofessionell organisierten Cyber-kriminellen, die auch in der Sozialwirtschaft gezielt nach Schwachstellen suchen, um die Daten der Organisationen zu verschlüsseln und Lösegelder zu erpressen", heißt es in dem Report. Trotz einiger Fortschritte bleibt das Sicherheitsniveau vieler Einrichtungen besorgniserregend niedrig. Es sei unverständlich, warum die Spitzenverbände der Wohlfahrt nicht die Initiative ergreifen würden, um die Sozialwirtschaft als durchaus kritische Infrastruktur besser vor Angriffen zu schützen.
Lücken auch beim Datenschutz
Beim Datenschutz ist die Lage nicht weniger angespannt. Zwar haben 51 Prozent ein vollständiges Verfahrensverzeichnis, aber 9 Prozent geben an, keines zu haben, und weitere 7 Prozent wissen es nicht. Damit bleibt fast die Hälfte der Träger unter den Anforderungen der DSGVO zurück.
In ihrer Beratungspraxis stoßen die Autoren regelmäßig auf Datenschutzmängel, etwa fehlende Auftragsverarbeitungsverträge oder veraltete Klientendaten auf Servern. Immer mehr Einrichtungen beauftragen externe Datenschutzbeauftragte – inzwischen 57 Prozent.
Zwar erfolgt die Schulung der Mitarbeitenden in IT-Sicherheit und Datenschutz inzwischen bei 63 Prozent der Organisationen mindestens einmal jährlich, was einen Anstieg gegenüber 2022 darstellt, doch 34 Prozent schulen seltener oder gar nicht. Das Potenzial moderner Lernformen wie Blended Learning wird kaum genutzt.
Messenger verboten statt geregelt
Die Ausstattung mit betrieblichen Endgeräten zeigt einen klaren Trend: Mobile IT wird zunehmend zur Norm. Notebooks machen inzwischen 30 Prozent aus, dicht gefolgt von Smartphones mit 25 Prozent. Der klassische Desktop-PC hingegen verliert weiter an Bedeutung. Vor allem Smartphones werden zunehmend mit spezialisierten Branchen-Apps bestückt, etwa für die Dokumentation oder Leistungserfassung. Auch Tablets gewinnen an Relevanz.
Einen kritischen Blick werfen die Autoren auf den Umgang mit gängigen Kommunikationslösungen. So verbieten 56 Prozent der Träger den Einsatz von Whatsapp, 29 Prozent dulden ihn inoffiziell. Nur 13 Prozent regeln die Nutzung aktiv. Bei Cloudspeichern wie Dropbox ist der Trend zu Verboten noch deutlicher: 72 Prozent untersagen deren Einsatz. Vorgaben zur sicheren Nutzung werden nur selten getroffen.
"Ob diese Verbotsmentalität zielführend ist, darf bezweifelt werden", heißt es im Report. Die Bedürfnisse der Mitarbeiter nach einfachen und vertrauten Lösungen würden kaum berücksichtigt. Erste Alternativen, wie eine kirchliche Cloud, seien noch nicht verfügbar.
Sozialwirtschaft hinkt bei der Digitalisierung hinterher
"Im Vergleich zu anderen Branchen steht die Sozialwirtschaft bei der Digitalisierung noch am Anfang", sagt Jörg Redmann, Geschäftsführer der Managementberatung Sanovis, die den IT-Report gesponsert hat. "Während die Industrie und das Finanzwesen bereits stark digitalisiert sind, fehlt es sozialen Einrichtungen oft an technischer Ausstattung und strategischer Ausrichtung." Auch die durchschnittliche IT-Aufwandsquote liege mit 1,9 Prozent des Umsatzes im Branchenvergleich deutlich unter dem Durchschnitt.
Gründe für diesen niedrigen Digitalisierungsstand seien begrenzte finanzielle Mittel, der Fachkräftemangel im IT-Bereich und eine fragmentierte Trägerstruktur. "Viele Potenziale der Digitalisierung bleiben noch häufig ungenutzt", so Redmann.
Am IT-Report 2025 haben sich 191 Organisationen aus der Sozialwirtschaft beteiligt, darunter viele Betreiber von Pflegeeinrichtungen. Der 92-seitige digitale Bericht kostet 78 Euro und kann von der Website der Katholischen Universität Eichstätt-Ingolstadt heruntergeladen werden.
Thomas Hartung