Betroffen von Wirtschaftsspionage - durch einen nachweisbaren Vorfall oder den Verdacht darauf - waren je nach Branche zwischen 46% und 63% der Unternehmen mit mehr als 50 Mitarbeitern. Bei den Unternehmen mit weniger als 50 Mitarbeitern lag der Anteil zwischen 35% und 45%.

Die Folgen der Spionage machen sich durch Auftrags- und Kundenverlusten bemerkbar, durch interne Informationen, die bei Wettbewerber auftauchen, aber auch durch die Einführung von Konkurrenzprodukten oder gar Kopien der eigenen Produkte auf dem Markt.

Trotz der gravierenden Folgen fehlen Maßnahmen, das eigene Wissen zu schützen. Bei Unternehmen mit mehr als 50 Mitarbeitern hatten knapp zehn Prozent keine Vorkehrungen ergriffen, bei den kleineren Unternehmen verzichteten gar 18% der Firmen auf Schutzmaßnahmen. Da zur Wirksamkeit der Maßnahmen keine Zahlen vorliegen, werten die Autorinnen die Zahlen als ein Indiz für die Sensibilisierung der Unternehmen: Das Thema sei bei den größeren Unternehmen präsenter als bei den kleinen.

Wirtschaftsspionage lässt sich vergleichsweise schwer in Zahlen fassen. Die Forscher gehen von einer hohen Zahl an Fällen aus, die gar nicht in der Statistik auftauchen. Teilweise wurden sie nicht bemerkt, oder sie wurden nicht gemeldet, weil kein direkter Schaden entstanden war, etwa bei einem reinen Datenabfluss. Und viele Fälle werden auch bewusst nicht gemeldet. Der Untersuchung zufolge gelangt nur jeder fünfte Fall zur Anzeige.

Es sind keine Unbekannten, die an der Wirtschaftsspionage beteiligt sind. "In vielen Fällen stammt der Täter sogar aus dem unternehmerischen Umfeld: seien es eigene (auch ehemalige) Beschäftigte, Beschäftigte von Drittfirmen, Wettbewerber oder gar Kunden", so die Untersuchung. Dabei geht der Abfluss von Informationen in fast der Hälfte aller Fälle auf Innentäter zurück, die ihre Stellung im Unternehmen dafür missbrauchen.

Grundlegende Vorkehrungen zur IT-Sicherheit (Firewalls, Virenscanner, E-Mail-Filterung) sind zwar stark verbreitet, aber damit sind Schutzmaßnahmen vor allem bei den kleineren Unternehmen in der Regel auch schon ausgeschöpft. Weiter gehende Maßnahmen fehlen meistens und werden auch nicht regelmäßig überprüft. Dazu gehören zum Beispiel:

• Zutritts- und Zugriffsberechtigungen,
• Sensibilisierung der Mitarbeiter,
• Datensicherungskonzept,
• Mail-Verschlüsselung,
• Regelungen für die Mitarbeiter zur Nutzung von eigenen Geräten und Datenträgern sowie sozialen Netzwerken 

Um Vorfälle überhaupt aufdecken zu können, sei es zudem sinnvoll, bestimmte technische aber auch physische Umstände im Auge zu behalten. Dazu gehören einerseits Anomalien in der IT-Infrastruktur, Kopieren von großen Datenmengen, nicht auffindbare Unterlagen/Datenträger/Endgeräte und andererseits Kündigungen, Anwesenheit von Betriebsangehörigen zu ungewöhnlichen Zeiten, rätselhafte Auftrags- oder Kundenverluste.