Besser in Eigenregie

IT-DIRECTOR: Herr Koch, Sie registrieren eindeutige Signale am Markt, dass Compliance die IT-Auslagerung an Cloud-Anbieter ausbremsen könnte?
A. Koch: Ja. Viele Unternehmen haben bereits diejenigen Systeme und Daten in ­externe Clouds ausgelagert, die für ihr Geschäft, die Sicherheit und den Datenschutz weniger kritisch sind. Den nächsten Schritt, auch sensible Systeme und Daten auszulagern, wollen viele Verantwortliche aktuell nicht gehen. Zu groß erscheint ihnen das Risiko, dass sicherheits- und datenschutzrelevante Anforderungen nicht zufriedenstellend umgesetzt werden. Letztlich steht das Unternehmen für die outgesourcten Systeme und Daten gegenüber dem Gesetzgeber in der Compliance-Verantwortung – und nicht etwa der Cloud-Anbieter.

IT-DIRECTOR: Sie sprechen von Outsourcing?
A. Koch: Werden Systeme und Daten in externe Clouds ausgelagert, ist dies nichts anderes als IT-Outsourcing, im Grunde sogar in einer verschärften Form. Weil innerhalb einer Cloud Systeme und Speicher oft virtualisiert und geografisch verteilt sind, wissen die Verantwortlichen in der Regel nicht, wo innerhalb der externen Wolke ihre Daten verarbeitet und gespeichert werden. Dies birgt erhebliches Konfliktpotential. Beispielsweise schreibt der Gesetzgeber in Deutschland vor, dass steuerlich relevante Daten innerhalb der EU ­gespeichert werden müssen.

Der aktuelle Stand der IT-Auslagerung in externe Clouds verdeutlicht, dass sich die Unternehmen dieser Ausgangssituation und ihrer Compliance-Verantwortung durchaus bewusst sind. Kaum ein Cloud-Anbieter kann auf Anwender verweisen, die an ihn vollständig die Verantwortung für geschäfts-, sicherheits- oder datenschutzkritische Systeme respektive Daten abgetreten haben. Das liegt auch daran, dass Compliance im Sinne der Unternehmenskunden auf der Seite des Cloud-Anbieters nur schwierig lösbar ist.

IT-DIRECTOR: Was steht dem entgegen?
A. Koch: Cloud-Anbieter können sich als Dienstleister „für viele“ nur mit Aufwand auf den speziellen Kontrollbedarf einzelner Kunden einstellen. Dies würde beratungsintensive Vorleistungen voraussetzen und ihren Service erheblich verteuern. Jedes Unternehmen hat seine speziellen Compliance-Anforderungen, die sich aus externen, beispielsweise gesetzlichen Regelungen, und internen Regelwerken zusammensetzen. Angesichts dieser speziellen Anforderungsprofile treten sogenannte Standardwerkzeuge wie GRC-Module (Governance, Risk Management, Compliance) von ERP-Systemen, SIEM-Tools (Security Information and Event Management), Intrusion-Detection-Systeme und Data-Lea­kage-Prevention-Programme schnell an ihre Grenzen. Natürlich sind diese Systeme zentrale Bestandteile einer technischen Compliance- und Sicherheitsinfrastruktur und liefern eine Vielzahl relevanter Einzelinformationen. Aber so entsteht kein Gesamtbild, das schnell, transparent und effizient über den aktuellen Sicherheits- und Compliance-Status des Unternehmens informiert.

IT-DIRECTOR: Compliance ist somit besser im eigenen Unternehmen aufgehoben. Wie sollten die Verantwortlichen ihre Compliance-Lösung ausrichten und umsetzen?
A. Koch: Nach unseren Erfahrungen sind es selten mehr als 150 Kontrollen, um nicht nur Compliance-Anforderungen vollständig zu erfüllen, sondern auch geschäftsgefährdenden Risiken nachhaltig entgegenzusteuern. Die Informationen für diese Kontrollen liegen fast lückenlos digital vor, es müssen lediglich die Datenquellen identifiziert werden.

Gerade in Bereichen, die sensible Zahlungs- und Finanztransaktionen durchführen, hat es sich bewährt zu kontrollieren, ob Mitarbeiter Urlaubszeiten eventuell für Manipulationen missbrauchen. Das fordert auch das Wirtschaftsprüfungshandbuch als „Best Prac­tice“ seit den frühen 90er-Jahren. Die Urlaubszeiten werden im HR-System geführt. Kartenbasierte Zutrittssysteme geben darüber Auskunft, ob der Mitarbeiter wirklich physisch abwesend war. Login-Protokolle zeigen mögliche Remote-Zugriffe im Urlaubszeitraum auf. Alle diese Datenquellen können ohne großen technischen Aufwand maschinell abgeglichen werden. Dadurch werden potentielle Regelverletzungen an der Konsole transparent. Die Möglichkeiten werden allerdings bisher nur wenig ausgeschöpft.

Die Überwachung der Kennwortvergabe ist ein weiteres gutes Beispiel. Über Regelwerke sind automatisierte, systemübergreifende Prüfungen möglich, inwieweit sich die Mitarbeiter bei der Kennwortvergabe an die allgemein verbindlichen Vorgaben wie Passwortlänge und -syntax halten. Das erspart über selbsttätige maschinelle Kontrollnachweise viele aufwendige Prüfungen, macht für die Prüfer die gesamte Abwicklung durchsichtig und festigt die Zugriffssicherheit im Unternehmen. Die Realität sieht auch hier meist anders aus. In den Unternehmen werden für jedes System einzeln für Anwendung, Datenbank, Dienst, Betriebssystem und Netzwerk Kennwörter in unterschiedlicher Länge und Syntax eingesetzt. Danach werden die verschiedenen Passwörter für Prüfungen manuell, d.h. zeit- und kostenaufwendig, zusammengetragen, anschließend sämtliche Einzelergebnisse ebenso aufwendig dokumentiert.

IT-DIRECTOR: Was sind die größten Herausforderungen, solche Kontrollen intern umzusetzen?
A. Koch: Wie die Beispiele zeigen, steigt die Effektivität von Kontrollen, wenn auf unterschiedliche Datenquellen zugegriffen wird. Dazu müssen die proprietären Grenzen zwischen diesen Quellen durch Formatanpassung überwunden werden. Um Kontrollen automatisiert und somit schnell, kostengünstig und verlässlich durchzuführen, sind die erforderlichen Verarbeitungsregeln zu definieren und zu hinterlegen. Sie können z. B. in einer SQL-Datenbank Platz finden. Natürlich gilt es, zuvor die Kontrollziele zur Erfüllung der Sicherheits-, Datenschutz-, Risikominderungs- und Revisionsanforderungen genau festzulegen. Bei der Planung- und Umsetzung einer solchen unternehmensspezifischen Compliance- und Kontrolllösung können Berater wirkungsvoll unterstützen. Sie sollten sich dafür durch breites Fachwissen sowohl in den Bereichen „IT“, „Compliance“ und „Risikomanagement“ als auch im Feld „Revision“ auszeichnen.