Kampf um mehr Informationssicherheit

Die Wahrheit hat bekanntlich zwei Seiten – die IT-Welt nicht ausgenommen. Mittelständische Unternehmen haben in Fragen der Informationssicherheit in vielen Fällen Nachholbedarf. Darauf verweisen Experten, Studienergebnisse und Verlautbarungen diverser Verbände seit Jahren. Ein genauer Blick auf das „Nachholen“ oder „Nacharbeiten“ wirft die Frage auf, wer oder was als Gradmesser für bessere IT-Sicherheitsstrukturen dient. Neben Standards und Regelwerken sind es immer wieder große Unternehmen, die als leuchtende Beispiele im Kampf um mehr Informationssicherheit bemüht werden und ihre eigenen Erfolgsgeschichten zu Papier bringen. Die Realität sieht indes oft anders aus, denn hier haben viele Konzerne Schwierigkeiten, die eigenen Maßstäbe zu erfüllen.

Ein Blick in die Geschäfts- und Risikoberichte der Konzerne transportiert vor allem ein Bild in die Öffentlichkeit: Die Unternehmen kennen ihre Risiken. Nach deren Lesart gehen sie verantwortungsvoll mit den Informationssicherheitsrisiken in der eigenen Organisation um. Sie setzen auf klare Prozesse, eindeutige Richtlinien sowie eine starke Policy für mehr Informationssicherheit im Umgang mit kritischen Unternehmenswerten. Und das ist vordergründig zunächst gut. „Für Unternehmen ist es entscheidend, ihre kritischen Informationen zu kennen. Das sind die sensiblen Daten, die man braucht, um wirtschaftlich und innovativ zu sein. Nur so können sie diese in Sicherheit bringen und wirksam schützen“, weiß Uwe Rühl, Informationssicherheitsexperte und Geschäftsführer der Rühlconsulting GmbH.

In der Praxis gestaltet sich das Erreichen der selbstgesteckten Ziele jedoch schwierig oder es kommt gar zum Informationssicherheits-GAU. Der Verfassungsschutz schätzt, dass deutschen Unternehmen durch Wirtschaftsspionage ein Schaden von rund 50 Mrd. Euro pro Jahr entsteht.

Big Data, Cloud Computing, mobiles Arbeiten – die technologische Spirale dreht sich immer schneller und so müssen Informationssicherheitsstrukturen mithalten. Schon wurde das nächste Schlagwort mit „Data­bility“ auserkoren. Dabei ist es das Ziel, die beiden Trends der digitalen Welt – die wachsenden Datenmengen sowie den sensiblen, verantwortungsbewussten und nachhaltigen Umgang mit Informationen – zu vereinen.

Hinzu kommt, dass vor allem die sogenannte Schatten-IT vielen Unternehmen zu schaffen macht. Aufgrund neuer Cloud-Anwendungen neigen Fachabteilungen dazu, sich verstärkt Anwendungen aus der Datenwolke zu besorgen und das ohne Absprache mit der hauseigenen IT. Durch diese Alleingänge fehlen vielfach nicht nur Standards, Updates oder der dringend notwendige Support, es können gravierende Sicherheitslücken in den Organisationen entstehen. Ganz zu schweigen von den zahllosen Mobilgeräten, die Mitarbeiter in die Firmen bringen und deren ausufernder Gebrauch massive Gefahrenquellen darstellt. Genährt werden solche Entwicklungen durch einen mangelhaften Passwortschutz, fehlende PIN-Codes oder nicht vorhandene Firewalls.

Das Management in der Pflicht

Gerade im Umgang mit den technischen Möglichkeiten unserer Zeit mangelt es an Bewusstsein. An dieser Stelle gehen viele Führungsköpfe nicht mit gutem Beispiel voran. Der Beweis: Man möge wochentags früh oder spät in der Bahn sitzen oder am Gate auf seinen Flug warten. Was einem dort über Geschäftstreffen, Konkurrenz, Zahlen, Daten und Fakten zu Ohren kommt, ist kaum zu glauben. Dementsprechend steigt das Gefahrenpotential für die Informationssicherheit. Uwe Rühl meint dazu: „Der Faktor Mensch beeinflusst die Sicherheit von Informationen mindestens so stark wie alle technischen Maßnahmen in einem Unternehmen zusammen.“ Nicht ohne Grund fordern Experten, dass die Informationssicherheit integraler Bestandteil des Risikomanagements werden muss.

Mehr noch ist eine durchgängige Sensibilisierung aller im Unternehmen tätigen Mitarbeiter Pflicht, initiiert und vorgelebt von der Unternehmensleitung – auch aus Gründen zunehmender Haftungsrisiken von Vorständen und Geschäftsführern im Zusammenhang mit gesetzlichen Rahmenbedingungen.

So gelingt ein organisationsweiter Informationsschutz:

•   Standardisierte Lösungen organisationsweit ­einsetzen
•   Durchgängige Mobilsystem-Management-Lösungen ­etablieren
•   Organisationsweite Sensibilisierung bei allen ­Mitarbeitern steigern
•   Regelmäßige Sensibilisierungsprogramme ­durchführen

Bildquelle: Thinkstock/iStock