Offen wie ein Scheunentor

Während sich der Otto-Normal-Verbraucher bei diesen Themen Gedanken um seine – seit Neuem in der Wolke – gespeicherten Daten macht oder über seine PC-Firewall und Antiviruseinstellungen nachdenkt, entstehen weitaus größere Sorgenfalten in deutschen IT-Abteilungen. Aufgrund des gewachsenen Medieninteresses an Datenskandalen wächst die Angst vor dem Verlust der – hoffentlich – guten Reputation.

Die Wichtigkeit der Thematik schlägt sich zunehmend in Kundenanfragen und somit im Beratungsportfolio der Anbieter nieder. Die aktuelle Motivation, über IT-Sicherheit nachzudenken, resultiert unter anderem aus den folgenden Ereignissen: aktuelle Presse und Relevanz in der Öffentlichkeit, ein Dschungel aus neuen Gesetzen und Bestimmungen und Angst vor politisch motivierten Angriffen gegen das Unternehmen.

Die wichtigsten Sicherheitsherausforderungen bei Anwendern können in die folgenden Top-5-Kategorien eingegliedert werden, die IBM-Sicherheitsexperten in zahlreichen Workshops von Kunden vorgelegt bekommen haben.

1. Gefahren durch den Faktor Mensch
Dies beginnt beim naiven Umgang mit Nutzerkennungen, wenn etwa dasselbe Passwort beim privaten „Local City Deal“ wie auch für die sicherheitskritische Geschäfts­datenbank verwendet wird. Ähnliche Verfehlungen wie Password-­Sharing unter Kollegen oder dem Spickzettel unter der Tastatur sind weiterhin im Alltag vorzufinden. Durch „Social Engineering“ wird das Potential in diesem Bereich in Zukunft weiter steigen.

2. Webanwendungen als Angriffsziel für Hacker
Das Scheunentor zum Datenopfer ist in vielen Fällen der Webauftritt. Meistens werden „Hacker“ als Spezialisten mit tiefgehender IT-Erfahrung in den Medien dargestellt. Häufig sind diese Hacker aber Teenager, die sich im Netz Anleitungen zum Hacking herunterladen und wie ein Tutorial abarbeiten. Für dieses Szenario gibt es diverse Schutzmechanismen, mit denen sich jeder IT-Sicherheitsbeauftragte auskennen sollte.

3. Missbrauch durch privilegierte Nutzer
Kann die Führungsetage jedem ihrer Mitarbeiter das volle Vertrauen aussprechen? Die Antwort auf diese Frage ist nicht immer ein klares „Ja“. Es gilt, das Risiko zu minimieren, dass ein Mitarbeiter eine Kopie der Datenbank anfertigt und meistbietend verkauft. Zusätzlich muss ein genauer Nachweis geführt werden, wer wann was eingesehen oder geändert hat. Im Umkehrschluss ist es auch für privilegierte Nutzer wichtig, darstellen zu können, dass man in bestimmten Fällen nicht zum Kreis der Schuldigen gehört!

4. Umgang mit personenbezogenen Daten
Diese Daten unterliegen einem besonderen Schutz, der mehr oder weniger klar im Bundesdatenschutzgesetz (BDSG § 3) definiert ist. Viele Betriebe gehen trotzdem respektlos mit diesen Daten um. So werden z.B. die Kundendaten an den externen Softwarelieferanten gegeben, bevor dieser das neue Anwendungsrelease herausgibt, oder die Kreditkartendaten werden im hauseigenen Testsystem zur Verfügung gestellt. Technisch gesehen ist das vielleicht „praktisch“, dem Datenschutzbeauftragten sollten bei diesem stiefmütterlichen Umgang jedoch alle Haare zu Berge stehen.

5. Innovative Trends kontra Sicherheit
Als Unternehmer ist man geradezu gezwungen, aktuellen Trends zu folgen, um wettbewerbsfähig zu bleiben. Verträge müssen heutzutage online geschlossen werden, Vertragsdaten sollen per Web oder gar „Mobile App“ einsehbar sein. In solchen Entscheidungen spielt Sicherheit meist eine untergeordnete Rolle. Oftmals entwickeln fremde Agenturen die innovativen Apps, deployed wird in die „Lieschen-Müller“-Cloud. Wenn man sich erst hinterher Gedanken über Sicherheit macht, ist es meist zu spät.

Diese fünf Herausforderungen zeigen, dass viele Unternehmen der Informationssicherheit weiterhin eine zu geringe Beachtung schenken. Kunden mit Zertifizierungen stehen in dieser Beziehung meist besser da als Kunden ohne klar definierte Sicherheitsstrategie. Leider wird das Thema Verschlüsselung oft als Allheilmittel gesehen.

In den von IBM durchgeführten Workshops ist allerdings positiv aufgefallen, dass zentrale und klar strukturierte Architekturen weniger Angriffspunkte zeigen als komplexe und heterogene Systeme. Beim Einkauf von Software sowie der Auswahl von Infrastruktur muss mehr Wert auf Sicherheitsmechanismen gelegt werden, auch wenn dies mit höheren Anschaffungskosten verbunden ist. Ganz im Sinne der alten Weisheit: Sicherheit kostet Geld, Unsicherheit ist unbezahlbar!

Bildquelle: © Gerhard Frassa/pixelio.de