Eine beliebte Zielscheibe

ITM: Frau Schönig, laut der aktuellen Lünendonk-Studie „Führende IT-Beratungs- und IT-Service-Unternehmen in Deutschland“ wurde neben „Mobile Business“ der Schwerpunkt „Sicherheit“ als wichtigstes Thema bewertet. Woran liegt das Ihrer Meinung nach?
Christine Schönig: Daran, dass das Thema zunehmend ernst geworden ist. Vorbei sind die Zeiten, wo findige, clevere Einzeltäter „nur so zum Spaß“ in vermeintlich sichere Netze eingedrungen sind und den betroffenen Unternehmen ihre Schwächen vor Augen führten. Heute sehen wir ein sehr gut geplantes und organisiertes Vorgehen von Hackern, die konzentriert ihre Ziele ausmachen und dabei vor professionellen Tools in Kombination mit APTs wie Social Engineering, Phishing, Viren, Trojanern und Zero-Day-Attacken nicht zurückschrecken. Sie wollen ihre Opfer empfindlich im Ablauf ihrer Geschäftsprozesse stören, wollen Geld, wollen Daten oder verfolgen gar politische und militärische Ziele. Entsprechend sind die Gefahren für den Verlust von sensitiven Informationen, die Unterbrechung von Betriebsabläufen und die Einbuße von Geld und Reputation gestiegen. Unfreiwillig populär gewordene Vorfälle wie der bei Sony rücken das Thema Security an eine breite Öffentlichkeit, Änderungen im Bundesdatenschutzgesetz oder Themen wie Cybercrime und -mobbing werden längst nicht mehr nur in Fachkreisen erörtert, sondern flimmern als abendfüllende Fernsehdiskussionen oder auch Spielfilme über die Bildschirme privater Haushalte. Security betrifft und beschäftigt uns praktisch alle.

ITM: Welchen Stellenwert nimmt das Thema „IT-Sicherheit“ heutzutage im Mittelstand ein?
Schönig: Aus unserer Wahrnehmung einen zunehmend großen. Die Bedrohungen haben auch und gerade im Mittelstand sehr zugenommen und rücken daher die Netzwerksicherheit stärker in den Vordergrund. Eine bedauerlich große Rolle spielen dabei organisierte Hacker aus dem Ausland, die Technologien ausspionieren, Patente verletzen oder stehlen und Betriebsgeheimnisse für ihre Zwecke missbrauchen. Hierfür ist der deutsche Mittelstand eine beliebte Zielscheibe und muss daher das in mittelgroßen Unternehmen noch immer vernachlässigte Thema Sicherheit gezielter angehen. Dort, wo die eigenen Ressourcen nicht ausreichen, sollte unbedingt auf das breite, externe Angebot an professioneller Hilfe und Managed Services zurückgegriffen werden. DDoS-Angriffe oder Datendiebstahl sind leider an der Tagesordnung – das sollte auch die Security sein.

ITM: Inwiefern greifen Mittelständler bereits auf professionelle IT-Sicherheitsberatungen zurück?
Schönig: Aufgrund der genannten Gefahren geschieht dies immer häufiger, wir erkennen hier einen positiven Trend. Die Herausforderung „Netzwerk- und Datensicherheit“ wurde erkannt und kann in vielen Fällen nur durch Hilfe von Experten adressiert werden. Hierbei sehen wir komplette Managed-Service-Lösungen mit ausgelagerter Administration auf Basis der bestehenden Businessprozesse vorne, oder aber auch die Entwicklung von Konzepten, die dann mit eigenen Ressourcen umgesetzt werden.

ITM: Welche technischen Lösungen und organisatorischen Aspekte schließt eine umfassende IT-Sicherheitsberatung mit ein?
Schönig: Zuallererst die Netzwerksicherheit, und hier den Zugriff von Intranet auf das Extra- oder Internet. Dann den Remote-Zugriff auf interne Ressourcen und Daten, Wartungszugriffe, den Bereich Netzwerksegmentierung, die Endgerätesicherheit für PCs, Laptops und natürlich auch Smartphones sowie die Applikations- und Datensicherheit. Das alles sollte im Layer-Prinzip, also in einer Art Mehrschichtverfahren betrachtet und realisiert werden: der Netzwerkschicht, den Endgeräten, Applikationen, Daten und vor allem auch den Anwendern, die für die Sicherheitsregeln des Unternehmens sensibilisiert werden müssen. Kernstück einer jeden, professionellen Beratung sollte der Businessprozess sein, denn Sicherheitskonzepte sollen die Daten des Unternehmens schützen, dürfen aber nicht seine Produktivität behindern.

ITM: Wie gehen Sie schrittweise bei der Erstellung eines Sicherheitskonzeptes vor und woran orientieren Sie sich hierbei?
Schönig: Zunächst müssen wir die Kundenumgebung und Unternehmensziele verstehen, damit ist ein ganz entscheidender Schritt getan. Dann gilt es, den Ist-Zustand zu analysieren, Gefahrenpotentiale auszumachen und Konzepte für die Datensicherheit zu erstellen – und bei all dem niemals die Businessprozesse des Unternehmens aus dem Fokus zu verlieren.

ITM: Wie ist es einem Beratungs-/Dienstleistungsunternehmen möglich, die Effektivität des im Anwenderunternehmen bereits etablierten IT-Sicherheitsprozesses zu überprüfen? (Stichwort: Risikomanagement)
Schönig: Das ist mit 24/7-Analysen machbar, die die aktuelle Sicherheitsrichtlinie überprüfen. Hierbei ist es wichtig, dass die Datensicherheit sowohl von intern als auch von extern beleuchtet wird, dass also z.B. das Software-Patch-Management, der Zugriff der einzelnen Abteilungen auf kategorisierte Daten oder der Zugriff auf externe Ressourcen und Informationen genauso unter die Lupe genommen werden wie die Kommunikationswege von außen nach innen, z.B. Fremdzugänge durch Wartungsfirmen, Fernzugriffe über mobile Endgeräte usw. Inwieweit sind diese Kommunikationskanäle notwendig und abgesichert? Diese Analysen sollten in regelmäßigen Abständen stattfinden, damit die Sicherheitsrichtlinien ständig angepasst werden können.

ITM: Welche sicherheitsrelevanten Aspekte werden von den Unternehmen besonders häufig vernachlässigt?
Schönig: Am häufigsten sehen wir das bei der Datenkategorisierung und den Richtlinien, also „Wer darf wann was und auf was darf er zugreifen“? Auch im Umgang mit externen Dienstleistern, z.B. in der Frage von Wartungszugriffen, sind die Organisationen oft nachlässig. Ganz generell gehen die Befürchtungen, dass Geschäftsprozesse gestört werden könnten, oft zu Lasten der Sicherheit und deren Überprüfung. Dabei ist das regelmäßige Überprüfen der Sicherheitsrichtlinien und deren Anpassung an durchgeführte Änderungen und Neuerungen – Stichwort Mobilität und Datensicherheit – ganz essentiell für den Schutz der Geschäftsinformationen.

ITM: Mit welchem Aufwand (Zeit, Kosten...) ist bei der Erstellung eines umfassenden Konzeptes zu rechnen?
Schönig: Diese Frage ist aus Herstellersicht nur schwer zu beantworten, da Gesamtkonzepte vor allem durch Managed-Service-Partner und Value-Added-Reseller entwickelt werden.

ITM: Welche Rolle spielt für die Anwender die Erlangung eines international anerkannten IT-Sicherheitszertifikats?
Schönig: Eine wichtige Rolle, wenn es darum geht, nachweislich die erforderlichen Standards einzuhalten und die Konformität mit vorausgesetzten Sicherheitsmaßnahmen bescheinigen zu können. Zertifikate sind nicht nur vertrauensbildend, einige IT-Standards müssen ohnehin zwingend eingehalten werden, wie z.B. die ISO-Normen, EAL4, Compliance-Richtlinien, bestimmte Hardwarezertifizierungen und nicht zuletzt das Bundesdatenschutzgesetz.

ITM: Wie wird letztlich das reibungslose Zusammenspiel der technischen und organisatorischen Sicherheitsmaßnahmen gewährleistet?
Schönig: Vor allem dadurch, dass die Mitarbeiter mit ins Boot geholt, ausreichend geschult und für den täglichen, richtigen Umgang mit den Sicherheitsregeln ihres Unternehmens sensibilisiert werden. Dann kann die IT-Sicherheit ihre ganze Wirksamkeit entfalten und wird die Geschäftsabläufe nicht behindern, sondern umfassend absichern und unterstützen.