Geringer Stellenwert

ITM: Herr Tewes, laut der aktuellen Lünendonk-Studie „Führende IT-Beratungs- und IT-Service-Unternehmen in Deutschland“ wurde neben „Mobile Business“ der Schwerpunkt „Sicherheit“ als wichtigstes Thema bewertet. Woran liegt das Ihrer Meinung nach?
Stefan Tewes: Dieses liegt an der vermehrten Berichterstattung über die Sicherheitsthematik in der allgemeinen Presse. Selbst in der Tagesschau wird über neue Computerviren berichtet und nicht wie bis vor einiger Zeit ausschließlich in der Fachpresse. Mit hinzu kommt die sehr ausführliche Thematisierung des Bundestrojaner im letzten Jahr durch den CCC in der Frankfurter Allgemeinen Zeitung. Auch die Angst vor dem Diebstahl geistigen Eigentums trägt durch vermehrte Berichterstattung dazu bei.

ITM: Welchen Stellenwert nimmt das Thema „IT-Sicherheit“ heutzutage im Mittelstand ein?
Tewes: Immer noch einen viel zu geringen Stellenwert. Solange es keinen sicherheitsrelevanten Vorfall gegeben hat, erscheint es dem Management zu teuer oder zu unbequem, die notwendigen proaktiven Maßnahmen durchzuführen. Desweiteren wird die IT-Sicherheit vielfach als Anhängsel der allgemeinen IT gesehen, wobei sich gerade in den letzten Jahren eine immer stärkere Integration in die Geschäftsprozesse ergeben hat, so dass viele Maßnahmen nur in direkter Mitwirkung und Abstimmung mit den Kernbereichen der Unternehmen geschehen können.

ITM: Inwiefern greifen Mittelständler bereits auf professionelle IT-Sicherheitsberatungen zurück?
Tewes: Meistens wenn es zu spät ist und es bereits einen Sicherheitsvorfall gegeben hat. Erst dann werden Beratungsunternehmen manchmal zur Forensik hinzugezogen. Häufig führt dies auch zu Ansätzen, das Unternehmen im Allgemeinen besser abzusichern. Ist das Momentum des Vorfalles abgeklungen, werden die Maßnahmen jedoch häufig nicht bis zu Ende durchgeführt. Bei sicherheitsaffinen IT-Mitarbeitern kommt es teilweise auch zum Einsatz von Sicherheitsberatungen im Bereich der Produktabnahme oder bei der Erstellung von neuen externen Webseiten oder Webservices. Dies geschieht allerdings häufig nur punktuell.

ITM: Welche technischen Lösungen und organisatorischen Aspekte schließt eine umfassende IT-Sicherheitsberatung mit ein?
Tewes: Technisch ist es meist das richtige Einstellen der bereits vorhandenen Produkte wie Firewalls, Antivirus etc. Und das sind die Themen, welche meist nur gesehen werden. Aber gerade im organisatorischen Bereich lassen sich viele spätere Herausforderungen einfacher handhaben. Organisatorisch muss meist erst einmal eine Security Policy erstellt und eingeführt werden, welche das allgemeine Verhalten und „Code of Ethics“ des Unternehmens darstellt. Parallel dazu muss das IT-Sicherheitsbewusstsein aller Mitarbeiter geschärft werden. Hinzu kommt dann im weiteren Verlauf die Integration der Sicherheitsbedürfnisse in die Kernprozesse des Unternehmens als unterstützender Bestandteil derer.

ITM: Welche sicherheitsrelevanten Aspekte werden von den Unternehmen besonders häufig vernachlässigt?
Tewes: Speziell die organisatorischen Aspekte wie Security Policy, Security Awareness und die Auswertung der vorhandenen Informationen, wodurch sich sicherheitsrelevante Vorfälle erkennen lassen würden.

ITM: Mit welchem Aufwand (Zeit, Kosten...) ist bei der Erstellung eines umfassenden Konzeptes zu rechnen?
Tewes: Das hängt von der Größe des Unternehmens, dem Umfang und der Detaillierungstiefe des Konzeptes, aber auch den bereits vorliegenden Dokumenten und Strukturen sowie dem Risikoappetit des Unternehmens ab. Man sollte vorab erst einmal eine aktuelle Bestandsaufnahme mit einer Risikoanalyse verbinden, um sich einen Überblick über die aktuelle Sicherheitslandschaft zu verschaffen.

ITM: Welche Rolle spielt für die Anwender die Erlangung eines international anerkannten IT-Sicherheitszertifikats? Wofür ist dies grundsätzlich wichtig?
Tewes: Sicherheitszertifizierungen, wie z.B. ISO 27001, BSI-Grundschutz, geben dem Management des Unternehmens einen trügerischen Eindruck über den wirklichen Stand der IT-Sicherheit. Es ist in vielen Fällen besser als nichts, aber man sollte sich darauf dann nicht ausruhen. Sicherheitszertifizierungen geben auch einen Indiz dafür, welche Themen im Unternehmen im Zusammenhang mit IT-Sicherheit berücksichtigt werden sollten. Das Zertifikat alleine ist nicht das relevante, sondern die Umsetzung von IT-Sicherheitsbewusstein in der Unternehmenskultur! Anderenfalls gilt der alte Spruch „Papier ist geduldig“.

ITM: Welche IT-Sicherheitsstandards müssen ohnehin eingehalten werden?
Tewes: Abhängig vom Unternehmen und deren Branchen kommen verschiedene IT-Sicherheitsstandards zum Einsatz. Der deutsche Klassiker ist der IT-Grundschutzkatalog, welcher für viele Bereiche Risiken und Gegenmaßnahmen darstellt. International ist es vor allem die ISO-2700X-Serie, welche viele Teilbereiche der IT-Sicherheit abdeckt, dazu können dann noch branchen- bzw. firmenspezifisch spezielle Anforderungen kommen.

ITM: Wie wird letztlich das reibungslose Zusammenspiel der technischen und organisatorischen Sicherheitsmaßnahmen gewährleistet?
Tewes: Nur eine umfassende Einbindung der Mitarbeiter und Abteilungen in die getroffenen Maßnahmen führt zum Erfolg. Mitarbeiter müssen den Nutzen und das ansonsten bestehende wirtschaftliche Risiko verstehen, ansonsten werden sich Wege drum herum gesucht, welche viele der Maßnahmen ad absurdum führen, wenn sie unbequem sind oder werden.