Wie Dachser die Sicherheit managt

Eine wichtige Rolle spielt dabei das neu geschaffene Vorstandsressort „IT & Development“ unter der Leitung von Chief Development Officer Stefan Hohm, aber auch das IT-Sicherheitsteam rund um Christian von Rützen. Der Verantwortliche für das Management der IT-Sicherheit kümmert sich angesichts all der Innovation um grundlegende Themen wie z. B. das Informationssicherheits-Management-System nach ISO 27001, Compliance, „Security Information and Event Management“ (SIEM) und „Security Operations Center“ (SOC) , Risikobewertung und Audits.

Als SIEM-System kommt die die Log-, Monitoring- und Reporting-Software Splunk zum Einsatz, mit deren Hilfe Standardsoftware und eigenentwickelte Anwendungen (auch auf IBM i) in einem erweiterbaren, sicheren „IT-Ökosystem“ betrieben werden. Eine der größten Herausforderungen vor der Implementierung dieser Software bestand darin, dass zwar Logfiles vorhanden waren, diese aber nicht optimal ausgewertet werden konnten. Außerdem war das gesamte Log-Management nicht standardisiert. „Bevor man eine SIEM-Lösung einführt, ist es wichtig genau zu definieren, für welche Bereiche sie genutzt werden soll. Bei uns fing alles mit der Analyse der Log-Dateien an“, sagt von Rützen. Auch die Risikobetrachtung sollte damit optimiert werden.

Dachser hat sich vor allem wegen der zuverlässigen Software-Architektur und den umfassenden Erweiterungsmöglichkeiten für Splunk entschieden, so von Rützen: „Anfangs waren es fünf Mitarbeiter, die die SIEM-Lösung genutzt haben, 2019 waren es bereits 64. Die Lösung wächst also mit.“ Das System wird bei Dachser mittlerweile unter anderem auch für die Identifikation und Isolierung von Malware, das Aufdecken von File-Server-Berechtigungsfehlern oder Datendiebstählen sowie für das SOC generell eingesetzt.

Das Beispiel Sicherheit ist Ausdruck der großen Verantwortung für Qualität, die bei Dachser fest in den Unternehmenswerten verankert ist und von allen Mitarbeitern aktiv gelebt werden soll. „Wir verpflichten uns zu höchsten Qualitätsstandards und sind mehrfach zertifiziert“, heißt es dazu auf der Homepage. Das Qualitätsmanagement solle „Maßstäbe in der Steuerung von Logistikprozessen setzen“: beim Transport und bei der Lagerung von Waren, in der Kundenbetreuung sowie bei Sicherheits- und Serviceleistungen.

Alle Geschäftsbereiche erfüllen demnach die durchaus komplexen Anforderungen und Aufgabenstellungen im Qualitätsmanagement. Belegt und untermauert wird diese Aussage durch Zertifizierungen und Beurteilungen wie zum Beispiel DIN ISO/IEC 27001 für die Dachser IT oder das „Safety & Quality Assessment for Sustainability“ SQAS. Im Interview erklärt der IT-Sicherheitsbeauftragte Christian von Rützen, worauf es dabei ankommt.

Auf Nummer sicher

Herr von Rützen, warum hat Dachser seine zentralen IT-Services gemäß ISO 27001 zertifizieren lassen?
Christian von Rützen: Bei der Zertifizierung haben wir in erster Linie an unsere Kunden gedacht. Diese übermitteln uns nicht nur ihre Daten. Sie vertrauen zudem darauf, dass wir verantwortungsbewusst mit ihren sensiblen geschäftlichen Informationen umgehen. Den Anforderungen an die Informationssicherheit müssen wir als international tätiger Logistikdienstleister weltweit nachkommen und dies auch entsprechend nachweisen können.

Die ISO 27001 ist die international anerkannte Norm für Informationssicherheit, hier sprechen alle dieselbe Sprache. Das ISO-Zertifikat stellt klar: Daten sind bei Dachser in sicheren Händen.

Weitere Gründe für die ISO-Zertifizierung sind Optimierung und Effizienz. Auch zehn Jahre nach Etablierung der IT-Sicherheit wollen wir unsere Technik und Prozesse kontinuierlich weiterentwickeln. Mit dem Zertifikat vereinfachen sich darüber hinaus reguläre Auditprozesse durch Wirtschaftsprüfer, Zertifizierungen wie AEO oder andere.

Wie wichtig ist die Informationssicherheit in der Logistik?
von Rützen: So wichtig, dass das globale Sicherheitskonzept bei nahezu jedem Neugeschäft und auch bei Bestandskunden im Rahmen von Audits mit Fragenkatalogen abgefragt wird. Dazu ist es wichtig zu wissen, dass ein Großteil der Auftragsdaten heute schon elektronisch übermittelt wird – mit steigender Tendenz. Kunden wissen dabei, dass ihre eigenen Prozesse von der Verfügbarkeit der Dachser-Systeme abhängen. Gerade im Lebensmittelbereich müssen produzierte Waren oft kontinuierlich und sehr zeitnah abgeholt werden. Wenn der Lkw nicht kommt, gibt es rasch einen Rückstau in die Fertigungslinie, und die Bänder stehen still. Oder wenn wir ein Warehouse für einen Automobilzulieferer betreiben: Wenn die Teile nicht just-in-time in die Fertigung geliefert werden, dann steht die Produktion.

Bezieht sich die Zertifizierung nur auf die IT-Zentrale in Kempten?
von Rützen: Wir haben unsere zentralen IT-Services, Rechenzentren, Infrastrukturen und IT-Fachbereiche zertifizieren lassen, das ist korrekt. Allerdings zeichnet sich die Dachser-IT durch ein hohes Maß an Zentralisierung und damit Einheitlichkeit und Integrationstiefe aus. Die IT-Zentrale in Kempten definiert und entwickelt die Transport- und Warehouse-Management-Systeme sowie die eLogistics-Internetanwendungen selbst und stellt sie weltweit zur Nutzung bereit. In diesem Sinne hat die Zertifizierung eine dezidiert internationale Dimension. Hier gehen wir ein gutes Stück weiter als die meisten unserer Wettbewerber, die – wenn überhaupt – einzelne dezentrale Teile ihrer IT zertifiziert haben. Für uns macht die zentrale Zertifizierung Sinn: Wie wir sind unsere Kunden global aufgestellt und möchten überall auf die gleichen Sicherheitsstandards vertrauen, wenn sie mit Dachser arbeiten.

Diese umfangreiche Zertifizierung war sicher aufwändig?
von Rützen: Ja, der zweistufige Audit-Prozess hat bei uns circa sechs Monate gedauert. Wobei man aber ganz klar sagen muss: Die Zertifizierung nach ISO 27001 ist nicht als Momentaufnahme gedacht, für die man sich punktuell aufhübscht. Nur wer dauerhaft an seinen Sicherheitsprozessen arbeitet, kann im jährlichen Überwachungs-Audit bestehen und die Zertifizierung schließlich erneuern. Unser Ziel ist es, in jedem Punkt immer besser zu werden – und da haben uns die Prüfer vom Tüv Süd einige sehr gute Anregungen gegeben.

ISO 27001

Die international anerkannte Norm ISO 27001 beschreibt den sicheren Umgang mit Informationen im Unternehmen. Inhaltlich deckt die Zertifizierung alle Aspekte der Informationssicherheit ab: von den technischen Disziplinen Virenschutz, Spam-Abwehr und Sicherheit der Internetanwendungen über die Ausfallsicherheit und Notfallplanung, bis hin zu organisatorischen Aspekten wie Vertraulichkeitsregelungen mit externen IT-Dienstleistern und Beratern oder IT-Benutzerrichtlinien.

Bildquelle: Dachser