Die Risiken minimieren

IT-DIRECTOR: Herr Graupner, häufig gelten Angriffe von außen sowie von den eigenen Mitarbeitern – sei es aufgrund von Fahrlässigkeit oder aus voller Absicht – als größtes Gefahrenpotential für die Unternehmens-IT. Viele Großfirmen arbeiten jedoch insbesondere im Beratungs- und IT-Umfeld mit externen Dienstleistern zusammen – welches Risiko bergen deren Mitarbeiter für die Unternehmenssicherheit?
M. Graupner: Prinzipiell bergen externe Mitarbeiter kein höheres Risiko für die Unternehmenssicherheit als interne sofern die notwendigen Sicherheitsmaßnahmen konsequent umgesetzt werden. Das gilt insbesondere für externe Mitarbeiter die längerfristig im Unternehmen beschäftigt werden. Die Ein- und Ausgliederung externer Mitarbeiter bedarf einer sorgfältigen Planung sowie Vor- und Nachbereitung.

IT-DIRECTOR: Inwieweit sind bereits Fälle bekannt, bei denen sich der externe IT-Dienstleister als Sicherheitsrisiko für Unternehmen erwiesen haben? Können Sie uns ein konkretes Beispiel nennen?
M. Graupner: Derartige Beispiele sind mir namentlich nicht bekannt. Das Auftreten solcher Sicherheitsvorfälle resultiert in der Regel aus unzureichenden oder nicht umgesetzten Regelungen zum Einsatz externer Mitarbeiter. Die betroffenen Unternehmen dürften kaum Interesse daran haben, ihr mangelndes Sicherheitsmanagement öffentlich zu machen und damit zum vorhandenen Schaden auch noch einen Imageverlust zu riskieren.

IT-DIRECTOR: Um effektiv arbeiten zu können, müssen externe Kollegen nahtlos in die Prozesse des Anwenderunternehmens eingebunden werden. Worauf sollten die Verantwortlichen beim entsprechenden Benutzer- bzw. beim Identity-Management achten?
M. Graupner: Sicherheitsrelevante Aspekte der Einbindung externer Mitarbeiter in betriebliche Prozesse sollten Bestandteil eines bestehenden Managementsystems für Informationssicherheit sein. Hier werden die entsprechenden Maßnahmen auf Grundlage des ermittelten Schutzbedarfes sowie konkreter Gefährdungen definiert. Grundlegende Gefährdungen und notwendige Maßnahmen sind in den Grundschutzkatalogen des BSI, Baustein „Outsourcing“ und Baustein „Personal“, aufgeführt.

IT-DIRECTOR: Welche Rolle spielt das „Social Engineering“ bei Mitarbeitern von externen Dienstleistern?
M. Graupner: Social Engineering ist auf vielfältige Weise möglich und betrifft in gleicher Weise interne und externe Mitarbeiter. Beim Einsatz externer Mitarbeiter sollte auf den notwendigen Kenntnisstand zur IT-Sicherheit geachtet werden. Vor Beginn der Tätigkeit sollten Sie betriebsspezifisch geschult und eingewiesen werden. Bei längerer Tätigkeit sind sie in die betriebliche Schulung der eigenen Mitarbeiter mit einzubinden.

IT-DIRECTOR: Um böse Überraschungen zu vermeiden: Welchen Sicherheitsanforderungen bzw. Zertifizierungen müssen IT-Dienstleister entsprechen, die sich um Projektausschreibungen bei Unternehmen sowie bei Behörden bewerben wollen?
M. Graupner: Das hängt immer vom konkreten Schutzbedarf des Unternehmens ab. Vorteilhaft wäre der Nachweis einer Zertifizierung nach ISO 27001 oder BSI-Grundschutz. Damit wird die Existenz eines entsprechenden Informationssicherheit-Management-Systems nachgewiesen.

IT-DIRECTOR: Gibt es neben dem Behördenumfeld weitere Branchen, die bestimmte Sicherheitsqualifizierungen seitens des externen Personals fordern?
M. Graupner: Derartige Anforderungen sind mir nur aus dem Behördenumfeld bzw. behördennahen Dienstleistern bekannt. Hier werden teilweise Sicherheitsüberprüfungen der externen Mitarbeiter durch den Verfassungsschutz gefordert.

IT-DIRECTOR: Wie können IT-Verantwortliche auf Nummer sicher gehen, dass der Dienstleister mit personenbezogenen Daten des Anwenderunternehmens kein Schindluder treibt?
M. Graupner: Absolute Sicherheit gibt es hierfür nicht. Bei der Auswahl des Dienstleisters muss entsprechend sorgfältig vorgegangen und die notwendigen vertraglichen Regelungen getroffen werden. Eine vorhandene Zertifizierung zur IT-Sicherheit ist grundsätzlich vorteilhaft. Bei Auswahl und Einsatz des Dienstleisters sollte die Maßnahmen des BSI-Grundschutzbausteins „Outsourcing“ berücksichtigt werden.

IT-DIRECTOR: Herr Deibler, inwiefern nehmen IT-Verantwortliche die von den Mitarbeitern externer Dienstleister ausgehende Bedrohung bereits ernst? Viele externe Fachkräfte arbeiten mitunter häufig mit Laptops bzw. anderen mobilen Endgeräten wie Tablets oder Smartphones innerhalb des Anwenderunternehmens – wie können Verantwortliche dafür sorgen, dass diese der eigenen IT nicht gefährlich werden?
O. Deibler: Schon allein aus Gründen des Datenschutzes sollten Mitarbeiter externer Dienstleister ernst genommen werden, da diese oft über annähernd identische Rechte wie reguläre interne Mitarbeiter verfügen. Hier sollte man im Vorfeld schon bei den Verträgen mit den externen Firmen aktiv werden und entsprechende Klauseln sowie einen separaten Vertrag zur Auftragsdatenverarbeitung vorsehen. Im täglichen Betrieb sind dann Zugriffsrechte, Remotezugriffe, Begrenzung von Active Directory Accounts z.B. mit Ablaufdatum und ähnliches zu berücksichtigen, um Risiken zu minimieren. Selbstverständlich gehört hierzu auch die Festlegung über den Zugang zum internen Netzwerk mit Nicht-Firmen-Rechnern, die Ablage von Dokumenten und vor allem der Zugang zu ERP-Systemen und die dortigen Rechte für externe Mitarbeiter.