„Innentäter werden unterschätzt.”

ITD: Herr Brack, von welcher Seite droht die größte Gefahr für sensible Unternehmensdaten?
Stephan Brack: Laut einer IDC-Studie entstehen 80 Prozent aller Datenverluste in Unternehmen von innen. Gleichzeitig konzentrieren jedoch viele ihre gesamten Abwehrbemühungen auf Bedrohungen von außen. Deshalb klafft bei der deutlichen Mehrheit aller deutschen Unternehmen eine „innere“ Sicherheitslücke. Innentäter werden unterschätzt, die Abwehr nach innen benötigt jedoch mindestens den gleichen Aufwand wie die nach außen.

ITD: Welche Maßnahmen muss ein Unternehmen ergreifen, damit einerseits nur befugte Personen auf sensible Datenbestände zugreifen können und sich andererseits nachweisen lässt, wer wann Zugriff auf welche Daten hatte?
S. Brack: Die Verantwortung für die Zugriffsberechtigungen muss denjenigen zugewiesen werden, die auch das Wissen über die Wertigkeit und die Sicherheitsstufe der Daten haben: den Dateneigentümern – und die sitzen in der Regel in den Fachabteilungen. Gerade diese sollten jedoch ohne größere Schwierigkeiten dazu in der Lage sein, Berechtigungen zu prüfen und zu ändern. Und zwar ohne lange Bearbeitungswege. Vor allem sollten sich die Verantwortlichen auch die Frage stellen, welche Art von Zugriff für die einzelnen Mitarbeiter überhaupt nötig ist: Genügt es, wenn der User nur Leserechte erhält oder benötigt er Vollzugriff auf die Datei? Darüber hinaus müssen sowohl die aktuelle als auch die vergangene Berechtigungssituation ständig überprüfbar sein. Das heißt, sie muss regelmäßig, bestenfalls täglich aufgezeichnet werden und auf Nachfrage jederzeit verfügbar sein.

ITD: Welche Compliance-Anforderungen haben Unternehmen dabei zu beachten?
Brack: Es gelten sowohl die internen Richtlinien des jeweiligen Unternehmens, rechtliche Vorgaben als auch bestimmte Sicherheits-Standards, die sich etabliert haben. Hier wären vor allem die Anforderungen aus den IT-Grundschutz-Katalogen des BSI zu nennen, die Maßnahmen für das Berechtigungsmanagement definieren, wie M 2.370, M 4.149 oder M 4.247. Zusammengefasst kann man sagen, dass ein Unternehmen immer den Überblick behalten muss, wer wann wem welche Berechtigung auf welche Daten warum und für wie lange vergeben hat.

ITD: Welche Herausforderungen stellen sich Unternehmen bei der Zusammenarbeit/Collaboration und wie sind diese zu bewältigen?
Brack: Hier gilt es sicherzustellen, dass Personen, die nur temporär im Unternehmen sind, auch nur temporär Zugriff auf die Daten erhalten, die sie benötigen. Eine zusätzliche Herausforderung ist aber vor allem, dass alle Vorgaben bereits im Vorfeld geklärt, die Berechtigungen richtig vergeben und gegebenenfalls flexibel anpassbar sein müssen. Denn gerade, wenn hier unter Zeitdruck gearbeitet wird, steigt das Risiko, dass Fehler gemacht werden und Zugang zu unternehmenskritischen Daten gewährt wird – was fatale Folgen haben kann.