Millionenverluste für deutsche Unternehmen

IT-DIRECTOR: Herr Neff, Sie haben kürzlich die von Ihnen in Auftrag gegebene europäische Vanson-Bourne-Umfrage herausgegeben. Unter anderem wurden auch 175 deutsche IT-Verantwortliche befragt. Welches Fazit ziehen Sie daraus?
A. Neff: Das Fazit lautet eindeutig, dass Datenverlust ein ernst zunehmendes Problem darstellt. Die deutschen CIOs schätzen, dass Unternehmen hierzulande durch Datenverlust jährlich über eine Million Euro an Erträgen verlieren – besonders durch die daraus resultierenden Strafen und den Reputationsverlust bei bestehenden und potentiellen Kunden. Doch auch Strafen wegen nicht eingehaltener Compliance schlagen sich scheinbar nachteilig auf die Bilanz nieder. Dahinter vermuten viele unzureichend auf die Bedürfnisse der Mitarbeiter abgestimmte Prozesse zum Identity und Access Management. Ferner herrscht Einigkeit darüber, dass die aktuellen Sicherheitsrichtlinien in Unternehmen nicht ausreichen, um geschäftskritische Informationen hinreichend zu schützen.
 
IT-DIRECTOR: Wer trägt die Verantwortung für die finanziellen Schäden?
A. Neff: Die Mehrheit der CIOs (57 Prozent) spricht sich dafür aus, dass eine größere Verantwortung für den Austausch, die Speicherung und das Verwalten von Unternehmensdaten bei den Organisationen und Mitarbeitern selbst liegen sollte. Laut Umfrage wollen 81 Prozent der deutschen CIOs das Thema IAM in diesem Jahr zur Priorität machen. Als Grund gibt fast jeder dritte IT-Entscheidungsträger (28 Prozent) die befürchteten finanziellen und rechtlichen Konsequenzen bei Datenverlust und Sicherheitsverstößen an. Angesichts der wiederholten negativen Berichterstattung über verlorengegangene Unternehmensdaten hat zudem jeder zweite CIO in den vergangenen 12 bis 18 Monaten von der internen Rechtsabteilung (39 Prozent), dem CEO (30 Prozent) und den Behörden (23 Prozent) zunehmenden Druck wahrgenommen. Viele Unternehmen haben also die immensen Risiken für Sicherheit, Finanzen und Reputation durch Informationsverlust erkannt und wollen entsprechend handeln.
 
IT-DIRECTOR: Warum stellen Mitarbeiter ein Risiko für den Datenschutz dar?
A. Neff: Es fällt auf, dass generell ein geringes Verantwortungsbewusstsein der Mitarbeiter beim Umgang mit sensitiven Informationen besteht. Im Arbeitsleben wird oftmals der einfachste und schnellste Weg genutzt, die Daten auszutauschen – Sicherheitsbedenken kommen dabei nicht auf. Das hat aber fatale Folgen, denn so werden wichtige IT-Richtlinien für die Compliance umgangen. In Deutschland scheinen hauptsächlich Human-Resources-Informationen unerlaubt über soziale Netzwerke und Drittanbieter verbreitet zu werden wie jeder Dritte (36 Prozent) angab. Auffällig ist, dass nur 26 Prozent der deutschen CIOs den Verlust von Kundendaten als problematisch betrachten, verglichen mit 40 Prozent in UK und 33 Prozent in Frankreich.
 
IT-DIRECTOR: Wie erklären Sie sich diese Abweichungen?
A. Neff: Die deutschen Unternehmen sind fortschrittlicher, was ihre IAM-Prozesse betrifft. Das überrascht nicht, betrachtet man die gute IT-Expertise in Deutschland und das gewachsene Problembewusstsein bei Sicherheitsthemen generell. Hinter einem Datenverlust verbirgt sich immer eine mangelhafte Sicherheitsrichtlinie, die normalerweise unternehmenskritische Informationen schützen sollte. Dieser Prozess sollte immer hinreichend an die aktuellen Bedürfnisse der Mitarbeiter angepasst werden. Genau hier scheint es aber oftmals Probleme zu geben.
 
IT-DIRECTOR: Wie erreichen Unternehmen Compliance?
A. Neff: Mangelnde Nachvollziehbarkeit von Berechtigungen, ungenaue Zugriffsregelungen, unsichere Kennwörter sowie verwaiste Benutzerkonten kristallisieren sich als die größten Sicherheitsprobleme heraus. Hinzu kommen eine steigende Zahl an rechtlichen Bestimmungen und interne Richtlinien, die klar definierte Prozesse und Kontrollmechanismen für das Berechtigungsmanagement fordern. Bei Prüfungen müssen zeitnah aussagekräftige Informationen darüber bereitgestellt werden können, wer wann Zugriff zu welchen Anwendungen und Daten hatte und wer für die Erteilung der Zugriffserlaubnis verantwortlich war. Je größer die Anzahl der beteiligten IT-Systeme ist, desto höher ist auch der hierfür erforderliche Dokumentationsaufwand. Dafür müssen Administratoren tagelang mit Hilfe von Logfiles und akribisch geführten Listen die benötigten Informationen zusammentragen – ein teures und fehlerhaftes Unterfangen. Aufklärung, Sorgfalt und gut aufgesetzte IAM-Lösungen und -Prozesse können die angesprochenen Sicherheitsprobleme lösen und Compliance-Anforderungen effizient erfüllen.