Drei Fragen an...

Grundsätzlich steht der Mittelstand dem Einsatz privater Smart­phones und Tablet-PCs aufgeschlossen gegenüber: Nur 20 Prozent der mehr als 320 befragten Unternehmen verbieten den Einsatz explizit. Bei 53 Prozent ist die Nutzung sogar explizit erlaubt, während bei 27 Prozent über deren Nutzung nicht offiziell entschieden ist und damit die Geräte zumindest nicht verboten sind. Bemerkenswert ist jedoch, dass bei nicht einmal der Hälfte der Unternehmen (42 Prozent), die die typischen Nachteile kennen und in denen die betreffenden Geräte trotzdem eingesetzt werden, auch verbindliche Regelungen für deren Verwendung bestehen. Anders ausgedrückt: Die meisten Unternehmen kennen zwar die Gefahren, sehen aber trotzdem keine Verfahren vor, um den Einsatz der betreffenden Systeme zu steuern oder zu kontrollieren. Deshalb hat IT-MITTELSTAND zwei Experten befragt, wo die Sicherheitsrisiken liegen und wie sich gegensteuern lässt.

Welche Problemzonen gefährden aus Ihrer Sicht die IT-Sicherheit eines Mittelständlers heute besonders?
Hans-Peter Bauer: Wie in großen Unternehmen auch nutzt heute nahezu jeder Mitarbeiter mittelständischer Unternehmen E-Mails sowie mobile Geräte und bewegt sich täglich im Internet. Die größten Sicherheitsgefahren liegen natürlich darin, wenn diese Anwendungen und Geräte nicht entsprechend geschützt sind.
Derzeit haben wir es in den McAfee Labs tagtäglich mit circa 100.000 neuen Varianten von Schadsoftware zu tun. Hauptsächlich Trojaner, produziert von Kriminellen mithilfe von leistungsfähigen Toolkits, die in Untergrundforen vertrieben werden. Dabei geraten neben Windows auch andere Plattformen, wie mobile Systeme oder Mac OS X, zunehmend in den Fokus der Angreifer. Verbreitet werden diese Trojaner dann per E-Mail, als Dateianhang oder Link. So stellt unser aktueller Threat-Report fest, dass täglich 10.000 neue maliziöse Webseiten entstehen. 94,2 Prozent dieser Webseiten beinhalten Malware, Exploits oder Codes, die speziell konzipiert worden sind, um auf fremde Rechner zuzugreifen.  Zudem steigt generell die Aufmerksamkeit der Hacker auch im Segment der kleinen und mittleren Unternehmen.

Ralf Benzmüller: Die Funktionen von Schadprogrammen, die auf Firmenrechnern eingeschleust werden, haben sich im Laufe der Zeit verändert; so werden heute immer mehr Firmennetze ausspioniert. Die Täter haben es dabei auf das Sammeln von Informationen über die Infrastruktur abgesehen, die sie für gezielte Angriffe ausnutzen, um sensible Firmeninformationen und Kundendaten stehlen zu können.
Ein weiteres Problem besteht in der gleichzeitigen privaten und beruflichen Nutzung von Smartphones und Tablets im Sinne von „Bring your own device“ sowie der Nutzung von Cloud-Dienstleistungen. Diese verwässern die Grenzen der Firmennetze, wodurch Sicherheitskonzepte und Mechanismen an die neuen Bedingungen angepasst werden müssen. Kleine und mittelständische Unternehmen haben allerdings oft ein Problem damit, diese komplexe Situation zu bewältigen – und sind daher anfällig für Angriffe.

Wie lassen sich diese Gefahren und Risiken am besten beherrschen?
Benzmüller: Eine exakte Analyse der IT-Infrastruktur und der Bedrohungen für die sensiblen Daten eines Unternehmens ist die Ausgangsbasis für die Planung adäquater Schutzmaßnahmen. Hierbei sind der Virenschutz und die Firewall Standardkomponenten, die bei der Mehrheit der Unternehmen standardmäßig zum Einsatz kommen.

Sensible Informationen – wie Kreditkarteninformationen, elektronische Personalakten, Verträge oder Forschungs- und Entwicklungsergebnisse – müssen gegebenenfalls durch weitere Sicherheitsmaßnahmen geschützt werden. Hierzu zählt der Einsatz von Verschlüsselungstechnologien und Datenzugriffsbeschränkungen.

Neben dieser technischen Absicherung sollten Unternehmen verbindliche IT-Richtlinien einführen. In einer Policy können sie z.B. die private Nutzung der PCs und des Internets festlegen. Ein weiterer Baustein ist die Sensibilisierung der Mitarbeiter durch entsprechende Schulungen. IT-Sicherheit geht somit weit über den Schutz gegen Schadprogramme hinaus. Daher bieten wir unseren Partner verstärkt Schulungen an, die weit über Produkt-Trainings hinausgehen.

Bauer: Kleine und mittlere Unternehmen sind in einer besonderen Situation, wenn es darum geht, sich gegen die stetig wachsenden Cyber-Gefahren zu schützen. Sie können sich hochpreisige IT-Lösungen ebenso wenig leisten wie einen größeren Stab an IT-Mitarbeitern. Gleichzeitig kann kein Mittelständler Risiken eingehen, die seine Existenz bedrohen. Sie brauchen also denselben Schutz wie großen Unternehmen – aber in einer leicht bedienbaren und den knapperen Budgets mittelständischer Unternehmen angepassten Lösung. Die Lösungen sollten speziell auf die Belange des Mittelstands zugeschnitten sein und flexible Bereitstellungsoptionen bieten.

Über Security as a Service, kann ein Mittelständler knifflige Sicherheitsfragen an Experten delegieren. Worauf ist dabei zu achten?
Benzmüller: IT-Sicherheit ist Vertrauenssache. Das gilt sowohl für Auswahl und Einsatz von Security-Software als auch für die Auswahl von Dienstleistern und Dienstleistungen – insbesondere, wenn Unternehmensdaten tangiert werden. Firmen haben viele Vorteile, wenn sie auf externe Dienstleister setzen, z.B. geringe Kosten, Flexibilität und eine hohe Verfügbarkeit der Spezialisten. Modelle wie Managed Services sind ein interessantes Konzept gerade für kleine Unternehmen, die über keine eigene IT-Abteilung verfügen. Sie können so die Umsetzung bestimmter Schutzmaßnahmen in professionelle Hände geben. Für die Absicherung der eigenen IT-Infrastruktur bleiben sie aber selbst verantwortlich. Das Know-how des beratenden und die Maßnahmen umsetzende Unternehmen ist hier immens wichtig.

Bauer: Derartige Lösungen sollten einen All-in-One-Schutz bieten und Desktop sowie Datei- und E-Mail-Server mit dem Komfort und der Wartungsfreundlichkeit einer integrierten SaaS-Lösung sichern. Wichtig sind vor allen Dingen die Sicherheits-Updates. Die Update-Prozesse sollten störungsfrei und abseits der Spitzenzeiten erledigt werden können. Zudem sollten sie hinsichtlich des individuellen Bedarfs anpassbar sein. Auch sollten sie über eine E-Mail-Verschlüsselung und vorkonfigurierte Bibliotheken verfügen, um sensible Daten zu schützen und Compliance-Anforderungen zu erfüllen. Eine cloud-basierte Web-Filterung schützt zudem vor Viren und stellt sicher, dass unerwünschte Inhalte dem Netzwerk fern bleiben.