Gleichbleibende Aktualität

ITM: Herr Schneider, laut der aktuellen Lünendonk-Studie „Führende IT-Beratungs- und IT-Service-Unternehmen in Deutschland“ wurde neben „Mobile Business“ der Schwerpunkt „Sicherheit“ als wichtigstes Thema bewertet. Woran liegt das Ihrer Meinung nach?
Udo Schneider: Sicherheit war, ist und wird aller Wahrscheinlichkeit eine der Schwerpunkte in der IT bleiben. Hauptursache ist, dass IT-Sicherheit, insbesondere im Vergleich zu anderen IT-Themen, kein rein technisch zu lösendes Problem ist. Das Spannungsfeld von technischen, prozessorientierten (z.B. Freigabeprozesse) und menschlichen (Aufklärung) Herausforderungen kennzeichnet die IT-Sicherheit und damit auch die gleichbleibende „Aktualität“.

ITM: Welchen Stellenwert nimmt das Thema „IT-Sicherheit“ heutzutage im Mittelstand ein?
Schneider: Der Stellenwert von IT-Sicherheit im KMU-Bereich hat sich in den letzten Jahren grundlegend gewandelt. Ganz zu Anfang sind dedizierte Sicherheitsanforderungen im KMU-Bereich schlicht und ergreifend nicht wahrgenommen worden. D.h. man hatte die Auswahl zwischen erweiterten Consumer-Produkten von unten oder überdimensionierten Enterprise-Produkten von oben. Inzwischen werden die speziellen Anforderungen im KMU-Bereich wie einfache Verwaltbarkeit und Integration in bestehende Systeme weitgehend beachtet. Die damit einhergehende Integration in Geschäftsprozesse hat den Stellenwert von IT-Sicherheit von einem „Man muss es ja machen“-Thema in Richtung „Es schützt unsere geschäftlichen Prozesse“ erhöht.

ITM: Inwiefern greifen Mittelständler bereits auf professionelle IT-Sicherheitsberatungen zurück?
Schneider: Einige mittelständische Unternehmen greifen bereits auf die professionelle Hilfe von IT-Sicherheitsberatungen zurück. Der Übergang lässt sich in den meisten Fällen am Wert der elektronisch bearbeiteten Daten festmachen. Unternehmen, bei denen IT im Grunde genommen aus einem Office-Produkt besteht, greifen in der Regel nicht auf externe Dienstleister zurück. Sobald die Prozesse komplexer bzw. die bearbeiteten Daten wertvoller werden, steigt auch die Wahrscheinlichkeit der Einbindung externer Dienstleister.

ITM: Welche technischen Lösungen und organisatorischen Aspekte schließt eine umfassende IT-Sicherheitsberatung mit ein?
Schneider: Klassische technische Aspekte wie Antivirus, E-Mail, Kollaboration und Websicherheit sind heute i.d.R. Bestandteil jeder Beratung. Leider wird ein Daten- bzw. prozesszentrischer Ansatz häufig übersehen. So einfach Fragen wie „Welche(r) Mitarbeiterin arbeitet in welchen Prozessen mit welchen Daten“ kombiniert mit der Frage „Ist das überhaupt so gedacht?“ werden nicht gestellt. Ohne solche Fragen ist eine entsprechende Beratung zur Prozess- bzw. datenzentrischen Sicherheit wenig sinnvoll.

ITM: Wie gehen Sie schrittweise bei der Erstellung eines Sicherheitskonzeptes vor und woran orientieren Sie sich hierbei?
Schneider: Stark vereinfacht machen Daten den Anfang. Wo liegen diese? Wo sollten diese liegen? Im nächsten Schritt geht es um das Mapping der Daten auf Prozesse, in welchen diese verarbeitet werden bzw. welche Mitarbeiter an diesen Prozessen beteiligt sind. Zu diesem Zeitpunkt sollten auch organisatorische Prozesse definiert bzw. eingeschränkt werden. Erst im letzten Schritt geht es um das Absichern dieser Prozesse mit entsprechen technischen Maßnahmen.

ITM: Wie ist es einem Beratungs-/Dienstleistungsunternehmen möglich, die Effektivität des im Anwenderunternehmen bereits etablierten IT-Sicherheitsprozesses zu überprüfen?
Schneider: Eine (aus Prozesssicht) einfache Maßnahme ist die Nachverfolgung der Daten bzw. der Datenflüsse im Unternehmen. An allen (wichtigen) Stationen kann man dann nachvollziehen, wo es eventuell Diskrepanzen zwischen der erlaubten Verarbeitung/Zugriff und den tatsächlichen Rechten gibt. Dies erlaubt es auch, bestehende IT-Sicherheitsprozesse auf ihre Effizienz hin zu überprüfen.

ITM: Welche sicherheitsrelevanten Aspekte werden von den Unternehmen besonders häufig vernachlässigt?
Schneider: Kurz gesagt: Die Pflege der Sicherheitskonzepte bzw. deren Umsetzung. Selbst wenn initial viel Aufwand, sowohl aus Prozesssicht als auch bei der technischen Implementation getrieben wird, wird die Pflege eben dieser dann häufig vernachlässigt. Und genau hier treten im Laufe der Zeit dann entsprechende Lücken auf, die dann vielleicht zu wirklichen Sicherheitsproblemen wachsen.

ITM: Mit welchem Aufwand (Zeit, Kosten...) ist bei der Erstellung eines umfassenden Konzeptes zu rechnen?
Schneider: Hier lässt sich leider keine einfache Zahl nennen. Es bleibt jedoch festzuhalten, dass zwei Kenngrößen bei der Aufwandsabschätzung herausstechen: der „Wert“ der Daten und die Anzahl der Mitarbeiter. Anscheinend offensichtliche Kenngrößen wie die Komplexität der IT-Infrastruktur sind als alleinige Kenngröße weniger relevant – diese sind i.d.R. auch proportional zu den beiden erstgenannten Kenngrößen.

ITM: Welche Rolle spielt für die Anwender die Erlangung eines international anerkannten IT-Sicherheitszertifikats? Wofür ist dies grundsätzlich wichtig?
Schneider: Die meisten in Deutschland gültigen Regularien sind lokale Umsetzungen europäischer Vorgaben. Diese wiederrum orientieren sich im IT-Bereich oftmals an internationalen Richtlinien. Sollte also ein nicht-europäischer Partner auf einem bestimmten Zertifikat beharren, zu dem es keine 1:1-Relation der europäischen Richtlinien gibt, macht es manchmal in diesem speziellen Fall Sinn, diese Zertifizierung anzustreben. Andernfalls deckt die Einhaltung lokaler Vorgaben oftmals schon die meisten Anforderungen ab.

ITM: Welche IT-Sicherheitsstandards müssen ohnehin eingehalten werden?
Schneider: Für Kapitalgesellschaften sind natürlich u.a. GmbHG, KonTraG u.a. zu nennen. In vielen Fällen wird die Relevanz dieser Gesetze für die IT gar nicht wahrgenommen. Dem nachgeschaltet tauchen dann IT-spezifische Richtlinien wie das BDSG oder auch IT-Grundschutz auf. Schon mit der Umsetzung dieser Anforderungen sind in vielen Fällen die inhaltlichen Anforderungen anderer Zertifizierungen abgedeckt. Es bleibt dann „nur“ noch das Mapping der Anforderungen untereinander und die abschließende Zertifizierung übrig.

ITM: Wie wird letztlich das reibungslose Zusammenspiel der technischen und organisatorischen Sicherheitsmaßnahmen gewährleistet?
Schneider: Die Aufgabe obliegt der Geschäftsführung bzw. einer davon beauftragten Person mit entsprechenden Durchsetzungsrechten. Rechtliche Anforderungen und Richtlinien im IT-Security-Bereich können nicht als nachgeschaltete Instanzen etwas reparieren, was von Grund auf den Richtlinien wiederspricht. Dementsprechend müssen diese Vorgaben von vorne herein beachtet und integriert werden. Dies erfordert natürlich einerseits ein Bewusstsein über diese Anforderungen als auch die rechtliche/organisatorische Befugnis, dieses durchzusetzen.