Ins Bewusstsein gerückt

ITM: Herr Tessendorf, laut der aktuellen Lünendonk-Studie „Führende IT-Beratungs- und IT-Service-Unternehmen in Deutschland“ wurde neben „Mobile Business“ der Schwerpunkt „Sicherheit“ als wichtigstes Thema bewertet. Woran liegt das Ihrer Meinung nach?
Marco Tessendorf: Der Bereich IT-Sicherheit und Datenschutz ist sicherlich auch aufgrund der dort in den letzten Jahren entstandenen Schäden und der damit verbundenen medialen Außenwirkung in das Bewusstsein der Unternehmen gerückt. Auch die Anforderungen des §11 BDSG zur Auftragsdatenverarbeitung und des §42a BDSG zu Offenlegung von Datenschutzvorfällen seit 2009 haben geholfen, die Sensibilität für diese Themen zu erhöhen.

ITM: Welchen Stellenwert nimmt das Thema „IT-Sicherheit“ heutzutage im Mittelstand ein?
Tessendorf: Die Beantwortung dieser Frage ist von verschiedenen Faktoren abhängig:

• Unternehmensgröße:
Die Sensibilität für das Thema IT-Sicherheit und Datenschutz ist in der Regel abhängig von der Größe des Unternehmens.
In kleineren Unternehmen fehlen hier oft, wenn auch nicht immer, das Bewusstsein und das Kapital.
• Schutzbedarf der Daten oder Anwendungen: In Abhängigkeit der Sensibilität der vom Unternehmen verarbeiteten Daten (z.B. sozial oder medizinische Daten) kann man
durchaus auch einen bewussteren Umgang mit den Daten beobachten. Leider ist speziell im Bereich der sozialen Träger noch viel zu tun.
• Außenwirkung des Unternehmens: Je präsenter ein Unternehmen im Markt in Erscheinung tritt, sei es durch eine bekannte Marke, einen weithin sichtbaren Shop oder Medienpräsenz, desto
bewusster ist in der Regel der Umgang mit Daten und deren Schutzanforderungen. Das Risiko eines Datenverlustes und den dann drohenden Konsequenzen
ist vielen bewusst. Daraus lässt sich leider nicht ableiten, dass die Unternehmen sich dabei immer rechtskonform oder „IT-sicher“ verhalten.
• Äußerer Druck auf das Unternehmen: 
Durch die Novelle des BDSG in 2009 werden Unternehmen, die mit einer Datenverarbeitung von personenbezogenen Daten betraut werden,
vermehrt von ihren Auftraggebern im Bereich Datenschutz und IT-Sicherheit geprüft. Das hat zur Konsequenz, dass hier die Sensibilität und der Handlungsdruck steigen.

ITM: Inwiefern greifen Mittelständler bereits auf professionelle IT-Sicherheitsberatungen zurück?
Tessendorf: Die Akzeptanz, hier auf professionelle IT- Sicherheitsberatung zurückzugreifen, muss differenziert bewertet werden. Entsprechend der vorherigen Frage ist die Bereitschaft zur professionellen Beratung abhängig von der Unternehmensgröße, dem Schutzbedarf der Daten und den eigenen finanziellen und personellen Ressourcen.

ITM: Welche technischen Lösungen und organisatorischen Aspekte schließt eine umfassende IT-Sicherheitsberatung mit ein?
Tessendorf: Ziel ist es, die Gefährdungen in den Griff zu bekommen, die sich aus einer Bedrohung und einer Schwachstelle ergeben können. Es geht dabei um Gefährdungen der:

• Verfügbarkeit
• Vertraulichkeit
• Integrität
• Authentizität

Als Grundlage dienen dabei die Anforderungen des §9 BDSG, in dem die erforderlichen Schutzmaßnahmen beschrieben werden:

• Zutrittskontrolle
• Zugangskontrolle
• Zugriffskontrolle
• Weitergabekontrolle
• Eingabekontrolle
• Verfügbarkeitskontrolle
• Auftragskontrolle
• Trennungsgebot

ITM: Wie gehen Sie schrittweise bei der Erstellung eines Sicherheitskonzeptes vor und woran orientieren Sie sich hierbei?
Tessendorf: Die Erstellung eines Sicherheitskonzeptes orientiert sich in der Regel an dem folgenden Fahrplan:

Welche Informationen sind generell erforderlich?

• Prozesse im Unternehmen
• Verarbeitungsstrukturen für personenbezogenen Daten im Unternehmen
• Personen und Rollen (Berechtigungskonzept)
• eingesetzte Hard- und Software
• vorhandene und genutzte Kommunikationsverbindungen
• Speicherort von personenbezogenen Daten und Anwendungen
• Vorhandene Auftragsdatenverarbeitung

Schritt 1: Ist-Analyse

• Ermittlung der schutzrelevanten Prozesse (Datenschutz, IT-Sicherheit)
• Ermittlung der IT-Struktur
• Ermittlung des Schutzbedarfes von Daten und Anwendungen
• Erstellung eines angepassten Prüfplanes (Soll)
• Durchführung eines oder mehrerer Audits zur Ermittlung des Ist-Zustandes
• Analyse und Bewertung der Prüfergebnisse (Soss-Ist)
• Erstellung eines Prüfberichtes

Schritt 2: Umsetzung von Maßnahmen

• Sichtung der Untersuchungsergebnisse
• Erstellung von Maßnahmenempfehlungen
• Konsolidierung der Maßnahmen (Reduktion von Redundanzen)
• Kosten- und Aufwandsabschätzung
• Festlegung der Umsetzungsreihenfolge und Verantwortlichkeiten
• Realisierungsbegleitende Maßnahmen
• Sensibilisierung und Schulung der Mitarbeiter

Schritt 3 (u.U.): Erweiterte Gefährdungsanalyse

• Welche Bedrohungen können sich auf welche Systeme auswirken?
• Ermittlung des erweiterten Schutzbedarfes
• Wie hoch ist die Wahrscheinlichkeit, dass eine solche Bedrohung zu einem Schaden führt?
• Wie hoch würde der Schaden sein?
• Welche Risiken ist das Unternehmen bereit zu tragen?
• Das Restrisiko ergibt sich aus der Kombination aus Schadenshäufigkeit und Schadenshöhe.

Eine Bedrohung allein wäre für ein perfektes IT-System nicht gefährlich. Erst dadurch, dass das System oder die das System umgebenden Personen, Räumlichkeiten oder Regelungen eine Schwachstelle aufweisen, die durch eine Bedrohung ausgenutzt werden kann, entsteht eine Gefährdung und damit verbunden ein Risiko. (Quelle: BSI)

ITM: Wie ist es einem Beratungs-/Dienstleistungsunternehmen möglich, die Effektivität des im Anwenderunternehmen bereits etablierten IT-Sicherheitsprozesses zu überprüfen?
Tessendorf: Ausgehend von einer eingehenden Analyse des Unternehmens definiert man den Schutzbedarfes der Daten und Anwendungen und erstellt
einen angepassten Prüfplan. Auf dessen Grundlage wird, mit einem oder mehrerer Audits, der Ist-Zustand ermittelt.
Die Effektivität eines IT-Sicherheitsprozesses ergibt sich dabei aus der Bewertung der Differenz zwischen geplanten und umgesetzten
Schutzmaßnahmen zum Zeitpunkt X.

ITM: Welche sicherheitsrelevanten Aspekte werden von den Unternehmen besonders häufig vernachlässigt?
Tessendorf: In der Regel geben organisatorische Aspekte den Ausschlag. Die technische Sicherheit ist häufig in einem akzeptablen bis gutem Bereich.
Die organisatorischen Rahmenbedingungen, angefangen bei der Unternehmens-Policy hin zum Datenschutz, der Prozess- und IT-Dokumentation, über die Erstellung von Regeln und Richtlinien bis zur Schulung der Mitarbeiter, werden oft vernachlässigt.

ITM: Mit welchem Aufwand (Zeit, Kosten...) ist bei der Erstellung eines umfassenden Konzeptes zu rechnen?
Tessendorf: Das ist eine Frage, die ohne Kenntnis des potentiellen Kunden und der dort vorherrschenden Rahmenbedingungen und dem Schutzbedarf der Daten nicht seriös zu beantworten ist. Der Aufwand kann sich zwischen wenigen Tagen, bei der Prüfung von vorhandenen Konzepten, bis zu Wochen oder Monaten, bei komplexen Anforderungen und Systemumgebungen, erstrecken.

ITM: Welche Rolle spielt für die Anwender die Erlangung eines international anerkannten IT-Sicherheitszertifikats?
Tessendorf: Die Gründe für die Erlangung eines international anerkannten Zertifikates lassen sich realistisch auf zwei Ziele eingrenzen:

• Marketingerwägungen (Expansion in den internationalen Markt)
• Druck auf den Anwender durch internationale Kunden

ITM: Wofür ist dies grundsätzlich wichtig?
Tessendorf: Die Notwendigkeit zur Erlangung eines internationalen IT-Sicherheitszertifikates unterscheidet sich nicht von der Notwendigkeit anderer Zertifizierungen. Ziel des Unternehmens sollte es sein, seine Prozesse zu verbessern, dazu kann ein Zertifizierungsprozess hilfreich sein. Aufgrund mangelnder, durchgreifender Standardisierung sind aber die zu erlangenden Zertifikate schwer vergleichbar. Das Anstreben eines Zertifikates aus reinen Marketingaspekten wird für ein Unternehmen auf Dauer keinen Sicherheitsgewinn bringen.

ITM: Welche IT-Sicherheitsstandards müssen ohnehin eingehalten werden?
Tessendorf: Das Bundesdatenschutzgesetz (BDSG) ist das einzige Gesetz, das konkrete Anforderungen zum Schutz von (personenbezogenen) Daten stellt (§9 BDSG – technisch-, organisatorische Maßnahmen). Das Einhalten von IT-Sicherheitsstandards ist nicht direkt per Gesetz gefordert. Allerdings lässt sich die Notwendigkeit zur Implementierung von IT-Sicherheitsmaßnahmen aus verschiedenen Gesetzen ableiten (KonTraG, GoBS, HGB, SOZ,…) ohne dass dort konkrete Standards gefordert werden.