28.12.2016 Der sichere Pfad durch den Cyberdschungel

IT-Sicherheit: Outsourcing oder Inhouse-Lösung?

Von: Konstantin Trott, LS

Der Mittelstand befindet sich längst im Zentrum der Cybersicherheitsdebatte. Viele IT-Entscheider halten Outsourcing für den einzigen Weg, ihr Unternehmen effektiv abzusichern. Dabei gestaltet sich die Auslagerung von Sicherheitselementen häufig kompliziert und weniger wirtschaftlich, als erhofft. Eine individuell und nachhaltig konzipierte Inhouse-Lösung wäre hier oft die bessere Wahl.

Gemäß einer kürzlich vom Branchenverband Bitkom veröffentlichten Studie richten sich etwa 61 Prozent aller Cyberangriffe auf mittelständische Unternehmen, die mit der Bedrohungslage oftmals vollkommen überfordert sind. Die Probleme sind klar: Gutes Personal und das nötige Know-how fehlen. Neben erfahrenen Fachkräften mangelt es an Ausbildungs- und Weiterbildungsmaßnahmen sowie entsprechenden Programmen für Beschäftigte im IT-Bereich.

Immer mehr Unternehmen setzen daher auf Outsourcing-Lösungen. Grundlegend ist hierbei der Wunsch vieler Entscheider, das heikle Thema möglichst weit von sich wegzuschieben und in vermeintlich sicheren Händen zu wissen. Dienstleister profitieren dabei von der teilweise angstvollen Stimmung in der Cybersicherheitswelt. Schlagwörter wie „Industrie 4.0“ und „Digitalisierung“ sowie neue digitale Gefahrenpotentiale treiben Unternehmens- und Abteilungschefs Schweißperlen auf die Stirn und sorgen für panikartige Reflexe sowie den Wunsch nach einer möglichst schnellen, unkomplizierten und endgültig sicheren Lösung.

Kein absolut sicheres Bollwerk

Dabei gestaltet sich die Zusammenarbeit mit Dienstleistern nicht immer so unproblematisch und erfolgreich, wie erhofft. Die Anpassung der unterschiedlichen Prozesse zweier in vielen Fällen grundlegend unterschiedlich funktionierender Unternehmen, das Qualitätsmanagement und das Erreichen von Zielen, die sich gegenseitig ausschließen, wie z.B. die Sicherheitssteigerung bei gleichzeitiger Kostensenkung, sind mühsam und mitunter nur schwer umsetzbar.

Darüber hinaus entspricht die Vorstellung mit dem Sicherheitsservice des Dienstleisters, ein absolut sicheres Bollwerk gegen die Gefahren des Cyberdschungels errichtet zu haben, naivem Wunschdenken. Zwar besteht ohne den Einsatz von Cyberspezialisten kein Reaktionsvermögen auf Angriffe, dieses ist aber auch bei Buchung externer Sicherheitselemente nicht unbedingt immer gegeben.

Es bleibt außerdem fraglich, ob sich mit Outsourcing langfristig wirklich Geld sparen lässt. Die Sicherheit wird zwar zunächst erhöht, es ist jedoch für ein Unternehmen nicht erstrebenswert, sämtliche Kontrolle nach außen abzugeben und sich in einem der zentralen Unternehmensbereiche der Zukunft abhängig von Dienstleistern zu machen. Das Outsourcen bestimmter Teile und Bereiche kann nach einer genauen Analyse und Prüfung vor allem als kurzfristige Übergangslösung sinnvoll sein, um z.B. eine Unternehmenstransformation zu begleiten. In diesem Fall ist es wichtig, das Konzept zur Zusammenarbeit auf reale Transparenz zu überprüfen und die Einbindung von effektiven Kontrollprozessen sowie umfassendem Qualitätsmanagement weiterzuentwickeln.

Die realistische Einschätzung der bestehenden Risiken und möglicher Potentiale einer Auslagerung von Sicherheitselementen verlangt eine strukturelle Sicherheitsanalyse des Unternehmens. Der Umstand, dass Dienstleister in der Regel dazu raten, möglichst viele Elemente in ihre Hände zu verlegen, um ihr Geschäftsmodell stetig auszuweiten, ist selbstverständlich. Inwieweit dies aber langfristig zur Wirtschaftlichkeit und nachhaltigen Sicherheit des Unternehmens beiträgt, ist umstritten und sollte von einer dritten Partei von Experten beurteilt werden. In vielen Fällen wäre es dagegen durchaus sinnvoll, in die Sicherheitsstruktur im eigenen Haus zu investieren und auf diese Weise kosten- und zeiteffektive Lösungen umzusetzen.

Kein blinder Aktionismus

Reaktion auf die stetige Entwicklung im Cyberraum darf nicht das Wegschieben von Verantwortung und Kontrolle in Sicherheitsfragen, sondern muss eine nachhaltige Herangehensweise sein. Die Suche nach Lösungen muss am Know-how des Personals orientiert sein und Mitarbeiter müssen intensiver geschult bzw. weitergebildet werden. Die Suche nach neuen Fachkräften ist mit professioneller Unterstützung sinnvoll und führt zu einer langfristigen und nachhaltigen Ausrichtung der Sicherheitsstruktur. Im Interesse der zukünftigen Wettbewerbsfähigkeit Deutschlands ist auch die Bundesregierung gefragt, Förderung und Umsetzung von Weiterbildungs- sowie Ausbildungsprogrammen für Nachwuchskräfte voranzutreiben.

Um auf Unternehmensebene den digitalen Wandel und die stetig voranschreitende Vernetzung erfolgreich mitzugestalten und von Veränderungen profitieren zu können, ist das Pflanzen einer nachhaltigen, umfassenden und individuellen Sicherheitskultur unerlässlich. Das Thema „Sicherheit“ umfasst dabei nicht nur den Cyberraum, sondern verlangt eine ganzheitliche Betrachtungsweise, um die Befähigung zur selbstständigen Überwachung und Sicherung zu gewährleisten. Der Fokus muss auf die interne Sicherheitsstruktur, die intensive Aus- und Weiterbildung sowie eine generelle Sensibilisierung der bestehenden Mitarbeiterschaft gelegt werden.

Sicherheitskonzepte – wie sie etwa die Bosen AG für ihre Kunden entwirft – sind vor allem dann effektiv, wenn sie jedes Glied einer Organisation umfassen und von Innen heraus umgesetzt werden. Die weit verbreitete Angst und Ungewissheit im Hinblick auf den digitalen Wandel und das wenig konstruktive Abgeben von Verantwortung und Kontrolle hat keine Perspektive. Stattdessen muss eine besonnene Herangehensweise etabliert werden, die dazu befähigt, Gefahren proaktiv und langfristig handhaben zu können.

Bildquelle: Thinkstock / iStock