„Laisser-faire“ im Mittelstand?

IT-Sicherheit ist nicht erst seit Edward Snowden und der Aufdeckung der Geheimdienstpraktiken ständig in den Schlagzeilen. Dazu kommen peinliche Datenpannen und unheimliche Cyber-Attacken. Trotz all dieser Risiken und Gefahren scheint im Mittelstand „Laisser-faire“ die gängige Praxis zu sein. Auch deshalb werden die Gesetze verschärft, um für die notwendige IT-Sicherheit zu sorgen und den Datenschutz im Sinne der Bürger zu verbessern. Vor diesem Hintergrund hat IT-MITTELSTAND zwei Experten befragt, was zu tun ist.

ITM: In Brüssel und Berlin wird die Gesetzgebung zur IT-Sicherheit neu geregelt. Was sind die wichtigsten Konsequenzen für mittelständische Unternehmen?
Marco Biewald: Das brandneue deutsche IT-Sicherheitsgesetz – kurz ITSG – richtet sich nur an bestimmte Unternehmen (Stichwort: kritische IT-Infrastruktur); für den Mittelstand bedeutender sind Konsequenzen aus der Neuregelung des Datenschutzes in einer europäischen Verordnung. Wenn die Verhandlungen bis Jahresende abgeschlossen sind, könnte 2018 eine für alle Unternehmen in Europa – und damit für alle Mittelständler – gleichlautende Regelung in Kraft treten.

• Konsequenz 1: Es gibt dann im Datenschutz keine rechtlichen Standortunterschiede mehr. Kritiker mit dem Argument, die deutschen Vorschriften seien zu streng, gehen ebenso ins Leere wie das Verkäuferversprechen „Wir erfüllen strengste deutsche Datenschutzstandards“. Die Anforderungen werden versachlicht.
• Konsequenz 2: Die Anforderungen werden in einzelnen Punkten steigen, was mittelständische Unternehmen vor organisatorische Aufgaben stellt. Zu den Aufgaben, die nach aktuellem Stand zu erwartet sind, gehören: Transparenz der Datenverarbeitung gegenüber Kunden und Beschäftigten herstellen, Dienstleister besser einbinden, Risikoeinschätzungen von Verarbeitungsvorgängen durchführen und dokumentieren.
• Konsequenz 3: Verstöße gegen Vorschriften werden härter sanktioniert. Als Bußgeld bei Datenschutzverstößen sind derzeit auch Anteile vom Jahresumsatz (z.B. zwei Prozent) im Gespräch. Das bedeutet, dass zur Vermeidung die Zulässigkeit der Verarbeitung von Daten genauer geprüft werden muss – auch beim Mittelständler.

Raimund Genes: Es ist abzusehen, dass davon auch zahlreiche mittelständische Unternehmen betroffen sein werden. Daher wird sich jedes Unternehmen überprüfen müssen, um in seiner jeweiligen Rolle auf Compliance bedacht zu sein. Zumal Verstöße gegen das ITSG mit Geldbußen bis zu 100.000 Euro geahndet werden können und lediglich Kleinstunternehmen von den Verpflichtungen ausgenommen sind.

Zu den mittelständischen Unternehmen werden wohl auch die meisten Telemedien-Diensteanbieter zu zählen sein, etwa Betreiber werbefinanzierter Webseiten. Sie werden dazu verpflichtet, im Rahmen des technisch Möglichen und wirtschaftlich Zumutbaren sicherzustellen, dass kein unerlaubter Zugriff auf ihre technischen Einrichtungen möglich ist und dass diese gegen Datenschutzverletzungen und äußere Angriffe gesichert sind.

Wesentliches Ziel der Regelung ist es, die Verbreitung von Schad-Software einzudämmen. Neben dem Einsatz von Schutzsoftware sowie dem Einspielen regelmäßiger Sicherheits-Patches zählt dazu ausdrücklich ein sicheres Verschlüsselungsverfahren.

ITM: Wo sehen Sie derzeit die größten Defizite bei Datenschutz und Datensicherheit?
Genes: Die größten Defizite sind definitiv in der fehlenden Wahrnehmung zu sehen. Gerade im Mittelstand ist Datenschutz und Datensicherheit einfach nur „noch ein Thema“ im Verantwortungsbereich des Geschäftsführers bzw. der Geschäftsleitung. Und leider wurde diesem Thema in der Vergangenheit in den wenigsten Fällen die wirklich nötige Aufmerksamkeit geschenkt.

Einer der Gründe ist die fehlende Risikowahrnehmung: „Wer soll uns schon angreifen?“ ist eine Standardantwort. Dem zugrunde liegt oft eine fehlende Risikoanalyse. Während in den Kerngeschäftsprozessen das Risiko ausführlich untersucht wird, wird die IT-Security entweder ignoriert oder mit einem Produkt von der Stange abgefertigt. Ob die eingekaufte Lösung überhaupt sinnvoll ist, lässt sich mangels Risikoanalyse nicht mal bestimmen. Ein anderer Grund ist sicherlich auch der fehlende Zugriff auf „Know-how“. Während bei Kernprozessen oder Finanzen der Zugriff auf Wissen beinahe „im Vorbeigehen“ erfolgt, benötigt IT-Security noch dedizierte Personen, Berater und Ressourcen. Letztendlich muss die Beratung und Durchführung von IT-Security im Unternehmen ähnlich zwingend sein wie der Gang zum Steuerberater.

Kombiniert mit anderen Gründen führt dies dazu, dass Daten im Mittelstand verarbeitet werden, über deren Risiken bzw. rechtlichen Rahmenbedingungen wenig bekannt ist. Das heißt: Auf der einen Seite entstehen auf einmal Datensammlungen, deren Wert und Brisanz oberflächlich gar nicht erfasst werden. Auf der anderen Seite werden aber auch Kundendaten erhoben und angereichert, die in der Art und Weise entweder gar nicht erhoben hätten werden dürfen bzw. die eindeutig als personenbezogene Daten unter die entsprechenden Gesetzgebungen fallen. Fehlt aber schon die initiale Risikoanalyse, so ist der Geschäftsführung dieses häufig weder bekannt noch bewusst.

Biewald: Nach meiner Erfahrung sind die Unternehmen so unterschiedlich, dass man nicht von den Defiziten des Mittelstandes schlechthin sprechen kann. Erkennbar sind aber Tendenzen:

• Tendenz 1: Datenerhebungen und -verarbeitungen sowie Software-Einsatz erfolgen ohne Konzept. Das bedeutet: Die Risiken sind nicht beleuchtet, aber auch Verantwortungen und Prozesse nicht unter dem Aspekt IT-Sicherheit durchdacht. Einen IT-Leiter zu haben, reicht nicht.
• Tendenz 2: keine korrekte Einbindung von Dienstleistern. Verträge sind nicht datenschutzkonform; abgesehen vom Vorschriftenverstoß werden Daten ohne Absicherung in die Hände Dritter gegeben.
• Tendenz 3: Datenschutz wird mental falsch aufgegriffen, nämlich als  bürokratische Last. Richtig wäre, ihn als  Maßnahme zur Vertrauensbildung von Beschäftigten oder Kunden anzugehen.

ITM: Können diese Defizite durch die Gesetzgebung überhaupt behoben werden – oder sind andere Maßnahmen empfehlenswert?
Genes: Die Gesetzgebung, die durch das ITSG geschaffen worden ist und durch die Rechtsverordnung noch näher ausgefüllt werden wird, war lange überfällig. Sie ist gerade deswegen auf den Weg gebracht worden, weil von den Unternehmen zu wenig IT-Sicherheit auf freiwilliger Basis eingerichtet wurde. Man wird sehen, ob insbesondere die Drohung mit den Sanktionen ihre Wirkung erreicht und zu einem Umdenken und Handeln in Richtung auf eine Verbesserung der IT-Sicherheit führt – im einzelnen Unternehmen wie für die Gesellschaft insgesamt.

Unternehmen sollten die Übergangsfrist von zwei Jahren nach Erlass der Rechtsverordnung zum ITSG keinesfalls ausschöpfen, sondern schon jetzt ihre Vorkehrungen zur IT-Sicherheit überprüfen und auf den Stand der Technik bringen – und ständig dort halten.

Biewald: Ob noch mehr Gesetze letztlich helfen, bezweifle ich! Vorschriften werden auch deshalb missachtet, weil der Mittelständler bei der Vorschriftenfülle irgendwann aufgibt – im Bewusstsein, niemals alle erfüllen zu können.

Empfehlenswert wäre es, ähnlich wie zu Geschäftsbeginn mit dem Business-Plan jetzt auch die IT-gestützten Prozesse oder Änderungen vorab zu konzipieren – und zwar mit fachlicher Hilfe. Das heißt: Für etwas Beratungshonorar Know-how in diesem Bereich einkaufen und das Vorhaben bewerten lassen. Außerdem: Mut zur Transparenz! Allen Betroffenen mitteilen, was man mit den Daten macht. Und: Beschäftigte sensibilisieren – wer mit den Daten arbeitet, braucht Bewusstsein für die Gefahren.