„Maßnahmen sind selten ausgewogen“

ITM: Herr Strobel, laut der aktuellen Lünendonk-Studie „Führende IT-Beratungs- und IT-Service-Unternehmen in Deutschland“
wurde neben „Mobile Business“ der Schwerpunkt „Sicherheit“ als wichtigstes Thema bewertet. Woran liegt das Ihrer Meinung nach?
Stefan Strobel: Sicherheit war immer schon ein sehr wichtiges Thema, jedoch ist es durch die bekannt gewordenen Angriffe von Anonymous und anderen Gruppierungen in den letzten Jahren verstärkt in die Presse und damit auch ins Bewusstsein der Unternehmen gekommen.

ITM: Welchen Stellenwert nimmt das Thema „IT-Sicherheit“ heutzutage im Mittelstand ein?
Strobel: Leider einen viel zu kleinen Stellenwert. Oft hört man Aussagen wie „Uns kennt ja keiner“ und „Von uns will auch keiner was“ als Begründung dafür, dass man sich kaum um Sicherheit kümmert.

ITM: Inwiefern greifen Mittelständler bereits auf professionelle IT-Sicherheitsberatungen zurück?
Strobel: Eher selten. Meist werden Mittelständler von regional ansässigen Systemhäusern beraten und betreut, die natürlich auch gerne Sicherheitsprojekte machen und damit Geld verdienen. Da hier aber meist die Spezialisierung und damit auch das Detailwissen und die Erfahrung fehlen, kann man oft nicht von „professioneller IT-Sicherheitsberatung“ reden. Stattdessen werden Standardprodukte wie Firewalls verkauft oder vermeintliche Sicherheitsprüfungen durchgeführt, die aber nur auf einem automatisierten Scan basieren und daher kaum Aussagekraft haben.

ITM: Welche technischen Lösungen und organisatorischen Aspekte schließt eine umfassende IT-Sicherheitsberatung mit ein?
Strobel: Eine umfassende Sicherheitsberatung muss immer mit der individuellen Bedrohungslage für das jeweilige Unternehmen beginnen. Die zu schützenden Werte und die dafür relevanten Bedrohungsszenarien sind immer unterschiedlich und von diesen sollten die passenden Maßnahmen abgeleitet werden. Technische Lösungen, organisatorische Aspekte oder auch Sensibilisierungsmaßnahmen für die Mitarbeiter sind dann mögliche Maßnahmen, die einzelnen oder mehreren Bedrohungen entgegenwirken können.

Um nicht nur einmalig etwas für die Sicherheit zu tun, sondern auch eine Nachhaltigkeit zu erreichen, ist es notwendig, die Verantwortlichkeiten, Vorgaben und Abläufe für das Management der Sicherheit zu definieren. Man spricht hier von einem Informationssicherheitsmanagementsystem (ISMS). Auch diese Aspekte gehören in eine IT-Sicherheitsberatung.

ITM: Wie gehen Sie schrittweise bei der Erstellung eines Sicherheitskonzeptes vor und woran orientieren Sie sich hierbei?
Strobel: Zunächst sollte die individuelle Situation des Unternehmens erfasst werden. Ausgehend von den zu schützenden Werten, den individuellen Bedrohungen und den Schäden, die daraus für das Unternehmen entstehen könnten, muss eine Risikoabwägung getroffen werden. Risiken, mit denen das Unternehmen leben kann, müssen nicht durch Maßnahmen reduziert werden. Für Risiken, die nicht akzeptabel sind, müssen geeignete Maßnahmen gefunden werden, die die Risiken auf ein akzeptables Maß reduzieren. Nur auf diesem Weg können Sicherheitskonzepte erstellt werden, die das vorhandene Budget tatsächlich sinnvoll ausnutzen, eine möglichst hohe Sicherheit zu erreichen und nicht einfach nur marktübliche Maßnahmen empfehlen, die im Einzelfall vielleicht sogar überflüssig sind und unnötig hohe Betriebskosten verursachen.

ITM: Wie ist es einem Beratungs-/Dienstleistungsunternehmen möglich, die Effektivität des im Anwenderunternehmen bereits etablierten IT-Sicherheitsprozesses zu überprüfen? (Stichwort: Risikomanagement)
Strobel: Wenn man die getroffenen Maßnahmen mit Erfahrung und Sachverstand den für das Unternehmen relevanten Werten und Bedrohungen gegenüberstellt, wird meist schnell deutlich, ob der Sicherheitsmanagementprozess erfolgreich funktioniert. Die Entscheidungen für oder gegen Maßnahmen sollten transparent und nachvollziehbar hergeleitet und dokumentiert worden sein. Oft findet man hier jedoch fehlende Maßnahmen auf der einen und überflüssige Maßnahmen auf der anderen Seite.

ITM: Welche sicherheitsrelevanten Aspekte werden von den Unternehmen besonders häufig vernachlässigt?
Strobel: Je nach Art und Größe der Unternehmen werden meist unterschiedliche Aspekte vernachlässigt. Bei mittelständischen Unternehmen fehlt es oft am Sicherheitsmanagement selbst und die Maßnahmen werden oft auf Basis von begrenztem Wissen ausgewählt und sind daher selten ausgewogen. Oft wird dann auch an den falschen Stellen investiert.

ITM: Mit welchem Aufwand (Zeit, Kosten...) ist bei der Erstellung eines umfassenden Konzeptes zu rechnen?
Strobel: Der Aufwand für die Erstellung eines umfassenden Konzeptes kann stark variieren und hängt von den zu betrachtenden Aspekten, der Firmengröße und dem Detaillierungsgrad ab. Je weniger Zeit und Geld man in die Erstellung eines solchen Konzeptes investiert, umso eher bekommt man ein Konzept von der Stange, in dem sich vor allem die Produkte aus dem Portfolio des beratenden Systemhauses wiederfinden. Alleine schon eine Risikoanalyse für einen ausgewählten Bereich, in der Maßnahmen abgeleitet werden, lässt sich kaum mit weniger als zehn Tagen Aufwand erstellen.

ITM: Welche Rolle spielt für die Anwender die Erlangung eines international anerkannten IT-Sicherheitszertifikats?
Wofür ist dies grundsätzlich wichtig?
Strobel: Die tatsächliche Zertifizierung des eigenen Unternehmens beispielsweise nach BSI Grundschutz oder nach ISO 27001 spielt bei den meisten Unternehmen keine große Rolle. Oft werden jedoch die Standards als Orientierungshilfe verwendet.

ITM: Welche IT-Sicherheitsstandards müssen ohnehin eingehalten werden?
Strobel: Es gibt keine hilfreichen und tatsächlich verpflichtenden IT-Sicherheitsstandards für alle Branchen, sondern allenfalls breitere Vorschriften, die am Rande auch ein wenig mit IT-Sicherheit zu tun haben, oder branchenspezifische Vorschriften. Manche Berater versuchen zwar durch kreative Interpretation von allgemeineren Gesetzen ihre Lösungen zu verkaufen, aber bei genauerer Betrachtung fallen solche Argumentationen in sich zusammen.

ITM: Wie wird letztlich das reibungslose Zusammenspiel der technischen und organisatorischen Sicherheitsmaßnahmen gewährleistet?
Strobel: Für das Zusammenspiel der Maßnahmen muss ein gutes Sicherheitsmanagement etabliert sein und die nötige Fachkompetenz aufgebaut werden.