Schutz der Kronjuwelen

ITM: Herr Kranawetter, laut der aktuellen Lünendonk-Studie „Führende IT-Beratungs- und IT-Service-Unternehmen in Deutschland“ wurde neben „Mobile Business“ der Schwerpunkt „Sicherheit“ als wichtigstes Thema bewertet. Woran liegt das Ihrer Meinung nach?
Michael Kranawetter: Aktuell lesen und hören wir von immer mehr Vorfällen, die die Verfügbarkeit oder Vertraulichkeit von Informationen in Unternehmen betreffen. Es wird immer klarer, dass das Geschäft von Unternehmen durch solche Sicherheitsvorfälle gestört werden kann und diese somit mittelbare Auswirkungen auf den Umsatz zur Folge haben. Dadurch werden Sicherheitsvorfälle betriebswirtschaftlich relevant, weshalb Unternehmen mit entsprechenden Aktivitäten reagieren.

ITM: Welchen Stellenwert nimmt das Thema „IT-Sicherheit“ heutzutage im Mittelstand ein?
Kranawetter: Im Mittelstand stellt sich für die Geschäftsführung immer die Frage, wie die knappen Ressourcen am sinnvollsten eingesetzt werden. Durch die Zunahme der Vorfälle nimmt auch der Handlungsbedarf zu. Das Risiko, durch einen solchen Vorfall das gesamte Geschäft zu gefährden, wird durch die ansteigenden Bedrohungen immer größer. Daher steigt folglich auch die Bereitschaft, sich mit dem Thema zu beschäftigen und zu investieren. Allerdings herrscht begleitend auch immer noch die Meinung vor, dass es nur andere betrifft. So gibt es im Mittelstand Unternehmen, die sich früh schützen werden, und andere, die abwarten wollen.

ITM: Inwiefern greifen Mittelständler bereits auf professionelle IT-Sicherheitsberatungen zurück?
Kranawetter: Meist gestaltet sich der Entscheidungsprozess in unterschiedlichen Stufen. Man beginnt sich zu informieren, sammelt Erfahrungsberichte und lässt sich beraten, bevor dann die Kaufentscheidung fällt. Derzeit haben wir den Status der ausgeprägten Informationsbeschaffung, die konkrete Beratung des Mittelstands hat noch Potential nach oben. Die Beratung bzw. die Feststellung des aktuellen Status der Informationssicherheit ist jedoch ein ganz wichtiger Schritt, um das Sicherheitsniveau der Unternehmen adäquat anzuheben. Deswegen kann ich jedem Unternehmen nur raten, sich beraten bzw. ein Assessment der aktuellen Situation durchführen zu lassen. Auf der Basis von nachvollziehbaren Informationen lassen sich leichter Entscheidungen treffen. Der Geschäftsführung muss klar sein, welchen akuten Risiken ihre Informationen ausgesetzt sind und welche Maßnahmen sinnvoll, angebracht und rentabel sind.

ITM: Welche technischen Lösungen und organisatorischen Aspekte schließt eine umfassende IT-Sicherheitsberatung mit ein?
Kranawetter: Man hört immer wieder, dass jedes Unternehmen individuell ist und somit eine zugeschnittene Lösung braucht. Ich denke, das ist nur zum Teil richtig. Wie auch im Grundschutz des BSI beschrieben, sollte eine Basis an Maßnahmen, die technischer und organisatorischer Natur sind, geschaffen werden. Dabei dürfen natürlich die Anwender selbst, auch in Form von Schulungen, nicht vergessen werden. In diesem Sinne sollten die Basismaßnahmen nicht jedes Mal neu erfunden, sondern „einfach“ umgesetzt werden. On Top sollten dann Maßnahmen durch die Beratung identifiziert werden, die im speziellen für das Unternehmen notwendig sind. Diese sind in der Regel branchenspezifisch, können also auch einem vordefinierten Rahmen entsprechen. Zu guter Letzt müssen die „Kronjuwelen“ gefunden und insbesondere geschützt werden. Organisatorisch ist es entscheidend, dass die Experten für Sicherheit nicht in der IT vergraben werden. Sicherheitsmanagement ist eine Risiko-Management-Disziplin und gehört nicht in die IT, sondern in den Stab der Geschäftsführung, um IT-unabhängige Entscheidungen treffen zu können. Die Umsetzung der Sicherheitsmaßnahmen umfasst auch nicht nur IT-Aufgaben, gerade deshalb sollte man auch von Informationssicherheit und nicht nur von IT-Sicherheit sprechen. Innerhalb der IT sollte die IT-Sicherheit nicht isoliert betrachtet werden, sondern Bestandteil der einzelnen Dienstleistungen sein. Der Sicherheitsmanagementstab kann hier auch Experten für die Beratung bereitstellen, durchaus auch durch externe Hilfe. Die Umsetzung und der Betrieb sollten jedoch über die Dienstleistungserbringer erfolgen.

ITM: Wie gehen Sie schrittweise bei der Erstellung eines Sicherheitskonzeptes vor und woran orientieren Sie sich hierbei?
Kranawetter: Startschuss sollte die Organisationsrolle und die Richtlinie für Informationssicherheit sein, von dort ab die Definition der Basismaßnahmen, die Erstellung der Risikomatrix über die Basismaßnahmen hinaus mit zusätzlichen Maßnahmen und dann ergänzend der spezielle Schutz der Kronjuwelen. Ein durch Beratung entstehender Projektplan zur Umsetzung, der durch die Geschäftsführung unterstützt wird, ist hilfreich und zweckdienlich. Es muss auch gerade im Mittelstand nicht alles spezielle Wissen vorrätig gehalten werden. Ich denke, es ist eher sinnvoll, hier punktuell Wissen zuzukaufen.

ITM: Wie ist es einem Beratungs-/Dienstleistungsunternehmen möglich, die Effektivität des im Anwenderunternehmen bereits etablierten IT-Sicherheitsprozesses zu überprüfen? (Stichwort: Risikomanagement)
Kranawetter: Gerade hier kommen die Aufgabenstellung der Revision und eine enge Zusammenarbeit mit der Sicherheitsabteilung zur Geltung. Auch für mittelständische Unternehmen macht es Sinn, eine Revisionsabteilung zu etablieren, oder zumindest einen Wirtschaftsprüfer zu engagieren, der diese Aufgabe übernimmt. Regelmäßige externe Überprüfungen – auch durch unterschiedliche Gesellschaften – helfen hier ein objektives Bild des Status zu bekommen. Diese Prüfberichte müssen jedoch intern bewertet und entsprechende Aktivitäten definiert werden. Genau dafür ist die Sicherheitsorganisation (bzw. der Sicherheitsmanager), am besten als Teil des Risikomanagements, zuständig.

ITM: Welche sicherheitsrelevanten Aspekte werden von den Unternehmen besonders häufig vernachlässigt?
Kranawetter: Viele Unternehmen vernachlässigen bereits die Etablierung der Rolle eines Sicherheitsmanagers und haben somit keine definierte Zuständigkeit und damit keinen Kümmerer, der die Hand auch mal in die Wunde legt. Auf technischer Ebene wird meist in Basistechnologie investiert. Durch Virenschutz und Firewall wird somit das Gefühl geschaffen, es wäre alles erledigt. Grundsätzlich wird der Hauptaspekt auf die Infrastruktur gelegt und der Schutz der Informationen selbst vernachlässigt. Ich denke, die Kombination von beiden ist der Weg für die Zukunft, da sich die Informationen immer mehr von der Infrastruktur trennen bzw. die Unternehmen die Infrastruktur, in der ihre Informationen verarbeitet werden, nicht mehr selbst steuern (Cloud, BYOD usw.).

ITM: Mit welchem Aufwand (Zeit, Kosten...) ist bei der Erstellung eines umfassenden Konzeptes zu rechnen?
Kranawetter: Das lässt sich nicht pauschal sagen. Der Grundsatz sollte jedoch sein, dass ein kleiner schneller Start mehr bringt als ein großes Konzept, das nie zum Einsatz kommt. Die Rolle eines Chief (Information) Security Officers zu etablieren, ist ein Personalkostenpunkt, der nicht zu niedrig angesetzt werden sollte. Auch sollte dieser dann ausreichend Budget für den Entwurf und die Umsetzung des Konzepts haben. Ein Unternehmen muss sich fragen, was seine Existenz wert ist und welche Investition zum Schutz eingesetzt werden soll. Meine Daumenregel lautet dabei, immer 10 Prozent Anteil der Gesamtinvestitionen für die Sicherheit auszugehen. Das bedeutet ganz grob: Investiert ein Unternehmen 1 Mio. Euro in IT, dann sollten 100.000 Euro in die IT-Sicherheit laufen.

ITM: Welche Rolle spielt für die Anwender die Erlangung eines international anerkannten IT-Sicherheitszertifikats? Wofür ist dies grundsätzlich wichtig?
Kranawetter: Wenn wir von solchen Investitionssummen sprechen, will die Geschäftsführung in der Regel auch einen Gegenwert und eine Kontrollinstanz. Diese kann ein Zertifikat sein, das auch nach außen aufzeigt, dass das Unternehmen in Sicherheit investiert und Maßnahmen umgesetzt hat. Somit kann die Investition auch für Reputationszecke verwendet werden. Zudem gibt es gerade in der Zuliefererkette immer mehr Anforderungen für den Nachweis eines Sicherheitsmanagements, der durch ein Zertifikat gerechtfertigt werden muss. Übrigens sind Zertifikate nicht auf ewig gültig, sondern müssen regelmäßig erneuert werden. Somit hat das Unternehmen auch einen Garanten, dass das Sicherheitsniveau stetig angepasst und verbessert wird. Auch aus dem Grund, damit das Sicherheitsmanagement immer wieder auf ein Ziel hinarbeitet, empfehle ich, ein Zertifikat zu erlangen, das auch einen Mehrwert wiederspiegelt.

ITM: Welche IT-Sicherheitsstandards müssen ohnehin eingehalten werden?
Kranawetter: Ohnehin derzeit keiner. Als „best practice“ erweist sich seit Jahren die ISO 2700x-Reihe. In speziellen Bereichen gibt es jedoch Anforderungen, die umgesetzt werden müssen, um Geschäftsbeziehungen einzugehen, wie im Umgang mit Kreditkarten oder um bestimmten Auflagen gerecht zu werden, die in der Regel aber zu schwammig formuliert sind. Es gibt jedoch Bestrebungen, die Sicherheitsanforderungen auch gesetzlich zu verankern, ähnlich dem Datenschutz.

ITM: Wie wird letztlich das reibungslose Zusammenspiel der technischen und organisatorischen Sicherheitsmaßnahmen gewährleistet?
Kranawetter: Durch Kommunikation und klare Zuständigkeiten. Ich denke, es ist am wichtigsten, die Informationssicherheit aus organisatorischer Sicht zu klären und die Technik als Umsetzung zu betrachten. Das haben wir bisher andersherum betrieben und dabei viele Fehler begangen, die jetzt berichtigt werden müssen. Management hat viel mit Transparenz und Nachvollziehbarkeit zu tun, genau diese muss durch Monitoring und Reporting gegeben werden. Das Lagebild des Unternehmens sowie auch der Industrie und Wirtschaft muss klar sein, damit adäquat entscheiden und gehandelt werden kann. Wenn ein Unternehmen im Dunkeln tappt, weiß es nicht, wo eine Investition sinnvoll ist, genau das haben wir jedoch bisher getan. Nämlich blind in Technik investiert, um dadurch ein Gefühl der Sicherheit zu erlangen. Heute ist es an der Zeit, Sicherheit zu managen, also Risikomanagement als Disziplin und nicht als IT-Thema.