IT-Sicherheit am Arbeitsplatz: Gefahren vorbeugen

Chinesische Trojanerangriffe auf das Kanzleramt, verseuchte elektronische Grußkarten als neuer Trend, mangelnde Informationen über die IT-Sicherheit im Mittelstand - die Sicherheit der Informationstechnik in Behörden und Unternehmen bleibt auf der Tagesordnung. "Die Internet-Gefahren nehmen sowohl in Quantität als auch in Qualität deutlich zu", sagte Michael Hange, Vizepräsident des Bundesamtes für Sicherheit in der Informationstechnik BSI bereits zu Jahresbeginn. Laut IT-Sicherheitsreport 2007, den das Netzwerk Elektronischer Geschäftsverkehr (NEG) veröffentlicht hat, informiert die Hälfte aller Unternehmen seine Angestellten überhaupt nicht über Sicherheitsfragen. Außerdem verfügen viele Firmen nicht über IT-Notfallpläne, die bei einem Virenangriff in Kraft treten könnten. An der NEG-Studie beteiligten sich bundesweit 275 Unternehmen.

Sicherheitsfragen im Mittelsstand vernachlässigt

Leider spielt das Thema im Mittelstand vorwiegend eine theoretische Rolle. "In der Praxis herrschen Ahnungslosigkeit und das Gefühl 'Es wird schon gut gehen'. Oft endet der Schutz schon bei Firewall und Viren-Scanner und ist damit ziemlich lückenhaft," berichtet das CIO-Magazin. Experten machen dafür auch mangelndes Bewusstsein in der Führungsetage aus. "Viele Entscheidungsträger verengen das Thema auf den technischen Aspekt und betrachten es nicht als ganzheitliche Managementaufgabe. Eine erfolgreiche Sicherheitsstrategie benötigt jedoch immer die Unterstützung der Geschäftsführung und muss alle Mitarbeiter einbeziehen", sagt Projektleiter Andreas Duscha vom E-Commerce-Center Handel in Köln.

Zu wenig IT-Prozessmanagement

Und das, obwohl mit Basel II auch die Sicherheit der Informationstechnik für die Unternehmensbewertung insgesamt wichtiger geworden ist. Denn vor einer Kreditvergabe beispielsweise müssen Banken auch das Unernehmensrisiko bewerten. Dazu gehört die Ausfallsicherheit der EDV-Systeme und der generelle Schutz vor Informationsverlust. "Die meisten Unternehmen haben derzeit vor allem in technische IT-Sicherheit investiert, aber zu wenig in IT-Prozessmanagement. Zur Bewertung der operationellen Risiken nach Basel II werden aber genau solche Faktoren wie exakte Dokumentation, Notfallpläne, Security-Policy oder IT-Verfügbarkeit geprüft", sagt Erich Scheiber von der österreichischen Zertifizierungsstelle für Informationssicherheit CIS. "Zur Bewertung der operationellen Risiken nach Basel II werden aber Faktoren wie exakte Dokumentation, Notfallpläne, Security-Policy und IT-Verfügbarkeit geprüft", so Scheiber.

Diskrepanz zwischen Sicherheitsbewusstsein und Verhalten

Wer beim Thema IT-Sicherheit nur auf Technik setzt, ist nach Ansicht vieler Branchenkenner auf dem Holzweg. "In punkto Datensicherheit gab es in den vergangenen Jahren eine unvorstellbare Technologiegläubigkeit, die sich immer weiter von der Realität entfernt hat", weiß Lynn McNulty von der Sicherheits-Akkreditierungsbehörde der US-Regierung. Eine Studie des IT-Konzerns Cisco Systems besagt, dass es einen eklatanten Unterschied zwischen dem Sicherheitsbewusstsein der Mitarbeiter eines Unternehmens und ihrem tatsächlichen Verhalten gibt. "Phishing, das Ausspähen oder Erschleichen von Passwörtern und Codes, ist durch Technik alleine nicht in den Griff zu kriegen", erläutert auch Massimiliano Mandato, Network Security Consultant des Stuttgarter Systemintegrators Nextiraone.

Die Sicherheitsstrukturen vieler Unternehmen seien oft reines Flickwerk. Das hänge auch damit zusammen, dass die IT-Sicherheit nicht als kontinuierliche und ganzheitliche Aufgabe begriffen werde, sondern als einmalige Investition. "Viele Kunden im Mittelstand greifen auf lokale Anbieter von Sicherheitssystemen zurück. Diese sind aber meistens produktorientiert und kennen viele Sicherheitsmechanismen nur oberflächlich", so Mandato. Auch das Bewusstsein in der Unternehmensführung für die Belange der IT-Sicherheit müsse verstärkt werden. Denn dieselben technologischen Errungenschaften, die den Erfolg eines Unternehmens vorantreiben, bringen auch Gefahren mit sich. Daher benötige man eine Strategie aus einem Guss und Abwehrsysteme, die flexibel sind.