Problemzonen in der Praxis

Das "richtige Maß" an IT-Sicherheit zu ermitteln ist demnach keine triviale Angelegenheit. Nach Beobachtungen von Experton-Berater Funk tun sich Unternehmen besonders schwer, die Gefahrenquellen für die eigene Organisation zu identifizieren und zu bewerten. Dies sei allerdings die wichtigste Aufgabe: "Nur wer die Risken genau analysiert hat, kann bestimmen, wie viel er in die eigene Sicherheit investieren muss." Oft hapert es schon an der notwendigen Vorbereitung, bemängelt Forrester-Analyst Kark. Wo etwa der Datenschutz oberste Priorität hat, muss der Security-Verantwortliche zunächst definieren, welche Informationen besonders schützenswert sind, und sie zu diesem Zweck lokalisieren und klassifizieren - etwa danach, ob es sich um Kundendaten handelt oder welche Personen darauf zugreifen können. "Diese Vorarbeit wird häufig vernachlässigt - statt dessen gelten dann für alle Informationen die gleichen Maßstäbe in Sachen Verschlüsselung und Zugangskontrollen", so die Kritik. Das Fehlen einer strukturierten Vorgehensweise ist auch für Fressnapf-IT-Chef Hilgenberg das Hauptproblem bei der Ermittlung, wie viel Sicherheit angemessen ist: "Für IT-Verantwortliche ist das Thema Security oft eine unliebsame Zusatzaufgabe zu den vielfältigen Tätigkeiten des Tages- und Projektgeschäfts."

Menschen machen viele Fehler

Eine besondere Problemzone bildet aus Sicht der Experten der Faktor Mensch. Studien zufolge sind 70 bis 80 Prozent aller Sicherheitsvorfälle auf die eigenen Mitarbeiter zurückzuführen. Für IDC-Experte Domage stellen die Anwender sogar das größte Problem überhaupt dar - nicht zuletzt aufgrund der zunehmenden Nutzung mobiler Endgeräte. Wichtig sei daher, die eigene Belegschaft durch Aufklärung und Schulung zu sensibilisieren - auch, um sie von absichtlichen Sicherheitsverstößen und Attacken auf das Unternehmen abzuhalten, so Forrester-Mann Kark: "Es muss klar sein, dass solche Angriffe konkrete Konsequenzen haben - etwa die Kündigung oder eine Strafanzeige."