Das verkannte IT-Risiko

Die Zahlen, die das Bundeskriminalamt (BKA) im Oktober 2009 vorstellte, sind alarmierend. Im Jahr 2008 stieg die Zahl der Straftaten im Bereich der Informations- und Kommunikationstechnik um elf Prozent. Deutlich über dem Durchschnitt lagen dabei Angriffe auf den Mailverkehr, der im Vergleich zum Vorjahr um 60 Prozent zunahm, sowie die Täuschungs- und Fälschungsdelikte in der Datenverarbeitung, die um 30 Prozent stiegen.

Der Wirtschaft entstand durch die sogenannte IuK-Kriminalität ein offizieller Schaden von 37 Millionen Euro. Die Dunkelziffer dürfte jedoch noch deutlich darüber liegen. Denn die Experten des BKA gehen "von einem erheblich größeren Dunkelfeld" aus. Das lässt darauf schließen, dass viele Unternehmen den Missbrauch nicht gemeldet oder - im schlimmeren Fall - gar nicht erst bemerkt haben.

Unternehmen für Datensicherheit nicht sensibilisiert

Letzteres würde bedeuten, dass viele Unternehmen für das Thema Datensicherheit noch nicht genug sensibilisiert sind. Zu einem solchen Ergebnis kommt auch Corporate Trust, eine Unternehmensberatung für Sicherheitsdienstleistungen, in ihrer Studie "Gefahrenbarometer 2010", für die das Unternehmen mehr als 5.000 mittelständische Unternehmen befragte. Demnach bezeichneten rund 60 Prozent der Studienteilnehmer den leichtfertigen Umgang der eigenen Mitarbeiter mit Sicherheitsstandards als größtes Risiko für die eigene IT- und Datensicherheit. In ebenfalls 60 Prozent der Unternehmen verfügen die PCs der Mitarbeiter andererseits über USB-Ports, Brenner und Internetzugang - Datenmissbrauch wird praktisch mehr gefördert denn verhindert. Zudem erfolgt die Kommunikation in den meisten Betrieben unverschlüsselt.

Tatsächlich stammen bei Spionage-Fällen die Täter meist aus dem ausspionierten Unternehmen selbst. In Baden-Württemberg liegt die Quote der Fälle, in denen Mitarbeiter vertrauliche Informationen weitergeben, bei 70 Prozent, wie das Sicherheitsforum des Landes herausfand. Geschäfts- und Betriebsgeheimnisse gelangen so in falsche Hände, ebenso wie Informationen über Vorgänge der Produktion, der Entwicklung und der Forschung.

Doch auch Angriffe von Hackern mehren sich. Etwa 14 Prozent der von Corporate Trust befragten Unternehmen waren in den vergangenen drei Jahren von Hackerangriffen betroffen. Damit rangiert die moderne Form der Spionage im Vergleich aller Schadensursachen auf Rang drei - hinter Einbruch und Diebstahl (20 Prozent) sowie Korruption und Betrug (15,1).

Verschärfung des Datenschutzgesetzes

Allen Studien und Warnhinweisen der zuständigen Behörden zum Trotz ist es um die Datensicherheit in vielen Unternehmen noch immer schlecht bestellt. "Viele Unternehmen verkennen das Risiko, selbst Opfer von Hackern oder Spionage zu werden", weiß auch Martin Mahler nur zu gut. Mahler ist Leiter des Geschäftsbereichs Information Technology bei der DIS AG. Jüngst hat der Personaldienstleister den Fachbereich IT-Sicherheit ins Leben gerufen. "Wir reagieren damit auch auf die Bedürfnisse unserer Kunden. Es gibt viele Unternehmen, denen schlicht die Mittel fehlen, um IT-Fachkräfte einzustellen, die sich dann dauerhaft um die Sicherheit der IT-Systeme und somit der Daten kümmern." Der Fachbereich bietet Unternehmen je nach Bedarf Unterstützung bei der Entwicklung, Implementierung und Überwachung von IT-Sicherheitsprogrammen. "Unternehmen, die ihre Daten, insbesondere ihre Mitarbeiterdaten, nicht ausreichend schützen, können schnell in Konflikt mit dem Gesetz kommen", betont Mahler.

Seit dem 1. September 2009 drohen sogar noch härtere Konsequenzen als zuvor. Denn die Bundesregierung hat auf die zunehmende Internetkriminalität reagiert und mit der zweiten Novellierung des Bundesdatenschutzgesetztes die Datenschutzbestimmungen verschärft - und gleichzeitig auch die Konsequenzen. Wurde ein Datenmissbrauch durch unzureichende Sicherheitsmaßnahmen möglich oder erleichtert, kann in gewissen Fällen der Geschäftsführer persönlich für den durch Datenverlust und -missbrauch entstandenen Schaden haftbar gemacht werden.

Mehr Sicherheit mit ISO 27001

Um die IT-Sicherheit dauerhaft zu gewährleisten entwickeln viele Unternehmen aber auch Behörden und Regierungsstellen sogenannte Information Security Management Systems (ISMS) auf Basis des Standards ISO 27001. Zunächst wird eine Security-Policy für das Unternehmen oder die Behörde festgelegt. Die IT-Experten können dann anhand dieser definierten Sicherheitsgrundsätze Maßnahmen entwickeln, die die Einhaltung dieser Grundsätze gewährleisten. Sie analysieren zudem kontinuierlich, wie wirksam die Maßnahmen tatsächlich sind und passen sie bei Bedarf den aktuellen Gegebenheiten an. Sämtliche Maßnahmen werden sorgfältig dokumentiert und deren Wirkung in einem regelmäßigen Compliance-Report festgehalten.

"Der Vorteil einer Sicherung der IT-Systeme nach ISO 27001 ist, dass die Schutzmaßnahmen schnell an sich verändernde Herausforderungen aber auch Gesetzgebungen angepasst werden können", erklärt Martin Mahler. "Die Dokumentation der Maßnahmen und deren Wirkung ist vor allem dann von Bedeutung, sollte es, etwa durch Hackerangriffe, doch einmal zu einem Datenverlust kommen. In diesem Fall kann das Unternehmen lückenlos nachweisen, dass es den Schaden nicht durch Fahrlässigkeit erleichtert oder sogar provoziert hat." Unternehmen haben zudem die Möglichkeit, sich durch das Bundesamt für Sicherheit in der Informationstechnik (BSI) nach ISO 27001 zertifizieren und somit einen IT-Sicherheitsstandard bescheinigen zu lassen. Das Zertifikat dient aber nicht nur der eigenen Bestätigung: Es ist auch ein Qualitätsmerkmal gegenüber Kunden und Geschäftspartnern und kann damit Vorteile im Wettbewerb bedeuten.