Die Dunkelziffer an Sicherheitsprofis, die im eigenen Unternehmen Netze angreifen, ist nach Meinung des Arago-Vorstands hoch: "Allerdings hüllen sich die Unternehmen in diesem Punkt nach wie vor in Schweigen. Über Schäden dieser Art soll die Öffentlichkeit nichts erfahren." Für Boos steht fest, dass Kontrollen zwar unabdingbar sind, sich die Verantwortlichen im Unternehmen bei der Entscheidung für Sicherheitsexperten aber auf ihre Menschenkenntnis verlassen müssen.
Grundsätzlich gibt der Arago-Chef ehemaligen Hackern eine Chance: "Wenn jemand im Einstellungsgespräch offen einräumt, dass er Systeme geknackt hat, stelle ich ihn eher ein als denjenigen, der das strikt leugnet. Bei dem Ersten weiß ich zumindest, dass er ehrlich ist." Boos bedauert, dass die Zeiten der enthusiastischen Hacker, die noch für die Freiheit der Informationen gekämpft haben, vorbei sind: "Von diesen Idealisten gibt es heute nicht mehr viele. Wenn man Glück hat, arbeiten sie bei einem seriösen Sicherheitsdienstleister."
"Einwandfreie geistige Haltung"
Das sieht Bernd Hilgenberg, IT-Chef der Fressnapf Tiernahrungs GmbH, anders: "Das ist ja so, als würde ein Bankräuber in einem Sicherheitsunternehmen die Tresore überwachen. Gerade in einem so sensiblen Bereich wie der IT-Sicherheit ist eine einwandfreie geistige Haltung vonnöten." Der IT-Verantwortliche rät dazu, bei der Rekrutierung von potenziellen Security-Mitarbeitern auf die Zwischentöne zu achten: "Wenn sich ein Kandidat mit besonderem Know-how und Erfolgen brüstet, ist eine gewisse Vorsicht angebracht." Hilgenberg sieht es als seine Aufgabe an, im Unternehmen selbst für ein größtmögliches Maß an IT-Security zu sorgen: "Um das zu erreichen, bringe ich mein Sicherheitswissen ständig auf den neuesten Stand und bespreche Bedenken mit den Fachbereichen." Sollte es dennoch zu einem Notfall kommen, zieht der Fressnapf-Manager eine IT-Sicherheitsfirma zu Rate.
Bei DNV (Det Noske Veritas) haben es Info-Banditen besonders schwer. Die potenziellen Sicherheitsmitarbeiter müssen bei dem norwegischen Zertifizierungsunternehmen erst alle Abteilungen durchlaufen, bis sie in das Expertenteam "Sicherheit" kommen. Guido König, der die deutsche IT-Abteilung von DNV in Essen leitet, die europäische Anwender auch zu Sicherheitsthemen betreut: "Wir schützen uns vor unseriösen Sicherheitsprofis, indem unsere Expertenteams nur intern besetzt werden. Einsteiger von außen haben da keine Chance."