Wäre die Reaktion der Anwender nicht realistisch und nachvollziehbar, müsste man fast den Eindruck bekommen, es handle sich um einen geschmacklosen Marketing-Trick einiger Hersteller. Nur wenige Minuten, nachdem das erste von Terroristen gekaperte Flugzeug in den Nordturm des World Trade Center gerast war, gingen angeblich die ersten Anrufe bei Comdisco und IBM ein. Bei beiden Firmen, aber auch anderen Anbietern von Disaster-Recovery-Services sowie Datenspeicherlösungen wie Sunguard Data Systems, Veritas Software oder EMC standen dem Vernehmen nach die Telefone nicht mehr still. Allein Comdisco will bis zum Abend 25 Anrufe registriert haben, bei denen Firmen primär Ersatz für zerstörte "Außenstellen" im World Trade Center haben wollten.
Firmen, Banken und Investmenthäuser waren "out of Business", wie es angesichts des unfassbaren Einsturzes beider Türme des World Trade Center sowie der starken Beschädigung angrenzender Gebäude hieß. Broker konnten aufgrund funktionsunfähiger Daten- und Telefonleitungen nicht mehr mit ihren Kunden kommunizieren, keine Kauf- oder Verkauforders mehr erfüllen - die eigentliche Katastrophe für die Wallstreet, so zynische Zeitgenossen. Ohnehin dürfte es bei Tausenden zu beklagenden Todesopfern kaum angebracht sein, im Zusammenhang mit ausgefallenen IT-Systemen von einer Katastrophe zu sprechen. Noch dazu, wo die meisten der betroffenen Firmen, wenn man es so formulieren darf, Glück im Unglück hatten. Meist handelte es sich um den "Verlust" so genannter Front-Office-Kapazitäten, für die Recovery-Spezialisten wie Comdisco in Form von Ausweichbüros samt ITEquipment wie PCs, LANs und PC-Servern verhältnismäßig schnell Ersatz zur
Verfügung stellen konnten. Rechner mit geschäftskritischen Applikationen und Datenbeständen waren indes überwiegend nicht im World Trade Center untergebracht.
Hinzu kommt der im Nachhinein glückliche Umstand, dass sich IBMs Business-Continuity- und Recovery-Services-Unit aufgrund eines sich zusammenbrauenden Hurricans im Golf von Mexiko landesweit in Alarmbereitschaft befand und zusätzliche Kapazitäten vorhielt. Auch deshalb konnten Lehman Brothers und andere relativ schnell wieder normalen Betrieb melden. Aus diesem Grund - und natürlich in Folge eines seit den Anschlägen völlig neu zu interpretierenden Bedrohungsszenarios - erwarten die Marktforscher von Forrester Research, dass vor allem US-Firmen ihre IT-Sicherheitsmaßnahmen drastisch verschärfen werden. Angesichts der jüngsten Ereignisse werde den Unternehmen bewusst, dass auch sie als "Symbole der amerikanischen Wirtschaft" gelten und damit jederzeit Ziele politischer Anschläge sein können.
Neben dem Schutz ihrer physischen Werte sei es erforderlich, auch Computer und Netzwerke gegen Angriffe von außen abzusichern, heißt es. Zu Recht, denn viele Firmen könnten den Geschäftsbetrieb ohne hinreichenden Zugriff auf ihre Datenbestände nur wenige Tage aufrecht erhalten. Den Analysten von Gartner zufolge würden zwei von fünf Unternehmen den Totalverlust ihrer Daten nicht überleben. Aber auch Anbieter von Sicherheitssoftware wie Checkpoint oder RSA Security sehen aufgrund der traurigen Ereignisse in den kommenden Wochen und Monaten vermutlich einer deutlich besseren Auftragslage entgegen. Schließlich könnte es nach Auffassung von Sicherheitsexperten nicht nur zu weiteren Anschlägen auf "physische Einrichtungen", sondern auch zu groß angelegten Hacker-Angriffen kommen.
Erschwerend kommt in diesem Zusammenhang hinzu, dass nach (nicht ganz neuen) Erkenntnissen von US-Behörden wie dem FBI und der National Security Agency (NSA) islamische Fundamentalisten sowie andere Terrorgruppen seit längerem mit Hilfe von Verschlüsselungssoftware ihre E-Mail-Kommunikation und weltumspannenden Finanztransaktionen tarnen. Es wundert daher nicht, dass nach den Anschlägen die Aktien etwa von IBM oder Comdisco (das Unternehmen steckt übrigens in existenziellen finanziellen Schwierigkeiten) kurzfristig zu den wenigen Papieren zählten, die im professionellen Handel begehrt waren - auch wenn dies nur ein Intermezzo darstellte.
Der Nachholbedarf der Kunden scheint aber immens. Während beispielsweise Banken und Finanzdienstleister in Sachen Hochverfügbarkeit gut gerüstet sind - schon allein, weil der Gesetzgeber sie dazu verpflichtet -, haben viele andere Branchen den Security-Bereich bislang vernachlässigt. Das könnte sich jetzt ändern. Der US-Dienstleister EDS berichtete bereits von einer Steigerung der Nachfrage nach Security-Services um 150 Prozent.
Aufschwung ausgebremst?
Angesichts dieser Berichte rätseln Marktbeobachter, ob das Katastrophendatum 11. September für Teile der IT-Branche einen Umschwung gebracht haben könnte. Während Hardwareanbieter wie Dell über die Bestellung Tausender PCs, Server und Laptops berichten konnten, die jetzt in New York gebraucht werden, und noch immer Summen zwischen 15 und 20 Milliarden Dollar für den Wiederaufbau der IT- und TK-Infrastruktur im Financial District Manhattans diskutiert werden, sind sich die meisten Analysten einig, dass sich der seit Monaten immer neu herbeigeredete Aufschwung nach den Anschlägen weiter hinauszögern dürfte. Noch mehr Firmen werden ihre IT-Investitionen überdenken, hieß es. Betroffen davon seien unter anderem die großen Anbieter von Unternehmenssoftware im ERP- und CRM-Bereich.
Die große Ausnahme bilde lediglich das IT-Security-Segment, für das IDC vergangene Woche denn auch flugs eine neue Prognose präsentierte. Demnach soll allein der weltweite Markt für Sicherheitsdienstleistungen bis 2005 von jetzt 6,7 auf ein Volumen von 21 Milliarden Dollar ansteigen. Was, wenn solche Vorhersagen halbwegs zutreffen werden, den einschlägigen Anbietern durchaus zupass kommen dürfte. Denn wie die meisten übrigen Segmente des IT-Marktes litt auch der Security-Bereich unter den Auswirkungen der Wirtschaftsabkühlung. Die Branche, die lange Zeit immun gegen den allgemeinen Investitionsrückgang schien, machte im Sommer dieses Jahres verstärkt mit Gewinnwarnungen, Umstrukturierungen und Entlassungen von sich reden.
Nach Angaben von Wolfram Funk, Consultant bei der Meta Group, ist der Markt nicht so schnell gewachsen wie ursprünglich angenommen. Davon seien fast alle Anbieter betroffen. Allerdings ist dieser Markt sehr zersplittert, und auch innerhalb der Marktsegmente ist das Bild laut Funk uneinheitlich. So gebe es unter den Anbietern von Security-Software sowie im Bereich Hochverfügbarkeit Firmen, deren Umsätze trotz Flaute stetig steigen, und andere - wie zum Beispiel der PKI-Spezialist (Public Key Infrastructure) Entrust -, deren Wachstum praktisch zum Stillstand gekommen sei. Und selbst unter den PKI-Anbietern, die wegen ihrer E-Business-Fixierung besonders stark unter der Dotcom-Krise gelitten haben, fänden sich Ausnahmen. Baltimore zum Beispiel erzielte im ersten Halbjahr rund 50 Prozent Wachstum - auch wenn das Unternehmen damit noch immer weit unter Plan lag. Anbieter, die sowohl Virenschutz-Programme als auch Firewalls im Portfolio haben - etwa Network Associates oder Symantec -,
standen laut Funk etwas besser da.
Auch der Markt für Desaster-Recovery- und Business-Continuity-Services wuchs laut Meta Group mit einer Steigerung von durchschnittlich 13 Prozent pro Jahr in Deutschland stärker als der gesamte IT-Services-Markt. "Das ist auf jeden Fall ein kontinuierlich zunehmendes Segment, wenn auch kein Hype zu sehen ist wie beim seinerzeit viel zitierten E-Business", so Meta-Experte Funk. Größte Player sind Hewlett-Packard, IBM Global Services, Siemens Business Services (SBS) oder Unisys, die insgesamt rund 40 Prozent des deutschen Markts abdecken. Auch nach Einschätzung von Info-AG-Vorstand Steffen Heine litt der gesamte Security-Markt unter der konjunkturellen Flaute.
"An den Sicherheitsbudgets wurde doch als erstes gespart, wenn der Umsatz zurückging", beobachtete der Manager des in Hamburg ansässigen Business-Continuity-Spezialisten. "Das sind Themen, die zunächst Geld kosten und das Unternehmen nicht voranbringen - und ein Vorstand muss eben primär an Umsatz und Gewinn denken." Jetzt aber könnten die tragischen Ereignisse von New York und Washington für eine makabre Belebung des Marktes sorgen. Nach Ansicht von Andreas Zilch, Vice President bei der Meta Group, werden die Terroranschläge auf jeden Fall einen starken Einfluss auf den Umgang mit der Sicherheit in den Unternehmen haben. "Bislang war IT-Security ein negativ besetztes Thema: Es war zwar allen bewusst, doch nur die wenigsten haben in entsprechende Lösungen investiert", so der Marktforscher.
Durch die Attentate in den USA seien Sicherheitsbelange in den Mittelpunkt gerückt. Die Nachfrage nach Sicherheitssoftware, vor allem aber nach entsprechenden Consulting-Leistungen, werde enorm steigen. Denn viele Unternehmen hätten Lösungen dieser Art bereits gekauft und bräuchten jetzt Beratung, um sie zu implementieren beziehungsweise "produktiv einzusetzen". Zilch geht davon aus, dass das Lizenzgeschäft mit Sicherheitssoftware in den kommenden Monaten um etwa 20 Prozent zulegen wird, den Zuwachs im Consulting-Bereich schätzt er auf 50 Prozent. Den größten Auftrieb wird nach Zilchs Einschätzung jedoch der Bereich Business Continuity und Disaster Recovery erleben. Hier sei die Nachfrage bislang gering gewesen, vornehmlich Banken und Versicherungen hätten in diese extrem aufwändigen und teuren Dienstleistungen investiert.
Das zeigt auch eine Studie von Gartner. Danach wurden bisher für einschlägige Investitionen im Schnitt 3,6 bis 3,7 Prozent der Rechenzentrumsbudgets aufgewendet. Die Analysten halten einen Anteil von mindestens sechs Prozent für notwendig. Nur die großen Finanzdienstleister geben 15 Prozent und mehr ihrer RZ-Mittel in Backups und Ausweichrechenzentren aus. Nach Einschätzung von Zilch werden jetzt auch andere Branchen nachziehen und für eine Marktbelebung sorgen. "Allerdings langfristig, denn bis so ein Ausweichrechenzentrum betriebsbereit steht und die gesamte Beratung abgeschlossen ist, kann es durchaus bis zu zwei Jahre dauern." Im Markt für Antivirensoftware erwartet Zilch dagegen keine nennenswerten Veränderungen, da inzwischen so gut wie jedes Unternehmen einen Virenschutz implementiert habe. "Vielleicht werden jetzt mit größerer Regelmäßigkeit Updates installiert, aber grundsätzlich rechne ich nicht mit einem signifikanten
Zuwachs."
Keine Lehren aus Melissa
Lutz Donnerhacke, Sicherheitsexperte bei der Jenaer Beratungsfirma IKS, erwartet dagegen nicht, dass die Attentate auf World Trade Center und Pentagon Konsequenzen für den deutschen Markt haben werden. "In Sachen Disaster Recovery und Business Continuity wird überhaupt nichts passieren. Sie wissen doch, wie das ist: Da können die Katastrophenmeldungen noch so schlimm sein - solange man nicht selbst betroffen ist, wird nichts unternommen." Das zeige auch der Umgang mit Antivirensoftware: "Wenn man sieht, wie Würmer - ob damals ´Melissa´ oder jetzt ´Nimda´ - durchs Netz rauschen, kann man davon ausgehen, dass das Sicherheitsbewusstsein in deutschen Unternehmen gleich null ist."
Vorkehrungen auf Abteilungsebene
Ein wichtiger Aspekt, der nach Meinung von Info-AG-Vorstand Steffen Heine beim Thema Business Continuity noch nicht richtig berücksichtigt worden ist, ist die Verlagerung entsprechender Vorkehrungen auf Abteilungsebene: "Business Continuity heißt auch, dass einzelnen Geschäftsbereichen in einer bestimmten Zeit wieder mit Telefonen, Schreibtischen etc. eine entsprechende Infrastruktur zur Verfügung stehen muss", erklärt der Firmenchef. "Was habe ich davon, wenn die DV verfügbar ist, aber ich - etwa nach einem Brand - nicht weiß, wo meine Mitarbeiter arbeiten sollen." Einzelne Unternehmen müssten sich, so Heine, überlegen, was es bedeutet, wenn etwa die Buchhaltung für längere Zeit ausfällt. Aus diesem Grund sei es völlig falsch, das Problem nur auf DV-Ebene zu betrachten, sondern man müsse die Fachabteilungen und Geschäftsführung einbeziehen. Nur dann handle es sich um ein effektives Krisen-Management.
Info-AG-Vorstand Steffen Heine glaubt ebenfalls nicht an einen Boom im Markt für Security-Lösungen: "Ich habe nicht das Gefühl, dass das Bewusstsein im Bereich Business Continuity besonders hoch ist." Abgesehen von den Banken, die zur Notfallplanung gesetzlich verpflichtet seien und vor allem im Hinblick auf den Jahrtausendwechsel in solche Services investiert hatten, hätten sich seiner Kenntnis nach deutsche Firmen hier bisher recht zurückhaltend gezeigt. Auch nach der Katastrophe in den USA dürfte sich das Sicherheitsbewusstsein bei deutschen Anwenderfirmen nicht wesentlich verstärken. "Wenn in den kommenden Wochen nichts Dramatisches mehr passiert, bleibt alles mehr oder weniger beim Alten." Schließlich habe die Info AG bei ihrer Business-Continuity-Planung schon immer Szenarien wie Bombenalarm und Geiselnahmen durchgespielt. "Die meisten Entscheider glauben einfach, dass ihnen so etwas nicht passiert."
Nach Angaben von IBM Deutschland ist indes die Sensibilität für das Thema Sicherheit seit den Anschlägen in den USA gestiegen - vor allem im Bereich Disaster Recovery, der in der Vergangenheit oft "stiefmütterlich" behandelt worden sei, weiß ein IBM-Mitarbeiter aus dem Geschäftsbereich Business Continuity and Recovery Services. Er bezieht sich dabei vor allem auf einen Großkunden, dessen US-Niederlassung von dem Attentat in New York betroffen ist und der sich hierzulande jetzt ebenfalls bedroht fühlt. Aber auch allgemein gehe der Trend in Richtung Hochverfügbarkeit. Dass sich Big Blue seither aber nicht mehr vor Anfragen retten könne, sei, so der anonym bleiben wollende IBM-Intimus, "leicht übertrieben". Um verlässliche Angaben über ein möglicherweise gewandeltes Kundenverhalten nach den Terrorattacken zu machen, sei einfach noch nicht Zeit genug verstrichen. "In einer Woche kann die Auftragslage schon ganz anders aussehen", so der
Sicherheitsexperte. "Schließlich stehen momentan alle noch unter einem unfassbaren Schock."
Die Ibas Deutschland GmbH, die sich neben Datenrettung und Datenlöschung bei Festplatten- und DAT-Bandschäden mit "Computerforensik", der Analyse von Daten vor kriminellem Hintergrund, beschäftigt, verzeichnet in diesem Geschäftsbereich dagegen seit den Anschlägen einen enormen Zuwachs. Produkte und Dienstleistungen wie die von Ibas zielen darauf ab, nach dem Diebstahl, der Zerstörung oder Manipulation von Daten Spuren nachzuweisen, die Aufschluss über die Täter geben. Da sich mit der Technik aber auch gelöschte verschlüsselte E-Mails wiederherstellen und das Surfverhalten eines Anwenders nachvollziehen lassen, hat sie nach den Worten von Geschäftsführer Karl-Friedrich Flammersfeld für die Bekämpfung von Terroristen eine immense Bedeutung gewonnen. "Die Nachfrage nach Computerforensik ist seit den Anschlägen regelrecht explodiert", so Flammersfeld über die ungewollte Belebung seines Geschäfts. "Bei uns klingelt das
Telefon am laufenden Band."