Mit zahlreichen Lösungen von Firewall bis allumfassender Security-Appliance schützen Unternehmen ihre Daten vor externen Angriffen. Mittlerweile starten die gefährlichsten Angreifer ihre Attacken nicht mehr über das Internet, sondern aus dem hauseigenen Netzwerk. Eine aktuelle Studie von Compuware, für die mehr als 3500 IT-Profis befragt wurden, kommt zu dem Ergebnis, dass klassische Angriffe von Hackern nicht das zentrale Problem sind: In Deutschland liegen sie auf dem vierten, international sogar auf dem fünften Platz. Dagegen nannte fast die Hälfte der deutschen Befragten unvorsichtige Kollegen als die größte Gefahrenquelle, in den USA sehen sogar 75 Prozent ein entsprechendes Risiko.
Was ist "innen", was ist "außen"?
Wenn ein Unternehmensnetz aus vielen Routern und Hunderten von Usern besteht, ist die Wahrscheinlichkeit groß, dass die IT-Verantwortlichen nicht mehr genau wissen, wo ihre Netzwerke beginnen und wo sie aufhören. Das Gleiche gilt für die Netzwerke von aktuellen oder ehemaligen Business-Partnern, Lieferanten, Kunden, Outsourcing-Unternehmen und veräußerten oder zugekauften Unternehmen. Durch solche "flüchtigen Netzwerke" ist die Grenze der klassischen Perimeter-Verteidigung heute nicht mehr so eindeutig zu ziehen wie noch vor zehn Jahren.
Jedes Unternehmen sollte deshalb sowohl interne als auch externe Gefahrenquellen bei der Sicherheitsstrategie berücksichtigen. Doch das ist alles andere als einfach. Zum einen agieren die Angreifer immer professioneller, zum anderen steigt die Komplexität der Netze stetig, was die Aufdeckung unerwünschter Vorgänge erschwert. Zudem haben in den meisten Fällen Insider sowohl ein besseres Wissen über Schwachstellen des Netzes als auch über Ansatzpunkte für lukrative kriminelle Handlungen. Durch die Kürzung vieler IT-Budgets im Zuge der Finanzkrise ist es für Unternehmen deshalb eine besondere Herausforderung, die IT-Security auf hohem Niveau zu halten.
Was muss geschützt werden?
Auch wer schon seit Jahren eine IT-Infrastruktur-Security betreibt, sollte an erster Stelle (erneut) die Frage beantworten, was aus Geschäftssicht (!) überhaupt geschützt werden muss. Die passenden Antworten liefert ein Risiko-Assessment. Zu IT-verursachten Risiken zählen klassischerweise etwa durch Ausfallzeiten bedingte Umsatz- oder Produktivitätseinbußen, Haftungsrisiken für Sicherheitsverstöße, die Kundendaten in falsche Hände gelangen lassen, sowie Geldbußen für Verstöße gegen rechtliche Vorschriften. Das international anerkannte Framework zur IT-Governance CobiT (Control Objectives for Information and Related Technology) hilft bei der Beantwortung der Frage, was geschützt werden soll. Auch die ISO 27001 gibt ein Modell für den Aufbau und Betrieb eines effektiven Management-Systems für Informationssicherheit (ISMS) vor. Wichtig ist bei all den genannten Vorgehensweisen, dass die stets verbleibenden Restrisiken bewusst akzeptiert und wenn möglich auch überwacht werden.