Laut dem IT-Sicherheitsreport 2007, den das Netzwerk Elektronischer Geschäftsverkehr (NEG) veröffentlicht hat, informiert in Deutschland die Hälfte aller Unternehmen seine Angestellten überhaupt nicht über Sicherheitsfragen. Ausserdem verfügen viele Firmen nicht über IT-Notfallpläne, die bei einem Virenangriff in Kraft treten könnten. An der NEG-Studie beteiligten sich landesweit 275 Unternehmen. Leider spielt das Thema im Mittelstand vorwiegend eine theoretische Rolle. «In der Praxis herrschen Ahnungslosigkeit und das Gefühl ‹Es wird schon gut gehen›. Oft endet der Schutz schon bei Firewall und Viren-Scanner und ist damit ziemlich lückenhaft,» berichtet das CIO-Magazin .
Keine ganzheitliche Managementaufgabe
Experten machen dafür auch mangelndes Bewusstsein in der Führungsetage aus. «Viele Entscheidungsträger verengen das Thema auf den technischen Aspekt und betrachten es nicht als ganzheitliche Managementaufgabe. Eine erfolgreiche Sicherheitsstrategie benötigt jedoch immer die Unterstützung der Geschäftsführung und muss alle Mitarbeiter einbeziehen», sagt Projektleiter Andreas Duscha vom E-Commerce-Center Handel in Köln.
Wichtig für Unternehmensbewertung
Und das, obwohl mit Basel II auch die Sicherheit der Informationstechnik für die Unternehmensbewertung insgesamt wichtiger geworden ist. Denn vor einer Kreditvergabe beispielsweise müssen Banken auch das Unternehmensrisiko bewerten. Dazu gehört die Ausfallsicherheit der EDV-Systeme und der generelle Schutz vor Informationsverlust. «Die meisten Unternehmen haben derzeit vor allem in technische IT-Sicherheit investiert, aber zu wenig in IT-Prozessmanagement. Zur Bewertung der operationellen Risiken nach Basel II werden aber genau solche Faktoren wie exakte Dokumentation, Notfallpläne, Security-Policy oder IT-Verfügbarkeit geprüft», sagt Erich Scheiber von der österreichischen Zertifizierungsstelle für Informationssicherheit CIS . «Zur Bewertung der operationellen Risiken nach Basel II werden aber Faktoren wie exakte Dokumentation, Notfallpläne, Security-Policy und IT-Verfügbarkeit geprüft», so Scheiber.
Unterschied zwischen Bewusstsein und Verhalten
Wer beim Thema IT-Sicherheit nur auf Technik setzt, ist nach Ansicht vieler Branchenkenner auf dem Holzweg. «In punkto Datensicherheit gab es in den vergangenen Jahren eine unvorstellbare Technologiegläubigkeit, die sich immer weiter von der Realität entfernt hat», weiss Lynn McNulty von der Sicherheits-Akkreditierungsbehörde der US-Regierung. Eine Studie des IT-Konzerns Cisco Systems besagt, dass es einen eklatanten Unterschied zwischen dem Sicherheitsbewusstsein der Mitarbeiter eines Unternehmens und ihrem tatsächlichen Verhalten gibt. «Phishing, das Ausspähen oder Erschleichen von Passwörtern und Codes, ist durch Technik alleine nicht in den Griff zu kriegen», erläutert auch Massimiliano Mandato, Network Security Consultant des Stuttgarter Systemintegrators Nextiraone .
Reines Flickwerk
Die Sicherheitsstrukturen vieler Unternehmen seien oft reines Flickwerk. Das hänge auch damit zusammen, dass die IT-Sicherheit nicht als kontinuierliche und ganzheitliche Aufgabe begriffen werde, sondern als einmalige Investition. «Viele Kunden im Mittelstand greifen auf lokale Anbieter von Sicherheitssystemen zurück. Diese sind aber meistens produktorientiert und kennen viele Sicherheitsmechanismen nur oberflächlich», so Mandato. Auch das Bewusstsein in der Unternehmensführung für die Belange der IT-Sicherheit müsse verstärkt werden. Denn dieselben technologischen Errungenschaften, die den Erfolg eines Unternehmens vorantreiben, bringen auch Gefahren mit sich. Daher benötige man eine Strategie aus einem Guss und Abwehrsysteme, die flexibel sind. (pte/mc/pg)
