Informationssicherheit wird unterschätzt

Informationssicherheit ist für Unternehmen von existenzieller Bedeutung

In der heutigen Zeit sind Geschäftsabläufe untrennbar mit Informations- und Kommunikationsprozessen verbunden. Informationen als eigenständige Unternehmenswerte haben für die Wettbewerbsfähigkeit und den Fortbestand eines Unternehmens immense Bedeutung. Daher ist es unerlässlich, diese Werte entsprechend zu schützen.

Die größte Bedrohung für die Informationssicherheit im digitalen Zeitalter liegt in von Konkurrenten initiierten Angriffen auf unternehmenseigene Informationssysteme. Dies geschieht über folgende Wege:

Physische Entwendung, etwa durch den Diebstahl von Rechnern und anderen Datenträgern
Gewinnung von Know-how durch das Abwerben von Mitarbeitenden
Einsatz von Schadprogrammen zu Spionage- oder Manipulationszwecken

Laut der von Ernst & Young durchgeführten Studie Datenklau 2021 schätzen 63 % der 514 befragten Führungskräfte die Gefahr, Opfer von Cyberangriffen oder Spionage zu werden, als hoch bzw. sehr hoch ein. Zudem rechnen fast alle Unternehmen damit, dass sich das Problem in den kommenden Jahren weiter verschärfen wird.

Nach Angaben des Branchenverbandes der deutschen Informations- und Telekommunikationsbranche, BITKOM e. V., entsteht der deutschen Wirtschaft durch Cyberattacken und Spionage ein jährlicher Schaden in Höhe von rund 203 Milliarden Euro.

Faktor Mensch als Schwachstelle

Eine in Zusammenhang mit IT-Sicherheit oft unterschätzte oder gänzlich unbeachtete Schwachstelle liegt im Faktor Mensch. Mitarbeitende verursachen immense Schäden, wenn sie falsch oder unbedacht mit Informationen umgehen. So kommt es vor, dass Informationen versehentlich oder irrtümlich verändert oder gar gelöscht werden.

Mitunter umgehen Mitarbeitende zudem ganz bewusst technische Sicherheitsfunktionen, um im Arbeitsprozess Zeit und Mühe zu sparen. Aber auch der absichtliche Daten-Diebstahl ist kein Einzelfall.

Die größte Sicherheitslücke im Bereich Informationssicherheit liegt jedoch in der Unachtsamkeit von Mitarbeitenden. Ein beträchtliches Risiko bergen die folgenden Faktoren:

Mitarbeitende führen unternehmensrelevante Telefonate oder Gespräche mit Kolleg*innen und Geschäftspartner*innen an öffentlichen Orten.
Sie berichten in sozialen Netzwerke über ihre aktuellen Projekte.
Kolleg*innen geben Auskunft auf Messen über in der Entwicklung befindliche Produkte.
Sie lassen vertrauliche Dokumente offen auf ihrem Schreibtisch liegen.
Im Büro auftauchende Fremde werden nicht zur Rede gestellt.
Mitarbeitende fallen auf Social-Engineering-Tricks herein.

Meist ist es eine Kombination aus technischen und menschlichen Schwachstellen, durch die die Informationssicherheit eines Unternehmens gefährdet und ein Schaden verursacht wird.

Die 10 häufigsten Versäumnisse im Bereich Informationssicherheit

In vielen Unternehmen weist die Informationssicherheit enorme Defizite auf, weil die Gefahrenbereiche nicht in angemessener Weise geschützt sind. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat folgende typische Fehler und Versäumnisse festgestellt:

1. Sicherheit hat in vielen Unternehmen einen zu geringen Stellenwert.

Bemühungen um Informationssicherheit werden als zu kostenintensiv und als hinderlich für die Geschäftsabläufe wahrgenommen.

2. Es fehlen dauerhafte Prozesse zur Aufrechterhaltung eines Sicherheitsniveaus.

Nach der Durchführung aufwendiger Risikoanalysen und der Formulierung von Maßnahmenempfehlungen wird die tatsächliche Umsetzung nicht konsequent verfolgt. Auch eine Überprüfung und Anpassung an veränderte Parameter findet nicht statt.

3. Sicherheitsvorgaben werden nicht ausreichend kommuniziert.

Richtlinien zur Umsetzung von Informationssicherheit sind oft nicht allen Unternehmensangehörigen bekannt. Oft fehlt es zudem an einer vertraglichen Vereinbarung zur Einhaltung der Vorschriften. Verstöße sind in diesem Fall nur schwer zu sanktionieren.

4. Die Vergabe von Rechten ist nicht restriktiv genug.

Die Zugriffserlaubnis auf Programme und Informationen erfolgt häufig nicht nach dem Need-to-know-Prinzip: Danach sollte ein*e Mitarbeiter*in nur auf Informationen zugreifen dürfen, die er für die Erfüllung seiner Aufgaben tatsächlich benötigt. Weitreichendere Berechtigungen stellen ein hohes Risiko für Fehler oder Missbrauch dar.

5. Anwendungen sind schlecht konfiguriert.

Die meisten Sicherheitslücken entstehen durch Fehler in der Administration. Die in Standardsoftware vorhandenen Sicherheitsfunktionalitäten werden aufgrund ihrer Komplexität meist nicht vollständig verstanden und entsprechend genutzt.

6. Sensible Informationen sind gegen offene Netze nicht ausreichend abgesichert.

Durch eine Anbindung des unternehmensinternen Netzwerks an das Internet erhöht sich die Gefahr, dass Schwachstellen von Dritten ausgenutzt werden. Eine Firewall bietet keinen ausreichenden Schutz.

7. Sicherheitserfordernisse werden aus Bequemlichkeit vernachlässigt.

Detaillierte Richtlinien und spezielle Sicherheitsfunktionen werden oft aus Mangel an Zeit oder Motivation nicht beachtet. Das betrifft die Verschlüsselung von E-Mails, die Verwendung sicherer Passwörter, die Erstellung von Sicherheitskopien u.v.m.

8. Verfügbare Sicherheits-Updates werden nicht genutzt.

Anbieter von IT-Sicherheitssoftware stellen in sehr kurzen Abständen Updates zur Verfügung. Die Auswahl der im eigenen Unternehmen relevanten Patches erfordert große Sorgfalt. Es kommt darum vor, dass Administrator*innen diese Aufgabe aufschieben und nicht rechtzeitig agieren. Mit diesem Verhalten gefährden sie die Informationssicherheit.

9. Räume und IT-Systeme werden nicht ausreichend gegen Diebstahl und Elementarschäden gesichert.

Sicherheitsvorkehrungen wie das Verschließen von Türen und Fenstern werden oft vernachlässigt. Auch der Schutz vor Naturgewalten wie Wasser, Feuer oder Sturm findet meist nicht genügend Beachtung.

10. Mitarbeitende sind nicht ausreichend sensibilisiert und geschult.

Da sich ständig neue Gefahrenbereiche ergeben, haben Unternehmen kaum eine Chance, alle Mitarbeitenden ausreichend dafür zu sensibilisieren. Der Schulungsbedarf wird aus Zeit- und Kostengründen oft nicht erfüllt.

Hohes Risikobewusstsein, aber sinkendes Vertrauen in die eigenen Abwehrmaßnahmen

Laut der Ernst & Young Datenklau-Studie 2021 ist sich zwar die überwiegende Mehrheit der befragten Führungskräfte der Gefahr durch Datenklau und Spionage bewusst, rund ein Viertel hält die eigenen Abwehrmaßnahmen aber für unzureichend. Alarmierend ist dabei, dass sich diese Zahl im Vergleich zu den Vorjahren deutlich erhöht hat (19 % ⇒ 27 %).

Antiviren-Software, Passwortschutz und Firewalls sind mittlerweile in fast allen Unternehmen Standard. Doch komplexere Maßnahmen wie Penetration-Tests oder Information Security Management Systeme, die hohen Standards wie z.B. dem IT-Grundschutz des BSI entsprechen, sind bisher noch kaum vorhanden.

Sicherheitslücken bergen immense Gefahren für den Unternehmenserfolg

Unternehmen sind gesetzlich zum Aufbau und zur Pflege eines Risikomanagements und zur Umsetzung von Maßnahmen im Bereich Informationssicherheit verpflichtet.

Entsprechende Regelungen sind u. a. in den Datenschutzgesetzen des Bundes und der Länder, der Telekommunikations-Datenschutzverordnung, dem Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG), den Grundsätzen zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen (GDPdU), den Grundsätzen ordnungsgemäßer DV-gestützter Buchführungssysteme (GoBS), dem Kreditwesengesetz (KWG), dem Sarbanes-Oxley Act oder der Baseler Eigenkapitalvereinbarung (Basel II) enthalten.

Für Verstöße gegen rechtliche Regelungen im Bereich Informationssicherheit haftet die Unternehmensführung. Unternehmen, die den Bereich Informationssicherheit zu sorglos angehen, missachten nicht nur ihre rechtlichen Pflichten, sondern setzen auch ihren Geschäftserfolg einem hohen Risiko aus.

Sie riskieren, dass sensible Informationen verloren gehen oder missbraucht werden, dass ganze IT-Systeme manipuliert werden oder ausfallen und dass wichtiges Know-how in die Hände von Wettbewerbern gelangt.

Das führt neben erheblichen finanziellen Schäden auch zum Vertrauensverlust bei Geschäftspartnern und kann einen irreparablen Imageschaden verursachen. Sicherheitslücken stellen demnach eine Bedrohung für die Existenz des Unternehmens dar.

Mit diesen 13 Maßnahmen reduzieren Sie das Risiko für Ihr Unternehmen

Maßnahmen zur Informationssicherheit sind mit einem hohen finanziellen, organisatorischen und personellen Aufwand verbunden. Führt man sich allerdings die Schäden vor Augen, die durch Sicherheitslücken entstehen können, kommt man schnell zu der Einsicht, dass auch in diesem Fall die Prävention weniger kosten- und arbeitsintensiv ist als die Behandlung möglicher Schäden.

Informationssicherheitsmanagement

Entwickeln Sie ein Informationssicherheitsmanagementsystem (ISMS), das technische, personelle und organisatorische Sicherheitsmaßnahmen enthält.

1. Führen Sie eine Risikoanalyse durch.

Stellen Sie fest, welche Werte (Systeme, Dienste, Daten etc.) in Ihrem Unternehmen vorhanden sind und klassifizieren Sie diese nach ihrer Bedeutung und entsprechenden Schutzbedürftigkeit. Ermitteln Sie mögliche Bedrohungen und bestehende Schwachstellen.

2. Formulieren Sie Sicherheitsziele.

Legen Sie Sicherheitsziele fest und erklären Sie sich verantwortlich für deren Umsetzung. Sorgen Sie dafür, dass die von Ihnen bestimmten Sicherheitserfordernisse in allen Projekten frühzeitig berücksichtigt werden (schon bei der Neuanschaffung von IT-Systemen oder der Planung von Outsourcing- oder Dienstleistungsverträgen). Bedenken Sie dabei auch alle gesetzlichen oder vertragsrechtlichen Gesichtspunkte.

3. Erstellen Sie ein Sicherheitskonzept und legen Sie Maßnahmen fest.

Formulieren Sie eine übergeordnete Unternehmensleitlinie, die den Stellenwert der Informationssicherheit, die Sicherheitsziele und die wichtigsten Aspekte der Sicherheitsstrategie beschreibt. Legen Sie konkrete Sicherheitsmaßnahmen sowie die entsprechenden Zuständigkeiten und Verantwortlichkeiten fest.

4. Dokumentieren Sie die durchgeführten Maßnahmen.

Nehmen Sie eine systematische Dokumentation aller Sicherheitsmaßnahmen und eine regelmäßige Aktualisierung vor. Greifen Sie dabei auf anerkannte Standards zurück, z.B. den IT-Grundschutz des BSI. Auch alle sicherheitsrelevanten Ereignisse sollten protokolliert und die Protokolle regelmäßig ausgewertet werden.

5. Machen Sie die Sicherheitsrichtlinien allen Mitarbeitenden bekannt.

Sorgen Sie dafür, dass alle Unternehmensangehörige die bestehenden Richtlinien kennen und verstehen. Informieren Sie diese auch darüber, wie sie sich zu verhalten haben, wenn eine Bedrohung bzw. einen Schaden vermutet oder bemerkt wird.

6. Treffen Sie vertragliche Vertraulichkeitsvereinbarungen.

Schließen Sie mit Ihren Mitarbeitenden Verträge ab, die die Verpflichtung zur Einhaltung der Sicherheitsvorgaben beinhalten. Auch eine gesonderte Vertraulichkeitsverpflichtung für bestimmte Projekte und die Aufnahme von Vertragsstrafen ist sinnvoll.

7. Überprüfen Sie die Einhaltung der festgelegten Maßnahmen.

Kontrollieren Sie regelmäßig, ob die Sicherheitsvorgaben befolgt werden und die festgelegten Maßnahmen wirksam sind. Passen Sie diese gegebenenfalls an geänderte Umstände an. Sanktionieren Sie Verstöße gegen die Sicherheitsrichtlinien.

8. Benennen Sie einen Beauftragten für die Informationssicherheit.

Bestimmen Sie einen Beauftragten für die Informationssicherheit in Ihrem Unternehmen. Seine Aufgabe ist die Steuerung des Sicherheitsprozesses. Statten Sie ihn hierfür mit angemessenen Ressourcen aus.

9. Sorgen Sie für Informationssicherheit in Zusammenarbeit mit Dritten.

Bei jeder Entscheidung über die Beteiligung Dritter bzw. die Nutzung externer Leistungen ist es unerlässlich, auch Sicherheitskriterien miteinzubeziehen. Treffen Sie vertragliche Vereinbarungen hinsichtlich der Anforderungen und Rahmenbedingungen zur Informationssicherheit. Kontrollieren Sie die Einhaltung der vereinbarten Richtlinien.

10. Entwickeln Sie ein Handlungskonzept für den Schadensfall.

Erstellen Sie einen Notfallplan, der Auskunft gibt über das erforderliche Verhalten im Fall einer Bedrohung sowie über die entsprechenden Meldewege und Ansprechpartner. Machen Sie die Anweisungen allen Mitarbeitenden bekannt.

11. Sensibilisieren und schulen Sie Ihre Mitarbeitenden.

Einen wirkungsvollen Schutzschild können Sie nur dann aufrechterhalten, wenn Sie Ihren Mitarbeitenden immer wieder die Bedeutung von Informationssicherheit vor Augen führen und ihnen bewusst machen, welchen Stellenwert Informationssicherheit für das Unternehmen und für ihren Arbeitsbereich hat. Nur wer die Gefahren kennt und sie einschätzen kann, wird sich mit Überzeugung davor schützen.

Machen Sie die Einweisung in die Informationssicherheit des Unternehmens schon zum Bestandteil des Prozederes bei Neueinstellungen.

12. Sorgen Sie für einen ausreichenden Schutz vor Elementarschäden.

Das Risiko eines Brandes oder einer Überschwemmung mag zwar gering sein, doch die Folgen sind meist fatal. Daher sollten Brandschutzmaßnahmen oder Maßnahmen zum Schutz vor Wasserschäden als wichtiger Bestandteil Ihrer Informationssicherheit betrachtet werden.

Ermitteln Sie für alle schutzbedürftigen Areale, Gebäude, Räume und IT-Systeme den Grad der Gefährdung durch Naturkatastrophen und Umwelteinflüsse. Treffen Sie entsprechende Sicherheitsvorkehrungen.

Überprüfen Sie, ob Strom- und Datenverkabelung, einschließlich Blitz- und Überspannungsschutzkonzept den geltenden Vorschriften entsprechen. Führen Sie jährliche Brandschutzbegehungen durch und sorgen Sie für eine regelmäßige Wartung aller Versorgungssysteme und -leitungen.

13. Verhindern Sie den unberechtigten Zutritt.

Treffen Sie für alle schutzbedürftigen Areale, Gebäude und Räume eine Zutrittsregelung und sorgen Sie für deren technische und organisatorische Umsetzung. Reduzieren Sie die Gefahr von Einbruch und Diebstahl, indem Sie bei Abwesenheit Fenster und Türen geschlossen halten.

Wie Sie das Netzwerk mit IT-Sicherheits-Maßnahmen schützen

Die steigende Zahl von Angriffen auf Schwachstellen in IT-Systemen erfordert komplexe Sicherheitsmaßnahmen. Wenn sich Sicherheitsprobleme auch nicht komplett ausschließen lassen, so lässt sich das Risiko doch mit einem überschaubaren und angemessenen Aufwand deutlich verringern.

1. Nutzen Sie vorhandene Sicherheitsmechanismen.

Passen Sie sicherheitsrelevante Standardeinstellungen von Programmen und IT-Systemen in geeigneter Weise an die jeweiligen Erfordernisse an. Viele Anwendungen sind mit Sicherheitsmechanismen ausgestattet. Sie müssen sie nur nutzen.

2. Setzen Sie Programme zum Schutz vor Schadsoftware ein.

Wenngleich Antiviren-Software keinen hundertprozentigen Schutz bietet, sorgen Sie für einen flächendeckenden Einsatz und eine regelmäßige Aktualisierung.

3. Verwenden Sie aktuelle Software.

Sorgen Sie dafür, dass Ihre Betriebssysteme, Browser, Schutzprogramme und E-Mail-Dienste auf dem neusten technischen Stand sind. Berücksichtigen Sie die Informationen der Softwarehersteller und laden Sie regelmäßig Sicherheits-Updates herunter.

4. Setzen Sie eine Firewall ein und überprüfen Sie regelmäßig deren Konfigurationen.

Die Einstellungen der Firewall sollten stets aktuellen Sicherheitsstandards entsprechen und durch geschultes Personal administriert werden. Sichern Sie Server und Clients mit hohem Schutzbedarf zusätzlich durch einen lokalen Paketfilter.

5. Erstellen Sie regelmäßig Sicherheitskopien.

Führen Sie in regelmäßigen Abständen ein Backup aller wichtigen Informationen durch. Die Sicherheitskopien sollten getrennt von den Originalen an einem feuerfesten und gegen Elementarschäden geschützten Ort aufbewahrt werden.

6. Schränken Sie Zugriffsberechtigungen ein (Need-to-Know-Prinzip).

Jede*r Benutzer*in darf nur auf die Informationen Zugriffsrechte erhalten, die er für seine Aufgabenerfüllung benötigt. Legen Sie genau fest, welche Funktionen jeder einzelne Mitarbeiter und jede Mitarbeiterin nutzen und auf welche Datenbestände er oder sie zugreifen darf.

7. Deaktivieren Sie nicht benötigte sicherheitsrelevante Programme und Funktionen.

Nicht (mehr) benötigte Programme und Netzdienste sollten deaktiviert oder ganz deinstalliert werden. Legen Sie bei der Einführung neuer Programme fest, welche Komponenten und Tools installiert werden sollen.

8. Nutzen Sie Sicherheitsmechanismen wie Passwortschutz und Verschlüsselung.

Verwenden Sie starke Passwörter (8-15 Zeichen, Kombination aus Buchstaben, Zahlen und Sonderzeichen). Behalten Sie diese im Kopf und notieren Sie sie nirgends. Ändern Sie Ihre Passwörter in regelmäßigen Abständen, geben Sie sie nicht weiter und achten Sie darauf, dass Sie bei der Eingabe unbeobachtet sind.

Schutzbedürftige E-Mails sollten verschlüsselt und mit einer elektronischen Signatur versehen werden. Empfehlenswert ist hier beispielsweise der Einsatz von PGP (Pretty Good Privacy) oder S/MIME (Secure Multipurpose Internet Mail Extension).

9. Schützen Sie mobile Systeme.

Formulieren Sie eine eigene Sicherheitsrichtlinie für die Nutzung und Anbindung mobiler Systeme. Die Benutzenden sollten eingeschränkte Rechte haben, insbesondere was die Installation von zusätzlicher Software (Apps) betrifft. Festplatten von Notebooks sollten verschlüsselt werden.

Erfolgreiche Schulungen durch E-Learning

Laut dem Verein Deutschland sicher im Netz (DsiN) zählt die Schulung der Belegschaft zu den dringlichsten organisatorischen Aufgaben im Rahmen des Informationssicherheitsmanagements. Um Mitarbeitende für das Thema Informationssicherheit zu sensibilisieren und ihnen wichtige Kenntnisse zu vermitteln, eignen sich neben Aufklärungskampagnen vor allem Präsenzveranstaltungen, In-House-Schulungen oder webbasierte Trainings.

Das Thema Informationssicherheit ist für nahezu jeden Mitarbeiter und jede Mitarbeiterin relevant, daher stoßen Unternehmen schnell an Kapazitätsgrenzen für In-House Veranstaltungen. Gerade für Unternehmen, deren Mitarbeitende auf verschiedene Standorte verteilt sind, stellen In-House Schulungen einen kaum zu vertretenden Aufwand dar. Compliance-Themen müssen auch immer wieder aufgefrischt werden, weswegen es nicht mit einer einmaligen Belehrung getan ist.

Daher steigt gerade bei Compliance-Themen die Nachfrage nach E-Learning-Lösungen. Modern hergestellte digitale Lerninhalte sind überall aufrufbar und machen aufwendige Versammlungen und Reisen überflüssig.

Die bequeme Verfügbarkeit kann den Lernerfolg und damit die Sicherheit im Unternehmen erhöhen. Nach nur einer Stunde hat man in der Regel bereits 55 % des Gelernten wieder vergessen. Somit ist es hilfreich, Sequenzen jederzeit wiederholen zu können oder bei Bedarf im Arbeitsalltag auf die benötigten Trainingsinhalte zugreifen zu können.

Lecturio zum Beispiel bietet hierbei einen ganzen Kurs zur IT-Sicherheit und Cyber Security im Alltag.

Online-Compliance-Schulung von Lecturio

Lecturio bietet Ihnen On l ine-Video-Schulungen zu Informationssicherheit und anderen Compliance-Themen. Mit diesem Training können Ihre Mitarbeitenden und Führungskräfte kosteneffektiv und nachhaltig über die Risiken und Gefahren mangelnder Informationssicherheit aufgeklärt werden.

Anhand von Praxisbeispielen werden typische Fehler aufgezeigt und wertvolle Hinweise zur richtigen Verhaltensweise erteilt. Die Teilnahme an den Trainings kann mit einem Online-Abschlusstest jederzeit nachvollzogen werden.

Lecturio stellt Ihnen die Lerninhalte in einer individualisierten Online-Akademie oder in Ihrer bestehenden Lernumgebung bereit. Für weniger als 10 € pro Mitarbeiter*in im Jahr können Sie für sich und Ihr Unternehmen Haftungsrisiken minimieren und Compliance-Schäden abwenden.

Mehr über die Lecturio Compliance-Akademie erfahren und gratis Live-Demo anfragen