Datensicherheit

Das Thema Datensicherheit war nie aktueller!

 

Das Thema IT-/IKM - Sicherheit, also die Sicherheit der Infrastruktur für Information, Kommunikation und Medien im Unternehmen ist kein neues, aber trotzdem sehr aktuelles Thema. Bei der Auseinandersetzung mit dieser Thematik bestehen allerdings erhebliche Managementprobleme:

die Mehrheit der Geschäftsführer und Manager in KMU gibt an, zu wenig Zeit zu haben, um sich mit den Problemen der IT-/IKM - Sicherheit regelmäßig und intensiv auseinander zu setzen;

in den KMU besteht meist ein sehr enger finanzieller Spielraum und deshalb kann nur eine vergleichsweise niedrige Investition in die IT-/IKM – Sicherheit getätigt werden;

in den KMU gibt es häufig massive Vorbehalte dagegen, externe Fachleute mit der Bewertung und Verbesserung der internen IT-/IKM – Infrastruktur zu beauftragen.

Was soll mir denn schon passieren?

Mit einigen, der Praxis entnommenen Beispielen soll die Bedeutung des Problemfeldes „IT-/IKM - Sicherheit“ veranschaulicht werden.

Prüfen Sie bitte ehrlich und selbstkritisch, was bei Ihnen die Konsequenzen wären, wenn eines oder gar mehrere der beschriebenen Szenarien zutreffen würden:

Szenario 1: Sie führen ein modernes Unternehmen und nutzen im breiten Umfang eine zeitgemäße IT- Infrastruktur

Sie können sich den geschäftlichen Alltag überhaupt nicht mehr ohne die PC-Arbeitsplätze, ohne das firmeninterne Computer-Netzwerk, ohne Internet, Online - Banking und Email - Verkehr vorstellen.

Aber: Stellen Sie sich doch einmal Ihr Unternehmen genau ohne diese Technologien vor; Ihre IT– Infrastruktur könnte gestohlen, verbrannt, überschwemmt, zerstört, durch Stromausfall oder Viren o.ä. lahmgelegt, sabotiert usw. sein.

Wie lange könnte Ihr Unternehmen ohne diese IT-Infrastruktur überleben?

Welchen finanziellen Verlust hätten Sie bei einem Ausfall von einer Stunde, einer Schicht, einem Tag oder einer Woche?

Wie würden Ihre Kunden, Auftraggeber, Partner reagieren und was würde in Ihren Geschäftsbeziehungen passieren?

Gibt es Schutzmaßnahmen gegen einen solchen GAU (Größter Anzunehmender Unfall)?

Szenario 2: Online - Banking mit Ihrer Hausbank ist für Sie tägliche Praxis

Es geht schnell und bequem und das Verfahren mit Passwort, PIN und TAN gilt als sicher.

Aber: Eines Tages erhalten Sie per Email (scheinbar) von Ihrer Hausbank die Aufforderung, die in der Email genannte Internetseite aufzusuchen und dem dort befindlichen Dialog zu folgen. Es habe in Ihrer Hausbank einen sicherheitsrelevanten Vorfall gegeben und zu Ihrer Sicherheit seien einige wichtige Umstellungen erforderlich.

Sie wählen diese Internetseite an; im dort ablaufenden Dialog geben Sie Ihre Kontonummer und Ihre Einwahl-PIN bzw. Ihr Bank-Passwort ein. Und schon ist es passiert: Sie sind einem Phishing - Angriff zum Opfer gefallen! (Phishing = passwort fishing)

Was haben Sie falsch gemacht?

Was kann jetzt passieren – wie sollten Sie reagieren?

Worauf müssen Sie unbedingt achten, um sich vor solchen Angriffen zu schützen?

Szenario 3: Sie nutzen regelmäßig und intensiv das Internet als unerschöpfliche und schnell erreichbare Informationsquelle

Natürlich haben Sie schon viel von den Gefahren gelesen und gehört, die aus dem Internet drohen. Sie wähnen sich jedoch auf der sicheren Seite, denn Sie haben einen Virenscanner (Virensuch- und Virenbeseitigungsprogramm) und benutzen selbstverständlich auch eine Firewall (Abschirm-Software zum Internet).

Aber: Sind Sie wirklich auf der sicheren Seite? Wie steht es um die systeminternen Sicherheitseinstellungen, z.B. zum Umgang mit aktiven WebSite - Inhalten, also WebSites, wo „etwas Interessantes passiert“?

Wie aktuell und wie wirkungsvoll ist der von Ihnen eingesetzte Virenscanner?

Ist die Firewall richtig konfiguriert oder täuscht sie Sicherheit nur vor?

Gibt es im Unternehmen Regeln über den Umgang mit dem Internet?

Was passiert eigentlich, wenn die im Unternehmen vorhandenen Notebooks und Laptops (z.B. der Außendienstmitarbeiter) mit nach Hause genommen werden und dort der Internetzugang in einer Weise genutzt wird, die Sie nicht kontrollieren können?

Szenario 4: Email ist der wichtigste Internetdienst für Sie und Ihr Unternehmen

Das ist bei den meisten Unternehmen so; dieser Dienst ist so schnell und so günstig einsetzbar, dass kaum mehr darauf verzichtet wird.

Aber: Sind Sie sich wirklich sicher, dass bestimmte Emails auch tatsächlich von dem Absender kommen, als der er sich ausgibt oder wurde hier gefälscht?

Wissen Sie eigentlich, dass der Weg einer Email über eine Reihe von Zwischenstationen läuft, wo Ihre Email eingesehen oder auch manipuliert werden kann?

Benutzen Sie im Email-Verkehr Signaturen, Zertifikate oder Verschlüsselungen?

Wie schützen Sie sich vor der Flut von Spam-mail, also vor unerwünschter und belästigender Massenwerbung per Email?

Szenario 5: Neulich hatte einer Ihrer Rechner einen Festplatten-Crash

Glücklicherweise ist eine regelmäßige Datensicherung in Ihrem Unternehmen Pflicht; damit waren die Daten rekonstruierbar.

Aber: Hatten Sie vorher schon einmal eine Datenrücksicherung durchgeführt; waren Sie sich tatsächlich sicher, dass diese Datenrücksicherung im Ernstfall auch funktioniert?

Haben Sie sich Gedanken gemacht, was nun mit der defekten Festplatte passiert?

Wussten Sie, dass auch defekte Festplatten auslesbar sein können und dass durch derartige Pannen schon extrem wichtige Daten in die falschen Hände gelangt sind?

Szenario 6: Sie nutzen ein Notebook

Damit sind Sie sehr viel unabhängiger und haben trotzdem alle wichtigen Daten immer dabei.

Aber: Was passiert eigentlich, wenn Ihnen das Notebook gestohlen wird?

Kann der Dieb oder ein anderer unbefugter Nutzer die Daten auf Ihrem Notebook einsehen, manipulieren, kopieren oder zerstören?

Sind die sensiblen Daten auf Ihrem Notebook verschlüsselt?

Zu Hause oder unterwegs gehen Sie öfter online mit Ihrem Notebook ins Internet.

Aber: Haben Sie zu Hause und unterwegs den gleichen Sicherheitsstandard wie im Unternehmen?

Was passiert, wenn Sie sich bei der externen Nutzung Ihres Notebooks ein Virus, einen Wurm, einen Trojaner, einen Dialer oder ähnliche Malware (Schad-Software) auf Ihr Notebook laden und Sie Ihr Notebook dann im Unternehmen in das interne Netz einbinden?

Szenario 7: Ihr Administrator ist mit umfangreichen Befugnissen ausgestattet

Auf ihn verlassen Sie sich, er kennt die Materie wie kein Zweiter im Unternehmen.

Aber: Was passiert, wenn Ihnen der Administrator plötzlich und ungeplant ausfällt?

Haben Sie eine Abwesenheits- und Notfallregelung?Gibt es überhaupt jemanden in Ihrem Unternehmen, der fachlich in der Lage ist, den Administrator wenigstens vorübergehend zu ersetzen und der gleichermaßen Ihr Vertrauen besitzt?

Was passiert, wenn ein anderes Unternehmen die Qualitäten Ihres Administrators ebenfalls erkennt und ihn erfolgreich abwirbt?

Was passiert, wenn Sie doch – wider Ihrer heutigen Einschätzung – das Vertrauen in Ihren Administrator verlieren und Sie sich von ihm trennen müssen? Kann Sie Ihr Administrator durch seine Fachkompetenz und internen Kenntnisse unter Druck setzen?

Sind Sie sicher, dass Ihr Administrator tatsächlich fachlich „up-to-date“ ist oder muss man eine gewisse Betriebsblindheit und einen gewissen Nachholbedarf an Qualifizierung vermuten?

Szenario 8: Sie sind empört über die kriminelle Nutzung des Internet zur Verbreitung von Kinderpornografie, von radikalen und gewaltverherrlichenden Ideen

Sie fordern zu Recht die strenge Bestrafung dieses Missbrauchs des Internet.

Aber: Was werden Sie tun, wenn plötzlich Vertreter der Staatsanwaltschaft Ihre unternehmensinterne IT-/IKM - Infrastruktur beschlagnahmen und untersuchen und wenn dabei offenkundig wird, dass schon über längere Zeit Ihr zentraler Server von außen missbraucht wurde, um verbotene Inhalte zu speichern und zu publizieren?

Was werden Sie tun, wenn man Ihnen nachweist, dass dieser Missbrauch Ihres Servers nur möglich wurde, weil wichtige Prinzipien der IT-/IKM - Sicherheit in Ihrem Verantwortungsbereich verletzt wurden?

Auch unterhalb dieser kriminellen Schwelle ist es imageschädigend für Ihr Unternehmen, wenn bekannt wird, dass Ihr zentraler Server missbraucht wurde als Absender von lästigen oder gar schädlichen Massen-Emails (Spam)

Die vorgestellten Szenarien und die dazu gestellten Fragen bilden nur eine kleine Auswahl dessen, was in der täglichen Praxis tatsächlich passiert

Diese Auswahl wurde hier vorangestellt, um Sie für das Problem der IT-/IKM-Sicherheit empfänglicher zu machen, als Sie es möglicherweise im Moment noch sind.

Diese Themen und Fragen sind von großer Wichtigkeit für Ihr Unternehmen und für Sie selbst; sie können sogar eine existenzielle Bedeutung gewinnen. Auch Ihre Auftraggeber bzw. Kunden sowie Ihre Kooperationspartner haben ein Recht darauf, dass alle sensiblen Daten bei Ihnen „in guten Händen“ sind.

FAZIT:

Es lohnt sich, dass Sie sich mit dem Problem der IT-/ IKM - Sicherheit insgesamt, dem aktuellen Stand in Ihrem Unternehmen sowie den möglicherweise notwendig werdenden Maßnahmen zur Verbesserung der IT-/ IKM - Sicherheit auseinandersetzen. Deshalb wollen wir Ihnen Antworten geben auf wichtige Fragen, wie sie nachfolgend aufgelistet sind. Dabei wird das typische „Fach-Chinesisch“ vermieden und eine hohe Praxisnähe angestrebt.

FRAGEN?

Sollten Sie irgendwelche Fragen haben, können Sie sich jederzeit gerne an uns wenden:

Sachverständigenbüro Skodras

Kressenberg 2

63867 Johannesberg

Telefon +49 (0) 6029-995956

Fax: +49 (0) 6029-995958

Mobil: +49 (0) 171-5113081

Email: k.skodras@sv-skodras.de