Informationssicherheit

InformationssicherheitWenn der Feind mitliestWenn Daten verloren gehen oder in die falschen Hände gelangen, kann das Millionenschäden verursachen. Noch nie ist Informationssicherheit so ausschlaggebend gewesen für den wirtschaftlichen Erfolg eines Unternehmens.Es passiert alle zwei Sekunden: Irgendwo im Internet taucht eine neue Schadsoftware auf. Pro Tag werden rund 21.000 Webseiten weltweit mit derartigen Programmen infiziert. Die Methoden der Cyberkriminellen werden immer raffinierter, die Abwehr ihrer Attacken zunehmend schwieriger. Laut dem Bundeskriminalamt (BKA) ist die Computerkriminalität allein zwischen 2007 und 2011 um 26 Prozent auf 84.981 Fälle gestiegen. Kaum eine Branche ist mehr sicher.Auch Informationen in Transport- und Logistikunternehmen sind gefährdet. Allerdings weniger durch anonyme Hacker. „Die meisten Daten gehen verloren, werden manipuliert oder unautorisiert genutzt, weil Mitarbeiter einen Fehler machen oder nachlässig handeln“, sagt Holger Grieb. Der Unternehmensberater von KSI Consult in Düsseldorf unterstützt Speditionen beim Aufbau von Informationssicherheitssystemen und kennt die Lücken in der IT-Struktur. Nach seiner Erfahrung sind Daten in kleinen und mittelständischen Unternehmen oft schlecht gesichert. „Die IT-Technik zum Schutz von Informationen ist mitunter vorhanden, aber es mangelt oft am Problembewusstsein innerhalb der Belegschaft – das gilt für alle Ebenen“, erklärt Grieb. Zudem fehle es an einem strukturierten Vorgehen: „Häufig kümmert man sich nur nebenbei um die Informationssicherheit oder es gibt einen externen IT-Dienstleister“, erläutert der Fachmann.Mittelständler haben NachholbedarfSeine Einschätzung belegt eine Umfrage unter mehr als 5000 mittelständischen Unternehmen, die die Münchner Sicherheitsberater von Corporate Trust durchgeführt haben. 58,4 Prozent der Befragten gaben demnach an, dass der leichtfertige Umgang ihrer Mitarbeiter mit Sicherheitsstandards die Sicherheit der IT oder Telekommunikation am meisten gefährde. Dahinter folgen Hackerangriffe (47,3 Prozent) und an dritter Stelle der böswillige Datenmissbrauch durch das eigene Personal (46,2 Prozent).Große Konzerne verfügen der Studie zufolge häufig über die nötigen Sicherheitsstrukturen. Mittelständler hingegen seien zum Teil unzureichend auf die sich ständig verändernden Sicherheitsanforderungen eingestellt. Die meisten hätten zwar einen Brandschutzbeauftragten, doch nicht einmal die Hälfte einen Verantwortlichen für die IT-Sicherheit. Dadurch würden Informationsabflüsse oft zu spät bemerkt. „Wo geeignete Sicherheitsstrukturen oder regelmäßige Überprüfungen fehlen, bleiben sie daher manchmal über Jahre unentdeckt“, heißt es in dem Papier von Corporate Trust. Im schlimmsten Fall weitet sich ein solcher Zwischenfall zu einer Krise aus: Wenn ein Konkurrent geheime Dokumente ausspäht, ein interner Täter die Buchhaltungsdaten manipuliert oder eine Datenbank geklaut wird, kann dies unter Umständen zum Beispiel zu einer finanziellen Schieflage führen.Das Bundeskriminalamt (BKA) beziffert den durch Cyberkriminelle verursachten Schaden pro Jahr auf 71 Millionen Euro. Die Dunkelziffer liegt laut Sicherheitsbehörden aber weitaus höher. Viele Unternehmen scheuten aus Angst vor Imageverlust oder negativen Auswirkungen auf die Geschäftsbeziehungen das Licht der Öffentlichkeit beziehungsweise die Strafanzeige.Vor allem Mobilgeräte sind gefährdetDer wirtschaftliche Erfolg eines Unternehmens hängt heute unter anderem davon ab, wie gut es gelingt, sensible Datenbestände und die elektronische Kommunikation vor Verlust und/oder Missbrauch zu schützen. Neben organisatorischen Maßnahmen sind auch technische Lösungen notwendig, um die aktuellen Anforderungen an IT-Sicherheit zu erfüllen. „In der heutigen Zeit ist es nicht mehr damit getan, nur einen Virusscanner oder eine Firewall einzurichten“, betont Andreas Weyert. Deshalb beugt der IT-Security-Manager von Hellmann Worldwide Logistics in Osnabrück nicht nur Infektionen mit Schadsoftware durch verseuchte E-Mail-Anhänge oder Surfen im Internet vor, sondern erarbeitet auch Sicherheitsrichtlinien und Handlungsanweisungen für das Personal.Immerhin wird inzwischen ein Großteil der Auftragsdaten in der Transportlogistik elektronisch übermittelt – Tendenz steigend. Je leichter Mitarbeiter die Informationen, auf die sie ungehinderten Zugriff haben, auf einen USB-Stick kopieren beziehungsweise über den freien Webzugang nach außen transferieren können, desto höher ist das Risiko. Nicht nur für Dienstleister, sondern auch für ihre Kunden.Als Herausforderung sieht Weyert vor allem den zunehmenden Einsatz mobiler Endgeräte. Oft führen Mitarbeiter auf Dienstreisen im Gepäck jede Menge vertrauliche Informationen mit. 42 Prozent der deutschen Unternehmen verzichten laut einer Studie von Bitkom aber auf spezielle Sicherheitsvorkehrungen für Smartphones, Tablets und Co. „Für die Daten auf Servern gelten in den meisten Unternehmen hohe Sicherheitsvorkehrungen, bei Mobilgeräten ist dies häufig nicht der Fall. Dabei sind Smartphones und Tablet-Computer besonders gefährdet“, mahnt Bernhard Rohleder, Hauptgeschäftsführer des Hightech-Verbands. Vor allem kleine und mittelständische Unternehmen ließen Mobilgeräte bei Sicherheitsfragen oft außen vor.Dachser lässt IT vom TÜV zertifizierenEin Vorreiter in Sachen Informationssicherheit ist Dachser. Die IT-Zentrale des Logistikers in Kempten programmiert selbst Transport- und Warehouse-Management-Systeme sowie E-Logistics-Internetanwendungen und stellt diese weltweit zur Nutzung bereit. Im Februar dieses Jahres hat der Konzern seine zentralen IT-Services, Rechenzentren, Infrastrukturen und IT-Fachbereiche durch den TÜV Süd gemäß ISO-Norm zertifizieren lassen. Kunden soll das Zertifikat signalisieren, dass sich ihre Daten in sicheren Händen befinden. „Sie vertrauen darauf, dass wir verantwortungsbewusst mit ihren sensiblen geschäftlichen Informationen umgehen“, sagt Christian von Rützen, IT-Sicherheitsbeauftragter bei Dachser.Die neue ISO-Norm beschreibt den sicheren Umgang mit Informationen im Unternehmen. Inhaltlich deckt die Zertifizierung verschiedenste Aspekte ab: von den technischen Disziplinen wie Virenschutz, Spam-Abwehr und Sicherheit der Internetanwendungen über die Ausfallsicherheit und Notfallplanung bis hin zu organisatorischen Dingen wie Vertraulichkeitsregelungen mit externen IT-Dienstleistern und Beratern. Zudem erfordert sie ein Risiko-Management-System, um Gefahren auf allen IT-Ebenen einzustufen und bewältigen zu können.Der Schwerpunkt des Informationssicherheitsmanagements bei Dachser liegt auf der Notfallplanung. „Der Laden muss in erster Linie laufen“, sagt von Rützen. Wichtig sei, dass ein Zwischenfall auf das Tagesgeschäft möglichst wenig Auswirkung habe. Moderne Supply Chains seien auf ausfallsichere IT-Systeme angewiesen, sagt er.Systemverfügbarkeit steht im FokusVon Rützen weiß, dass viele Geschäftsprozesse der Kunden von der Verfügbarkeit der eigenen Systeme abhängen. „Gerade im Lebensmittelbereich muss produzierte Ware oft kontinuierlich und sehr zeitnah abgeholt werden.“ Wenn der LKW nicht kommt, gebe es rasch einen Rückstau in die Fertigungslinien und die Bänder stünden still. Ähnlich sei es, wenn man ein Warehouse für einen Automobilzulieferer betreibe. „Wenn die Teile nicht just in time in die Fertigung geliefert werden, dann steht die Produktion“, erklärt der IT-Experte.Einen gezielten Cyberangriff hat er bislang nicht erlebt. „Die erste spürbare Attacke aus dem Internet war der Penetrationstest, den wir selbst in Auftrag gegeben haben“, sagt von Rützen. Dabei hätten qualifizierte Hacker versucht, aus dem Internet über technische Schwachstellen an vertrauliche Daten zu gelangen, die zwischen Dachser und seinen Kunden zirkulieren. „Darauf muss man gefasst sein“, betont von Rützen. Ebenso auf Schadsoftware. „Jeder Virus, der im Internet kursiert, trifft einen Logistiker mit der gleichen Wahrscheinlichkeit wie eine Privatperson, eine Bank oder ein anderes Unternehmen“, sagt er.Der gleichen Ansicht ist Weyert: „Zwar sind Cyberkriminelle heute dazu fähig, hoch professionelle IT-Angriffe durchzuführen, die potenziellen Gefahren von außen halten sich unseres Erachtens aber auf dem gleichen hohen Niveau wie bei anderen Branchen“, sagt der IT-Security-Manager von Hellmann.Informationssicherheit ist ein ProzessEine Zertifizierung, wie sie Dachser in Auftrag gegeben hat, können sich Logistikunternehmen erst ab einer gewissen Größenordnung leisten. Denn sie ist teuer, zahlt sich nicht unmittelbar in barer Münze aus und amortisiert sich in der Regel erst nach Jahren. Nur um die besagte ISO-Norm einsehen zu können, muss man 150 Euro berappen. Hinzu kommt, dass viele Branchenvertreter weder die Zeit noch das Personal haben, um die Datensicherheit im eigenen Haus rund um die Uhr zu überwachen.Hier kann ein externer Dienstleister helfen. Wenn Grieb kleine und mittelständische Kunden in Sicherheitsfragen berät, geht es oft vor allem darum, das Problembewusstsein zu schärfen und über ein Risikomanagement ein systematisches Vorgehen zu installieren: „Am Anfang muss man sich klarmachen, welche Informationen man überhaupt schützen will und wie gefährdet diese sind“, sagt der Mann von KSI Consult.Mit einer Bestandsaufnahme ist es allerdings nicht getan. Das weiß auch Weyert. Das größte Sicherheitsrisiko besteht seines Erachtens darin, Informationssicherheit zu unterschätzen und als ein zeitlich begrenztes Projekt einzuordnen. „Täglich werden durchschnittlich 13 neue Schwachstellen in Standard-Programmen entdeckt“, warnt der Experte. Entscheidend sei deshalb, Daten- und Informationssicherheit als einen Prozess zu begreifen, der ständigen Anpassungen und Verbesserungen bedarf. ❙❚■ André GießeDie Zahl der Fälle von Computerkriminalität ist in den vergangenen Jahren dramatisch gestiegenSo machen Sie Smartphone, Tablet-Computer und Co. sicher Schutzprogramme: Smartphones und Tablet-Computer werden immer häufiger mit Viren, Würmern und Trojanern angegriffen. Um Infektionen mit Schadsoftware vorzubeugen, braucht es einen aktuellen Virenschutz. Dieser sollte zentral administrierbar sein und Firewall-Funktionen wie Schnittstellen-Filterung (WLAN, USB, Bluetooth) haben. Außerdem empfiehlt sich ein Spam-Filter, um unerwünschte E-Mails oder SMS zu blocken.Updates: Um das Sicherheitsniveau der mobilen Endgeräte aufrechtzuerhalten, sollten Sie die integrierte Software, das Betriebssystem und sonstige Anwendungen regelmäßig aktualisieren. Dadurch lassen sich zwischenzeitlich entdeckte oder neu entstandene Sicherheitslücken schließen.Zugriffskontrolle: PINs und Passwörter verhindern einen unbefugten Zugriff auf Daten, E-Mails, Adressen oder Telefonnummern. Vergeben Sie eine PIN für die SIM-Karte, ein Passwort für das Gerät selber und eines für das Synchronisieren. Wählen Sie ein sicheres Passwort. Je länger und je kryptischer, desto besser. Nutzen Sie dafür große und kleine Buchstaben sowie Zahlen und Sonderzeichen. Kurze und einfach zu erratende Passwörter können leicht ausgehebelt werden. Nutzen Sie außerdem die Tastensperre.Konfiguration: Betriebliche Mobilgeräte sollten von einem Verantwortlichen (Administrator) für den sicheren Zugriff auf E-Mail oder virtuelle Netzwerke (VPNs) konfiguriert werden. Definieren Sie Regeln für Smartphones, Tablet-Computer und Notebooks und sprechen Sie diese mit den Mitarbeitern ab. Am besten verwendet man separate Mobilgeräte für die geschäftliche Nutzung.Schnittstellen: Schalten Sie Funkdienste wie WLAN und Bluetooth erst dann ein, wenn Sie diese Funktionen auch wirklich benötigen. Das ist sicherer und schont den Akku. Falls Sie Bluetooth oft benötigen, zum Beispiel für Freisprecheinrichtungen, schalten Sie auf den Modus „unsichtbar“. Beim Surfen in öffentlichen WLAN-Netzen – zum Beispiel über Hotspots – sollten Sie sehr vorsichtig sein und auf eine Verschlüsselung achten.Verschlüsselung:Verschlüsseln Sie vertrauliche Daten. Auch die, die sich auf der eingelegten Speicherkarte befinden. Die umfassende Verschlüsselung aller Nutzerdaten können Sie bei einigen Geräten einstellen. Beim Einsatz betrieblicher Mobilgeräte sollten Sie den Netzbetreiber fragen, ob er Security Services für E-Mail beziehungsweise Netzzugriff anbietet. Unverschlüsselte Verbindungen sollten Sie zum Austausch geschäftsrelevanter Daten nicht nutzen. Falls Sie ein privates Mobilgerät nutzen, das Datenverschlüsselung nicht unterstützt, verwenden Sie eine Software-Lösung.Ortung:Mobile Endgeräte können über GPS automatisch Standortdaten erheben und speichern, zum Beispiel zur Navigation. Teilweise wird der Aufenthaltsort auch dann gespeichert, wenn man standortbezogene Angebote gar nicht nutzt, oder beim Einsatz von Apps, ohne dass dies für den gewünschten Dienst erforderlich ist. Wenn Sie nicht wollen, dass Bewegungsprofile von Ihnen erstellt werden können, sollten Sie die Ortungsfunktion nur dann aktivieren, wenn Sie sie brauchen, beziehungsweise sie im Zweifel ausschalten.Apps:Viele Applikationen geben persönliche Daten, zum Beispiel aus dem Adressbuch, oder Positionsdaten über das Internet weiter – ohne den Nutzer zu fragen. Apps können auch Viren oder Trojaner enthalten, die Daten ausspähen oder schädigen. Überlegen Sie sich vor dem Installieren, ob Sie die Anwendung auch wirklich benötigen. Man sollte Apps nur aus vertrauenswürdigen Quellen beziehen. Vergleichen Sie Testberichte im Internet und achten Sie auf Zertifikate oder Vergleichbares. Die Benutzer von betrieblichen Mobilgeräten sollten wissen, welche Apps sie nutzen dürfen.Sicherung: Sichern Sie regelmäßig wichtige Daten Ihres Smartphones,Tablet-Computers oder Notebooks auf einem zusätzlichen Datenträger. Erhöhen Sie die Sicherheit Ihres Daten-Backups, indem Sie die Datensicherung an einem sicheren Ort aufbewahren.Fernlöschung: Gespeicherte Informationen lassen sich nach dem Diebstahl oder Verlust des Mobilgeräts auch aus der Ferne löschen. Zum Beispiel durch Server-Synchronisierung oder die dreimalige falsche Eingabe des Passworts. Nutzen Sie gegebenenfalls eine Lösung (Software/Service), mit deren Hilfe verloren gegangene oder gestohlene Endgeräte aufgespürt und bei Bedarf deaktiviert werden können. Lassen Sie sich beraten! agtipps für mobile EndgeräteTipps für mobile EndgeräteInformationssicherheitHier finden Sie weitere Informationen, nützliche Hinweise und Broschüren:BMWI: Mit der Task Force „IT-Sicherheit in der Wirtschaft“ unterstützt das Bundeswirtschaftsministerium (BMWI) den sicheren Einsatz von Informations- und Kommunikationstechnologien. Der Sicherheitsnavigator bietet einen Überblick über kostenfreie Hilfsangebote für kleine und mittelständische Unternehmen. www.it-sicherheit-in-der-wirtschaft.deBSI: Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beantwortet mit der IT-Grundschutz-Website Fragen zur IT-Sicherheit. Es hilft Unternehmen, dem Stand der Technik entsprechende Sicherheitsmaßnahmen zu identifizieren und umzusetzen. www.bsi.bund.deNEG: Das Netzwerk Elektronischer Geschäftsverkehr (NEG) ist eine Förderinitiative des Bundeswirtschaftsministeriums. Es unterstützt kleine und mittlere Unternehmen dabei, die Chancen des E-Business effektiv zu nutzen. www.ec-net.deInformationssicherheit

Informationssicherheit

Aufkommensentwicklung Quartal 1/2022 bis Quartal 4/2022 im Vergleich zum Vorjahreszeitraum

Cyber-Sicherheit

MEISTGELESEN

Wasserstoffmobilität: Brennstoffzelle statt Batterie

Italien: Entschädigungen bei zu langer Wartezeit an der Rampe

UPS: Nach Absturz mit 13 Toten MD-11-Flotte gestoppt

NEWSLETTER