IT-Sicherheit: Schutzziele, Maßnahmen und Verantwortlichkeiten

IT-Sicherheit wird häufig auf Produkte reduziert, obwohl der größere Teil der Wirkung aus Organisation und Betriebsdisziplin stammt. Am Anfang steht die Frage, was geschützt werden soll und gegen welche Ereignisse. Erst daraus lassen sich sinnvolle Maßnahmen und ein vertretbares Budget ableiten.

Die drei Schutzziele

Fachlich wird IT-Sicherheit über drei Schutzziele beschrieben. Vertraulichkeit bedeutet, dass Informationen nur den Berechtigten zugänglich sind. Integrität bedeutet, dass Daten unverändert und vollständig bleiben beziehungsweise Veränderungen erkennbar sind. Verfügbarkeit bedeutet, dass Systeme und Daten dann nutzbar sind, wenn sie gebraucht werden. Häufig ergänzt wird die Zurechenbarkeit, also die Nachvollziehbarkeit, wer eine Aktion ausgeführt hat.

Diese Ziele stehen teilweise in Spannung zueinander. Strenge Zugriffsbeschränkungen erhöhen die Vertraulichkeit und können die Verfügbarkeit im Arbeitsalltag verschlechtern. Deshalb ist die Einstufung je Prozess und Datenbestand notwendig: Ein Konstruktionsdatenbestand hat andere Anforderungen als ein interner Terminkalender.

Was im Mittelstand tatsächlich wirkt

Die Angriffe, die mittelständische Unternehmen treffen, sind überwiegend nicht zielgerichtet, sondern nutzen breit gestreute, bekannte Schwachstellen und gestohlene Zugangsdaten. Entsprechend wirken die grundlegenden Maßnahmen am stärksten:

• Patchmanagement für Betriebssysteme, Anwendungen und insbesondere aus dem Internet erreichbare Systeme
• Mehr-Faktor-Authentifizierung für alle externen Zugänge, Administrationskonten und Cloud-Dienste
• Getrennte administrative Konten, die nicht für tägliche Arbeit oder E-Mail genutzt werden
• Datensicherung mit mindestens einer Kopie, die vom produktiven Netz getrennt und nicht überschreibbar ist
• Netzsegmentierung, um die seitliche Ausbreitung nach einem Einbruch zu begrenzen
• Zentrale Protokollierung, damit ein Vorfall überhaupt rekonstruiert werden kann
• Schulung der Beschäftigten zu Phishing, Rechnungsbetrug und Umgang mit Zugangsdaten

Deutlich weniger Wirkung entfalten zusätzliche Werkzeuge, wenn die genannten Grundlagen nicht sitzen. Ein Erkennungssystem, dessen Meldungen niemand ansieht, verändert das Sicherheitsniveau nicht.

Verantwortlichkeiten klären

IT-Sicherheit ist eine Führungsaufgabe, weil sie über Budgets, Prioritäten und akzeptierte Risiken entscheidet. Die Geschäftsführung muss festlegen, welche Ausfallzeiten und Datenverluste tragbar sind; die IT setzt daraus abgeleitete Maßnahmen um. Wird diese Entscheidung nicht getroffen, trifft sie faktisch die technische Ebene ohne Kenntnis der wirtschaftlichen Folgen.

Zu klären ist insbesondere:

• Wer entscheidet über die Freigabe neuer Software und neuer Cloud-Dienste
• Wer vergibt und entzieht Berechtigungen, und in welchem Zeitraum bei Austritten
• Wer prüft die Datensicherung und wer testet die Wiederherstellung
• Wer nimmt Sicherheitsmeldungen außerhalb der Geschäftszeiten entgegen
• Wer dokumentiert Systemänderungen und wo liegt diese Dokumentation

Bei ausgelagertem IT-Betrieb ist die Abgrenzung schriftlich zu fassen. Wer verantwortet Patches, wer überwacht die Datensicherung, wer prüft Wiederherstellungen, wer reagiert außerhalb der Geschäftszeiten? Ebenso wichtig ist die Aufgabenteilung bei Cloud-Diensten: Der Anbieter verantwortet die Plattform, das Unternehmen weiterhin Konten, Berechtigungen, Konfiguration und in vielen Fällen auch die Sicherung der eigenen Daten.

Vorfälle einplanen

Sicherheitsvorfälle lassen sich nicht vollständig verhindern. Deshalb gehört zum Konzept die Frage, wie im Ernstfall gehandelt wird. Dazu zählen eine erreichbare Meldestelle, eine Liste kritischer Systeme mit Wiederanlaufreihenfolge, Kontaktdaten von Dienstleistern und Behörden auch außerhalb der betroffenen Systeme sowie geprüfte Wiederherstellungswege. Ein Wiederherstellungstest, der nicht mindestens einmal durchgeführt wurde, ist keine Absicherung, sondern eine Annahme.

Datenschutzrechtliche Meldepflichten können bei Vorfällen mit Personenbezug greifen und sind fristgebunden. Die konkrete Bewertung im Einzelfall erfordert rechtliche Prüfung; organisatorisch sollte jedoch vorab festgelegt sein, wer diese Bewertung anstößt.

Typische Fehler

Der häufigste Fehler ist die Konzentration auf Beschaffung statt auf Betrieb. Lizenzen für Sicherheitsprodukte werden erworben, aber Meldungen nicht ausgewertet, Ausnahmen nicht zurückgenommen und Konfigurationen nicht überprüft. Zweitens werden Administrationskonten weiterhin ohne zweiten Faktor und mit dauerhaften Rechten betrieben. Drittens liegt die Datensicherung im selben Netz und mit denselben Zugangsdaten erreichbar wie die Produktivsysteme, was sie im Fall von Verschlüsselungsangriffen wirkungslos macht. Viertens werden Altsysteme, für die keine Sicherheitsupdates mehr erscheinen, ohne Isolierung weiterbetrieben. Und schließlich wird das Thema als reines IT-Anliegen behandelt, obwohl der Schaden im Ernstfall den gesamten Betrieb trifft.

• Vertraulichkeit, Integrität und Verfügbarkeit sind je Prozess unterschiedlich zu gewichten.
• Patchstand, Mehr-Faktor-Authentifizierung und getrennte Sicherungen decken einen Großteil des realistischen Risikos ab.
• Die Geschäftsführung entscheidet über tragbare Ausfallzeiten, nicht die technische Ebene.
• Bei Cloud-Nutzung und Auslagerung müssen Zuständigkeiten schriftlich abgegrenzt sein.
• Wiederherstellung muss getestet sein, sonst ist sie nur eine Annahme.