Alles, was Unternehmen über IT-Sicherheit wissen sollten

Was ist IT-Sicherheit?

Hinter dem Begriff IT-Sicherheit verbergen sich Maßnahmen und Strategien, die dazu dienen, Daten, Netzwerke, Computer und andere IT-Ressourcen vor unbefugtem Zugriff, Verlust, Beschädigung oder Missbrauch zu schützen. Die Schutzziele der IT-Sicherheit in Unternehmen sind vor allem Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität von Informationen. Darüber hinaus geht es darum, im Fall von Cyberangriffen den weiteren Betrieb des Unternehmens gewährleisten zu können.

Was ist der Unterschied zwischen IT-Sicherheit und Cybersecurity?

Im geschäftlichen Alltag werden die Begriffe IT-Sicherheit und Cybersecurity oft synonym verwendet. Doch muss zwischen beiden unterschieden werden: IT-Sicherheit ist der übergeordnete Begriff. Sie bezieht sich auf den Schutz von Daten, besonders in Bezug auf die oben genannten Schutzziele, auf die wir im nächsten Abschnitt genauer eingehen. Berücksichtigt werden dabei sowohl digitale als auch physische Faktoren.

Cybersecurity hingegen fokussiert sich auf den Schutz von Systemen und Daten im Cyberspace, also im Internet, in Netzwerken oder in der Cloud. Dazu gehören der Schutz vor Cyberangriffen wie Hacking, Phishing, Malware und weiteren Cyber-Bedrohungen sowie die IoT-Security. Nähere Informationen zu diesen Teilgebieten finden Sie in den verlinkten Artikeln.

Die Schutzziele der IT-Sicherheit

Für deutsche Unternehmen sind die IT-Schutzziele in mehreren Rahmenwerken definiert. Eine besonders große Rolle spielt der IT-Grundschutz des Bundesamtes für Sicherheit in der Informationstechnik (BSI). Als Unternehmerin oder Unternehmer müssen Sie die erforderlichen Maßnahmen ergreifen, um diese Ziele zu erreichen.

CIA-Triade: Die drei klassischen IT-Schutzziele

Oft spricht man von klassischen und erweiterten Schutzzielen. Die klassischen Schutzziele sind das Fundament der IT-Sicherheit in Ihrem Unternehmen: Vertraulichkeit, Integrität und Verfügbarkeit. Diese werden auch als CIA-Triade bezeichnet, benannt nach den englischen Initialen der Ziele: Confidentiality, Integrity und Availability (Vertraulichkeit, Integrität und Verfügbarkeit).

1. IT-Schutzziel: Vertraulichkeit

Vertraulichkeit bezieht sich auf den Schutz von Informationen vor unbefugtem Zugriff und Offenlegung. Dazu gehören sensible Daten wie Ihre Kundendaten, Dokumente, die geistiges Eigentum enthalten oder Geschäftsgeheimnisse. Ein vertraulicher Umgang mit Daten ist unverzichtbar, um das Vertrauen Ihrer Kunden, Partner und Stakeholder zu erhalten. Sie können in Ihrem Unternehmen unterschiedliche Maßnahmen und Technologien einsetzen, um Vertraulichkeit zu gewährleisten:

• Zugangskontrollen: Damit kann sichergestellt werden, dass in Ihrem Unternehmen nur autorisierte Benutzerinnen und Benutzer auf bestimmte Daten zugreifen können. Entsprechende Daten sollten daher beispielsweise durch Benutzername/Passwort-Kombinationen, rollenbasierte Zugriffskontrollen oder Listen zur Zugriffskontrolle gesichert sein.
• Verschlüsselung: Hierbei werden Daten durch einen kryptografischen Schlüssel in eine unlesbare Form umgewandelt. Nur über einen speziellen Schlüssel lassen sie sich wieder lesbar machen. Die Verschlüsselung sollte sowohl bei der Übertragung als auch der Speicherung unternehmensrelevanter Daten angewandt werden.
• Richtlinien zur Datensicherheit: Entwickeln Sie klare Richtlinien zur Datensicherheit, um vertrauliche Daten sicher zu handhaben.
• Schulungen: Regelmäßige Schulungen und Maßnahmen zur Sensibilisierung helfen Ihrem Personal, das Bewusstsein für den Schutz vertraulicher Daten zu schärfen und das Risiko von Datenschutzverletzungen zu verringern.
• Überwachung und Audits: Die Überwachung der IT-Systeme auf Sicherheitsverstöße und regelmäßige Audits tragen dazu bei, dass die Vertraulichkeit gewahrt bleibt.

2. IT-Schutzziel: Integrität

Integrität zielt auf die Korrektheit und Unversehrtheit von Daten und Systemen ab. Die Informationen, die in Ihrem Unternehmen vorliegen, sollten vor unbefugten Änderungen geschützt werden. Das betrifft sowohl absichtliche als auch unabsichtliche Änderungen. Nur so wird sichergestellt, dass alle Daten, auf denen Ihre geschäftlichen Entscheidungen basieren, authentisch und unverfälscht sind. Zur Integrität der Daten tragen u. a. folgende Maßnahmen und Technologien bei:

• Überwachung von Änderungen: Hinterfragen Sie Ihre Abläufe: Sind Sie in der Lage nachzuvollziehen, wer wann welche Daten verändert hat? Reagieren Sie auf nicht autorisierte Änderungen schnell und effektiv.
• Zugangskontrollen: Durch den kontrollierten Zugang stellen Sie sicher, dass nur befugte Personen kritische Daten ändern können.
• Datenvalidierung: Mit Prüfsummen und digitalen Signaturen lässt sich kontrollieren, ob Daten seit der letzten Prüfung verändert wurden. Das stellt auch die Integrität von Daten während der Datenübertragung sicher.
• Datensicherung/-archivierung: Falls es zu einer Datenmanipulation gekommen ist, lässt sich aus einem Back-up eine verlässliche Version zurück in die Systeme spielen.
• Sicherheits- und Prozessrichtlinien: Klare Richtlinien tragen dazu bei, das Bewusstsein Ihrer Mitarbeiterinnen und Mitarbeiter zu erhalten und deutlich zu machen, wie mit sensiblen Daten umzugehen ist.
• Anomalie-Erkennung: Abweichungen von der Norm in Abläufen und Prozessen sind ein Hinweis auf Bedrohungen der Integrität. Stellen Sie sicher, dass ungewöhnliche Zugriffsmuster und Aktivitäten registriert werden und entsprechend reagiert wird.

Verstöße gegen die Integrität haben häufig schwerwiegende Folgen. Zum einen haben sie das Potenzial, das Vertrauen Ihrer Kundschaft und Partner in Ihr Unternehmen zu vermindern. Zum anderen sind oftmals empfindliche finanzielle Schäden die Folge geschäftlicher Entscheidungen auf Basis fehlerhafter Daten.

3. IT-Schutzziel: Verfügbarkeit

Das dritte klassische IT-Schutzziel ist Verfügbarkeit. Verfügbarkeit heißt, dass Informationen und IT-Systeme stets verlässlich zugänglich sind. Dadurch minimieren Sie Ausfallzeiten, erhalten die Kundenzufriedenheit und sichern die Stabilität Ihrer Geschäftsprozesse. Diese Maßnahmen tragen zur Verfügbarkeit bei:

• Redundanz: Falls ein System ausfällt, übernimmt ein redundantes System (z. B. ein Back-up-Server, der den Hauptserver im Ernstfall ersetzen kann) und stellt den weiteren Betrieb sicher.
• Lastverteilung: Verteilung des Netzwerkverkehrs auf mehrere Server. Das optimiert die Auslastung und verbessert die Reaktionszeiten.
• Datensicherung: Regelmäßige Back-ups und entsprechende Disaster-Recovery-Pläne stellen sicher, dass Unternehmensdateien nach einem Ausfall schnell wiederhergestellt werden können.
• Überwachung und Instandhaltung: Durch Monitoring und Pflege lassen sich potenzielle Probleme frühzeitig erkennen und beheben.
• DDoS-Schutz: „DDoS“ steht für „Distributed Denial of Service“ und bezeichnet eine Attacke auf ein Netzwerk, die sich Kapazitätsbeschränkungen zu Nutze macht. Entsprechende Schutzmaßnahmen tragen dazu bei, die Verfügbarkeit Ihrer IT-Systeme auch während eines Cyberangriffs, der auf deren Überlastung abzielt, zu gewährleisten.
• Notstromversorgung: Mit unterbrechungsfreier Stromversorgung (USV) und Notstromgeneratoren stellen Sie sicher, dass Ihre IT-Systeme bei Stromausfällen weiterarbeiten.
• Kapazitätsplanung: Eine realistische Einschätzung möglicher Zugriffsanfragen ist die Grundlage dafür, dass jederzeit genug Ressourcen verfügbar sind, um Spitzenlasten bewältigen zu können. Das betrifft sowohl Ihre interne IT-Struktur als auch Zugriffe auf Websites, E-Shops, Cloud-Dienste und weitere Bereiche.

Erweiterte IT-Schutzziele

Über die klassischen IT-Schutzziele hinaus lassen sich weitere Schutzziele formulieren, die auch für Ihr Unternehmen relevant sein können. Dazu zählen:

• Authentizität: Zur Authentizität zählt etwa die Überprüfung der Identität von Benutzerinnen und Benutzern, Systemen oder Daten.
• Rechenschaftspflicht: Unternehmen müssen sicherstellen, dass Handlungen von Entitäten innerhalb eines Systems nachzuvollziehen und zuzuordnen sind.
• Nichtabstreitbarkeit: Digitale Signaturen und vergleichbare Instrumente stellen sicher, dass eine durchgeführte Aktion oder ein Ereignis von den beteiligten Parteien nicht abgestritten werden kann.

Wer ist für die Einhaltung der IT-Schutzziele verantwortlich?

Grundsätzlich liegt die Verantwortung für die Einhaltung die Schutzziele bei der Unternehmensleitung. Daher sollten Sie entsprechende Ressourcen zur Verfügung stellen, um IT-Sicherheit gewährleisten zu können. Stellen Sie sicher, dass Sie ausreichend Personal zur Verfügung haben, dass die IT-Schutzziele priorisieren kann.

Die operative Verantwortung für das Thema können Sie auf verschiedene Ebenen innerhalb Ihres Unternehmens verteilen. Z. B. auf IT-Sicherheitsbeauftragte oder eine Abteilung, die direkt mit Umsetzung und Überwachung der IT-Sicherheitsmaßnahmen betraut ist.

Doch die Verantwortung endet hier noch nicht. Es kommt auf jedes einzelne Ihrer Teammitglieder an. Das gesamte Personal muss in Sicherheitsfragen geschult werden, damit sich alle ihrer Rolle im Schutz der Unternehmens-IT bewusst sind. Ihre Mitarbeiterinnen und Mitarbeiter spielen eine zentrale Rolle bei der Verteidigung gegen Cyber Threats.

Was beinhaltet das IT-Sicherheitsgesetz? 

Das deutsche IT-Sicherheitsgesetz (IT-SiG) wurde in seiner Ursprungsfassung 2015 verabschiedet. Es hat zum Ziel, die Sicherheit von Informationstechnologie-Systemen (IT-Systemen) zu erhöhen. Vor allem kritische Infrastrukturen (KRITIS) sollen dadurch geschützt werden.

Wie sieht ein optimales IT-Sicherheitskonzept aus?

Ein wirksames IT-Sicherheitskonzept muss individuell auf Ihr Unternehmen abgestimmt sein, um spezifische Bedürfnisse und Risiken berücksichtigen zu können. Es sollte klar strukturiert sein und folgende Elemente enthalten:

Häufig gestellte Fragen

Passend zum Thema