Was ist IT-Sicherheit?

Wirtschaft und Verbraucher haben hohe Erwartungen hinsichtlich der Vertraulichkeit von Telekommunikation. Daher sind Zuverlässigkeit, Sicherheit und eine hohe Verfügbarkeit wichtige Qualitätsmerkmale für Telekommunikationsdienstleistungen, die den Nutzern sehr wichtig sind.

Das Bundesministerium für Wirtschaft und Klimaschutz (BMWK) legt Rahmenbedingungen fest, um sichere Telekommunikation unter akzeptablen Bedingungen zu ermöglichen. Das Ziel besteht darin, einen sicheren und vertrauenswürdigen Zugang zur IT für Wirtschaft, Gesellschaft und Staat sicherzustellen, damit sie von den Vorteilen der Digitalisierung profitieren können.

Die fortschreitende Digitalisierung unserer Wirtschaft sowie die neuartige Organisation und Steuerung von Prozessen in der Industrie 4.0 eröffnen zahlreiche Möglichkeiten und Chancen.

Gleichzeitig erhöht sich jedoch auch die Abhängigkeit der Unternehmen voneinander sowie von IT-Anbietern, häufig aus Ländern außerhalb Europas. Dies wiederum steigert das Risiko für erhebliche Schäden durch absichtliche oder unbeabsichtigte Fehlfunktionen sowie Manipulationen sensibler Daten kontinuierlich.

Insbesondere deutsche Unternehmen, die mit ihrem Fachwissen weltweit führend sind, stehen im Fokus von internationaler Wirtschaftsspionage und Cyberkriminalität. Laut einer aktuellen Untersuchung des BITKOM (Wirtschaftsschutz 2022) belaufen sich die jährlichen Schäden für deutsche Unternehmen auf geschätzte 203 Mrd. Euro.

Obwohl dieser Schaden etwas niedriger ist als im Jahr 2021, wo der jährliche Schaden durch Diebstahl von IT-Ausrüstung und Daten sowie Spionage und Sabotage mit 223 Mrd. Euro angegeben wurde, darf dies nicht darüber hinwegtäuschen, dass sowohl die Schadenshöhe als auch das Gefahrenpotenzial weiterhin hoch bleiben.

Vor diesem Hintergrund wird die Sicherheit unserer IT-Systeme zu einem strategischen Faktor für die Entwicklung unserer Wirtschaft und Industrie.

Informationen gewinnen immer mehr an Wert, besonders in den letzten Jahren. Darum ist es umso wichtiger, genau diese Informationen zu schützen. Die Schutzziele in der Informationssicherheit werden in drei Bereiche aufgeteilt: 

Verfügbarkeit, Integrität und Vertraulichkeit.

Darüber hinaus gibt es noch weitere Teilziele, die dazu gezählt werden:

Authentizität und Zurechenbarkeit.

All diese Bereiche gilt es aufrechtzuerhalten.

Die Informationen sind ausschließlich für bestimmte Befugte zugänglich. Es müssen also ein Zugriffsschutz definiert und entsprechende Berechtigungen verteilt werden. Nicht zu vernachlässigen ist außerdem die Vertraulichkeit beim Transfer der Daten. Diese sollten immer verschlüsselt sein, sodass die Informationen nicht an Dritte gelangen. Dies kann symmetrisch oder asymmetrisch geschehen.

Die Inhalte und Daten der Informationen müssen immer vollständig und korrekt sein. Sie dürfen auf keinen Fall geändert oder gelöscht werden, egal ob von autorisierten oder unautorisierten Personen. Kommt es dennoch zu diesem Fall, muss gewährleistet sein, dass eine Manipulation verhindert wird und die Sicherheitslücke erkannt und bereinigt werden kann.

Die Verfügbarkeit der Informationen soll versprechen, dass die Verarbeitung von Daten innerhalb der Systeme reibungslos stattfindet. Daten müssen immer zu jedem Zeitpunkt aufrufbar sein. Das heißt also, die IT-Systeme müssen vor Ausfällen geschützt werden.

Um sicherzugehen, dass dies gewährleistet ist, werden Belastungstests der Systeme durchgeführt. So werden die Grenzen der Systeme geprüft, damit die Abläufe im Unternehmen keinesfalls gestört werden. 

Sobald Verfügbarkeit, Vertraulichkeit oder Integrität der Informationen beeinträchtigt sind, kann das gravierende Folgen haben. Bei einem Angriff auf die Informationen könnten beispielsweise vertrauliche Daten wie personenbezogene Daten oder Unternehmensgeheimnisse in falsche Hände gelangen.

Mit diesen Informationen können Hacker Kreditkarten-Informationen missbrauchen, Wirtschaftsspionage betreiben oder gar die Identität einer Person stehlen.

Stehen Daten nicht zur Verfügung, weil sie beispielsweise gelöscht wurden, beeinträchtigt das die Geschäftsprozesse, die auf die Verarbeitung der Daten angewiesen sind. Aufgrund dessen können beispielsweise Bestellungen nicht durchgeführt werden oder Produktionsmaschinen stehen still.

Auch die Manipulation von Daten zieht gravierende Folgen mit sich. Es kann z. B. zu Fehlbuchungen, falschen Analyse-Ergebnissen oder zu Fehlern in der Produktion kommen.

Mit unserer Expertise schützen wir Ihr Unternehmen vor Cyber-Angriffen. 

Die Methoden der Cyberkriminellen entwickeln sich kontinuierlich weiter. Professionelle Hacker sind meist sehr gut organisiert und arbeiten mit modernster Technik. Die Bedrohung wächst also stetig und liefert sich damit einen ständigen Wettlauf mit der IT-Sicherheit. 

Auch ohne umfassende Kenntnisse in IT-Sicherheit können Sie einige grundlegende Regeln beachten, um verantwortungsbewusst mit Online-Diensten und internetfähigen Geräten umzugehen. Es ist wichtig, Ihre Aufmerksamkeit den Zugängen für E-Mail, Online Banking, Online Shopping oder Sozialen Netzwerken zu widmen.

Verwenden Sie starke und komplexe Passwörter und nutzen Sie wenn möglich eine zusätzliche Authentifizierungsmethode. Dieser Aspekt sollte unbedingt berücksichtigt werden.

• regelmäßige Updates Ihrer Software und IT Systeme,
• erstellen und nutzen sicherer Passwörter,
• zweifacher Schutz durch Zwei-Faktor-Authentisierung,
• Regelmäßige Überprüfung des Rechner mit Virenschutzprogrammen,
• Einsatz von Firewall

Firewall und Virenschutzprogramm müssen natürlich regelmäßig aktualisiert werden.

Es ist ebenfalls wichtig, dass das von Ihnen genutzte Gerät ausreichend geschützt ist. Es empfiehlt sich, einen aktuellen Virenschutz und eine Firewall zu verwenden sowie Sicherheitsupdates zeitnah (wenn möglich automatisch) zu installieren.

Diese Ratschläge gelten nicht nur für Heimrouter, Laptops, Smartphones oder Tablets, sondern auch für andere vernetzte Geräte wie Überwachungskameras, Drohnen, Kühlschränke oder Staubsauger-Roboter mit Bluetooth- oder WLAN-Schnittstellen im Internet der Dinge. Vor dem Kauf oder der Inbetriebnahme dieser Geräte lohnt es sich daher ein Blick auf regelmäßige Updates und andere Sicherheitseinstellungen zu werfen.

Seit seinem Inkrafttreten im Mai 2021 hat das IT-Sicherheitsgesetz 2.0 die deutsche KRITIS-Regulierung von 2015 erheblich erweitert. Es bringt zusätzliche Verpflichtungen für einen größeren Kreis von Betreibern, strengere Anforderungen an die Cyber-Sicherheit und gibt dem Staat sowie den Regulierungsbehörden mehr Befugnisse.

In Deutschland hat das Gesetz seit 2021 eine größere Anzahl von KRITIS-Betreibern und betroffenen Unternehmen sowie Zulieferern zur Folge. Dies erfordert verstärkte Bemühungen im Bereich der Cybersicherheit. Ab dem Jahr 2024 werden durch das KRITIS-Dachgesetz und die Umsetzung von NIS2 weitere Erweiterungen eingeführt, um mehr Betreiber einzuschließen und zusätzliche Pflichten festzulegen.

• Angriffs­erkennung
• Meldepflichten
• Störungen
• Unmittelbare Registrierung
• Kritische Komponenten
• Garantieerklärung
• Einsatz darf untersagt werden
• Inventarisierung

Weitere Informationen zur Informationssicherheit finden Sie unter IT-Sicherheitsgesetz 2.0.

Die Sicherheit des deutschen Teils des Cyberraums und die Existenz von äußerst robusten Infrastrukturen sind wichtige Ziele der Politik in Deutschland. Im Jahr 2009 wurde bereits das BSI-Gesetz überarbeitet, um eine gesetzliche Grundlage zu schaffen, die den Bedrohungen angemessen ist und speziell auf die Bundesverwaltung ausgerichtet ist.

Die Strategie bildet den ressortübergreifenden strategischen Rahmen für die Aktivitäten der Bundesregierung mit Bezügen zur Cybersicherheit und schreibt die Cybersicherheitsstrategie aus dem Jahr 2011 fort.
Ziel der Strategie ist es, Cybersicherheit auf einem der Bedeutung und der Schutzwürdigkeit der vernetzen Informationsinfrastrukturen angemessenen Niveau zu gewährleisten, ohne die Chancen und den Nutzen des Cyberraums zu beeinträchtigen.
Die "Cyber-Sicherheitsstrategie für Deutschland 2016" sieht über 30 strategische Ziele und Maßnahmen zur Verbesserung der Cybersicherheit vor, u.a. die Einführung eines IT-Sicherheitsgütesiegels, um Cybersicherheit für Anwender fassbar zu machen, die Ausweitung der Kooperation zwischen Staat und Wirtschaft sowie die Schaffung von "Mobilen Einsatzteams" für die Unterstützung vor Ort. [Quelle BMI:]

Eine Studie von A.T. Kearney hat gezeigt, dass Unternehmen die Gefahr von Cyberattacken unterschätzen. Weltweit wird der finanzielle Schaden durch solche Angriffe auf 400 Milliarden bis 2,2 Billionen US-Dollar geschätzt, zusätzlich zu den Imageschäden und dem Vertrauensverlust.

Es wird erwartet, dass in Zukunft sowohl die Häufigkeit als auch das Ausmaß von Cyberattacken zunehmen werden. Um das Risiko zu minimieren, empfiehlt es sich, die Informationssicherheit ganzheitlich anzugehen und dabei Aspekte wie Strategieentwicklung, Organisationsstrukturen, Prozesse sowie Technologie- und Kulturfragen einzubeziehen.

Die Gefahren der Informationssicherheit sind Risiken für das Unternehmen. Daher obliegt es nicht der IT-Abteilung oder dem CIO, sondern den Geschäftsführern, diese Risiken zu tragen. Den Firmen sollte dies bewusst sein.

Die Methoden von Cyberattacken entwickeln sich kontinuierlich weiter, während das Risiko und die Kosten durch unzureichende Sicherheitsmaßnahmen steigen. Das Vorhersagen zukünftiger Cyberattacken gestaltet sich ähnlich schwierig wie bei Erdbeben, doch einige Trends sind erkennbar.

Jährlich verursachen erfolgreiche Angriffe weltweit geschätzte Kosten zwischen 400 Milliarden und 2,2 Billionen US-Dollar - in etwa vergleichbar mit dem Bruttoinlandsprodukt Österreichs. Langfristige Auswirkungen wie Reputationsverluste und der Vertrauensschwund lassen sich nur schwer quantifizieren.

Die zunehmende Digitalisierung und die damit einhergehenden unvermeidlichen Sicherheitsverletzungen haben zur Folge, dass Cyberattacken immer häufiger auftreten und schwerwiegendere Auswirkungen haben.

Besonders auffällig sind dabei weltweite Überwachungstrends, gezielte Schwächung von Informationssicherheitstechnologie, Angebote für Attack-as-a-Service (AaaS), massive Angriffe auf Infrastrukturen und industrielle Steuerungssysteme. Zusätzlich dazu gibt es auch Erpressungsversuche, bei denen die Angreifer drohen einen glaubhaften Schaden zu verschlimmern, bis das "Lösegeld" gezahlt wird.

Die Geschwindigkeit, mit der Unternehmen auf Angriffe reagieren, hinkt oft hinterher und ermöglicht es den Angreifern, sich in Ruhe auszubreiten. Nachdem ein System erst einmal infiziert ist, kann es Monate dauern, bis die Kontrolle wiedererlangt wird.

Durchschnittlich vergehen 243 Tage bis zur Entdeckung eines Angriffs. In dieser Zeit haben Hacker genügend Zeit, nach wertvollen Daten zu suchen und das gesamte Unternehmen zu infiltrieren. Ein Beispiel dafür ist ein deutsches Stahlwerk: Dort führte ein Angriff zu erheblichen physischen Schäden an einem Hochofen."

Infrastrukturbetreiber in den Bereichen Telekommunikation, Finanzen, Verkehr, Gesundheit und Energieversorgung sind einem ähnlichen Risiko ausgesetzt. Die Diskussion über Informationssicherheit wird zur Frage der nationalen Sicherheit und dem Schutz persönlicher Daten vor Überwachung - eine Frage der Demokratie.

Aus diesem Grund beschäftigt sich auch der Gesetzgeber mit diesen Themen. Dennoch müssen wir uns daran gewöhnen, dass solche öffentlichkeitswirksamen Angriffe stattfinden können und die damit verbundenen angenehmen Konsequenzen akzeptieren.

Unternehmen, die als Vorbild für Informationssicherheit gelten möchten, betonen immer wieder die Bereiche Strategie, Organisation, Prozesse, Technologie und Kultur zur Risikominimierung. Sicherheitsprobleme entstehen selten durch Fehler in nur einem dieser Bereiche; Hacker nutzen stattdessen eine Kombination verschiedener Schwachstellen aus.

Um das Sicherheitsrisiko zu minimieren ist es daher erforderlich eine Sicherheitsstrategie zu entwickeln, welche eng mit der Unternehmensstrategie verknüpft ist. Zudem sind ausgewogene organisatorische Rahmenbedingungen wichtig um schwierige Entscheidungen bewältigen zu können sowie gut durchdachte und erprobte Prozesse zur Bewertung und Bearbeitung von Risiken einzusetzen.

Der effiziente Einsatz von Technologie und eine starke Unternehmenskultur sind ebenfalls entscheidend: So wird Informationssicherheit zum Wertbeitrag und einer gemeinsamen Aufgabe der gesamten Organisation.

Es ist wichtig, dass Sie Software ausschließlich von den offiziellen Websites der Hersteller herunterladen. Diese Websites sind nicht immer unter den ersten Suchergebnissen bei Google zu finden. Daher sollten Sie genau hinschauen und nicht die erste Download-Seite verwenden, die Ihnen bei Google angezeigt wird.

Es kann vorkommen, dass Sie nicht viel über das gesuchte Programm oder die Applikation wissen und daher unsicher sind, ob der Download seriös ist oder nicht. In solchen Fällen lohnt es sich, eine kurze Recherche durchzuführen. Auf diese Weise können Sie beispielsweise auch herausfinden, wer der Hersteller des Programms ist, falls Ihnen dieser noch unbekannt ist.

Nur weil an einer Stelle "Hier kostenlos downloaden" steht, sollten Sie nicht automatisch davon ausgehen, dass es sicher ist, die Software von dort herunterzuladen. Nehmen Sie sich lieber einen kurzen Moment Zeit und suchen nach dem offiziellen Download des Herstellers. Es ist wichtig zu bedenken, dass Software-Downloads manipuliert werden können und Schadsoftware enthalten könnten.

Hacker stellen absichtlich manipulierte Versionen beliebter Anwendungen zum kostenlosen Download bereit. Wenn Sie eine solche Software aus einer fragwürdigen Quelle installieren, riskieren Sie möglicherweise Malware oder andere unerwünschte Programme auf Ihrem Computer. Diese könnten beispielsweise Ihre Daten verschlüsseln, sich im Netzwerk verbreiten.

In jedem Unternehmen hat der Schutz von Informationen höchste Priorität. Ohne ausreichende IT- und Informationssicherheit macht sich ein Unternehmen angreifbar.

Als IT-Sicherheitsbeauftragter und externer Informationssicherheitsbeauftragter stehen wir Ihnen bei allen Fragen rund um die IT- und Informationssicherheit zur Seite. Wir entwickeln IT-Sicherheitskonzepte, prüfen die Sicherheit Ihrer IT-Systeme, beheben Sicherheitslücken und reduzieren Risiken. Dabei unterstützen wir Unternehmen in jeder Branche. Lassen Sie von uns Ihre IT und Informationen schützen!

IT-Sicherheitsbeauftragter

Externer ISB

Informationsmanagementsystem

Referenzen