IT-Sicherheit in KMU

Im Zeitalter der modernen Informations- und Kommunikationstechnologie (ITK) und der daraus resultierenden globalen Vernetzung ist die ganzheitliche Nutzung dieser Technologie genauso Grundvoraussetzung für den wirtschaftlichen Erfolg eines kleinen oder mittleren Unternehmens (KMU) wie Innovation, motivierte Mitarbeiter*innen und wettbewerbsfähige Produkte oder Dienstleistungen.
Die Informations- und Kommunikationstechnologie (ITK) kann jedoch nur effizient genutzt werden, wenn diese zuverlässig und sicher arbeitet. „Datenpannen“, wie z.B. der Verlust von Daten, lückenhafte Sicherheitsmaßnahmen in Technik oder Anwendungen, Ausfälle oder gar das Abfangen elektronischer Kommunikation und/oder Daten können massive Auswirkungen auf die Reputation des betroffenen Unternehmens haben. Im schlimmsten Fall kann in Extremfällen sogar das Überleben des Unternehmens auf dem Spiel stehen.

Kleine und mittlere Unternehmen in Deutschland sind attraktive Ziele für Online-Kriminelle, Wirtschaftsspione und Produktfälscher, welche es, begünstigt durch die elektronische Datenverarbeitung, auf die „Kronjuwelen“ der Unternehmen abgesehen haben. Ein ausreichend hohes Niveau in der IT-Sicherheit zu erreichen, sollte zu den Erfolgsfaktoren gehören. Das Niveau im Anschluss auf diesem Level zu halten und im Folgenden stetig zu erweitern, sollte als prioritäre Zielsetzung alle KMU beschäftigen.
Die ständige Weiterentwicklung und Verbesserung des IT-Sicherheitsniveaus kann konsequent nur erfolgen, wenn der aktuelle Status den Verantwortlichen bekannt ist und Defizite offen und schnell abgebaut werden. Das Erhöhen der IT-Sicherheit ist somit keine einzelne Maßnahme, sondern muss immer als Prozess angesehen werden, der die ständige Betrachtung und Anpassung verschiedener Faktoren fordert.

Wissen

Um Ihr Unternehmen mit den notwendigen und sinnvollen Schutzmaßnahmen zu schützen, ist es zwingend erforderlich, die jeweiligen Gefahren, denen Ihr Unternehmen ausgesetzt ist, zu kennen. Eine Bestandsaufnahme der verschiedenen Gefährdungen und eine damit verbundene Risikoanalyse gibt Ihnen und Ihrem Unternehmen eine Übersicht über die Gefährdungen und sollte vor allem folgende Fragen beantworten:

1. Welche Gefahren für den Geschäftsbetrieb und die Geschäftsgrundlage Ihres Unternehmens gibt es?

2. Was ist die Eintrittswahrscheinlichkeit dieser Gefahren?

3. Was für ein Schaden ist jeweils zu erwarten?

4. Ab wann bedroht eine Störung des Geschäftsbetriebes die Existenz Ihres Unternehmens?

Der Nutzen dieser Risikoanalyse ist klar: Sie hilft Ihnen, die richtige Balance zwischen der Investitionshöhe in Sicherheit und dem tatsächlichen Wert der zu schützenden Daten, Systeme und Prozesse zu finden. Nur so kann IT-Sicherheit wirtschaftlich und sinnvoll sein. Der von Ihnen ermittelte Schutzbedarf kann im Anschluss an die Risikoanalyse als Grundlage für die Erarbeitung eines Sicherheitskonzeptes dienen.

Einstellung

Es ist von größter Bedeutung, bei den Mitarbeiter*innen für Verständnis für die in den Sicherheitsrichtlinien verbindlich definierten Anweisungen zu sorgen. Nur wenn sich die Mitarbeiter*innen der Gefahren bewusst sind, welche das Unternehmen bedrohen und somit Verständnis für neue Maßnahmen entwickeln, werden die Mitarbeiter*innen diese Richtlinien auch umsetzen.

Um die ganzheitliche Umsetzung der Sicherheitsrichtlinien zu gewährleisten, sind entsprechende bewusstseinsbildende Maßnahmen erforderlich. Mit Hilfe so genannter „Security-Awareness-Kampagnen“ kann solch ein Sicherheitsbewusstsein aufgebaut werden. Eine Awareness-Kampagne kann bereits aus einem guten Poster und Flyern bestehen.
Die Geschäftsführung muss außerdem mit gutem Beispiel vorangehen – wieso soll die Belegschaft sich an Richtlinien halten, wenn der Chef selbst nicht drauf achtet?

Verhalten

Einer der ersten Schritte sollte die Erstellung von Sicherheitsrichtlinien, auch „Security Policy“ genannt, sein. Diese bilden die Grundlage für alle Sicherheitsmaßnahmen eines Unternehmens. In einer Sicherheitsrichtlinie werden Regelungen, Richtlinien und Prozesse beschrieben, welche für die Mitarbeiter verbindlich sind.

Die Sicherheitsrichtlinien werden gemeinsam von der Unternehmensleitung, dem Datenschutzbeauftragten, dem IT-Sicherheitsverantwortlichen und weiteren Compliance-Beauftragten sowie den Mitarbeitervertretungen erarbeitet. Diese müssen schriftlich festgehalten werden und fortlaufend aktualisiert werden, um die Chance zu haben, sich als Bestandteil der Unternehmensrichtlinien zu etablieren. Daher sind Mitarbeiterschulungen ein wichtiger Bestandteil eines jeden Sicherheitskonzeptes. Um ein gleichmäßiges, hohes Sicherheitsniveau im Unternehmen zu garantieren, sollten Maßnahmen in regelmäßigen Abständen wiederholt werden.