IT-Sicherheitsreport

Informationssicherheit oft kein Thema

Großunternehmen ignorieren die von Wirtschaftsspionen und Hackern ausgehenden Gefahren. Häufig fehlt ein durchgängiges Konzept für die Informationssicherheit.

Informationssicherheit oft kein Thema

© Fotolia

Informationssicherheit oft kein Thema

Die großen deutschen Unternehmen vernachlässigen das Thema Informationssicherheit, wie eine Studie der Unternehmensberatung A.T. Kearney zeigt. Die meisten Organisationen verfolgen keine ganzheitliche Strategie, um ihre Daten und ihr Know-how zu schützen. Stattdessen verlassen sich die Verantwortlichen häufig auf technische Einzellösungen, die aber immer nur einen Teil der Gefahr abwehren können. Daneben fehlen in vielen Konzernen die organisatorischen Voraussetzungen für eine wirksame Informationssicherheit.

A.T. Kearney hat die Jahresberichte der 30 DAX-Unternehmen untersucht. Das Ergebnis: 27 Firmen widmen sich zwar explizit dem Thema Informationssicherheit. Die im Bericht genannten Schutzmaßnahmen deuten aber auf ein veraltetes Sicherheitsverständnis hin. Meist werden allein technische Einzelmaßnahmen dokumentiert - wie etwa der Einsatz von Antiviren-Software oder der Aufbau redundanter Systeme. Ein durchgängiges und ganzheitliches Konzept lässt sich in den meisten Fällen nicht erkennen.

Fehlende Sensibilisierung

Dabei stehen Deutschlands Unternehmen zunehmend im Visier von Wirtschaftsspionen, die es auf Informationen wie Marketingpläne, Kundenlisten oder Entwicklungsdaten abgesehen haben.

"Vorsichtige Schätzungen gehen davon aus, dass mindestens jedes vierte Unternehmen bereits Opfer eines Computerangriffs wurde. Aktuelle Untersuchungen zeigen, dass 95 Prozent aller Unternehmen weltweit gegenwärtig angegriffen werden oder massiv verwundbar sind", sagt Dr. Boris Piwinger, Experte für Informationssicherheit bei A.T. Kearney. Auf 50 Milliarden Euro beziffert das Bundesministerium des Inneren den jährlich durch Industriespionage in Deutschland entstandenen Schaden.

"Weil sich Unternehmen aber nach wie vor scheuen, Fälle von Wirtschaftsspionage und Hacker-Angriffen publik zu machen, wirkt die Bedrohung kleiner, als sie tatsächlich ist", so Dr. Piwinger. "Dadurch fehlt vielen Entscheidern insgesamt eine Sensibilität für die Größe des Problems."

Zu den betroffenen Unternehmen zählt zum Beispiel das Reiseunternehmen Neckermann: Im Mai 2011 erbeuteten Unbekannte dort 1,2 Millionen Kundendatensätze. Sportartikelhersteller Adidas musste im Herbst vergangenen Jahres seine Website nach einem Hacker-Angriff vom Netz nehmen. Bei Nortel Networks hatten Datendiebe unbemerkt zehn Jahre lang uneingeschränkten Zugang.

Organisatorische Mängel

"Heute sind die Angriffe individuell auf das Opfer zugeschnitten und verwenden Methoden, die mit den klassischen Werkzeugen nicht abgewehrt werden können. Diese neue Realität erfordert, verstärkt auf Erkennung und Abwehr laufender Angriffe zu setzen", beschreibt Dr. Piwinger die größte Schwachstelle.

Doch nicht nur auf der Technologie- Ebene tun die Unternehmen zu wenig. Auch organisatorisch schaffen sie nicht die Voraussetzungen dafür, den Bedrohungen im Digitalzeitalter wirksam entgegenzutreten. "Die meisten Sicherheitsverantwortlichen sind heute noch Teil der IT-Abteilung und oft auch nur auf der Sachbearbeiter-Ebene angesiedelt", berichtet Michael Römer, Partner bei A.T. Kearney.

Die Experten der Unternehmensberatung empfehlen, die für die Sicherheit Zuständigen ähnlich wie die Compliance-Verantwortlichen außerhalb der IT-Abteilung anzusiedeln - beispielsweise neben dem Revisionswesen. A.T. Kearney rät außerdem dazu, in einem Assessment die wertvollen Daten im Unternehmen zu identifizieren und die Frage, wie sie abgesichert werden können, als strategisch und geschäftskritisch einzustufen. Informationssicherheit sollte als ganzheitliche Funktion betrachtet und über die Abteilungsgrenzen hinweg angegangen werden.

Mehr zum Thema

Was Sie bei Compliance beachten müssen
Sicherheitsreport

Ob Unternehmen wirklich sicherer werden durch teure Compliance- Maßnahmen, ist zweifelhaft.
Die Zehn Gebote in der Kommunikation
IT-Sicherheit

Der "Bring Your Own Device"- Ansatz (BYOD) stellt IT-Abteilungen vor große Herausforderungen, denn sie müssen eine sichere Anbindung ins…
IT-Sicherheitsgesetz für Unternehmen
IT-Sicherheit

Mit dem neuen IT-Sicherheitsgesetz hat die Politik auf zunehmende Vernetzung kritischer Infrastrukturen reagiert.
Apps und TIpps für Antivirus, Antidiebstahl: Wir verraten, wie Sie Ihr Smartphone oder Tablet sichern können.
IT-Sicherheit

Nur mehrschichtige Verteidigungsstrategie bewahren Unternehmen vor riskanten und teuren Distributed-Denial-of-Service-Angriffen.
Automatisierungslösungen
IT-Management

Das volle Potenzial, das in der Effizienzsteigerung, liegt, entfaltet eine Automatisierungslösung nur, wenn sie auf Expertensystembasierten Tools…