IT-Sicherheit ist eine Frage der Organisation, nicht der Technik

Richtig in IT-Sicherheit investieren – Informationen statt Technologie schützen

Nicht umsonst sind Sicherheits-Leitlinien wie das Sicherheitshandbuch des BSI sehr vielschichtig und beschäftigen sich mit vielen Themen. Das Abhaken einer Checkliste reicht allerdings auch bei weitem nicht, ebenso wenig wie ein Zertifikat beispielsweise des TÜV, wie das Beispiel libri.de erst unlängst wieder bewiesen hat, bei dem eine TÜV-sicherheitszertifizierte Web-Site und die dahinter stehende Anwendung eklatante Sicherheitsmängel aufgewiesen haben.

Sicherheit beginnt im Kopf

In dem Fall war die Sicherheitsarchitektur der Anwendung schlicht mehr als mangelhaft, weil es keine auch nur ansatzweise vernünftigen Autorisierungskonzepte in der Anwendung gab. Das lässt sich ohne weiteres aus den bekannt gewordenen Einzelheiten erkennen – eine veränderte URL hat ohne Autorisierung auf Informationen geführt.

Wenn man über IT-Sicherheit nachdenkt, lohnt sich zunächst ein genauer Blick auf den Begriff. Es geht um Information und Technologie. Im Mittelpunkt steht dabei nicht die Technologie, sondern die Information. Wir müssen nicht Technologie schützen, sondern die verarbeiteten und gespeicherten Informationen. Dabei muss nicht jede Information gleich behandelt werden. Ein wichtiger Schritt hin zu mehr Informationssicherheit ist eine Klassifizierung von Informationen und, davon abhängig, den Prozessen und Systemen, die für ihre Verarbeitung und Speicherung verwendet werden.

Eng damit verbunden ist das Risiko-Management. Die Bewertung von Risiken hilft nicht nur, die möglichen Konsequenzen von Sicherheitsproblemen abzuschätzen, sondern erlaubt auch eine valide Bewertung von Investitionen. Entscheidend sind dabei nicht das technische Sicherheitsrisiko, sondern die daraus entstehenden operationalen und manchmal sogar strategischen Risiken.

Wenn Daten über mögliche Steuersünder bei einer Bank gestohlen werden, gibt es operationale Risiken von Schadensersatzforderungen, wie ein aktuelles Urteil in Liechtenstein zeigt. Es gibt aber auch das operationale Risiko eines sinkenden Nettogeldzuflusses, weil Anleger der Bank weniger vertrauen. Das hat Konsequenzen nicht nur für das direkte operative Geschäft, sondern kann durch die geltenden Eigenkapital- und Refinanzierungsrisiken im Extremfall sogar zu einem strategischen Risiko für die Bank werden.

Wo es Risiken gibt, gibt es aber auch immer Chancen. Es geht also darum, die Risiken gegen das abzuwägen, was man mit einer IT-Lösung erreichen möchte (oder muss). Abhängig vom Verhältnis von Risiken und Chancen kann man dann über die sinnvollen Investitionen in IT-Sicherheit entscheiden, also die Risikovermeidung.

Seite 2: Nicht nur Technologie bringt Sicherheit