IT-MITTELSTAND 01/2016

infrastrukturen | it-sicherheit
D
er Mittelstand ist nicht gut aufgestellt
in Sachen IT-Sicherheit. So lautete vor
wenigen Monaten die Warnung des Marktforschungs-
und Beratungshauses Techconsult.
Diese basierte auf den Ergebnissen der
Studie „Security Bilanz Deutschland“, die die
Analysten durchgeführt hatten. Demnach
hat knapp die Hälfte der mittelständischen
Unternehmen und öffentlichen Verwaltungen
dringenden Handlungsbedarf in Puncto IT- und Informationssicherheit.
In dem von der Studie ermittelten Sicherheitsindex
erreichen diese Firmen weniger als 50 von 100 Punkten. Grundlage
der Untersuchung bildet eine Befragung von Unternehmen
und Verwaltungen bzw. Non-Profit-Organisationen mit 20 bis
2.000 Mitarbeitern. Die große Bedeutung des Themas Security ist
den Firmen zwar bewusst, doch wie sie sich ausreichend
schützen können, offenbar nicht. Der Mittelstand
in Deutschland fühlt sich laut Techconsult schlecht
abgesichert.
Wie bei anderen IT-Themen haben die Unternehmen
auch in Sachen Sicherheit mit den typischen
Mittelstandsproblemen zu kämpfen. So fehlt es kleinen
und mittleren Firmen nach Meinung von Techconsult-Analyst
Henrik Groß häufig am notwendigen
Personal. Wenn sich nur wenige Experten um die IT
im Haus kümmern oder eine IT-Abteilung sogar komplett
fehlt, kommt das Sicherheitsthema
zwangsläufig zu kurz. Mit den Personalproblemen
geht auch ein Mangel an notwendiger
Kompetenz einher. „In vielen
mittelständischen Unternehmen ist nicht
genügend IT-Sicherheits-Know-how vorhanden,
um sich ausreichend zu schützen“,
berichtet Groß.
Attraktives Ziel für Hacker
Wer jedoch glaubt, dass Mittelständler
gleichzeitig weniger gefährdet seien
als Großunternehmen, der irrt sich.
Auch viele kleinere Firmen seien ein
attraktives Ziel für Hacker, glaubt
Groß. Als Beispiel nennt er deutsche
mittelständische Maschinenbauer,
die in ihren Bereichen Weltmarktführer
sind. Deren intellektuelles
Eigentum stellt ein verlockendes Ziel
für Cyberkriminelle dar. Und von herkömmlicher
Malware wie etwa Computerviren sind Mittelständler
ohnehin genauso betroffen wie große Firmen.
Holger Suhl, Geschäftsführer für den deutschsprachigen
Raum beim IT-Sicherheitsanbieter
Kaspersky Lab, sieht ebenfalls ein hohes Bedrohungspotential.
Er denkt dabei unter anderem
an Distributed-Denial-of-Service-Angriffe
(DDoS). „Man stelle sich nur vor, dass die
Website eines Unternehmens einen ganzen
Tag nicht erreichbar ist“, sagt Suhl. „Das
kann auch für viele Mittelständler zum
ernsthaften Problem werden.“ Außerdem
sei vielen Mittelständlern immer noch
nicht klar, wie einfach ihr schützenswertes
Know-how durch eine Advanced
Persistent Threat zerstört werden
kann, so Suhl weiter. Dies zeigt auch: Die Bedrohungen, denen
Unternehmen ausgesetzt sind, werden zunehmend komplexer.
Und sie erfordern entsprechend ausgefeilte Sicherheitskonzepte.
Damit sind gerade kleine und mittlere Unternehmen häufig
überfordert. „Je komplexer die Sicherheitsmaßnahmen sind,
desto schlechter werden sie umgesetzt“, weiß Analyst Groß. Als
Beispiele nennt er Multifaktoren-Authentifizierung sowie biometrische
Authentifizierungsverfahren.
Absicherung mobiler Endgeräte
Auch die Absicherung von mobilen Endgeräten auf Unternehmensebene
ist mit Aufwand verbunden. Laut Techconsult-Studie
gibt es in diesem Bereich noch viel zu tun für die Mittelständler.
Mehr als zwei Drittel der Unternehmen berichten, dass sie Mobile-
Security-Lösungen bisher noch nicht gut umgesetzt haben. Selbst
mit der Implementierung relativ einfacher Sicherheitsmethoden
in ihrem Unternehmen wie etwa Antiviren-Software oder Firewalls
für Smartphones und Tablet-Computern ist nur ein Drittel der
befragten Mittelständler zufrieden.
Für kleine und mittlere Firmen gilt somit noch mehr als für
Großunternehmen: Die Sicherheitstechnik muss sich einfach
bedienen lassen, damit sie auf breiter Ebene eingesetzt wird und
somit wirkungsvoll ist. Das zeigt etwa das Beispiel des Sondermaschinenbauers
Viscom. Das Unternehmen tauschte seine
Sicherheitslösung aufgrund mangelnder Usability aus. „Uns störte
immer mehr, dass die Oberfläche des
Produktes nicht intuitiv zu bedienen
Wie sicher
ist das eigene
Unternehmen?
war“, berichtet IT-Leiter Thomas Krause.
„Man musste schon viel Erfahrung mit
der Software mitbringen, um die Konfiguration
leicht durchführen zu können.“
Bei der Suche nach einem neuen
System war das einfache Management
für die Administratoren ein wichtiges
Auswahlkriterium.
Die Verantwortlichen entschieden
sich letztlich für mehrere Security-Lösungen
des Anbieters Kaspersky
Lab. Dessen Technikvorstand, Nikita
Shvetsov, hält Usability für einen sehr
wichtigen Aspekt. Viele Entscheidungen
sollten dem Nutzer abgenommen
werden. Schließlich ist der häufig das
schwächste Glied in der Security-Kette.
Beides miteinander zu kombinieren –
die Technik leistungsfähig, aber auch
gleichzeitig einfach bedienbar zu machen – sei aber eine große
Herausforderung, so Shvetsov.
Unter www.security-bilanz.de stellt
Techconsult ein kostenfreies Benchmark-System
für mittelständische
Anwender zur Verfügung, mit dem
diese die Sicherheitslage in ihrem
Unternehmen testen können. In einem
sogenannten „Self Check“ schätzen
die Nutzer selbst ein, wie wichtig einzelne
technische, organisatorische und
rechtliche Vorkehrungen zur IT- und
Informationssicherheit für ihr Geschäft
sind und wie gut deren Umsetzung
realisiert ist.
Sicherheit als Dienstleistung
Wer Sicherheitslösungen nicht selbst implementieren möchte,
kann auch auf Managed Security Services zurückgreifen. Das ist
laut Groß eine gute Möglichkeit trotz begrenzter eigener Kapazitäten
leistungsfähige Sicherheitstechnologie zu nutzen. So sollen
die Kosten kalkulierbar und die Sicherheitssysteme stets auf dem
aktuellen Stand bleiben. Das versprechen zumindest Anbieter wie
etwa Secunet. Die Unternehmen können sich aus einem modularen
System die für sie passenden Services auswählen. Der Dienstleister
übernimmt dann Installation, Integration, Konfiguration,
Administration sowie Wartung.
Das Institut für Lernsysteme (ILS) zum Beispiel lässt seine komplette
Webserver-Farm mithilfe von Managed Security Services
34
IT-MITTELSTAND 1-2 | 2016