Datenverluste sind existenzgefährdend

Risikospiel »Testen mit Echtdaten«

Auf eine meist wenig beachtete offene Flanke der ungewollten Datenoffenlegung weisen Rainer Link, Senior Security Specialist bei Trend Micro, und Marcus Nohl, Senior Technical Consultant bei Compuware, hin. Rund drei Viertel aller deutschen Unternehmen benutzen für ihre Softwaretests (die sehr oft von Externen durchgeführt werden) echte Kundendaten, hat das Ponemon-Institut bei einer Umfrage im Auftrag von Compuware herausgefunden. Und weiter: Fast die Hälfte der Befragten hat bereits Daten durch Leichtsinn oder Diebstahl verloren. Anscheinend sind die Anforderungen einer IT-Entwicklungsabteilung so weit von der Vorstellungswelt der Geschäftsleitung, aber auch der Sicherheitsbeauftragten entfernt, dass diese gar nicht darauf kommen, dass hier Daten- und Personenschutz-Probleme vorhanden sein könnten. Die Fahrlässigkeit, die in diesem Bereich offenbar herrscht, ist umso unverständlicher, als es am Markt Verfahren gibt, die Echtdaten so zu anonymisieren, dass sie einerseits für Datenspione keinerlei Wert mehr haben, andererseits das Beziehungsgeflecht echter Daten haargenau simulieren. Wie steht es um den Schutz vertraulicher Daten, wenn nicht nur die Programmentwicklung, sondern der halbe oder ganze IT-Betrieb ausgelagert wird? Die Antwort ist eigentlich klar: Gerade hier ist höchste Vorsicht geboten. »Es sollte kein Outsourcing-Partner unter Vertrag genommen werden, der hinsichtlich des Dokumentenschutzes nicht gemäß den Vorgaben seines Auftraggebers arbeiten kann. Andernfalls würde der Unternehmensleitung des Auftraggebers ein Organverschulden vorzuwerfen sein, das im Prüfbericht moniert werden müsste und zur persönlichen Haftung führen könnte«, gibt Rainer Link von Trend Micro zu bedenken.

Grenzen der Technik
Technische Maßnahmen zum Schutz vertraulicher Informationen sind also immer nur ein Mittel zum Zweck. Sie sind oft eine notwendige, aber nie eine hinreichende Bedingung dafür, dass die Informationssicherheit im Unternehmen gewährleistet ist. »Informationssicherheit ist nicht nur die Folge von Produkteigenschaften, sondern ein ganzheitlicher, unternehmensweiter Zustand«, sagt Josef Villa, Director Business Development beim Sicherheitsspezialisten S&T. Dass jemand seine Rechte missbräuchlich verwendet oder seine Rechte (oder auch die Gesetze) ignoriert, können technische Instrumentarien letztlich nicht verhindern. Allenfalls können sie die Latte, die zu überwinden ist, etwas höher setzen.

1. Datenverluste sind existenzgefährdend
2. Probleme von dokumentenzentrierten Verfahren
3. Agentenbasierte Lösungen
4. Risikospiel »Testen mit Echtdaten«