Insgesamt sollten sich die Unternehmen und deren Leitungsebenen bewusst werden, welches Gewicht der IT in ihrem Unternehmen zukommt. Entsprechend diesem Gewicht sollte der IT auch die hieraus folgende notwendige Aufmerksamkeit gewidmet werden. Insgesamt sollten die nachfolgenden Fragen sämtlich nach inhaltlicher Kontrolle mit »Ja« beantwortet werden:

• Sind die IT-Struktur und deren Bedeutung für das Unternehmen, insbesondere in wesentlichen (etwa produktionskritischen) Bereichen, bekannt?
• Existiert eine umfassende klare Gliederung des gesamten IT-Bereichs, der Zuständigkeiten, der Befugnisse und der Zugriffsmöglichkeiten?
• Sind die tatsächlichen und rechtlichen Risiken im IT-Bereich bekannt und bewertet?
• Besteht ein ausreichender Schutz vor Manipulationen von innen oder außen?
• Ist ausreichende Vorsorge für kritische und für Notfälle sichergestellt?
• Existiert eine IT-Security, und ist diese über die für sie geltenden rechtlichen und tatsächlichen Besonderheiten informiert?
• Besteht ein besonderes zusätzliches Risk-Management (einnschließlich einer angemessenen Kontrolle) für die IT-Security?

Sollten nicht alle der vorgenannten Fragen seitens der zuständigen Leitung auf Anhieb mit »Ja« beantwortet werden können, ist im Zweifel davon auszugehen, dass Versäumnisse hinsichtlich des erforderlichen IT-Risk-Management bestehen. In diesem Fall kann nicht ausgeschlossen werden, dass dann auch Strafbarkeits- und Haftungsrisiken für die konkret im IT-Bereich handelnden Personen, die Leitung des IT-Bereichs, die IT-Security und die Unternehmensleitung bestehen. Es sollte dann dringend eine Gesamtanalyse der Risikosituation und eventuell erforderlicher Nachbesserungen erfolgen.

Zusammenfassung

• Der Missbrauch von Unternehmens-IT zu strafbarem Tun kann zu straf- und haftungsrechtlichen Verantwortlichkeiten des IT-, IT-Security- und des Leitungspersonals – bis hin zur Unternehmensspitze – führen;
• Diese Risiken bestehen bereits dann, wenn die Unternehmens-IT nicht genügend gegen inneren oder äußeren Missbrauch von Straftaten gesichert ist;
• Zur Risikovermeidung ist daher ein umfassendes IT-Risk-Management erforderlich;
• Wegen der Ausdehnung der Strafbarkeit ist zusätzlich ein besonderes Risk-Management für die IT-Security erforderlich;
• Sofern die verantwortlichen Leitungsebenen nicht die grundlegenden Fragen zu einem ausreichenden IT-Risk-Management eindeutig bejahen können, sind dringend Nachkorrekturen zur Risikovermeidung erforderlich.

Franz-Josef Schillo,
Rechtsanwalt in der Kanzlei
Nörr Stiefenhofer Lutz