IT-Sicherheit in Deutschland
Panikmaßnahmen statt strategischem Security-Ansatz
Fortsetzung des Artikels von Teil 2
Mitarbeiter im Fokus
Die meisten Unternehmen stufen laut IDC ihre Mitarbeiter als das größte Sicherheitsrisiko ein – noch vor schlecht gesicherten Endpoints und Angriffen von außen. Das allerdings spiegelt sich oft nicht im Sicherheitskonzept wider, das eher die Anschaffung von Lösungen zum Schutz vor Eindringlingen als Schulungsmaßnahmen zur Awareness-Steigerung enthält. »Unternehmen haben vor allem die Angriffe von außen im Blick, aber was intern passiert, verstehen sie nicht«, kritisiert Schlotthauer. Er betont, dass hinter den internen Sicherheitsvorfällen meist kein böser Wille stecke, sondern nur der Fehler eines Einzelnen – aber eben den müsse man verhindern oder erkennen. »Die Firmen müssen dringend neue, kreativere Wege gehen, um alle Mitarbeiter für den sicheren Umgang mit mobilen Endgeräten, Apps und Daten zu sensibilisieren«, mahnt die IDC-Studie. Ideen gebe es reichlich – von Live-Hacks über Trainings mit selbst erstellten Phishingmails bis hin zu Penetration Tests oder sogar einer Incentivierung von sicherheitsbewusstem Verhalten. Das bloße Aufstellen von Regeln und Verboten greife dagegen zu kurz und komme bei den Anwendern nicht an.
Solche Maßnahmen, die bei den Mitarbeitern ansetzen, lassen sich zudem meist einfacher und schneller umsetzen als technische. Aber auch hier werden die Unternehmen zunehmend aktiv. Der IDC-Studie zufolge sind die meisten mittlerweile dabei, ihre vielen Sicherheitslösungen zu verknüpfen, sei es über Schnittstellen, einheitliche Daten- und Kommunikationslayer oder zentrale Orchestrierungstools. Viele würden sich sogar alles aus einer Hand wünschen, betont Zacher.
Auch neuartige Ansätze wie kontext- und verhaltensbezogene Analysen, oft im Zusammenspiel mit Trendtechnologien wie Machine Learning, werden vielfach schon genutzt oder derzeit eingeführt. »Man muss sich ein Stück weit auf solche Ansätze und Konzepte einlassen«, betont der IDC-Experte und erhält dabei Unterstützung von Schneider. Der verweist darauf, dass Cyberkriminelle neue Technologien ganz selbstverständlich einsetzen, etwa Machine Learning, um automatisiert Permutationen ihrer Malware zu entwickeln, die von möglichst wenigen Antivirus-Lösungen erkannt werden. Allerdings hat Schneider festgestellt, dass diesen Technologien in Unternehmen oft Grenzen gesetzt sind – nämlich dann, wenn es um die Analyse des Verhaltens von Mitarbeitern geht. Das verstoße zwar in der Regel nicht gegen den Datenschutz und man könne daraus gut notwendige Maßnahmen ableiten, um die Sicherheit zu erhöhen. Doch in diesem Bereich gebe »es oft eine Blockadehaltung des Betriebsrats, der dann meist sagt: no way.«
- Panikmaßnahmen statt strategischem Security-Ansatz
- Strategischer Ansatz fehlt
- Mitarbeiter im Fokus
Lesen Sie mehr zum Thema
