Kaum ein Tag vergeht, an dem nicht wieder ein Datenskandal die Medienrunde macht!

Schärfere Gesetze fordern eine tragfähige Risikostrategie

Rechtliche Änderungen wie das BilMoG verdeutlichen einmal, wie wichtig ein unternehmensweites Informationssicherheits-Management ist.

Kaum ein Tag vergeht, an dem nicht wieder ein Datenskandal die Medienrunde macht. Diese Vorfälle bedeuten nicht selten Millionenverluste, Reputationsschäden und rechtliche Konsequenzen für die betroffenen Unternehmen. Die Häufigkeit gestohlener oder vergessener Daten zeigt vor allem eins: Viele Unternehmen verfügen nicht über eine ausreichende Strategie im Umgang mit der eigenen Informationssicherheit. Nach Schätzungen der Wirtschaftsprüfungsgesellschaft KPMG International ist der überwiegende Teil der weltweiten Vorfälle auf Organisations- und Überwachungsversagen zurückzuführen.
Die Achillesferse vieler Unternehmen

Vor allem Vorstände und Aufsichtsräte sollten nach Ansicht von Experten eine Vorreiterrolle im Risiko-Management spielen. Sie müssen für eine klare Strategie im Unternehmen einstehen – und das im eigenen Interesse. Die persönliche Verantwortung und das individuelle Haftungsrisiko von Vorständen, Geschäftsführern und Aufsichtsräten im Risiko-Management haben enorm zugenommen. Der Grund dafür ist eine Verschärfung der Gesetze, zum Beispiel des Bilanzrechtsmodernisierungsgesetzes (BilMoG).

Die Verantwortung des Managements im Zusammenhang mit dem BilMoG erklärt sich unter anderem durch die regelmäßigen Überwachungspflicht. Das ist die Achillesferse vieler Organisationen, wenn es um die Prozesskontrolle beim Thema Informationssicherheit geht.

Den gesamten Artikel gibt es bei Computerwoche.de

Unternehmen sind schlecht auf Datenklau vorbereitet

Die Financial Times Deutschland berichtet.
Unternehmen sind schlecht auf Datenklau vorbereitet

Zwanzig Prozent aller Firmen in Deutschland meldeten vergangenes Jahr wenigstens einen Fall von Diebstahl sensibler Informationen. Fachleute fordern, die Abwehrstrategie in die Hände der Manager zu legen, die für das operative Geschäft im Unternehmen zuständig sind.

Kundenkartei, Mitarbeiterdaten, Produktinformationen – angesichts der Fülle ist es für ein Unternehmen schwierig, sensible Daten vor Missbrauch zu schützen. Viele Konzerne haben diese Aufgabe ihrer IT oder der Complianceabteilung anvertraut. Ein Fehler, sagt Frank Weller, Leiter Forensik bei KPMG. Unternehmensdaten zu sichern müsste eine Aufgabe von leitenden Managern sein: “Daten haben für das Unternehmen einen enormen Wert. Deshalb sollten diejenigen über den Schutz entscheiden, die mit dem operativen Geschäft betraut sind.”

Auch Wolf-Rüdiger Moritz sagt, viele Firmen seien für die Bekämpfung von Datenmissbrauch falsch aufgestellt. Es ginge schließlich um kriminelle Handlungen, so der Leiter der Unternehmenssicherheit von Infineon. Deshalb sollte das Kontrollgremium dem Aufsichtsrat unterstehen. Das Management aber kenne zwar das operative Geschäft – mit der Bekämpfung von Verbrechen hingegen kenne es sich weniger aus. “Wie bei einem Staat, wo die Armee die Landesverteidigung übernimmt, sollte auch im Unternehmen die Compliance den Spezialisten vorbehalten bleiben.” Und das ist für ihn die Compliance oder Abteilung für interne Sicherheit.

Jedes fünfte Unternehmen hat 2009 über mindestens einen Diebstahl vertraulicher Informationen berichtet. Dieser Gefahr zu begegnen setzt zunächst eine Risikoanalyse voraus, welche Daten in welchem Maße gefährdet sind und wer darauf Zugriff hat. Doch schon daran fehle es in vielen Häusern, sagt Weller: “Unternehmen geben oft zu wenig Geld für die Prävention aus.” Der Anteil von essenziellen Daten wie etwa Produktionsplänen liege nur bei rund fünf Prozent. Würden die nicht klassifiziert und entsprechend geschützt, könnte der Schaden die Kosten für Prävention weit übersteigen.
Viele Firmen nutzen nur Datenhandbücher, in denen aufgelistet ist, welche Computersysteme einzelne Abteilungen nutzen und welche Daten darin gespeichert sind. Und diese Handbücher, sagt Dirk-Stephan Koedijk, Compliancechef bei Henkel, “sind meist nicht einmal vollständig”.

Computerkriminalität beziehungsweise e-Crime ist auf dem Vormarsch – KPMG Studie 2010

KPMG Studie: Computerkriminalität in der deutschen Wirtschaft

Computerkriminalität beziehungsweise e-Crime ist auf dem Vormarsch. Viele Studien und Untersuchungen, wie unter anderem auch die KPMG-Studie „Wirtschaftskriminalität in Deutschland 2010“, belegen diesen Trend. Die treibenden Kräfte sind schnell identifiziert: Im Verlauf der letzten Jahre haben sich Unternehmen intern wie auch extern zunehmend vernetzt. Egal ob Smartphones, USB-Sticks oder virtualisierte Netzwerklösungen: Die Systeme der Informations- und Kommunikationstechnologie (IKT) sind aus dem Unternehmensalltag nicht mehr wegzudenken. Dabei werden die Grenzen zwischen den Unternehmen und den mit ihnen kommunizierenden externen und internen Mitarbeitern immer durchlässiger. Auf dem Weg zu fortwährend neu eingeführten Funktionalitäten und noch mehr Effizienz der IKT-Systeme entzieht sich das dahinter stehende technische Konstrukt immer weiter dem Verständnis der Mitarbeiterinnen und Mitarbeiter.

USB-Sticks werden immer kleiner, die Gefahren des Datendiebstahls immer größer.

Fallbeispiel:
Die Maschinen GmbH A, ein mittelständisches Unternehmen, existiert seit über 100 Jahren und beschäftigt über 1.000 Mitarbeiter. In der Automobil- und Flugzeugbauindustrie ist sie mit technologischen Innovationen seriengefertigter Maschinenbauteile aus Stahl und Kunststoff zum weltweiten Marktführer avanciert. Um dem Risiko der Wirtschaftsspionage vorzubeugen, hat die Geschäftsführung anlässlich einer verstärkten Konkurrenz aus Fernost eine umfassende Verfahrensrichtlinie an alle Mitarbeiter herausgegeben, die unter anderem dazu auffordert, alle Gefahren und Vorkommnisse eines potenziellen Informationsabflusses an unautorisierte Dritte sofort zu melden. Die Vertriebsmitarbeiter des Unternehmens sind durch den immensen Erfolg der innovativen Produkte vor allem im Ausland unterwegs und auf den Einsatz mobiler ITGeräte angewiesen. Zur Mindestausstattung gehören ein Laptop mit WLAN-Anbindung und Zugangsmöglichkeiten zu gesicherten, internen Datenbereichen, ein Blackberry zur E-Mail-Kommunikation und Telefonie und ein USB-Stick zur einfachen und schnellen Übertragung größerer Datenmengen zwischen einzelnen PCs.

Der zunächst nicht bemerkte Verlust eines USB-Sticks während einer Messeveranstaltung führte dazu, dass einem der größten Konkurrenten des Unternehmens die wichtigsten Produkt- und Kundeninformationen in die Hände fielen. Die Daten auf dem USB-Stick waren nicht verschlüsselt und obwohl die neueste Verfahrensrichtlinie vorsieht, keine sensiblen Daten auf mobilen Datenträgern zu speichern, hatte es das Unternehmen versäumt, ein durchgängiges Sicherheits- und Verschlüsselungskonzept für mobile IT-Geräte einzuführen, die im Einsatz befindlichen USB-Sticks mit Verschlüsselungssoftware auszustatten und die Mitarbeiter entsprechend zu sensibilisieren. Nach Überprüfung der gesamten mobilen Datenträger im Unternehmen wurde deutlich, dass über 50 Prozent der Speichermedien hochsensible Produkt- und Kundendaten enthielten, die nicht verschlüsselt waren.

Die gesamte Studie von KPMG gibt es hier als PDF download.