Mit der Belegschaft die IT-Sicherheit verbessern

In Deutschland ist eine eigene Bundesoberbehörde zuständig für IT-Sicherheit: das Bundesamt für Sicherheit in der Informationstechnik. Im nun vom BSI präsentierten Lagebericht zur IT-Sicherheit beschäftigen sich die staatlichen IT-Sicherheitsfachleute allein auf knapp zehn Seiten mit Schwachstellen bei Soft- und Hardware und nehmen dabei zu Microsoft-Produkten klar Stellung. „Das Soft- und Hardwaresegment wird von vielen Unternehmen unterschätzt und von Privatpersonen völlig ausgeblendet, wenn es um IT- und Datensicherheit geht. Aber Soft- und Hardware verlangen eine ähnlich wiederkehrende Pflege und regelmäßige Wartung wie das eigene Auto“, erklärt der erfahrene IT-Sicherheitsfachmann Dr. Jörn Voßbein. Fest steht: Gerade beim Umgang mit den Schwachstellen ist die Eigenverantwortung der Anwenderinnen und Anwender gefragt. Nur wenn hier mehr Sensibilität wächst, ist eine sichere Digitalisierung Deutschlands möglich. Was können Anwenderinnen und Anwender tun, um die Sicherheit zu erhöhen?

Software-Produkte sind mit der Zeit zu hochkomplexen Entwicklungen geworden. Oftmals genauso komplex wie der Sachverhalt, den sie im Unternehmensalltag leichter handhabbar machen sollen. Diese gestiegene Komplexität hat auch die Software-Produkte für Attacken von Kriminellen verwundbarer gemacht. Letztlich besteht Software heute aus mehreren Millionen Zeilen Programmcode. Wenn nun diese unentdeckten Lücken bekannt werden und von Cyberkriminellen genutzt werden, können erhebliche Schäden für die betroffenen Unternehmen entstehen. Dabei sind viele Varianten von Schäden denkbar: Der Diebstahl von Daten zählt ebenso dazu wie das Installieren von Schadprogrammen, die dauerhaften Ärger verursachen. Software-Schwachstellen unterscheiden sich in ihrer Kritikalität. Drei Aspekte sind zu beachten:

1) Die Bedeutung der Software für Anwenderinnen und Anwender,

2) die Größe des Aufwandes, um die Schwachstelle auszunutzen und

3) die Auswirkungen auf die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit.

Grundsätzlich kann davon ausgegangen werden, dass das korrekte Funktionieren einer Software ebenso wichtig ist wie der Zweck, den sie erfüllen soll.

Wenn Sicherheitslücken öffentlich bekannt werden, beginnt spätestens der Wettlauf zwischen dem Hersteller für die Bereitstellung eines Sicherheitsupdates und den Kriminellen für ihre „dunklen Machenschaften“. Hier ist auch die Aufmerksamkeit und Sensibilität der Software-Anwender gefragt: Softwareupdates sollten – idealerweise erst nach vorherigem Test – sehr zügig aufgespielt und installiert werden. Deshalb sollten Unternehmen nicht daran sparen, wenn es um die Befähigung und Sensibilisierung der eigenen Belegschaft beim Thema IT-Sicherheit geht.

Aber auch die Software-Entwickler reagieren auf die Situation. Sie setzen vermehrt auf die Philosophie Security-by-Design, die die Sicherheit einer Software gleichrangig wie deren Benutzerfreundlichkeit bewertet. Das Security-by-Default-Konzept stellt die Konfiguration einer Software bei der Auslieferung in den Fokus. Hierbei kommt auch den einsetzenden Unternehmen wieder eine große Bedeutung zu, denn sie müssen die Software so konfigurieren, dass sie für ihre Bedürfnisse passgenau ist. Dabei sollte es eine Abwägung zwischen Sicherheit und Nutzbarkeit vornehmen. Problem: Angreifer wissen die von Nutzern selbstherbeigeführten Schwachstellen, ausgelöst durch eine Untergewichtung der Software-Sicherheit, auszunutzen. Deshalb ist ein Kultur-Wandel angebracht.

Wichtig: Das Einspielen von Aktualisierungen und das Reagieren auf Herstellerhinweise fällt in den Verantwortungsbereich der IT-Abteilung. „Dem IT-Bereich kommt beim Heben von Optimierungspotenzialen in der IT-Sicherheit eine zentrale – wenn nicht sogar – entscheidende Rolle zu. Sie müssen sensibilisiert und verbindliche Vorgehensweisen vorgegeben bekommen, damit sie handeln, wenn es um IT- und Datensicherheit geht“, erklärt UIMC-Geschäftsführer Dr. Jörn Voßbein. Er empfiehlt deshalb Schulungen und die Erarbeitung eines nachhaltigen IT-Sicherheitskonzeptes.

Übrigens: Das BSI empfiehlt Privatanwenderinnen und -anwendern sowie Unternehmen, die betroffenen Windows-Betriebssysteme (Windows 7 und Windows Server 2008) nicht mehr zu verwenden und zu einem Betriebssystem zu wechseln, für das weiterhin Sicherheitsupdates bereitgestellt werden.

Über die UIMC Dr. Vossbein GmbH & Co. KG

Die UIMC ist eine gesellschaftergeführte mittelständische Unternehmensberatung mit den Kerngebieten Datenschutz und Informationssicherheit; im Datenschutz gehören wir zu den marktführenden Beraterhäusern. Wir bieten als Vollsortimenter sämtliche Unterstützungsmöglichkeiten der Analyse, Beratung, Umsetzung und Schulung/Sensibilisierung bis hin zum Komplett-Outsourcing des Beauftragten an.

Das Schwesterunternehmen UIMCert ist als sachverständige Prüfstelle für die Norm ISO/IEC 27001 von der DAkkS akkreditiert.

Firmenkontakt und Herausgeber der Meldung:

UIMC Dr. Vossbein GmbH & Co. KG
Otto-Hausmann-Ring 113
42115 Wuppertal
Telefon: +49 (202) 946 7726 200
Telefax: +49 (202) 946 7726 9200
http://www.uimc.de

Ansprechpartner:
Dr. Jörn Voßbein
Geschäftsführer
Telefon: +49 (202) 9467726-200
Fax: +49 (202) 9467726-9200
E-Mail: consultants@uimc.de
Für die oben stehende Pressemitteilung ist allein der jeweils angegebene Herausgeber (siehe Firmenkontakt oben) verantwortlich. Dieser ist in der Regel auch Urheber des Pressetextes, sowie der angehängten Bild-, Ton-, Video-, Medien- und Informationsmaterialien. Die United News Network GmbH übernimmt keine Haftung für die Korrektheit oder Vollständigkeit der dargestellten Meldung. Auch bei Übertragungsfehlern oder anderen Störungen haftet sie nur im Fall von Vorsatz oder grober Fahrlässigkeit. Die Nutzung von hier archivierten Informationen zur Eigeninformation und redaktionellen Weiterverarbeitung ist in der Regel kostenfrei. Bitte klären Sie vor einer Weiterverwendung urheberrechtliche Fragen mit dem angegebenen Herausgeber. Eine systematische Speicherung dieser Daten sowie die Verwendung auch von Teilen dieses Datenbankwerks sind nur mit schriftlicher Genehmigung durch die United News Network GmbH gestattet.

counterpixel