Neben den vielen Vorteilen, die vernetzte IT-Systeme mit sich bringen, bergen sie auch erhebliche Gefahren. Existenzbedrohende Schäden entstehen insbesondere durch den Verlust von relevanten Daten oder durch unvorhergesehene Störungen der IT. Unternehmen haben deshalb ein großes Eigeninteresse an einer sicheren IT. Darüber hinaus sind die Betriebe aber auch gesetzlich verpflichtet, IT-Risiko-Management zu betreiben. Bei Verstößen drohen empfindliche Geldbußen und Schadensersatzforderungen sowie eine persönliche Haftung des Managements. Was ist zu tun?
Spektakuläre Pleiten
Schlechtes oder fehlendes Risiko-Management wird vor allem im Zusammenhang mit spektakulären Bankenpleiten oder gar drohenden Staatsinsolvenzen genannt. In der Wirtschaft wächst die Erkenntnis, dass ein effizientes und unternehmensbezogenes Risiko-Management unverzichtbar ist.
Wo sind die Risiken in der IT? Konkret droht den Unternehmen die Veränderung beziehungsweise der Verlust von Daten. Das geschieht beispielsweise durch technische Defizite, menschliches Fehlverhalten, interne Sabotage, Whistleblowing, Datenklau oder externe Angriffe (zum Beispiel Viren und Trojaner). Der Einsatz von Cloud-Computing-Lösungen, mobilen Endgeräten sowie drahtlosen Übertragungstechniken wie WLAN, LTE, HSDPA und UMTS erhöht die Gefahr.
Immer wieder gelangen Fälle an die Öffentlichkeit, in denen Unternehmen der mangelhafte IT-Schutz zum Verhängnis wurde. Beispielsweise gelang es Hackern jüngst, mittels Angriffen auf einen Kreditkartendienstleister die Kartennummern samt PIN-Codes von Kunden zweier Banken auszulesen und deren Limits für Bargeldabhebungen anzuheben. Anschließend wurden diese Daten in mehr als 20 Staaten für weltweite Abhebungen mit gefälschten Kreditkartenkopien verwendet.
Was ist gesetzlich gefordert?
Durch ein effizientes IT-Risiko-Management lassen sich die IT-Risiken naturgemäß nicht vollständig ausschließen, aber zumindest eindämmen. Das unterstreicht einmal mehr, warum Unternehmen ein eigenes Interesse am IT-Risiko-Management haben. Aber sie sind auch gesetzlich dazu verpflichtet.
Der Gesetzgeber definiert IT-Sicherheit als die Einhaltung bestimmter Sicherheitsstandards, die die Schutzgüter Verfügbarkeit, Unversehrtheit beziehungsweise Vertraulichkeit von Informationen durch Sicherheitsvorkehrungen in oder bei der Anwendung von informationstechnischen Systemen, Komponenten oder Prozessen betreffen, so nachzulesen in Paragraf 2 Absatz 2 des Gesetzes über das Bundesamt für Sicherheit in der Informationstechnik (BSIG).
Darüber hinaus schreibt der Gesetzgeber den Unternehmen vor, technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten zu treffen, vergleiche Paragraf 9 des Bundesdatenschutzgesetzes (BGSG). Die Schutzmaßnahmen müssen nach Vorgabe des Gesetzgebers "erforderlich" sein. Das sind solche Maßnahmen nur dann, wenn der damit verbundene Aufwand in einem angemessenen Verhältnis zum Schutzzweck steht. Ob das so ist, muss im Einzelfall bestimmt werden.
Risiko für den Vorstand
Durch die Einführung des Gesetzes zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG) wurden unter anderem die Anforderungen an das Risiko-Management für Kapitalgesellschaften verschärft. So hat der Vorstand einer Aktiengesellschaft "geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden", so Paragraf 91 Absatz 2 Aktiengesetz (AktG).
Der Vorstand muss also für ein umfassendes und wirksames Risiko-Management sorgen. Eine Verletzung dieser Pflicht kann die Mitglieder teuer zu stehen kommen. Sie sind der Gesellschaft nach Paragraf 93 Absatz 2 AktG persönlich zum Schadensersatz verpflichtet. Für andere Kapitalgesellschaften (zum Beispiel die GmbH) gelten ähnliche Regelungen (Paragraf 43 Absatz 1, 2 GmbH-Gesetz). Die Verletzung der Pflicht zum Risiko-Management kann einem Urteil des Landgerichts Berlin zufolge ein Grund zur fristlosen außerordentlichen Kündigung eines Vorstandsmitgliedes sein.
Risikoanalyse und Maßnahmenkatalog
Ein unternehmensbezogenes IT-Risiko-Management wird in der Praxis schrittweise implementiert: Zunächst erfolgt eine Risikoanalyse (Risk Assessment) zum Zweck der Ermittlung und Definition von Risikofeldern. Im Anschluss werden die Risikoquellen strukturiert und systematisiert. Dabei ist jeweils der Grad der Gefährdung in Relation zu den Kosten zu setzen, die durch die Gefahrenvermeidung entstünden.
Die Ergebnisse der Risikoanalyse dienen als Grundlage für eine Risikostrategie (Kontrolle und Steuerung). Dafür müssen konzeptionelle und strategische Maßnahmen getroffen werden, zum Beispiel die Ernennung eines Chief Information Security Officer (CISO) oder der Erlass verbindlicher Unternehmensregelungen (Code of Conduct). Zudem empfiehlt es sich zumindest in größeren Unternehmen, eine unternehmensweite Sicherheitsrichtlinie (Security Policy) zu formulieren, zu erlassen und zu etablieren.
Anschließend müssen operative Schritte unternommen werden. Hierzu gehören die Einrichtung von Virenschutz, Firewalls, Content-Filtern, Verschlüsselungen sowie Einbruchs- und Brandschutzvorrichtungen in den eigenen Rechenzentren, weiter Zugangsregelungen zu Systemen und Räumen sowie Sicherheitsüberprüfungen bei der Personalauswahl. Ein wichtiger Bestandteil der Risikostrategie ist auch die vertragliche Absicherung der Verfügbarkeit durch Service Level Agreements (SLAs). Darüber hinaus ist eine wirksame Fall-Back-Strategie für Systemausfälle empfehlenswert.
Die Funktionsfähigkeit des Risiko-Management-Systems muss ständig überwacht werden, um auf eventuell entstehende Sicherheitslücken schnell und flexibel reagieren zu können. Dafür wird ein Risiko-Monitoring-System installiert. Darüber hinaus ist eine fortwährende Anpassung der Sicherheitsmaßnahmen an die veränderten Rahmenbedingungen erforderlich.
Die Cloud als Herausforderung
Angesichts der fortschreitenden technischen Entwicklung ist gerade der letzte Punkt unerlässlich. Das wird am Beispiel Cloud Computing deutlich: Der physische Standort der Rechenzentren, in denen die Daten gespeichert werden, muss ermittelbar sein - gerade bei der Verarbeitung personenbezogener Daten -, da je nach Standort unterschiedliche gesetzliche Regelungen gelten. Es sollte geklärt sein, wer Zugriff auf die Daten erhält und wie die Rechenzentren gesichert sind. Zudem muss sichergestellt sein, dass die Daten in der Cloud nach Vertragsende gelöscht werden.
Im Zweifel muss eine Vereinbarung zur Auftragsdatenverarbeitung gemäß den Anforderungen nach Paragraf 11 BDSG geschlossen werden, in der insbesondere ein Katalog der einzuhaltenden technischen und organisatorischen Maßnahmen zum Datenschutz definiert ist.
Bring Your Own Device
Ein weiteres Beispiel für den ständigen Anpassungsbedarf des Risiko-Managements bietet das Thema "Bring Your Own Device" (ByoD). Die Unternehmen müssen sich darüber im Klaren sein, dass auf den privaten Geräten relevante Unternehmensdaten verarbeitet werden. Vor dem Einsatz von BYOD sind daher unter anderem Regelungen zu folgenden Themen zu treffen: Der Einsatz muss datenschutzrechtlichen Anforderungen gerecht werden. Hierbei empfiehlt sich eine strikte Trennung von privaten und Unternehmensdaten, da Firmen grundsätzlich für dienstliche Daten, insbesondere personenbezogene Daten, die volle Verantwortung tragen. Unbedingt sollten Regelungen für den Fall des Ausscheidens aus dem Unternehmen getroffen werden. Der Einsatz muss lizenzrechtlichen Erfordernissen entsprechen. Oft ist auf den Geräten Software vorinstalliert, die ausschließlich für private Zwecke genutzt werden darf. In solchen Fällen ist eine gesonderte Lizenzvereinbarung mit dem Softwareanbieter zu schließen.
Das Arbeitsrecht ist ausreichend zu berücksichtigen. In der Regel geht es um das Mitbestimmungsrecht des Betriebsrats nach Paragraf 87 Absatz 1 Nr. 6 Betriebsverfassungsgesetz (BetrVG). (qua/hal)