„Man muss auch abschließen“

Beim Schutz vor Angriffen aus dem Netz kommt es auf eins nur bedingt an: die Größe der IT-Abteilung. „Das Security-Team von Dachser hat knapp 31.000 Mitarbeiter, weil es eben eine kollektive Teamaufgabe ist“, sagt Christian von Rützen. Schließlich entstehe Sicherheit immer durch das Zusammenwirken von Technik und der richtigen Bedienung: „Es reicht nicht, ein Schloss an der Haustür zu haben – man muss es auch abschließen und sollte keinen Reserveschlüssel unter den Fußabtreter legen“, betont der Department Head IT Strategy Implementation bei Dachser. Deshalb sei der Beitrag, den jede Kollegin und jeder Kollege täglich leiste, wichtig. Dies betreffe vornehmlich drei Aspekte: ein gesundes Maß an Vorsicht und Aufmerksamkeit im Umgang mit E-Mails und Web, das Melden von Vorfällen und das Befolgen der Sicherheitsrichtlinien.

Immer raffiniertere Angriffe

Wie wichtig das ist, zeigen die immer raffinierteren Cyberangriffe, die Unternehmen nicht nur schaden, sondern zudem auch viel Geld kosten. Schließlich liegt der vom Digitalverband Bitkom errechnete Schaden allein in Deutschland bei 102,9 Milliarden Euro pro Jahr. Dabei fächerten sich die Muster für Angriffsversuche seit einigen Jahren immer weiter auf, beobachtet von Rützen. Qualität und Quantität zeigten, dass sich die organisierte Kriminalität zunehmend professionalisiere. „Dementsprechend beobachten wir bei Dachser auch alle Angriffsversuche, denen man als aktiver Nutzer des Internets ausgesetzt ist – und diese nehmen zu.“ So gibt es beispielsweise zahlreiche Angriffe über E-Mails. „Teilweise kommen diese sogar über echte Geschäftspartner, deren Systeme erfolgreich angegriffen wurden“, warnt von Rützen.

Insgesamt aber sei die Bedrohungslage im Großen und Ganzen über die Jahre relativ stabil. „Wir beobachten eher graduelle Veränderungen.“ Durch die fortschreitende Digitalisierung ändert sich allerdings etwas Wesentliches: Je größer die Bedeutung des digitalen Anteils eines Unternehmens ist, umso größer ist die wertmäßige Bedrohung.

Zusätzlich bringt die Digitalisierung eine Menge neuer Technologien in die Firma, die alle miteinander vernetzt sind. Auch die durch die Pandemie bedingte Verlagerung zum mobilen Arbeiten von zu Hause hat aus Sicht der Dachser-IT nicht so viel verändert, vorausgesetzt die Hausaufgaben in puncto sichere Anbindung mobiler Arbeitsplätze und Benutzerrichtlinien für Mitarbeiter seien gemacht worden.

Informationen brauchen Schutz

Die Logistik ist eine der Branchen, deren Zukunftsfähigkeit an vielerlei Stelle besonders abhängig von einer funktionierenden IT ist. Denn hochkomplexe und stark optimierte Wertschöpfungsketten können in einer digitalisierten Welt nur funktionieren, wenn parallel zu den Warenströmen auch die entsprechenden Informationen fließen. „Diese Daten müssen verfügbar, korrekt und mitunter vertraulich sein“, hebt von Rützen hervor. „Sie müssen zudem weltweit allen gesetzlichen Anforderungen genügen. Verfügbarkeit, Integrität, Vertraulichkeit und Compliance: An diesen vier Dimensionen muss sich die Informationssicherheit in der Logistik konsequent ausrichten.“

Um sich effektiv zu schützen, muss Sicherheit als Teamaufgabe gesehen werden – so das Verständnis bei Dachser. „An einer Stelle steht das Management der Informationssicherheit, welches in einem risikobasierten Ansatz die Regeln und Vorgaben festlegt und deren Einhaltung überprüft“, erläutert von Rützen. „Ein ‚Security Operations Center‘ kann dann auf dieser Grundlage Angriffsversuche frühzeitig erkennen und abwehren.“ Nicht zuletzt leisteten alle IT-Teams und alle Benutzer in ihrem jeweiligen Arbeitsumfeld ihren Beitrag zur Sicherheit. Von zentraler Bedeutung sei, dass das Informationssicherheits-Management einen engen Kontakt zu den beteiligten und betroffenen Teams halte.

Dafür, was für eine effiziente Gefahrenabwehr auf den Prüfstand muss, gibt die Norm ISO 27001 wertvolle Anhaltspunkte. „Sie beschreibt den sicheren Umgang mit Informationen im Unternehmen und deckt dabei alle Aspekte der Informationssicherheit ab: von den technischen Disziplinen Virenschutz, Spam-Abwehr und Sicherheit der Internetanwendungen über die Ausfallsicherheit und Notfallplanung, bis hin zu organisatorischen Aspekten wie Vertraulichkeitsregelungen mit externen IT-Dienstleistern und Beratern oder IT-Benutzerrichtlinien“, erläutert von Rützen. In jährlichen Überwachungsaudits müssen Fortschritte bei der Informationssicherheit nachgewiesen werden, um die Zertifizierung zu erneuern. „Das fordert einen kontinuierlichen Verbesserungsprozess“, so der IT-Experte.

Kernaufgabe der IT

Auch organisationsseitig zeigt sich, wie wichtig die Cybersecurity mittlerweile geworden ist. „Die Bedeutung der Informationssicherheit im Unternehmen ist in den vergangenen Jahren stetig gewachsen“, bestätigt von Rützen. „Mittlerweile beschäftigt Dachser ein internationales IT-Security-Team, welches direkt an den Corporate Director, Corporate IT berichtet. Informationssicherheit ist die absolute Kernaufgabe im neuen Vorstandsressort ‚IT & Development‘.“

Ebenfalls an Bedeutung gewinnt das Business Continuity Management, also das Weiterarbeiten bei einem Teil- oder Komplettausfall der IT. „Business Continuity Management ist in erster Linie solides Handwerk“, sagt von Rützen. Entscheidend dabei sei die enge Verzahnung der IT mit der Geschäftsseite: „In Friedenszeiten müssen die Kommunikationslinien bei Ausfällen definiert sein. Die IT muss mit der Geschäftsseite klären, welche Applikationen im Geschäft wie kritisch sind und welche Verfügbarkeiten und Notfallszenarien technisch möglich sind.“ Danach ließen sich Notfallmaßnahmen vorbereiten oder eine höhere technische Verfügbarkeit bestellen. „Wenn IT-Systeme ausfallen, dann ist die Notfallkommunikation entscheidend“, so von Rützen weiter. „Diese muss jenseits der eigentlichen Störungsbehebung stattfinden, um die Techniker nicht bei der Arbeit zu stören.“ Wenn dann alles wieder läuft, sollte zudem überlegt werden, was in Zukunft besser gemacht werden könnte.

Generell gelte: „Jeder Ausfall ist anders und verlangt einen anderen Umgang.“ Für Notfallpläne gilt deshalb bei Dachser im Business Continuity Management die berühmte Erkenntnis Dwight D. Eisenhowers: „Pläne sind nutzlos, aber das Planen ist unabdingbar.“ (ben)