Datensicherheit und digitale Gefahren für Unternehmen

Dieser Beitrag wurde unter Allgemein, News abgelegt am von .


„Wirtschaftskriminalität und Wirtschaftsspionage sind ein flächendeckendes und grenzüberschreitendes Problem, das sowohl große internationale Unternehmen als auch mittelständische und kleinere Unternehmen  beschäftigt.

Interview mit Volker Wagner, Vorstandsvorsitzender des ASW Bundesverbandes (Allianz für Sicherheit in der Wirtschaft e.V.), über:

  • Sicherheitsstrategien zum Schutz der Wirtschaft vor Cyberkriminellen
  • Geheimnisverrat durch Innentäter
  • Zusammenarbeit von Unternehmen und Behörden als Kernbestandteil des digitalen Wirtschaftsschutzes

Wie hoch schätzen Sie das Risiko ein, dass Unternehmen hierzulande Opfer digitaler Industriespionage werden?

Wer sich mit dem Thema befasst, wird die aktuelle Dynamik der Bedrohungen schnell erkennen. Die zunehmenden Risiken, insbesondere durch Wirtschaftskriminalität und Wirtschafts-, beziehungsweise Industriespionage, sind deutlich spürbar und fordern Politik, Wirtschaft und Gesellschaft in immer stärkerem Maße zum Handeln.

Deshalb wurden in den letzten Jahren in der Wirtschaft, in der Wissenschaft und von staatlicher Seite große Anstrengungen unternommen, die Sicherheit auf breiter Front zu verbessern. Die Bedrohungslage hat sich dennoch verschärft. Abwehrmaßnahmen haben nicht Schritt gehalten mit der Breite und Tiefe von Angriffen, gerade im Cyber-Bereich. Es ist heute davon auszugehen, dass präventive Maßnahmen allein keinen hinreichenden Schutz für Wirtschaft und Gesellschaft bieten, sondern dass moderne Schutzkonzepte auch eine effiziente Detektion und professionelle Reaktion beinhalten müssen, um die Auswirkungen von Angriffen zu minimieren.

Sehen Sie die größte Bedrohung in der Industriespionage – also dem Diebstahl geistigen Eigentums – oder bereiten Ihnen noch andere Szenarien Sorge?

Die Entwicklung und Möglichkeiten der modernen globalisierten Welt sind in den letzten Jahrzehnten rasant fortgeschritten, was Gesellschaften rund um den Globus fundamental verändert hat. Kaum ein Bereich ist unberührt geblieben und im Ergebnis sind wir anfälliger geworden. Ein Ende des Wachstums der Digitalisierung ist nicht in Sicht und die Herausforderungen steigen stetig an. Gleichzeitig wächst die Komplexität und die Anforderungen an die permanente Verfügbarkeit der verwendeten Technologien. Das macht unsere Technologie – und uns – angreifbar. Die Auswirkungen einer Sabotage unserer Infrastruktur sind damit ein gleichwertiges, wenn nicht gar höheres Risiko als der Verlust geistigen Eigentums durch Spionage.

Wie können sich Unternehmen gegen solche Attacken schützen?
Unternehmen, die sich ihrer Verantwortung bewusst sind, sollten eine umfassende Sicherheitsstrategie entwickeln. Diese Strategie sollte sowohl strukturelle, das heißt allgemein Best-Practice-Sicherheitsmaßnahmen, die heute als Stand der Technik gelten, als auch bereichsspezifische Maßnahmen, zum Beispiel gegen Cybercrime, enthalten. Auf Erfahrungswerten basierend bestehen die wesentlichen Elemente einer Sicherheitsstrategie insbesondere in:

  1. der Früherkennung von Gefahren: Nur wer rechtzeitig über die Gefahrenpotenziale informiert ist, kann geeignete Gegenmaßnahmen einleiten.
  2. der rechtzeitigen Implementierung von präventiven Sicherheitsmaßnahmen, um mögliche Risiken von vorneherein zu minimieren.
  3. dem Audit und Monitoring der getroffenen Maßnahmen, zur weiteren Risikominimierung und Kenntnis möglicher Restrisiken.
  4. dem Umgang mit Sicherheitsvorfällen, sowohl als Simulation zur Stärkung notwendiger Gegenaktivitäten als auch bei echten Bedrohungen.

Dies alles setzt das notwendige Verständnis und den Willen voraus, gemeinsam gegen die globalen Bedrohungen unserer Gesellschaft einen aktiven Beitrag zu leisten und sich der Verantwortung bewusst zu sein.

Neben Angriffen von außen gibt es auch sogenannte Innentäter, die sich in ein Unternehmen einschleichen und dort Daten abgreifen oder Produktionsabläufe stören. Wie realistisch ist ein solches Innentäter-Szenario und was kann ein Unternehmen dagegen tun?

Geheimnisverrat durch Innentäter ist schon so alt ist wie die Menschheitsgeschichte, und in Teilen wurde diese Geschichte auch durch ihre Handlungen verändert.

Doch was bedeutet das für die Wirtschaft? Hier geht es um Begriffe, wie Betriebsspionage, Industriespionage, Werksspionage, Konkurrenzausspähung sowie Know-how-Diebstahl. Experten sehen für eine konkrete Handlung das Zusammenwirken der sogenannten „3 Ms“ als entscheidend an.

  1. Motiv: dabei geht es natürlich nicht selten um finanzielle Motive, aber auch um Eifersucht, Geltungsdrang und Rache.
  2. Moral: Frustration nach Umstrukturierungen oder Übergehen bei Beförderungen reduzieren die Bindung an das Unternehmen.
  3. Möglichkeit: gerade in diesem Zusammenhang haben Innentäter besondere Möglichkeiten, Kenntnisse, Netzwerke und Werkzeuge. Dies gilt sowohl für eigene Mitarbeiter als auch für Subunternehmer und Berater. Das steigende Gefährdungspotenzial entsteht durch folgende Faktoren: Erstens ist es für Unternehmen schwer, bei den Mitarbeitern für dauerhafte Awareness zu sorgen. Zweitens ist die moderne mobile Arbeitswelt von der Volatilität der Beschäftigungsverhältnisse geprägt. Drittens erleichtern moderne Kommunikationsformen in sozialen Netzwerken den Informationsabfluss.

Das Bundesamt für Verfassungsschutz (BfV) und der ASW Bundesverband (Allianz für Sicherheit in der Wirtschaft – Bundesverband) haben zusammen die Thematik „Innentäter – eine unterschätzte Gefahr in Unternehmen“, gemeinsam mit Experten aus Unternehmen, Verbänden und Behörden intensiv beleuchtet. Wesentliche Ergebnisse sind:

Innentäter sind der Faktor mit dem höchsten Risikopotenzial für Unternehmen. Sie verfügen in der Regel über volle physische und virtuelle Zugangsmöglichkeiten zu Räumlichkeiten, Netzwerken und Datenbanken im Unternehmen und sind meist hervorragend im Unternehmen vernetzt. Für Innentäter ist es einfach, ergänzende Erläuterungen oder Verfahrensdokumentationen zu erhalten.  Die möglichen Schadensszenarien können dabei weit über einen rein elektronischen Angriff hinausgehen. Erschwerend kommt hinzu, dass die dolosen Handlungen dabei durch Sorglosigkeit im Umgang mit sensiblen Unterlagen einerseits und die vermeintliche Vertrauenssituation zum unerkannten Innentäter andererseits enorm erleichtert werden.

Täter kann vom Hausmeister bis zum Manager jeder sein – Hierarchien bilden hierbei keine Grenzen. Als Akteure kommen sowohl langjährig beschäftigte Mitarbeiter in Frage als auch eingeschleuste oder nur kurzfristig im Unternehmen beschäftigte Personen sowie Fremdpersonal.

Ihre Motivation kann ebenso vielfältig wie unterschiedlich sein. Im Laufe eines Berufslebens erlebte Enttäuschungen – zum Beispiel wegen nicht erfüllter Beförderungswünsche – können den ehemals motivierten zu einem frustrierten Mitarbeiter verändern. Bindung und Solidarität zum Unternehmen („Corporate Identity“) hat er längst verloren, innerlich vielleicht längst gekündigt.

Aber auch vorübergehend im Unternehmen tätiges Fremdpersonal, das zeitlich befristet Zutritts- und Zugriffsberechtigungen erhält, stellt ein Risiko dar, insbesondere wenn es bewusst eingeschleust wurde.

Die Risiken durch Spionage in der Realwelt potenzieren sich durch die Kombination mit Cyberspionage. Denn diese eröffnet weitere Angriffsmöglichkeiten auf das Know-how des Unternehmens. Es gibt inzwischen eine Reihe von Beispielen sogenannter APTs (Advanced Persistent Threats), bei denen es Hackergruppen gelungen ist, teils mehrere Monate lang ein Unternehmensnetzwerk unbemerkt zu infiltrieren und permanent Informationen herauszuschleusen.

Die Prävention vor Schäden durch Innentäter sollte die Mitarbeiter in den Mittelpunkt eines effektiven Sicherheitsmanagements stellen und sie intensiv einbinden. Ein Verständnis für Sicherheitsbelange und ein darauf ausgerichtetes Verhalten sind wesentliche Voraussetzung dafür, Handlungen von Mitarbeitern mit Schadensfolgen zu erkennen und zu vermeiden.

Für Konzerne ist es oft leichter, sich personell und finanziell mit Themen der IT-Sicherheit auseinanderzusetzen. Doch wie sieht es mit mittelständischen Betrieben oder KMUs aus, denen häufig das Geld für solche Projekte fehlt und die entlang der Wertschöpfungskette auch Partner der Konzerne sein können – sollten die Großen den Kleinen bei der IT-Sicherheit unter die Arme greifen?

Wirtschaftskriminalität und Wirtschaftsspionage sind ein flächendeckendes und grenzüberschreitendes Problem, das sowohl große internationale Unternehmen als auch mittelständische und kleinere Unternehmen, die aufgrund ihres Know-hows zu einem attraktiven Ziel von Angreifern werden, beschäftigt. Hier lässt sich als Einzelkämpfer nicht genug ausrichten. Fehlende Erfahrungswerte und Ressourcen, um mit Sicherheitsvorfällen umzugehen, sind ein Grund dafür.

Der Kampf gegen Sicherheitsbedrohungen kann damit nicht als isoliertes Problem der Unternehmen oder deren Kunden angesehen werden, sondern stellt alle Beteiligten vor große Herausforderungen. Die Globalisierung hat die Strukturen von Wirtschaft und Gesellschaft immer mehr zusammenwachsen lassen. Damit werden Bedrohungen zu übergreifenden Gefahren für alle. Um diese abzuwehren, ist nur ein gemeinschaftliches Vorgehen wirkungsvoll.

Um sich über die eigenen Maßnahmen hinaus zu schützen, schließen sich immer mehr Unternehmen zusammen und suchen den aktiven Expertenaustausch auch mit den zuständigen Sicherheitsbehörden und der Politik. Denn nur gemeinsam, durch den Austausch von Erfahrungen und Kenntnissen, können der Eigenschutz und der Schutz der gesamten Wirtschaft Deutschlands auf ein hohes Niveau gebracht und dort gehalten werden.

Somit ist es von großer Bedeutung, in Gremien mit anderen Unternehmen und im Rahmen der öffentlich-privaten Zusammenarbeit mit Behörden eng zu kooperieren und Erkenntnisse auszutauschen. Nur so können wir voneinander und miteinander lernen, die Gefahren einzudämmen. Den immer komplexeren und wandelbareren Risiken kann nur angemessen begegnet werden, wenn wir sowohl national als auch international gemeinschaftlich an einem Strang ziehen.

Staatliche Sicherheitsbehörden und -institutionen sind ein Kernbestandteil des Wirtschaftsschutzes, und eine Kooperation mit diesen Behörden ist eine Grundvoraussetzung, um einen erfolgreichen Schutz für Unternehmen zu ermöglichen. Dennoch gehen in manchen Fällen diese Kooperationen immer noch nicht weit genug. Gerade wenn es um Wirtschaftsbedrohungen geht, die allgemeiner, nicht branchenspezifischer Art sind, wie beispielsweise Spionage oder Korruption, ist ein Zusammenschluss auf breiter Basis vorteilhaft. Auch haben kleinere oder mittelständische Unternehmen nicht immer den Zugang und die Zeit, sich intensiv mit den Entwicklungen im Feld Wirtschaftsschutz auseinanderzusetzen. Da helfen Verbände und Zusammenschlüsse, die als Sprachrohr der Wirtschaft und als Bindeglied zwischen Behörden und Politik und der Wirtschaft fungieren.

Erlauben Sie uns noch die abschließende Frage: Nutzen Sie die „Corona-App“ der Bundesregierung?

Ja, ich habe sie mir bereits am ersten Tag direkt nach der Veröffentlichung heruntergeladen. Glücklicherweise hatte ich noch keine Risiko-Begegnung und mein Risiko-Status ist niedrig. Ich finde die Corona-App ist ein schönes Beispiel für die Chancen, die mit Digitalisierung verbunden sind.

Volker Wagner ist seit 2012 Vorstandsvorsitzender des ASW Bundesverbandes (Allianz für Sicherheit in der Wirtschaft e.V.) und ist auch seit mehreren Jahren Mitglied im Arbeitskreis Cybersecurity/Wirtschaftsschutz des BDI. In den letzten Jahren lag sein beruflicher Schwerpunkt auf der Entwicklung und Umsetzung von Sicherheitsstrategien für den Wirtschaftsschutz in Deutschland. International engagiert er sich in der ASIS International. Seit Anfang 2018 verantwortet er als Vice President die Group Security bei der BASF SE. Vor seinem Wechsel zur BASF war er bei der Deutschen Telekom in verschiedenen Führungsfunktionen tätig.