IT-Risiken gefährden digitale Geschäftsmodelle

In den meisten Unternehmen ist das Bewusstsein für die Bedrohungen, die durch Angriffe auf die IT entstehen können vorhanden und dementsprechend wird auch in die Sicherheit der Infrastruktur investiert. Dennoch werde das Thema noch immer zu sehr von einer technischen Seite betrachtet, so das Ergebnis einer aktuellen Studie des Marktforschungs- und Beratungsunternehmens Lünendonk.

Doch nicht der Hersteller von Sicherheitssoftware, sondern die Anwender tragen das Risiko eines erfolgreichen Übergriffs auf die eigene IT-Landschaft. “Unternehmen haben kein Erkenntnisproblem, sondern ein Umsetzungsproblem beim Thema Sicherheit”, kommentiert Bernhard Winkler, CIO des Automobilzulieferers Automotive Lighting bei einer Diskussionsrunde vor Journalisten in München.

Das unterstreichen auch die Erhebungen aus der Trendstudie “Information Security und Risk Management: Digitale Bedrohungsszenarien im Fokus von Business und IT“. Demnach sind sich sowohl die IT, als auch die Non-IT-Fachbereiche nahezu flächendeckend der Risiken bewusst. Auch dass die Bedrohungslage derzeit sehr hoch ist, scheint sich in den Köpfen nahezu aller Beteiligten verfestigt zu haben.

Doch aus Sicht der Anbieter reicht das noch lange nicht aus. So fehlen laut Studie bei etwa 57 Prozent der Unternehmen Informationen zum Wert der bedrohten Daten und Prozesse.

Studienautor Hartmut Lüerßen sieht an vielen Stellen den Kampf mit operativen Herausforderungen. Laut Studie erachten rund vier Fünftel aller Befragten die Durchsetzung von Sicherheitsstandards im eigenen Unternehmen als wichtigste Herausforderung. Drei Viertel der Anwender hingegen kämpfen damit, bei den Anwendern das Sicherheitsbewusstsein zu schärfen.

Eigentlich aber sollten die wichtigsten Herausforderungen ganz andere sein: Durch die Digitalisierung verschieben sich nicht nur die Prozesse, sondern die Geschäftsmodelle. Digitale Prozesse und Daten bekommen in digitalisierten Unternehmen völlig neue Stellenwerte.

“Die Geschäftsmodelle verändern sich, ein Hersteller verkauft keine Pumpen mehr, sondern Pumpenservices und plötzlich werden ganz andere Informationen wichtig und auch die Integrität der Daten bekommt einen völlig neuen Stellenwert”, verdeutlicht Hans-Peter Fischer, Partner Security Consulting bei KPMG, die neue Lage.

“Daten werden zu einem integralen Bestandteil des Unternehmen und IT-Sicherheit wird von strategischer Bedeutung.” In den Augen von Fischer ist auch die vergleichsweise gute Selbsteinschätzung der Unternehmen beim Thema Sicherheit durchaus problematisch, denn “auch der durchschnittliche Autofahrer hält sich für überdurchschnittlich gut”.

Daten und Prozesse gelte es eigentlich mit einem Sicherheitskonzept zu schützen, das auf vielen Ebenen greift: “Was bedeutet zum Beispiel Sicherheit bei Banken? Hier geht es nicht nur um Kerngeschäft und nicht nur um IT-Sicherheit, sondern auch um die physische Sicherheit.”

Sandro Lindner, Geschäftsführer von Unisys Deutschland, schätzt, dass jedes Großunternehmen in Deutschland mindestens einen Incident pro Jahr erleben muss. “Und diese Vorfälle kommen definitiv im Vorstand an.” Doch Linder weiß auch: “Es wird für Unternehmen jedoch zusehend schwieriger festzustellen, ob man angegriffen wurde.”

Nach wie vor würden in den Unternehmen isoliert einzelne Bereiche geschützt. “Unternehmen haben auch das Problem zu identifizieren, was eigentlich die schützenswerten Informationen sind.” Auf die Frage: “Was sind die Kronjuwelen?” haben viele Unternehmen keine ausreichenden Antworten.

Laut Studie berücksichtigen 63 Prozent der Unternehmen Information Security und Risk Management nicht frühzeitig und umfassend genug bei Projekten. Das geschieht vor allem aus Zeitdruck und mangelndem Verständnis der Zusammenhänge und Auswirkungen, etwa bei der Entwicklung digitaler Geschäftsmodelle.

“Bei den Unternehmen entsteht dadurch eine Scheingeschwindigkeit”, warnt Lüerßen. “Zu Beginn des Projektes sieht es so aus, als ginge es schneller voran. Doch in der Realität ist es aufwändiger, die Security-Anforderungen nachträglich zu erfüllen – wenn es überhaupt möglich ist.” Eine nachgeschaltete Sicherheitsstrategie könne zu “erhebliche” Projektverzögerungen führen.

Unternehmen, die den Weg der digitalen Transformation beschreiten, sollten diese Gelegenheit nutzen, um das Dilemma fehlender Zusammenarbeit zwischen IT-Sicherheit und Fachabteilungen zu überwinden, so Lüerßen weiter.

Doch wie begegnen die Unternehmen diesen neuen Herausforderungen? 77 Prozent der Unternehmen investieren in “Mitarbeiterschulungen und Trainings”, gefolgt von Investitionen in die “IT-Sicherheitsarchitektur und neue Lösungen (73 Prozent). 53 Prozent der Unternehmen reagieren mit höheren Budgets und lediglich 45 Prozent wollen die “Zusammenarbeit mit Anbietern von Managed Services” ausbauen. Ein vergleichsweise niedriger Wert, wenn man die hohe Komplexität umfassender Sicherheitslösungen und den abgegrasten Markt bei Sicherheitsexperten betrachtet.