IT-Sicherheitskonzept: Handlungsempfehlungen & Best Practices

In einem zunehmend digitalisierten privaten und wirtschaftlichen Umfeld sind IT-Sicherheit und entsprechende Konzepte unverzichtbar, um sowohl langfristige Zukunftsfähigkeit und Wirtschaftlichkeit von Betrieben als auch ihre kurzfristige Geschäftsfähigkeit zu sichern. Eine bitkom-Studie aus dem Jahr 2024 zeigt, dass die deutsche Wirtschaft verstärkt ins Visier von diversen Angriffen gerät. Demzufolge waren innerhalb von 12 Monaten 81 Prozent aller Unternehmen von Daten- und IT-Gerätediebstahl, analoger und digitaler Industriespionage oder Sabotage betroffen. 

Ganzheitliche Sicherheitsstrategien sind zwar von großer Bedeutung, eine allgemeingültige Definition für IT-Sicherheitskonzepte gibt es jedoch nicht, wie Anna Mempel erklärt. „Es handelt sich um einen Begriff, der für viele verschiedene Ansätze verwendet wird. Dieser beschreibt im Grunde thematisch zusammenhängende Analysedokumente, die sich mit Aspekten der Sicherheit und dem Schutz vor Bedrohungen befassen.“ 

Ab wann sollte sich ein Wirtschaftsakteur über ein spezifisches IT-Sicherheitskonzept Gedanken machen? Eine allgemeingültige Antwort gibt es darauf nicht. Anna Mempel hält jedoch einen frühen Einstieg in die IT-Sicherheit für sinnvoll.

Bei der Entscheidung für oder gegen ein konkretes IT-Sicherheitskonzept sollten Organisationen die eigenen Motivationen und Treiber betrachten. „Was bewegt mich aktuell dazu, diesen Schritt zu gehen? Möchte ich das aus eigenem Antrieb, weil ich mich vor potenziellen Angreifern schützen möchte? Habe ich spezifische Bedrohungsszenarien erkannt, vor denen ich mich absichern muss?“ Falls diese Fragen bejaht werden, sind entsprechende Maßnahmen angemessen. 

Es gäbe aber ebenso Treiber externer Art, fährt Anna Mempel fort. „Wenn Kund:innen verlangen, dass ich die Sicherheit nach einem bestimmten Standard umsetze und mit sinnvollen Maßnahmen versehe, können beispielsweise die ISO 27001 oder der IT-Grundschutz helfen, dies strukturiert zu dokumentieren und auszuarbeiten.“ Zertifizierungen als Nachweis, dass ein Unternehmen ein Sicherheitskonzept nach den entsprechenden Richtlinien realisiert. „Dies lässt sich bei Bedarf auch nur für einzelne Applikationen anwenden, wenn Kund:innen beispielsweise verlangen, dass die Software bestimmte Sicherheitsstandards erfüllt. In einem solchen Fall kann die Firma diesen Nachweis gezielt für die jeweilige Software anstreben.“

„Finanzinstitute oder Unternehmen in anderen regulierten Branchen wie Versicherungen haben meist verpflichtende regulatorische Anforderungen, die sie dazu bewegen, ein Sicherheitskonzept umzusetzen. Als gängige Standards hierfür gelten der IT-Grundschutz oder die ISO 27001.“ Da Bedrohungen insbesondere aus dem Cyberraum stetig zunehmen, empfiehlt Anna Mempel die Implementierung eines IT-Sicherheitskonzepts jedoch allen Firmen, auch wenn es keine gesetzliche Verpflichtung dazu gibt.

Für die Implementierung eines IT-Sicherheitskonzepts bietet es sich an, auf den  IT-Grundschutz des BSI zurückzugreifen. „Dieser bildet den ersten Zyklus in einem kontinuierlichen Verbesserungsprozess, ähnlich wie bei der ISO 27001. Das Vorgehen ist immer gleich, unabhängig davon, mit welchem Rahmenwerk man arbeitet. Standards sind in der Regel risikoorientiert: Man analysiert zunächst potenzielle Bedrohungen, leitet daraus Risiken ab und prüft anschließend, welche Maßnahmen sinnvoll sind.“

Ein häufiges Missverständnis sei, dass diese Standards mit einer Checkliste verwechselt würden, die einmal abgearbeitet wird und dann keine weitere Beachtung findet. „Stattdessen handelt es sich um ein Managementsystem – ein Konglomerat aus Prozessen, die aufeinander aufbauen, ineinandergreifen und kontinuierlich justiert werden müssen, um sicher und funktionsfähig zu bleiben“, fügt die Expertin hinzu. Dabei sei auch entscheidend, zu erkennen, dass kein IT-Konzept hundertprozentige Sicherheit bieten kann. Ziel sei es, risikobasiert vorzugehen und eine Balance zwischen höchstmöglicher Sicherheit und Wirtschaftlichkeit zu finden. 

Entscheidet sich ein Betrieb für ein IT-Sicherheitskonzept, stellt sich die Frage nach Zuständigkeiten. Die Expertin erklärt, dass diese Rollenverteilung schwer zu verallgemeinern ist und letztlich stark von der Struktur der jeweiligen Organisation oder des Unternehmens abhängt. Teilweise gibt es zudem regulatorische Vorschriften für bestimmte Rollen, die vorhanden sein müssen.

Die spezifischen Aktivitäten können an verantwortliche Mitarbeitende delegiert werden. Die Aufgabe der Geschäftsführung besteht darin, ausreichend Personal und andere Ressourcen wie Geld und Technik bereitzustellen. Außerdem obliegt es ihr, die benötigten Rollen zu definieren und festzulegen. Dazu zählen etwa Positionen wie ein:e Informationssicherheitsbeauftragte:r oder Chief Information Security Officer – es gibt hier verschiedene Titel, die Unternehmen selbst bestimmen können. Wichtig ist, dass diese Personen das nötige Know-how mitbringen, um ein Sicherheitskonzept zu entwickeln und anzuwenden. „Sobald die Geschäftsleitung den Weg frei macht, eine solche Rolle zu schaffen, ist damit die perfekte Grundlage für alles Weitere gelegt“, erläutert Anna Mempel.

Neue, innovative Technologien wie die künstliche Intelligenz bringen zahlreiche Vorteile, stellen die IT-Sicherheit in Unternehmen jedoch vor neue, große Herausforderungen.

Die neue KI-Richtlinie ist eine wichtige regulatorische Vorgabe, die auch für die Erstellung von Sicherheitskonzepten relevant ist. Sie umfasst Anforderungen an KI-Systeme, die über reine Informationssicherheitsvorgaben hinausgehen. „Es geht hier auch um Data Governance und viele andere Themen, die sich mit Informationssicherheit, Datenschutz und Datensicherheit überschneiden.“

Für Betriebe, die Produkte herstellen, sei auf europäischer Ebene zudem der Cyber Resilience Act (CRA) von Bedeutung. Dieser umfasst Vorgaben an Firmen, die Produkte mit IT- oder digitalen Aspekten in der EU herstellen oder vertreiben. „Unternehmen müssen wissen, dass diese Regulierung auf sie zukommt. Für den Marktzugang ist es unerlässlich, frühzeitig zu prüfen, welche Kriterien erfüllt und welche Anpassungen am Produkt vorgenommen werden müssen, um weiterhin konform zu bleiben.“

Diese neuen Standards können auf den ersten Blick überwältigend wirken. Anna Mempel empfiehlt jedoch, sie nicht als vollkommen neue Aspekte zu betrachten. Vielmehr lassen sie sich in bestehende Konzepte und Maßnahmen integrieren. „Es können Synergien mit dem bestehenden Sicherheitskonzept genutzt werden, um die neuen Erfordernisse bewältigbar zu machen und den Aufwand in Grenzen zu halten. In der CRA-Verordnung gibt es gerade deswegen eine Übergangsfrist, die voraussichtlich erst 2026 oder 2027 greifen wird. Das bedeutet also, dass nicht morgen schon alles bereit für die Informationssicherheit sein muss“, entwarnt Anna Mempel. Dennoch betont die Expertin, dass es nicht ratsam ist, die Vorbereitung auf kommende Anforderungen hinauszuzögern. „Man muss sich jetzt mit diesen Themen auseinandersetzen und aktiv handeln, anstatt nur zu beobachten, was auf einen zukommt. Wichtig ist, risikobasiert einzuschätzen, welche Relevanz diese Innovationen für mein Unternehmen und mein Produkt haben und welche Maßnahmen daher entscheidend sind.“