Wolfgang Reibenspies, CISO der EnBW, über Security Awareness Das Management muss IT-Sicherheit vorleben

Anbieter zum Thema

Arvato Systems

Cohesity GmbH

Keeper Security EMEA Ltd.

Security Awareness kommt nicht von selbst, der Arbeitgeber muss aktiv etwas dafür tun. Dabei muss jedes Unternehmen anders vorgehen. Security-Insider hat sich mit Wolfgang Reibenspies, Chief Information Security Officer der EnBW, über seinen Standpunkt unterhalten.

Security-Insider: Vor Jahren war Security Awareness in vielen Unternehmen ein Baustein im Security-Konzept. Fehlt dieser Baustein heutzutage ganz oder zumindest teilweise?

Wolfgang Reibenspies: Das kann ich für die EnBW nicht bestätigen. Security-Awareness ist bei der EnBW seit Jahren fester Bestandteil des Security-Managements. Durch immer neue Aktivitäten wird die Sensibilität der Mitarbeiterinnen und Mitarbeiter fortlaufend trainiert. Wir sind uns bewusst, dass Information-Security-Management ohne die beteiligten Menschen nicht funktioniert.

Security-Insider: Wieso tun sich die Mitarbeiter so schwer, Security-Maßnahmen in ihrer täglichen Arbeit umzusetzen? Verlässt sich der Mensch zu sehr auf die Technik?

Wolfgang Reibenspies: Die Mitarbeiterinnen und Mitarbeiter verstehen häufig nicht, warum IT-Sicherheit einen Mehrwert für das Unternehmen darstellt. Sie verstehen nicht, warum wir tun was wir tun. Das ist die Herausforderung. Wir müssen im Security-Management die Menschen abholen und mitnehmen – und nicht immer und immer wieder versuchen mit IT-Slang die Menschen zu überfordern.

Die Sprache muss zielgruppenorientiert ausgerichtet sein. Auch geht es darum, die Mitarbeiter in einer oft vorhandenen Zwangssituation aktiv zu unterstützen. Auf der einen Seite Druck, um die anstehenden Aufgaben so schnell wie möglich zu erledigen. Auf der anderen Seite Security-Vorgaben, die dabei oft hinderlich erscheinen.

Daher gehört zu einer zielgruppenorientierten Sprache die lösungsorientierte Unterstützung. Etwas, was wir im EnBW Information-Security-Management mit dem Begriff „Transferleistung“ bezeichnen. Das ist unsere Aufgabe als Experten, hier eine Unterstützungsleistung anzubieten und damit der „Möglichmacher“ zu sein.

Im Mittelpunkt steht der Mensch

Security-Insider: Trotz technischer Maßnahmen braucht es den Mitarbeiter, der z.B. eine Phishing-Attacke erkennt. Auf welche Schwerpunkte sollte Security Awareness besonderen Wert legen, um einen maximalen Nutzen zu bieten?

Wolfgang Reibenspies: Ganz klar, der Schwerpunkt der Informationssicherheit sind die Menschen. Technik führt nicht – ein oft gemachter Fehler in der Herangehensweise. Technik, also die klassisch technisch zentrierte IT-Security, unterstützt. Der Mensch steht im Mittelpunkt, ohne ihn werden wir die Ziele der Information-Security nicht erreichen können. Das sollten sich viele Stellen, insbesondere auch bei den Behörden immer wieder verdeutlichen.

Dabei ist Information-Security datenzentriert. Hier entstehen Werte durch Verarbeitung von Daten in der Wertschöpfung. Und zwar mit jedem Arbeitsschritt. Arbeitsschritte, die von Menschen bedient werden. Der Mensch soll wissen, was die Daten für unser Unternehmen für einen Wert haben. Hier kommt insbesondere Führungskräften eine ganz wichtige Rolle zu.

Ein weiteres, und ganz wichtiges Thema: Führungskräfte. Sie müssen Vorbild im Handeln und Tun zur Information-Security sein. Ihre Aufgabe ist es, die Menschen zu coachen, und damit einen Mehrwert für die Werte des Unternehmens, die Daten zu schaffen. Ein weiter Weg!

Security-Insider: Wie sehen Sie die Zukunft der IT-Sicherheit. Wird man auf Security Awareness irgendwann verzichten?

Wolfgang Reibenspies: Eine sehr interessante Frage. Ich denke, dass wir nicht verzichten können, denn der Mensch ist keine Maschine, und die Technik von allem Anfang an fehlerbehaftet. Insofern gilt es immer abzuwägen. Und da auch das keine Maschine kann, wird der Mensch – zum Glück – immer gebraucht werden.

Das einzelne Individuum ist enorm wichtig. Auf jedes Einzelne müssen wir im Security-Management eingehen. Wenn Information-Security ein Problem im Unternehmen ist, dann haben nicht die Menschen ein Problem, sondern das Security-Management.

Ich möchte hier mit einer persönlichen Meinung enden. Unreflektiertes Effizienz- und Leistungsstreben ist immer hinderlicher. Wir müssen eine neue Anerkennungskultur schaffen, die nicht nur auf dem herkömmlichen Leistungsbegriff, sozialem Status und Einkommen beruht. Damit einhergehen muss das Miteinander, das Schwächere akzeptiert und fördert.

Nicht wer besser ist verdient Anerkennung, sondern der, der das Beste aus Möglichkeiten macht. Ein hochintelligenter, aber fauler Mensch, der sich nicht anstrengt und seine Fähigkeiten verkümmern lässt verdient aus dieser Perspektive weniger Anerkennung als ein geistig behindertes Kind, das unter extremen Anstrengungen Leistungen erzielt, die man nicht erwartet hätte.

Der Mensch steht im Mittelpunkt! Und das ist jeden Tag die große Herausforderung in der Information-Security. Aber nicht nur da, sondern vor allem in der Unternehmenskultur. So lange wir in vielen Unternehmen eine Misstrauenskultur und keine Vertrauenskultur haben, gibt es sehr viel zu tun.

(ID:36013750)