Digitalisierung und IT-Sicherheit, Teil 2 Warum Digital Security nicht nur digital sein darf

Die Digitalisierung hat weitreichende Konsequenzen für die IT-Sicherheit. Dazu gehört, dass IT-Sicherheit mit Digital Security gleichgesetzt wird. Das ist ein Fehler, denn IT-Sicherheit ist weitaus mehr.

Anbieter zum Thema

Arvato Systems

SEPPmail - Deutschland GmbH

Insider Research

Experton Group AG

Security ist im Fokus, doch welche Security eigentlich? Neue Angriffsmuster, mehr Angriffsfläche, eine größere Zerstörungskraft, Studien wie der Cisco 2017 Midyear Cybersecurity Report (MCR) unterstreichen die Bedeutung der Security in Zeiten fortschreitender Digitalisierung. So zielen die Angreifer zunehmend auf die Zerstörung von Backups und Sicherheitsnetzen von Unternehmen, was eine Wiederherstellung von Daten nach einem Angriff verhindern soll. Gleichzeitig wickeln Schlüsselbranchen betriebliche Abläufe zunehmend online ab und vergrößern so die potenzielle Angriffsfläche.

Bildergalerie

Ohne Security kann die Digitalisierung nicht gelingen, hört man immer wieder. Trotzdem hat die Security nicht den notwendigen Stellenwert: Neue Technologien werden genutzt, auch wenn die IT-Risiken nicht eingeschätzt werden können, „Security First“ wird dann zu „Security Later“. Im Zweifelsfall ist mehr als zwei Dritteln der deutschen Unternehmen Produkt-Performance und Benutzerfreundlichkeit wichtiger als IT-Sicherheit, so eine Marktuntersuchung von Crisp Research.

Stimmt die Sicht auf die Bedeutung von Digital Security also nicht? Oder stimmt sogar die Sicht auf Digital Security nicht? Die Antwort lautet: Beides stimmt nicht!

Digital Security darf nicht nur „digital“ gesehen werden

Die IDC-Studie „Next Gen Endpoint Security in Deutschland 2017“ ergab: Die Befragten zählen die Absicherung von Cloud Services (42 Prozent) und die Sicherheit von Mobile Devices (37 Prozent) zu den wichtigsten Handlungsfeldern für die IT-Security. 36 Prozent nennen die Verbesserung des Datenschutzes als Thema von hoher Relevanz. Dahinter stehen vorrangig Compliance und regulatorische Anforderungen wie die EU-Datenschutz-Grundverordnung.

Wenn Clouds, Dokumente, mobile Endgeräte, virtualisierte Systeme und Datenschutz als wichtigste Bereiche der Security angesehen werden, stimmt offensichtlich die Sicht auf „Digital Security“ nicht, von der Einschätzung der Bedeutung von Security insgesamt einmal abgesehen.

Digital Security sollte nicht als digitale Sicherheit verstanden werden, sondern als Security für die Digitalisierung. Der wesentliche Unterschied wird deutlich, wenn man sich klar macht, dass zur Digitalisierung nicht nur (überspitzt gesagt) Clouds, virtuelle Maschinen und Daten benötigt werden, sondern auch Menschen, Maschinen und Data Center. Die virtuellen Maschinen laufen nicht im Virtuellen, sondern auch physischer Hardware. Die Cloud ist nicht im „Internet“, sondern in irgendeinem Data Center. Datenschutz gilt den Menschen und nicht nur den Daten.

An die Menschen denken: Digitale Identitäten schützen, Nutzer schulen, Fachkräfte suchen

Wenn es um Digitalisierung geht, muss auch an die „Digitalisierung des Menschen“ gedacht werden. Dem Nutzer entsprechen seine digitalen Identitäten, im Idealfall seine zentrale digitale Identität. Selbst in Bereichen, die automatisiert laufen, spielen Menschen eine entscheidende Rolle, zum Beispiel die Administratoren im Störungsfall.

Wenn es zu Interaktionen mit den Nutzern kommt, diese also Prozesse anstoßen und Anwendungen bedienen, sind die Anwender für die Security das A und O. Hier laufen die Berechtigungen zusammen, hier können ungewollt Fehler passieren, hier verbergen sich die Innentäter, die als großes Sicherheitsrisiko gelten. Deshalb muss ein wesentlicher Schwerpunkt der Digital Security die Sicherheit der Nutzer sein: sichere digitale Identitäten, die richtige Berechtigungen, Sensibilisierung und das notwendige Knowhow, all das gehört auch zur Digital Security.

Wenn der Digitalverband Bitkom meldet „Die meisten Berufstätigen sehen sich nicht optimal für die digitale Arbeitswelt gewappnet“, dann sollte es auch als Aufgabe der Digital Security gesehen werden, dies zu ändern, sonst drohen Anwenderfehler, Systemstörungen und ungewollter Datenabfluss.

An die Hardware denken: Zutritte kontrollieren, Geräte und Schnittstellen überwachen

Angreifer haben es nicht immer ausschließlich oder direkt auf digitale Daten abgesehen, so die Bitkom-Studie „Wirtschaftsschutz in der digitalen Welt“. Häufigstes Delikt ist demnach der Diebstahl von IT- oder Telekommunikationsgeräten wie Notebooks oder Smartphones. Dies sollte als Hinweis verstanden sein, dass trotz und gerade wegen der Digitalisierung der Hardware-Sicherheit mehr Aufmerksamkeit geschenkt werden muss.

Will man den Zugang zur Cloud absichern, sollte auch der Zutritt zum Rechenzentrum, in dem die Cloud betrieben wird, geschützt sein. Ebenso reicht es nicht, die digitale Übertragung zu verschlüsseln, wenn physische Schnittstellen der Geräte offen sind und missbraucht werden können, um Daten zu stehlen.

Die Digitalisierung hat also auch deshalb so große Auswirkungen auf die Security, weil die Sicherheit der Digitalisierung zu digital und damit falsch verstanden wird. Aus gutem Grund schreibt zum Beispiel der VDE in seiner Studie zur Digitalisierung 2020: Bei der Erstellung von IT-Sicherheitskonzepten sollten technische, organisatorische und qualifikatorische Aspekte beachtet werden, sprich: auch die Nutzer, das Knowhow und die Maschinen einbezogen werden. Es wird eben nicht „alles digital“.

Digitalisierung und IT-Sicherheit, Teil 1

Digitalisierung als Sicherheitsrisiko

(ID:45046633)