Es fehlt an technischen und organisatorischen Maßnahmen

By René Floitgraf

… die Sicherheitslage in deutschen Unternehmen ist weiterhin angespannt!

Das Bundesamt für Sicherheit in der Informationstechnik (kurz: BSI) sieht die Bedrohungslage für Unternehmen in Bezug auf die IT-Sicherheit als angespannt bis kritisch an.

So ist es dem Pressebereicht zum BSI-Lagebericht 2021 zu entnehmen. Schwerwiegende IT-Ausfälle (z.B. durch Ransomware-Angriffe) verursachen auch weiterhin erhebliche wirtschaftliche Schäden. Bei Ausfall der Wertschöpfungsprozesse kann der Schaden auch existenzbedrohend sein.

Dazu der BSI-Präsident Arne Schönbohm in der Pressemitteilung: „Im Bereich der Informationssicherheit haben wir – zumindest in Teilbereichen – Alarmstufe Rot…“

Die Lage knapp zusammengefasst…

Wir haben bereits im Juni auf die Umsetzung notwendiger und aktueller technischer und organisatorischer Maßnahmen hingewiesen, im August informierten wir darüber, dass 86% aller vom Bitkom e.V. befragten Unternehmen bereits einen Schaden durch einen Cyberangriff erlitten haben und zuletzt Anfang dieses Monates wiesen wir auf Sicherheitsgefahren durch Drittsoftware von Auftragsverarbeitern auf Ihren Systemen hin.

Beispiele für die Folgen von Angriffen

Wie bedrohlich die Auswirkungen einer solchen Attacke sein können, zeigt sich daran, dass sich ein Krankenhaus nach einem Angriff für 13 Tage von der Notfallversorgung abmelden musste. Die Stadt Witten ist aktuell von einem Ransomware-Angriff betroffen und der Landkreis Anhalt-Bitterfeld arbeitet bereits seit Monaten an der Wiederherstellung der Systeme und rechnet erst zum Jahresende mit der Fertigstellung.

Nicht nur der öffentliche Sektor ist betroffen. In den Medien finden sich viele Meldungen von betroffenen Unternehmen. Im Juni wurde beispielsweise die FUJIFILM Corporation in Tokio angegriffen. Als Vorsichtsmaßnahme wurden auch im europäischen Raum alle Systeme offline genommen. Obwohl nach eigener Aussage von FUJIFILM die europäischen Systeme nicht betroffen waren, konnten die IT-Systeme europaweit 3 Tage nicht genutzt werden.

Andere Unternehmen sind nicht so glimpflich davongekommen. So wird berichtet, dass die zuletzt wirtschaftlich bereits angeschlagene Swisswindows AG nach einem Ransomware-Angriff endgültig in Schieflage geraten ist und Insolvenz anmelden musste.

Wir unterstützen Sie!

Als Datenschutzpraktiker mit Wurzeln in der IT können wir nicht nur bei der Einhaltung der rechtlichen Spielregeln zum Datenschutz beraten und unterstützen. Wir unterstützen Sie ebenfalls gerne bei der Ermittlung, Bewertung und Prüfung Ihrer technischen und organisatorischen Maßnahmen!

Bereits im Juni haben wir Ihnen diesbezüglich eine Orientierungshilfe zu den technischen und organisatorischen Maßnahmen bereitgestellt. In dieser Orientierungshilfe haben wir mögliche Maßnahmen beschrieben und den aus unserer Sicht mindestens notwendigen „Basisschutz für IT-Systeme und -Netzwerke“ festgehalten. 18 Punkte, die jedes Unternehmen berücksichtigen sollte!

Zusammen mit dieser Information erhalten Sie unsere neueste Ausgabe unserer Datenschutzzeitung, in der wir ebenfalls auf das Thema der technischen und organisatorischen Maßnahmen eingehen. Diesmal jedoch in Form einer Checkliste, so dass Sie Ihren eigenen Stand der IT-Sicherheit schnell feststellen können. Sollten Sie kein Mandant der CompliPro GmbH sein, können Sie die Checkliste hier abrufen!

Zudem haben wir für IT-Verantwortliche, IT-Dienstleister und IT-Administratoren eine Schulung vorbereitet, in der wir den üblichen Ablauf eines Ransomware-Angriffes durchgehen und jeweils an den einzelnen Elementen des Angriffes einhaken und Beispielmaßnahmen erwähnen, die dem Angreifer zum jeweiligen Zeitpunkt den Angriff zumindest erschwert, vielleicht sogar verhindert, hätte.

Restrisiko nicht ausgeschlossen…

In vielen Unternehmen herrscht noch Nachholbedarf bei der Sicherstellung des IT-Betriebs. Doch auch nach der Umsetzung aller im Markt verfügbaren technischen und empfohlenen organisatorischen Maßnahmen wird ein Restrisiko verbleiben, da auch die Angreifer ihr Vorgehen permanent weiterentwickeln und ändern.

So hat auch das BSI im Februar 2021 festgestellt, dass die Flut der Schadprogramm-Varianten einen Höchststand erreicht hat. Täglich kamen demnach 553.000 neue Varianten an Schadprogrammen dazu.

Restrisiko auslagern?

Natürlich kann man das Restrisiko auf Dritte verlagern und beispielsweise eine Cyber-Risk-Versicherung abschließen. Doch auch hier rückt die IT-Sicherheit weiter in den Fokus. Während es vor einiger Zeit noch möglich war ohne große Rückfragen eine entsprechende Versicherung abzuschließen, werden die Fragebögen heute immer länger und teilweise führen die Versicherer auch Voraudits durch, um festzustellen, ob Ihre IT versicherbar ist.

Die bisher getroffenen Maßnahmen entscheiden so darüber, ob Sie eine Versicherung erhalten, wie hoch die zu zahlende Prämie ist, ob der Versicherer bestimmte Risiken ausschließt oder ob überhaupt eine Versicherung abgeschlossen werden kann.

Fazit

Im Angesicht der steigenden Bedrohungslage sollten wir alle unsere technischen und organisatorischen Maßnahmen regelmäßig bewerten und ggf. aktualisieren. Diese regelmäßige Bewertung wird ohnehin von Art. 32 Abs. 1 lit. d DSGVO gefordert.

Nur so kann das Sicherheitslevel verbessert und der IT-Betrieb möglichst sicher gestaltet werden. Ihre IT-Sicherheitsstrategie ist Ihre digitale Selbstverteidigung!

Wir unterstützen Sie bei der Bewertung Ihrer IT-Sicherheitsstrategien und beraten herstellerunabhängig, mit welchen Maßnahmen Sie Ihre IT-Sicherheit weiter verbessern können. Oder wie es Philip Rosenthal ausgedrückt hat: „Wer aufhört, besser zu werden, hat aufgehört, gut zu sein.”

Vereinbaren Sie mit uns ein kostenloses Erstgespräch oder eine aussagekräftige Bewertung Ihrer aktuelle IT-Situation!

Quelle:

Jetzt Kontakt aufnehmen!

Bei Fragen und Anmerkungen stehen wir Ihnen gerne zur Verfügung.

Not readable? Change text. captcha txt

Start typing and press Enter to search

Blindes Vertrauen?
Vertrauen Sie Ihrem IT-Dienstleister (blind)?Datenschutz, Drittanbieter
pexels-largo-polacsek-237708
Das TTDSG ist jetzt anwendbar…Datenschutz, Drittanbieter