Datensicherheit: Schutz vor Cyberangriffen und Datenlecks

Datensicherheit gehört zu den wichtigsten strategischen Anliegen von Unternehmen, denn Cyberangriffe können schwerwiegende finanzielle und reputative Schäden verursachen. Daher ist es von entscheidender Bedeutung, dass Unternehmen Datensicherheit holistisch angehen und neben der IT-Infrastruktur auch die Mitarbeitenden und die physischen Assets bedenken.

Als die grosse „Kryptowährungsbank“ Ronin im April 2022 Opfer eines Cyberangriffs wurde, waren die Auswirkungen enorm: Zusätzlich zu den 540 Millionen US-Dollar, die von Hackern gestohlen wurden, musste die Bank ihre Kunden für die ebenfalls verlorenen Gelder entschädigen. Gleichzeitig galt es, das Vertrauen des Marktes in ihre erschütterte Organisation wiederherzustellen. Weitere hochkarätige Sicherheitsvorfälle bei Unternehmen wie Uber, Microsoft oder Toyota zeigen, dass auch robuste Sicherheitsvorkehrungen grosser Betriebe angegriffen werden können. Eine deutliche Erinnerung für Führungskräfte, wie verwundbar Organisationen sein können.

Datensicherheit ist geschäftskritisch

Informations- und Datensicherheit ist demnach so elementar wie nie zuvor. Da weltweit immer strengere Datenschutzgesetze mit hohen Geldstrafen gelten, kann ein nachlässiger Umgang in punkto Datensicherheit schwerwiegende finanzielle und rufschädigende Folgen haben. In Deutschland werden die durch Cyberkriminalität verursachte Schäden im Jahr 2023 auf rund 206 Milliarden Euro beziffert. Gleichzeitig wird Datensicherheit zu einem reputativen Kriterium für Firmen: Die Datenschutzgrundverordnung (DSGVO) gibt allen EU-Bürgern das Recht, zu erfahren, welche personenbezogenen Daten Organisationen über sie gespeichert haben, warum sie diese gespeichert haben und an welche Drittparteien sie diese Daten weitergegeben haben. Gleichzeitig müssen Datenschutzverletzungen innerhalb von 72 Stunden gemeldet werden und sind entsprechend besonders sensibel.

Doch obwohl Datensicherheit für Entscheider höchste Priorität hat, weisen viele Organisationen immer noch eine grosse Lücke in ihrer Sicherheitsstrategie auf. Diese Lücke betrifft die Art und Weise, wie ihre physischen und digitalen Daten sowie IT-Ressourcen, während ihres gesamten Lebenszyklus verwaltet werden. Das beste Cybersicherheits­system kann wirkungslos sein, wenn Hardware und Geräte nicht modernisiert, sicher integriert, gewartet und vor allem datenschutzkonform ausser Betrieb genommen werden. Hier gilt es anzusetzen, um potenzielle Schwachstellen zu schliessen.

Die IT-Infrastruktur legt die Grundlage

Besonders durch die neuen Anforderungen im Zuge des hybriden Arbeitens ist es zunehmend schwierig, Daten vor unerwünschter Offenlegung zu schützen. Benötigt werden Systeme, die den Zugriff unabhängig von Ort und Zeit gewährleisten, aber gleichzeitig kein Einfallstor für Cyberkriminelle bieten. Ein solches System muss etwa die Verschlüsselung gespeicherter und übertragener Daten sicherstellen und auch Wiederherstellungs- und Sicherungslösungen beinhalten. Für den Remotezugriff muss eine Mehr­faktor­authentifi­zierung eingerichtet sein.

Zwar lassen sich nie alle Angriffe verhindern, jedoch verbessert eine moderne IT-Infrastruktur die Geschwindigkeit der Erkennung, Eindämmung und Behebung des Angriffs oder kann diesen sogar vollständig abwehren. Zusätzlich sollte ein Reaktionsplan bei Sicherheitsvorfällen entwickelt und erprobt werden, um einen Cyberangriff schnell zu identifizieren, zu bewerten und einzudämmen.

Keine Sicherheitsstrategie ohne die Mitarbeitenden

Neben technischen Sicherheitsvorkehrungen spielt auch der Faktor Mensch eine entscheidende Rolle für die IT-Sicherheit von Unternehmen. Auch hier ist die Entwicklung zu Remotearbeit von grosser Rolle, denn Daten werden nun öfter unabhängig von festen Standorten verarbeitet. Hier müssen die Mitarbeitenden, durch entsprechende Richtlinien und Verfahren, als Teil des Sicherheitskonzepts angesehen werden.

Das beginnt bei der Informationssicherheit: Alle Beschäftigten des Unternehmens müssen hierzu klare schriftliche Richtlinien erhalten, die auch die Nutzung von Laptops, Handys und anderen Geräten umfasst. Remote-Mitarbeitende sollten detaillierte Informationen zur Abwicklung von Geschäftsvorgängen auf privaten Laptops oder Telefonen erhalten. Auch die Verarbeitung von Daten und Unterlagen ausserhalb der firmeneigenen Geräte und Systeme muss klar geregelt sein, etwa das Kopieren von Geschäftsdaten auf persönliche Geräte oder die Nutzung von persönlichen USB-Sticks zur Speicherung von Geschäftsinformationen. Schulung zu Cyber-Security sensibilisieren zudem dafür, wachsam gegenüber potenziellen Phishing- und Malware-Angriffen zu sein.

Zu guter Letzt: Asset Lifecycle Management

Was oftmals vergessen wird: Eine grosse Herausforderung für Unternehmen besteht darin, die in ihrer Organisation genutzten Geräte im Auge zu behalten. Um das Risiko eines Cyberangriffs und die Haftung zu minimieren, ist es unerlässlich, sowohl über virtuelle als auch über physische Ressourcen – ob neu oder alt – unter Kontrolle zu haben.

Zunächst sollten Organisationen ein Bestandsregister führen, das die Leistung, den Zustand und Schutz der Geräte überwacht. Es muss sichergestellt werden, dass Sicherheitsanwendungen funktionieren. Physische Ressourcen sollten passwortgeschützt sein und eine Richtlinie zur erzwungenen Passwortänderung enthalten. Ein professionelles Asset Lifecycle Management (ALM) sorgt ausserdem dafür, dass vorhandene Daten im End-of-Life-Stadium in Übereinstimmung mit lokalen Datenschutzbestimmungen zuverlässig vernichtet oder zur erneuten Nutzung wieder ins Unternehmensnetzwerk eingespielt werden.

Die Entsorgung von IT-Assets (ITAD) sollte einem klar definierten Protokoll folgen, das eine vertrauenswürdige Aufbewahrungskette, umfassende Datenlöschung und Demontage in Komponenten zur Wiederverwendung oder zum Recycling oder andernfalls eine vollständige physische Vernichtung umfasst. Obwohl es ein weit verbreiteter Irrtum ist, dass das Löschen von Daten so einfach ist wie das Löschen von Dateien oder das Neuformatieren eines Laufwerks, garantieren solche Methoden in Wahrheit überhaupt nicht die vollständige Löschung der Daten. Es muss eine spezielle Datenbereinigungssoftware verwendet werden. Wenn eine Vernichtung erforderlich ist, muss das Asset physisch so weit zerstört werden, dass es unmöglich ist, Daten daraus wiederherzustellen.

Mit der richtigen Strategie IT-Sicherheit verbessern

Cyber-Security und die Verwaltung von Daten ist heute das Hauptanliegen vieler Vorstandsetagen. Die passende Strategie für IT- und Datensicherheit orientiert sich immer auch an der konkreten Situation einer Organisation. Einige übergreifende Ansätze haben sich jedoch bewährt: Mit einer aktuellen IT-Infrastruktur legen Organisationen den Grundstein, auf dessen Basis die Mitarbeitenden arbeiten können und entsprechend trainiert werden müssen. Zu guter Letzt ist ebenfalls ein professionelles Asset Lifecycle Management essenziell, um Sicherheit bis zum Schluss zu ermöglichen.

Artikel erschienen auf security-insider.de