IT-Sicherheit: Der Ex-Mitarbeiter ist der ultimative Wurm an sich

Obwohl die Zahl der Hackerangriffe in den letzten Jahren drastisch zugenommen hat, sorgen deutsche Unternehmen nur mangelhaft vor. Selbst bekannte Sicherheitslücken werden nicht oder zu spät beseitigt. Zu diesem Urteil kommen Mummert Consulting   und das Bundesamt für Sicherheit in der Informationstechnik (BSI)   in ihrer aktuellen Studie zum Thema IT-Sicherheit.

Jüngstes Beispiel für die Auswirkung zu spät behobener Sicherheitsmängel ist der so genannte Slammer-Wurm. Er nutzte Ende Januar ein bekanntes Sicherheitsleck in einer Microsoft-Datenbank aus und zwang schätzungsweise mehr als 100.000 Server weltweit in die Knie. Das Sicherheitsproblem war bereits seit Mitte 2002 bekannt gewesen - nur hatten viele Administratoren nicht reagiert.

Das Beispiel belegt: Die meisten Angriffe zielen auf altbekannte Fehler, so die Studienautoren: Nur 14 Prozent aller bekannt gewordenen Angreifer nutzen Schwachstellen, die Experten nicht kennen. Die nahe Zukunft verspricht kaum Verbesserungen: IT-Sicherheit wird als technisches Problem wahrgenommen und deshalb allzu oft an die Fachabteilung delegiert.

Die grösste offene Flanke vieler Unternehmen ist laut Studie zurzeit Schwachstellen im Betriebssystem. Mehr als ein Drittel aller Angriffe erfolgt auf diesem Wege. Zunehmend gefährlicher für die IT-Sicherheit werden eigene Mitarbeiter. Schon heute sind sie für fast ein Viertel der Sicherheitslücken verantwortlich. Der Grund: Sie können mit den Systemen nicht umgehen, verursachen so vermeidbare Fehler. Zu den Fehlern aus Unwissenheit kommt böser Wille: Zwei von drei Angriffen gehen auf das Konto der Mitarbeiter, warnt Mummert.

Trotz der wachsenden Zahl von erfolgreichen Attacken bekunden deutsche Unternehmen, dass ihre Sensibilität für die IT-Sicherheit zugenommen habe. Inzwischen hat sie acht von zehn möglichen Punkten erreicht. Die Folge laut Mummert: IT-Fachabteilung erhalten mehr Geld für den Kampf gegen Viren, Würmer, Hacker und übelmeinende Ex-Mitarbeiter.

Über die Budgetfrage hinaus sind die Manager jedoch nur begrenzt bereit, sich intensiv und detailliert mit der IT-Sicherheit zu beschäftigen, kritisiert Mummert.

Die wachsenden Budgets spiegeln sich in der aktuellen CeBIT-Ausstellerbefragung wider: IT-Sicherheit ist ein Top-Thema. Die Investitionen fliessen vor allem in die Abwehr von Viren (56,3 Prozent) und in die Sicherheit der Betriebssysteme (53,9 Prozent). Damit realisieren deutsche Firmen wichtige Mosaiksteine zum Schutz ihrer Computersysteme. Jedoch nur selten verknüpfen die IT-Manager ihre einzelnen Schutzmassnahmen zu einem intelligenten mehrschichtigen Sicherheitsnetz, das Gateways, Server und Clientrechner schützt.

Inzwischen werden die Firmen von höchsten Stellen aufgefordert, sich aktiv um ihre IT-Sicherheit zu kümmern. In Europa soll eine neue Behörde im kommenden Jahr ihren Dienst aufnehmen: die European Network and Information Security Agency. Doch sollten die Firmen nicht auf Aufforderungen von Regierungsseite warten, empfehlen die Berater.