Studie sieht große Lücken bei der ITK-Sicherheit in deutschen Unternehmen

Noch fehlt vielerorts in deutschen Unternehmen ein übergreifendes ITK-Sicherheitskonzept, das die Bereiche Technologie, Organisation und Mitarbeiter ganzheitlich betrachtet. Statt End-to-End-Konzepte dominieren bei der ITK-Sicherheit Punktlösungen. Segmente mit Nachholbedarf, beispielsweise mobile Endgeräte, bilden daher ein beachtliches Sicherheitsrisiko. Auch wenn in Einzelbereichen die technischen Sicherheitsmaßnahmen recht gut umgesetzt sind: Insbesondere bei der organisatorischen und rechtlichen Absicherung der technischen Maßnahmen hapert es noch.

Dies sind einige der zentralen Ergebnisse der Studie "ITK-Sicherheit auf dem Prüfstand - Ganzheitliche Konzepte und ihre Umsetzung in deutschen Unternehmen". Berlecon Research   befragte dazu mehr als 100 CIOs und ITK-Leiter in Unternehmen mit mindestens 500 Beschäftigten.

Eines der wichtigsten Ergebnisse: Einheitliche und umfassende Security-Richtlinien haben erst 54% der Befragten vollständig umgesetzt, Compliance-Vorschriften lediglich 43 Prozent. Regelmäßige Sicherheitsschulungen - eine der wichtigsten Voraussetzungen für eine wirksame ITK-Security - führen lediglich 43 Prozent durch. Auch haben erst 57 Prozent Maßnahmen ergriffen, die ein reibungsloses Zusammenspiel der im Einsatz befindlichen technischen Sicherheitskomponenten ermöglichen.

Einzelne Bereiche sind bereits recht gut abgesichert. So hat der überwiegende Teil der Befragten Maßnahmen zum Schutz vor unberechtigten Datenzugriffen von außen getroffen. 79 Prozent der Befragten verschlüsseln den Datenverkehr oder planen dies. Aber nur 30 Prozent der Unternehmen, die VoIP nutzen, verschlüsseln den Sprachverkehr oder planen dies. In den Unternehmensnetzen sind die Daten demnach besser geschützt als die Sprache.

Bei der Beurteilung aktueller Sicherheitsrisiken stehen wie Malware, Trojaner, Viren und Würmer (sehr hohes und eher hohes Risiko: 52 Prozent) an erster Stelle. Auf Platz zwei folgt Spam (sehr hohes und eher hohes Risiko: 46 Prozent) und auf dem dritten Platz liegen gezielte Angriffe auf die Verfügbarkeit der ITK-Systeme (sehr hohes und eher hohes Risiko: 31 Prozent). Bemerkenswert in dem Zusammenhang: Für 47 Prozent bilden die unberechtigten Zugriffe der eigenen Mitarbeiter auf unternehmenskritische Datenbestände ein ernst zu nehmendes Sicherheitsrisiko. Zugespitzt formuliert: Der Schutz vor den eigenen Mitarbeitern darf kein Tabu sein. Handlungsbedarf sehen die Unternehmen auch bei der Sicherheit mobiler Endgeräte und der Verschlüsselung externer Datenträger wie USB-Sticks.

Immerhin 11 Prozent der Befragten sehen in Consumer-Technologien wie Skype   ein "sehr hohes Risiko", 18 Prozent bezeichnen das Risiko als "hoch". Die Begründung: Ohne dass die IT-Abteilung davon etwas weiß, können Mitarbeiter zum Beispiel Skype völlig außerhalb aller Security-Konzepte nutzen. Einen weiteren Unsicherheitsfaktor bilden mobile Endgeräte: 10 Prozent schätzen das Sicherheitsrisiko für ihr Unternehmen als "sehr hoch" ein, weitere 32 Prozent als "hoch". Die Mobilität von Mitarbeitern und die damit verbundenen Geschäftsprozesse werden demnach als beachtliches Risiko wahrgenommen. Das geringste Risikobewusstsein haben die ITK-Verantwortlichen in Bezug auf IP-basierte Telefonie ("sehr hohes Risiko": 7%) und die Übertragung von Daten und Sprache über drahtlose Netze ("sehr hohes Risiko": 6 Prozent).

Gefragt wurde schließlich auch nach der Entwicklung der Sicherheitsbudgets. Fast die Hälfte aller Unternehmen (47 Prozent) plant, 2008 mehr Geld für ITK-Security auszugeben. Auffallend ist, dass 53 Prozent der kleineren Unternehmen (der Studie zufolge solche mit 500 bis 999 Mitarbeitern) ihr Budget erhöhen wollen. Bei Unternehmen mit mehr als 1.000 Mitarbeitern sind es lediglich 39 Prozent.