Sie sind hier: Home » Markt » Hintergrund

Grundschutzverfahren anerkannt


Umfassende Dokumentierung der IT-Sicherheit: Für Unternehmen von existenzieller Bedeutung
Compliance: IT-Risiken im Unternehmen aufspüren


(18.10.06) - Immer neue Gesetze und Vorschriften fordern von Unternehmen ein geeignetes IT-Risiko-Management. Sonst drohen z.T. schwerwiegende Konsequenzen. So sind die Geschäftsführer und Vorstände laut "Gesetz zur Kontrolle und Transparenz im Unternehmensbereich" ("KonTraG") verpflichtet, die Risiken in ihrem Unternehmen transparent zu machen und zu kontrollieren. Prinzipiell haften sie persönlich für eventuelle Folgen. Auch das auf dem amerikanischen Markt gültige "Gesetz zur Verbesserung der Unternehmensberichterstattung", der "Sarbanes-Oxley-Act" (SOX), droht der Geschäftsleitung mit harten Strafen.

Vorgaben von Basel II erfüllen

In Zukunft wird sogar für den Erhalt eines Kredites die nachgewiesene IT-Sicherheit entscheidend sein: Mit Inkraftsetzung der Eigenkapitalvorschriften nach Basel II im Januar 2007 hängt die Kreditvergabe von der Rating-Position eines Unternehmens ab - und diese wiederum auch von dessen IT-Sicherheits-Management. Wer hier seine Hausaufgaben nicht gemacht hat, dem droht eine schlechte Rating-Position und damit geringere Kredit-Chancen.

Um ein böses Erwachen zu vermeiden, sollten Unternehmen rechtzeitig vorsorgen. Wie aber kommt man den IT-Risiken im Unternehmen auf die Spur? Ein einfaches Werkzeug zur Risikoanalyse entwickelte das Bundesamt für Informationstechnik (BSI) Mitte der 90er Jahre: Das Grundschutzverfahren. Der Grundschutz bietet eine Reihe allgemeiner Schutzmaßnahmen, um die häufig auftretenden Risiken zu überprüfen und ggf. zu beseitigen. Mit Hilfe eines Fragenkatalogs wird u.a. kontrolliert, ob der Brandschutz rund um die IT-Anlagen ausreichend ist, ob regelmäßige Backups gemacht werden und ob die Mitarbeiter für den Umgang mit sensiblen Daten ausreichend geschult sind.

Gesamte IT mit einem Prüfverfahren

Wegen seiner Praxisnähe und leichten Handhabung wurde das Grundschutzverfahren und das damit verbundene Zertifikat für viele Unternehmen und Behörden schnell zu einem Standard in der IT-Sicherheit - allerdings nur für einen mittleren Schutzbedarf. Höhere Sicherheitsanforderungen, wie sie z. B. bei der Konfiguration eines Internet-Servers benötigt werden, konnten bisher nicht anhand des IT-Grundschutzes berücksichtigt werden. Zudem war das IT-Grundschutz-Zertifikat nicht international anerkannt. Für komplexere IT-Landschaften, wie sie heute in der Regel fast überall vorzufinden sind, und für international tätige Unternehmen waren daher weitere Prüfverfahren notwendig.

Seit Anfang 2006 ist das IT-Grundschutzverfahren nun auch für erhöhte Sicherheitsanforderungen geeignet und international anerkannt. Damit ist es jedem Unternehmen weltweit möglich, die gesamte IT mit einem einzigen Prüfverfahren zu kontrollieren - zum Schutz der eigenen Daten und zur Einhaltung von Gesetzen und Vorschriften.

Das BSI hat für diese so genannte "ISO-Zertifizierung auf Basis von IT-Grundschutz" das Grund-schutzverfahren mit der internationalen Norm ISO 27001 zusammengeführt. Die ISO-Norm war kurz zuvor aus dem britischen Standard BS 7799-2 entwickelt worden und stellt einen Katalog von Anforderungen zur Verfügung, nach denen Unternehmen und Behörden das Management ihrer IT-Sicherheit aufbauen und kontrollieren können. Dabei geht die Norm mit ihren Forderungen zum IT-Sicherheitsmanagement über die Maßnahmen des Grundschutzes hinaus. Die Umsetzung der abstrakt formulierten Anforderungen erwies sich jedoch als schwierig bis unmöglich. Erst durch die Kombination mit dem Grundschutzverfahren wurde ISO 27001 für Unternehmen tatsächlich anwendbar. Ein Anwender hat es mit der Formulierung "Internationaler Standard gepaart mit deutscher Gründlichkeit" treffend beschrieben.

Einsatz eines datenbankgestützten Werkzeuges vereinfacht Umsetzung

Der Umfang und die Komplexität der bei dem Prüfverfahren zu beachtenden Gefährdungen und Maßnahmen können allerdings - ebenso wie auch schon beim Grundschutzverfahren - enorm sein. Erleichtert wird die Untersuchung durch den Einsatz eines datenbankgestützten Werkzeuges. Z.B. erleichtern grafische Auswertungen der erfassten Daten das Auffinden von Lücken bei der IT-Sicherheit. Die Konsistenzkontrollen sorgen für eine hohe Qualität der Daten und verringern dadurch die Notwendigkeit zu Nachbesserung beim Zertifizierungsaudit.

Ein solches Audit ist dann notwendig, wenn die überprüfte Sicherheit auch nach außen dokumen-tiert werden soll - z.B. für ein Rating. Hat das Unternehmen bereits alle Anforderungen nach Grundschutz erfüllt, ist ein Audit nur mit geringem Aufwand verbunden. Wenn ein Unternehmen seine IT-Sicherheit mit dem neuen Zertifikat dokumentiert, beweist es, dass es ein Sicherheitsniveau erreicht hat, das dem aktuellen Stand der Technik entspricht, und dass damit ein funktionierendes IT-Risikomanagement vorhanden ist. Damit sind die entsprechenden Vorgaben von Basel II, Sarbanes-Oxley und KonTraG wirkungsvoll umgesetzt. (Frank Reiländer: Infodas: ra)

- Anzeigen -




Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Markt / Hintergrund

  • Hinweisgebersystem für Korruption

    Zum 15. September 2020 wurde die "Bayerische Zentralstelle zur Bekämpfung von Betrug und Korruption im Gesundheitswesen" (ZKG) in Nürnberg gegründet. Ein Team aus Spezialstaatsanwälten um den Leitenden Oberstaatsanwalt Richard Findl nimmt seither bayernweit schwarze Schafe im Gesundheitssektor ins Visier. Bayerns Justizminister Georg Eisenreich sagte: "Es geht um die Abrechnung von nicht erbrachten Corona-Tests, um Pflegedienstbetrug, um Schmiergelder. Betrug und Korruption im Gesundheitswesen können viel Schaden anrichten - von enormen finanziellen Schäden bei Krankenkassen und Versicherungen bis hin zu Gesundheitsschäden bei Patienten. Dagegen muss der Staat entschlossen vorgehen. Wir haben deshalb vor einem Jahr unsere Ermittlungsstrukturen mit der ZKG nochmals verstärkt." Justizminister Eisenreich zog heute (17. November) eine erste Bilanz: "Unsere zentrale Ermittlungseinheit, die ZKG, hat 254 Verfahren von den drei Schwerpunkt-Staatsanwaltschaften in Bayern übernommen und binnen eines Jahres 197 Verfahren selbst eingeleitet. Beim Großteil der Verfahren geht es um Betrugstaten im Gesundheits- und Pflegebereich."

  • Fremdfinanzierung & Risikocheck

    Verschlechtert sich das Rating eines Unternehmens, ändert der Banker seinen Blickwinkel darauf. Das sorgt in der Regel für Emotionen bei Geschäftsführern und Gesellschaftern. Doch: Der Finanzierer braucht schlichtweg die Sicherheit, dass geliehenes Geld auch zurückbezahlt werden kann - selbst wenn es "hart auf hart" kommt. Und so liegt es quasi in der Natur des Bankers, durch die Risikobrille auf Unternehmensgeschicke zu blicken und Prozesse zu hinterfragen. Er will Entscheidungsprozesse des Managements beurteilen können: Wie werden Entscheidungen getroffen? Wer ist in die Entscheidungsfindung eingebunden? Zu welchem Zeitpunkt und wie erfolgt die Umsetzung einer Entscheidung? An dieser Stelle wird häufig missverstanden, welche Botschaften "richtig" für den Banker sind. Der vielfache Glaube, nur gute Nachrichten sind "bankable" ist nicht nur falsch, sondern auch gefährlich. Denn diese Botschaften sind in aller Regel nicht stimmig und beleuchten nur die positive Seite der Medaille - was mit der Risikosicht des Bankers kollidiert und so für Zweifel sorgt. Statt Risiken auszublenden und nur von positiven Perspektiven zu berichten, ist ein realistischer Blick nach vorne, die Beschreibung von Chancen und Risiken gleichermaßen und vor allem die Reaktion darauf gefragt.

  • Mustererkennung beim E-Mail-Betrug

    4 Milliarden US-Dollar Jahresgesamtverlust in 2020: Der Bericht der vom FBI geführten Beschwerdestelle für Internetkriminalität offenbart erschreckende Zahlen. "Der E-Mail Betrug mit Phishing, Malware und Ransomware hat besonders stark zugenommen, wobei Cyberkriminelle die Corona-Krise für ihre E-Mail Betrugsmaschen ausnutzten. Pandemie-Themen wie Impfstoffe, Hilfen für Unternehmen oder neue COVID19-Varianten beflügelten ihre Kreativität und wurden für allgemeine Phishing- oder gezielte Social Engineering-Angriffe verwendet", macht IT-Sicherheitsexpertin Patrycja Schrenk, Geschäftsführerin der PSW Group, auf den jüngst erschienenen Bericht des Internet Crime Complaint Centers aufmerksam. Neben dem sogenannten Business E-Mail Compromise, in Deutschland als "Chefmasche" bezeichnet, verursachte E-Mail Account Compromise, eine Taktik, bei der E-Mail-Konten kompromittiert werden, um Zugang zu legitimen Postfächern zu erhalten, dabei die höchsten Verluste, die mit über 1,8 Milliarden US-Dollar beziffert. Tatsächlich sind diese beiden Angriffsarten sowie Phishing dem Bericht zufolge eine größere Bedrohung als Ransomware: Finanzielle Verluste waren - verglichen mit Ransomware-Angriffen - 64 Mal höher.

  • Pool der verfügbaren Kreditinstitute schrumpft

    ESG-Bedenken lassen die Finanzierungskosten für Mineralölunternehmen rapide ansteigen, da das Interesse an Investitionen in kohlenwasserstoffintensive Anlagen schwindet und die Fondsmandate immer restriktiver werden. Obwohl sich viele Ölunternehmen aus der Perspektive der Kreditvergabe in einer besseren Verfassung befinden als in den letzten Jahren, da ihre Bilanzen durch den Anstieg der Ölpreise im Jahr 2021 gestärkt wurden, wird es für sie immer schwieriger, Finanzmittel zu beschaffen. Denn der Pool an bereitwilligen Investoren schrumpft und die Banken beugen sich dem Druck, ihre Kreditvergabe dem Trend zur CO2-Reduktion anzupassen. Tullow Oil emittierte im April eine Anleihe mit einem Volumen von 1,8 Mrd. USD, die aufgrund ihres zweistelligen Kupons und der gleichzeitigen Vereinfachung der Kapitalstruktur vom Markt gut aufgenommen wurde. Die im letzten Monat von Ithaca, einem Unternehmen, das sich im Besitz von Delek befindet, aufgelegte Anleihe war jedoch eine andere Angelegenheit. Der Preis des Titels lag weit unter dem Marktpreis und wird immer noch leicht unter dem Emissionspreis gehandelt, trotz eines saftigen Kupons von 9 Prozent, einer gut ausgestatteten, kostengünstigen Vermögensbasis und einer beträchtlichen Cash-Generierung.

  • Betrug und Korruption im Gesundheitswesen

    Schmiergelder, gefakte Corona-Tests, falsche Abrechnungen: Zum Schutz des Gesundheitssystems hat der Minister bei der Generalstaatsanwaltschaft Nürnberg im vergangenen Jahr die "Bayerische Zentralstelle zur Bekämpfung von Betrug und Korruption im Gesundheitswesen" (ZKG) eingerichtet. Bayerns Justizminister Georg Eisenreich: "425 Milliarden Euro wurden nach Schätzungen vergangenes Jahr im deutschen Gesundheitssystem umgesetzt. Vor diesem großen Wirtschaftssektor machen Kriminelle nicht Halt. Betrug und Korruption im Gesundheitswesen können viel Schaden anrichten - von enormen finanziellen Schäden bei Krankenkassen und Versicherungen bis hin zu Gesundheitsschäden bei Patienten. Dem muss der Staat entschlossen entgegentreten. Deshalb setzt Bayern ab morgen zusätzlich auf eine neue Hinweisgeber-Plattform, um gezielt gegen die schwarzen Schafe der Branche vorzugehen." Justizminister Eisenreich: "Das Gesundheitssystem in Bayern ist sehr leistungsfähig. Den vielen im Gesundheits- und Pflegebereich Tätigen, die sich für die Gesundheit anderer mit großer Hilfsbereitschaft einsetzen, möchte ich herzlich danken."