Die Digitalisierung eröffnet Unternehmen vielfältige Chancen – erhöht jedoch gleichzeitig die Anforderungen an die IT-Sicherheit. Cyberresilienz bedeutet, digitale Geschäftsprozesse so abzusichern, dass sie auch bei Cyberangriffen oder technischen Störungen zuverlässig funktionieren. Eine regelmäßige Überprüfung der eigenen Sicherheitsmaßnahmen hilft dabei, Risiken frühzeitig zu erkennen und die IT-Infrastruktur zukunftssicher aufzustellen.
Wie gehen wir in einem Projekt vor?
Gemeinsam mit dem Mittelstand-Digital Zentrum Ilmenau haben wir einen Service-Dienstleister aus Thüringen bei der Stärkung der Cyberresilienz unterstützt. Das Unternehmen mit Sitz in Ilmenau ist im Bereich der technischen Dokumentation zuständig. Der in nahezu allen Prozessen erreichte hohe Digitalisierungsgrad erfordert zwingend ein stabiles bzw. sicheres Unternehmensnetzwerk.
Im ersten Schritt wurde der aktuelle Stand der Informationssicherheit erfasst, um daraus konkrete Maßnahmen zur weiteren Verbesserung der IT-Sicherheit abzuleiten. Grundlage der Analyse bildeten der CYBERsicher Check der Transferstelle Cybersicherheit im Mittelstand sowie eine ergänzende Checkliste, die sich am IT-Grundschutz des Bundesamtes für Sicherheit in der Informationstechnik (BSI) orientiert.
Da stärkere Änderungen der IT-Infrastruktur des Unternehmens, verbunden mit einer teilweisen Auslagerung in ein regionales Rechenzentrum, geplant sind, wurde bewusst auf den ursprünglich vorgesehenen Schwachstellen-Scan verzichtet.
Was passiert bei einem Schwachstellen-Scan?
Unser Demonstrator „Schwachstellen-Scanner“ (CVE-Scanner) zeigt die Möglichkeiten, unternehmensspezifische IT-Infrastrukturen sowie deren potenzielle Schwachstellen zu identifizieren, zu dokumentieren und zu überwachen. Konkret wird erläutert, wie Netzwerkkomponenten und deren Schwachstellen über das Internet identifiziert werden können. Der Demonstrator zeigt dabei anschaulich, wie die Komponenten eines Firmennetzwerkes analysiert werden. Das Ergebnis der Analyse ist zum einen eine Inventarliste der ermittelten Geräte in dem Netzwerk und zum anderen eine Aufstellung bekannter Schwachstellen.
In dem Projekt standen zentrale Themen der IT-Sicherheit im Fokus. Dazu gehörten unter anderem die Datensicherung (insbesondere in Cloud-Umgebungen), das sichere Arbeiten im Homeoffice sowie die Absicherung der E-Mail-Kommunikation. Gemeinsam wurden bestehende Sicherheitsmaßnahmen bewertet und weitere Optimierungspotenziale identifiziert.
Ergänzend wurde untersucht, ob der Einsatz von Künstlicher Intelligenz bei den unternehmensinternen Auftragsprozessen möglich und zweckmäßig ist. Die Analyse zeigte, dass aufgrund der hochspezialisierten Inhalte und der hohen Anforderungen an den Schutz vertraulicher Kundendaten derzeit kein sinnvoller Einsatz von KI möglich ist. Auch die Implementierung einer unternehmensinternen KI-Lösung wurde vor diesem Hintergrund nicht weiterverfolgt.
Die Ergebnisse der Analyse bilden die Grundlage für die schrittweise Umsetzung weiterer Sicherheitsmaßnahmen und leisten einen wichtigen Beitrag zur langfristigen Absicherung digitalisierter Unternehmensprozesse.
Praxis-Tipp für Unternehmen
Der nachfolgende Fragenkatalog orientiert sich an den IT-Grundschutz des Bundesamtes für Sicherheit in der Informationstechnik und bietet Unternehmen eine kompakte Orientierung, um den eigenen Stand der IT- und Informationssicherheit zu überprüfen und Handlungsbedarfe frühzeitig zu erkennen. Er kann als Einstieg in die systematische Erhöhung der Cyberresilienz und als Grundlage für weiterführende Sicherheitsmaßnahmen genutzt werden.
Die Checkliste umfasst 54 Fragen in den Bereichen
- IT-Sicherheitsmanagement,
- Sicherheit von IT-Systemen,
- Vernetzung und Internet-Anbindung,
- Beachtung von Sicherheitserfordernissen,
- Wartung von IT-Systemen: Umgang mit Updates,
- Passwörter und Verschlüsselung,
- Notfallvorsorge,
- Datensicherung und
- Infrastruktursicherheit.
Im Folgenden stellen wir einen Auszug des Leitfadens vor. Die komplette Checkliste können Sie hier herunterladen:
Ausblick: Cyber Resilience Act (CRA) – CRA-Readiness für KMU
Cyberresilienz gewinnt für Unternehmen nicht nur aus technischer Sicht an Bedeutung. Mit dem Cyber Resilience Act (CRA) kommen neue gesetzliche Anforderungen auf viele Unternehmen zu, die Produkte mit digitalen Komponenten entwickeln, vertreiben, importieren oder in ihre Leistungen integrieren.
Um KMU bei der Einordnung der neuen Vorgaben zu unterstützen, haben wir unser Selbstlernangebot Cyber Resilience Act (CRA) entwickelt. Es vermittelt praxisnah die Grundlagen des CRA und zeigt Schritt für Schritt, welche Unternehmen betroffen sind, welche Pflichten sich daraus ergeben und wie die Anforderungen mit vertretbarem Aufwand in bestehende Unternehmensprozesse integriert werden können.
