Prozess entwickeln?
Gerne entwickeln wir mit Ihnen gemeinsam Ihren individuellen Schwachstellenmanagement-Prozess – zugeschnitten auf Ihre Systeme, Ihre Strukturen und Ihre Anforderungen.
Lesedauer: 12 Minuten
Definition IT-Sicherheit – Was ist IT-Sicherheit?
IT-Sicherheit, Cyber Security oder Internet Security: All diese Begriffe gehen in dieselbe Richtung, es gibt jedoch feine Unterschiede. Als IT-Sicherheit oder IT-Security definiert man gemeinhin den Schutz von IT-Systemen vor Schäden und Bedrohungen.
Das erstreckt sich von der einzelnen Datei über Computer, Netzwerke, Cloud-Dienste bis hin zu ganzen Rechenzentren. Cyber Security weitet IT-Sicherheit auf den gesamten Cyber-Raum aus.
Da die meisten Systeme heute mit dem Internet verbunden sind, werden IT-Sicherheit und Cyber-Sicherheit häufig gleichgesetzt. IT-Sicherheit und Cyber Security umfassen alle technischen und organisatorischen Maßnahmen, um Systeme vor Cyber-Angriffen und anderen Bedrohungen zu schützen.
Dazu zählen zum Beispiel Zugriffskontrollen, Kryptographie, Rechtemanagement, Firewalls, Proxies, Virenscanner, Schwachstellenmanagement und vieles mehr. Der Begriff Internet Security bezieht sich konkret auf den Schutz vor Bedrohungen aus dem Internet.
Inhaltsverzeichnis
1. Informationssicherheit
2. Fragen zu IT-Sicherheit
- Warum IT-Sicherheit?
- Warum Informationssicherheit?
- Welche Auswirkungen hat ein Angriff auf meine Informationen?
- Welche Angriffsmethoden und Mittel gefährden die IT-Sicherheit?
- Wie kann man das IT-Sicherheitsrisiko minimieren?
- Wie gut ist die IT-Sicherheit meines Unternehmens?
- Wie mache ich meine Mitarbeitenden fit für IT-Sicherheit?
- Welche Bedeutung hat Information bzw. deren Sicherheit für die Digitalisierung/digitale Transformation?
- 5 wichtige Fragen zum Thema IT-Sicherheit
3. Paradigmenwechsel – Von IT-Sicherheit zu Cyber-Resilienz
1. Informationssicherheit
Oft werden IT-Sicherheit und Informationssicherheit synonym verwendet. Streng genommen ist IT-Sicherheit jedoch nur ein Teilaspekt der Informationssicherheit. Während die IT-Sicherheit sich auf den Schutz von technischen Systemen bezieht, geht es in der Informationssicherheit allgemein um den Schutz von Informationen. Diese können auch in nicht-technischen Systemen vorliegen, zum Beispiel auf Papier. Die Schutzziele der Informationssicherheit bestehen darin, die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen sicherzustellen. Geeignete Maßnahmen finden sich zum Beispiel in den international gültigen ISO/IEC-27000-Normreihen. In Deutschland gilt der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI) als Leitlinie für die Informationssicherheit. Ein wichtiger Baustein ist die Etablierung eines Informationssicherheits-Management-Systems (ISMS). Aus diesem Grund ist Greenbone sowohl für sein ISMS (ISO 27001) als auch für sein Qualitätsmanagement (ISO9000) zertifiziert. Mehr dazu: https://www.greenbone.net/iso-zertifizierung/
Informationssicherheit zum Schutz sensibler Patientendaten – @ nimon_t – #87948311 – stock.adobe.com
Datensicherheit
Datensicherheit hat das Ziel, die Vertraulichkeit, Integrität und Verfügbarkeit von Daten sicherzustellen. Im Unterschied zum Datenschutz beschränkt sie sich nicht auf personenbezogene Daten, sondern erstreckt sich auf alle Daten. Vertraulichkeit bedeutet, dass nur befugte Personen auf die Daten zugreifen können. Integrität heißt: Die Daten wurden nicht manipuliert oder beschädigt. Die Verfügbarkeit bezieht sich darauf, dass Daten verwendet werden können, wenn man sie benötigt. Um Datensicherheit zu etablieren, sind verschiedene technische und organisatorische Maßnahmen nötig, zum Beispiel Zugriffskontrollen, Kryptographie oder redundante Speichersysteme.
Information Security Management System (ISMS)
Ein Informationssicherheits-Management-System, auf Englisch „Information Security Management System (ISMS), ist kein technisches System, sondern definiert Regeln und Methoden, um die Informationssicherheit zu gewährleisten, zu überprüfen und kontinuierlich zu verbessern. Das umfasst unter anderem die Ermittlung und Bewertung von Risiken, die Festlegung von Sicherheitszielen sowie eine klare Definition und Dokumentation von Verantwortlichkeiten, Kommunikationswegen und Abläufen. Die Anforderungen für ein ISMS sind in der ISO27001-Norm definiert. Ein ISMS ist ein wichtiger Baustein für ein umfassendes IT-Sicherheitskonzept.
Systeme zur Informationssicherheit können der zentralen Überwachung des Schienenverkehrs dienen – @ chungking – #70423572 – stock.adobe.com
Cyber-Resilienz
Unter Cyber-Resilienz versteht man die Fähigkeit eines Unternehmens oder einer Organisation, ihre Geschäftsprozesse trotz widriger Cyber-Umstände aufrechtzuerhalten. Das können Cyber-Angriffe sein, aber auch unbeabsichtigte Hindernisse wie ein fehlgeschlagenes Software-Update oder menschliches Versagen. Cyber-Resilienz ist ein umfassendes Konzept, das über die IT-Sicherheit hinausgeht. Es vereint die Bereiche Informationssicherheit, Business-Kontinuität und organisatorische Resilienz. Um einen Zustand der Cyber-Resilienz zu erreichen, ist es wichtig, Schwachstellen frühzeitig zu erkennen, sie wirtschaftlich zu priorisieren und zu beseitigen.
Warum IT-Sicherheit?
Die IT ist heute zentraler Bestandteil jedes Unternehmens und bildet die Basis für nahezu alle Geschäftsprozesse. Ohne sie funktioniert fast nichts mehr. Kommt es zu Störungen in der IT, kann das im schlimmsten Fall den gesamten Betrieb zum Stillstand bringen. Das verursacht großen wirtschaftlichen Schaden und führt zu Reputationsverlust. Für Unternehmen ist es daher unverzichtbar, ihre IT-Systeme abzusichern und gegen Cyber-Risiken und Cyber-Angriffe zu schützen. Gleichzeitig wächst mit der zunehmenden Vernetzung auch die Angriffsfläche. Denn jedes vernetzte Gerät ist ein potenzielles Einfallstor für Cyber-Kriminelle. Das erhöht das Risiko für Angriffe.
IT-Sicherheit zur Gewährleistung der digitalen Vernetzung – @ Sashkin – #195865436 – stock.adobe.com
Warum Informationssicherheit?
Informationen sind eines der wertvollsten Güter für Unternehmen. Zum Großteil liegen sie heute als digitale Daten innerhalb von IT-Systemen vor, wo sie gespeichert, transportiert und verarbeitet werden. Sie können aber auch noch auf Papier abgelegt sein oder mündlich weitergegeben werden. Wenn Informationen verloren gehen, gestohlen werden, manipuliert werden oder nicht mehr verarbeitet werden können, kann das für Unternehmen existenzbedrohend sein. Deshalb ist es wichtig, für eine angemessene Informationssicherheit zu sorgen, um die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen zu gewährleisten.
Welche Auswirkungen hat ein Angriff auf meine Informationen?
Wird die Verfügbarkeit, Vertraulichkeit oder Integrität von Informationen beeinträchtigt, kann das gravierende Folgen haben. Durch einen Angriff können zum Beispiel vertrauliche Daten in falsche Hände gelangen – seien es personenbezogene Daten oder Unternehmensgeheimnisse. Cyber-Kriminelle können damit zum Beispiel Wirtschaftsspionage betreiben, die Identität von Personen stehlen, Kreditkarten-Informationen missbrauchen und vieles mehr. Werden Daten manipuliert, führt das zum Beispiel zu Fehlbuchungen, Fehlern in der Produktion oder falschen Analyse-Ergebnissen. Auch wenn Daten nicht zur Verfügung stehen, beeinträchtigt das Geschäftsprozesse, die auf die Verarbeitung der Daten angewiesen sind. Dann können zum Beispiel Bestellungen nicht durchgeführt werden oder Produktionsmaschinen stehen still.
Cyber-Kriminelle sind eine stetige Bedrohung der IT-Sicherheit – @ Gorodenkoff – #164586542 – stock.adobe.com
Welche Angriffsmethoden und Mittel gefährden die IT-Sicherheit?
Cyber-Kriminelle entwickeln kontinuierlich neue Angriffsmethoden und werden immer gewiefter. Sie sind heute meist professionell organisiert und arbeiten mit modernster Technik. IT-Sicherheit ist also ein ständiger Wettlauf mit den wachsenden Bedrohungen. Häufige Angriffsmethoden sind:
Advanced Persistent Threats (APTs)
Darunter versteht man zielgerichtete Cyber-Angriffe, die auf ausgewählte Opfer oder Opfergruppen abgestimmt sind und mit fortgeschrittenen Methoden arbeiten. Angreifende verschaffen sich dauerhaften Zugriff zu einem Netzwerk und weiten diesen dann auf andere Systeme aus. Dafür schleusen Cyber-Kriminelle meist Schadprogramme ein.
Schadsoftware/Malware
Unter den Begriff Schadsoftware fallen alle Arten von Computerprogrammen, die unerwünschte oder schädliche Aktionen in einem System ausführen, zum Beispiel Viren, Würmer und Trojaner.
Ransomware
Ransomware ist Schadsoftware, die ein System verschlüsselt und den Zugriff auf die Daten nur dann wieder frei gibt, wenn das Opfer ein Lösegeld zahlt. Daher auch der Begriff „Ransom“, englisch für Lösegeld. Diese Form der Malware ist seit einigen Jahren besonders beliebt. Bekannte Beispiele sind die Kryptotrojaner WannaCry und Petya. Häufige Verbreitungswege für Ransomware sind Spam-Mails, Phishing und Drive-by-Exploits. Letztere nutzen Schwachstellen in Browsern, Browser-Plugins oder Betriebssystemen aus.
Spam und Phishing
Spam bezeichnet unerwünschte E-Mails und ist ein beliebtes Mittel, um Schadsoftware zu verbreiten. Phishing-Mails sind eine besondere Art von Spam. Sie sollen einen Anwendende dazu bewegen, eine bestimmte Aktion auszuführen – zum Beispiel Login-Daten preiszugeben oder Malware zu installieren.
Botnetze
Cyber-Kriminelle binden fremde Computersysteme gerne in Botnetze ein – einen Zusammenschluss aus kompromittierten PCs, die sie aus der Ferne wie Roboter steuern und für ihre Zwecke missbrauchen können. Die Computer werden dafür mit Schadsoftware infiziert. Ein beliebtes Einsatzgebiet für Botnetze sind zum Beispiel Distributed-Denial-of-Service-Angriffe (DDoS).
DDoS-Angriffe
Distributed Denial of Service-Angriffe dienen dazu, einen Dienst oder Server lahm zu legen. Meist geschieht dies, indem Cyber-Kriminelle über ein Botnetz eine Unmenge an Anfragen an den Server senden, sodass er überlastet ist und nicht mehr funktioniert.
Schwachstellen in Soft- und Hardware
Cyber-Kriminelle nutzen für ihre Angriffe häufig Schwachstellen in Soft- oder Hardware aus. Für die IT-Sicherheit ist es daher entscheidend, solche Schwachstellen zu erkennen und zu beseitigen. Eine wichtige Maßnahme besteht zum Beispiel darin, stets die aktuellen Updates und Patches einzuspielen, um Sicherheitslücken zu schließen.
Wie kann man das IT-Sicherheitsrisiko minimieren?
Um IT-Risiken zu minimieren und für IT-Sicherheit zu sorgen, müssen Unternehmen sowohl technische als auch organisatorische Maßnahmen ergreifen. Zunächst ist eine Prozess- und Schwachstellenanalyse wichtig. Sie dient dazu, festzustellen, welche Prozesse für das Unternehmen besonders wichtig sind, welche Schwachstellen sie haben, wie groß das Risiko ist, dass diese Schwachstellen ausgenutzt werden und welchen Schaden dies anrichten kann. Es wird nie gelingen, alle IT-Risiken auszumerzen. Vielmehr geht es um ein gutes Risikomanagement. Unternehmen müssen Risiken bewerten und ihrer Priorität nach mindern.
IT-Sicherheit bei der Bundeswehr – @ Gorodenkoff – #161860908 – stock.adobe.com
Wie gut ist die IT-Sicherheit meines Unternehmens?
IT-Sicherheit ist nie abgeschlossen, sondern ein andauernder Prozess. Deshalb sollten Unternehmen ihren Status und ihre Maßnahmen kontinuierlich überprüfen. Dabei hilft zum Beispiel Schwachstellenmanagement oder ein Security-Audit durch einen spezialisierten Berater.
Wie mache ich meine Mitarbeitenden fit für IT-Sicherheit?
IT-Sicherheit ist nicht nur eine Frage der Technik. Denn tatsächlich ist der Mensch die größte Schwachstelle. Cyber-Kriminelle nutzen dies aus, indem sie sich zum Beispiel mit Social Engineering- oder Phishing-Tricks Zugang zu Netzwerken und Systemen verschaffen. Deshalb ist es wichtig, Mitarbeitende zu schulen und für IT-Risiken und IT-Sicherheit zu sensibilisieren. Empfehlenswert sind Online-Schulungen mit interaktivem Übungsteil. Mitarbeitende können diese eigenständig zu beliebiger Zeit durchführen und erhalten durch die interaktive Komponente direkt Feedback. So stellt sich schnell ein Lerneffekt ein.
Welche Bedeutung hat Information bzw. deren Sicherheit für die Digitalisierung/digitale Transformation?
Daten spielen eine zentrale Rolle für eine erfolgreiche digitale Transformation. Auf ihrer Basis können Unternehmen Erkenntnisse gewinnen, Handlungsempfehlungen ableiten und neue Geschäftsmodelle entwickeln. Die Fähigkeit, Daten zu sammeln, auszuwerten und richtig zu nutzen, ist entscheidend für den Erfolg. Deshalb ist es für Unternehmen überlebenswichtig, die Vertraulichkeit, Integrität und Verfügbarkeit ihrer Daten zu schützen.
IT-Sicherheit in Steuerzentralen – @ Gorodenkoff – #184811629 – stock.adobe.com
Warum braucht mein Unternehmen IT-Sicherheit?
Die IT ist heute zentraler Bestandteil jedes Unternehmens und bildet die Basis für nahezu alle Geschäftsprozesse. Bei IT-Störungen kann das im schlimmsten Fall den gesamten Betrieb zum Stillstand bringen, was großen wirtschaftlichen Schaden mit sich bringen kann. Aus diesem Grund sollten Sie Ihre IT-Systeme absichern und gegen Cyber-Risiken und Cyber-Angriffe schützen. Außerdem wächst aufgrund der zunehmenden Digitalisierung und Vernetzung auch die Angriffsfläche, was das Risiko für Angriffe erhöht.
Was ist der Unterschied zwischen IT-Sicherheit, Informationssicherheit und Datensicherheit?
Unter IT-Sicherheit versteht man den Schutz von IT-Systemen – von einzelnen Dateien über Computer, Netzwerke und Cloud-Dienste bis hin zu Rechenzentren – vor Schäden und Bedrohungen. Cyber Security weitet IT-Sicherheit auf den gesamten Cyber-Raum aus. IT-Sicherheit ist ein Teilaspekt der Informationssicherheit. Während die IT-Sicherheit sich auf den Schutz von technischen Systemen bezieht, geht es in der Informationssicherheit allgemein um den Schutz von Informationen. Datensicherheit hat das Ziel, die Vertraulichkeit, Integrität und Verfügbarkeit von Daten sicherzustellen. Im Unterschied zum Datenschutz beschränkt sie sich nicht auf personenbezogene Daten, sondern erstreckt sich auf alle Daten.
Wie setze ich IT-Sicherheit im Unternehmen um?
Um IT-Risiken zu minimieren und für IT-Sicherheit zu sorgen sind sowohl technische als auch organisatorische Maßnahmen nötig. Zunächst muss mit einer Prozess- und Schwachstellenanalyse ermittelt werden, welche Prozesse für das Unternehmen besonders wichtig sind, welche Schwachstellen sie haben, wie groß das Risiko ist, dass diese Schwachstellen ausgenutzt werden und welchen Schaden dies anrichten kann. Man kann nie alle Schwachstellen beseitigen. Unternehmen müssen daher Risiken bewerten und ihrer Priorität nach mindern.
IT-Sicherheit und Informationssicherheit sind nicht nur eine Frage der Technik. Denn tatsächlich ist der Mensch die größte Schwachstelle. Deshalb ist es wichtig, Mitarbeiter zu schulen und für IT-Risiken und IT-Sicherheit zu sensibilisieren.
Welchen Einfluss hat ein Angriff auf die IT-Sicherheit meines Unternehmens?
Bei einem Angriff können die Verfügbarkeit, die Vertraulichkeit und die Integrität von Informationen stark beeinflusst werden – mit erheblichen wirtschaftlichen Folgen. Wenn personenbezogene Daten oder Unternehmensgeheimnisse in falsche Hände gelangen, können die Folgen beispielsweise Wirtschaftsspionage, Identitätsdiebstahl oder Kreditkartenmissbrauch sein. Zu Verlusten kann es auch kommen, wenn Daten nicht zur Verfügung stehen. Wenn Daten nicht mehr verarbeitet werden können, kann das z. B. Dazu führen, dass keine Produktionen mehr stattfinden können.
Welche Angriffsmethoden und -mittel bedrohen die IT-Sicherheit?
Cyberkriminelle sind heute meist professionell organisiert und entwickeln kontinuierlich neue Angriffsmethoden. So kann Schadsoftware beispielsweise unerwünschte oder schädliche Aktionen auf dem Zielsystem durchführen, wie es bei Viren, Würmern oder Trojanern der Fall ist. Bei Ransomware hingegen wird Schadsoftware genutzt, um ein System zu verschlüsseln und ein Opfer damit zu erpressen, das System erst gegen Bezahlung eines Lösegelds freizugeben. Weit verbreitet ist außerdem Social Engineering, bei dem sich Angreifer als vertrauenswürdig oder als dem Opfer bekannt ausgeben. Eine Form ist das Phishing, bei dem das Opfer dazu bewegt werden soll, bestimmte Aktionen auszuführen, z. B. unbewusst Schadsoftware installieren.
Dies sind nur einige Mittel von vielen, die Cyberkriminelle verwenden, um die IT-Sicherheit zu bedrohen.
Cyber-Resilienz umsetzen
Angesichts der wachsenden Bedrohungslage müssen Unternehmen einen Zustand der nachhaltigen Cyber-Resilienz anstreben, der nachhaltigen Widerstandsfähigkeit. Dies bedeutet, Angriffe möglichst zu verhindern, bei einem Sicherheitsvorfall schnell zu reagieren und den Geschäftsbetrieb trotzdem aufrechtzuerhalten, ohne dass großer Schaden entsteht. Um Cyber-Resilienz zu erreichen, müssen Unternehmen geeignete technische und organisatorische Maßnahmen ergreifen. Dazu zählt zum Beispiel, die Unternehmens-IT zu härten und die Angriffsfläche zu verringern.
Abgrenzung zu Cyber Security/IT-Sicherheit
Cyber-Resilienz schließt Cyber Security ein, geht aber einen Schritt weiter. Während Cyber Security sich meist auf technische Maßnahmen konzentriert, ist Cyber-Resilienz ein umfassendes, eher strategisch ausgerichtetes Konzept. Cyber Security war in der Vergangenheit in der Regel reaktiv ausgerichtet. Das reicht heute nicht mehr aus. Unternehmen müssen IT-Risiken vielmehr präventiv begegnen. Ein Paradigmenwechsel ist gefragt – von Cyber Security hin zu Cyber-Resilienz.
Risikomanagement
Der Weg zu Cyber-Resilienz beginnt mit einem Risikomanagement. Unternehmen müssen IT-Risiken bewerten und priorisieren, vor welchen sie sich unbedingt schützen wollen und welche sie vielleicht in Kauf nehmen können. IT-Risiken lassen sich nie vollständig ausmerzen. Denn Schutzmaßnahmen müssen immer vor dem Hintergrund der Wirtschaftlichkeit betrachtet werden und dürfen den laufenden Geschäftsbetrieb nicht stören. Einen dicken Schutzwall um die IT zu errichten, wäre nicht sinnvoll und würde die Flexibilität beeinträchtigen. Stattdessen geht es darum, IT-Risiken zu managen.
Basis für das IT-Risikomanagement ist eine Analyse der Geschäftsprozesse und ihrer Schwachstellen. Was sind die wichtigsten Assets eines Unternehmens, welchen Schaden kann ein Angriff auf diese Assets anrichten und wie wahrscheinlich ist es, dass ein solcher Angriff stattfindet? Aus der Relation zwischen möglichem Schaden und der Eintrittswahrscheinlichkeit ergibt sich eine Risikobewertung in den Stufen schwach, mittel und hoch. Entsprechend ihrer Bewertung sollten Unternehmen die Risiken nun priorisieren und mindern.
Compliance-Management
Zu einem guten Risikomanagement gehört auch das Compliance-Management. Unter Compliance versteht man die Einhaltung von Regeln. Das können gesetzliche Vorgaben, ethische Grundsätze oder unternehmenseigene Regeln sein. Der Verstoß gegen die Compliance zählt zu den Risiken, die Unternehmen beim Risikomanagement berücksichtigen müssen. Empfehlenswert ist die Einführung eines Compliance Management Systems (CMS). Es definiert Prozesse, Maßnahmen und Strukturen, um die Einhaltung der Compliance sicherzustellen.
Testen Sie uns!
Greenbone Basic
Unser Einstiegsprodukt für 2.450 € pro Jahr
Aktuelle Themen aus unserer Community
Seien Sie Teil unserer Community und nehmen Sie an spannenden Diskussionen teil.
Seien Sie immer auf dem Laufenden
Besuchen Sie auch unseren Blog und verpassen Sie keine Neuigkeiten mehr.
