Interview: Cybersicherheit wird nicht in der IT-Abteilung gelöst

Harald Lenders, Senior Reklamations- und Incident Manager beim Softwareentwickler ConSense, erklärt im Interview, welchen Handlungsdruck Regularien wie NIS-2 erzeugen, warum sich ein ISMS auch ohne gesetzliche Pflicht lohnt und wie der Einstieg gelingt.

IT-S: Herr Lenders, wie ist die aktuelle Situation rund um Cybersicherheit?

Harald Lenders: Unternehmen haben inzwischen erkannt, dass Informationssicherheit nicht erst nach einem Angriff zum Thema werden darf. Die Frage ist also nicht mehr, ob Informationssicherheit wichtig ist, sondern wie sie sich systematisch organisieren lässt. Dafür braucht es einen Überblick über komplexe Zusammenhänge. Darin besteht die große Herausforderung, wenn zahlreiche Anforderungen, Informationen, schutzrelevante Werte, Kontrollen und Maßnahmen zusammentreffen.

IT-S: Warum reicht es nicht aus, auf konkrete Sicherheitsvorfälle zu reagieren?

Harald Lenders: Weil man dann schon einen Schritt zu spät ist. Natürlich müssen Unternehmen angemessen auf Vorfälle reagieren können. Wesentlich sinnvoller ist aber ein vorbeugender Ansatz. Ein ISMS unterstützt dabei, die Informationssicherheit in einem Unternehmen zu organisieren, zu steuern und weiterzuentwickeln.

Damit lassen sich Risiken systematisch betrachten, Verantwortlichkeiten festlegen und Maßnahmen nachverfolgen. Das System hilft also dabei, insgesamt den Überblick zu behalten. Und weil diese Aufgabe sehr komplex ist, sollten Unternehmen darüber nachdenken, dafür eine digitale Lösung einzusetzen. Das Thema digitale Souveränität gewinnt dabei an Bedeutung.

Unternehmen sollten nicht nur ihre Daten und Systeme schützen, sondern auch die Kontrolle darüber behalten, wie und wo digitale Lösungen eingesetzt werden. Dazu gehören transparente Prozesse, verlässliche Verantwortlichkeiten und die möglichst unabhängige Gestaltung der eigenen digitalen Infrastruktur. Ein digitales ISMS kann dabei helfen, diese Kontrolle zu stärken und Abhängigkeiten frühzeitig zu erkennen.

IT-S: Welche Erfahrungen haben Sie selbst damit gemacht?

Harald Lenders: Wir haben die Situation im eigenen Unternehmen erlebt. Bei der Vorbereitung auf die Zertifizierung nach CISIS12 (Compliance Informations-Sicherheits-Management-System in 12 Schritten), einem Framework zur Einführung eines ISMS, waren wir mit mehr als 900 Anforderungen konfrontiert. Die eigentliche Herausforderung bestand nicht nur darin, jede dieser Anforderungen zu bearbeiten.

Viel schwieriger war die Frage, wie man sie sinnvoll miteinander verknüpft. Also beispielsweise: Welche Anforderung betrifft welches Asset? Wer ist verantwortlich? Welche Kontrolle ist notwendig? Wurde sie durchgeführt und gibt es einen Nachweis? Und wenn eine Abweichung festgestellt wurde: Welche Maßnahme folgt daraus? Das sind sehr viele Einzelinformationen, deren Zusammenhänge erhalten bleiben müssen. Ohne eine strukturierte Vorgehensweise wird es schnell unübersichtlich.

IT-S: Wie lässt sich diese Übersicht in der Praxis herstellen?

Harald Lenders: Anforderungen werden an einer Stelle erfasst, Maßnahmen an anderer Stelle gepflegt und Nachweise separat abgelegt. Das kann funktionieren, solange die Menge überschaubar ist. Mit zunehmender Komplexität geht aber leicht etwas verloren. Unternehmen erwarten deshalb, dass Informationen miteinander verbunden werden. Ein integriertes Managementsystem (IMS) verwaltet und verknüpft daher nicht nur Informationssicherheit, sondern auch weitere Bereiche wie Qualitätsmanagement, Umwelt- und Arbeitssicherheit auf einer einheitlichen Plattform.

Wenn ein Audit eine Feststellung ergibt, sollte eine Maßnahme daraus entstehen, deren Ursprung nachvollziehbar bleibt. Man sollte jederzeit rückverfolgen können, aus welchem Audit, welcher Normanforderung oder welcher gesetzlichen Vorgabe sie entstanden ist.

IT-S: Erhöht NIS-2 zusätzlich den Druck auf Unternehmen, Informationssicherheit systematischer zu organisieren?

Harald Lenders: Die NIS-2-Richtlinie, die inzwischen in der deutschen Gesetzgebung verankert ist, hat das Thema für viele Unternehmen sehr konkret gemacht und nimmt sie in die Pflicht. Viele Organisationen müssen sich zunächst damit auseinandersetzen, ob sie von der Richtlinie betroffen sind.

Bei kritischen Infrastrukturen ist das relativ leicht zu erkennen. Bei anderen Unternehmen ist die Einordnung deutlich schwieriger. Das ist derzeit für viele Betriebe eine der größten Unsicherheiten. Wer betroffen ist, sucht dann nach einer schnellen Möglichkeit, Informationssicherheit strukturiert aufzubauen. Aber auch Unternehmen, die aktuell noch nicht unmittelbar unter die Vorgaben fallen, beschäftigen sich zunehmend mit diesem Thema. Das halte ich für sinnvoll.

IT-S: Viele kleine und mittlere Unternehmen, die nicht unter NIS-2 fallen, schrecken angesichts des Aufwands vor dem Aufbau eines ISMS zurück. Sie standen ja selbst vor 900 Anforderungen. Warum lohnt sich das trotzdem?

Harald Lenders: Weil ein ISMS zunächst einmal die Möglichkeit bietet, den eigenen Sicherheitsstandard zu verstehen. Es ist kein Garant dafür, dass niemals etwas passiert, aber es ist ein strukturierter Anfang, um beurteilen zu können, wie sicher das eigene Unternehmen aufgestellt ist. Zudem bringen neue Regelwerke zusätzliche Vorgaben mit sich, darunter der EU Data Act, der den Umgang mit Daten betrifft, und der Cyber Resilience Act, der einen stärkeren Schwerpunkt auf Cybersicherheit legt.

Diese Vorgaben müssen Unternehmen in ihre bestehenden Prozesse integrieren. Aus unserer Erfahrung hilft es, solche Anforderungen nicht isoliert, sondern im Zusammenhang zu betrachten. Sonst entsteht für jede neue Vorgabe eine eigene Insellösung.

IT-S: Wie gelingt Unternehmen der Einstieg in den Aufbau eines ISMS?

Harald Lenders: Wir können aus Erfahrung entwarnen: Der Aufbau eines ISMS ist keine Raketenwissenschaft. Die Aufgabe ist umfangreich, aber sie ist beherrschbar. Wichtig ist vor allem, nicht auf den Ernstfall zu warten, sondern den Istzustand zu analysieren und schnell zu beginnen. Man kann dabei Schritt für Schritt vorgehen, also zunächst einmal Anforderungen bewerten, Prioritäten setzen und das System später kontinuierlich erweitern.

Ohne die Unterstützung der Geschäftsführung geht es nicht, denn es braucht dafür Ressourcen, Budget und klare Verantwortlichkeiten. Auch Schulungen der Mitarbeiter gehören dazu, denn Informationssicherheit funktioniert nur, wenn sie im ganzen Unternehmen verstanden wird. Die Technik unterstützt dabei, Prozesse zu strukturieren. Aber am Ende sind es Menschen, die Verantwortung übernehmen und im Alltag sicher handeln müssen.

IT-S: Was ändert sich für Verantwortliche im Arbeitsalltag durch ein digitales ISMS?

Harald Lenders: Sie bekommen vor allem mehr Übersicht. Ein digitales System kann Informationen so zusammenführen, dass Verantwortliche schnell erkennen, wie der aktuelle Stand der Umsetzung ist. Mit Softwarelösungen ist es beispielsweise möglich, detailliert zu sehen, welche Anforderungen erfüllt oder noch offen sind, wo Risiken liegen und wer für bestimmte Maßnahmen verantwortlich ist.

Das kann bis auf die Ebene einzelner Teams oder Nutzer aufgeschlüsselt werden. Informationen lassen sich zudem individuell zuordnen. So braucht eine Führungskraft andere Informationen als ein Informationssicherheitsbeauftragter. Wenn beide genau die Inhalte sehen können, die sie für ihre Arbeit benötigen, wird das Management von Informationssicherheit wesentlich handhabbarer.

IT-S: Welche Entwicklung erwarten Sie bei Managementsystemen generell?

Harald Lenders: Neben den bereits erwähnten IMS, die Insellösungen ersetzen, ist ein zweiter Trend der Einsatz künstlicher Intelligenz (KI). Sie kann beispielsweise bei Recherchen oder bei der Herstellung von Verknüpfungen unterstützen. Hierbei gilt: KI ersetzt keine Verantwortung; die Ergebnisse dürfen nicht ungeprüft übernommen werden, sondern müssen fachlich bewertet werden.

Interessant ist vor allem die Kombination aus Automatisierung und sinnvollem Einsatz von KI. Solche Funktionen können wiederkehrende Aufgaben erleichtern und Verantwortliche bei ihrer Arbeit unterstützen.

IT-S: Zum Abschluss: Wo liegt für Sie der größte Risikofaktor im Bereich Cybersicherheit?

Harald Lenders: Bei den Mitarbeitern. Das klingt zunächst vielleicht hart, aber Menschen sind häufig das erste Angriffsziel. Eine Phishingmail kann jeden erreichen. Deshalb ist Sensibilisierung so wichtig. Mitarbeiter müssen wissen, welche Gefahren bestehen und wie sie verdächtige Situationen erkennen. Cybersicherheit ist daher keine Aufgabe, die man allein in der IT-Abteilung löst. Alle Beschäftigten müssen eingebunden und sensibilisiert werden.

IT-S: Vielen Dank für das Gespräch.