Digitale Verantwortung: Ist (IT-)Sicherheit ein Wert oder benötigen wir Werte für die IT-Sicherheit?

Fraglich ist, ob diese Problemstellung allein mit technischen, organisatorischen oder personellen Sicherheitsmaßnahmen lösbar ist oder ob es darüber hinaus eines gemeinsamen Werteverständnisses in der Gesellschaft bedarf, um das Ziel einer angemessenen IT-Sicherheit zu erreichen.

Mit der fortschreitenden Digitalisierung – und nicht zuletzt vor dem Hintergrund der geopolitischen Lage – wächst die Bedeutung der IT‑Sicherheit. Unternehmen, Behörden und Bürger hängen gleichermaßen von Informations- und Kommunikationstechnik ab.

Ein gezielter Angriff auf bestehende IT-Infrastrukturen hätte daher Folgen auf allen Ebenen: Er würde die wirtschaftliche Leistungsfähigkeit treffen und die Grundversorgung mit Strom, Wasser, Lebensmitteln oder medizinischer Hilfe gefährden. Auch die innere und äußere Sicherheit stünde auf dem Spiel, denn Aufklärung, Überwachung und Abwehr feindlicher Angriffe stützen sich heute durchgängig auf IT-Systeme.

Dieses Gefahrenpotenzial wird zusätzlich dadurch erhöht, dass die verschiedenen Generationen IT unterschiedlich nutzen und dabei entsprechend abweichende Wertvorstellungen entwickeln, die ihr Handeln prägen. Versuche, durch Gesetze wie die Datenschutz-Grundverordnung (DSGVO) ein an Grundwerten – etwa der Menschenwürde – orientiertes Verhalten durchzusetzen, sind bislang nur bedingt aufgegangen.

Damit drängt sich die Frage auf, ob eine Rückbesinnung und Verständigung auf gemeinsame Werte hilfreich oder sogar erforderlich ist, um eine angemessene Cybersicherheit etablieren zu können.

Zahlen und Daten zur Sicherheitslage in Deutschland

Die aktuelle Lage der IT-Sicherheit in Deutschland ist von einer besorgniserregenden Entwicklung geprägt. Die jährliche Schadensbilanz durch Cyberangriffe beläuft sich laut einer Bitkom-Studie inzwischen auf rund 202 Milliarden Euro, was einem Anstieg von 13 Prozent im Vergleich zum Vorjahr entspricht.

Dieser zweistelligen Zunahme der Schäden steht jedoch mangelnde Investitionsbereitschaft gegenüber: Die Ausgaben für IT-Sicherheitsmaßnahmen betrugen 11,8 Milliarden – also nur einen Bruchteil der Schadenssumme. Diese mangelnde finanzielle Anpassung um lediglich 5,3 Prozent ist besonders kritisch angesichts der zu erwartenden massiven Bedrohungsdynamik.

Aktuell werden täglich etwa 280.000 neue Malware-Varianten registriert und pro Tag im Durchschnitt 119 neue Schwachstellen entdeckt – ein Anstieg von 25 Prozent gegenüber dem Vorjahr, so das Bundesamt für Sicherheit in der Informationstechnik (BSI) in seinem Lagebericht. Dies lässt sich unter anderem dadurch erklären, dass die Angriffsfläche deutlich schneller wächst, als die Adaption der Sicherheitsstrategie in den Unternehmen bezüglich technischer IT-Sicherheitsmaßnahmen möglich ist.

Daraus folgt, dass dem Werte-Thema speziell auch im Kontext der IT-Sicherheit eine hohe Bedeutung beigemessen werden muss, denn das künftige Gefährdungspotenzial ist bereits evident: Die Bedrohungslage verschärft sich durch die Dynamik neuer IT-Technologien.

Generative künstliche Intelligenz (KI) und agentenbasierte KI-Systeme sowie Quantencomputing vergrößern nicht nur die Angriffsflächen, sondern erhöhen auch die Geschwindigkeit, mit der neue Risiken entstehen – etwa KI, die täuschend echte E-Mails erstellt oder Profile und Stimmen nachahmt, um damit gezielt das Vertrauen eines Anwenders für einen Angriff auszunutzen.

IT-Sicherheit als Wert: Perspektive der Gesellschaft

Prinzipiell gehört Sicherheit zu den elementaren Bedürfnissen eines Menschen und kann somit als Wert bezeichnet werden. Dies lässt sich unter anderem aus der Bedürfnispyramide von Maslow ableiten: Dort steht die Sicherheit an zweiter Stelle, unmittelbar nach den Grundbedürfnissen wie Essen und Schlaf.

Denn unter anderem ermöglicht Sicherheit Vertrauen in die eigene Unversehrtheit und daher auch, vertrauensvoll in die Zukunft zu blicken – etwa indem durch physische Maßnahmen der Schutz vor Einbrüchen oder Unfällen gewährleistet werden kann. Infolgedessen ist es plausibel, Sicherheit als Voraussetzung für ein gutes Leben zu bezeichnen – auch, weil ohne sie andere Werte, wie Freiheit, ins Wanken geraten.

Für die IT-Sicherheit gilt im Kern dasselbe: Als Grundbedingung für das Gelingen von Wirtschaft und Gesellschaft ermöglicht sie das Vertrauen in die Zukunft, da sich durch ihren adäquaten Einsatz Schaden von Menschen und Unternehmen abwenden
lässt.

Doch die bisherigen Sicherheitsmaßnahmen sind – wie bereits ausgeführt – nicht in ausreichendem Maße zielführend. Es fehlt ein entscheidendes Element: Bei Anwendern müsste das Bewusstsein für die eigene Verantwortung bezüglich einer angemessenen IT-Sicherheit gefördert werden. In diesem Kontext ist es jedoch nicht ausreichend, Anwendern durch reines Faktenwissen vermitteln zu wollen, wie sie sich in bestimmten Situationen zu verhalten haben.

Vielmehr gilt es, die Differenz zwischen theoretischem Wissen und tatsächlichem Wollen auszugleichen – also dafür zu sorgen, dass diese eine Einstellung dafür entwickeln, warum eine bestimmte Handlungsweise notwendig ist.

Dies kann dadurch erreicht werden, dass ein gemeinsames Verständnis in der Gesellschaft dahingehend entsteht, warum es für jeden Einzelnen förderlich ist, den Sinn gemeinsamer Werte anzuerkennen. Denn dessen bedarf es, damit der Wert der IT-Sicherheit zum Tragen kommen kann. Dieser Gedanke lässt sich beispielhaft mittels der Werte Solidarität und Nicht-Schädigungsprinzip anhand des folgenden Sachverhalts verdeutlichen.

In den USA haben die Studierenden in der Regel eine sehr hohe Affinität zu ihrer Hochschule, sie fühlen sich dieser tatsächlich verbunden. Ihr Verhalten ist entsprechend wertschätzend, sowohl gegenüber der Institution als solcher als auch gegenüber den Kommilitonen. Das hängt unter anderem mit der Campuskultur – die seitens der Hochschulen mittels verschiedener Maßnahmen gefördert wird – zusammen, denn so werden soziale Bindungen initiiert, wodurch ein starkes Solidaritätsgefühl entsteht.

Da durch ein Fehlverhalten die Gemeinschaft tangiert würde, sind die Studierenden eher darauf bedacht, so zu agieren, dass sie andere nicht schädigen. Im Gegensatz dazu identifizieren sich – wie qualitative Interviews im Rahmen des Forschungsprojekts SecAware nahelegen – Studierende in Deutschland eher weniger mit ihrer Hochschule.

Sie machen sich nachweislich nicht so viele Gedanken darüber, ob sie durch ihr Verhalten eventuell der Hochschule und ihren Kommilitonen einen Schaden zufügen könnten – zum Beispiel, dass durch das Surfen auf Webseiten, die als unsicher gekennzeichnet sind, oder das unbedachte Anklicken eines Links in einer E-Mail potenziell die gesamte hochschulinterne Infrastruktur lahmgelegt wird.

Daraus folgt: Es braucht Maßnahmen, damit Studierende – und letztlich jeder Mitarbeiter beziehungsweise Anwender – den Gedanken der Solidarität ebenso wie das Nicht-Schädigungsprinzip verinnerlichen und so selbstverständlich dazu beitragen, die eigene Organisation dauerhaft zu schützen. Dafür reicht es nicht, dass Anwender wissen, warum es riskant ist, auf einen Link in einer mutmaßlichen Spam-Mail zu klicken.

Sie müssen darüber hinaus die Haltung entwickeln, im Sinne des Nicht-Schädigungsprinzips selbst dafür verantwortlich zu sein, Schäden zu vermeiden – und entsprechend sorgfältiger zu handeln.  Zudem gibt es Beispiele für die aktive Berücksichtigung des Nicht-Schädigungsprinzips: Mitarbeiter sollten freiwillig Multi-Faktor-Authentifikation nutzen (wollen), auch wenn dadurch ihre Arbeitsabläufe ein wenig aufwendiger werden.

IT-Sicherheit als Wert: Perspektive der Unternehmen

Sicherheit als normativer Wert ist einerseits die Voraussetzung für andere Werte, etwa Vertrauen oder Menschenwürde und basiert andererseits auf Werten, etwa Solidarität oder Verantwortung. Auch wenn der Analogieschluss von dem Bedürfnis nach Sicherheit zur IT-Sicherheit logisch erscheint, so kann IT-Sicherheit nicht als unmittelbarer Wert deklariert werden. Tatsächlich kann sie nur dazu dienen, das Primärbedürfnis nach Sicherheit zu erfüllen.

Aufgrund der zunehmenden Digitalisierung, die nahezu alle Lebensbereiche durchdringt, muss jedoch der IT-Sicherheit ein hoher Stellenwert beigemessen werden, um die elementaren Bedürfnisse zu erfüllen, zum Beispiel nach Privatsphäre, wenn es um den Schutz beim Versand medizinischer Daten geht, bis hin zur Absicherung kritischer Infrastrukturen, um die Stromversorgung sicherzustellen.

Insofern lässt sich ableiten, dass es notwendig ist, die Verantwortung der Unternehmen zu beleuchten. Jeder kann und sollte bewusst dazu beitragen, Schädigungen zu vermeiden und damit systemische Risiken für die Gesellschaft zu reduzieren.

Unternehmen, allgemein

Unternehmen als bedeutender Teil der Gesellschaft müssen sich – dem Gedanken des normativen Werts folgend – ihrer Verantwortung im Sinne einer (gelingenden) Zusammenarbeit zum gegenseitigen Vorteil bewusst sein: IT-Sicherheit ist nicht nur unter technischen Aspekten zu betrachten, sondern auch als eine grundlegende moralische Verpflichtung, um Individuen sowie alle Organisationen und Institutionen vor Schaden zu bewahren und das Funktionieren der Gesellschaft zu gewährleisten.

Dies lässt sich anhand der Kernaspekte der IT-Sicherheit gut darstellen: Unternehmen, die in angemessene IT-Sicherheitsmaßnahmen investieren, sind besser geschützt gegen Angriffe und gewährleisten somit den Fortbestand ihres Betriebs. Denn Datendiebstahl und Erpressung,  zum Beispiel mittels Ransomware oder ein Stillstand in der Produktion aufgrund ungepachter Systeme, können zu massiven finanziellen Verlusten führen oder sind sogar dazu geeignet, großflächig Schaden zu verursachen.

Das gilt besonders für Unternehmen aus dem Bereich der kritischen Infrastruktur, die sicherstellen müssen, dass unternehmenskritische Prozesse – im Sinne der Betriebskontinuität – aufrechterhalten bleiben.

Hinzu kommt, dass aus Sicht von Kunden und Partnern IT‑Sicherheit – die transparent kommuniziert wird – ein klarer Wettbewerbsvorteil ist. Denn dies dient auf der einen Seite dazu, einem Reputationsverlust entgegenzuwirken, indem die Grundvoraussetzungen der IT-Sicherheit wie Vertraulichkeit („nur autorisierte Personen haben Zugriff auf die Daten“), Integrität („Zusicherung, dass die Daten unverfälscht und korrekt sind“) und Verfügbarkeit („der reibungslose Einsatz der Systeme ist gewährleistet“) erfüllt sind.

Auf der anderen Seite kann dies auch als Investition in das Vertrauensverhältnis betrachtet werden, da Kunden und Partner sicher sein können, dass ihre sensiblen Daten nicht in falsche Hände geraten und dass die vereinbarte Dienstleistung jederzeit verfügbar ist.

Nicht zuletzt ist eine angemessene IT-Sicherheit auch notwendig, um der Einhaltung gesetzlicher Vorgaben wie der NIS-2-Richtlinie oder DORA zu genügen. Zusammenfassend lässt sich somit ableiten, dass IT-Sicherheit als eine Investition in die Zukunftsfähigkeit und Stabilität eines Unternehmens gesehen werden kann.

Die Verantwortung der Unternehmen basiert auf der wesentlichen Grundregel der Ethik – dem Nicht-Schädigungsprinzip. Diesem Prinzip liegt zugrunde, was Menschen voneinander erwarten können. Die grundlegendste Erwartung ist, nicht durch den Freiheitsgebrauch anderer geschädigt zu werden, es sei denn, es liegt ein legitimer Grund dafür vor.

Diese Einschränkung ergibt sich daraus, dass im Alltag Schäden nicht immer zu vermeiden sind – im Kontext der IT-Sicherheit allein durch den Fakt, dass es keine hundertprozentige IT-Sicherheit geben kann.

Die Gründe für die Ableitung der akzeptablen Schädigungen lassen sich aus den Umständen ableiten und müssen auf Regeln und Werten basieren, die durch ein allgemeines Verständnis in der Gesellschaft entstanden sind. Das bedeutet, dass die Unternehmen die legitimen Erwartungen ihrer Kunden und Partner – die sich daraus ableiten lassen – respektieren und entsprechend agieren müssen.

Ein zweiter essenzieller Wert in unserer Gesellschaft ist Respekt. Dieser Wert ist unter anderem dadurch transparent umsetzbar, indem der Wunsch nach informationeller Selbstbestimmung seitens der Unternehmen anerkannt wird.

Denn Menschen wollen auch in der virtuellen Welt souverän Entscheidungen treffen können. Doch die Selbstbestimmung setzt voraus, dass jeder Mensch die Kontrolle über seine eigenen Daten behält und dass diese vor unbefugtem Zugriff geschützt sind, damit sie beispielsweise nicht manipuliert oder zum Nachteil der eigenen Person missbraucht werden können. Das lässt sich durch den adäquaten Einsatz der IT-Sicherheit durchsetzen.

Unternehmen, IT-Sicherheitsbranche

Die moralische Verpflichtung von IT-Sicherheitsanbietern ist als weitreichender anzusehen als jene von Anwenderunternehmen, die IT-Sicherheitslösungen einsetzen, um ihre Organisation sowie entsprechende Geschäftsprozesse zu schützen.

Dies liegt darin begründet, dass erstere die Verantwortung dafür tragen, IT-Sicherheitslösungen bereitzustellen, mittels derer das digitale Öko-System, das für die Aufrechterhaltung aller Facetten des gesellschaftlichen Lebens sowie die der Wirtschaft essenziell ist, in der Gesamtheit abzusichern.

Daraus ergibt sich, dass sie IT-Sicherheitslösungen in den Markt bringen müssen, die bestmöglich dazu beitragen, Schädigungen – etwa durch Cyberangriffe – zu verhindern. In diesem Kontext sind unter anderem folgende Kernforderungen unter moralischen Aspekten besonders hervorzuheben:

• Responsible Disclosure: Anbieter müssen verantwortungsvoll mit identifizierten Sicherheitslücken umgehen und Schaden von der Allgemeinheit abwenden, statt dieses Wissen ausschließlich zum eigenen Vorteil zu nutzen.
• Transparenz: Leistungsfähigkeit und Einsatzgrenzen einer Lösung sind ehrlich zu kommunizieren. Anwenderunternehmen dürfen nicht über das tatsächlich erreichbare Sicherheitsniveau getäuscht werden.
• Ethik bei KI-gestützten Lösungen: Mit dem zunehmenden Einsatz von KI in der IT-Sicherheit gewinnen allgemeine Ethik-Leitlinien an Gewicht – etwa um Diskriminierung
  zu vermeiden und Werte wie Fairness und Solidarität in Konzeption und Entwicklung zu verankern.

Insgesamt lässt sich daraus die Pflicht der IT-Sicherheitsanbieter ableiten, Verantwortlichkeit, Transparenz und Vertraulichkeit in den Mittelpunkt ihres Handelns zu stellen. Das Bestreben sollte sein, alles zu tun, um Anwender dahingehend zu befähigen, Sicherheitsrisiken systematisch zu minimieren.

Fazit

Die Wertedebatte in der (und für die) Gesellschaft sollte dringend angestoßen werden, denn es ist notwendig, ein grundsätzliches Verständnis für Werte, die im Kontext der IT-Sicherheit relevant sind, in der Gesellschaft zu entwickeln. Dabei gilt es – besonders für Unternehmen, da diese den Prozess aktiv begleiten müssen – anzuerkennen, dass durch das dynamische Marktumfeld den Menschen das Gefühl der Sicherheit teilweise abhandengekommen ist.

Insofern besteht eine Hauptaufgabe der Unternehmen mehr denn je darin, als Vorbild diese Sicherheit wieder zu vermitteln, auch indem diese zeigen, dass sie die Interessen der eigenen Organisation nicht über die der Gesellschaft stellen.

Eine Möglichkeit, um diese Anforderung umzusetzen, besteht darin, dass letztlich der Unternehmenserfolg (auch) anhand der Einhaltung von Werten beurteilt wird.

Auf den Punkt gebracht sollte nicht mehr die Frage im Raum stehen: „Wozu ist IT-Sicherheit gut?“ Stattdessen sollte verbindlich sein: „Es ist wesentlich, die IT-Sicherheit als Wert zu etablieren und die Bedeutung der IT-Sicherheit für die Durchsetzung gesellschaftlicher Werte im Kontext der Digitalisierung anzuerkennen.“ Dies wird zunehmend unumgänglich, da sich die Risiken für die Gesellschaft nur gemeinsam minimieren lassen.