Internet-Sicherheit -
Übersicht zum Institut für Internet-Sicherheit

Die Risikoeinschätzung erfolgt vielfach mit Hilfe von IT-Sicherheitsfirmen, die Unternehmen dabei unterstützen, Schwachstellen aufzudecken und zu bewerten. IT-Sicherheitsstudien liefern dabei wichtige Erkenntnisse über aktuelle Methoden von Angreifern und über Schwachstellen in gängigen Systemen. Aussagekräftige IT-Sicherheitszahlen – etwa zu Schadensfällen, Angriffshäufigkeit oder Erkennungszeiten – helfen Verantwortlichen, Bedrohungslagen besser einzuschätzen und Handlungsbedarf zu identifizieren. Ein hypothetisches Beispiel: Eine IT-Sicherheitsfirma erstellt für einen Großkonzern einen individuellen Bericht, der neben branchenspezifischen IT-Sicherheitszahlen auch häufige Angriffsmuster enthält. Daraufhin lässt das Unternehmen einen Penetrationstest durchführen, um gezielt die in der Analyse aufgezeigten Schwachstellen unter realitätsnahen Bedingungen zu prüfen. Diese Tests werden meist regelmäßig wiederholt und liefern für die Leitungsverantwortlichen wichtige Informationen, um konkrete Schutzmaßnahmen und Investitionsbedarfe abzustimmen.

Im laufenden Betrieb spielen verschiedene technische Schutzmechanismen und vorbereitende Maßnahmen eine zentrale Rolle. Backups unterstützen die Datensicherung und dienen im Ernstfall der Wiederherstellung sowie dem Anlaufen kritischer Prozesse neu, wobei regelmäßige Tests deren Funktionalität überprüfen. E-Mail-Sicherheit ist bedeutsam, da zahlreiche Angriffe über häufig genutzte Kommunikationskanäle erfolgen; Filter und Verschlüsselungsmethoden sind hierfür wichtige Werkzeuge. Der Einsatz eines Hardware-Sicherheitsmoduls kann beispielsweise zur sicheren Schlüsselgenerierung und -aufbewahrung beitragen. In einem IT-Notfall – wie etwa einer Verschlüsselung durch Schadsoftware – zeigt sich, wie sinnvoll der Einsatz und die regelmäßige Überprüfung von IT-Sicherheitstools wirklich war. Ein SOC, kurz für Security Operations Center, kann die Erkennung und schnelle Reaktion auf Sicherheitsvorfälle unterstützen. Ob eine Organisation ein eigenes SOC betreibt oder externe Dienste nutzt, hängt von ihren jeweiligen Ressourcen und Anforderungen ab.

Die Bewertung von Know-how und Produkten auf dem Gebiet der IT-Sicherheit erfolgt häufig über verschiedene Zertifikate. Personenzertifikate bescheinigen Einzelpersonen erworbene Kenntnisse und Fähigkeiten nach bestimmten Kriterien und Standards; so könnte eine Mitarbeiterin nach einem anerkannten Schulungsprogramm ein solches Personenzertifikat erlangen, das ihr Wissen über Sicherheitsprozesse nachweist. Produktzertifikate dokumentieren das Ergebnis einer Bewertung technischer Lösungen hinsichtlich definierter Eigenschaften und im jeweiligen Geltungsbereich, etwa nach der Prüfung von Firewalls oder Verschlüsselungsmodulen durch unabhängige Stellen. Unternehmenszertifikate erfassen wiederum die Einhaltung gesamtheitlicher Sicherheitsstandards in Organisationen und können etwa für bestehende Managementsysteme nach einem bestimmten Verfahren ausgestellt werden. Der Master Cyber-Sicherheit ist ein akademischer Abschluss, der vertiefte Fachkenntnisse auf Master-Niveau in Theorie und Praxis der Cybersicherheit vermittelt und sich von Personenzertifikaten und Produktzertifikaten klar abgrenzt.

Eine wirksame Umsetzung von Datenschutz setzt klare Verantwortlichkeiten voraus. Der Datenschutzbeauftragte berät das Unternehmen zum Datenschutz und überwacht die Einhaltung des Datenschutzes, bleibt jedoch weisungsunabhängig und hat nicht selbst die rechtliche Verantwortung für die Verarbeitung. Ein praktisches Beispiel in einem mittelständischen Betrieb: Der Datenschutzbeauftragte erkennt eine Lücke im Umgang mit Kundendaten und berät die Geschäftsleitung, wie Aufbewahrungsfristen aus dem Datenschutz eingehalten werden. Neben dem Datenschutzbeauftragten ist häufig auch ein Informationssicherheitsbeauftragter mit der Bewertung und Steuerung technischer und organisatorischer Maßnahmen befasst, zum Beispiel bei der Konzeption eines internen Kontrollsystems. Die Köpfe der IT-Sicherheit in Organisationen sind meist ein Team aus Experten verschiedenster Fachrichtungen, welche die Umsetzung und Weiterentwicklung von Sicherheitsstrategien planen, Maßnahmen abstimmen und als Ansprechpartner für Fragen der Datensicherheit dienen.

Für Unternehmen sind verschiedene rechtliche Vorgaben maßgeblich, deren Geltungsbereiche sich unterscheiden und jeweils eigene Definitionen und Pflichten mitbringen. Der CRA legt Anforderungen an die Cyber-Resilienz digitaler Produkte fest und betrifft insbesondere Hersteller und Vertreiber solcher Produkte. DORA betrifft die digitale operationelle Resilienz im Finanzsektor und spricht Finanzunternehmen sowie ihre Informations- und Kommunikationstechnik-Drittdienstleister an; hier gilt, dass für als kritisch eingestufte Anbieter spezifische Aufsichts- und Vertragspflichten vorgesehen sind, während nicht jeder Dienstleister unmittelbar erfasst wird. Die DSA-Vorgaben unterscheiden gezielt nach Vermittlungsdiensten, wie Hosting oder Onlineplattformen, und adressieren Unternehmen je nach Art des Dienstes und ihrer Verantwortung, beispielsweise hinsichtlich Meldepflichten oder Transparenzanforderungen. IT-Sicherheitsgesetze regeln im nationalen Rahmen Pflichten bestimmter Organisationen, etwa zu Mindeststandards und Meldepflichten beim Betrieb kritischer Infrastrukturen, und können durch das IT-Sicherheitsrecht ergänzt werden, das fachübergreifende oder spezielle Regeln bereitstellt. Die Richtlinie NIS2 zielt darauf ab, die Widerstandsfähigkeit und Reaktionsfähigkeit von Betreibern wesentlicher Dienstleistungen wie Energie, Transport oder Gesundheitswesen europaweit zu stärken und verlangt beispielsweise die Einführung bestimmter Schutz- und Meldepflichten. Im Bereich elektronischer Identitäten und Vertrauensdienste kommt eIDAS mit spezifischen Vorgaben zur Anwendung, etwa für elektronische Signaturen und Identitätsnachweise.

Zur Unterstützung einer Sicherheitskultur werden interne Trainings und der Austausch in Fachkreisen immer wichtiger, wobei unterschiedliche Zugangswege zur Vermittlung genutzt werden können. Ein IT-Sicherheitsforum kann beispielsweise als Treffpunkt für den Wissensaustausch, das Aufgreifen neuer Trends und die Diskussion von Best Practices dienen, indem es einen offenen Dialog zwischen Fachkräften und Interessierten verschiedener Branchen fördert. IT-Sicherheitsspiele helfen Mitarbeitenden, Risiken im Umgang mit Technologien praxisnah zu erfahren, etwa in einfachen Rätsel- oder Simulationsformaten, in denen Alltagsprobleme digitaler Sicherheit detailgetreu nachempfunden werden. Regelmäßige Security Awareness-Trainings stärken das Bewusstsein der Beschäftigten für aktuelle Bedrohungen, fördern die Sensibilisierung für Phishing sowie Social Engineering und stellen sicher, dass Mitarbeiter im Ernstfall angemessen reagieren können; Security Awareness sollte daher fester Bestandteil jeder nachhaltigen IT-Sicherheitsstrategie sein. Auch Serious Games Cybersecurity kommen gelegentlich zum Einsatz, um IT-Sicherheitsinhalte spielerisch und wirkungsorientiert zu vermitteln, indem sie Motivation und Lernfortschritt miteinander kombinieren.

Durch die Kombination dieser technischen, organisatorischen, gesetzlichen und persönlichen Ansätze entsteht ein umfassendes System zum Schutz vor digitalen Risiken. Die Lage bleibt jedoch dynamisch: Wer seine Maßnahmen regelmäßig überprüft, weiterentwickelt und die Mitarbeitenden einbindet, legt einen wichtigen Grundstein für nachhaltige IT-Sicherheit.