Marktplatz IT-Sicherheit:
die Plattform für IT-Sicherheit

Betreiber digitaler Marktplätze müssen sich einer Vielzahl von Risiken stellen, die mit der zunehmenden Vernetzung einhergehen. IT-Sicherheitsfirmen führen regelmäßig umfassende Analysen und IT-Sicherheitsstudien durch, in denen Schwachstellen und mögliche Angriffspunkte identifiziert werden. Die so gewonnenen IT-Sicherheitszahlen dienen als wichtige Grundlage für die Entwicklung von Schutzmaßnahmen. Zusätzlich werden Penetrationstests eingesetzt, um die Wirksamkeit der vorhandenen Sicherheitsmechanismen zu überprüfen und potenzielle Lücken vor einem tatsächlichen Angriff zu identifizieren. Ein Marktplatz-Anbieter könnte beispielsweise durch eine IT-Sicherheitsstudie herausfinden, dass seine Authentifizierungsverfahren verbessert werden sollten, um die Zahl der Betrugsfälle zu senken.

Der technische Betrieb eines Marktplatzes verlangt eine kontinuierliche Überwachung und die Fähigkeit zur schnellen Wiederherstellung nach Störungen. Backups ermöglichen es, Daten im Falle eines unerwarteten IT-Notfalls wiederherzustellen und den Geschäftsbetrieb möglichst rasch wieder aufzunehmen. Die E-Mail-Sicherheit trägt dazu bei, Phishing-Angriffe und die unbefugte Weitergabe sensibler Informationen auszuschließen. Der Einsatz eines Hardware-Sicherheitsmoduls unterstützt zusätzlich die Schlüsselverwaltung und die Absicherung besonders sensibler Operationen. Verschiedene IT-Sicherheitstools übernehmen Aufgaben wie das Monitoring oder die Analyse von Logdaten. Ein Marktplatzanbieter könnte beispielsweise ein Security Operations Center, abgekürzt SOC, einrichten, um auf erkannte Bedrohungen schnell reagieren zu können. Nicht jeder Betreiber benötigt jedoch ein eigenes Security Operations Center; Umfang und Tiefe der Überwachungsmaßnahmen orientieren sich am konkreten Bedarf und den vorhandenen Ressourcen.

Um ein angemessenes Sicherheitsniveau zu dokumentieren, setzen viele Marktplatzbetreiber auf gezielte Bewertungen durch Prüfstellen. Der Abschluss eines Master Cyber-Sicherheit qualifiziert Absolventen als Experten für hochkomplexe Aufgaben im Bereich der Cybersicherheit und vermittelt ihnen das notwendige Rüstzeug, um Risiken auf technischer und organisatorischer Ebene zu beurteilen. Prüfungen einzelner Mitarbeiter werden durch Personenzertifikate bestätigt, die bestimmte Kompetenzen oder Kenntnisse im Bereich der Cybersicherheit nach festgelegten Standards belegen. Produktzertifikate hingegen dokumentieren, dass ein bestimmtes digitales Produkt nach den benannten Kriterien und Standards geprüft und bewertet worden ist. Unternehmenszertifikate weisen für ganze Organisationen bestimmte geprüfte Eigenschaften hinsichtlich ihrer internen Prozesse oder Strukturen aus, wobei der jeweilige Bewertungsumfang und die geprüften Standards detailliert im Zertifikat ausgewiesen werden.

Der Datenschutz spielt auf Marktplätzen mit einer Vielzahl personenbezogener Daten eine herausragende Rolle. Der Datenschutzbeauftragte berät das Unternehmen und überwacht die Einhaltung der Vorschriften des Datenschutzes, etwa bei der Nutzung von Kundendaten. Die Verantwortung für die korrekte Verarbeitung verbleibt jedoch stets beim Verantwortlichen, nicht beim Datenschutzbeauftragten. Neben dem Datenschutz agiert der Informationssicherheitsbeauftragte als zentrale Ansprechperson für die Identifikation und Behebung sicherheitsrelevanter Schwachstellen. In vielen Unternehmen erscheinen die Köpfe der IT-Sicherheit als breit aufgestelltes Kompetenzteam, das durch Fachwissen und Erfahrung zur Schaffung einer ganzheitlichen Sicherheitsstrategie beiträgt.

Auch der rechtliche Rahmen digitaler Marktplätze wird durch eine zunehmende Zahl an Gesetzen und europäischen Verordnungen bestimmt. Der CRA (Cyber Resilience Act) setzt verbindliche Anforderungen an die Cybersicherheit von Produkten mit digitalen Elementen. Für im Finanzsektor tätige Marktplatzanbieter ist das DORA-Rahmenwerk relevant, denn es regelt die digitale operationelle Resilienz und definiert Vorgaben für betroffene Finanzunternehmen sowie IKT-Drittdienstleister. Die DSA-Vorgaben betreffen hingegen Vermittlungsdienste wie Hosting-Provider oder Onlineplattformen und unterscheiden sich je nach Dienst und Rolle in ihren Pflichten. Gesetzliche Grundlagen wie IT-Sicherheitsgesetze auf Bundes- oder Landesebene, die Regelungen des IT-Sicherheitsrechts sowie branchenspezifische Anforderungen durch die Richtlinie NIS2 ergänzen das bestehende Normengefüge und konkretisieren die Erwartungen an das Sicherheitsniveau. Im Bereich der digitalen Identitäten und elektronischen Vertrauensdienste gelten die Vorgaben der eIDAS, welche den grenzüberschreitenden und rechtsgültigen Austausch digitaler Dokumente auf europäischen Marktplätzen erleichtern und vereinheitlichen.

Um ein Bewusstsein für Risiken und Schutzmaßnahmen zu fördern, setzen viele Marktplatzbetreiber auf gezielte Trainingsmaßnahmen. Der Austausch über aktuelle Bedrohungen oder Sicherheitsvorfälle kann beispielsweise in einem IT-Sicherheitsforum erfolgen, das die Teilnahme an Diskussionen und den Ausbau des eigenen Wissens ermöglicht. IT-Sicherheitsspiele und Serious Games Cybersecurity eignen sich für die praxisnahe Vermittlung technischer und organisatorischer Fertigkeiten im Bereich der Cyberabwehr, indem sie reale Bedrohungen in spielerischer Form simulieren. Security Awareness kann durch wiederkehrende Schulungen und praxisnahe Übungen gestärkt werden, sodass die Nutzerinnen und Nutzer digitale Risiken frühzeitig erkennen und angemessen reagieren können.

Die vorgestellten Aspekte zeigen, dass die Sicherheit und der zuverlässige Betrieb eines Marktplatzes auf verschiedenen Ebenen gewährleistet werden muss. Technische Maßnahmen, qualifiziertes Personal, organisatorische Vorkehrungen und ein konsistenter Rahmen von Standards und gesetzlichen Vorgaben bilden zusammen die Grundlage, um Marktplätze widerstandfähiger gegenüber den Herausforderungen der digitalen Welt zu machen. Ein systematisches Vorgehen und kontinuierliche Verbesserung stärken dabei das Vertrauen von Anbietern und Nutzern in digitale Marktplatzplattformen.