Führungspersönlichkeiten wie Vorstände, Aufsichtsräte und Regierungsspitzen kennen die hohe Bedeutung einer lückenlosen IT-Sicherheit im eigenen Unternehmen oder Wirkungsbereich. Durch die „Panama Papers“-Affäre ist die Frage nach der Sicherheit von extern gespeicherten, vertraulichen Dateien in das Bewusstsein gerückt.

Für Verantwortliche in Unternehmen sollte es daher wichtig sein, einem Szenario „Panama Papers 2“ bestmöglich vorzubeugen. Für die physische Sicherheit von streng geheimen Dokumenten gibt es längst nachvollziehbare Prozesse. Es fehlten jedoch vergleichbare Maßnahmen der IT-Sicherheit bei Dienstleistern, die hochsensible Daten Dritter auf ihren IT-Systemen speichern, so Christian Polster, Chief Strategy Officer bei RadarServices, einem Anbieter für kontinuierliches IT Security Monitoring.

Das Risikomanagement - insbesondere das der Klienten von Kanzleien und anderen Dienstleistern - müsse sich neuen Aufgaben stellen. Nicht nur Rechtsanwälte sind zu strengster Vertraulichkeit verpflichtet, die grundsätzlich auch die digitale Datenverarbeitung umschließen sollte. Unter anderem arbeiten auch Wirtschaftsprüfer, Steuerberater, Beratungsunternehmen und Börsen mit streng geheimen Daten Dritter, die für Angreifer aus finanziellen oder ideologischen Motiven sehr interessant sein können.

Abgrenzung der „engsten Vertrauten”

Im ersten Schritt müssen Klienten den Kreis ihrer derzeitigen „engsten Vertrauten” genau überprüfen. Dazu sollte zumindest ein Basis-IT-Sicherheitscheck mit jedem dieser Dienstleister durchgeführt werden. Die folgenden zentralen Fragen sollten IT-Sicherheitsexperten der Klienten abfragen:

• Wie werden gespeicherte Daten geschützt, wie wird im besonderen deren Austausch verschlüsselt, wer hat Zugriff auf unsere Daten und wie wird die Zuverlässigkeit dieser Personen und ihres Umgangs mit unseren Daten sichergestellt?
• Wie werden professionell durchgeführte, gezielte Angriffe auf die IT zeitnah erkannt?
• Wie wird die laufende Sicherheitsüberprüfung der gesamten IT-Infrastruktur durchgeführt, welche Informationen werden dabei berücksichtigt, welche Risikoerkennungswerkzeuge sind im Einsatz und in welchen regelmäßigen Abständen werden die Ergebnisse dieser Werkzeuge von Experten ausgewertet?
• Wie wird überprüft, ob Maßnahmen der Risikobehebung tatsächlich erfolgreich waren und existierende Schwachstellen tatsächlich behoben wurden?
• Wie wird der Informationsfluss zum Unternehmen gestaltet, wenn trotz aller Sicherheitsmaßnahmen ein Risiko eingetreten ist?

Worin bestehen die größten Gefahren?

Grundsätzlich ist das gesamte Spektrum an Angriffsgruppen und Angriffsarten auf IT-Systeme von Dienstleistern relevant. Die Gefahrenpotentiale für deren Klienten liegen jedoch besonders im Bereich von „Insider Threats“. Dabei handelt es sich um mutwillige oder unbewusst herbeigeführte Schäden durch Mitarbeiter und externe Netzwerkzugriffe von professionell organisierten Hackern. Gezielte Angriffe gehen von Personen oder Personengruppen mit hohem Fachwissen über die entwendeten Daten und Dokumente aus. Sie verfügen zumeist auch über Kenntnisse für die weitere Verwertung und/oder Vermarktung dieser Daten. Häufig verfolgen diese Personen eine exakte Strategie oder einen konkreten Auftrag, so dass weitreichende Auswirkungen wie im Fall „Panama Papers“ wahrscheinlich sind.

So können Angreifer z.B. einen erheblichen eigenen Nutzen aus der Entwendung von streng geheimen Finanzdaten gelisteter Unternehmen ziehen. Zahlreiche solcher wertvollen Daten werden zwischen Klienten und Dienstleistern ausgetauscht, u.a. im Rahmen von Akquisitionen, Unternehmenszusammenschlüssen oder zentralen Veränderungen in der Investorenbasis. Besteht bei einer beteiligten Partei ein Datenleck und werden Informationen vor der offiziellen Veröffentlichung bekannt, ziehen Angreifer oder ihre Auftraggeber erhebliche finanzielle Vorteile oder können mit einer Vorabveröffentlichung große Geschäfte platzen lassen.

Literaturhinweis

Weiterführende Informationen zu den Themen IT-Sicherheit und IT-Audit bietet z.B. das Buch IT-Audit - Grundlagen - Prüfungsprozess - Best Practice von Dr. Stefan Beißel.