Fortsetzung des Interviews. Den ersten Teil finden Sie hier auf ESV.info.

Kommen die Unternehmen bei der Umsetzung der techischen Möglichkeiten der Digitalisierung schnell genug hinterher?

Martin Schallbruch: Die Frage kann man in der Allgemeinheit nicht beantworten. Es hängt sehr stark davon ab, wie sich die Unternehmen zur Digitalisierung aufstellen, ob sie ihre Organisation agiler gestalten, Räume für neue und innovative Gedanken schaffen, mit Partnern außerhalb des Unternehmens zusammenarbeiten und internes Digital-Know-how stärken.

Inwiefern trägt der Mensch als Anwender eine Mitschuld für die Verwundbarkeit der IT?

Martin Schallbruch: Sicherlich tragen menschliche Nachlässigkeiten dazu bei, dass Cyberangriffe erfolgreich sein können. Eine gute Ausbildung und Sensibilisierung der Mitarbeiter/innen für Cybersicherheit ist daher wichtig. Allerdings: allein durch Sicherheitsbewusstsein und gutes Know-how bei den Mitarbeitern lässt sich die Bedrohung durch Cyberangriffe nicht abwehren, so lange die Technologie an sich unzuverlässig ist.

Welche Trends sehen Sie in der IT-Sicherheit auf uns zukommen?

Martin Schallbruch: Professionelle Angreifer gehen mehr und mehr dazu über, zunächst einmal in großem Stil und über längere Zeiträume die IT-Infrastruktur eines Opfers auszuforschen. Ich vermute, dass schon heute viele große deutsche Behörden und Unternehmen soweit ausgespäht wurden, dass Angriffe auf Knopfdruck möglich wären. Dem kann man durch eine regelmäßige, im Idealfall automatische Umkonfiguration des eigenen Netzes entgegenwirken. Ein anderer Trend ist sicherlich der Einsatz von künstlicher Intelligenz in der IT-Sicherheit, um vertrauenswürdiges und verdächtiges Verhalten von Systemen effektiver zu erkennen.

Werden wir durch mehr Regulierung wieder Herr der Lage?

Martin Schallbruch: Mehr Regulierung ist eine notwendige, aber keine hinreichende Bedingung für Cybersicherheit. Ja, wir müssen das Gesetz erweitern – beispielsweise neue Sektoren der kritischen Infrastruktur hinzunehmen. Sehr hilfreich wäre auch eine Verschärfung des Produktsicherheitsrechts, damit die Qualität der IT-Produkte gesteigert wird. Gesetze allein werden aber wenig bewirken, wenn die globale Innovationsgeschwindigkeit so weitergeht.

Auch Regierungen nutzen Cyberspionage. Hierzulande stehen zum Beispiel Russland, China und Nordkorea besonders in der Kritik. Droht uns ein Cyberwar?

Martin Schallbruch: Von dem Begriff „Cyberwar” halte ich nichts. Wir haben bislang keinen Cyberwar erlebt und werden ihn voraussichtlich nicht erleben. Vielmehr ist es für Angreifer weitaus attraktiver, unbekannt zu bleiben und durch Nadelstich-Angriffe den Gegner zu destabilisieren, als einen offenen Krieg zu führen.

Für wie gefährlich beurteilen Sie Cyberspionage, insbesondere Hacking-Angriffe auf Regierungen und Forschungseinrichtungen?

Martin Schallbruch: Die Beispiele der letzten Jahre zeigen, dass Cyberspionage breit praktiziert wird. Nicht nur forschungsstarke Industriekonzerne sind ein Opfer, auch Banken und Versicherungen wegen der dortigen Kundendaten, deutsche technische Universitäten oder auch staatliche Stellen wie der Deutsche Bundestag oder das Auswärtige Amt wurden ausgeforscht.

Revision von IT-Verfahren in öffentlichen Institutionen Ohne Unterstützung durch IT-Verfahren ist eine Aufgabenwahrnehmung in öffentlichen Institutionen heute schwer vorstellbar. Dabei werden technologiegetriebene Prozesse durch zunehmende E-Government-Aktivitäten weiter an Bedeutung gewinnen. Wie Sie Prüfungen von IT-Verfahren effizient ausgestalten, stellt die Fachgruppe „ERP in öffentlichen Institutionen” im DIIR e.V. erstmals im Detail zusammen. Das dargestellte Vorgehensmodell umfasst sowohl eine Bestandsaufnahme als auch Fragen zu den vorhandenen Schnittstellen. Ein umfassender Überblick über: Wesentliche Prüfungsaspekte bei der Revision von IT-Verfahren, Herausforderungen durch Datenschutz und dessen Einhaltung, Implikationen aus Prüfungsergebnissen und daraus abzuleitende Empfehlungen. Die Erläuterungen zu den vorgeschlagenen Prüfungsfragen bieten fundierte Anregungen für die professionelle Prüfungsdurchführung, auch für Einsteiger. Das Vorgehensmodell ist praxiserprobt und erlaubt, u.a. mit Hilfe nützlicher Checklisten, eine schnelle Übertragung auf die eigene Organisation.

(ESV/ps)