BWL-Professor Dr. Tobias Kollmann von der Uni Duisburg-Essen gibt beim Blick in die Zukunft eine klare Antwort: „In den kommenden Jahren wird die Künstliche Intelligenz ihren Siegeszug erst richtig antreten. Warum? Weil nach Big Data die Big Intelligence zur Auswertung der Datenflut kommen muss! Nur KI-Systeme können Unternehmen helfen, aus der Fülle mehr oder weniger strukturierter Datenmengen die Markttrends und Geschäftspotenziale herauszufiltern, die im Mittelpunkt des Digital Business stehen werden.“ Die skizzierte Datenverarbeitung bedeutet immer auch Datenschutz.

Neben den großen Themen wie Big Intelligence gibt es aber auch „kleinere Einsatzszenarien“, die großen Nutzen bringen können. Hierzu gehören beispielsweise die Erstellung von Produkt-, Presse- und Website-Texten, die Zusammenfassung/Protokollierung von Personal- oder Vertriebs-Gesprächen oder die Erstellung von Prozess-Automatisierungen. Diese Funktionen können den Büroalltag effizienter gestalten und gerade bei Fachkräftemangel das Personal von solchen Aufgaben entlasten. Doch immer wenn personenbezogene Daten oder anderen kritische Informationen betroffen sind, sind neben der Informationssicherheit auch der Datenschutz zu betrachten.

Wer nun Systeme mit künstlicher Intelligenz nutzen möchte, muss aufmerksam sein, schließlich werden demnächst (wenn nicht schon geschehen) solche KI-Funktionen auch von bekannten und etablierten Software-Herstellern wie Microsoft, Apple oder Google für Unternehmen als integrierte Lösungen angeboten. Wird die KI mit Personaldaten „versorgt“, findet natürlich die DSGVO Anwendung. Dementsprechend sind Themenfelder wie Sicherstellung von Betroffenenrechten, die Verantwortlichkeit und Auftragsverarbeitung und die in der DSGVO niedergelegten Grundsätze wie das Transparenzgebot zu berücksichtigen. Kurz: Der Einsatz von KI setzt zwingend die Beachtung der Datenschutzregeln voraus. Aber auch eine Risikobewertung bei dem Einsatz von KI mit kritischen Unternehmensdaten ist immens wichtig.

Die KI steckt noch in den Kinderschuhen, wird aber schneller erwachsen werden, als möglicherweise Gesetzgeber dies gesetztechnisch begleiten können. Oder anders gesagt: Die Schaffung rechtlicher Rahmenbedingungen wird nachlaufend zum Einsatz von Künstlicher Intelligenz erfolgen. Bereits heute sind aber die datenschutzrechtlichen Herausforderungen beim Einsatz von KI-Systemen enorm. Ergebnis? Die unsichere und unklare Rechtssetzung sowie die bereits vorhandenen Datenschutzregeln führen bei Unternehmen zu einer hohen Unsicherheit, wenn es um den Einsatz von KI geht.

Umso wichtiger wird die Rolle von Datenschutz- und Rechtsexperten für Betriebe, die die Potenziale von KI dauerhaft und rechtskonform nutzen wollen. „Für den Einsatz von KI ist ein datenschutzrechtliches Bewusstsein in Unternehmen erforderlich, um die immensen Vorteile nutzbar zu machen, aber dennoch Haftungsrisiken durch Normverstöße zu verhindern“, bringt es UIMC-Geschäftsführer Dr. Jörn Voßbein auf den Punkt.

Was sagt die Politik? Das federführende Bundesjustizministerium benennt die Ziele, die mit dem Gesetz verbunden sind: „Beschäftigte in Unternehmen und Behörden nehmen Missstände oftmals als erste wahr und können durch ihre Hinweise dafür sorgen, dass Rechtsverstöße aufgedeckt, untersucht, verfolgt und unterbunden werden. Hinweisgeberinnen und Hinweisgeber übernehmen Verantwortung für die Gesellschaft und verdienen daher Schutz vor Benachteiligungen, die ihnen wegen ihrer Meldung drohen und sie abschrecken können.“

Was ist dran an der Kritik? Das Hinweisgeberschutzgesetz ist von seiner Zielsetzung her richtig. Wenn ein Hinweisgeber auf Probleme und Verstöße innerhalb des Hauses hinweist, soll er bzw. sie geschützt sein. Wenn die hinweisgebende Person die Hinweise aus Bedenken zurückhält oder weil sie nicht weiß, wo sie die Hinweise platzieren soll, kann dies zu schwerwiegenden Konsequenzen führen, schließlich können die Missstände zu einem späteren Zeitpunkt durch Behörden entdeckt werden. Vielmehr kann eine gut organisierte Meldestelle auch zu einer Verbesserung des Images führen oder das Vertrauen in das Unternehmen stärken, wenn signalisiert wird, dass man Missständen – die zum Nachteil für das Unternehmen, die Kunden und die Kollegen sein können – entgegentreten will.

„Ein Rückfall in Zeiten der DDR sehe ich nicht“, unterstreicht die Rechtsanwältin Arlette Schilde-Stenzel. „Vielmehr ist durch eine pragmatische Umsetzung der Aufwand für eine Meldestelle gering und der Nutzen für das Unternehmen hoch… zumindest dann, wenn man keine Rechtswidrigkeiten möchte“. Wichtig ist hierbei auch zu vermitteln, dass man weder Missstände noch Falschbeschuldigungen wünscht.

Was ist zu tun? Entscheidend bei der Umsetzung des Gesetzes ist die Einrichtung von Meldekanälen. Welche Unternehmen müssen diese einrichten? Wie müssen Sie ausgestaltet sein? Unternehmen und Organisationen ab 50 Mitarbeitenden müssen sichere interne Meldestellen (schriftlich oder mündlich) installieren. Unternehmen zwischen 50 und 249 Beschäftigten wird noch eine Umsetzungsfrist bis zum 17. Dezember 2023 eingeräumt.

Was ist zu beachten? Unternehmen müssen interne Meldestellen nicht selbst betreiben, sondern können nach § 14 Absatz 1 HinSchG auch Dritte als interne Meldestellen beauftragen. Die Meldewege müssen transparent und für die Belegschaft bekannt sein. Die Entgegennahme und Bearbeitung von Hinweisen kann somit auf externe Anbieter bzw. auf Ombudspersonen ausgelagert werden, sofern diese entsprechende Garantien für ihre Unabhängigkeit, Vertraulichkeit, den Datenschutz und die Geheimhaltung bieten. Zentrales Element ist das Vertraulichkeitsgebot nach § 8 HinSchG: Die internen Meldekanäle müssen so konzipiert sein, dass die Vertraulichkeit der Identität der hinweisgebenden Person, der Personen, die Gegenstand einer Meldung sind, sowie der sonstigen in der Meldung erwähnten Personen gewahrt wird. Nur mit ausdrücklicher Zustimmung der betroffenen Personen darf deren Identität auch anderen Personen gegenüber offengelegt werden.

Welche weiteren gesetzliche Vorgaben gilt es zu beachten? Beispielsweise muss dem Hinweisgeber innerhalb von sieben Tagen der Eingang seiner Meldung bestätigt werden und innerhalb von drei Monaten muss ihm eine Meldung über ergriffene oder geplante Folgemaßnahmen zugehen. Dokumentations- und Mitbestimmungspflichten sind ebenso wie Datenschutz und Informationspflichten zu beachten. „Das Hinweisgeberschutzgesetz ist von seiner Zielsetzung her richtig. Es erfordert aber auch weitere eigene Anstrengungen von Betrieben und Organisationen, um die Regeln zielgerecht umzusetzen.“

Zunächst die Definition: Innentäter sind Personen, die in Unternehmen, in Forschungseinrichtungen oder anderen Organisationen Informationen entwenden, unautorisiert weitergeben oder andere schädigende Handlungen ausführen.

Verschiedene Täter- oder Bedrohungstypen sind inzwischen von Forscherinnen und Forschern identifiziert. Die größte Gruppe von Innentätern finden sich bei ehemaligen Mitarbeitern. Hier bilden oft die Motive Rache, Gerechtigkeitsempfinden oder späte Genugtuung die Handlungsgrundlage. Die Ursachen sind vielfältig, beispielsweise Entlassung, Streitigkeiten mit Vorgesetzten oder der Geschäftsleitung, mangelnde Anerkennung, ungleiche Gehaltsstrukturen oder verpasste Gehaltserhöhungen, die ein (subjektives) Gefühl der Ungerechtigkeit hervorrufen. In diesen Fällen spricht die Forschung vom sogenannten „verärgerten Mitarbeiter“.

Allerdings ist auch die Datenmitnahme zum neuen Arbeitgeber ein Motiv, das sich finanziell oder im Ansehensranking positiv für den Täter auswirken kann. Auch politische, religiöse oder kulturelle Überzeugungen können die Gründe für das Handeln eines Innentäters sein. Stichworte sind hier: Industriespionage oder staatliche Spionage. Finanzielle Interessen und persönliche Anerkennung können ebenfalls Handlungsmotive sein. Hierzu zählen dann Erpressungen der Organisation oder die Ausnutzung von Privilegien. Um sich persönlich zu bereichern, stehlen diese Innentäter entweder Eigentum oder nutzen ihren Zugang zu IT-Systemen, um Betrug zu begehen. Die Taten fangen oft klein an und werden dann im Erfolgsfall immer größer, bis sie auffallen. Es handelt sich also typischerweise um eine Reihe von Ereignissen.

Wie kann der Schutz vor Innentätern verbessert werden? Sicherheit muss Chefsache und in eine positive Sicherheitskultur eingebettet sein. Der Schutz vor Innentäterschaft muss dabei im Rahmen eines Schutzkonzeptes ganzheitlich angegangen werden. In dieses Schutzkonzept gehören technische, organisatorische, menschliche und auch infrastrukturelle Maßnahmen. Ein paar Beispiele:

Technik: Einerseits sollte geprüft werden, ob Warnsysteme implementiert werden, um beispielsweise bei der Änderung von Datensätzen oder Datentransfers in ungewöhnlicher Anzahl zu erkennen (Stichwort Data Loss Prvention) oder andere Plausibilitätstests der Datenbestände durchzuführen. Andererseits sollten kritische Bereiche identifiziert und gerade hier das Berechtigungskonzept geschärft werden, um Missbrauch zu verhindern; in besonders kritischen Bereichen kann auch das Vier-Augen-Prinzip und eine Mehr-Faktor-Authentifizierung angewandt werden.

Organisation: Gerade beim Offboarding, also dem Ausscheiden von Mitarbeitern, gibt es oftmals Probleme. Wo fehlende Zugriffsrechte auffallen, weil neue Kollegen ihrer Arbeit nicht nachgehen können, fehlt dieses Regulativ oftmals, so dass Accounts auch nach dem Ausscheiden aktiv bleiben und die Nutzung nicht auffällt. Hierzu sind klare Prozesse zu etablieren, die regelmäßig überprüft werden sollten.

Mensch: Eine aktive Förderung der Zufriedenheit und der Arbeitsatmosphäre beugt Handlungen aus Unzufriedenheit und Rachemotiven vor und verringert somit die Wahrscheinlichkeit von Vorfällen. „Dies ist das A und O, aber auch Sensibilisierung und Schulung der Mitarbeiter ist wichtig,“ so Dr. Voßbein, „wenn dabei ist die Wachsamkeit von Mitarbeitern gegenüber ungewöhnlichen Ereignissen und von Vorgesetzten hinsichtlich der Unzufriedenheit im eigenen Bereich gefördert wird.“ Dabei ist auch wichtig, klare Wege aufzuzeigen, was dann zu tun ist (Stichwort Meldewege).

„Wann wurde in ihrem Unternehmen das letzte Mal über Innentäter gesprochen? Dies bedeutet nicht, gegenüber allen Mitarbeitern misstrauisch zu sein. Doch zeigt die Erfahrung, dass potentiell das Risiko besteht, dass es auch im eigenen Betrieb einzelne schwarze Schafe gibt“, ist Dr. Jörn Voßbein überzeugt. Um eine funktionierende Risikominimierung in Bezug auf böswillige Innentäter zu erreichen, müssen verschiedene Organisationsbereiche eng zusammenarbeiten.

Die UIMCert wurde im Jahre 2001 akkreditiert und blickt damit auf eine 20-jährige erfolgreiche Arbeit bei der Erteilung von hochwertigen Zertifikaten für Informationssicherheits-Managementsysteme zurück. In dieser Zeit hat sie in diversen Branchen ihre Kunden dahingehend überprüft, ob sie den zu der jeweiligen Zeit aktuellen Anforderungen an ein Informationssicherheits-Managementsystem (ISMS) genügten und bei positivem Ergebnis ein entsprechendes Zertifikat ausgestellt.

Die immer stärker werdenden formalen Anforderungen der Akkreditierungsstelle mit teilweise sehr fragwürdigen Interpretationen der Akkreditierungsnorm haben nun dazu geführt, dass die Aufrechterhaltung des Angebotes akkreditierter Zertifizierung wirtschaftlich nicht mehr vertretbar ist. So wurden Kompetenzen der Auditoren über viele Jahre akzeptiert, doch plötzlich – trotz hoher Expertise und Erfahrung – ohne vorherige Ankündigung nicht mehr zugelassen. Damit kann das in Deutschland einzigartige Modell der Zertifizierung mit ausschließlich langjährig bewährten, überwiegend fest angestellten Auditoren, das insbesondere auch aus Sicht der Kunden zu einer fachlich besonders hochwertigen Auditierung geführt hat, nicht mehr weiter betrieben werden.

„Wir bedauern diese Entwicklung, die aus unserer Sicht zu einer Reduzierung der Qualität der Zertifizierungsdienstleistung und zu einem geringeren Wettbewerb der Zertifizierungsanbieter führt, sehen aber keine Möglichkeit, die bisherige Vorgehensweise weiter aufrechtzuerhalten,“ bedauert Rechtsanwältin und Geschäftsführerin der UIMCert GmbH, Arlette Schilde-Stenzel, diesen Schritt.

„Da wir glauben, dass qualitativ hochwertige Zertifizierungsdienstleistungen im Bereich des Informationssicherheits-Managements immer noch wichtig sind, werden wir auch in Zukunft unsere Dienstleistung in Form von ‚nicht-akkreditierten‘ Zertifikaten anbieten und unseren Kunden die Beibehaltung des gewohnt hohen Qualitätsstandards zusichern,“ so Dr. Jörn Voßbein, Gesellschafter und Auditor der 1. Stunde.

Was war geschehen? Zum 1. Juni 2015 wurde der in Teilen von der Arbeit freigestellte Betriebsratsvorsitzende eines sächsischen Unternehmens zum Datenschutzbeauftragten dieses sowie weiterer Tochterunternehmen bestellt. Auf Veranlassung des Thüringer Landesbeauftragten für Datenschutz und Informationsfreiheit widerriefen das Unternehmen und die weiteren Konzernunternehmen die Bestellung am 1. Dezember 2017 wegen einer Inkompatibilität der Ämter mit sofortiger Wirkung.

Nach Inkrafttreten der DSGVO im Mai 2018 berief das Unternehmen den Datenschutzbeauftragten vorsorglich ein weiteres Mal ab. Hiergegen klagte der in Personalunion tätige Mann. Argumente: Die Abberufung sei unwirksam, seine Stellung als Datenschutzbeauftragter bestehe fort, eine Inkompatibilität der Ämter läge nicht vor. Außerdem sei von seiner Eignung als betrieblicher Datenschutzbeauftragter auszugehen. Das Unternehmen schloss sich der Argumentation des Landesdatenschutzbeauftragten an, wonach die Unvereinbarkeit beider Ämter einen wichtigen Grund zur Abberufung des Betriebsratsvorsitzenden als Datenschutzbeauftragten darstelle. Soweit in aller Kürze die Pro- und Contra-Argumente.

In den Vorinstanzen des höchsten deutschen Arbeitsgerichtes hatte stets der klagende Arbeitnehmer Recht bekommen. Aber: Die Revision des Arbeitgebers vor dem 9. Senat des Bundesarbeitsgerichts hatte dann Erfolg. Der Widerruf der Bestellung vom 1. Dezember 2017 war aus wichtigem Grund i. S. v. § 4f Abs. 3 Satz 4 BDSG aF i. V. m. § 626 Abs. 1 BGB gerechtfertigt. Das Gericht schreibt dazu: „Ein solcher liegt vor, wenn der zum Beauftragten für den Datenschutz bestellte Arbeitnehmer die für die Aufgabenerfüllung erforderliche Fachkunde oder Zuverlässigkeit i. S. v. § 4f Abs. 2 Satz 1 BDSG aF nicht (mehr) besitzt. Die Zuverlässigkeit kann in Frage stehen, wenn Interessenkonflikte drohen.“ Konkret: Bekleidet der Datenschutzbeauftragte eine Position, die die Festlegung von Zwecken und Mitteln der Verarbeitung personenbezogener Daten zum Gegenstand hat, liegt ein Interessenkonflikt vor.

Ergebnis: Die Aufgaben eines Betriebsratsvorsitzenden und eines Datenschutzbeauftragten können danach typischerweise nicht durch dieselbe Person ausgeübt werden.

Eine weitere Kernaussage des Urteils ist, dass personenbezogene Daten dem Betriebsrat nur zu den Zwecken zur Verfügung gestellt werden dürfen, die das Betriebsverfassungsgesetz ausdrücklich vorsieht. Die Entscheidung über die Zwecke und Mittel der Verarbeitung personenbezogener Daten liegt in der Verantwortung des Betriebsrats. Da auch die heutige Version des Bundesdatenschutzgesetzes auf Fachkunde und Zuverlässigkeit abstellt, gilt das Urteil auch nach heutigen Maßstäben.

„Das Urteil sorgt für Klarheit. Es zeigt darüber hinaus allen Akteuren, dass die Stellung des Datenschutzbeauftragten besondere Merkmale aufweist, die es bei der personellen Auswahl zu berücksichtigen gilt. Nicht ohne Grund gehen viele Unternehmen den sicheren Weg über einen externen Datenschutzbeauftragten, der oftmals auch eine höhere Akzeptanz hat“, weist Dr. Jörn Voßbein auf eine konfliktärmere Lösung hin.

Ob eine Cyberversicherung sinnvoll ist oder nicht, muss in einem Abwägungsprozess festgestellt werden, dem eine Kosten-Nutzen-Analyse zugrunde liegt. Dabei ist von entscheidender Bedeutung, wie hoch das eigene Risiko, Opfer einer Cyberattacke zu werden, eingeschätzt wird. Einige Faktoren für den Abschluss einer Versicherung sind:

• Wahrscheinlichkeit des Schadenseintritts
• Geschäftsfeld/Gewerbe (Abhängigkeit von der IT)
• Höhe des zu erwartenden Schadens
• Unternehmensgröße

Auch die Art der Absicherung muss gewählt werden, da hier gravierende Unterschiede in den Versicherungsbeiträgen bestehen. Beispiele für Versicherungsarten sind: Garantien gegen Betriebsausfälle, Identitätsdiebstahl oder die vollständige Wiederherstellung des Informationssystems nach einem Cyber-Angriff. In jedem Fall sollten die Risiken, die für den Fortbestand eines Unternehmens elementar sind, tatsächlich abgesichert werden. „Eine Versicherung ist sicher einer der letzten Schritte bei der IT-Sicherheit des eigenen Unternehmens. Zunächst sollte gut und wirkungsvoll investiert werden, denn die Versicherungsunternehmen verlangen bereits einen Katalog an Mindestanforderungen. Dazu gehören unter anderem ein Backup, das gut gegen Manipulation abgesichert ist, Patch-Management zur raschen Schließung von Sicherheitslücken, Firewalls, E-Mail-Security, Schutz privilegierter Konten und Multi-Faktor-Authentifizierung“, berichtet Dr. Voßbein und verweist auf die vorherigen Teile der UIMC-Reihe zu Informationssicherheit.

Wichtiger ist noch die Frage: Was aber ist zu tun, wenn das eigene Unternehmen Opfer einer Cyber-Attacke ist? Hierzu sind Meldewege zu definieren, alle betroffenen Personen zu informieren und Kontaktdaten auch offline bzw. analog verfügbar zu halten, schließlich kann eine digitale Kontaktliste ebenfalls vom Cyber-Angriff betroffen sein. „Was trivial klingt, wird oftmals versäumt“, so Dr. Voßbein und verweist darauf, dass bei Attacken insbesondere schnelles Handeln elementar ist.

Bei einem IT-Sicherheitsvorfall sollten die Geräte und das IT-System des Unternehmens vom Internet getrennt werden. Folge: Der Angreifende wird daran gehindert, seinen Angriff zu steuern. Eine mögliche Datenexfiltration wird verhindert. Vom Angriff betroffene Geräte und Computer sollten nach Möglichkeit nicht abgeschaltet werden, um die Arbeit von Ermittlern nicht zu behindern. Für das Unternehmen ist es in einem solchen Angriffsfall von hoher Bedeutung, ob zu normalen Zeiten regelmäßig passgenaue Backups erstellt wurden. Wenn dies so ist, kann der Geschäftsbetrieb zeitnah wieder anlaufen. „Lösegeld sollte auch nicht voreilig gezahlt werden, schließlich weiß man nie, ob die Systeme wieder ‚freigegeben‘ werden und man nicht beim nächsten Mal gezielt angegriffen wird“, empfiehlt Dr. Jörn Voßbein.

Hintergrund: Die DSGVO soll das Datenschutzniveau erhöhen. Gerade bei der Datenverarbeitung mit Kooperationspartnern außerhalb der EU spüren Unternehmen die Veränderungen. Denn die DSGVO verlangt, dass die Verantwortlichen oder Auftragsverarbeiter bei einer Datenübertragung in Drittstaaten prüfen, ob die allgemeinen Voraussetzungen der DSGVO erfüllt sind. Auf einen der wichtigsten Handelsräume der EU-Staaten, die USA, hat dies erhebliche Auswirkungen. Die Rechtsgrundlage dafür bildet Kapitel 5 der DSGVO. In Artikel 45 heißt es: „Eine Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation darf vorgenommen werden, wenn die Kommission beschlossen hat, dass das betreffende Drittland, ein Gebiet oder ein oder mehrere spezifische Sektoren in diesem Drittland oder die betreffende internationale Organisation ein angemessenes Schutzniveau bietet. Eine solche Datenübermittlung bedarf keiner besonderen Genehmigung."

Data Privacy Framework: Aktuell kann mit sämtlichen US-Firmen, die über eine DPF-Zertifizierung verfügen, in Sachen Datenverarbeitung kooperiert werden. Ob dieser Zustand von langer Dauer ist, wird in Zweifel gezogen – auch vom UIMC-Team. Erste Klagen auf Nichtigerklärung des Data Privacy Framework (DPF), des Angemessenheitsbeschlusses über den EU-Datenschutzrahmen vom 10. Juli 2023 sind bereits eingereicht. Auch die Organisation ‚None Of Your Business‘ des Anwalts Max Schrems hat Klage vor dem EuGH angekündigt. Die Organisation betont, dass der DPF-Schutzrahmen nur eine Kopie des Privacy Shield ist, der 2020 vom EuGH verworfen wurde.

Problemstellung: Unternehmen, die sich nun auf den DPF-Angemessenheitsbeschluss verlassen und ihr Geschäftsmodell darauf gründen, können schwer getroffen werden. Sollte die EuGH-Richterschaft tatsächlich das DPF-Schutzniveau verwerfen, entfällt am Tag der Gerichtsentscheidung die Datenschutzkonformität. Die Datenübermittlung und die Datenverarbeitung in die USA wären von einem Tag zum anderen bei Unternehmen gekappt.

Empfehlung: Was ist zu tun? „Wir raten, präventiv zu handeln. Die beste Prävention sind Standardvertragsklauseln (Standard Contractual Clauses/SCC; Anm. der Redaktion), die zwar zunächst mehr Aufwand bedeuten, aber langfristig Sicherheit und Verlässlichkeit für die eigenen Geschäfte über den Atlantik bringen“, erklärt Dr. Heiko Haaz. Übrigens: Standardvertragsklauseln machen ein ganzes Stück unabhängig von EuGH-Entscheidungen. „Leider stoßen die SCC bei US-Unternehmen nicht auf Gegenliebe, so dass es in finaler Konsequenz auf die Machtposition von Auftraggeber und Dienstleister ankommt, ob die Vertragsklauseln vom US-Unternehmen unterschrieben werden. Aber jeder Versuch macht kluch,“ erwähnt Dr. Haaz mit einem Augenzwinkern.

Aktuelle Infos zu IT-Gefahren und verfügbaren Updates sollten sich gerade kleine und mittelständische Unternehmen über Newsletter beispielsweise des Bundesamtes für Sicherheit in der Informationstechnologie (BSI) oder auch über den monatlichen Newsletter-Service von UIMC besorgen. Allerdings sei an dieser Stelle bemerkt: Nur das Beziehen des Newsletters reicht nicht, er muss auch intensiv gelesen werden. Besonderer Vorteil beim BSI ist das Serviceangebot Newsletter für verschiedene Zielgruppen.

Ist das eigene Unternehmen umfassend zum Thema IT-Sicherheit informiert, ist ein erstes Etappenziel erreicht, aber Information, Sensibilisierung und Schulung der Belegschaft ist dadurch noch nicht umgesetzt. Wie schafft es nun die gut informierte Unternehmensleitung oder IT-Abteilung, die Mitarbeiterschaft in den IT-Sicherheitsprozess zu integrieren?

Zur Erinnerung: Der Mensch ist der größte „Risikofaktor“ bei der IT-Sicherheit. Unabhängig von der Unternehmensgröße sind die Mitarbeiterinnen und Mitarbeiter ein beliebtes Angriffsziel. Ein beispielhaftes Problem: Früher waren Phishing-E-Mails vergleichsweise leicht zu erkennen. Das hat sich verändert. Ein paar einfache Fragen erhöhen den Schutz bereits: Ist der Absender bekannt? Erwarte ich irgendwelche Informationen von ihm? Steht der eingefügte Link im Zusammenhang mit dem erwähnten Thema?

Für das UIMC-Expertenteam steht fest: Zur effektiven Umsetzung von Anforderungen ist es unerlässlich, die Mitarbeiter zu sensibilisieren und auf die zu ergreifenden Maßnahmen zu schulen. Hierzu bietet sich heutzutage eine webbasierte Schulungsplattform an. So können Mitarbeiter sensibilisiert und geschult werden; unabhängig, ob Sie im Büro, im Home-Office oder unterwegs sind. E-Learning kann eine sinnvolle Alternative zu klassischen Schulungen sein. Es kann aber auch den persönlich geschulten Mitarbeitern die Möglichkeit geboten werden, ihr Wissen zu vertiefen oder zu festigen (Kombination aus Präsenzschulungen und E-Learning).

Ein weiteres Feld zur Verbesserung der IT-Sicherheit ist das frühzeitige Melden von IT-Sicherheitsvorfällen. Das Melden solcher Vorfälle muss gefördert werden, so die UIMC, denn nur so ließe sich ein Maximum an Vorfällen erfassen. Eine „Kultur des nicht Bestrafens für Fehler“ ist hierbei eine wichtige Empfehlung, damit Probleme frühzeitig kommuniziert werden. „Das Thema IT-Sicherheit gehört in die Unternehmenskommunikation, ob Newsletter, Infoschrift oder Weihnachtsfeier. Alles mit dem Ziel, das Thema im Bewusstsein der Belegschaft zu verankern und Cyberattacken als wesentliche Bedrohung der eigenen Arbeit sowie des eigenen Unternehmens frühzeitig zu erkennen“, unterstreicht UIMC-Geschäftsführer Dr. Jörn Voßbein.

Die UIMC geht in einer fünfteiligen Reihe auf verschiedene Themen der Informationssicherheit ein. Im heutigen dritten Teil geht es um das mobile Arbeiten und die besonderen Anforderungen bei Admin-Usern.

In der Regel ist das Unternehmensnetz besser geschützt als der Mitarbeitende zu Hause. Vorsicht sollten Unternehmen auch rund um das Homeoffice walten lassen. „Das mobile Arbeiten, ob von zu Hause oder von unterwegs, wird geschätzt. Es birgt aber auch Risiken“, so Dr. Jörn Voßbein. Risikobehaftet ist grundsätzlich die Verbindung von IT-Anwendungen mit dem Internet. Die Risiken in Stichworten: Datenexfiltration, Identitätsdiebstahl, Missbrauch des Unternehmensinformationssystems oder Ransomware dringt ein und verschlüsselt ganze Systeme.

Einige Handlungsempfehlungen sind hierbei leicht umgesetzt:

• Daten sollten immer verschlüsselt gespeichert werden,
• Geräte sollten auf Geschäftsreisen mit Blickschutzfiltern ausgerüstet sein,
• Passwörter sollten nicht gespeichert werden,
• der Zugriff auf das Unternehmensnetzwerk sollte ausschließlich über VPN (Virtual Private Network) erfolgen.
• Eine lokale Firewall sollte ebenfalls auf jedem Rechner aktiviert sein.

Aber: Das Vorhandensein einer lokalen Firewall reicht bei weitem nicht aus. Vielmehr empfiehlt die UIMC hier, in eine „menschliche“ Firewall zu investieren und Security Awareness-Schulungen zur Mitarbeitersensibilisierung zu etablieren (mehr dazu in Teil 4 der UIMC-Serie). Auch Administratoren sollten entsprechend geschult und sensibilisiert werden, auch oder weil sie viel stärker in der digitalen Welt leben.

Ferner gibt es auch im Kontext von IT Administratoren klare und konkrete Hinweise für einen besseren Schutz vor den Gefahren:

• Jede Mitarbeiterin und jeder Mitarbeiter besitzt ein eigenes Nutzerkonto.
• Administratorenkonten bleiben nur den Verantwortlichen vorbehalten und sind ansonsten für niemanden zugänglich.
• Auch Administrationsrechte sind soweit wie möglich zu beschränken und zu differenzieren.
• Besonders zu beherzigen ist der folgende Tipp: Kein Surfen im Internet von einem Administratorenkonto!
• Unverzüglicher Entzug von Administrationsrechten bei Verlassen des Unternehmens.

Eigentlich eine Selbstverständlichkeit, aber immer noch nicht überall praktiziert, ist eine effiziente Benutzerkonto-Verwaltung. Zugriffsrechte müssen bei Beschäftigten zeitnah widerrufen werden, wenn sie das Unternehmen verlassen. Gerade in Zeiten von Home Office wird dies manchmal komplizierter, da weniger auffällt, wenn ein Mitarbeiter im Home Office oder krank, im Urlaub oder ausgeschieden ist.

„Im eigenen Unternehmen sollte ein Grundmaß an IT-Sicherheit gewährleistet und gepflegt werden. Das erhöht die Resilienz gegenüber Cyberattacken, sichert Jobs und Vermögenswerte“, bringt Dr. Jörn Voßbein die Notwendigkeit von einem hohen Niveau von IT-Sicherheit auf den Punkt.