Utimaco: So schützen Unternehmen ihre Daten vor Missbrauch

In Zeiten der Wirtschaftskrise haben Datenklau und Wirtschaftsspionage Hochkonjunktur, speziell dann, wenn Unternehmen Mitarbeiter entlassen. Ob aus Sorge um die finanzielle Zukunft oder auch aus Rache – gekündigte An-gestellte werden dann empfänglich für Wirtschaftsspionage. Experten schät-zen, dass über die Hälfte von ihnen vertrauliche Daten ihres Arbeitgebers mit-gehen lassen. Hinzu kommt, dass ein Großteil auch nach Verlassen des Un-ternehmens immer noch Zugang zu internen Daten hat – damit ist dem Miss-brauch Tür und Tor geöffnet.
Aber auch ohne bewussten Missbrauch drohen Gefahren, etwa dann, wenn vertrauliche Daten im Klartext das Unternehmen verlassen, Mitarbeiter unab-sichtlich sensible Informationen auf ihre Laptops kopieren oder unverschlüs-selte mobile Endgeräte wie Notebooks und Festplatten verloren gehen. Da-tensicherheitsexperte Utimaco hat zehn Grundregeln zusammengestellt, wie Unternehmen ihre Daten wirksam schützen können.

1. Unternehmensweite Sicherheitsrichtlinien. Das A und O einer erfolgreichen Abwehr gegen Datenmissbrauch von innen und außen sind unternehmens-weite Sicherheitsrichtlinien. Die Einhaltung der Vorgaben muss durch effektive Maßnahmen zur Umsetzung und Kontrolle sichergestellt werden. Wichtig hierbei ist ein zentrales Sicherheitsmanagement. Dazu gehört beispielsweise, dass gekündigten Mitarbeitern die Zugriffsrechte für vertrauliche Daten entzo-gen werden. Damit wird auch späteren illegalen Downloads von außen ein Riegel vorgeschoben.

2. Klassifikation von Unternehmensdaten. Wichtig ist, dass Unternehmen fest-stellen, über welche Arten von Daten und Informationen sie verfügen: nicht al-le sind gleichermaßen wichtig. Daher empfiehlt es sich, die vorhandenen Da-ten in Sicherheitsklassen einzuteilen. Bereits eine einfache Kategorisierung in öffentlich, intern und vertraulich nützt sehr viel. An dieser Kategorisierung hat sich die Sicherheitsstrategie organisatorisch und technisch zu orientieren.

3. Schutz vor Viren und Trojanern. Ein wesentlicher Bestandteil der unter-nehmensweiten IT-Security sind technische Vorkehrungen zur Abwehr von Trojanern, Spyware und anderem schädlichen Programmcode. Damit wird verhindert, dass Cyberkriminelle die Server eines Unternehmens infizieren und vertrauliche Daten entwenden. Es dürfen keine privaten Memorysticks oder externe Festplatten verwendet werden. Somit sinkt auch das Risiko, über diese Medien Trojaner, Viren und anderen Schadcode in die Unternehmens-umgebung einzuschleusen.

4. Absicherung der Zugänge ins Unternehmensnetzwerk. Eine sichere VPN-Leitung ist der einzig zulässige Weg, über den Mitarbeiter sich von unterwegs in das Firmen-LAN einwählen können. Dazu wird in der Unternehmenszentra-le ein VPN-Gateway eingerichtet, das die Benutzerberechtigungen der einzel-nen Außendienstmitarbeiter überprüfen kann.

5. Schulung von Mitarbeitern. Ein wichtiger Schritt zur Abwehr möglicher Spi-onageangriffe sollte immer sein, alle Mitarbeiter über Gefahren zu informieren und ihr Sicherheitsbewusstsein und -verhalten zu stärken. Nur wer über Risi-ken und Einfallstore für Wirtschaftsspione von außen und innen informiert ist, kann wirkungsvolle Gegenmaßnahmen in Angriff nehmen. Ein wichtiger Grundsatz: Es dürfen keine sensiblen Daten im Klartext das Unternehmen verlassen, sei es per E-Mail oder einem mobilen Endgerät. Ein kostenloser Online-Test des Innenministeriums Nordrhein-Westfalen zeigt Firmen, ob sie sich vor Wirtschaftsspionage in Acht nehmen müssen: www.im.nrw.de/wirtschaftsspionage.

6. Gewaltenteilung für ein Extra an Sicherheit. Durch die Trennung der Ver-antwortlichkeiten für IT-Administration und IT-Sicherheit wird ein Plus an Si-cherheit erzielt. Denn der Systemadministrator kann zwar wie gewohnt sein System verwalten, hat aber keine Möglichkeit, Dateien zu entschlüsseln. Die Schlüssel verwaltet der Sicherheitsadministrator, der jedoch keinen Zugriff auf die verschlüsselt abgespeicherten Daten hat.

7. Zugriffsrechte für bestimmte Benutzergruppen. Persönliche Informationen, vertrauliche Daten, Finanzunterlagen oder Konstruktionszeichnungen – ent-scheidend ist, dass nur autorisierte Benutzergruppen Zugriff auf sensible In-formationen haben. Individuelle Zugriffsrechte für Arbeitsgruppen oder einzel-ne Nutzer legen entsprechend der Sicherheitsrichtlinien fest, wer die vertrauli-chen Daten im Klartext lesen darf oder wer nur einen chiffrierten Zeichensatz auf dem Monitor sieht. Sensible Daten dürfen nur an einen klar definierten Kreis von Adressaten verschickt werden. Dies verhindert, dass vertrauliche In-formationen ungehindert aus dem Unternehmen „abwandern“.

8. Mehrfach authentisiert schützt besser. Die Einrichtung schwer zu knacken-der Passwörter bildet einen ersten Schutzwall. Wenn es auf zusätzliche Si-cherheit ankommt, helfen Smartcards oder Tokens als zweiter Schutzwall wei-ter. Sie enthalten Informationen, die erst in Verbindung mit dem Passwort des Benutzers ein Endgerät freischalten. Eine weitere Option ist der Einsatz von Fingerprint-Readern. Beim Booten oder Login müssen Benutzer sich dann per Fingerabdruck authentifizieren.

9. Verschlüsselung von E-Mails. Obwohl die Verschlüsselung und Signatur vertraulicher Mails über E-Mail-Clients möglich wäre, wird dies meist unterlas-sen. Professionelle Lösungen integrieren die kryptografischen Prozesse der Ver- und Entschlüsselung sowie der elektronischen Signatur und Authentisie-rung an zentraler Stelle. Eine versehentlich an den falschen Adressaten ver-schickte E-Mail bleibt verschlüsselt. Damit lassen sich automatisch unterneh-mensweite, zentrale Sicherheitsrichtlinien für die E-Mail-Kommunikation um-setzen.

10. Mobile Endgeräte und Speichermedien nicht vergessen. Ob Notebooks, USB-Sticks, Speicherkarten, externe Festplatten oder DVDs: Mit einer zentral eingerichteten und administrierten Sicherheitslösung für die automatische Verschlüsselung sind Unternehmensdaten zu jedem Zeitpunkt vor unautori-siertem Zugriff sicher – selbst wenn das Endgerät oder das Speichermedium verloren geht. Unternehmen sind damit in der Lage, einfach und effektiv ge-setzliche Anforderungen sowie interne Sicherheitsrichtlinien plattformübergrei-fend umzusetzen.

„Unternehmen müssen in Anbetracht der ständig steigenden Gefahren das Thema Datenverlust und -missbrauch von innen und außen Ernst nehmen“, erklärt Markus Bernhammer, Executive Vice President Central and Eastern Europe der Utimaco Safeware AG in Oberursel. „Unabdingbar sind unterneh-mensweite Sicherheitsrichtlinien, die dem Aspekt innere Sicherheit eine be-sondere Beachtung schenken. Dazu gehören klare Regeln, die festlegen, wie und über welche Kommunikationskanäle Daten das Unternehmen verlassen dürfen.“

  daten, it-sicherheit, pr-com, utimaco