Besser auf Nummer sicher gehen Der Mittelstand steht zunehmend im Fokus von Spionageaktivitäten

Transkript

1 Vorsicht: Know-how-Klau WiewichtigderSchutzdereigenenDatenist,wirdvielenUnternehmenerstbewusst,wennesschonzuspät ist beispielsweise, nachdem man bereits Opfer eines Spionageangriffs geworden ist. Hundertprozentige Sicherheitgibtesleidernicht VorbeugenheißtdeshalbdieDevise. tw gibteineneinblickindasthema undstellteinrichtungenvor,diebeiderpräventionbehilflichsind. Seite 8 April 2011

2 Besser auf Nummer sicher gehen Der Mittelstand steht zunehmend im Fokus von Spionageaktivitäten Im Zeitalter voranschreitender Globalisierung steht das Know-how deutscher Unternehmen im besonderen Interesse von Wettbewerbern und fremden Nachrichtendiensten. Made in Germany ist begehrt und steht für technologischen Fortschritt, höchste Qualität und erfolgreichen internationalen Wettbewerb. Wirtschaftsspionage und Konkurrenzausspähung richten sich verstärkt gegen technologieorientierte und innovative mittelständische Unternehmen. Allerdings sind sich diese Unternehmen vielfach der Risiken ungewollten Know-how-Verlustes wenig bewusst und verfügen nur selten über ein Informationsschutzkonzept. Fremde Nachrichtendienste und Wettbewerber interessieren sich für zukunftsträchtige Technologien, aber auch für Unternehmensund Marktstrategien. Die Informationsbeschaffung fremder Nachrichtendienste, insbesondere der Volksrepublik China sowie der Russischen Föderation, erfolgt mit Mitteln und Methoden der offenen sowie der geheimen Nachrichtenbeschaffung. Nach wie vor werden menschliche Quellen genutzt, um Zugang zu geschütztem Know-how zu erhalten. Zunehmende Bedeutung erhält jedoch auch die weltweite Datenvernetzung für neuartige Angriffs- und Ausspähungstechniken. Grundlage für Angriffe auf das Know-how der Firmen sind häufig personenbezogene Daten über geeignete Zielpersonen, um sie zum Beispiel nachrichtendienstlich anzubahnen oder ihnen individuell gestaltete s mit Schad-Software zu übermitteln. In einer offenen Gesellschaft ist es leicht, zum Beispiel über soziale Netzwerke oder sogenanntes Social Engineering geeignete Informationen über interessante Zielpersonen zu erhalten. Nur die notwendigsten Dokumente mitführen und beaufsichtigen Besondere Risiken sind verbunden mit Geschäftsreisen in Länder wie Russland oder China. Auf eigenem Territorium haben deren Nachrichtendienste nahezu unbeschränkte Möglichkeiten zur Überwachung von Zielpersonen und Zielobjekten. Daher ist es ratsam, nur für den Reiseanlass unbedingt notwendige Firmenunterlagen mitzuführen. Diese sollten möglichst nicht unbeaufsichtigt bleiben ein Hotelzimmer ist hierbei kein sicherer Aufbewahrungsort. Weitere sinnvolle Sicherheitsmaßnahmen sind die Einschränkung der mobilen Kommunikation und des elektronischen Datenverkehrs auf das Notwendigste. Dazu empfiehlt sich auch die technische Überprüfung aller elektronischen Geräte und Speichermedien auf mögliche Schad-Software nach Rückkehr. Unter Berücksichtigung der möglichen Bedrohungsszenarien und Risiken steht der Faktor Mensch im Zentrum. Nur der sensibilisierte Mitarbeiter kann Sicherheitsrisiken frühzeitig erkennen, begrenzen und dadurch einen wesentlichen Beitrag zum Informationsschutz im Unternehmen leisten. Grundlage für einen wirksamen und umfassenden Informationsund Know-how-Schutz in den Unternehmen ist insbesondere die Ermittlung der elementaren Unternehmenswerte. Darauf basierend gilt es, unter Einbindung der Mitarbeiter ein Informationskonzept zu erstellen, das einen möglichst zielgerichteten Schutz des existenzsichernden Know-hows ermöglicht. Wirtschaft und Verwaltung kooperieren in Public Private Partnership Der Schutz der Unternehmen vor Wirtschaftsspionage ist auch eine gesamtstaatliche Aufgabe. Diese Erkenntnis hat im Jahr 2008 zur Konstituierung des Ressortkreises Wirtschaftsschutz geführt. Der Zusammenschluss von Sicherheitsbehörden und Ministerien dient vor allem dem intensiven Austausch relevanter Erkenntnisse sowie der gemeinsamen Erarbeitung von Konzepten zum Wirtschaftsschutz. Über die Kooperation mit der Arbeitsgemeinschaft für Sicherheit der Wirtschaft e. V. (ASW) innerhalb des Ressortkreises wird zudem eine zukunftsweisende Public Private Partnership mit der deutschen Wirtschaft angestrebt. Im Rahmen der vorbeugenden Spionageabwehr der Verfassungsschutzbehörden steht als Leitmotiv die Prävention durch Information. Das Bundesamt für Verfassungsschutz (BfV) bietet hierbei vielfältige Security-Awareness -Aktivitäten, zum Beispiel bilaterale Sicherheitsgespräche, Sensibilisierungsvorträge in Unternehmen und bei Verbänden, diverse Publikationen, einen elektronischen Newsletter sowie ein umfangreiches Internetangebot zum Wirtschaftsschutz an. Auch beim Verdacht auf Wirtschaftsspionage stehen die Verfassungsschutzbehörden den Unternehmen zur Seite. Aufgrund jahrzehntelanger Erfahrung im Bereich Spionageabwehr sind sie in der Lage, Verdachtssituationen zutreffend einzuschätzen und geeignete Maßnahmen zur Aufklärung zu ergreifen. Herbert Kurek, Referatsleiter Abteilung Spionageabwehr, Wirtschaftsschutz, Bundesamt für Verfassungsschutz, Köln April 2011 Seite 9

3 Plattform hilft beim Schutz vor Späh-Angriffen ArbeitsgemeinschaftfürSicherheitderWirtschafte.V.dientdem Austausch von Unternehmen und Verbänden Deutsche Unternehmen sind heute in vielen Bereichen Weltmarktführer. Sie investieren erheblich in Forschung und Innovation. Für viele Firmen stellt die Forschungs- und Entwicklungsfähigkeit einen Hauptteil ihres Unternehmenswertes dar. Dieser Wert muss effektiv vor Spionage geschützt werden. Der Schaden durch Spionage für die deutsche Wirtschaft wird auf jährlich mindestens 20 Milliarden Euro geschätzt. In der deutschen Wirtschaft spielt das Thema Informationsschutz beziehungsweise Schutz geistigen Eigentums seit Jahren eine wichtige Rolle. So wurde im Jahre 1993 unter maßgeblicher Beteiligung des Deutschen Industrie- und Handelskammertags (DIHK) die Arbeitsgemeinschaft für Sicherheit der Wirtschaft e. V. (ASW) als zentrale Organisation der deutschen Wirtschaft geschaffen. Die ASW fungiert als gemeinsame Plattform für Verbände und Unternehmen. Sie koordiniert den Austausch sicherheitsrelevanter Informationen zwischen Behörden und Wirtschaft und trägt damit erheblich zu einer Verbesserung des Sicherheitsniveaus für deutsche Unternehmen bei. Auch bei der Bekämpfung der Marken- und Produktpiraterie ist die deutsche Wirtschaft aktiv. So wurde 1997 auf Initiative des DIHK, des Markenverbandes und des Bundesverbandes der Deutschen Industrie der Aktionskreis Deutsche Wirtschaft gegen Produkt- und Markenpiraterie e. V. (APM) gegründet. Spionage findet aber nicht nur zwischen konkurrierenden Unternehmen statt. Auch ausländische Nachrichtendienste sind involviert und betreiben Wirtschaftsspionage gegen deutsche Unternehmen. Deshalb ist es immens wichtig, dass auch der deutsche Staat sich einschaltet, um solche Angriffe auf das Know-how abzuwehren. Insofern gilt es, die Verfassungsschutzbehörden so auszubauen, dass sie genügend Kapazitäten haben, um die Wirtschaft ausreichend vor Bedrohungen zu schützen. Dabei setzt die Bundesregierung auf ein breites Netzwerk aller Sicherheitsbehörden und der für Wirtschaftsschutz relevanten Ministerien. Im Ressortkreis Wirtschaftsschutz werden die Erkenntnisse der Bundesregierung zur Wirtschaftsspionage bewertet und gebündelt. Gerade mittelständische Unternehmen sind regelmäßig Opfer von Wirtschaftsspionage, wie zahlreiche Studien belegen. Wer das Sicherheitsniveau in der deutschen Wirtschaft erhöhen will, darf sich deshalb nicht allein auf Großkonzerne fokussieren. Die ASW bietet sich als verlässlicher, nicht kommerzieller Partner für einen Informationsaustausch mit dem deutschen Mittelstand an. Insofern ist es konsequent, dass die ASW für den Ressortkreis Wirtschaftsschutz der Bundesregierung als zentraler Ansprechpartner der deutschen Wirtschaft fungiert. Auch die richtigen Ansätze der Bundesregierung auf dem Feld der IT-Sicherheit müssen noch stärker an den Mittelstand kommuniziert werden. Bund und Länder sollten hierbei die Industrie- und Handelskammern (IHKs) stärker als bisher als Multiplikatoren nutzen. Schätzungen zufolge werden in Deutschland jährlich 20 bis 30 Milliarden Euro Umsatz mit gefälschten Produkten aus Drittstaaten erzielt Tendenz steigend. Die Dunkelziffer ist dabei sehr hoch, da der deutsche Zoll nur zwei bis fünf Prozent aller Warenlieferungen kontrollieren kann. Produkt- und Markenpiraterie entsteht durch eine gut organisierte Schattenwirtschaft. Neben der konsequenten Verfolgung der Fälscherbanden muss die Aufklärung der Verbraucher weiter verstärkt werden. Der Kauf gefakter Produkte ist kein Kavaliersdelikt. Das muss ebenso deutlich werden wie die Risiken, die mit einem solchen Schnäppchen verbunden sind. Vielfach man denke nur an Medikamente gefährdet der Konsument damit unwissentlich seine Gesundheit. Zur besseren Durchsetzung und Information muss der Staat die personellen und finanziellen Ressourcen erhöhen. Da die Produktund Markenpiraterie national und auf EU-Ebene mehrere Ministerien betrifft, Seite 10 April 2011

4 bedarf es eines Koordinators für Produktund Markenschutz. Die wirksame Abwehr komplexer Sicherheitsrisiken in Unternehmen erfordert Handlungs- und Entscheidungsfähigkeit auf der Ebene des Topmanagements. Insofern muss die spezielle Schulung leitender Sicherheitsmanager durch Unternehmen und Hochschulen vorangetrieben werden. Vielfältige Hilfestellungen zum Unternehmensschutz geben die regionalen Sicherheitsverbände sowie die IHKs. Bei aller Bedeutung des Themas Sicherheit darf man aber auch den ökonomischen Aspekt nicht aus den Augen verlieren. Der Gesetzgeber muss vor Verabschiedung neuer Sicherheitsstandards eine Kostenabschätzung für die Wirtschaft durchführen. Ein noch stärkeres Zusammenwirken von Staat und Wirtschaft bei der Erarbeitung von betrieblichen Schutzkonzepten hat neben der Verbesserung der Sicherheit auch klare ökonomische Vorteile. So wird es zu einer erheblichen Förderung von Innovationen für die deutsche Wirtschaft im globalen Wettbewerb kommen. Dr. Berthold Stoppelkamp, Geschäftsführer der Arbeitsgemeinschaft für Sicherheit der Wirtschaft e. V., Berlin Spionage über die Datenautobahn EinBasisschutzgegenIT-Ausfälleistvielzuwenig gefragt sind ganzheitliche Konzepte Informationstechnologie nimmt in den Unternehmen eine wichtige Rolle ein verständlich also, dass die Verantwortlichen in den IT-Abteilungen alles tun, um diese am Laufen zu halten. Denn nicht zuletzt leistet die hohe Ausfallsicherheit der IT-Systeme einen entscheidenden Beitrag zum Fortbestand des Unternehmens. Doch vor allem bestimmte Informationen und Daten das unternehmenskritische Know-how sind maßgeblich für den Unternehmenserfolg. In Zeiten, in denen Unternehmen sparen müssen, herrscht ein hoher Bedarf an Optimierungspotenzial, um Effizienz und Wertschöpfung zu steigern. Mittels IT können Kosten gesenkt, Innovationsprozesse beschleunigt und Geschäftsprozesse effizienter gestaltet werden. Viele Unternehmen setzen heute darauf, Ausfälle von IT-Systemen zu vermeiden, zum Beispiel durch die redundante Auslegung von Servern sowie durch eine schnelle Wiederherstellung der Geschäftsaktivitäten im Krisenfall. Letzteres geschieht mittels durchdachter Backup-Systeme. In der Regel wird zu wenig bedacht, dass in der IT alle unternehmenskritischen Daten abgespeichert sind. Die logische Schlussfolgerung hieraus müsste lauten, dem Schutz der Infrastruktur höchste Priorität einzuräumen. Denn hier liegt ein April 2011 Seite 11

5 Fotos: istockphoto.com/hjroy/saluha enorm hohes Bedrohungspotenzial. Doch IT-Security bedeutet in vielen Unternehmen vorrangig, die Business Continuity zu gewährleisten und nicht, die IT-Systeme vor Angriffen zu schützen. Hinzu kommt, dass die Zeiten der unadressierten Massenattacken vorbei sind. Heute setzen illegale Eindringlinge vorwiegend auf systematische Angriffe, die durch ein außerordentliches technisches Know-how gekennzeichnet sind. Dies erfordert von Unternehmensseite eine umfassende Expertise, um sich vor Wirtschaftsspionage und -kriminalität, Sabotage sowie ungewolltem Datenabfluss zu schützen. Unternehmenskritische Informationen vor unerwünschten Zugriffen absichern Selbst wenn ein hundertprozentiger Schutz technisch nicht realisierbar ist, so ist es doch möglich, die unternehmenskritischen Informationen optimal abzusichern. Hierfür muss die IT- Sicherheit als kontinuierlicher Prozess betrachtet werden, der über den Basisschutz hinausgeht. Die Implementierung der standardmäßigen Sicherheitslösungen wie Firewall und Virenscanner ist zwar ein unabdingbares Muss, aber eben nur das absolute Minimum. Es ist aber mittlerweile nicht mehr ausreichend. Wie kann die bestmögliche Absicherung erfolgen? Empfehlenswert ist eine graduelle Vorgehensweise. Dies bedeutet, alle Maßnahmen sowohl technische, organisatorische als auch rechtliche in einem ganzheitlichen IT-Sicherheitskonzept zusammenzufügen. Im Rahmen der Strategieentwicklung gilt es, im ersten Schritt die schützenswerten Daten zu ermitteln sowie daraus entsprechende Prozesse und Maßnahmen zu definieren. Auf diesen Informationen basiert der Stufenplan, an dessen Anfang die Definition eines verbindlichen Regelwerks für die Sicherheit im Unternehmen steht und im Weiteren dann die Planung und Umsetzung der konkreten Schutzmaßnahmen. Oberste Priorität sollte sein, ein unter Kosten- und Nutzenaspekten angemessenes Schutzniveau für jede Abteilung und alle Daten zu projektieren. Denn eine undifferenzierte Vorgehensweise birgt die Gefahr, dass die Sicherheitsmaßnahmen partiell zu umfangreich und damit zu teuer ausfallen, auf der anderen Seite jedoch für besonders schützenswerte Bereiche wie etwa die F&E-Abteilung oder die hochsensiblen Informationen zu gering dimensioniert sind. Gefahren erkennen Maßnahmen ergreifen Die Geschäftsleitung muss die Bedeutung der IT als Träger wertvoller Unternehmenswerte anerkennen und die Priorität der IT-Sicherheit hoch genug ansetzen. Die Inventarisierung der Unternehmenswerte ist der Grundstein, um die eingesetzten Maßnahmen an den tatsächlichen Schutzbedarf anzupassen. Es bedarf ausformulierter Sicherheitsrichtlinien. Bei der Einführung neuer Technologien ist deren Absicherung in ausreichendem Maße zu berücksichtigen. Die üblichen Standards wie Virenscanner und Firewall reichen nicht aus. Mobile Endgeräte müssen zwingend in der Sicherheitsstrategie berücksichtigt werden, inklusive entsprechender Sicherheitskonzepte wie etwa Virtual Private Network (VPN). IHK-Infobox Wolfgang Straßer, GmbH, Leichlingen Die Niederrheinische IHK bietet zusammen mit der Datenschutzakademie NRW einen Datenschutzsprechtag am 21. April, 15 bis 17 Uhr, in der IHK-Hauptgeschäftsstelle, Duisburg, an. Details: Nadine Deutschmann, Telefon , Weitere Details zur Datensicherheit sind auch bei der ASW Arbeitsgemeinschaft für Sicherheit und Wirtschaft e. V., www. asw-online.de, sowie dem Bundesamt für Verfassungsschutz, verfügbar. Seite 12 April 2011