Management und Wissen

KES/KPMG-Sicherheitsstudie 2002

Lagebericht zur IT-Sicherheit (2)

Von Reinhard Voßbein und Jörn Voßbein, Wuppertal

Verlässliche Zahlen zu Risiken und Angriffen sowie Konzepten und Maßnahmen der IT-Sicherheit in der aktuellen Praxis sind selten, ganz zu schweigen von konkreten Erkenntnissen über Vorhaben für die sicherheitsrelevante Zukunft der IT-Landschaft. Als umso nützlicher dürften sich die Ergebnisse unserer 9. Sicherheitsstudie aufgrund der umfassenden Antworten hochkarätiger Teilnehmer erweisen.

Die Teilnehmer an der KES/KPMG-Sicherheitsstudie sind üblicherweise große Unternehmen; in diesem Jahr mit durchschnittlich 8 000 Mitarbeitern, jeweils über 400 davon in der Informationsverarbeitung. Auch die vertretenen Branchen legen mit einem beträchtlichen Anteil von Kreditwirtschaft, Behörden und Versicherungen den Schluss nahe, dass es sich bei den Befragten um eine Stichprobe handelt, die eine erhöhte Sensibilisierung in Sachen Sicherheit aufweist. Im Allgemeinen dürften daher Maßnahmen und Konzepte zur IT-Security eher noch weniger verbreitet sein als es die – teilweise noch immer erschreckenden – Ergebnisse dieser Studie darlegen.

Genauere Hinweise zu statistischen Daten der Teilnehmer an der KES/KPMG-Sicherheitsstudie finden Sie im ersten Teil unseres Lageberichts zur IT-Sicherheit (s. KES 2002/3, S. 14) zusammen mit Auswertungen zur aktuellen und zukünftigen Risikosituation, dem Kenntnisstand und Stellenwert der Informationssicherheit (ISi) sowie Informationen über Outsourcing, Consulting und Versicherungen. Die konkreten Erkenntnisse zu digitalen Signaturen und Public Key Infrastructures (PKI) haben wir – aus aktuellem Anlass – ebenfalls bereits in der vorigen KES veröffentlicht.

Konzepte

Das Thema IT-Sicherheitsstrategie und -Konzepte erwies sich in nahezu allen KES-Studien in der Vergangenheit als eher notleidend. Hier scheint sich eine gewisse Verbesserung abzuzeichnen: 56 Prozent der Befragten gaben an, eine schriftlich fixierte Strategie für die IT-Sicherheit zu haben. Auch die Sicherheitsmaßnahmen basieren zu über 70 Prozent auf schriftlichen Formulierungen. Die Nutzung von Internet und E-Mail beruht sogar zu 86 Prozent auf einer schriftlich fixierten Konzeption. Die genannten Punkte sind somit in den betreffenden Unternehmen kontrollierbar, revisionsfähig und nach den Grundsätzen ordnungsmäßiger Projektabwicklung nachvollziehbar. Dies bestätigt sich auch darin, dass lediglich ein Viertel der Teilnehmer die Einhaltung der vorgesehenen Maßnahmen nicht prüft, wohingegen bei denjenigen, die Kontrollen durchführen, die Revision eine dominierende Position einnimmt.

Überprüfung der Einhaltung der Maßnahmen

Sogar 84 Prozent der Teilnehmer prüfen die Eignung der Konzepte, vor allem durch erneute Schwachstellen-und Risikoanalysen sowie Notfall- und Wiederanlaufübungen. Das ist auch dringend geboten: Denn nahezu 90 Prozent aller Überprüfungen haben Schwachstellen aufgedeckt, deren Beseitigung bei zwei Drittel der befragten Unternehmen noch andauert. Lediglich bei einem Prozent wurden anschließend keine Aktivitäten ergriffen. Die Überprüfungen erstrecken sich bei rund 60 Prozent nur auf einzelne Systeme, bei immerhin 33 Prozent auf alle geschäftskritischen Systeme.

Ein EDV-Notfall-/Wiederanlaufkonzept mit schriftlicher Fixierung und Validierung besitzen allerdings nur 26 Prozent der Unternehmen. Zwar geben weiterer zirka 60 Prozent an, ein solches Konzept zu haben, dieses sei aber entweder nicht schriftlich fixiert oder nicht validiert und freigegeben worden. An der Sinnhaftigkeit solcher Verfahrensweisen dürften Zweifel angebracht sein. Die Hochverfügbarkeitsanforderungen von E-Business-Systemen sind nur bei einem Bruchteil der untersuchten Unternehmen in den Konzepten berücksichtigt.

Bewertung der Verbesserungssituation

Der Sinn von Schwachstellenkonzeptionen und Sicherheitsmaßnahmen kann nur in einer Verbesserung der Sicherheitssituation liegen. Bei der Frage nach Hindernissen für eine Verbesserung der IT-Sicherheit steht fehlendes Problembewusstsein mit weitem Abstand an der Spitze: So fehlte es nach Aussage der Befragten in zwei Drittel aller Fälle am richtigen Bewusstsein der Mitarbeiter, dicht gefolgt von dem des mittleren Managements und immerhin noch bei 50 Prozent des Top-Managements. 46 Prozent der Befragten nannten fehlendes Geld als wesentliches Hindernis für die Beseitigung von Sicherheitsmängeln. Die Auswertung der Mehrfachnennungen zeigt, dass im Durchschnitt 4,7 Hindernisse bestehen, in den Unternehmen und Behörden also meist ein ganzer Kanon von Problemen existiert, die eine Verbesserung der Informationssicherheit erschweren.

Diese Problematik zeigt sich auch darin, dass fast 70 Prozent der Befragten angeben, Sicherheitsaspekte seien bei der Beschaffung von EDV-Systemen eher zweitrangig oder unbedeutend. Zwei Drittel der befragten Unternehmen verzichten auf eine Verifikation der Erfüllung von Sicherheitsanforderungen vor der Inbetriebnahme von Systemen.

Risikobewertung

Das Thema Risikobewertung ist seit den grundlegenden Arbeiten des Bundesamts für Sicherheit in der Informationstechnik (BSI) aus der Sicherheitsdiskussion nicht mehr wegzudenken. Erfreulicherweise führen 21 Prozent der befragten Unternehmen eine Risiko- und Schutzbedarfsbewertung für alle Anwendungen und Systeme durch, immerhin 49 Prozent zumindest für einzelne Systeme. 30 Prozent der Teilnehmer gaben an, dass bei ihnen keine Risikobewertung vorgenommen wird. Hierbei wird die Klassifizierung durch die Beurteilung des Imageverlusts dominiert, gefolgt von Verstößen gegen Gesetze, Vorschriften und Verträge. Die Gruppe der direkten und indirekten finanziellen Schäden landet hingegen nur im Mittelfeld.

Risikoklassifizierung

Gesetzliches Umfeld

Angesichts der hohen Bedeutung, die Gesetzen bei der Risikobewertung eingeräumt wird, nehmen die Teilnehmer der Studie Probleme, die aus Gesetzen und Regelungen für die Unternehmen hervorgehen, häufig in einem zu geringen Maße wahr. Die Antworten zur Umsetzung der Gesetze mussten allerdings mit einer gewissen Vorsicht interpretiert werden, da sie teilweise inkonsistent zu den Relevanz- und Bekanntheits-Angaben wirken. Das bekannteste Gesetz ist eindeutig das Bundesdatenschutzgesetz (BDSG): 74 Prozent der Befragten gaben zudem an, dass das BDSG für sie auch relevant sei – aufgrund der Befragtenstruktur müsste man jedoch eine noch höhere Durchdringung erwarten. In immerhin knapp zwei Dritteln der befragten Unternehmen wird das BDSG umfassend umgesetzt.

Schlechtere Ergebnisse zeigten sich für die Telekommunikations- und Teledienste-Gesetze, sowohl beim Bekanntheitsgrad als auch in der Umsetzung: Jeweils rund 25 Prozent sind die Regelungen von TKG, TDG sowie der zugehörigen Datenschutzbestimmungen gänzlich unbekannt. Von den Teilnehmern, die Angaben zur Umsetzung dieser Bestimmungen gemacht haben, bezeichneten nur ein Viertel diese als umfassend. Angesichts der Bedeutung gerade der Teledienstegesetze für das E-Business sowie die Protokollierung auf Firewalls und Webservern (vgl. KES 2000/5, S. 6) ist das eine ernüchternde Quote.

Als ähnlich unbekannt erweist sich bei den Befragten das Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG), das Unternehmen unter anderem zur Einrichtung von Risikomanagementsystemen verpflichtet. Die Formulierung des KonTraG wendet sich zwar unmittelbar nur an den Vorstand börsennotierter Gesellschaften, die Gesetzesbegründung legt aber nach Meinung vieler Experten den Schluss nahe, dass sich ähnliche Verpflichtungen auch für andere Unternehmensformen aus den Sorgfaltspflichten der Geschäftsführer ergeben.

Relevanz und Bekanntheit der Gesetze

Tools und Vorgehensweisen

Die für die Beurteilung der IT-Sicherheit eingesetzten methodischen Vorgehensweisen und Software-Tools werden dominiert von checklistengestützten Schwachstellenanalysen, gefolgt von Verfahren nach dem IT-Grundschutzhandbuch des BSI. Die "Verfolgergruppe" bilden selbst und von Beratern entwickelte Verfahren, Softwareanalyse-Tools sowie das IT-Sicherheitshandbuch des BSI.

An der Spitze der Prüfungsobjekte stehen Datenklassifizierung und Zugriffsrechte gefolgt von der Ablauforganisation. Eine zweite eng beieinander liegende Gruppe bilden softwareorientierte Prüfungen: Softwareeinsatz, -entwicklung und der -funktionalität. Auch Konzeptionen und Zielsetzungen werden noch von über 40 Prozent einer ISi-orientierten Prüfung unterzogen.

Maßnahmen

Die Erfassung der realisierten, geplanten und nicht vorgesehenen Maßnahmen zur Erhöhung der IT-Sicherheit erfolgte in einer komplexen Tabelle, wobei einige Maßnahmen nochmals in Untergruppen genauer behandelt wurden. Bei der Auswertung wurde diese Tabelle zur besseren Übersicht zusätzlich in sinnvolle Einzeltabellen zerlegt, zumal die Bezugsgrundlagen der Prozentuierung durch unterschiedliche Stellungnahmen oder fehlende Antworten ständig wechseln. Dabei lag unser besonderes Augenmerk auf den bereits realisierten Maßnahmen. In der Gesamtansicht ist die Differenz zwischen dem Prozentanteil derjenigen Unternehmen, die eine Maßnahme realisiert haben, und der Gesamtheit von 100 Prozent jeweils in denjenigen Unternehmen zu sehen, die die betreffende Maßnahme erst planen oder aber nicht vorgesehen haben. Grundsätzlich haben die Serversysteme den höchsten Realisationsstand im Hinblick auf Sicherheit.

Die Teilübersicht zu den Authentisierungsmaßnahmen zeigt leider immer noch eine starke Dominanz des Passworts. Die biometrischen Verfahren erweisen sich in der derzeitigen Praxis generell als bedeutungslos und liegen auch in der Planung regelmäßig nur auf Platz zwei hinter den Chipkarten.

Realisierte Maßnahmen zur Authentisierung

Verschlüsselung

Die Maßnahmen zur Verschlüsselung zeigen eine klare Dominanz bei ausgewählten sensitiven Daten – besonders positiv fällt auf, dass vor allem die Festplatten und Dateien mobiler Endgeräte in hohem Maße chiffriert werden.

Bei der konkreten Frage, ob man E-Mail verschlüssele, sofern der Kommunikationspartner über einen Kryptoschlüssel verfügt, antworteten 44 Prozent der Befragten, dies für sensitive Nachrichten zu tun, 13 Prozent bei allen externen E-Mails. Vier Prozent gaben an, jede Nachricht, die verschlüsselt werden kann, zu chiffrieren. An der Spitze der verwendeten Standards steht eindeutig PGP, mit nahezu dem doppelten Wert wie S/MIME. Im Vergleich zu den eingesetzten Verschlüsselungsverfahren ist die Verwendung digitaler Signaturen noch außerordentlich gering verbreitet (s. KES 2002/3, S. 14).

Nutzung der E-Mailverschlüsselung, sofern der Kommunikationspartner über einen Kryptoschlüssel verfügt

Malware-Schutz

Virenschutzmechanismen wurden wenig überraschend für nahezu alle Clients und Server als realisiert gemeldet – lediglich bei mobilen Endgeräten ist mit 88 Prozent eine vergleichsweise geringe Durchdringung vorhanden. Bei der Detailfrage nach den konkreten Vorsorgemechanismen führen die Virenscanner klar mit 88 Prozent, wobei immerhin 51 Prozent auf Servern/Gateways und PCs aus Sicherheitsgründen Software von zwei oder mehr verschiedenen Anbietern einsetzen.

Einsatz von Anti-Viren-Software verschiedener Hersteller auf Servern/Gateways beziehungsweise PC-Systemen

77 Prozent der befragten Unternehmen nutzen zudem Prüfsummenprogramme. Über 75 Prozent der Befragten sind der Auffassung, dass die getroffenen Maßnahmen auch eine hinreichende Wirksamkeit gegen Makroviren bei Office-Dokumenten und gegen onlineübertragene Schadsoftware haben (zum Beispiel in E-Mail-Anhängen oder Downloads) – je 5 Prozent halten den Schutz für nicht ausreichend, der Rest ist sich nicht sicher.

Vorsorge gegen Malware

Angriffserkennung

Intrusion Detection Systems (IDS) sind nach wie vor relativ selten. Um die 40 Prozent der befragten Unternehmen hat IDS im Einsatz, in etwa die gleiche Zahl plant den Einsatz auf Serversystemen. Bei der Auswertung von Log-Dateien zeigte sich, dass Firewall- und Betriebssystem-Protokolle am sorgfältigsten durchgesehen werden, zu einem beträchtlichen Teil mehr als einmal pro Woche. Die Log-Files von Netzwerkkomponenten (Router, Switches usw.) sowie Web- und E-Commerce-Applikationen prüfen die Befragten hingegen zu einem größeren Anteil anlassbezogen oder gar nicht.

Nahezu zwei Drittel der Unternehmen haben in den letzten zwölf Monaten einen Penetrationstest in Auftrag gegeben, wobei 78 Prozent dies in Bezug auf die Internet-Infrastruktur und 50 Prozent in Bezug auf kritische Systeme von innen durchführten.

Security-Management

Auch bei der Frage nach der Bedeutung für das unternehmensweite Security-Management zeigten sich IDS als weniger wichtig und landeten nur auf Rang sechs. An der Spitze steht eindeutig die zentrale Überwachung der eingesetzten Security-Systeme; nur vier Teilnehmer sahen dies als unwichtig an. 92 Prozent erachten eine plattformübergreifende Benutzerverwaltung für sehr wichtig oder wichtig. Für tendenziell unwichtig wurde Kontrolle und Überwachung von Internet-Missbrauch gehalten: Hier handelt es sich immerhin um 24 Prozent, die diesem Merkmal eine niedrige Priorität beimessen.

Bewertung der Komponenten des Security-Managements

Physische Sicherheit

Maßnahmen zur physischen Sicherheit sind vorrangig für Server implementiert, hierbei dominiert die Zutrittskontrolle. Nicht unerwartet sind auch Einbruchs- und Brandmeldesysteme sowie Löschanlagen recht verbreitet. Positiv ist auch ein relativ hoher Wert von Maßnahmen gegen Hardwarediebstahl bei den mobilen Endgeräten (58 %) zu werten, wobei hier eine genauere Analyse der eingesetzten Maßnahmen von Interesse sein könnte. Generell geringe Beachtung finden Schutzmaßnahmen gegen kompromittierende Abstrahlung, eine in der Vergangenheit häufig überschätzte Gefahr.

Mit 89 Prozent der Teilnehmer haben erwartungsgemäß viele die Stromversorgung ihrer EDV mit Überspannungsschutz ausgerüstet; Daten-, Telefon- und Modemleitungen sind bei 43 Prozent der Befragten geschützt. Wer keinen Überspanunngsschutz realisiert hat, hält vor allem das entsprechende Risiko für wenig gravierend. Eine generelle Bewertung physischer Risiken im Sicherheitskonzept findet übrigens nur bei 30 Prozent der Befragten statt.

Katastrophenvorsorge

Ein wesentliches Merkmal zur Sicherstellung der Business Continuity ist das Vorhalten wesentlicher Systemkomponenten an verschiedenen Orten. Hier zeigt sich, dass die Kooperation mit einem externen Anbieter bei denjenigen, die überhaupt eine Auslagerung praktizieren, an letzter Stelle steht. Auf Rang eins befindet sich die Auslagerung in einem anderen Gebäude, gefolgt von der in einem anderen Brandabschnitt.

Bei der Bereitstellung für längere Ausfälle dominieren Cluster und Load Balancing mit Überkapazitäten sowie die "warme Lösung", bei der komplette Räume mit wichtiger Hardware vorgehalten werden. In den letzten Jahren haben zudem auch Konfigurationen mit identischen Netzen größere Bedeutung erlangt. Von denjenigen Unternehmen, die Verträge mit externen Dienstleistern/Partnern abgeschlossen haben, stehen Verträge über die schnelle Lieferung von Hardware an der Spitze, dicht gefolgt über Verträge zur Nutzung eines stationären Ausweichrechenzentrums. Die Containerlösungen sind der Anzahl der Nennungen nach weit entfernt von den anderen Lösungen. Die hohe Zahl der Befragten, die angeben, auf diesem Gebiet eine Versicherung abgeschlossen zu haben, ist innerhalb der Stichprobe der KES/KPMG-Sicherheitsstudie 2002 deutlich höher als im gesamten Markt.

Eine erstaunlich hohe Zahl von Unternehmen (92 Prozent) ist der Auffassung, dass Recovery-Maßnahmen nur über ein strategisches Konzept entschieden werden sollen. Dieses wird dann mit eigenen Kräften unter Nutzung externer Beratung erstellt.

Bereitstellung für längere Ausfälle

Notfall-Dokumentation

Eine Notfall-Dokumentation existiert in über 50 Prozent aller Unternehmen. Hierbei dominiert das manuelle Handbuch, wobei weiterhin eine beachtliche Zahl der Befragten ein solches in Arbeit oder Planung haben (35 %). Auf diesem Sektor ist seit dem 11. September 2001 generell eine verstärkte Aufmerksamkeit zu vermerken. Die Notfall-Dokumentation ist grundsätzlich allgemein ausgelegt (96 Prozent) und enthält in den meisten Fällen vor allem Aktionspläne für den K-Fall sowie für Störungen im Tagesbetrieb. Typisch für die befragte Gruppe ist, dass die Dokumentation nach Auffassung von 87 Prozent der Teilnehmer die Anforderungen nach dem KonTraG erfüllt. Weniger als 20 Prozent gaben an, eine Notfall-Dokumentation weder zu besitzen noch zu planen.

Die Aktualisierung der Dokumentation erfolgt bei den meisten nur sporadisch (47 %). Fast achtzig Prozent der Antwortenden sind der Meinung, dass die Aktualität der gesamten Dokumentation durch den Einsatz im Tagesbetrieb erreichbar ist. Die gesamte Bedeutung des Notfallproblems kommt auch darin zum Ausdruck, dass 62 Prozent für Erstellung und Koordination der Notfallplanung eine verantwortliche Person ernannt haben, und dass die Ergebnisse von Notfallübungen vom überwiegenden Teil in die Dokumentation einfließen.

Inhalte der Notfall-Dokumentation

Zertifizierung

Das Wirken des Bundesamts für Sicherheit in der Informationstechnik (BSI) auf dem Sektor der IT-Sicherheit ist den meisten Befragten bekannt. Das IT-Sicherheitshandbuch sowie das Grundschutzhandbuch haben einen sehr hohen Bekanntheitsgrad erlangt, während verschiedene Dienstleistungen des BSI wie Akkreditierung und Evaluierung nur noch rund einem Drittel der Unternehmen bekannt sind.

Dass über 60 Prozent der Befragten Zertifizierungsdienste des BSI kennen, dürfte in erster Linie auf die Tätigkeiten im Bereich der Produkt-Zertifizierung zurückzuführen sein. Die IT-Sicherheit wird seit Jahren stark durch internationale Kriterien bestimmt. Der Bekanntheitsgrad der ITSEC, der Common Criteria (CC) und der BS 7799 / ISO-IEC 17799 ist durchaus nicht schlecht zu nennen, obwohl sich eine hohe Zahl der Befragten damit bisher noch nicht ernsthaft befasst hat.

Bekanntheit internationaler Kriterien zur Informationssicherheit

34 Prozent der Befragten setzen zertifizierte Sicherheitsprodukte ein; 23 Prozent geben an, in Zukunft zertifizierte Produkte bevorzugt einsetzen zu wollen. Die Erwartungen an den Nutzen und die Zuverlässigkeit haben sich bei den jetzigen Anwendern zertifizierter Produkte in hohem Maße erfüllt (69 %). Darüber hinaus rechtfertigt ein zertifiziertes Produkt nach ihrer Meinung auch einen höheren Preis.

Zertifizierte Sicherheitsprodukte

Prof. Dr. Reinhard Voßbein ist Geschäftsführer der UIMCert GmbH. Dr. Jörn Voßbein ist Geschäftsführer der UIMC Dr. Voßbein GmbH & Co. KG ( www.uimc.de).

© SecuMedia-Verlags-GmbH, D-55205 Ingelheim,
KES 2002/4, Seite 16

Zurück zum Inhalt