Nur gemeinsam gehts!

Ordnungsmerkmale

erschienen in: <kes> 2006^#4, Seite 51

Rubrik: Messen und Kongresse

Schlagwort: SecuMedia Partnertag

Zusammenfassung: Die Keynotes auf dem SecuMedia-Partnertag teilten eine gemeinsame Kernaussage: Sicherheit erfordert Zusammenarbeit auf allen Ebenen! Ebenfalls einig waren sich die Vortragenden aus BKA, BSI und Industrie, dass wir dabei noch nicht am Ziel sind.

Auch der diesjährige SecuMedia-Partnertag stand im Zeichen der "Konvergenz der Sicherheiten". Vor Anwendern und Anbietern von klassischer und IT-Security sprachen auf dem Rheinschiff "Rhenus" Jörg Ziercke, Präsident des Bundeskriminalamts (BKA), Dr. Hartmut Isselhorst, Abteilungsleiter "Strategische Anwendungen, Internetsicherheit" im Bundesamt für Sicherheit in der Informationstechnik (BSI) und Dr. Thomas Menk, Leiter Konzernsicherheit bei DaimlerChrysler und Vorsitzender der Arbeitsgemeinschaft für Sicherheit der Wirtschaft (ASW).

[Foto Jörg Zierke]
Jörg Ziercke (BKA)

BKA-Präsident Ziercke erörterte dabei zunächst ausführlich die zunehmende Kriminalisierung des Internets sowie die entsprechenden Angriffsformen. Unter anderem am Beispiel angeheuerter Mittelsmänner zur Geldwäsche beim Phishing zeigen sich dabei auch schon klare Strukturen der organisierten Kriminalität (OK). Für Unternehmen betonte der BKA-Präsident die Notwendigkeit ganzheitlicher Schutzkonzepte, bei denen man die Gefahrenquelle "Innentäter" nicht vernachlässigen dürfe: 2005 sei deren Zahl mit +35 % überproportional gestiegen (externe Täter: +26 %). Zudem rief Ziercke die Unternehmen zur Unterstützung auf: Auch Strafverfolgung sei ein integraler Bestandteil der Informations-Sicherheit – sie entfalte präventive Wirkungen, wecke Problembewusstsein und sorge für Aufklärung.

3G-Sicherheit

Dr. Hartmut Isselhorst (BSI) empfahl ein Rezept aus drei "G"s: Umfassende Sicherheit müsse ganzheitlich, gemeinschaftlich und gesellschaftlich angegangen werden. Ganzheitliche IT-Sicherheit benötigt ein IT-Sicherheitsmanagement, Präventiv- wie Reaktiv-Maßnahmen sowie eingeübte Sicherheitsprozesse. Mechanismen aus allen Gebieten müssen aufeinander abgestimmt und miteinander verzahnt sein (infrastrukturelle, personelle, organisatorische und technische Maßnahmen sowie Notfallvorsorge). Hilfestellung für einen ganzheitlichen Ansatz liefert das unlängst überarbeitete IT-Grundschutz-Handbuch des BSI (vgl. <kes> 2005#6, S. 6), das in den letzten 12 Jahren von 250 auf heute 2500 Seiten angewachsen ist – gleichzeitig ein eindrucksvoller Beleg für die gestiegene Komplexität der IT-Sicherheit.

[Foto Dr. Isselhorst]
Dr. Hartmut Isselhorst
(BSI)

Zudem können einzelne Unternehmen oder Behörden heute IT-Sicherheit nicht mehr isoliert und "für sich alleine" realisieren. Vielmehr sind gemeinschaftliche Maßnahmen erforderlich, um wirksame Frühwarn- und Krisenreaktionssysteme zu ermöglichen. Hier nannte Dr. Isselhorst drei "kategorische Imperative":

Setze die Maßnahmen um, die Du von Partnern erwartest.
Warne Partner vor den Angriffen, vor denen Du selbst gewarnt werden willst.
Zwinge nicht den Partner in einen unsicheren Zustand, den Du selbst vermeiden willst.

Angesichts privater Hochleistungs-PCs und Breitbandvernetzung ist IT-Sicherheit zudem nur zu erreichen, wenn alle IT-Nutzer einbezogen werden (Stichwort: Bot-Netze), also neben Wirtschaft, Verwaltung und Forschung auch die Bürger – Sicherheit wird zur gesellschaftlichen Aufgabe.

Eine Sicherheit

[Foto Dr. Menk]
Dr. Thomas Menk
(DaimlerChrysler / ASW)

Dr. Thomas Menk (DaimlerChrysler / ASW) eröffnete mit der Aussage, dass es für das Sicherheitsmanagement eines Großkonzerns nur noch eine einzige integrierte Sicherheit gebe – allerdings sei dies für die meisten Unternehmen noch Ziel, nicht Realität. Im Gegenteil gebe es sehr oft noch starke IT-Security-Strukturen parallel zur "allgemeinen" Sicherheit. Dies habe historische Gründe, auch weil sich Unternehmens-Sicherheit traditionell als die Herbeiführung und Gewährleistung physischer Sicherheit von Menschen und Assets verstanden hat. Letztlich könne IT-Sicherheit aber schon von der Begrifflichkeit her keine separierte Sicherheit sein, da IT nur ein Transportmedium für Informationen darstellt, die es zu schützen gilt. Trotz der technisch guten Aufstellung von IT-Sicherheit gebe es zudem auch hier viele Defizite: unter anderem mangelnde Risikoanalysen und fehlende Kapazitäten zur (IT-)Forensik.