IT Sicherheitsberatung für Unternehmen: technische Risiken klären
Technische Sicherheitsrisiken im Zusammenhang bewerten
IT-Sicherheitsberatung sollte technische Befunde mit ihren betrieblichen Folgen verbinden. Ein fehlendes Update, ein gemeinsames Administratorkonto und eine ungeprüfte Datensicherung sind unterschiedliche Probleme. Ihre Priorität ergibt sich aus Erreichbarkeit, Berechtigungen, Schutzbedarf und vorhandenen Gegenmaßnahmen.
Eine zweckmäßige Bestandsaufnahme betrachtet daher nicht nur eingesetzte Produkte. Sie prüft auch, wer Systeme betreibt, wie Änderungen erfolgen und wie das Unternehmen bei einem Ausfall weiterarbeiten würde.
Wichtige Prüffelder strukturieren
- Identitäten und Zugriffe: personengebundene Konten, starke Anmeldung und kontrollierte Administratorrechte.
- Systeme und Anwendungen: bekannte Zuständigkeiten, Updates und nachvollziehbare Ausnahmen.
- Datensicherung: geschützte Sicherungen und erprobte Wiederherstellung.
- Betrieb: verwertbare Protokolle, Überwachung und ein geregelter Umgang mit Auffälligkeiten.
- Dienstleister: klare Grenzen der Zugriffs- und Betriebsverantwortung.
Die konkrete Prüfungstiefe wird vorab festgelegt. Eine organisatorische Bestandsaufnahme, ein Schwachstellenscan und ein Penetrationstest liefern unterschiedliche Ergebnisse. Keines dieser Verfahren sollte stillschweigend als Bestandteil einer allgemeinen Beratung vorausgesetzt werden.
Befunde in überprüfbare Maßnahmen überführen
Beispiel: Eine Fernwartungslösung besitzt starke Anmeldeverfahren, wird aber über gemeinsam genutzte Konten betrieben. Der Befund betrifft nicht allein die Technik. Benötigt werden auch eine Kontenzuordnung, geregelte Freigaben und ein Prozess für den Entzug nicht mehr benötigter Rechte.
Zu jeder priorisierten Maßnahme gehören ein Verantwortlicher, ein Umsetzungsnachweis und eine spätere Kontrolle. So lässt sich unterscheiden, ob eine Einstellung nur geändert wurde oder ob die angestrebte Schutzwirkung tatsächlich erreicht ist.
Die gemeinsame Empfehlung von CISA und weiteren Sicherheitsbehörden für IT-Dienstleister nennt unter anderem Mehrfaktoranmeldung, kontrollierte Konten und klare Verantwortlichkeiten. Welche Maßnahmen angemessen sind, hängt vom konkreten Betrieb ab.
Bei Systemhäusern verdienen Fernwartung und privilegierte Kundenzugriffe besondere Aufmerksamkeit. Priorisierte Befunde werden in einen ISMS-Maßnahmenplan mit Zuständigkeit und Ergebniskontrolle überführt.
Quellen und fachliche Grundlagen
- AA22-131A – Schutz von Managed Service Providern und ihren Kunden – CISA und internationale Sicherheitsbehörden
- BSI-Standard 200-2 – IT-Grundschutz-Methodik – Bundesamt für Sicherheit in der Informationstechnik