Interview: "Firewall und Virenscanner reichen nicht"

Welche IT-Risiken bedrohen einen Betrieb wie Dachser? Christian von Rützen: Das sind vor allem große Sicherheitslücken, über die auch in der Tagesschau berichtet wird, also zum Beispiel Schwachstellen im Internet Explorer oder Identitätsdiebstahl. Wie sollte Ihrer Meinung nach eine Abwehrstrategie aussehen? Es reicht nicht mehr aus, nur Firewall und Virenscanner zu haben. Heute ist ein Zusammenspiel zwischen technischen und organisatorischen Maßnahmen nötig. Wichtig ist zum Beispiel ein systematisches Vorgehen bei Sicherheitsvorfällen: Alle Mitarbeiter sind gebeten, IT-Probleme oder verdächtige Vorkommnisse dem zentralen Servicedesk mitzuteilen. Ein solcher Meldeprozess ist sehr hilfreich, denn wenn wir ein bis zwei Jahre lang alle Vorkommnisse erfassen, bekommen wir ein gutes Bild von der Bedrohungslage. Wie können Risiken eingedämmt werden, die durch mobile Endgeräte entstehen? Auf der technischen Ebene setzen wir ein Mobile Device Management (MDM) ein, das regelt, welche Zugriffe von außen erlaubt sind und welche nicht. Die Mitarbeiter wissen, dass ihr Mobiltelefon der Firma gehört und sie das Recht hat, in bestimmten Fällen nachzuschauen, was auf den Geräten läuft. Insgesamt sehe ich hier eher eine Führungsaufgabe: Es geht darum, zu sensibilisieren und sicherzustellen, dass die Geräte für die richtigen Zwecke verwendet werden. Dachser wird demnächst seine IT-Sicherheit nach dem Zertifikat ISO 27001 erneut prüfen lassen und dabei den Geltungsbereich ausweiten. Warum der Aufwand? Zum einen fragen uns immer mehr Kunden, welche Sicherheitskriterien wir erfüllen. Wer schon das Zertifikat vorweisen kann, erspart sich lange Fragebögen auszufüllen. Hinzu kommt, dass durch ISO 27001 die Sicherheit tatsächlich spürbar besser wird. Und schließlich hilft die Norm dabei, wenn es darum geht, andere externe Zertifikate wie das des Zugelassenen Wirtschaftsbeteiligten (AEO) zu erlangen.