BLOG

BLOG

Categories:   All Categories
Suggested keywords
x

Cloud

Per RSS abonnieren
Markus Groß

Was schützt die Informationssicherheit eigentlich wirklich?

IT
Was schützt die Informationssicherheit eigentlich wirklich?

Wenn über Informationssicherheit gesprochen wird, fällt ein Name fast immer: ISO 27001. Für viele klingt es nach einem dieser kryptischen Kürzel, die nur Berater, Auditoren und IT-Abteilungen verstehen. Manche halten es für eine rein formale Zertifizierung, eine Pflichtübung, um Kunden oder Aufsichtsbehörden zufriedenzustellen. Doch hinter der nüchternen Bezeichnung steckt weit mehr: ISO 27001 ist ein weltweit anerkannter Standard, der den Rahmen vorgibt, wie Organisationen ihre Informationssicherheit systematisch planen, umsetzen, überwachen und verbessern können. Wer ihn richtig versteht, erkennt, dass es nicht nur um IT geht, sondern um ein strategisches Managementsystem, das tief in die Organisation hineinwirkt. ISO 27001 macht Informationssicherheit mess-, steuer- und auditierbar und bringt damit Ordnung in ein Feld, das sonst leicht zur Ansammlung isolierter Maßnahmen verkommt.

Ein kurzer Blick zurück: Von BS 7799 zur globalen Referenz

Um zu verstehen, warum ISO 27001 so wichtig ist, lohnt ein Blick zurück. In den 1990er-Jahren wuchs die Erkenntnis, dass Informationssicherheit nicht nur aus technischen Maßnahmen wie Firewalls und Virenscannern bestehen kann. Unternehmen bauten globale Lieferketten auf, verarbeiteten Daten grenzüberschreitend und setzten immer stärker auf vernetzte Systeme. Gleichzeitig nahmen Angriffe zu, der Markt professionalisierte sich. Die British Standards Institution veröffentlichte 1995 den BS 7799, den direkten Vorläufer von ISO 27001. Ziel war es, einen strukturierten, nachvollziehbaren Ansatz für das Management von Informationssicherheit zu schaffen – mit klaren Rollen, Prozessen und Nachweisen. 2005 wurde der Standard zusammen mit der International Organization for Standardization weiterentwickelt und als ISO/IEC 27001 international etabliert. Seitdem gab es wichtige Anpassungen, zuletzt 2022: ISO/IEC 27001:2022 passt Terminologie, Struktur und Anhang A an die modernisierte ISO/IEC 27002:2022 an.


Weiterlesen
10
Markiert in:
Informationssicherheit ISMS BYOD Cloud
Tweet
137641 Aufrufe
44 Kommentare
Markus Groß

Vom Passwortklau zur Cyberkrise – So haben sich Angriffe verändert

IT
Vom Passwortklau zur Cyberkrise – So haben sich Angriffe verändert

Es gab eine Zeit, in der ein „Hackerangriff“ noch so simpel war, dass er mit wenigen Tastenanschlägen und einem guten Gedächtnis durchgeführt werden konnte. In den 1980er-Jahren bestand ein typischer Angriff häufig darin, das Passwort eines Kollegen zu erraten, einen einfachen Standardzugang zu nutzen oder eine öffentlich zugängliche Systemlücke auszuprobieren. Die ersten digitalen Einbrüche waren oft das Ergebnis von Neugier, technischem Spieltrieb und der Lust am Ausprobieren, nicht von krimineller Energie. Heute dagegen sprechen wir von hochgradig professionell organisierten Cyberoperationen, die sich über Ländergrenzen hinweg koordinieren, ganze Industriezweige lahmlegen, Milliardenverluste verursachen und sogar politische Machtverhältnisse beeinflussen können. Die Entwicklung von diesen Anfängen zu den komplexen, globalen Bedrohungen unserer Zeit ist eine Geschichte von technologischem Fortschritt, wachsendem wirtschaftlichem Interesse und einer stetigen Professionalisierung der Angreifer. Wer diese Entwicklung nachvollzieht, erkennt, warum Informationssicherheit nicht länger als punktuelle Maßnahme verstanden werden kann, sondern als Dauerzustand, als Fähigkeit, trotz Störungen zu funktionieren, schnell zu reagieren, sich anzupassen und gestärkt aus Vorfällen hervorzugehen.

Die frühen Jahre: Sportlicher Wettbewerb und technische Neugier

In den Anfangsjahren der Vernetzung, Ende der 1970er- und in den 1980er-Jahren, war Hacking häufig eher ein sportlicher Wettbewerb. Viele der frühen Computerpioniere wollten beweisen, dass sie Systeme verstehen und austricksen konnten. Wer es schaffte, sich in ein Bulletin Board System oder einen Uni-Mainframe einzuloggen, gehörte zu einem kleinen Kreis von Eingeweihten. Dabei ging es selten um Geld. Stattdessen stand der Reiz im Vordergrund, etwas Verbotenes zu tun, ohne erwischt zu werden, und sich dadurch einen Namen in der Szene zu machen. Ein legendäres Beispiel aus dieser Zeit ist der „Morris Worm“ von 1988. Robert Tappan Morris, ein Student, wollte eigentlich nur herausfinden, wie groß das Internet war. Sein Programm sollte sich kontrolliert von Rechner zu Rechner ausbreiten, um eine Zählung durchzuführen. Doch ein Fehler im Code sorgte dafür, dass der Wurm sich ungebremst vervielfältigte und einen großen Teil des damals noch kleinen Internets lahmlegte. Der Schaden war immens, doch die Motivation dahinter war nicht kriminell – es war ein Experiment, das aus dem Ruder lief. Diese Phase war geprägt von einer informellen Ethik: Wissen teilen, Barrieren überwinden, Systeme verstehen. Die Werkzeuge waren einfach, die Angriffsflächen klein, die Verteidiger oft ahnungslos, aber die Konsequenzen meist überschaubar.


Weiterlesen
10
Markiert in:
Incident Management Cloud Informationssicherheit
Tweet
137439 Aufrufe
49 Kommentare
Markus Groß

Von Theorie zu Pflicht – Die 5 Säulen der digitalen Resilienz

IT
Von Theorie zu Pflicht – Die 5 Säulen der digitalen Resilienz

Digitale Resilienz ist in den letzten Jahren zu einem festen Begriff in der Finanzwelt geworden. Unternehmen sprechen darüber in Strategiepapieren, Beratungsfirmen verwenden ihn in Hochglanzpräsentationen, und auch Regulierungsbehörden betonen immer wieder seine Bedeutung. Doch während Resilienz lange Zeit vor allem als gutes Ziel galt – als eine Art Leitlinie, an der man sich orientieren konnte – hat sich die Situation mit dem Digital Operational Resilience Act, kurz DORA, grundlegend verändert. Aus der Theorie ist eine gesetzliche Pflicht geworden, und die EU hat dafür fünf zentrale Säulen definiert, die jedes betroffene Unternehmen umsetzen muss. Diese Säulen sind nicht nur Überschriften in einem Gesetzestext, sondern bilden ein verbindliches Gerüst, das alle relevanten Aspekte abdeckt, um den Betrieb auch unter digitalen Extrembedingungen aufrechtzuerhalten. Wer sie versteht, erkennt schnell: Es geht nicht nur um Technik, sondern um ein Zusammenspiel aus Prozessen, Organisation und Kultur.

Der Gesamtzusammenhang: Warum DORA digitale Resilienz neu definiert

DORA ist keine weitere „IT-Compliance-Checkliste“, sondern ein Rahmenwerk, das das Zusammenspiel von Risikomanagement, operativem Betrieb, Lieferkette, Testkultur und sektorweitem Lernen in den Mittelpunkt stellt. Der Kernunterschied zu älteren Regelwerken: DORA verlangt Wirksamkeit. Es genügt nicht, Policies zu schreiben oder Tools zu beschaffen. Entscheidend ist, ob ein Institut seine kritischen Dienstleistungen auch dann liefern kann, wenn Teile der IT gestört, angegriffen oder extern beeinträchtigt werden. Messbar wird das an Reaktionszeiten, Wiederanlauf, Qualität der Kommunikation, Stabilität der Lieferkette und geübten Notfallabläufen. Die fünf Säulen bilden dafür die Struktur – die Umsetzung wird am Ergebnis gemessen.


Weiterlesen
7
Markiert in:
DORA GRC Compliance Cloud
Tweet
140953 Aufrufe
79 Kommentare
Markus Groß

ICT-Risikomanagement ohne Chaos – Was DORA wirklich fordert

IT
ICT-Risikomanagement ohne Chaos – Was DORA wirklich fordert

Wer DORA zum ersten Mal liest, stößt unweigerlich auf den Begriff ICT-Risikomanagement, im Deutschen meist als IKT-Risikomanagement bezeichnet. Er steht im Zentrum der gesamten Verordnung und ist weit mehr als nur eine formale Pflicht. Im Kern geht es darum, Risiken, die aus der Nutzung von Informations- und Kommunikationstechnologien entstehen, systematisch zu erkennen, zu bewerten, zu steuern und zu überwachen. Das klingt zunächst vertraut, denn Risikomanagement gehört schon lange zu den Aufgaben jedes regulierten Finanzunternehmens. Der entscheidende Unterschied unter DORA: Die Anforderungen werden einheitlich, detailliert und verbindlich für alle Marktteilnehmer definiert – und das auf einem Niveau, das deutlich über bisherige nationale Standards hinausgeht. Es reicht nicht mehr aus, einmal im Jahr eine Risikoübersicht zu erstellen oder Risiken vage zu kategorisieren. Gefordert ist ein kontinuierlicher, ganzheitlicher Ansatz, der tief in den täglichen Betrieb integriert ist und bis ins Top-Management hineinwirkt.

Was DORA als IKT-Risiko versteht

Das beginnt bei der Definition dessen, was überhaupt als IKT-Risiko gilt. DORA macht klar, dass es sich nicht nur um klassische Cyberangriffe handelt. Auch Systemausfälle, fehlerhafte Software-Updates, Konfigurationsfehler, Datenverluste, Störungen durch Dritte oder physische Schäden an Rechenzentren fallen darunter. Selbst Risiken aus der Lieferkette, etwa durch Ausfälle eines Cloud-Anbieters, eine kritische Schwachstelle in einer verbreiteten Bibliothek oder Sicherheitslücken in genutzter Standardsoftware, müssen erfasst werden. Das Ziel ist, alle Ereignisse, die die Funktionsfähigkeit kritischer Systeme oder die Verfügbarkeit wichtiger Daten beeinträchtigen können, systematisch zu berücksichtigen. Dabei sollen nicht nur technische Aspekte betrachtet werden, sondern auch organisatorische, personelle und prozessuale Faktoren. Ein System mag technisch sicher sein, doch wenn es keine klaren Eskalationswege im Störungsfall gibt, ist das Risiko dennoch hoch. DORA rückt damit das Zusammenspiel von Technik, Prozessen und Menschen ins Zentrum – also genau jene Schnittstellen, an denen es in der Praxis häufig knirscht.


Weiterlesen
10
Markiert in:
DORA Cloud
Tweet
141032 Aufrufe
84 Kommentare
Markus Groß

Der ISB erklärt – Zwischen Feuerwehr und Architekt

IT
Der ISB erklärt – Zwischen Feuerwehr und Architekt

Wer sich mit Informationssicherheit beschäftigt, stößt früher oder später auf die Rolle des Informationssicherheitsbeauftragten (ISB). In vielen Unternehmen ist diese Position gesetzlich oder regulatorisch vorgeschrieben, in anderen wird sie freiwillig geschaffen, um dem Thema einen festen Platz zu geben. Der ISB ist dabei ein merkwürdiges Zwitterwesen: Er ist weder reiner Technikexperte noch bloßer Verwalter von Richtlinien. Er ist Übersetzer zwischen Welten, Vermittler zwischen Geschäftsleitung und IT, Wächter über Regeln – und manchmal auch Feuerwehrmann, wenn etwas brennt. Gleichzeitig ist er Architekt, der langfristige Strukturen entwirft, um das Haus der Informationssicherheit stabil und zukunftsfähig zu machen. Genau diese Doppelrolle macht die Funktion anspruchsvoll – und für den Unternehmenserfolg essenziell.

Auftrag, Mandat und rechtlicher Rahmen: Wofür der ISB wirklich verantwortlich ist

Der ISB ist kein „nice to have“, sondern Träger eines klaren Auftrags. Je nach Branche und Größe des Unternehmens ergibt sich dieser aus Normen, Gesetzen und Aufsichtsanforderungen. In Deutschland sind vor allem ISO/IEC 27001, der BSI IT-Grundschutz sowie aufsichtsrechtliche Leitlinien relevant (z. B. BAIT für Banken, VAIT für Versicherungen, KAIT für Kapitalverwaltungsgesellschaften). Hinzu kommen horizontale Anforderungen wie NIS2 (Sicherheits- und Meldepflichten für wichtige/besonders wichtige Einrichtungen), DORA (Resilienz im Finanzsektor), DSGVO (TOMs, 72-Stunden-Meldepflicht bei Datenschutzvorfällen) und – je nach Geschäftsmodell – branchenspezifische Rahmenwerke wie TISAX (Automotive) oder IEC 62443 (OT/Industrie).


Weiterlesen
6
Markiert in:
BYOD Cloud
Tweet
136670 Aufrufe
51 Kommentare
Image

Wir benutzen Cookies

Wir nutzen Cookies auf unserer Website. Einige von ihnen sind essenziell für den Betrieb der Seite, während andere uns helfen, diese Website und die Nutzererfahrung zu verbessern. Sie können selbst entscheiden, ob Sie die Cookies zulassen möchten. Bitte beachten Sie, dass bei einer Ablehnung womöglich nicht mehr alle Funktionalitäten der Seite zur Verfügung stehen.

Datenschutz Impressum
CookieHint and Consent by reDim GmbH (Öffnet in neuem Fenster)