Europäischer Monat der Cybersicherheit: Fünf Fragen zur Wirksamkeit Ihrer Sicherheitsmaßnahmen

Der Oktober steht europaweit im Zeichen der Cybersicherheit. Der European Cybersecurity Month (ECSM) soll das Bewusstsein für einen sicheren Umgang mit digitalen Technologien stärken. Unterstützt wird die Initiative von ENISA und der Europäischen Kommission; in Deutschland koordiniert das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Aktivitäten.

Für Unternehmen bietet der Aktionsmonat einen guten Anlass, nicht nur über Cyberrisiken zu sprechen, sondern die eigenen Sicherheitsmaßnahmen kritisch zu betrachten: Welche Vorkehrungen sind tatsächlich umgesetzt? Wie werden sie im Alltag angewendet? Und woran lässt sich erkennen, ob sie ihren Zweck erfüllen?

Die folgenden fünf Fragen können als Ausgangspunkt für ein Gespräch zwischen Geschäftsleitung, Informationssicherheit, IT und Interner Revision dienen.

1. Welche Geschäftsprozesse müssen besonders geschützt werden?

Beginnen Sie nicht mit einer Liste eingesetzter Sicherheitsprodukte, sondern mit Ihren Geschäftsprozessen: Welche Leistungen dürfen nicht länger ausfallen? Welche Informationen sind besonders schutzbedürftig? Von welchen Anwendungen und Dienstleistern hängen diese Prozesse ab?

Eine geeignete Gesprächsgrundlage ist eine nachvollziehbare Zuordnung von kritischen Prozessen, unterstützenden IT-Systemen und verantwortlichen Personen. Hinterfragen Sie dabei auch, ob die Einschätzungen noch zur heutigen Organisation passen.

2. Lassen sich Zugriffsrechte nachvollziehbar begründen?

Betrachten Sie beispielhaft einen Eintritt, einen internen Stellenwechsel und einen Austritt: Welche Berechtigungen wurden vergeben, angepasst oder entzogen? Wer hat die Entscheidungen genehmigt? Wie werden privilegierte und externe Zugänge berücksichtigt? Was ist mit technischen Benutzeraccounts?

Die Leitfrage lautet nicht nur, ob ein Berechtigungskonzept existiert. Entscheidend ist, ob sich seine Anwendung anhand konkreter Vorgänge nachvollziehen lässt.

3. Was belegt, dass eine Wiederherstellung funktioniert?

Lassen Sie sich nicht ausschließlich den Status der Datensicherung zeigen. Fragen Sie nach dem letzten Wiederherstellungstest: Was wurde wiederhergestellt, unter welchen Bedingungen und mit welchem Ergebnis?

Für eine geschäftsprozessbezogene Betrachtung ist außerdem interessant, ob neben einzelnen Daten auch die benötigten Anwendungen, Abhängigkeiten und Zuständigkeiten berücksichtigt wurden. Festgestellte Probleme sollten mit Verantwortlichen und Terminen zur Behebung dokumentiert sein.

4. Wie würde ein Sicherheitsvorfall tatsächlich bearbeitet?

Spielen Sie ein konkretes Szenario durch: Ein Mitarbeitender meldet eine verdächtige Anmeldung oder einen möglichen Datenabfluss. Wer nimmt die Meldung entgegen? Wer bewertet die Situation? Wer entscheidet über weitere Maßnahmen und Kommunikation?

Eine kurze szenariobasierte Übung kann helfen, diese Fragen gemeinsam zu beantworten. Beziehen Sie dabei auch den Fall ein, dass gewohnte Kommunikationsmittel vorübergehend nicht verfügbar sind.

5. Wie wird aus einer Feststellung eine nachweisbare Verbesserung?

Wählen Sie einige bereits bekannte Schwachstellen oder Prüfungsfeststellungen aus: Sind Verantwortlichkeiten und Fristen eindeutig? Ist die Umsetzung dokumentiert? Wurde überprüft, ob die Maßnahme das zugrunde liegende Risiko angemessen adressiert?

Unterscheiden Sie dabei zwischen „Maßnahme erledigt“ und „Wirksamkeit überprüft“. Legen Sie fest, welcher Nachweis für den jeweiligen Sachverhalt erforderlich ist.

Vom Aktionsmonat zur gezielten Überprüfung

Der Europäische Monat der Cybersicherheit muss nicht zu einem zusätzlichen Großprojekt führen. Ein sinnvoller Anfang kann sein, einen geschäftskritischen Prozess auszuwählen und die fünf Fragen gemeinsam mit den zuständigen Funktionen zu bearbeiten.

Ein risikoorientiertes IT-Audit kann daran anknüpfen: mit einem klar abgegrenzten Prüfungsumfang, nachvollziehbaren Nachweisen und priorisierten Empfehlungen. Die Interne Revision kann diese Perspektive im Rahmen ihrer unabhängigen Prüfungs- und Beratungsfunktion einbringen.

Sie möchten die Wirksamkeit ausgewählter IT-Kontrollen unabhängig beurteilen lassen? Wir unterstützen Ihre Interne Revision oder prüfen gemeinsam mit Ihnen einen klar abgegrenzten Themenbereich. Sprechen Sie uns an!