Informationssicherheit ist keine reine IT-Aufgabe
Die IT setzt viele Maßnahmen um. Zielniveau, Risikobereitschaft, Ressourcen und Risikoakzeptanz sind jedoch Führungsentscheidungen. Gute Governance macht diese Trennung sichtbar.
Beitrag lesen →
Orientierung ohne Alarmismus
Informationssicherheit verständlich einordnen.
Kurze Texte zu den Fragen, die mir am häufigsten gestellt werden – ohne Drohkulisse und ohne Fachchinesisch.
Fachbeiträge und Orientierung
Vier Dinge, die ich immer wieder erkläre.
Backup und Wiederherstellung unterscheiden
Sicherungserfolg bedeutet nicht automatisch Wiederanlauffähigkeit. Entscheidend sind geschäftlich abgeleitete RPO/RTO, geschützte Sicherungen und realistische Tests kritischer Abhängigkeiten.
Beitrag lesen →Auslagerung überträgt nicht die Verantwortung
Verträge und SLA sind Grundlagen. Die Leitung braucht zusätzlich Transparenz über kritische Leistungen, Abhängigkeiten, Kontrollnachweise und Eskalationswege.
Beitrag lesen →Warum Maßnahmenlisten häufig scheitern
Ohne Risikobezug, Owner, Abhängigkeiten und Wirksamkeitskriterien bleiben Listen dauerhaft offen. Eine Roadmap übersetzt Befunde in Steuerung.
Zur Roadmap →
Governance
Informationssicherheit ist eine Führungsaufgabe – auch wenn die IT umsetzt.
Die IT kann Firewalls konfigurieren, Konten absichern und Sicherungen betreiben. Sie kann aber nicht allein festlegen, welches Risiko das Unternehmen akzeptiert, welche Leistungen vorrangig geschützt werden oder welche Ressourcen dafür bereitstehen. Das sind Führungsentscheidungen.
Gute Governance trennt deshalb operative Umsetzung und Risikoentscheidung. Sie macht den Geltungsbereich klar, weist Rollen und Eskalationswege zu und verlangt eine regelmäßige Berichterstattung, die nicht nur Aktivitäten aufzählt, sondern verbleibende Risiken und ausstehende Entscheidungen zeigt.
Für NIS2-orientierte Organisationen ist vor allem die Nachweisfähigkeit entscheidend: Leitlinien, Risikoanalyse, Maßnahmen, Vorfallprozesse, Notfallvorsorge und Lieferantensteuerung müssen nicht nur vorhanden, sondern in der Praxis miteinander verbunden sein.
Vier Fragen für die Geschäftsführung
- Welche Geschäftsleistungen und Informationswerte sind kritisch?
- Wer darf welche Restrisiken akzeptieren?
- Welche Sicherheitslücken brauchen eine Managemententscheidung?
- Woran erkennen wir, dass beschlossene Maßnahmen wirken?
Backup & Recovery
Ein erfolgreiches Backup belegt noch keinen Wiederanlauf.
Ein grüner Sicherungsjob zeigt zunächst nur, dass Daten in ein Zielsystem geschrieben wurden. Ob sie vollständig, anwendungskonsistent, gegen Angreifer geschützt und innerhalb der benötigten Zeit wieder nutzbar sind, beantwortet er nicht.
Belastbare Wiederherstellungsfähigkeit beginnt mit fachlich festgelegten Zielen für tolerierbaren Datenverlust und Ausfallzeit. Danach müssen Abhängigkeiten berücksichtigt werden: Identitäten, Netzwerk, Virtualisierung, Schlüssel, Datenbanken, Fachanwendungen und die Backup-Infrastruktur selbst.
Ebenso wichtig ist die Widerstandsfähigkeit gegen Ransomware. Getrennte administrative Identitäten, geschützte Managementzugänge, unveränderbare oder offline verwahrte Sicherungen und nachvollziehbare Protokolle begrenzen die Möglichkeit, Produktion und Backups gleichzeitig zu zerstören.
Was ein aussagekräftiger Test dokumentiert
- welches Wiederherstellungsszenario geprüft wurde
- ob Daten und Anwendung konsistent nutzbar waren
- welche Dauer im Vergleich zum Zielwert erreicht wurde
- welche Abhängigkeiten, Fehler und Verbesserungen sichtbar wurden
Dienstleistersteuerung
Auslagerung verändert die Steuerung – nicht die Verantwortung.
Ein Vertrag beschreibt Leistungen und Zuständigkeiten. Er beweist noch nicht, dass Sicherheitsanforderungen wirksam umgesetzt, Störungen rechtzeitig erkannt oder kritische Leistungen wiederhergestellt werden können.
Wirksame Steuerung beginnt mit Transparenz: Welche Prozesse und Daten hängen vom Dienstleister ab? Welche Unterauftragnehmer, Fernzugriffe und privilegierten Konten bestehen? Welche Nachweise werden regelmäßig geliefert und wer bewertet sie?
Neben SLA braucht es deshalb Kontrollrechte, Melde- und Eskalationswege, Anforderungen an Notfallvorsorge und Informationssicherheit sowie ein praktikables Vorgehen für Wechsel oder Beendigung. Entscheidend ist, ob das eigene Management verbleibende Risiken kennt und steuern kann.
Mindestens jährlich klären
- Änderungen an Leistung, Technik und Unterauftragnehmern
- Sicherheitsvorfälle, Schwachstellen und offene Maßnahmen
- Testnachweise für Notfall- und Wiederanlaufverfahren
- Berechtigungen, Fernzugriffe und Eskalationskontakte
Häufige Fragen
Antworten zur Zusammenarbeit.
Greifen Sie in unsere Systeme ein?
Nein. Orientierungs- und Managementreviews beruhen auf
Interviews, Dokumenten und abgestimmten Nachweisen. Technische
Eingriffe, Scans oder Konfigurationsänderungen sind nicht
Bestandteil.
Ist der CyberRisikoCheck eine Zertifizierung?
Nein. Er ist eine strukturierte Standortbestimmung mit
priorisierten Handlungsempfehlungen. Er kann ein sinnvoller
erster Schritt sein, ersetzt aber weder Zertifizierung noch
technische Prüfung.
Beraten Sie auch kommunale Unternehmen?
Ja. Der kommunale Beratungsweg konzentriert sich auf Governance,
Managementverantwortung, Regulatorik, Dienstleistersteuerung,
Resilienz und priorisierte Entscheidungsgrundlagen.
Wie schützen Sie vertrauliche Informationen?
Durch Datenminimierung, abgestimmte Übermittlungs- und
Ablagewege, restriktive Zugriffe, eine
Vertraulichkeitsvereinbarung auf Wunsch und ein Löschkonzept. Im
Erstkontakt sollen keine vertraulichen Systemdetails übermittelt
werden.
Wer führt die Beratung durch?
Jedes Mandat wird persönlich von Peter Schott bearbeitet.
Deshalb ist die Zahl paralleler Projekte begrenzt. Externe
Spezialisten werden nur mit ausdrücklicher Zustimmung und klarer
Aufgabenabgrenzung einbezogen.
Sind Sie jederzeit verfügbar oder bieten Notfallhilfe?
Nein. IKS-Consulting bietet keine 24/7-Bereitschaft und keinen
operativen Incident-Response-Dienst. Termine und Umfang werden
realistisch vereinbart.
Ist IT-Sicherheitsberatung BAFA-förderfähig?
Konzeptionelle, individuelle Unternehmensberatung kann
möglicherweise förderfähig sein. Reine Technik oder Umsetzung
reicht nicht. BAFA und Leitstelle entscheiden über das konkrete
Unternehmen, den Inhalt und die Zuschusshöhe.
Verkaufen Sie Sicherheitsprodukte?
Nein. Die Beratung ist herstellerneutral. IKS-Consulting
verkauft keine Hard- oder Software und erhält keine Provision
für Produktempfehlungen.
Vertraulichkeit im Prozess
So wenig sensible Daten wie möglich.
Eine gute Beratung verlangt relevante Informationen, aber nicht zwangsläufig vollständige Datenbestände. Scope und Nachweise werden so gewählt, dass Aussagekraft und Datenminimierung zusammenpassen.
- NDA vor fachlichen Unterlagen auf Wunsch
- abgestimmte Übermittlungswege
- keine vertraulichen Anhänge im Erstkontakt
- restriktive Zugriffe
- abgestimmte Aufbewahrung und Löschung
Ihre Frage war nicht dabei?
Beschreiben Sie im Erstkontakt nur Anlass und Ziel – keine vertraulichen technischen Details.