Die Gefährdung durch Computerviren und -würmer, Phishing- und Hacker-Angriffe sowie durch IT-basierte Wirtschaftsspionage hat in den vergangenen Jahren erheblich zugenommen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat einen ersten Bericht zur „Lage der IT-Sicherheit in Deutschland' vorgelegt.

Tenor: Die bestehenden Schutzmaß-
nahmen reichen heute zwar gerade noch aus, müssen aber weiter verbessert werden.

Annähernd 90 % der Verantwortlichen in deutschen Unternehmen sehen die Wirtschaft durch mangelnde Sicherheit in der Informationstechnik gefährdet und setzen das Thema ganz nach oben auf ihre Agenda. Akut bedroht durch E-Mail-Schadprogramme, Wirtschaftsspionage über das Internet oder Hackerangriffe sieht sein Unternehmen allerdings nur jeder vierte IT-Verantwortliche. Das BSI bemängelt daher auch, dass in den Unternehmen zwar durchaus ein Sicherheitsbewusstsein vorhanden sei, dass aber meist erst dann Maßnahmen ergriffen würden, wenn eine konkrete Bedrohung vorliege oder die IT-Systeme bereits infiziert seien.

BSI-Präsident Dr. Udo Helmbrecht hält es für eine Pflicht aller gesellschaftlichen Gruppen, dem Thema IT-Sicherheit einen zentralen Stellenwert einzuräumen: „Wirtschaft und Gesellschaft sind auf eine sichere Informationstechnik angewiesen.' Damit künftig angemessen gehandelt werden kann, hat die Bonner Behörde 2005 erstmals einen umfangreichen Lagebericht veröffentlicht. Die amtliche Bestandsaufnahme analysiert die gegenwärtige Situation, das Sicherheitsbewusstsein und die Sicherheitskompetenz der Bürger, der Wirtschaft und der öffentlichen Verwaltung, beschreibt Schwachstellen und Bedrohungen der bestehenden IT-Systeme, liefert einen Ausblick auf die künftig zu erwartende Entwicklung und skizziert Ansätze für Gegenmaßnahmen.

Auch neue Technologien betroffen

Laut BSI wurden allein in der zweiten Jahreshälfte 2004 mehr als 1400 neue IT-Sicherheitslücken entdeckt - ein Zuwachs von 13 % gegenüber dem ersten Halbjahr. Dazu kommen nicht weniger als 7 360 neue Wurm- und Virenvarianten, was sogar einem Anstieg um 64 entspricht. Auch neue Übertragungstechnologien wie die Internet-Telefonie, Wireless LAN oder die Mobilfunkkommunikation sind demnach Angriffsziele von Computer-Kriminellen. Der Anteil von Spam-Nachrichten beträgt dem Bericht zufolge inzwischen 60 bis 90 % des gesamten E-Mail-Verkehrs. Das BSI geht davon aus, dass alle diese Bedrohungen in Zukunft noch weiter zunehmen werden. Darüber hinaus zeichnet sich ein Trend zur „Professionalisierung' der Internet-Kriminalität ab: Statt einzelner Computer-Hacker steht hinter den Angriffen vermehrt das organisierte Verbrechen. Ein Beispiel hierfür ist das Phishing, also die Datenspionage mit betrügerischen E-Mails.

„Auch wenn der Schutz unserer IT-Systeme heute gewährleistet ist, müssen wir uns für die Zukunft noch besser wappnen', fasst Dr. Udo Helmbrecht die gegenwärtige Situation zusammen. Auf der Ebene von Unternehmen und Verwaltungen sollten Maßnahmen wie systematische Risikoanalysen, die Erstellung von IT-Sicherheitskonzepten, die Ernennung von kompetenten Beauftragten für diesen Bereich sowie regelmäßige IT-Sicherheitsrevisionen eine Selbstverständlichkeit sein. Aber hier gibt es noch großen Nachholbedarf. Nur rund die Hälfte der IT-Verantwortlichen in Unternehmen hat zum Beispiel eine schriftlich fixierte Strategie zur Informationssicherheit.

Ein solides Sicherheitskonzept

„Ein solides Konzept im Sinne eines ganzheitlichen Sicherheitsansatzes ist aber überhaupt die Basis für den Schutz der IT-Infrastruktur', erklärt Norman Heydenreich, Director Government Relations bei Microsoft Deutschland und Mitglied der Lenkungsgruppe „eGovernment/Sicherheit und Vertrauen im Internet' der Initiative D21, die diesem Thema seit jeher größte Bedeutung beimisst. Doch häufig verfüge der Mittelstand nicht über die notwendigen Mittel und Ressourcen, um selbst ein solches Konzept zu entwickeln. „Hier sehen wir eine gemeinsame Verantwortung der Bundesregierung und der Initiative D21. Deshalb arbeiten D21-Mitgliedsunternehmen wie eBay, Microsoft und SAP zusammen mit weiteren Partnern wie Mcert - Deutsche Gesellschaft für IT-Sicherheit - daran, für alle kleinen und mittleren Unternehmen ein Mittelstandspaket Informationssicherheit' kostenlos zur Verfügung zu stellen.' Dies geschehe vor allem im Rahmen der vom Bundeswirtschaftsministerium angestoßenen Initiative „Deutschland sicher im Netz'.
Nationales Krisenzentrum

Der neue Lagebericht des BSI ist Teil einer Gesamtstrategie. Er ergänzt den „Nationalen Plan zum Schutz der Informationsinfrastrukturen' (NPSI) aus dem Bundesinnenministerium, mit dem die Sicherheitsrisiken beim Einsatz von IT-Systemen reduziert werden sollen. Um Krisen in diesem Bereich frühzeitig zu erkennen und diesen gezielt entgegenwirken zu können, wird beim BSI das „Krisenreaktionszentrum IT' des Bundes eingerichtet. Bereits jetzt informiert die spezialisierte Fachbehörde zuverlässig über drohende Viren- und Wurmattacken und liefert auf seinen Webseiten leicht verständliche Hinweise und Tipps, wie sich sowohl Privatanwender als auch Unternehmen wirkungsvoll schützen können - etwa im „IT-Grundschutzhandbuch'. Auch Norman Heydenreich schätzt die Arbeit und die Bedeutung des BSI äußerst hoch ein. „Zum einen nimmt das BSI als Behörde für Verbraucher und Unternehmen eine besondere Vertrauensstellung ein, zum andern arbeiten die D21-Mitgliedsunternehmen wie Microsoft eng mit dem BSI zusammen.'

Der Lagebericht kann auf der Seite des Bundesamts für Sicherheit in der Informationstechnik heruntergeladen werden: www.bsi.de.