Neue Wege für mehr Informationssicherheit in KMU

Die Unkenntnis über oder die Nichtbeachtung von Informationssicherheit und
entsprechende betriebliche Richtlinien stellen erhebliche Gefahren für alle Unter-
nehmen dar. Der Begriff Informationssicherheit bezieht sich dabei auf den Schutz
von Informationen jeglicher Art und Herkun (Scholl & Ehrlich 2020:9) und geht
über die o – trotz ihrer Verschiedenheit – synonym genutzten Begriffe IT-Sicher-
heit, Cyber-Sicherheit und Datenschutz hinaus. Gefährdungen existieren durch
menschliche Fehlhandlungen, organisatorische Mängel, vorsätzliche Handlun-
gen, technisches Versagen oder höhere Gewalt. Führungskräe und Mitarbeiten-
de der Unternehmen sollten daher gegenüber technischen und organisatorischen
Maßnahmen (TOM), mit denen den Gefährdungen angemessen begegnet werden
kann, aufmerksam sein. Dies setzt in den Unternehmen eine aktive Personalent-
wicklung zur Informationssicherheit und ein umfangreiches Risikomanagement
hinsichtlich der betrieblichen Prozesse voraus.
Aufgrund der zeitlichen Verzögerung zwischen zum Beispiel einem Cyberangriff
und seinen betrieblichen Auswirkungen können zudem langfristige Konsequen-
zen für ein Unternehmen resultieren, so dass eine langfristige Denkweise eine
entscheidende Rolle bei der Reduzierung von Sicherheitsrisiken spielt. Gemäß Li
et al. (2018) umfasst diese langfristige Ausrichtung drei Dimensionen, die in Unter-
nehmen im Bereich Informationssicherheit etabliert werden müssen: Kontinuität,
Zukunsfähigkeit und Ausdauer. Dieser Ansatz wurde auch im Rahmen des hier
dargestellten Projekts „Awareness Labor KMU (ALARM) Informationssicherheit“
mit dem Fokus auf „Hilfe zur Selbsthilfe“ für kleine und mittlere Unternehmen
(KMU) verfolgt. Dieses praxisorientierte Forschungsprojekt liefert mit seinen
Ergebnissen einen fundierten Beitrag für eine aktive Personalentwicklung und
nachhaltige Sensibilisierung. Das Projekt und seine Ergebnisse sind von besonde-
rer Bedeutung für die Erhöhung des Sicherheitsniveaus in deutschen KMU, da Un-
tersuchungen der Situation immer wieder zeigen, dass trotz der fortschreitenden
Digitalisierung das Bewusstsein für IT-Sicherheit in Deutschland noch mangelha
ist (vgl. z. B. Hensler-Unger & Hillebrand 2018). Selbst wenn die Risikowahrneh-
mung gewachsen ist, fehlt es an einer umfassenden Umsetzung verschiedener
Informationssicherheitsmaßnahmen, die nicht nur technischer Natur sein dürfen.
Die aktuelle Studie der Deutschen Industrie und Handelskammer (DIHK 2022)
hebt hervor, dass in den KMU inzwischen zwar technische Vorkehrungen zur Risi-
koreduzierung getroffen werden, allerdings kein nennenswerter Anstieg in orga-
nisatorischen Maßnahmen für Informationssicherheit – inklusive Sensibilisierung
und Schulung von Personal – zu verzeichnen ist und zudem nur ein Drittel der be-
fragten Unternehmen über einen Notfallplan verfügt.
Immer mehr rückt der Mensch ins Zentrum des Geschehens zur Erhöhung der
Informationssicherheit. Das Projekt „ALARM Informationssicherheit“ basiert auf
dem Grundsatz: „Digitalisierung nur mit Informationssicherheit. Informationssi-
cherheit nur mit Awareness.“