FIFF-Jahrestagung 2011 – Dialektik der Informationssicherheit

Vom 11.-13.11. fand die Jahrestagung des „Forums InformatikerInnen für Frieden und gesellschaftliche Verantwortung“ (FIFF e.V.) in den Räumen der Hochschule München statt. Das Leitthema der 2½ tägigen Veranstaltung war in diesem Jahr „Dialektik der Informationssicherheit — Interessenskonflikte bei Anonymität, Integrität und Vertraulichkeit“. Es ging also um die zahlreichen Interessenskonflikte, die es im Bereich der Informationssicherheit in den Unternehmen, auf politischer Ebene sowie in der Gesellschaft gibt.

Eröffnet wurde die Tagung Freitag abend mit einer Keynote des bayerischen Landesbeauftragten für Datenschutz Dr. Thomas Petri, in der er die Auswirkungen EU-rechtlicher Entwicklungen (bsp. EU-Richtlinie zur Vorratsdatenspeicherung) samt dazugehöriger Rechtsprechung auf das deutsche Datenschutzrecht darstellte. Konkret ersichtlich ist das z.B. an der Debatte über unterschiedliche Wege der Umsetzung („Quick Freeze“ vs. „Mindestspeicherung“) in Deutschland. In wie weit sich per EU-Richtlinie grundgesetzwidrige Gesetze in Deutschland notfalls EU-rechtlich erzwingen lassen, ist auch eine solche Konfliktfrage.

Dem folgte eine Podiumsdiskussion in der Michael George (Bayerisches Landesamt für Verfassungsschutz), Prof. Dr. Rainer W. Gerling (IT-Sicherheits- und Datenschutzbeauftragter der Max-Planck-Gesellschaft), Constanze Kurz (Sprecherin des CCC), Dr. Thomas Petri (Bayerischer Landesbeauftragter für den Datenschutz) und Enno Rey (Geschäftsführer der IT Sicherheitsfirma ERNW) über die Spannungsfelder und Konflikte im Bereich der Informationssicherheit diskutierten.

Am Samstag fanden acht Workshops statt – jeweils vier parallel am Vormittag und vier am Nachmittag. Man konnte also an zweien teilnehmen. Ich entschied mich für die Themen Absicherung mobiler Daten und Endgeräte sowie Kritische Infrastrukturen. Aber auch europäische (IT-)Sicherheitspolitik und -forschung, Faire IT, Facebook und Co und meine Daten im WWW, Rüstung und Informatik und Data-Mining im Internet wurden angeboten.

Das Ergebnis meines Workshops zur Absicherung mobiler Datenträger und Endgeräte fiel eher ernüchternd aus. Prof. Dr. Rainer W. Gerling (IT-Sicherheitsbeauftragter der Max-Planck-Gesellschaft in München) stellt kurz gefasst da, dass zwar technisch sehr viel getan werden kann, um mobile Unternehmensdaten vor dem Abhandenkommen zu schützen. Dass aber in vielen Ländern (z.B. der USA) Ermittlungsbehörden ganz offiziell den Auftrag zur Wirtschaftsspionage besäßen. Und in nahezu der halben Welt der Einsatz von Kryptografie und anderen Werkzeugen des technischen Datenschutzes entweder ganz verboten ist oder auf von den jeweiligen Regierungen freigegebene (für deren Geheimdienste unproblematische) Werkzeuge beschränkt sei. Wer das ignoriert, muss mit Problemen bei der Einreise sowie der Beschlagnahmung seiner Geräte rechnen. Idealerweise gibt man Mitarbeitern, die in entsprechende Länder reisen, daher nur frisch aufgesetzte Geräte mit, auf denen nur unkritische, im Prinzip öffentliche Daten liegen. Eine Hashbildung über die Festplatte ermöglicht es Veränderungen (Schadcode) an der installierten Software zu erkennen. Eine gründliche Geräteinspektion einschließlich Wiegen auf einer Präzisionswaage erkennt Veränderungen an der Hardware (z.B. Einbau zusätzlicher Komponenten). Schlussfolgerung: Tagungen auf denen sensible Informationen ausgetauscht werden, sollte man nur in sicheren Rechtsräumen stattfinden lassen. Das schont auch das Reisekostenbudget und grenzt informationstechnische Schurkenstaaten gezielt vom internationalen Informationsaustausch aus.

In der Mittagspause traf ich auf Studierende, die an einer Initiative zur Einführung eines Masterabschlusses im Bereich „Informatik und Gesellschaft“ arbeiten und die dazu Einzelaktivitäten an Hochschulen wikiartig zusammentrugen. Das Studienfeld „Informatik und Gesellschaft“ befasst sich mit den sozialen, kulturellen, politischen und individuellen Auswirkungen und Wechselwirkungen von Informationstechnik in einer interdisziplinären Weise. Es hatte seinen Höhepunkt in Deutschland in den 80er Jahren, ist stark an einzelne Persönlichkeiten gebunden, die inzwischen das Pensionsalter erreichen und droht daher langsam „auszusterben“. Zumal viele Universitäten an einem eher drittmittelarmen Forschungsfeld ohne konkrete Beschäftigungsperspektive außerhalb der Hochschulwelt kaum Interesse zu haben scheinen. Andererseits zeigen netzpolitische Debatten rund um digitale Medien, elektronisches Publizieren, Open Access, die Frage des geistigen Eigentums, Plagiate und Langzeitarchivierung oder auch Open Source oder IT-Compliance in Unternehmen die unmittelbare Relevanz des Studienfeldes „Informatik und Gesellschaft“ auf.

Der Workshop zum Thema Kritische Infrastrukturen wurde von Claus Stark (FifF) und Bernhard C. Witt (Sprecher der GI-Fachgruppe Management von Informationssicherheit) geleitet. Sie brachten mir auf kompetente Weise einen Einblick in ein Thema, dass Aspekte der Informationssicherheit mit e-Government und europäischer Sicherheitspolitik verbindet. Bei kritischen Infrastrukturen geht es um Dinge wie Energieversorgung, Verkehrssysteme, Telekommunikation, Ernährung und Gesundheitsversorgung oder auch das Finanzwesen. Ihnen allen ist gemein, dass sie irgendwie zur Daseinsvorsorge gehören, massiv vom Funktionieren informationstechnischer Systeme abhängen und im Falle von Störungen oder Ausfällen rasch negative Auswirkungen auf große Teile der Bevölkerung spürbar wären. Ideale Ziele also für Terrorangriffe oder Sabotage. Das Bundesministerium des Inneren sowie das dem BMI zugeordnete BSI geben einige Einstiegsinformationen zum Thema kritische Infrastrukturen heraus. Wer sich für speziellere Details interessiert, wird jedoch rasch feststellen, dass sich zwar zahlreiche Menschen in diversen Organisationen damit beschäftigen, jedoch durch Geheimschutzabkommen zur Verschwiegenheit verpflichtet wurden. Zu solchen Details zählen u.a. die Ergebnisse der praktisch jährlich mit unterschiedlichen Schwerpunkten stattfindenden LÜKEX-Krisenreaktionsübungen, mit denen das Handeln von Institutionen zur Krisenreaktion und Krisenbewältigung geübt wird. Erkenntnisse aus den Lükex-Übungen werden in einem abschließenden Auswertungsbericht zusammengefasst, der jedoch nicht veröffentlicht wird.

Fachliteratur zum Thema kritische Infrastrukturen ist eher knapp. Institutionellen Austausch, wissenschaftliche Begleitforschung und Debatten in der Fachöffentlichkeit gibt es dazu kaum. Jedoch beschäftigt sich u.a. in der Gesellschaft für Informatik (GI e.V.) im Rahmen der Fachgruppe IT-Sicherheitsmanagement ein Arbeitskreis Kritische Infrastrukturen (AK KRITIS) mit dem Thema.

Beim Schutz kritischer Infrastrukturen hat man im Prinzip ganz ähnliche Probleme wie in der Informationssicherheit generell. Zwar können mit Hilfe von Instrumenten wie Verschlüsselung, Härtung der Systeme und wirksamen Integritätsschutzes gute Schutzniveaus erreicht werden. Aber auch hier können schwache Sicherheitskonzepte, Implementierungsfehler sowie mathematische oder technische Schwächen Grenzen aufzeigen und Lücken für Angreifer reißen.

Der Tag endete mit dem Vortrag von Frau Hansmeier (Sicherheitsbeauftragte eines DAX-Konzerns), die die Konflikte der IT-Sicherheit in Unternehmen bei der Entwicklung und Umsetzung ambitionierter IT-Sicherheitskonzepte. Dazu gehört u.a. der unternehmenskulturelle Konflikt, dass starke Informationssicherheit und regulierter Informationszugang oftmals nur schwer mit einer von Transparenz und Offenheit geprägten Unternehmenskultur zusammengeht. Oder auch Effizienzprobleme, da viele als vertraulich klassifizierte und daher nur wenigen Personen zugängliche Daten dazu führen können, dass es in großen Organisationen redundante Mehrfachprojekte gibt, da sprichwörtlich „die linke Hand nicht weiß was die rechte tut“. Ein Umstand, den ich aus der früheren Arbeit für große Industriekonzerne selbst kenne.

Alles in allem war die „Dialektik der Informationssicherheit“ ein spannendes Themenfeld, zu dem ich gern noch einige Workshops mehr mitgenommen hätte.

Methodentag Projektmanagement 2011

Was haben Sicherheitslücken, Schwachstellen und andere Qualitätsmängel in IT-Systemen gemeinsam? Sie entstehen durch Dinge, die im Rahmen von IT-Projekten getan oder unterlassen werden. Projektwirtschaft ist bereits seit Jahren die prägendste Form des Zusammenarbeitens im IT-Bereich. Was hier schief läuft, wird sich auf die in den Projekten erstellten Ergebnisse auswirken. Daher ist es auch für IT-Profis mit Tätigkeitsschwerpunkten in den Bereichen Informationssicherheit oder Softwarequalität wichtig, sich regelmäßig mit Trends und Entwicklungen im Bereich des Projektmanagements zu befassen.

Dazu fand ich letzten Samstag auf dem Methodentag Projektmanagement 2011 am Zentrum für Weiterbildung und Wissenstransfer (ZWW) der Uni Augsburg Gelegenheit. Veranstalter waren das pm-forum Augsburg, eine lokale Community mit Fokus auf die Themen Projektmanagement und regionalen Wissenstransfer, in Kooperation mit der Gesellschaft für Arbeitsmethodik e.V. und der GPM, einem Fachverband für Projektmanagement, die Infostände zu ihren Aktivitäten im Bereich Projektmanagement und PM-Zertifizierungen anboten.

Eröffnet wurde die Veranstaltung mit einer Keynote von Erik Händeler zum Thema „Warum der Wohlstand in Zukunft vom Sozialverhalten abhängt“. Darin erläuterte er die Auswirkungen langer Entwicklungsphasen in der Wirtschaft (Kondratieff-Zyklen) und stellte die These auf, der nächste Kondratieff-Zyklus werde die Notwendigkeit zunehmender Kooperation von Menschen zum Gegenstand haben, da der fähige und wissende Mensch als solcher immer knapper werde. Dadurch werde die Bedeutung des Sozialverhaltens, d.h. die Fähigkeit mit anderen Menschen zusammenarbeiten zu können, an Bedeutung weiter zunehmen.

Ich belegte anschließend gemäß aktueller beruflicher Interessen Vorträge zu den Themen Kommunikation im Projekt, Multiprojektmanagement sowie Projektumfeld- und Stakeholderanalysen. Jeweils gehalten von kompetenten Referenten aus dem Umfeld des pm-forums Augsburg. Aber auch Themen wie das Erstellen von Projektstrukturplänen, webbasierte Projektmanagementtools, Präsentationstechniken, Projektkennzahlsysteme, systemische Organisationsaufstellungen sowie das Nutzbarmachen von Lernerfahrungen für Folgeprojekte waren im Angebot, so dass das mir das Auswählen schwer fiel. Zu Vorträgen, die man nicht besuchen konnte, kann man aber immerhin die Zusammenfassung im Tagungsband nachlesen, den jeder Teilnehmer erhielt.

Eine alles in allem runde und stimmige Veranstaltung, die ich gerne wieder besuche, sobald sie wieder stattfindet.

Wurde die Schufa gehackt?

In den letzten Wochen gab es alle paar Tage Berichte in der Tagespresse über spektakuläre Hacks auf die Rechner von Unternehmen. Kürzlich musste sogar der Weltwährungsfonds eingestehen, unerwünschte „Gäste“ in seinen Systemen gehabt zu haben.

Und jetzt scheint die Schufa dran zu sein. Auf Gulli.com wurde über einen Angriff auf die Webserver der Wirtschaftsauskunftei berichtet, bei dem über Local File Inclusion Zugriffe auf dort vorhandene, aber nicht direkt zum Webangebot gehörende Daten möglich waren. Solche Attacken auf Webserver gehen üblicherweise Angriffen auf Systeme „weiter im Inneren“ einer Organisation voraus. Gleichzeitig sind sie aber auch Gradmesser für die Ernsthaftigkeit mit der eine Organisation IT-Sicherheit betreibt. Denn Webserver, die über leicht auffindbare Sicherheitslücken wie SQL Injection, File Inclusion und Cross-Site Scripting angegriffen werden können, deuten i.d.R. auf mangelndes operatives IT-Risikomanagement und fehlende Routinen zur sicherheitstechnischen Aktualisierung von außen erreichbarer Systeme hin. Der Hinweis an die Gulli-com-Redaktion kam von einer ungenannten Quelle und wurde von Sicherheitsexperten per Proof-of-Concept bestätigt. Auch Tagesschau.de griff das Thema auf und wies auf die Problematik der Kombination aus Massendatenspeicherung, fragwürdiger “Freiwilligkeit” der faktisch erzwungenen Datenabgabe durch Verbraucher und scheinbar laxe Sicherheitsstandards bei der Schufa hin.

„Der Vorfall reiht sich in eine lange Reihe brisanter Sicherheitslücken ein und zeigt erneut, dass jede Form der personenbezogenen Datensammlung ein Sicherheitsproblem darstellt“, so Sebastian Nerz, angehender Informatiker und Bundesvorsitzender der Piratenpartei Deutschland in einer Pressemeldung. „Ob SCHUFA oder andere große Datenbestände wie die deutschen Zensusdaten, die digitalen Steuerdaten oder die Arbeitnehmer-Datenbank ELENA: Nur wenn Daten erst gar nicht gespeichert werden, sind sie vor unbefugten Zugriffen sicher. Datensparsamkeit muss daher oberstes Gebot sein. Leider ist diese Erkenntnis immer noch nicht in der Politik angekommen. Große Datenhalden werden nach wie vor als eine Lösung und nicht als Teil des Problems gesehen.“

Und die Daten der Schufa dürften in der Tat einen beträchtlichen Wert am Datenschwarzmarkt darstellen, falls es Hackern mit wirtschaftskriminellen Motiven gelänge sie zu erbeuten. Hat doch die Schufa eine monopolartige Position erreicht, die es Verbrauchern fast unmöglich macht, am täglichen Geschäftsverkehr teilzunehmen, ohne laufend standardisierte Schufa-Einwilligungsklauseln zu unterschreiben. Eine Praxis, die z.B. im Arbeitsrecht bereits dazu geführt hat, dass dort datenschutzrechtliche Einwilligungen aufgrund des Machtungleichgewichts zwischen Arbeitnehmern und Arbeitgebern als rechtlich unbeachtlich angesehen werden, da die „Freiwilligkeit“ ihres Zustandekommens bezweifelt wird. Die Schufa dürfte über einen deutschlandweit wohl einzigartigen Bestand an Finanzdaten fast aller Inhaber von Bankkonten, Handynutzern, Kreditnehmern oder Kartenzahlern besitzen. Die enormen Vorratsdatenbestände der privatwirtschaftlichen Schufa kamen nur durch die oligopolartige Stellung der Wirtschaftsauskunfteien zustande, die es Verbrauchern nahezu unmöglich macht, an ihnen vorbei Bankgeschäfte oder bargeldlose Zahlungen zu tätigen.

Eine solche Organisation ist aufgrund vieler Gründe ein herausforderndes Ziel für Hacker. Sei es als Versuch zu Ruhm und Anerkennung innerhalb der Szene zu kommen, sei es aus räuberischen Motiven, sei es im Rahmen eines Vergeltungsschlages gegen eine, ihrer Ansicht nach zu mächtig gewordene Organisation.

Die in der Überschrift gestellte Frage kann  man mittlerweile als bereits beantwortet ansehen. Denn David Vieira-Kurz, der Gulli-com den Proof-of-Concept geliefert sowie die Schufa-Verantwortlichen gewarnt hat, berichtet auf seinem Blog Secalert.net dass die Schufa-Verantwortlichen ihm als Dank eine Flasche Sekt versprochen hatten, nachdem sie die Lücke im Webserver geschlossen hatten.

Unklar ist allerdings noch, ob nicht zwischenzeitlich auch Dritte die Lücke ausnutzen und sich Schufa-Daten beschaffen konnten.

Herausforderung Cloud-Computing

Cloud Computing, also das Auslagern von Daten und IT-Diensten in die Rechenzentren von IT-Dienstleistern, gewinnt immer mehr an medialer Popularität. Dabei stößt man jedoch rasch auf etliche Probleme, wenn das Thema tatsächlich im Unternehmen umgesetzt werden soll. Denn den oftmals erhofften Einsparungen an IT-Kosten stehen beträchtliche Mehraufwände im Bereich Datenschutz und Informationssicherheit gegenüber. Hinzu kommen bislang noch ungelöste Compliance-Risiken. Dies hat die Gesellschaft für Informatik kürzlich in einem Thesenpapier verdeutlicht, dass diese Herausforderungen in den Bereichen Identity Management, Access Control und Integrity Control, Logging und Auditing, Risk Management und rechtlicher Compliance aus technischer und juristischer Sicht beschreiben thematisiert.

Außerhalb ihrer Standorte können Unternehmen ihre Vorstellungen von Sicherheitspolitiken, -strategien und -verfahren sowie Sicherheitsmaßnahmen und ihrer Kontrollierbarkeit meist nicht durchsetzen. Man muss sich schon darauf verlassen, wie weit Verträge, Service-Level-Agreements (SLAs) mit Cloud-Betreibern und deren Subunternehmern im Problemfall wirklich reichen.

Dies – sowie etliche noch offene rechtliche Fragen – führt dazu, dass viele Firmen der Cloud-Technologie eher zurückhaltend begegnen und eher zu Etablierung einer „private cloud“, also einem unternehmensinternen Angebot neigen. So können unternehmensinterne Policies, Vorgaben und Strategien leicht übertragen werden. Das aber ist dann letztlich wieder nur eine weitere technologische Spielwiese der internen IT. Ob dadurch die oft als Pro-Argument aufgeführten Rationalisierungs- und Konsolidierungseffekte erzielt werden können, dürfte fraglich sein.

Will ein Unternehmen jedoch echtes Outsourcing per Cloud Computing betreiben, sollte es sich der Tatsache gewahr werden, dass zwar die Technik und das dazugehörige Personal ausgelagert werden kann. Dass aber die Probleme in Form von Haftungsfragen, Risikoerwägungen, Compliance-Auflagen oder sonstigen, meist rechtlichen Fallstricken im Haus bleiben. Man kommt als Entscheider den Anforderungen seiner Umwelt eben nicht einfach durch das Fremdvergeben eines Auftrags aus.

Dabei beginnen die Probleme oftmals bereits mit der scheinbar simplen Frage, wie sensible Daten zum Cloud-Betreiber hin und von dort wieder zurück ins Kundenunternehmen kommen. Werden dafür öffentliche Netze genutzt, sind Fragen nach hohen und sicheren Verschlüsselungsstandards, Zugriffsrechten, Identity Management und Netzverfügbarkeit zu klären. Oft ist eine echte Ende-zu-Ende-Verschlüsselung auch gar nicht machbar, wenn z.B. Daten Verarbeitungszwischenschritte beim Cloud-Betreiber durchlaufen sollen.

Auch gilt es zu beachten, dass der aktuelle Stand der Technik bei Virtualisierung, Lastausgleich, geografischer Verteilung, Sicherungs- und Sicherheitsmaßnahmen sowie der Datenübertragung über Netzwerke generell nicht unbedingt als sicher und fehlerfrei angesehen werden kann. Es können sich darin kritische, für Dritte gut ausnutzbare Sicherheitslücken befinden. Für Auftraggeber ist das nicht immer nachvollziehbar – wollen sie solche „technischen Probleme“ ja gerade deswegen auslagern, da es ihnen oft am Know-how und den Kapazitäten fehlt, so etwas selbst beurteilen und lösen zu können. Und das obwohl z.B. die datenschutzrechtlichen Auflagen zum Thema Auftragsverarbeitung (§ 11 BDSG) dies explizit dem Auftraggeber als Pflicht bei der laufenden Kontrolle seines Auftragnehmers abfordern.

Ausgelagerte geografisch verteilte, sich u.U. im Ausland befindliche Cloud-Rechenzentren Dritter machen es für den Auftraggeber äußerst schwierig, bei eingetretenen Sicherheitsvorfällen selbst forensische Untersuchungen anzustellen, bei sicherheitstechnischen Analysen zu substanziellen Ergebnissen zu gelangen oder den Auskunftspflichten gegenüber ermittelnden Behörden und Staatsanwaltschaften zeitnah nachkommen zu können. Diese schlicht auf den Dienstleister zu verweisen, dürfte in den seltensten Fällen akzeptiert werden, da die Verantwortung rechtlich beim Auftraggeber geblieben ist und nicht mit in die Cloud abgeschoben werden kann.

Und selbst wenn es Ermittlungsbehörden gelänge, auf die Systeme des Cloud-Betreibers zuzugreifen bzw. Beschlagnahmungen durchzuführen, dürfte dabei der auf Virtualisierung und Mehrmandantenfähigkeit basierende Cloud-Betrieb empfindlich gestört werden (Schadensersatzansprüche Dritter!). Auch dürften eventuell gewonnene und potentiell manipulierte Abzüge der Daten aus der Cloud nur verminderten Beweiswert vor Gericht haben. Wobei es zu diesem Problem noch kaum Rechtsprechung gibt, deutsche Gerichte aber in solchen Fragen als sehr konservativ gelten.

Bei unternehmenskritischen Fragen auf die Dienste Dritter zurückzugreifen, bedeutet das Eingehen von Abhängigkeitsverhältnissen. Ein Stück weit ist das unumgänglich, wenn man sich die Vorteile des globalen und verteilten arbeitsteiligen Wirtschaftens zunutze machen will. Es kann aber auch bedeuten, dass die eigenen IT-Systeme zum Stehen kommen, wenn der Cloud-Betreiber über Nacht in die Insolvenz geht und abgeschaltet wird. Cloud-Verträge müssen daher stets auch Regeln enthalten, wie in solchen Fällen rasch zu einem anderen Dienstleister oder zurück in eine (dann noch existente?) interne IT gewechselt werden kann. Je komplexer die ausgelagerten IT-Systeme sind, desto anspruchsvoller ist so ein Rückwechsel-Vorhaben. Rasch kann da ein sog. „Vendor-lock-in“, d.h. eine existenzielle und kurzfristig nicht überwindbare Abhängigkeit von einem Anbieter eintreten. Auch ist bei genauerem Hinsehen längst nicht alles, was vertraglich vereinbart wurde, auch technisch umsetzbar (z.B. technische Unmöglichkeit der Datenlöschung bei Vertragsende oder besonderen Ereignissen wie Insolvenz).

Öffentliche Clouds können bei entsprechender Nutzung durchaus den Charakter kritischer Infrastrukturen annehmen, sofern sie allgemein und weitverbreitet verwendet werden. Dadurch werden schließlich sogar kartellrechtliche Aspekte wie die „Essential-facilities-Doktrin“ tangiert, welche die wenigsten IT-Entscheider mit auf dem Radar haben dürften.

Und so kommt die Gesellschaft für Informatik auch völlig zutreffenderweise zu dem Schluss, dass sich beim Cloud Computing stark erhöhte Anforderungen an die Absicherung unternehmenseigener und auch privater Datenverarbeitung ergeben werden. Und zwar hinsichtlich Vertraulichkeit, Integrität, Verbindlichkeit (z.B. Authentifizierung Berechtigter) und Verfügbarkeit der verarbeiteten Daten sowie der genutzten IT-Systeme. Hinzu kommen auch stark erhöhte Anforderungen an die rechtliche Absicherung (Compliance).

Wie man unsichere Software entwickelt

Generelle Sicherheitseigenschaften von guter Software wie die Wahrung von Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität der Daten und Dienste sind auch Qualitätseigenschaften und damit Gegenstand von Überlegungen zum Thema Softwarequalität. Während man sich üblicherweise fragt, was man tun kann, um in diesen Eigenschaften bessere Software zu entwickeln, geht Markus Wutzke, Security Consultant bei Secaron AG, den umgekehrten Weg. Er kündigte für das Softwareforum Leipzig am 29./30. November den Workshop „Sicherheit und Datenschutz in der Entwicklung von Geschäftsanwendungen“ an, in dem er darstellen will, was man alles tun sollte, um seine Software möglichst gut bestückt mit Sicherheitslücken und Schwachstellen auszuliefern.

Wutzke sieht dafür im Wesentlichen sieben Schritte als erforderlich an und empfiehlt für den geplanten Software-GAU provokativ folgende Fehlentscheidungen auf Management-Ebene:

•    Planen Sie kein Budget für Sicherheitseigenschaften ein.
•    Verankern Sie keine Sicherheitsaktivitäten in Ihrem Entwicklungsprozess.
•    Ermitteln Sie nur funktionale Anforderungen aber keine Sicherheitsanforderungen.
•    Schulen Sie ihre Entwickler nicht in Sicherheitsthemen.
•    Erfinden Sie stets das Rad neu.
•    Vermeiden Sie Security-Tests.
•    Installieren Sie die Software auf einer Standardbetriebsumgebung.

Mehr als 2/3 aller Probleme in der IT-Sicherheit sind softwarebezogen. Jedoch wird Sicherheit oftmals erst als Reaktion auf eine Bedrohung oder nach einem Angriff als wichtiges Qualitätsmerkmal eines Softwareprodukts erkannt. Sie bedarf jedoch der kontinuierlichen Integration in den Entwicklungsprozess, wie es z.B. Initiativen wie das Clean Code Development (CCD) oder Microsofts Security Development Lifecycle (SDL) vorsehen.

Letztlich bildet sichere Softwareentwicklung auch eine Schnittmenge aus Ansätzen der Informationssicherheit und der Softwarequalität.

Das Arschgeweih im Internet – von der Langlebigkeit der Daten in sozialen Netzwerken

Das Internet vergisst nichts. Was einmal an Informationen hineingeraten ist, ist nur sehr schwer daraus wieder zu entfernen. Je länger Daten im Netz stehen, desto schwerer sind sie zu löschen, da sie dann schon von anderen weitergetragen, kopiert, zitiert usw. wurden und sich gewissermaßen ins „Langzeitgedächtnis der Welt“ eingebrannt haben. Sammeln sich auf diese Weise genügend Informationen über eine Person an – ob aktuell und zutreffend oder nicht – so kann eine Art „zweite Identität“ dieser Person im Netz entstehen. Und die muss mit dem Original nicht unbedingt allzuviel gemeinsam haben. Sie kann u.U. sogar eine Art „Eigenleben“ entwickeln, wenn  ihr immer mehr Daten zufließen, welche die Suchmaschinen und Aggregatoren zusammentragen.

Das Thema der digitalen Identität bzw. Reputation kann gerade für Jugendliche zur tickenden Zeitbombe werden. Den sie haben ihre berufliche Laufbahn noch vor sich, beginnen sie aber immer häufiger mit einer ansehnlichen Zahl „digitaler Altlasten“, verteilt auf diverse soziale Netzwerke.

Und so startete auch VR-Future, das Jugendportal der Volksbanken und Raiffeisenbanken kürzlich eine Artikelserie zum Umgang mit persönlichen Daten in sozialen Netzwerken. Treffend  verglich deren Chefredakteurin Susanne Dietz solche Daten in ihrer Haltbarkeit mit Körperkunst: „Es ist fast wie bei einer Tätowierung: Man muss sich heute die Frage stellen, ob man mit den veröffentlichten Informationen auch in fünf Jahren noch gut leben kann“. Und ergänzt: „Wir wollen Jugendliche beim Umgang mit sozialen Netzwerken dafür sensibilisieren, nicht unnötig viel von der eigenen Identität preiszugeben. Jeder weiß, dass es ein schlechtes Licht auf ihn wirft, wenn er anrüchigen Gruppen beitritt oder etwas veröffentlicht, was andere verunglimpft. Aber auch künftige Arbeitgeber nutzen soziale Netzwerke zu ihrer Information – so kann aus einem Jugendspaß schnell eine Spaßbremse für die eigene Karriere werden. Außerdem sollte Jugendlichen klar sein: Das Internet vergisst nie, denn Online-Dienste wie web.archive.org liefern auch nach Jahren noch alte Daten, die man selbst für gelöscht hielt“.

Es lohnt sich also, sich zum einen eine Strategie im Umgang mit sozialen Netzwerken zurechtzulegen: Was will man dort erreichen? Welche Ziele sollen mit den dort bereitgestellten persönlichen Informationen verfolgt werden? Und sich zum anderen intensiv mit den Datenschutzmöglichkeiten sowie den Methoden zu befassen, mit denen Informationen in dem jeweiligen System geschützt und gezielt für bestimmte Zielgruppen verfügbar gemacht oder gesperrt werden können. Auch hier gilt wieder der Grundsatz, dass das was „draußen“ ist, kaum mehr wirksam zurückgeholt werden kann.

Für die beiden weit verbreiteten sozialen Netzwerke Facebook und StudiVZ haben die Leute von VR-Future Leitfäden von Klicksave.de, einem EU-Projekt zum Thema Sicherheit für Verbraucher und Endnutzer im Internet, verlinkt. In ihnen lässt sich von der Einstellung der Zugriffsrechte auf das persönliche Profil über den Umgang mit Freundeslisten bis hin zur Verwendung von Zusatzapplikationen (Apps) alles nachschlagen, was für den bewussten und datensparsamen Umgang mit Facebook bzw. StudiVZ wichtig ist.

Klicksave.de – Facebook-Leitfaden

Klicksave.de – StudiVZ-Leitfaden

Wie Manager ihre CISOs sehen

Chief Information Security Officer (CISO) – so lautet in meist größeren Organisationen der klangvolle Titel des IT-Sicherheitsbeauftragten. Und dieser hat dort einen oft heiklen Job zu erledigen. Soll er doch einerseits das sachlich notwendige und rechtlich geforderte Niveau an Informationssicherheit aufrecht erhalten. Und dabei möglichst wenig Geld ausgeben sowie die reguläre Geschäftstätigkeit nicht unnötig behindern.

Es liegt auf der Hand, dass unterschiedliche Persönlichkeiten von IT-Sicherheitsmanagern dabei auch unterschiedlich an ihre Aufgaben herangehen. Und so konnte die Markforschungsagentur known_sense bei einer Befragung etlicher oberer Führungskräfte deutscher Unternehmen im Laufe des letzten Jahres interessante Details über deren Sicht auf ihre CISOs zutage fördern.

Die CISOs sollen möglichst Entwicklungen gestalten, den permanenten Wandel im Unternehmen bewältigen, dabei Stabilität sowie die Einhaltung von Regeln und Abläufen gewährleisten. Dabei sollen sie auf Gefahren reagieren, sind jedoch durch notwendige Sicherheitsbestimmungen selbst eingeschränkt, sollten sich nicht auf eine rein blockierende „So geht’s nicht“-Position zurückziehen, müssen aber dennoch den Sicherheits-GAU stets vor Augen haben. Klingt nach einem jener Jobs, bei denen Widerspruchstoleranz, Belastbarkeit und Konfliktfähigkeit bereits in die Stellenbeschreibung hineingehören.

Zu solchen Positionen gehören notwendigerweise auch Macht und Befugnisse, welche geeignet sind, bei zielgerechtem Einsatz zur Durchsetzung sicherheitstechnischer Notwendigkeiten auch Konflikte mit Linienmanagern zu provozieren.

Dabei kristallisierten sich vier „Grundtypen“ von CISOs heraus, wobei jedoch in der Praxis die wenigsten IT- Sicherheitsmanager sich rein einem Typ zugehörig fühlen dürften. Die vier Grundtypen des CISOs:

Der selbstbewusste Vermittler
Er hat ein ausgeprägtes fachliches Know-how und ausgeprägte kommunikative Fähigkeiten. So kann er auf Augenhöhe mit der Geschäftsführung verhandeln. Allerdings gerät er so auch in Macht- und Konkurrenzsituationen hinein, die er für sich entscheiden muss, um nicht unterzugehen.

Der kompetente Sicherheitsspezialist
Er ist fachlich sehr kompetent und ein guter Berater und Unterstützer für Führungskräfte und Mitarbeiter. Allerdings fehlen ihm kommunikative Fähigkeiten. Außerdem neigt er dazu technische Insellösungen zu entwickeln, die auf längere Sicht hin unnötige Probleme und Kosten nach sich ziehen können.

Der mahnende Kontrolleur
Er ist ein wachsamer, verlässlicher und fürsorglicher IT-Sicherheitsmanager, der u.a. durch Mitarbeiterschulungen und das Etablieren von Standards zur Informationssicherheit im Unternehmen beiträgt. Allerdings gehören ein guter Schuss Paranoia sowie ein Hang zur Übertreibung (von Sicherheitsrisiken) zu seinem Handeln.

Der Streiter für die IT-Sicherheit
Er ist eine anerkannte Instanz im Unternehmen und tritt auch so auf. Er kann Vertrauen schaffen und steht für „die sichere Seite“. Allerdings ist er auch ein Bremser und Verzögerer. Innovationen sind nicht seine Stärke und Markttrends können ihn schon mal überholen.

Die Macher von known-sense ziehen daraus den Schluss, dass Manager und CISOs als Mit-Gestalter des Unternehmens sich kraft ihrer jeweiligen Befugnisse schon mal in die Quere kommen können.

Dabei können Führungskräfte und IT-Sicherheitsmanager jedoch auf Dauer nur gemeinsam und als Team erfolgreich auskommen. Zu groß sind – Stichworte Governance, Risk & Compliance – die gegenseitigen Abhängigkeiten inzwischen geworden.

In der Aus- und Weiterbildung von CISOs sollten daher auch deren Managementkompetenzen (Strategie, Taktik, Psychologie, soziale Kompetenzen) gestärkt werden, um ihnen ein erfolgreicheres Handeln auf Geschäftsführungs- und Vorstandsebene zu ermöglichen.

Eine Kurzzusammenfassung der Studie kann man sich bei known_sense kostenlos herunterladen (PDF, 1,3 MB), das vollständige Werk gibt es für 380 € dort zu bestellen.

Verizon-Leitfaden soll Umgang mit Informationen zu Sicherheitsvorfällen vereinheitlichen

Verizon, ein Anbieter von IT-System- und Betriebsdienstleistungen für ausgelagerte IT-Services, hat mit den „Verizon Incident Sharing“ (VerIS) den Entwurf für eine neue technische Norm zum standardisierten Austausch von Informationen über Angriffe auf IT-Systeme vorgelegt.

Informationen über technische Details von Exploits, Sicherheitslücken oder Hackerattacken auf IT-Systeme verbreiten sich im Internet-Zeitalter über CERTs, Bugtrack-Listen und andere Medien zwar recht schnell. Aber eben unstrukturiert, was ihre rasche teilautomatisierte Weiterverarbeitung in unternehmensinternen Informationssystemen für das System-Management beeinträchtigt. Ideal wäre daher eine Art einheitliches Formular, das alle relevanten Informationen über einen Exploit sowie getroffene Bewertungen der Sach- und Bedrohungslage qualitätsgesichert enthält und als Datensatz rasch weiterverbreitet und in entsprechenden Systemen analysiert werden kann. Das würde es den zahlreichen an Fragen der IT-Sicherheit arbeitenden Organisationen ermöglichen, global von einer halbwegs einheitlichen Datenbasis auszugehen.

Heute verwenden Unternehmen und Behörden diverse, oftmals nicht zueinander kompatible Systeme, um solche Informationen zu erfassen und weiter zu verarbeiten. Das macht es schwierig, wichtige Trends mit Blick auf Sicherheitsverletzungen zu erkennen und zügig gemeinsame Abwehrmaßnahmen zu ergreifen.

Zur Lösung des Problems könnte ein gemeinsamer technischer Standard beitragen, der allgemeingültige Bewertungskriterien enthält und eine Struktur zur Beschreibung und Analyse von Sicherheitsvorfällen vorgibt. Den hat Verizon nun mit seinem „Verizon Incident Sharing“ -Leitfaden als Entwurf vorgelegt.

Dabei gliedert der VerIS-Standard die Informationen über Sicherheitsereignisse in vier ineinandergreifende Kategorien, die jeweils relevante Fakten für das Risikomanagement liefern: Gefährdung, betroffene Schutzgüter, Auswirkungen des Angriffs und Eindämmungsmaßnahmen (soweit bereits bekannt). Die VerIS-Metriken sind dazu in die vier Bereiche Demografie, Ereignisbeschreibung, Offenlegung sowie Minderung und Beschreibung von Auswirkungen der Sicherheitsverletzung unterteilt. Diese Metriken sollen konkrete Hinweise auf Ursache und Schweregrad eines Angriffs liefern.

Letztlich kann die weltweite Community von IT-Sicherheitsverantwortlichen nur davon profitieren, über Daten zu Sicherheitsereignissen zu verfügen, die miteinander verglichen und analysiert werden können weil sie in der gleichen „Sprache“ und Struktur aufgebaut sind.  Auf diese Weise erhält die Interessengemeinschaft konkrete Hinweise zur Identität ihrer Gegner, ihren Ziele und Strategien. Für die Absicherung der digitalen Welt ist das von entscheidender Bedeutung, so die Sicht von Verizon. Es bleibt also abzuwarten, in wie weit die Community den Verizon-Entwurf annimmt und ob er nach entsprechender fachlicher Diskussion in internationale Normungsgremien wie ISO oder IEEE eingebracht wird.

Die 10 gefährlichsten Schwachstellen in Webanwendungen

Die Experten des Open Web Application Security Project (OWASP), einer Community die sich mit den Aspekten sicherer Programmierung in Webanwendungen beschäftigt, haben kürzlich ihre alle drei Jahre neu erstellte Top-10-Liste gefährlicher Schwachstellen und qualitativer Mängel in Webapplikationen neu veröffentlicht. Grundlage der Klassifizierung der darin enthaltenen Probleme sind Risikobewertungen, die die OWASP-Experten mittels einer eigenen OWASP Risk Ratig Methodology bewertet haben. Genauere Erläuterungen dieser Schwachstellenklassen sowie Hinweise zu ihrer Eindämmung geben sie in einer 22-seitigen Broschüre „OWASP Top 10 – 2010 The Ten Most Critical Web Application Security Risks“, die man als PDF (2,5 MB) herunterladen kann.

Die Broschüre enthält eine übersichtliche Darstellung der zehn Problemklassen und stellt Bezüge zu weiteren frei verfügbaren Referenzen her, so z.B. zu den OWASP-Projekten Enterprise Security API (ESAPI) und Application Security Verfication Standard (ASVS). Gegenstand dieser Projekte ist die Entwicklung prüf- und testbarer Standards zur Implementierung von Sicherheitsfunktionen in Webanwendungen.

Bei den zehn Risiken für Webentwickler, die laut OWASP 2010 am ehesten ernst zu nehmen sind, handelt es sich um:

•    Code Injection
•    Cross-Site Scripting (XSS)
•    Broken Authentication and Session Management
•    Insecure Direct Object References
•    Cross-Site Request Forgery (CSRF)
•    Security Misconfiguration
•    Insecure Cryptographic Storage
•    Failure to Restrict URL Access
•    Insufficient Transport Layer Protection
•    Unvalidated Redirects and Forwards

Das Ziel sicherer und qualitativ hochwertiger Software wird inzwischen von mehreren Organisationen mit jeweils eigenen Schwerpunkten verfolgt. So legten die Institute MITRE und SANS im Auftrag mehrerer Unternehmen und Organisationen, darunter auch OWASP, die zweite Auflage ihrer 25 gefährlichsten Programmierfehler erst kürzlich vor.

Dave Wichers, Mitglied des OWASP-Vorstandes betont, die zunehmende Bedeutung der Risiken, die letztlich hinter den einzelnen Schwachstellen stehen. Sicherheitslücken nur zu priorisieren ohne das dazugehörige Anwendungsumfeld zu betrachten, ergäbe keinen Sinn so Wichers.

Diese neue Konzentration auch auf denkbare Risiken soll Organisationen helfen zu einem reiferen Verständnis von Anwendungssicherheit zu kommen sowie ihre Prozesse bzgl. sicherer Programmierung, Testmanagement und Softwarequalität entsprechend weiterzuenwickeln.

Die „schmutzigen“ Geschäftsgeheimnisse mancher IT-Sicherheitsfirmen

Vor einiger Zeit berichtete das Manager-Magazin über „die geheimen Tricks der Security-Anbieter“ und nahm dabei die Geschäftspraktiken der etablierten Anbieter von IT-Sicherheitsprodukten kritisch unter die Lupe. Denn gerade Unternehmen, die die steigenden Kosten der reinen Aufrechterhaltung eines definierten Sicherheitsniveaus ihrer IT-Infrastruktur im Auge behalten, fragen sich zunehmend „Wofür bezahlen wir da eigentlich – Warum muss es überhaupt Schadsoftware geben, für deren Abwehr wir da Schutzgeld löhnen?“.

Ein Stück weit ist diese Frage naiv. Schließlich kosten uns als Steuerzahler auch Polizei und Rechtspflege nur deshalb Geld, weil es Menschen gibt, welche einen eher lockeren Umgang mit Recht und Gesetz pflegen. Oder weil rechtliche Probleme so verwickelt sein können, dass die daraus resultierenden Konflikte vor einem Gericht landen. Aber es steckt auch ein wahres Element darin. Viele IT-Sicherheitsrisiken müssten eigentlich gar nicht sein. Und dann würden sich auch die Kosten ihrer Abwehr erübrigen.

Joshua Corman, Chefstratege für IT-Sicherheit bei IBM, hat acht „schmutzige“ Geheimnisse der IT-Sicherheitsdienstleister identifiziert und in einem Interview mit der US-Fachblatt CSO thematisiert. Die acht Kritikpunkte lassen sich wie folgt zusammenfassen:

These 1: Anbieter wollen nur Geld verdienen
Aus Sicht eines Softwarehauses, das z.B. Antivirenprogramme entwickelt, ist es nicht erforderlich, der Bedrohung einen Schritt voraus zu sein. Es reicht, wenn man dem Kunden eine Nasenlänge voraus ist. Würden Anbieter nämlich Software-Produkte entwickeln und anbieten, die wirklich schützen, wäre ihr Geschäftsmodell in Gefahr. Genau hier liegt nach Ansicht von Corman die Ursache aller weiteren Übel. Er rät dazu, die Studien, Expertisen und Marketing-Aussagen der Anbieter mit einer gehörigen Portion Skepsis zu lesen.

These 2: Antiviren-Tools nicht zertifiziert
Antiviren-Produkte sind inzwischen recht gut darin, Viren, Trojaner und andere Formen von sich selbst replizierenden Programmcode zu entdecken und unschädlich zu machen. Doch die Formen von Bedrohungen – Rootkits, Bots, Dropper etc. – werden vielfältiger. Und zahlreiche Angriffsarten, wie etwa Social Engineering, Code-Injection oder Phishing zielen auf ganz andere Art und Weise auf die wertvollen Datenschätze der Unternehmen ab. Gegen sie sind viele Antivirenprodukte kaum oder gar nicht wirksam. Zudem gibt es bis heute keinen Standard, gegen den man ein Antivirenprodukt zertifizieren könnte, um generische Aussagen über seine Qualität machen zu können. Entweder man glaubt der Marketing-Abteilung des Herstellers oder nicht.

These 3: Es gibt keine Netzwerksicherheit
Absolute Netzwerksicherheit gibt es nicht. Aber auch bei der relativen Sicherheit eines Firmennetzwerkes hängt sehr viel davon ab, wie es zu Beginn konzeptionell geplant und strukturiert wird. Gerade bei Netzwerken, die zur Realisierung einer mehrstufigen Sicherheitsstrategie eine demilitarisierte Zone (DMZ) enthalten, wird gerne einiges falsch gemacht, so dass deren Perimetersicherheit deutlich schwächer ausfällt als geplant.

Corman rät Unternehmen deshalb, Basis-Perimeter zu definieren und daran die Sicherheitsstrategie auszurichten sowie die passenden Produkte zu kaufen. Ein Schelm, wer dabei an die umfangreiche Netzwerk-Produktpalette von IBM denkt…

These 4: Risiko-Management bedroht Anbieter
Viele Risiken lassen sich durch ein ganzheitliches Risikomanagement im Unternehmen in den Griff bekommen. Risiken  kann man dabei grundsätzlich mit Hilfe von sechs Vorgehensweisen begegnen: Vermeidung, Verminderung, Abwälzung auf andere, Eigenfinanzierung, Notfallpläne und Nichtstun. Diese systematische Herangehensweise an Risiken im Bereich der IT-Sicherheit ist dabei jedoch nicht unbedingt im Interesse der Anbieter. Denn sie bieten oft nur ein bestimmtes Produkt (Virenschild, Firewall, Spamfilter …) für ein bestimmtes Problemfeld an. Eine Integration solcher Produkte in eine übergeordnete Strategie erfordert jedoch Know-how, über das viele Unternehmen nicht verfügen und das sie bei den Produkteanbietern auch nicht extern einkaufen können.

These 5: Nur so stark wie das schwächste Glied
Ist die IT-Sicherheit im Unternehmen jedoch eher fragmentarisch und unsystematisch aus diversen Kaufprodukten zusammengesetzt (IT-Fachleute sprechen gerne auch von „historisch gewachsen“), so nimmt die Wahrscheinlichkeit von ausnutzbaren Lücken darin rapide zu. Was den fachlichen Rat nahelegt, die Sicherheit der eigenen IT-Infrastruktur regelmäßig, z.B. durch dynamische Sicherheitstests prüfen zu lassen und die Verbesserungsvorschläge in den Prüfergebnissen zeitnah umzusetzen.

Eine oftmals größere und zudem gern unterschätzte Gefahr geht zudem von unzureichenden Systemkonfigurationen, etwa bei Zugriffsberechtigungen, sowie von Beschäftigten aus. Beispiel: Das beste Passwort zum Schutz des Geheimarchivs ist sinnlos, wenn es als Post-it-Notiz unter der Tastatur klebt. Doch genau in diesen Bereichen versagen die meisten Anbieter. Schließlich verkaufen sie Produkte und bieten keine umfänglichen Beratungsleistungen an.

These 6: Die Compliance-Lüge
Von Land zu Land unterschiedliche regulatorische Vorgaben führen oftmals dazu, dass Unternehmen mehr Geld für Sicherheit ausgeben müssen als sie es normalerweise tun würden. Dazu zählen in Deutschland das Bundesdatenschutzgesetz, das Telekommunikationsgesetz, Auflagen der Sozialversicherungsträger aber auch Auswirkungen von Branchenregulierungen wie EuroSOX oder als Folge von Wirtschaftsskandalen verschärfte Sorgfalts- und Kontrollpflichten des Gesellschaftsrechts.

Oft machen Hersteller von IT-Sicherheitsprodukten es sich einfach und bieten Out-of-the-Box-Lösungen an, die angeblich alle Bereiche und Risiken abdecken und dem Kunden das Nachdenken über komplizierte juristische Zusammenhänge abnehmen sollen. Fragt man dann aber etwas detaillierter nach, gehen den (oft nur oberflächlich geschulten und in juristischen Feinheiten ungeübten) Produktberatern rasch die Argumente aus.

In Wirklichkeit versagen die Lösungen oft, wenn es darum geht, spezifische Anforderungen des Gesetzgebers abzudecken. Die Probleme hat dann der Kunde. Für Softwareprodukte gibt es keine „Straßenverkehrszulassung“ wie für Autos, welche diese erfüllen müssen, bevor sie in den Handel kommen.

These 7: Botnetze werden ausgeblendet
Eine nicht mehr ganz neue aber nichtsdestotrotz bedeutende Gefahr für Unternehmen sind Botnetze. IN ihnen werden große Zahlen (meist privater) PCs zu einer Art Superrechner zusammengeschaltet und von einem zentralen Rechner („Command & Control-Server) aus gesteuert. Botnetze lassen sich in der Internet-Schattenwirtschaft mieten wie Autos und man kann mit ihnen z.B. Werbemails (Spam), Mailbetrugsversuche (Phishing), schadsoftwareverseuchte Mailanhänge in Millionenstückzahl verschicken oder auch Überlastungsangriffe auf kommerzielle Websites der Konkurrenz (DDos-Attacken) starten.

Dagegen helfen Fertigprodukte der Softwareanbieter für sich betrachtet praktisch gar nicht, überlegte, fachlich fundierte und ordentlich umgesetzte Sicherheitsstrategien in den Unternehmen jedoch durchaus.

These 8: Do it yourself ist keine Lösung
Der Einsatz von Sicherheitstechnologie ohne Überlegung und Strategie bedeutet oftmals teures Chaos. Masse und Vielfalt der derzeit verfügbaren Sicherheitsprodukte übersteigen die Möglichkeiten von Firmen, sich umfassend darüber zu informieren und deren sinnvolle Verwendbarkeit einordnen zu können. Und Produkteanbieter können vielleicht ihr Produkt vor Ort installieren, konfigurieren und den lokalen EDV-Beauftragten einweisen. Sie können jedoch keine produktübergreifende Beratung zur richtigen generellen Vorgehensweise bei der IT-Sicherheit im Unternehmen bieten (und wollen das auch gar nicht).

Weil man sich aber irgendwie gegen Angriffe schützen muss, wird dann im Do-it-Yourself-Verfahren irgendeine Lösung aufgespielt und diese anschließend sich selbst überlassen.

Es ist ein Stück weit ähnlich wie bei der (kostenlosen) Produktberatung in einer Bank. Da erfährt man auch nur was die Bank anbietet und welche Eigenschaften die Finanzprodukte haben. Eine vernünftige, produktübergreifende Vermögensberatung kann  der Bankangestellte nicht bieten. Das ist Job eines Vermögensberaters, der statt Verkaufsprovisionen Beraterhonorare abrechnet.

Und so macht sich ein weiterer Teilnehmer des IT-Sicherheitsmarktes zunehmend bemerkbar: Der kompetente, in IT-Sicherheits-, Datenschutz- und Compliancefragen bewanderte, unternehmensstrategisch denkende IT-Sicherheitsberater. Wahlweise als Angestellter oder als externer Berater.