IT-Grundschutz

Sicherheit elektronischer Geschäftsprozesse

Elektronische Geschäftsprozesse erlauben mittelständischen Unternehmern, ihre Geschäfte effizienter und schneller abzuwickeln. Sie bieten Vorteile für Kunden, sparen Kosten und beschleunigen viele Vorgänge im Unternehmen. Durch weniger Fehler beim Bearbeiten von Geschäftsvorgängen steigt die Qualität und sinken die Kosten.

Nicht nur diese großen Potenziale sondern auch die Möglichkeit, Innovationen leichter einzuführen und umzusetzen, lassen Unternehmer immer öfter und weitreichender IT nutzen. IT-Sicherheit muss aber mitgedacht werden, wenn elektronische Geschäftsprozesse Vorteile bringen sollen. Ein IT-System, das ausfällt und den Betrieb stört oder stilllegt, kostet nicht nur Geld, sondern gefährdet auch das Vertrauen des Kunden. Mit einem durchdachten Konzept und geeigneten IT-Sicherheitsvorkehrungen kann jedes Unternehmen diesen Risiken jedoch vorbeugen und so den Grundstein für sichere Geschäfte legen.

Elektronische Geschäftsprozesse - eine Chance für den Mittelstand

Elektronische Geschäftsprozesse reichen vom Einsatz von E-Mails und gehen beispielsweise bis zum Einsatz komplexer Lösungen für ERP (Enterprise Ressource Planning) oder Kundenbetreuung (CRM - Customer Relationship Management). Eine vollständige Integration aller Komponenten ist das Ziel durchgängiger elektronischer Geschäftsprozesse.

Mitunter verlangen Geschäftspartner oder Kunden bestimmte technische Standards, um über Unternehmensgrenzen hinweg den Geschäftsverkehr elektronisch durchführen zu können. Unternehmen, die elektronische Geschäftsprozesse einführen, sichern damit ihre Wettbewerbsposition und sind offener für neue Entwicklungen. IT-Sicherheit ist dabei untrennbar mit einer effizienten und sinnvollen IT-Nutzung verbunden. Sie bildet die Grundlage für die Zuverlässigkeit und das Vertrauen in elektronische Geschäftsprozesse. Wer hier spart, riskiert hohe Schäden und Vertrauensverluste.

Praxisbeispiele

Ein Fahrzeughändler mit mehreren Standorten möchte seine Kunden direkter ansprechen und sie enger binden. Ein CRM-System soll helfen, die Kunden über regelmäßige Wartungstermine zu informieren. Zusätzlich sollen Kundenprofile geführt werden, um neue Angebote und Dienstleistungen zielgerichtet anzubieten.

Vor Einführung des Systems wurde geprüft, welche Sicherheitsmaßnahmen notwendig sind. Da ein Verlust der Daten nicht akzeptabel ist, werden diese täglich gesichert und an einen sicheren Ort ausgelagert. Damit die Wartungstermine nicht versehentlich von dafür nicht zuständigen Mitarbeitern geändert werden können, ist ein einfacher Zugriffsschutz eingeführt worden: War ein Fahrzeug in der Werkstatt, wird vom dortigen Mitarbeiter direkt der neue Termin eingetragen; andere Mitarbeiter können diesen anschließend nur noch lesen.

Ein Energieversorger hat ein elektronisches Workflowsystem für die Störungsannahme und -bearbeitung eingeführt. Hierbei wurden bereits grundlegende Sicherheitsmaßnahmen eingeführt. Im zweiten Schritt erfolgt eine Erweiterung hinsichtlich mobiler Endgeräte. Die Mitarbeiter vor Ort können direkt Informationen über die Art der Störung, Maßnahmen und Aufwände für die Behebung in das System übertragen. Diese Daten werden an das Ressourcenplanungssystem für die Störungsbearbeitung weitergeleitet. So werden Mitarbeiter und Material schneller koordiniert, die Bearbeitungszeiten gesenkt und Störungen schneller behoben.

Bereits bei der Planung wurde über die notwendige Sicherheit nachgedacht. So erforderte die Anbindung der mobilen Mitarbeiter z.B. einen sicheren Zugang ins Firmennetz. Dieser wurde über ein virtuelles privates Netzwerk (VPN) realisiert. Ebenso wurde auf eine sichere Minimalkonfiguration der Endgeräte Wert gelegt.

Risiken der IT-Nutzung

Elektronische Geschäftsprozesse erfordern immer eine Anpassung der vorhandenen IT-Systeme an die Prozesse. Damit verbunden ist aber auch eine steigende Abhängigkeit von der eingesetzten Technik und den verarbeiteten Informationen. Deshalb ist es wichtig, mit den IT-Systemen und den Daten bewusst und vorsorgend umzugehen. Sie vermeiden dadurch unnötige Kosten durch Systemausfälle und Datenverluste. Die Integration verschiedener Systeme kann neue oder gesteigerte Sicherheitsanforderungen mit sich bringen. Ebenso wie die Geschäftsprozesse sich ändern, müssen die Sicherheitsmaßnahmen angepasst werden. Die Öffnung des Unternehmens nach außen über z.B. E-Mail, Internet oder Web-Auftritt bergen immer auch ein Risiko. Dieses bleibt jedoch steuerbar, wenn sich die Unternehmensleitung dessen bewusst ist. Sicherheit schaffen

IT-Systeme unterscheiden sich von Unternehmen zu Unternehmen. Konzepte für IT-Sicherheit - und deren Umsetzung - sind entsprechend individuell und sollten auf das einzelne Unternehmen passgenau zugeschnitten sein. Trotzdem existieren zahlreiche übergreifende Hilfen, mit denen sich schnell und ohne umfangreichen Aufwand die wichtigsten Schritte zur sicheren IT erarbeiten und umsetzen lassen:

• Ein durchgängiges Sicherheitskonzept sorgt dafür, dass Sie keine Bereiche der IT-Sicherheit auslassen. Hierzu hilft das Grundschutzhandbuch (GSHB) des BSI, sowohl systematisch vorzugehen als auch konkrete Schritte gegen Schwachstellen zu erkennen.
• Jedem Unternehmen sollten seine Schnittstellen nach außen bekannt sein: Sichern Sie diese "Türen" gegen die unterschiedlichen Gefahren ab, so dass Hacker, Viren, Trojaner und Massen-E-Mails (SPAM) bei Ihnen keine Chance haben.
• Seien Sie sich der Abhängigkeit von Ihren IT-Systemen und den dort gespeicherten Daten bewusst. Sichern Sie sich gegen Datenverlust ab, so dass sie im Falle eines Falles diese schnell wiederherstellen können. Überlegen Sie dazu, welche Daten und IT-Systeme wie verfügbar sein müssen. Warten Sie nicht, bis etwas passiert, um Ihre IT-Sicherheit zu testen.
• Führen Sie einen Zugriffsschutz ein, damit nur berechtigte Mitarbeiter auf sensible Daten zugreifen dürfen. Dies ist besonders wichtig, wenn von Außen auf bestimmte Daten zugegriffen werden soll.
• Eine E-Mail ist wie eine Postkarte - jeder kann Sie auf ihrem Weg lesen. Wenn Sie vertrauliche Informationen nach Außen geben, verschlüsseln Sie diese angemessen.
• Eine Digitale Signatur ist eine elektronische Unterschrift. Für rechtsverbindliche Kommunikation - wie bei Ausschreibungen der öffentlichen Hand - sind Digitale Signaturen unverzichtbar.
• Alle Sicherheitsvorkehrungen nutzen wenig, wenn Ihre Mitarbeiter unvorsichtig handeln: Schlechte oder fehlende Passwörter, der unvorsichtige Umgang mit E-Mails oder dem Internet, aber auch die schnelle Preisgabe von Informationen am Telefon können Ihre technischen Absicherungen schnell wirkungslos machen. Sprechen Sie mit Ihren Mitarbeitern und machen Sie sie mit dem Thema IT-Sicherheit vertraut. Eine Investition, die sich lohnt.