Highway Richtung Compliance IT-Musterung von Riedel prüft Sicherheit und Compliance

Anbieter zum Thema

RIEDEL Networks GmbH & Co. KG

Securepoint GmbH

bb-net media GmbH

WatchGuard Technologies GmbH

Die IT-Musterung soll Führungskräften helfen, ihre IT-Sicherheit richtig einzuschätzen – pragmatisch, rechtssicher und auf den Punkt. Riedel Networks und Clarius Legal bieten dafür eine Kombination aus Analyse, Beratung und Handlungsempfehlung.

Riedel Networks, ein Anbieter für Netzwerk- und Sicherheitslösungen, hat gemeinsam mit Clarius Legal die IT-Musterung auf den Markt gebracht. Clarius Legal ist mittlerweile ein Partnerunternehmen von Riedel und auf Legal Outsourcing, Legal Tech, Compliance und Datenschutz spezialisiert. Die aus dieser Partnerschaft entstandene IT-Musterung stellt eine Möglichkeit dar, das Sicherheitsniveau des eigenen Unternehmens sowohl technisch als auch rechtlich einzuordnen und darauf aufbauend anzupassen.

Dr. Arnt Glienke, LL.M., CCP, Geschäftsleiter Legal & Consulting bei Clarius Legal, beschreibt eine Zurückhaltung des Mittelstands bei Sicherheitsthemen. „Die Bandbreite an Anforderungen ist in technischer und rechtlicher Sicht so groß geworden, dass man einfach an sehr vieles denken muss“, führt er an. Ziel der IT-Musterung sei daher, Unternehmen eine unkomplizierte und praxisnahe Unterstützung an die Hand zu geben. Daraus entsteht ein möglichst pragmatischer Bericht, der vor allem CEOs und Geschäftsführer zu Gute kommen soll. „Es muss einfach sein“, erklärt Michael Martens, CEO von Riedel. „Wir Geschäftsführer unterscheiden uns da manchmal auch nicht von Kleinkindern“, fügt er mit an. Regelungen wie NIS2, CRA (Cyber Resilience Act) oder Datenschutzgesetze stoßen beim Mittelstand gerne mal unangenehm auf, deswegen will der Sicherheits- und Netzwerkspezialist das eigene Security-Knowhow nutzen und den Unternehmen einen Schwachstellen-Scan ermöglichen. Die IT-Musterung ist eine umfassende Beratung für Kunden, damit diese einschätzen können, was sie eigentlich tun müssen, um ein akzeptables und eventuell auch rechtlich vorgeschriebenes Sicherheitsniveau zu erreichen. Da ein Unternehmen durch eine solche Analyse nicht automatisch sicher wird, bietet Riedel aufbauend darauf die R.E.D.-Security-Suite (R.E.D. steht für Riedel Enterprise-Defense) an. Mit diesem System sollen Unternehmen eine langfristig sichere IT-Architektur aufbauen können – unter anderem auch als Managed Service.

Sicherheit ist Chef-Sache

Riedel möchte durch die IT-Musterung eine Basis für Unternehmen schaffen. „Man muss nicht alles tun“, erklärt CEO Martens. „Wenn man weiß, wie der Zustand ist, dann kann man auch schon mit geringen Mitteln das notwendige Ziel erreichen.“ Einen Punkt hebt er besonders dabei hervor: Die Verantwortung des Geschäftsführers. Bei einer Vernachlässigung der eigenen Pflichten als Geschäftsführer hat das Auswirkungen auf das gesamte Unternehmen. „Plötzlich sind die Mitarbeiter in Gefahr, nur weil man nicht richtig vorbereitet ist“, so Martens. Rechtsanwalt Dr. Glienke fügt außerdem noch an, dass viele Prozesse bereits bestehen würden und man diese nicht neu aufsetzen müsse. Die bestehende Angst vor Regulierung und neuer Gesetzgebung sei laut ihm eigentlich unbegründet: „Die Erfahrung ist: Wenn man einmal eine ordentliche Analyse gemacht hat, dann kennt man die Risiken, kann damit umgehen und auch bewusst entscheiden, ob man handelt oder eben nicht.“ Mitunter ein Ziel dieser Zusammenarbeit sei es, den Menschen ein Bewusstsein zu geben und aufzuzeigen, dass nicht jede Anforderung auch Unmengen an Arbeit für Unternehmen bedeutet. Einen Angriff verhindern, dass könne Riedel mit der IT-Musterung auch nicht, wie Martens aufzeigt. Sie können nur erahnen, wohin sich die Angreifer bewegen und Unternehmen dann bestmöglich davor schützen.

Bildergalerie

Vorbereitung auf gesetzliche Richtlinien

Themen wie ISO27001 oder BSI IT-Grundschutz ersetzt die IT-Musterung nicht. Der Prüfprozess stellt lediglich eine Basis dar, auf welcher anschließend aufgebaut werden kann, beispielsweise in Vorbereitung auf ein ISO-Zertifikat oder auch NIS2. Unternehmen erhalten so eine Zustandsanalyse zu einem gewissen Zeitpunkt. Nach der Analyse sendet Riedel zwei Reports zu, die das unterstreichen sollen, was Dr. Glienke sagt: Sie wollen „unkompliziert unterstützen“.

• Highlight-Report: Fokus auf kritischen Schwachstellen, aufbereitet in einem verständlichen Bericht mit klaren Handlungsempfehlungen.

• Detail-Report: vollständiger technischer Bericht für die IT-Abteilung, der eine komplette Darstellung erkannter Schwachstellen mit Schweregrad, CVSS-Wertung und Lösungsvorschlägen enthält.

Timo Imbrogno, Director Marketing von Riedel Networks stellt den Prozess als eine Art Checkliste dar. Sowohl Riedel als auch Clarius Legal gehen verschiedene Punkte dieser Liste durch. Diese sind standardisiert festgelegt. Unternehmen können sich anschließend selbst überlegen, ob sie das Verfahren jedes Jahr machen. „Wenn Unternehmen diese Musterung jedes Jahr machen, dann können sie einen fortlaufenden Prozess dokumentieren. Und dadurch können sie dann vergleichen, wie sich das Unternehmen gesamtheitlich in der IT-Security verbessert hat“, erklärt Imbrogno. In diesem Fall würde auch auffallen, wenn die Sicherheit in einem bestimmten Bereich zurückgeht. Deswegen gehe Imbrogno davon aus, dass die IT-Musterung nicht nur für den Mittelstand interessant sei: „Das kann man dann auch ergänzend zu bereits bestehenden Maßnahmen einsetzen.“ Allem in allem gesehen betont Glienke, dass Unternehmen sich mit der IT-Musterung viel Aufwand sparen können. Vor allem dann, wenn man es jährlich angeht.

Wechsel an der Vertriebsspitze

Riedel Networks mit Oliver Burgdorf als CSO

Nur eine weitere Momentaufnahme?

Das IT-Sicherheitsniveau immer wieder zu untersuchen macht durchaus Sinn. Unternehmen verändern sich, es kommen neue Mitarbeiter, neue Gesetze werden aufgestellt und auch Technologien verändern sich mit der Zeit. Warum die IT-Musterung aber sinnvoller sei, als beispielsweise ein Penetrationstest, erklärt Geschäftsführer Martens: „Ein Penetrationstest ist letztlich ein gezielter Angriff von außen – auf ein laufendes System. Das ist in etwa so, als würde man versuchen, ein Flugzeug während des Flugs anzugreifen. Im laufenden Betrieb birgt das gewisse Risiken, denn man weiß nie genau, wie tief der Pentester tatsächlich vordringt.“ Bei einem solchen Angriff, auch wenn es nur ein Test ist, können die Produktionsgeräte auch mal ausfallen und für manche Unternehmen hätte das fatale Folgen. Martens sieht da einen großen Vorteil der IT-Musterung. „Wir machen das dann nicht intrusiv,“ erläutert er. „Wir schauen uns zwar alle möglichen Schwachstellen an, aber wir nutzen sie eben nicht aus.“

Der ganze Prozess sei laut Riedel nicht besonders langwierig. In etwa zwei Wochen könne man den technischen Teil abschließen, der rechtliche Teil würde bis zu einem Monat dauern.

Der Name IT-Musterung

Der Name selbst bekommt einen leichten, und nach eigenen Angaben auch gewollten, militärischen Zug. Bei der militärischen Musterung geht es grundlegend darum, einen Menschen auf die körperliche und geistige Eignung für den Wehrdienst zu untersuchen. Bei der IT-Musterung ist es ähnlich. Es geht nicht darum, kurz „auf den Patienten draufzuschauen, sondern wirklich um eine Tiefenanalyse, die auch historische Daten mit einbezieht“, so Imbrogno. Ein vergleichbares Produkt dieser Art gäbe es laut Martens im deutschen Markt nicht.

Die Kosten für die IT-Musterung liegen momentan bei 7.495 Euro pro Einsatz. Der darin enthaltene NIS-2-Compliance-Check wird unabhängig zur Musterung für 4.800 Euro angeboten.

(ID:50488251)