IT-Sicherheitskonzept: Wie wird daraus ein umsetzbarer Plan?

Einen wichtigen Geschäftsablauf als Ausgangspunkt nehmen

Stellen Sie sich vor, die Auftragsbearbeitung fällt aus. Welche Arbeit bleibt sofort liegen? Wer kann noch Kunden informieren? Welche Daten werden gebraucht, um Lieferungen fortzusetzen? Solche Fragen führen schneller zu einem brauchbaren Sicherheitskonzept als eine Einkaufsliste neuer Programme.

Wählen Sie zunächst einige zentrale Abläufe Ihres Unternehmens. Das können Bestellung, Produktion, Terminplanung oder Abrechnung sein. Lassen Sie die fachlich Verantwortlichen erklären, welche Folgen ein Ausfall, eine falsche Information oder ein unbefugter Zugriff hätte.

Wenn Sie dafür Unterstützung benötigen, können Sie ein Schutzkonzept für Ihre IT anfragen. Im anschließenden Gespräch beschreiben Sie die wichtigen Abläufe und den bisherigen Stand. Ein vollständiges technisches Inventar muss nicht bereits fertig sein; seine Erhebung kann Teil des Auftrags werden.

Das Ziel ist eine gemeinsame Sicht von Geschäftsführung, Fachbereichen und IT. Jede dieser Gruppen kennt andere Abhängigkeiten. Ein Konzept, das nur die Server betrachtet, kann beispielsweise einen externen Dienst übersehen, ohne den die Auftragsbearbeitung trotzdem stillsteht.

Abhängigkeiten und vorhandenen Schutz sichtbar machen

Ordnen Sie den ausgewählten Abläufen Anwendungen, Daten, Benutzergruppen und Dienstleister zu. Fragen Sie auch nach Hilfsmitteln außerhalb der zentralen IT: gemeinsam genutzte Tabellen, mobile Geräte, lokale Ablagen oder Zugänge eines Wartungsunternehmens können relevant sein.

Erfassen Sie, welche Schutzmaßnahmen bereits bestehen und wie deren Betrieb organisiert ist. „Wir haben Datensicherung“ sollte beispielsweise zu Fragen nach Umfang, Verantwortung und Wiederherstellung führen. Das Konzept muss vorhandene Leistungen verstehen, bevor es weitere empfiehlt.

Die BSI-Empfehlungen für Unternehmen verbinden Leitungsverantwortung mit Bestandsaufnahme und dem Schutz wichtiger Daten. Für Ihr Projekt heißt das: Technische Angaben erhalten einen Bezug zu den Folgen für den Betrieb.

Kennzeichnen Sie unbekannte Punkte. Ein nicht geklärter Administratorzugang oder ein Dienst ohne benannten Verantwortlichen ist eine konkrete Aufgabe. Er sollte im Konzept sichtbar werden und eine Zuständigkeit erhalten, statt hinter einer scheinbar vollständigen Systemgrafik zu verschwinden.

Prioritäten mit begründeten Entscheidungen setzen

Nicht jede Maßnahme kann gleichzeitig umgesetzt werden. Lassen Sie die Reihenfolge anhand der Risiken, vorhandenen Schutzmaßnahmen und betrieblichen Abhängigkeiten begründen. Auch Voraussetzungen gehören dazu: Eine Änderung an Benutzerrechten kann beispielsweise zunächst eine verlässliche Rollenübersicht benötigen.

Bitten Sie für wichtige Maßnahmen um eine kurze Darstellung von Problem, Ziel, Aufwand und erwarteter Wirkung. Verbleibende Grenzen sollen ebenfalls erkennbar sein. So kann die Geschäftsführung entscheiden, ohne jede technische Einzelheit selbst bewerten zu müssen.

Entscheidung	Was die Vorlage beantworten sollte
Sofort handeln	Welcher konkrete Befund macht das nötig?
Geplant umsetzen	Welche Voraussetzungen und Ressourcen werden gebraucht?
Weitere Untersuchung	Welche Information fehlt für die Entscheidung?
Vorläufig anders absichern	Wie wird die Zwischenlösung begrenzt und überprüft?

Eine Priorität sollte nicht allein daraus entstehen, dass ein Produkt leicht beschafft werden kann. Entscheidend ist, welches Problem es in Ihrer Umgebung löst und wer es anschließend betreibt.

Maßnahmen an Personen und Betriebsabläufe binden

Beschreiben Sie jede beauftragte Maßnahme mit einem Verantwortlichen, einem erwarteten Ergebnis und einem Termin oder Auslöser. Ein externer Dienstleister kann die technische Umsetzung übernehmen, benötigt dafür aber oft Mitwirkung aus dem Unternehmen.

Das zeigt sich bei Zugriffsrechten besonders deutlich. Die IT kann Berechtigungen technisch einrichten; welche Aufgaben ein Beschäftigter tatsächlich ausübt, weiß der Fachbereich. Austritte und Rollenwechsel müssen wiederum rechtzeitig bekannt werden. Das Konzept sollte diesen Ablauf verständlich beschreiben.

Der NIST-Leitfaden für kleine Unternehmen ordnet Zuständigkeiten und Geschäftsfolgen in die Sicherheitsarbeit ein. Nutzen Sie solche Leitgedanken als Gesprächsgrundlage, ohne ein fremdes Schema unverändert auf Ihren Betrieb zu übertragen.

Prüfen Sie die verfügbare interne Zeit. Wenn dieselbe Person Tagesgeschäft, Projektfreigaben und spätere Kontrollen übernehmen soll, muss diese Belastung realistisch geplant werden. Ein technisch überzeugender Maßnahmenplan bleibt sonst liegen, weil seine Umsetzung im Betrieb keinen Platz hat.

Änderungen so planen, dass die Arbeit weitergehen kann

Sicherheitsmaßnahmen können Arbeitsabläufe verändern. Eine zusätzliche Anmeldung, andere Dateifreigaben oder ein neues Verfahren für externe Zugänge sollten mit den betroffenen Beschäftigten vorbereitet werden. Fragen Sie nach Pilotierung, Unterstützung und einem fachlich abgestimmten Vorgehen bei Problemen.

Lassen Sie erklären, wie eine Maßnahme geprüft wird, bevor sie flächig eingeführt wird. Dazu gehören die vorgesehenen Arbeitsfälle und die Verantwortlichen für die Rückmeldung. Ein Test sollte zeigen, ob der Schutz wie geplant funktioniert und die notwendige Arbeit weiterhin möglich ist.

Beziehen Sie bestehende IT-Dienstleister ein. Wenn ein Berater das Konzept erstellt und ein anderes Unternehmen die Systeme betreibt, müssen Empfehlungen, Umsetzungsaufträge und Nachweise zwischen ihnen übergeben werden. Diese Zusammenarbeit sollte im Projektumfang erkennbar sein.

Beschäftigte brauchen kurze, auf ihre Aufgaben bezogene Informationen. Erklären Sie, was sich ändert, warum es für den Arbeitsablauf wichtig ist und wohin Fragen oder Auffälligkeiten gemeldet werden. Eine lange technische Richtlinie allein erreicht diesen Zweck selten.

Das Konzept nach der Umsetzung weiterführen

Vereinbaren Sie bereits bei der Beauftragung, wie der erreichte Stand dokumentiert wird. Eine Maßnahmenliste sollte zwischen geplant, umgesetzt und überprüft unterscheiden. So bleibt erkennbar, ob eine Aufgabe nur beauftragt wurde oder ihr Ergebnis tatsächlich vorliegt.

Bestimmen Sie Anlässe für eine Aktualisierung: neue Anwendungen, Standorte, Dienstleister oder deutlich veränderte Geschäftsabläufe. Auch Erkenntnisse aus Übungen und Vorfällen können Anpassungen auslösen. Die Pflege muss eine benannte Verantwortung erhalten.

Ein brauchbares Konzept lässt sich im nächsten Planungsgespräch verwenden. Es zeigt, was bereits abgesichert wurde, welche Arbeit folgt und welche Entscheidung noch aussteht. Diesen Nutzen sollten Sie als Ergebnis des Beratungsauftrags vereinbaren.

Für den Einstieg können Sie kostenfrei und unverbindlich IT-Sicherheitsberatung anfragen. Halten Sie Ihre wichtigsten Geschäftsabläufe und bekannten Schwierigkeiten bereit. Daraus kann ein Konzept entstehen, das zu Ihrem Unternehmen passt und dessen Umsetzung nachvollziehbar organisiert ist.