Neue Wege für mehr Informationssicherheit in KMU

Die Unkenntnis über oder die Nichtbeachtung von Informationssicherheit und entsprechende betriebliche Richtlinien stellen erhebliche Gefahren für alle Unter- nehmen dar. Der Begriff Informationssicherheit bezieht sich dabei auf den Schutz von Informationen jeglicher Art und Herkun (Scholl & Ehrlich 2020:9) und geht über die o – trotz ihrer Verschiedenheit – synonym genutzten Begriffe IT-Sicher- heit, Cyber-Sicherheit und Datenschutz hinaus. Gefährdungen existieren durch menschliche Fehlhandlungen, organisatorische Mängel, vorsätzliche Handlun- gen, technisches Versagen oder höhere Gewalt. Führungskräe und Mitarbeiten- de der Unternehmen sollten daher gegenüber technischen und organisatorischen Maßnahmen (TOM), mit denen den Gefährdungen angemessen begegnet werden kann, aufmerksam sein. Dies setzt in den Unternehmen eine aktive Personalent- wicklung zur Informationssicherheit und ein umfangreiches Risikomanagement hinsichtlich der betrieblichen Prozesse voraus. Aufgrund der zeitlichen Verzögerung zwischen zum Beispiel einem Cyberangriff und seinen betrieblichen Auswirkungen können zudem langfristige Konsequen- zen für ein Unternehmen resultieren, so dass eine langfristige Denkweise eine entscheidende Rolle bei der Reduzierung von Sicherheitsrisiken spielt. Gemäß Li et al. (2018) umfasst diese langfristige Ausrichtung drei Dimensionen, die in Unter- nehmen im Bereich Informationssicherheit etabliert werden müssen: Kontinuität, Zukunsfähigkeit und Ausdauer. Dieser Ansatz wurde auch im Rahmen des hier dargestellten Projekts „Awareness Labor KMU (ALARM) Informationssicherheit“ mit dem Fokus auf „Hilfe zur Selbsthilfe“ für kleine und mittlere Unternehmen (KMU) verfolgt. Dieses praxisorientierte Forschungsprojekt liefert mit seinen Ergebnissen einen fundierten Beitrag für eine aktive Personalentwicklung und nachhaltige Sensibilisierung. Das Projekt und seine Ergebnisse sind von besonde- rer Bedeutung für die Erhöhung des Sicherheitsniveaus in deutschen KMU, da Un- tersuchungen der Situation immer wieder zeigen, dass trotz der fortschreitenden Digitalisierung das Bewusstsein für IT-Sicherheit in Deutschland noch mangelha ist (vgl. z. B. Hensler-Unger & Hillebrand 2018). Selbst wenn die Risikowahrneh- mung gewachsen ist, fehlt es an einer umfassenden Umsetzung verschiedener Informationssicherheitsmaßnahmen, die nicht nur technischer Natur sein dürfen. Die aktuelle Studie der Deutschen Industrie und Handelskammer (DIHK 2022) hebt hervor, dass in den KMU inzwischen zwar technische Vorkehrungen zur Risi- koreduzierung getroffen werden, allerdings kein nennenswerter Anstieg in orga- nisatorischen Maßnahmen für Informationssicherheit – inklusive Sensibilisierung und Schulung von Personal – zu verzeichnen ist und zudem nur ein Drittel der be- fragten Unternehmen über einen Notfallplan verfügt. Immer mehr rückt der Mensch ins Zentrum des Geschehens zur Erhöhung der Informationssicherheit. Das Projekt „ALARM Informationssicherheit“ basiert auf dem Grundsatz: „Digitalisierung nur mit Informationssicherheit. Informationssi- cherheit nur mit Awareness.“