Grundsätzlich sollte sich der Entscheider vor Augen halten, dass es sich um gewerblich genutzte IT-Systeme eines Unternehmens handelt. An die Systeme eines Unternehmens werden nun mal andere Anforderungen gestellt, als an ausschließlich privat genutzte Systeme. Insbesondere sind Ausfälle oder Datenverluste zu verhindern. Neben den betriebswirtschaftlichen Erwägungen spielten auch gesetzliche Vorschriften in Bezug auf den Umgang mit dem Datenschutzgesetz, den Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen (Digitale Steuerprüfung) (GDPdU) oder dem Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (ÖCG-Kodex) eine wichtige Rolle.

Wie stelle ich fest, welchen Risiken meine IT ausgesetzt ist?

10 Tipps, die wirklich helfen

• Rechtliche Anforderungen
Die Informationssicherheit ist ein wichtiger Teil des Risikomanagements Ihres Unternehmens, die auch vom Gesetzgeber durch verschiedene rechtliche Vorgaben gefordert wird. So können u.a. eigenständige Haftungsverpflichtungen bei grob fahrlässigen Verstößen z.B. aus dem Gesellschaftsrecht oder dem Datenschutzrecht hergeleitet werden. Bei Verstößen, die z.B. aufgrund unterschätzter IT-Risiken entstehen, können sogar ernsthafte rechtliche Konsequenzen drohen.

• Tipp 1: Über rechtliche Vorgaben informieren

Informieren Sie sich umfassend über die gesetzlichen Anforderungen für Ihre IT. Lassen Sie sich hierbei ggf. von einem Experten beraten.

Es ist Aufgabe des Staates, dafür Sorge zu tragen, dass alle Bürger Zugang zu breitbandigem Internet haben. Als Medium der Informationsbeschaffung löst das Internet den Fernseher ab, daher muss auch die Grundversorgung großzügig dimensioniert sein, damit sich jeder Bürger breitbandigen Netzzugang leisten kann. Auch darf der Entzug des Netzzugangs nicht als Strafe in Erwägung gezogen werden, weil das verhindern würde, dass Bürger am kulturellen und politischen Leben teilnehmen können.

• Risiken erkennen

• Tipp 2: Gefahrenquellen feststellen Stellen Sie fest, was in Ihrem Unternehmen an Hardware, Software und Daten besonders wichtig ist und auf keinen Fall ausfallen, manipuliert oder ausspioniert werden darf.
• Tipp 3: Gefahrenpotenziale erkennen Untersuchen Sie nach einer Risikobewertung die möglichen Schwachstellen Ihrer IT (z.B. Gefährdungen von außen, mögliche Fehlbedienungen oder technische Sicherheitsmängel) und prüfen Sie anhand Ihrer vorhandenen Schutzmaßnahmen, ob diese ausreichend sind.

• Risiken bewerten

Stellen Sie einem weiteren Schritt fest, welcher (geschätzte) Schaden in Ihrem Unternehmen durch Ausfall oder Datendiebstall entstehen könnte. Bewerten Sie das Risiko, indem Sie die Schadenshöhe abschätzen und die Wahrscheinlichkeit und Dauer eines Ausfalls beurteilen. Hierbei sollten Sie auf eigene Erfahrungswerte, wie z.B. vergangene Vorfälle, und einschlägige Veröffentlichungen zurückgreifen. Es ist allerdings oft schwierig, den möglichen Schaden genau in Euro zu beziffern. Lassen Sie sich im Zweifelsfall von einem externen Experten helfen.

• Tipp 4: Schadenskategorien festlegen

Legen Sie Kategorien für die Abschätzung der Schadenshöhe fest, wie z.B. „Schaden darf unter keinen Umständen eintreten“, „hoher Schaden“ und „niedriger Schaden“.

• Tipp 5: Schadenshöhe einschätzen

Schätzen Sie nach den Schadenskategorien ein, wie hoch der jeweilige Schaden inkl. Folgekosten sein könnte, wenn z.B. Daten manipuliert oder nicht verfügbar sind, das System aufgrund eines Defektes, Stromausfalls oder Wasserschadens nicht funktioniert oder Unbefugte Dateneinsicht nehmen können.

• Tipp 6: Ausfallwahrscheinlichkeit feststellen

Bei ungeplanter Nichtverfügbarkeit von Systemen und Daten berücksichtigen Sie unbedingt auch die Ausfallwahrscheinlichkeit, z.B. wie viele Tage Sie keine Anfragen entgegen nehmen oder nicht produzieren können, weil wichtige Programme fehlen.

• Risiken minimieren

Wenn Sie die IT-Risiken in Ihrem Unternehmen erkannt und eingeschätzt haben, können Sie entscheiden, wie Sie mit ihnen umgehen.

• Tipp 7: Über Handlungsoptionen informieren

Überlegen Sie, welche Sicherheitsmaßnahmen möglich bzw. zusätzlich möglich und praktikabel sind. Informieren Sie sich über Standards und „best practices“.

• Tipp 8: Arbeitsläufe verändern

Überlegen Sie, ob eine Änderung Ihrer Arbeitsabläufe das Risiko mit erträglichem Aufwand minimieren kann.

• Tipp 9: Risiken verlagern

Prüfen Sie, ob Sie Risiken verlagern können, indem Sie eine Versicherung abschließen oder die risikobehafteten Prozesse mit entsprechenden Verträgen auslagern.

• Tipp 10: Risiken bewusst eingehen

Sie können sich auch bewusst dafür entscheiden, ein Risiko zu tragen, wenn alle in Frage kommenden Maßnahmen unwirtschaftlich sind und/oder das Risiko begrenzt ist. Behalten Sie das Risiko aber unbedingt im Auge.

Nicht nur die IT, auch Arbeitskräfte und Knowhow-Träger können z.B. wegen einer Krankheit oder einem Unfall ausfallen. Diese Faktoren sollten Sie bei Ihren Überlegungen ebenfalls mit berücksichtigen.

Wir bieten Ihnen Komplettservices & Support für Ihre IT-Infrastruktur entlang des gesamten Produktlebenszyklus an. Sie bestimmen den Grad der Betreuung den Sie von uns in Anspruch nehmen wollen. Abhängig von Ihren Anforderungen, von Ihren Erwartungen und von Ihrem Bedarf, offerieren wir Ihnen auf Ihr Unternehmen und auf Ihr Business angepasste Dienstleistungsvarianten.

Wir als kompetenter IT Dienstleister sind mit der rechtlichen Situation ebenso vertraut wie mit der technischen. Dieser Aspekt wird oftmals von kleinen und mittleren Unternehmen vernachlässigt, da hier die Kosten für den Dienstleister das wichtigste Kriterium bei der Entscheidungsfindung sind.