Sie werden hauptsächlich in ganz anderen Feldern gesehen. Dass im Ranking der Prioritäten dabei die Netzwerksicherheit mit einem Index von 8,1 ganz vorne steht, wundert kaum jemand. Interessant ist hingegen, dass zwei aktuell diskutierte Themen wie die mobile Nutzung von Business-Informationen über Smartphones und Tablett-PCs sowie der Trend zum Cloud-Computing bereits dem Klassiker dicht auf den Fersen hängen. Sie erreichen einen Indexwert von 7,7 bzw. 7,4. Aber auch Business Continuity als Aufgabenfeld zur Aufrechterhaltung der Geschäftsprozesse in technischen Problemsituationen erreicht mit Platz vier eine vordere Position. Am Ende der hinterfragten Prioritätenliste rangiert die Umsetzung von Security-Standards, weil sie entweder schon weitgehend vorhanden sind und deshalb nur noch ein vergleichsweise geringer Handlungsbedarf besteht oder weil den formalen Prinzipien der IT-Sicherheit nur eine nachgeordnete Bedeutung beigemessen wird.
Diese Einordnung gilt auch für die Web-Sicherheit mit einem Indexwert von nur 5,1. „Obwohl in großer Regelmäßigkeit Meldungen über Web-Einbrüche bei prominenten Firmen, Banken und Institutionen durch die Medien gehen, scheint sich die Sensibilität für die Internetsicherheit nur geringfügig zu entwickeln“, konstatiert denn auch mikado-Vorstand Reimund Reiter. Zwar weiß er, dass die IT-Security-Verantwortlichen schon fast traditionell mit Ressourcen- und Budgetbegrenzungen zu kämpfen haben und sich deshalb nicht allen Themen adäquat widmen können. Auffällig ist für ihn jedoch, dass 47 Prozent der Befragten die Risikopotenziale der Web-Applikationen als gering erachten. „Hier besteht eine gravierende Fehleinschätzung, weil viele Unternehmen glauben, wirkliche Gefahren bestehen erst, wenn über die Website aktives Business vollzogen wird“, problematisiert er und nennt ein Beispiel: „Sobald auf der Website ein Formular vorhanden ist, besteht eine Verbindung zu einer Datenbank, über die in das interne Netzwerk eingedrungen werden kann.“
Aus diesem Grund wundert sich Reiter auch darüber, dass auf die Frage in der Studie, warum ein geringes Gefährdungspotenzial vermutet wird, 39 Prozent die Websites als mögliches Einfallstor in die IT-Infrastruktur des Unternehmens oder der Behörde ausschließen. Aber auch andere Ergebnisse findet er bemerkenswert. „Wenn die Einschätzungen lediglich auf Vermutungen beruhen oder die Risikobewertung nur daraus abgeleitet wird, dass bisher keine erkennbaren Sicherheitsvorfälle festgestellt wurden, wirkt dies wie reine Spekulation“, urteilt der mikado-Vorstand. Es wurde nur in jedem zehnten Fall eine systematische Analyse beispielsweise mittels eines Penetrationstest durchgeführt. „Dies gehört eigentlich zu den Basics, zumal sie über Tools auch automatisiert durchgeführt werden können“, verweist Reiter auch auf ein eigenes Angebot für eine kostenfreie Analyse unter www.midas-scan.com
