Cyberangriffe können zu schwerwiegenden Schäden für Unternehmen führen, da die IT-Infrastruktur lahmgelegt und sensible Firmendaten über das Internet ausgespäht werden können. Die immer weiter fortschreitende Digitalisierung macht den Informationsschutz zu einer wichtigen Aufgabe für die Geschäftsführung. Es gilt, Angriffsversuche oder bereits erfolgte Angriffe schnellstmöglich zu erkennen und darauf zu reagieren.
Was ist Informationsschutz und warum ist er so wichtig?
Informationsschutz wurde über lange Zeit insbesondere in großen Unternehmen als Aufgabe der IT-Abteilung angesehen. Es ist richtig, dass die IT-Abteilung bei der Informationssicherheit eine entscheidende Rolle spielt. Handlungsbedarf besteht jedoch auch bei der Geschäftsführung. Sie muss wichtige Entscheidungen treffen, um Cyberangriffe und andere Sicherheitsrisiken im Unternehmen zu vermeiden beziehungsweise deren Auswirkungen zu begrenzen. Dazu können je nach Unternehmensstruktur und Risikolage auch Maßnahmen wie die Abhörsicherheit für Unternehmen und weitere spezifische Sicherheitsmaßnahmen gehören.
Informationsschutz bedeutet, dass Informationen und Daten vor unberechtigtem Zugriff, Verlust, Manipulation und Missbrauch geschützt werden.
Das betrifft Unternehmen der verschiedensten Größe. Cyberkriminelle suchen gezielt auch nach kleineren Unternehmen, um sie zu manipulieren oder empfindliche Daten auszuspionieren. In kleineren Unternehmen ist die Sicherheitsstrategie häufig nicht so ausgereift wie in größeren Unternehmen.
Informationsschutz kann nicht nur schwerwiegende finanzielle Schäden verhindern, sondern auch dabei helfen, das Vertrauen von Geschäftspartnern und Kunden zu stärken. Er verhindert, dass Kundendaten abgeschöpft und in die falschen Hände gelangen. Immer wieder wird in den Nachrichten über Schäden durch Hackerangriffe berichtet, bei denen sensible Kundendaten in unbefugte Hände geraten sind.
Informationsschutz bezieht sich auf Betriebsgeheimnisse, Patente, Technologien, Finanzdaten, Vertragsdetails und Kundendaten. Die wachsende Bedrohungslage verlangt nach zuverlässigen Maßnahmen, um die Informationssicherheit zu gewährleisten. Dazu gehören nicht nur Firewalls, Autorisierungen und Passwortschutz, sondern auch organisatorische Maßnahmen wie Schulungen, Notfallpläne und regelmäßige Sicherheitsüberprüfungen.
Sicherheitsentscheidungen als Aufgabe der Geschäftsführung
Die Geschäftsführung muss Entscheidungen treffen, auch für die Sicherheit. Dabei geht es um die einzusetzenden Systeme unter Berücksichtigung der unternehmerischen Risiken. Informationsschutz betrifft alle Ebenen des Unternehmens, darunter das Lieferkettenmanagement, die Prozessoptimierung, die Produktentwicklung und die Compliance.
Die Aufgabe der Geschäftsführung besteht darin, Informationsschutz in Routinen, Verantwortlichkeiten und Strukturen zu integrieren. Informationsschutz muss eng mit dem internen Kontrollsystem und dem Qualitätsmanagement verbunden sein.
Als Aufgabe der Geschäftsführung verringert Informationsschutz das Risiko von Angriffen und kann die Wettbewerbsfähigkeit von Unternehmen stärken.
Informationssicherheit als Teil des Qualitätsmanagements
In vielen Branchen sind Qualitätsmanagementsysteme bereits zum Standard geworden. In Normen wie der ISO 13485 für die Medizinproduktindustrie sind klare Prozesse und eine lückenlose Dokumentation vorgeschrieben. Die Digitalisierung stellt das Qualitätsmanagement vor neue Aufgaben. Die Systeme müssen verfügbar sein, Datenintegrität muss gewährleistet sein. Der Schutz vor unbefugtem Zugriff ist eine wichtige Aufgabe.
Qualitätsmanagement und Informationsschutz müssen eng miteinander verbunden sein.
Qualitätsmanagement gewährleistet Produkt- und Prozesssicherheit. Informationsschutz ist auf die digitale Verwundbarkeit von Unternehmen fokussiert. Um gefährliche Lücken zu vermeiden, dürfen Qualitätsmanagement und Informationsschutz nicht isoliert voneinander betrachtet werden.
Die drei Schutzziele der Informationssicherheit in einem Unternehmen
In einem Unternehmen besteht Informationsschutz aus drei Säulen:
- Vertraulichkeit: Sensible Informationen dürfen nur von dazu berechtigten Personen eingesehen werden, damit nicht jeder auf solche Daten Zugriff hat. Um das zu gewährleisten, müssen Zugangsberechtigungen und Verschlüsselung angewendet werden.
- Integrität: Die Daten müssen richtig und vollständig sein. Daten und Informationen müssen korrekt und lückenlos sein und dürfen nicht ohne Erlaubnis oder unbemerkt geändert werden. Zur Gewährleistung der Integrität muss ein System vorhanden sein, das Veränderungen sofort erkennt und über vorgenommene Manipulationen informiert.
- Verfügbarkeit: Die benötigten Systeme und Informationen müssen dann zugänglich sein, wenn sie benötigt werden. Die mangelnde Verfügbarkeit von Daten, beispielsweise durch Server- oder Stromausfälle, kann schwerwiegende Folgen haben. Es gilt, regelmäßig das Risiko von Ausfällen zu prüfen und die entsprechenden Maßnahmen einzuleiten.
Wichtig zu wissen für die Geschäftsführung
Um Informationsschutz im Unternehmen zu gewährleisten, muss die Geschäftsführung verschiedene Punkte berücksichtigen:
- Informationssicherheit umfasst nicht nur Technik wie Virenscanner, Softwarelösungen oder Firewalls. Es kommt auch darauf an, regelmäßig die vorhandenen Sicherheitsvorkehrungen zu prüfen, klare Zugriffsrechte festzulegen und die Mitarbeiter zu schulen.
- Die eingesetzten Sicherheitsmaßnahmen müssen auf die Bedürfnisse und Risiken des jeweiligen Unternehmens zugeschnitten sein.
- Da Cyberangriffe häufig auf Mitarbeiter abzielen, beispielsweise durch Phishing, ist es wichtig, zu wissen, dass der Mensch ein wesentlicher Faktor in der Sicherheitskette ist. Um schnell auf verdächtige Aktivitäten zu reagieren, müssen die Mitarbeiter regelmäßig geschult und über die verschiedenen Arten von Bedrohungen informiert werden.
- Seit dem 6. Dezember 2025 verpflichtet in Deutschland zudem die NIS2-Richtlinie rund 29.500 Unternehmen gesetzlich zu einem Risikomanagement für Informationssicherheit. Es legt der Geschäftsleitung in §38 explizite persönliche Pflichten auf, ohne Übergangsfrist – bei Verstößen drohen Bußgelder von bis zu 10 Millionen Euro.
In Unternehmen der verschiedensten Größe muss sich die Geschäftsführung mit der Cybersicherheit befassen. Die Risikolage, die Umsetzung der Maßnahmen, aber auch wichtige Kennzahlen müssen auf Leitungsebene diskutiert werden.
Sicherheitsrisiken beim Informationsschutz müssen in das unternehmensweite Risikomanagement integriert werden. Sie müssen zusammen mit anderen Geschäftsrisiken betrachtet und bewertet werden.
Für den Informationsschutz muss ein Budget festgelegt werden. Die verantwortlichen Mitarbeiter müssen mit den Aufgaben zur Informationssicherheit betraut werden.
Aufgaben der Geschäftsführung zur Gewährleistung des Informationsschutzes
Die Geschäftsführung muss zur Gewährleistung des Informationsschutzes im Unternehmen verschiedene Aufgaben wahrnehmen:
- Regelmäßig müssen Risikobewertungen erfolgen, bei denen auch Risiken bei der Informationssicherheit berücksichtigt werden. Dabei müssen technische und regulatorische Risiken betrachtet werden.
- Anhand von Kennzahlen wie Häufigkeit von Vorfällen, Ergebnisqualität von Awareness-Trainings und Reaktionszeiten können Risiken bewertet und Entscheidungen getroffen werden.
- Die Verbindlichkeit des Informationsschutzes muss durch Schulungen, dokumentierte Verfahren und Regeln geschaffen werden.
- Informationssicherheit muss in bestehende Strukturen und Prozesse eingebunden werden.
- Zur Gewährleistung von Informationsschutz müssen klare Zuständigkeiten festgelegt werden, um Transparenz und Verantwortung zu schaffen.
Informationsschutz muss zu einem wichtigen Teil der Unternehmenskultur werden und bei allen Mitarbeitern ankommen. Er muss als Qualitätsmerkmal betrachtet werden. Die Mitarbeiter sind dafür zu sensibilisieren. Das ist möglich, wenn der Dialog zwischen allen Beteiligten gefördert wird.