Informationssicherheit für die Geschäftsführung – Strategie & Haftung

Informationssicherheit ist eine zentrale Führungsaufgabe, da sie die Vertraulichkeit, Integrität und Verfügbarkeit aller Unternehmenswerte sicherstellt und somit die Geschäftsprozesse schützt.

Eine funktionierende Sicherheitsstrategie sichert nicht nur Daten, sondern auch die Wettbewerbsfähigkeit, die Einhaltung von Gesetzen und das Vertrauen von Kund:innen und Partner:innen. Sie ist daher entscheidend für die nachhaltige Stabilität und den Erfolg des Unternehmens.

Der Hauptunterschied liegt im Umfang, denn die IT-Sicherheit ist ein Teilbereich der Informationssicherheit und konzentriert sich auf den Schutz der technischen IT-Infrastruktur.

Informationssicherheit verfolgt einen ganzheitlichen Ansatz und schützt sämtliche Informationen eines Unternehmens, egal ob digital oder analog. Dies schließt neben der IT auch Mitarbeitende, Prozesse und physische Dokumente mit ein.

Zu den häufigsten Angriffen gehören Ransomware-Attacken, bei denen Daten verschlüsselt und Lösegeld gefordert wird, sowie Phishing-Mails zum Diebstahl von Zugangsdaten.

Zunehmend setzen Angreifende auch auf KI-gestützte Methoden wie Deepfakes. Dabei werden Stimmen von Führungskräften täuschend echt imitiert, um Mitarbeitende zu unautorisierten Handlungen wie dringenden Überweisungen zu verleiten.

Ein Informationssicherheits-Managementsystem (ISMS) ist ein strukturierter Rahmen von Regeln und Prozessen, um die Informationssicherheit systematisch zu planen, zu steuern und fortlaufend zu verbessern.

Es hilft, Risiken zu managen, Schutzmaßnahmen umzusetzen und Verantwortlichkeiten klar zuzuweisen. Bekannte Standards, die als Leitfaden für den Aufbau dienen, sind die internationale Norm ISO/IEC 27001 oder der IT-Grundschutz des BSI.

Die Geschäftsführung kann persönlich haften, wenn sie ihre gesetzlichen und gesellschaftsrechtlichen Organisationspflichten zur Absicherung des Unternehmens verletzt hat.

Eine solche Pflichtverletzung liegt vor, wenn trotz bekannter Risiken keine angemessenen Schutzmaßnahmen etabliert wurden. Dies kann zu Schadensersatzforderungen gegen die verantwortlichen Führungskräfte führen, wobei die Beweislast bei der Geschäftsleitung liegt.

Die NIS2-Richtlinie verpflichtet die Geschäftsführung direkt, die Umsetzung von Risikomanagementmaßnahmen zur Cybersicherheit persönlich zu billigen und zu überwachen.

Diese Verantwortung ist nicht delegierbar und schließt die eigene Teilnahme an Schulungen mit ein. Bei groben Pflichtverstößen können Leitungsorgane persönlich haftbar gemacht werden, was bis zu einem vorübergehenden Verbot der Ausübung von Leitungsfunktionen führen kann.

Eine nachhaltige Sicherheitskultur entsteht durch die aktive Vorbildfunktion der Führungsebene und die kontinuierliche Sensibilisierung aller Mitarbeitenden für Sicherheitsrisiken.

Praxisnahe Schulungen zu Gefahren wie Phishing, eine offene Kommunikation und die Förderung von sicherem Verhalten sind entscheidend. Wichtig ist, Sicherheit als gemeinsamen Wert zu etablieren und das Melden von Verdachtsfällen als positiven Beitrag zur Unternehmenssicherheit zu verstehen.

Ein:e Chief Information Security Officer (CISO) entwickelt und verantwortet die Informationssicherheitsstrategie eines Unternehmens in Abstimmung mit der Geschäftsführung.

Zu den Kernaufgaben gehören die Steuerung des Risikomanagements, die Überwachung der Schutzmaßnahmen und die Koordination im Sicherheitsvorfall. Als zentrale beratende Instanz für das Management stellt die Person sicher, dass Sicherheitsziele mit den Geschäftszielen im Einklang stehen.

Risikomanagement ist ein systematischer Prozess, bei dem Bedrohungen für die Unternehmenswerte identifiziert, analysiert und bewertet werden.

Basierend auf der Eintrittswahrscheinlichkeit und dem potenziellen Schadensausmaß wird über den Umgang mit den Risiken entschieden: Sie können vermindert, vermieden, auf Dritte (z.B. Versicherungen) übertragen oder bewusst akzeptiert werden. Diese strategische Entscheidung obliegt der Geschäftsführung.

Ein Notfallplan, auch Incident Response Plan genannt, legt klare Schritte und Verantwortlichkeiten für den Ernstfall eines Cyberangriffs fest.

Er enthält Anweisungen zur Eindämmung des Angriffs, definierte Meldeketten an Management und Behörden sowie Vorgaben für die Krisenkommunikation. Ziel ist es, in der Stresssituation strukturiert zu handeln, den Schaden zu minimieren und den Geschäftsbetrieb schnellstmöglich wiederherzustellen.