Wirtschaftsspionage als unternehmensweites Sicherheitsrisiko
Wissen, technische Verfahren, Entwicklungsdaten, Kundeninformationen und strategische Planungen gehören für viele Unternehmen zu den wertvollsten Vermögenswerten. Wirtschaftsspionage zielt darauf, solche Informationen unberechtigt zu erlangen und für wirtschaftliche, technologische oder staatliche Interessen zu nutzen.
Der Schutz vor Ausspähung darf deshalb nicht ausschließlich der IT-Sicherheit überlassen werden. Informationen können auch durch persönliche Kontakte, Besucher, Fremdfirmen, ungeschützte Arbeitsbereiche, Gespräche oder physische Unterlagen abfließen. Unternehmenssicherheit benötigt daher einen integrierten Schutzansatz.
Unternehmenswissen wirksam vor Wirtschaftsspionage schützen
Welche Informationen können besonders schutzwürdig sein?
Forschungs- und Entwicklungsdaten,
Konstruktions- und Produktionsunterlagen,
Verfahren und Rezepturen,
Quellcodes und Steuerungsinformationen,
strategische Unternehmensplanungen,
Kunden- und Lieferantendaten,
Angebots- und Kalkulationsinformationen,
technische Gebäude- und Sicherheitspläne,
Schwachstellen und Sicherheitskonzepte,
Zugangsdaten und Berechtigungsinformationen.
Typische Angriffspfade berücksichtigen
Angriffspfad
Mögliche Schutzmaßnahme
Social Engineering
Sensibilisierung und definierte Verifikationsprozesse
Besucher
Anmeldung, Begleitung und räumliche Begrenzung
Fremdfirmen
Need-to-know-Prinzip und kontrollierte Berechtigungen
Cyberangriffe
Informations- und IT-Sicherheitsmaßnahmen
Innentäter
Funktionstrennung und Berechtigungsmanagement
Dokumente
Klassifizierung, sichere Ablage und Vernichtung
Gebäudezugang
Sicherheitszonen und Zutrittskontrolle
Dienstreisen
Reise- und Informationsschutz
Social Engineering besitzt dabei besondere Bedeutung, weil Angreifer gezielt menschliches Vertrauen, Hilfsbereitschaft oder vermeintliche Autorität ausnutzen können. Das Bundesamt für Verfassungsschutz stellt Unternehmen hierfür eigene Präventionsinformationen zur Verfügung.
Schutzbedarf statt pauschaler Geheimhaltung
Nicht jede Unternehmensinformation benötigt dasselbe Sicherheitsniveau. Sinnvoll ist eine Klassifizierung, beispielsweise in:
öffentlich – intern – vertraulich – besonders schutzbedürftig.
Aus dieser Einstufung lassen sich konkrete Vorgaben zu Zugriff, Speicherung, Übermittlung, Besprechungen, Ausdruck, Mitnahme und Vernichtung ableiten. Besonders sensible Informationen sollten nur Personen zugänglich sein, die sie für ihre Tätigkeit tatsächlich benötigen.
Facility Management in den Informationsschutz einbeziehen
Das Facility Management besitzt zahlreiche sicherheitsrelevante Schnittstellen. Schließanlagen, Zutrittssysteme, Besuchermanagement, Besprechungsräume, Reinigung, Entsorgung, technische Dienstleister und Umbauprojekte können unmittelbaren Einfluss auf den Informationsschutz haben.
Besonders kritisch sind beispielsweise unbegleitete Fremdfirmen in sensiblen Bereichen, offen zugängliche Technikräume, unkontrollierte Schlüsselbestände oder vertrauliche Unterlagen in Besprechungs- und Büroräumen.
Verdachtsfälle vorbereitet behandeln
Unternehmen sollten vorab festlegen, wer bei Auffälligkeiten informiert wird, wie Beweise gesichert werden und welche internen oder externen Stellen eingebunden werden. Verdachtsfälle sollten nicht improvisiert untersucht werden.
Wirksamer Schutz vor Wirtschaftsspionage verbindet deshalb:
Damit wird Informationsschutz zu einer gemeinsamen Aufgabe von Unternehmenssicherheit, IT, Facility Management, Personal, Compliance und Unternehmensleitung.
