Unternehmenssicherheit: Risiken erkennen und handeln

Zur Unternehmenssicherheit gehört der Schutz von Menschen, Gebäuden, Geräten, Informationen und wichtigen Arbeitsabläufen. Ein Risiko besteht, wenn eine Gefahr zu einem Schaden führen kann. Ein Betrieb fragt deshalb zum Beispiel: Könnten Personen verletzt, Werkzeuge gestohlen oder Aufträge unterbrochen werden?

IT bedeutet Informationstechnik. Dazu gehören etwa Computer und die Verbindungen zwischen ihnen. IT-Sicherheit schützt diese Technik und die damit verarbeiteten Informationen. Unternehmenssicherheit reicht darüber hinaus: Ein sicher eingerichteter Computer verhindert keinen Diebstahl aus einem unverschlossenen Geräteschuppen. Je nach Gefahr braucht der Betrieb auch gesicherte Türen und sichere Arbeitsabläufe.

Die Bereiche hängen zusammen. Wird ein Raum überflutet, können dort auch Computer ausfallen. Und selbst IT-Sicherheit braucht mehr als Technik: Ein Mitarbeiter muss zum Beispiel erkennen können, wenn jemand mit einer erfundenen Geschichte geheime Informationen verlangt. Solche Täuschung heißt Social Engineering. Geschulte Mitarbeiter und klare Regeln ergänzen technische Schutzmaßnahmen.

Der Schutzbedarf beschreibt, wie schwer die Folgen wären, wenn etwas nicht ausreichend geschützt ist. Bei Informationen prüfst du drei Schutzziele: Vertraulichkeit heißt, dass Personen ohne Erlaubnis die Informationen nicht lesen können. Integrität bedeutet, dass Informationen richtig bleiben und Systeme richtig funktionieren. Verfügbarkeit heißt, dass Personen mit Erlaubnis auf Informationen und Systeme zugreifen können, wenn sie diese brauchen.

Das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, ist eine deutsche Behörde. Sein IT-Grundschutz bietet eine Methode zum Schutz von Informationen. Darin werden die Kategorien normal, hoch und sehr hoch empfohlen: Bei normal sind Schäden begrenzt und überschaubar. Bei hoch können sie beträchtlich sein. Bei sehr hoch können sie katastrophal sein oder den Fortbestand des Betriebs bedrohen.

Frage für einen konkreten Fall: Was muss geschützt werden? Was könnte passieren? Wer wäre betroffen, und welche Folgen wären möglich? Betrachte dabei Personen, Arbeitsabläufe, Geld und den Ruf des Betriebs. Ein kaputtes Gerät verursacht Reparaturkosten. Ein Stillstand kann außerdem dazu führen, dass Gewinn ausbleibt. Gewinn ist das Geld, das nach Abzug der Kosten von den Einnahmen übrig bleibt. Ein teures Gerät allein beweist aber noch keinen sehr hohen Schutzbedarf. Entscheidend sind die Folgen im jeweiligen Betrieb.

Begründe deine Einstufung für jedes Schutzziel getrennt. Eine öffentlich lesbare Preisliste braucht zum Beispiel keine Geheimhaltung. Ihre Preise müssen trotzdem richtig sein. Das sind unterschiedliche Anforderungen.

Wähle Maßnahmen passend zur Gefahr und zum Schutzbedarf. Technische Maßnahmen nutzen Geräte oder Programme. Ein Türschloss erschwert unbefugten Zutritt. Eine Datensicherung ist eine zusätzliche Kopie wichtiger Dateien; mit ihr lassen sich verlorene Dateien wiederherstellen. Das Wiederherstellen muss auch funktionieren. Eine Kopie hilft nicht gegen jede andere Gefahr, etwa das Weitergeben eines Geheimnisses.

Organisatorische Maßnahmen regeln Abläufe und Zuständigkeiten. Eine Firma legt etwa fest, wer Schlüssel erhält, wer Sicherungskopien anfertigt und an wen ein verdächtiger Anruf gemeldet wird. Eine Regel ist noch keine Schulung: Sie legt fest, was zu tun ist.

Personelle Maßnahmen richten sich auf Wissen und Können der Mitarbeiter. In einer Schulung üben sie zum Beispiel, Täuschungsversuche zu erkennen. Bei einer ungewöhnlichen Bitte können sie den angeblichen Auftraggeber über einen bereits bekannten Kontaktweg prüfen, statt ungeprüft Auskunft zu geben. So ergänzen sich Wissen, Regeln und Technik.

Auch die Umsetzung gehört dazu: Die Firma bestimmt einen zuständigen Mitarbeiter und kontrolliert, ob die Maßnahmen funktionieren. Dabei fragt sie, welche Gefahr noch besteht. Ein Schloss ersetzt keine Datensicherung; eine Datensicherung ersetzt keine Schulung gegen Täuschung.

Behörden und Unternehmen haben unterschiedliche Aufgaben. Das BSI stellt mit dem IT-Grundschutz Anleitungen und Empfehlungen zur Informationssicherheit bereit. Diese Hilfe unterstützt Firmen dabei, Gefahren zu erkennen und sich zu schützen. Sie übernimmt aber nicht die tägliche Umsetzung im einzelnen Betrieb. Die Firma muss passende Maßnahmen auswählen, zuständige Mitarbeiter bestimmen und die Umsetzung prüfen. Das gehört zu ihrer Eigenverantwortung.

Davon unterscheidest du eine gesetzliche Pflicht: Sie ist durch ein Gesetz vorgeschrieben. Ein Beispiel ist die Datenschutz-Grundverordnung, kurz DSGVO. Sie schützt personenbezogene Daten, also Angaben über eine bestimmte oder bestimmbare Person, etwa die Adresse eines Kunden. Die folgende Meldepflicht nach Artikel 33 gilt nach dem 2026 geprüften Gesetzeswortlaut für die Firma, die für die Verarbeitung verantwortlich ist.

Bei einer Verletzung des Schutzes personenbezogener Daten muss diese Firma die zuständige Datenschutzaufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden informieren. Eine Ausnahme besteht, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der Personen führt. Ein solches Risiko kann etwa entstehen, wenn jemand gestohlene Kundendaten für Betrug nutzt. Unverzüglich heißt ohne vermeidbare Verzögerung: Die Firma soll nicht grundsätzlich 72 Stunden abwarten. Die Zeit zählt ab Bekanntwerden, nicht ab einem vorher unbemerkten Vorfall.

Die Firma dokumentiert solche Verletzungen, ihre Folgen und die Maßnahmen zur Abhilfe. Dadurch kann die Datenschutzaufsichtsbehörde die Einhaltung der Meldevorschriften prüfen. Die Meldung nach dieser Datenschutzregel geht an diese Aufsichtsbehörde. Das BSI ist hier nicht der Empfänger. Eine Empfehlung einer Behörde, eine gesetzliche Pflicht und die eigene Umsetzung im Betrieb sind also zu unterscheiden.