Informationssicherheit: So bleiben Unternehmensdaten geschützt

Wer PC-Spiele entwickelt, erschafft weit mehr als sichtbare Landschaften, Figuren und Spielmechaniken. Hinter jeder atmosphärischen Welt stehen Quellcode, Grafiken, Audiodateien, Simulationsmodelle, Zugangsdaten, Testberichte und oft jahrelange Entwicklungsarbeit. Hinzu kommen personenbezogene Daten von Beschäftigten, Bewerbern, Testspielern oder Community-Mitgliedern. All diese Informationen bilden einen erheblichen Wert – und damit ein attraktives Ziel für Cyberkriminelle. Ein einziger kompromittierter Account kann genügen, um interne Systeme auszuspähen, vertrauliche Inhalte zu entwenden oder einen geplanten Release empfindlich zu stören.

Gerade Unternehmen, die digitale Produkte entwickeln oder sensible Kundendaten verarbeiten, profitieren von einer strukturierten Betrachtung ihrer Sicherheitsprozesse. Einen geeigneten Ausgangspunkt für Informationen zu professioneller Beratung, ISO/IEC 27001 und TISAX® bietet https://it-asset-security.de/. Entscheidend ist dabei, technische Maßnahmen mit klaren Zuständigkeiten, nachvollziehbaren Abläufen und einer realistischen Risikobewertung zu verbinden. So entsteht kein Sicherheitskonzept, das nur auf dem Papier funktioniert, sondern ein System, das den Arbeitsalltag tatsächlich unterstützt und auch bei Veränderungen im Unternehmen belastbar bleibt.

Bei WeatherGranCanaria entwickeln wir PC-Spiele, deren Atmosphäre unter anderem von realistischen Wetter- und Klimaeffekten lebt. Gerade solche komplexen Projekte machen deutlich, wie viele digitale Bausteine ineinandergreifen müssen. Informationssicherheit darf deshalb nicht als lästige Zusatzaufgabe kurz vor der Veröffentlichung behandelt werden. Sie gehört von Anfang an in die Projektplanung, in technische Abläufe und in die tägliche Zusammenarbeit. Das gilt nicht nur für große Konzerne. Auch kleine Studios, spezialisierte Dienstleister und wachsende Unternehmen benötigen klare Regeln dafür, welche Daten vorhanden sind, wer darauf zugreifen darf und wie im Ernstfall reagiert wird.

Digitale Vermögenswerte sind das Herz moderner Unternehmen

Der Begriff „IT-Asset“ klingt zunächst nach Servern, Laptops und Netzwerkhardware. In der Praxis umfasst er jedoch deutlich mehr. Auch Softwarelizenzen, Cloud-Konten, Datenbanken, Quellcode-Repositories, digitale Zertifikate, API-Schlüssel und Dokumentationen zählen zu den schützenswerten Vermögenswerten eines Unternehmens. In einem Entwicklungsstudio kommen unfertige Spielversionen, 3D-Modelle, Texturen, Musikstücke, Design-Dokumente und interne Roadmaps hinzu. Manche dieser Daten sind nicht einfach ersetzbar. Geht eine aktuelle Version verloren oder wird ein Repository verschlüsselt, können Monate kreativer und technischer Arbeit auf dem Spiel stehen. Andere Informationen sind besonders vertraulich, etwa Finanzdaten, Verträge oder bislang nicht angekündigte Projekte. Der erste Schritt zu besserer Informationssicherheit besteht daher darin, diese Werte überhaupt sichtbar zu machen. Was ist vorhanden? Wo wird es gespeichert? Wer trägt die Verantwortung? Welche Abhängigkeiten bestehen? Ohne ein gepflegtes Inventar bleibt Sicherheit schnell Stückwerk. Erst wenn ein Unternehmen seine wichtigen Assets kennt, lassen sich angemessene Schutzmaßnahmen priorisieren. Nicht jede Datei benötigt denselben Schutz, doch kritische Informationen sollten niemals zufällig zwischen privaten Cloud-Ordnern, lokalen Festplatten und unkontrollierten Messenger-Verläufen verteilt sein.

Warum kreative Teams besondere Sicherheitsrisiken tragen

In kreativen und technischen Teams treffen Flexibilität, Zeitdruck und eine große Zahl unterschiedlicher Werkzeuge aufeinander. Entwickler arbeiten mit Versionsverwaltung, Build-Systemen und Cloud-Plattformen. Künstler nutzen leistungsfähige Workstations und tauschen umfangreiche Dateien aus. Externe Sprecher, Komponisten, Übersetzer oder Qualitätssicherungsdienstleister benötigen zumindest vorübergehend Zugriff auf ausgewählte Inhalte. Diese offene Zusammenarbeit ist produktiv, erweitert aber zugleich die Angriffsfläche. Besonders kritisch wird es, wenn Berechtigungen nach Projektende bestehen bleiben oder Dateien über Dienste geteilt werden, die nicht zentral verwaltet werden. Auch die oft lockere Kommunikationskultur in kreativen Unternehmen kann Angreifern entgegenkommen. Eine täuschend echte Nachricht mit angeblichen Anmerkungen zu einem Build wirkt im hektischen Arbeitsalltag schnell glaubwürdig. Wird der Anhang geöffnet oder ein falscher Login verwendet, ist die technische Schutzmauer womöglich schon überwunden. Sicherheit muss deshalb zu den Arbeitsgewohnheiten des Teams passen. Zu starre Vorgaben werden umgangen, zu lockere Regeln verlieren ihre Wirkung. Gute Prozesse ermöglichen kreatives Arbeiten, ohne sensible Informationen unnötig offenzulegen. Das klingt nach Balanceakt – und genau das ist es auch.

Ein ISMS bringt Ordnung in technische und organisatorische Maßnahmen

Ein Informationssicherheits-Managementsystem, kurz ISMS, schafft einen strukturierten Rahmen für den Schutz von Daten und Systemen. Dabei geht es nicht um ein einzelnes Sicherheitsprogramm, das installiert und anschließend vergessen wird. Ein ISMS verbindet Verantwortlichkeiten, Risikoanalysen, interne Regeln, technische Kontrollen und regelmäßige Verbesserungen. Unternehmen bestimmen zunächst den Geltungsbereich und erfassen ihre wesentlichen Prozesse sowie Informationswerte. Danach werden Risiken bewertet: Wie wahrscheinlich ist ein bestimmter Vorfall, welche Folgen hätte er und welche Maßnahmen reduzieren das Risiko auf ein akzeptables Niveau? Diese Betrachtung verhindert blinden Aktionismus. Nicht jede theoretische Gefahr verlangt sofort die teuerste Lösung. Gleichzeitig wird deutlich, an welchen Stellen fehlende Backups, zu weitreichende Zugriffsrechte oder unklare Zuständigkeiten ein reales Geschäftsrisiko darstellen. Wichtig ist außerdem der fortlaufende Charakter. Neue Dienstleister, zusätzliche Cloud-Anwendungen oder personelle Veränderungen können die Risikolage jederzeit verändern. Ein funktionierendes ISMS wird daher überprüft, angepasst und mit Erfahrungen aus Vorfällen oder internen Kontrollen weiterentwickelt. Sicherheit wird auf diese Weise zu einem gesteuerten Prozess statt zu einer Sammlung gut gemeinter Einzelmaßnahmen.

ISO/IEC 27001 macht Informationssicherheit nachvollziehbar

Die ISO/IEC 27001 gehört zu den bekanntesten internationalen Standards für Informationssicherheits-Managementsysteme. Sie gibt Unternehmen einen anerkannten Rahmen, um Risiken systematisch zu behandeln und die Wirksamkeit getroffener Maßnahmen nachvollziehbar zu machen. Eine Zertifizierung verspricht keine absolute Sicherheit – eine solche Garantie wäre ohnehin unrealistisch. Sie zeigt jedoch, dass Informationssicherheit organisiert, dokumentiert und regelmäßig kontrolliert wird. Das kann gegenüber Auftraggebern, Investoren und Geschäftspartnern ein wichtiges Vertrauenssignal sein. Gerade bei digitalen Produkten wollen Partner wissen, ob vertrauliche Daten angemessen behandelt werden und ob ein Anbieter auf Sicherheitsvorfälle vorbereitet ist. Der Weg zur Zertifizierung erfordert allerdings mehr als einige neue Richtlinien. Prozesse müssen tatsächlich gelebt werden. Verantwortliche benötigen klare Aufgaben, Risiken müssen verständlich dokumentiert und Maßnahmen überprüfbar umgesetzt werden. Dabei unterstützt IT-Asset Security Unternehmen bei der Einführung und Zertifizierung eines passenden ISMS. Externe Begleitung kann besonders hilfreich sein, wenn intern zwar viel technisches Fachwissen vorhanden ist, aber Erfahrung mit Audit-Anforderungen, Dokumentation oder der sinnvollen Abgrenzung des Geltungsbereichs fehlt.

TISAX® spielt auch außerhalb klassischer IT-Abteilungen eine Rolle

TISAX® begegnet vor allem Unternehmen, die mit der Automobilindustrie zusammenarbeiten und dabei sensible Informationen verarbeiten. Das können Konstruktionsdaten, Prototypinformationen oder vertrauliche Projektunterlagen sein. Auf den ersten Blick scheint dieses Umfeld weit von der Spieleentwicklung entfernt zu liegen. Tatsächlich gibt es jedoch Berührungspunkte: Studios entwickeln Simulationen, Visualisierungen, Virtual-Reality-Anwendungen oder interaktive Präsentationen für Fahrzeughersteller und deren Zulieferer. Sobald solche Projekte nicht öffentliche Produktinformationen enthalten, steigen die Anforderungen an den Informationsschutz erheblich. TISAX® schafft hierfür ein gemeinsames Prüf- und Austauschverfahren, durch das Geschäftspartner den erreichten Sicherheitsstatus nachvollziehen können. Für betroffene Unternehmen ist entscheidend, das Verfahren nicht auf eine hektische Vorbereitung unmittelbar vor dem Assessment zu reduzieren. Berechtigungskonzepte, physische Sicherheit, Umgang mit Dienstleistern und Reaktionen auf Vorfälle müssen im Alltag funktionieren. Manche Anforderungen überschneiden sich mit einem ISMS nach ISO/IEC 27001, dennoch sollten Unterschiede und projektspezifische Erwartungen sorgfältig betrachtet werden. Eine saubere Vorbereitung spart nicht nur Nerven, sondern verhindert auch, dass kurz vor einem wichtigen Kundenprojekt plötzlich grundlegende Prozesse neu erfunden werden müssen.

Zugriffsrechte sollten nach dem Prinzip „so viel wie nötig“ vergeben werden

Viele Sicherheitsprobleme entstehen nicht durch spektakuläre technische Schwachstellen, sondern durch unnötig weitreichende Berechtigungen. Hat jedes Teammitglied dauerhaft Zugriff auf sämtliche Projekte, Finanzunterlagen und Administrationsbereiche, kann ein kompromittiertes Konto besonders großen Schaden verursachen. Sinnvoller ist das Prinzip der geringsten Rechte: Beschäftigte und externe Partner erhalten nur diejenigen Zugänge, die sie für ihre aktuellen Aufgaben benötigen. Das erfordert definierte Rollen und einen verlässlichen Prozess für Eintritt, Rollenwechsel und Austritt. Verlässt eine Person das Unternehmen, müssen Konten, Tokens und Schlüssel zeitnah deaktiviert oder erneuert werden. Ebenso wichtig sind getrennte Administrationskonten, eine starke Mehrfaktor-Authentifizierung und die regelmäßige Überprüfung bestehender Rechte. Bei besonders sensiblen Aktionen kann zusätzlich ein Vier-Augen-Prinzip sinnvoll sein. Das betrifft beispielsweise Änderungen an produktiven Systemen, die Veröffentlichung signierter Builds oder den Zugriff auf zentrale Backups. Eine solche Struktur ist keine Misstrauenserklärung gegenüber Beschäftigten. Im Gegenteil: Sie schützt das Team davor, dass ein versehentlicher Klick oder ein gestohlener Zugang gleich das gesamte Unternehmen gefährdet. Gute Berechtigungen begrenzen Schäden, bevor aus einem kleinen Fehler eine ausgewachsene Krise wird.

Sichere Entwicklung beginnt lange vor dem fertigen Build

Informationssicherheit lässt sich nicht am Ende eines Projekts wie ein nachträgliches Update hinzufügen. Bereits bei der Planung sollte geklärt werden, welche Daten eine Anwendung verarbeitet, welche externen Komponenten verwendet werden und welche Risiken sich aus Online-Funktionen ergeben. Während der Entwicklung helfen geschützte Repositories, verpflichtende Code-Reviews und automatisierte Prüfungen dabei, Fehler früh zu erkennen. Abhängigkeiten von Bibliotheken und Plugins verdienen besondere Aufmerksamkeit, denn verwundbare oder manipulierte Komponenten können unbemerkt in ein Produkt gelangen. Zugangsschlüssel gehören nicht direkt in den Quellcode. Sie sollten über geeignete Secret-Management-Lösungen verwaltet und regelmäßig erneuert werden. Ebenso wichtig ist eine getrennte Umgebung für Entwicklung, Tests und Produktion. Werden echte Nutzerdaten bedenkenlos in Testsysteme kopiert, entstehen vermeidbare Risiken. Bei der Auslieferung sorgen signierte Builds und kontrollierte Veröffentlichungsprozesse dafür, dass Kunden eine authentische Version erhalten. Sicherheitsprotokolle sollten zudem auffällige Vorgänge sichtbar machen, ohne wahllos personenbezogene Daten zu sammeln. Secure Development bedeutet also nicht, jede kreative Entscheidung mit Bürokratie zu bremsen. Ziel ist ein Entwicklungsprozess, in dem Schutzmechanismen selbstverständlich mitlaufen – ähnlich wie Qualitätskontrollen, Versionsverwaltung oder Tests.

Backups sind erst dann wertvoll, wenn sie sich wiederherstellen lassen

Der Satz „Wir haben ein Backup“ klingt beruhigend. Leider sagt er wenig darüber aus, ob sich wichtige Daten nach einem Vorfall tatsächlich rechtzeitig wiederherstellen lassen. Sicherungen können unvollständig, beschädigt oder für Angreifer genauso erreichbar sein wie die produktiven Systeme. Deshalb gehören klare Wiederherstellungsziele, getrennte Speichermedien und regelmäßige Tests zu einer belastbaren Backup-Strategie. Unternehmen sollten festlegen, wie viel Datenverlust akzeptabel ist und wie lange zentrale Systeme ausfallen dürfen. Ein Quellcode-Repository hat dabei möglicherweise andere Anforderungen als ein Archiv mit älteren Marketingmaterialien. Mindestens eine Sicherung sollte so geschützt sein, dass sie durch kompromittierte Administrationskonten oder Ransomware nicht ohne Weiteres verändert werden kann. Verschlüsselung, nachvollziehbare Protokolle und eindeutig geregelte Verantwortlichkeiten ergänzen das Konzept. Besonders aufschlussreich sind praktische Wiederherstellungstests. Erst dabei zeigt sich, ob Dokumentationen verständlich sind, Zugangsdaten verfügbar bleiben und Abhängigkeiten vollständig berücksichtigt wurden. Ein Backup, das nie getestet wurde, ist letztlich eher eine Hoffnung als eine verlässliche Schutzmaßnahme. Im Ernstfall zählt schließlich nicht, wie viele Sicherungsjobs erfolgreich gemeldet wurden, sondern wie schnell der Betrieb wieder aufgenommen werden kann.

Menschen sind Teil der Sicherheitslösung

Beschäftigte werden in Sicherheitsdiskussionen gelegentlich als „schwächstes Glied“ bezeichnet. Diese Formulierung greift zu kurz. Menschen erkennen ungewöhnliche Situationen, stellen Rückfragen und können einen Angriff stoppen, bevor technische Systeme überhaupt Alarm schlagen. Dafür benötigen sie jedoch verständliche Regeln und regelmäßige Schulungen, die zu ihrem Arbeitsalltag passen. Eine einmalige Präsentation voller Fachbegriffe verändert kaum Verhalten. Wirksamer sind konkrete Beispiele: Woran lässt sich eine verdächtige Freigabeanfrage erkennen? Über welchen Kanal wird eine mögliche Phishing-Mail gemeldet? Was ist zu tun, wenn ein Arbeitsgerät verloren geht? Beschäftigte sollten Vorfälle ohne Angst vor Schuldzuweisungen ansprechen können. Wer einen versehentlichen Klick aus Sorge vor Ärger verschweigt, kostet dem Sicherheitsteam wertvolle Reaktionszeit. Eine konstruktive Meldekultur verbessert daher den Schutz des gesamten Unternehmens. Führungskräfte spielen dabei eine besondere Rolle. Wenn sie selbst Passwörter teilen, Sicherheitsregeln umgehen oder vertrauliche Informationen unbedacht versenden, verlieren Richtlinien schnell ihre Glaubwürdigkeit. Gute Sicherheitskultur entsteht nicht durch Drohungen, sondern durch Vorbilder, klare Zuständigkeiten und Abläufe, die auch unter Zeitdruck praktikabel bleiben.

Ein Notfallplan verhindert hektische Entscheidungen

Trotz aller Schutzmaßnahmen kann es zu einem Sicherheitsvorfall kommen. Vielleicht wird ein Konto übernommen, eine Schadsoftware entdeckt oder ein internes Dokument versehentlich öffentlich freigegeben. In diesem Moment ist Improvisation ein schlechter Ratgeber. Ein Incident-Response-Plan legt fest, wer informiert wird, wer technische Entscheidungen trifft und wie Beweise gesichert werden. Ebenso sollte geregelt sein, wann Datenschutzverantwortliche, Geschäftsführung, Versicherer, Kunden oder Behörden einzubeziehen sind. Kontaktlisten müssen auch dann verfügbar bleiben, wenn interne Systeme ausfallen. Vorbereitete Kommunikationswege verhindern, dass widersprüchliche oder voreilige Aussagen nach außen gelangen. Technische Teams benötigen außerdem klare Möglichkeiten, betroffene Konten zu sperren, Systeme zu isolieren und Protokolldaten auszuwerten. Übungen machen sichtbar, wo das Konzept noch Lücken hat. Eine simulierte Phishing-Attacke oder ein durchgespielter Ransomware-Fall kann überraschende Fragen aufwerfen: Wer darf einen Release stoppen? Existiert ein unabhängiger Kommunikationskanal? Sind die Telefonnummern externer Ansprechpartner aktuell? Solche Proben kosten Zeit, doch ein echter Notfall ist zweifellos der ungünstigste Moment, um grundlegende Zuständigkeiten erstmals auszudiskutieren.

Externe Beratung kann den Blick für blinde Flecken schärfen

Unternehmen kennen ihre Produkte und Arbeitsabläufe meist sehr genau. Gerade diese Vertrautheit kann jedoch dazu führen, dass provisorische Lösungen irgendwann als normal gelten. Ein externer Spezialist betrachtet Prozesse mit Abstand und erkennt häufig Risiken, die intern längst Teil der Gewohnheit geworden sind. Dazu zählen gemeinsam genutzte Administrationskonten, fehlende Freigaben, unklare Asset-Verantwortung oder Sicherheitsrichtlinien, die mit der Praxis wenig zu tun haben. Professionelle Beratung sollte dabei keine umfangreiche Papiersammlung erzeugen, die nach einem Audit im digitalen Archiv verschwindet. Gute Unterstützung übersetzt Anforderungen in umsetzbare Maßnahmen und berücksichtigt Größe, Branche sowie tatsächliche Risikolage eines Unternehmens. Besonders bei ISO/IEC 27001 oder TISAX® sind Erfahrung mit Audits und ein realistischer Projektplan wertvoll. Maßnahmen können priorisiert, Verantwortliche vorbereitet und Nachweise strukturiert aufgebaut werden. Die Entscheidung bleibt dennoch beim Unternehmen, denn ein ISMS lässt sich nicht vollständig auslagern. Externe Expertise liefert Orientierung und methodische Sicherheit; dauerhaft funktionieren müssen die Prozesse innerhalb der Organisation. Genau dort zeigt sich später, ob Informationssicherheit wirklich verankert wurde oder lediglich für einen Prüfungstermin hübsch zurechtgelegt war.

Häufige Fragen zur Informationssicherheit in Unternehmen

Bei der Einführung eines Informationssicherheits-Managementsystems tauchen in Unternehmen oft ähnliche Fragen auf. Das gilt besonders dann, wenn technische Schutzmaßnahmen, organisatorische Verantwortlichkeiten und Anforderungen aus Standards erstmals gemeinsam betrachtet werden. Die folgenden Antworten ordnen zentrale Begriffe ein und zeigen, worauf es in der praktischen Umsetzung ankommt.

Was ist der Unterschied zwischen IT-Sicherheit und Informationssicherheit?

IT-Sicherheit konzentriert sich vor allem auf technische Systeme, digitale Infrastrukturen und elektronisch verarbeitete Daten. Dazu gehören beispielsweise Netzwerke, Server, Cloud-Dienste, Endgeräte und Anwendungen. Informationssicherheit ist breiter gefasst. Sie schützt Informationen unabhängig davon, ob diese digital, auf Papier oder mündlich vorliegen. Ein vertraulicher Vertrag im Aktenschrank fällt somit ebenso darunter wie ein Quellcode-Repository in der Cloud. Im Mittelpunkt stehen typischerweise Vertraulichkeit, Integrität und Verfügbarkeit. Informationen sollen nur berechtigten Personen zugänglich sein, nicht unbemerkt verändert werden und bei Bedarf rechtzeitig zur Verfügung stehen. In der Praxis greifen beide Bereiche eng ineinander. Eine wirksame Informationssicherheitsstrategie enthält technische Kontrollen, berücksichtigt aber ebenso Arbeitsabläufe, Zutrittsregelungen, personelle Zuständigkeiten, externe Dienstleister und den sicheren Umgang mit ausgedruckten oder mündlich weitergegebenen Informationen.

Ist eine Zertifizierung nach ISO/IEC 27001 für jedes Unternehmen erforderlich?

Eine gesetzliche Pflicht zur ISO/IEC-27001-Zertifizierung besteht nicht pauschal für jedes Unternehmen. Ob sie erforderlich oder wirtschaftlich sinnvoll ist, hängt von der Branche, den verarbeiteten Informationen, vertraglichen Vorgaben und den Erwartungen wichtiger Geschäftspartner ab. Auftraggeber können einen anerkannten Nachweis über ein funktionierendes ISMS verlangen, insbesondere wenn sensible Daten oder kritische Dienstleistungen betroffen sind. Auch Ausschreibungen enthalten zunehmend konkrete Sicherheitsanforderungen. Unabhängig von einer Zertifizierung können Unternehmen die Grundsätze der Norm nutzen, um Risiken strukturiert zu erfassen und Schutzmaßnahmen nachvollziehbar zu organisieren. Eine formale Zertifizierung wird durch eine akkreditierte Zertifizierungsstelle durchgeführt und muss regelmäßig überwacht werden. Sie ist daher kein einmaliger Haken auf einer Checkliste. Vor der Entscheidung sollten Unternehmen prüfen, welchen geschäftlichen Nutzen sie erwarten, welcher Geltungsbereich sinnvoll ist und ob ausreichend interne Ressourcen für den dauerhaften Betrieb des Managementsystems vorhanden sind.

Wie lange dauert die Einführung eines ISMS?

Für die Einführung eines ISMS gibt es keine allgemeingültige Zeitangabe. Ein kleines Unternehmen mit überschaubaren Prozessen und bereits gut dokumentierten Sicherheitsmaßnahmen kann schneller vorankommen als eine Organisation mit mehreren Standorten, zahlreichen Cloud-Diensten und komplexen Lieferketten. Entscheidend sind außerdem der gewählte Geltungsbereich, vorhandene Ressourcen und der aktuelle Reifegrad. Müssen zunächst sämtliche Assets inventarisiert, Verantwortlichkeiten geklärt und grundlegende Richtlinien aufgebaut werden, steigt der Aufwand entsprechend. Auch die Verfügbarkeit der beteiligten Beschäftigten beeinflusst den Zeitplan, denn ein ISMS lässt sich nicht allein durch die IT-Abteilung oder einen externen Berater einführen. Für eine realistische Planung empfiehlt sich zunächst eine Bestandsaufnahme beziehungsweise Gap-Analyse. Sie zeigt, welche Anforderungen bereits erfüllt werden und wo noch Handlungsbedarf besteht. Anschließend lassen sich Arbeitspakete priorisieren, Verantwortliche bestimmen und belastbare Meilensteine bis zu einem möglichen Audit definieren.

Welche Informationen müssen besonders geschützt werden?

Besonders schutzbedürftig sind Informationen, deren Verlust, Veränderung oder Offenlegung erhebliche rechtliche, finanzielle oder betriebliche Folgen hätte. Dazu zählen personenbezogene Daten, Geschäftsgeheimnisse, Zugangsdaten, Verträge, Finanzinformationen, technische Dokumentationen und geistiges Eigentum. In Entwicklungsunternehmen gehören Quellcode, unveröffentlichte Produktinformationen, kryptografische Schlüssel, Build-Pipelines und interne Roadmaps regelmäßig zu den kritischen Werten. Die Schutzwürdigkeit sollte jedoch nicht allein nach dem Dateityp beurteilt werden. Auch öffentlich wirkende Informationen können in Kombination mit anderen Angaben für Angriffe nützlich sein. Unternehmen sollten ihre Informationswerte daher erfassen, klassifizieren und jeweils verantwortlichen Personen zuordnen. Auf dieser Grundlage lässt sich festlegen, welche Zugriffs-, Speicher-, Übertragungs- und Löschregeln gelten. Eine sinnvolle Klassifizierung bleibt möglichst verständlich. Werden zu viele Kategorien eingeführt, besteht die Gefahr, dass Beschäftigte sie im Alltag verwechseln oder sicherheitshalber jedes Dokument gleich behandeln.

Was ist bei einem Verdacht auf einen Cyberangriff zuerst zu tun?

Bei einem möglichen Cyberangriff sollte der Vorfall unverzüglich über den vorgesehenen Meldeweg gemeldet werden. Betroffene Systeme dürfen je nach Situation vom Netzwerk getrennt werden, doch unkoordinierte Änderungen oder vorschnelles Ausschalten können wichtige Spuren vernichten. Deshalb sollte möglichst ein vorbereitetes Incident-Response-Verfahren greifen. Zuständige Fachleute bewerten den Vorfall, begrenzen seine Ausbreitung und sichern relevante Protokolle sowie weitere Beweismittel. Kompromittierte Zugangsdaten müssen kontrolliert gesperrt oder geändert werden. Gleichzeitig ist zu prüfen, welche Daten und Geschäftsprozesse betroffen sein könnten. Falls personenbezogene Daten berührt sind, können datenschutzrechtliche Melde- und Benachrichtigungspflichten bestehen. Auch vertragliche Verpflichtungen gegenüber Kunden oder Versicherern sind zu berücksichtigen. Beschäftigte sollten nicht eigenständig öffentlich über den Vorfall kommunizieren. Eine abgestimmte Kommunikation vermeidet Spekulationen und stellt sicher, dass betroffene Personen zeitnah verlässliche Informationen erhalten.

Wie oft sollten Zugriffsrechte und Sicherheitsmaßnahmen überprüft werden?

Zugriffsrechte sollten nicht nur zu einem festen Jahrestermin kontrolliert werden. Eine Überprüfung ist insbesondere bei Neueinstellungen, internen Rollenwechseln, längerer Abwesenheit und dem Ausscheiden von Beschäftigten oder Dienstleistern notwendig. Kritische oder privilegierte Berechtigungen verdienen kürzere Prüfintervalle als einfache Standardzugänge. Zusätzlich sollten Unternehmen regelmäßig kontrollieren, ob technische und organisatorische Maßnahmen noch wirksam sind. Änderungen an Systemen, Geschäftsprozessen, gesetzlichen Vorgaben oder der Bedrohungslage können eine außerplanmäßige Neubewertung erforderlich machen. Ein neuer Cloud-Dienst verändert beispielsweise möglicherweise Speicherorte, Verantwortlichkeiten und Zugriffsmöglichkeiten. Prüfungen sollten dokumentiert werden, damit Entscheidungen nachvollziehbar bleiben. Dabei genügt es nicht, eine Liste vorhandener Konten abzuhaken. Verantwortliche müssen beurteilen, ob der Zugriff weiterhin geschäftlich erforderlich ist und ob sein Umfang zur aktuellen Aufgabe passt. Nicht mehr benötigte Berechtigungen sollten zeitnah entzogen werden.

Reichen Backups als Schutz vor Ransomware aus?

Backups sind ein wesentlicher Baustein gegen die Folgen von Ransomware, verhindern den Angriff selbst jedoch nicht. Angreifer versuchen häufig, Sicherungen ebenfalls zu löschen, zu verschlüsseln oder unbrauchbar zu machen. Deshalb sollten Backups technisch und organisatorisch von produktiven Systemen getrennt werden. Mindestens eine Kopie sollte gegen nachträgliche Veränderungen geschützt oder offline verfügbar sein. Ebenso wichtig sind regelmäßige Wiederherstellungstests, denn eine Sicherung ist nur hilfreich, wenn sie vollständig und innerhalb der benötigten Zeit eingespielt werden kann. Darüber hinaus braucht es weitere Maßnahmen: zeitnahe Sicherheitsupdates, Mehrfaktor-Authentifizierung, eingeschränkte Administrationsrechte, Netzwerksegmentierung und eine Überwachung auffälliger Aktivitäten. Schulungen helfen, schädliche Anhänge und manipulierte Anmeldeseiten frühzeitig zu erkennen. Für den Ernstfall sollte feststehen, welche Systeme zuerst wiederhergestellt werden, welche Abhängigkeiten bestehen und wer die Entscheidung über die Wiederaufnahme des Betriebs trifft.

Was unterscheidet TISAX® von ISO/IEC 27001?

ISO/IEC 27001 ist ein international anwendbarer Standard für Informationssicherheits-Managementsysteme. TISAX® ist dagegen ein branchenspezifischer Prüf- und Austauschmechanismus, der vor allem in der Automobilindustrie verwendet wird. Grundlage der TISAX®-Prüfung ist der VDA Information Security Assessment, der Anforderungen an Informationssicherheit und je nach Prüfziel auch an Prototypenschutz oder Datenschutz enthält. Zwischen beiden Ansätzen bestehen zahlreiche Überschneidungen, weil strukturierte Risikobehandlung, dokumentierte Verantwortlichkeiten und wirksame Kontrollen in beiden Fällen wichtig sind. Dennoch ersetzt eine ISO/IEC-27001-Zertifizierung nicht automatisch ein von einem Geschäftspartner gefordertes TISAX®-Label. Umgekehrt ist ein TISAX®-Prüfergebnis keine allgemeine ISO-Zertifizierung. Unternehmen sollten daher zuerst klären, welche Nachweise Kunden tatsächlich verlangen, welche Informationen verarbeitet werden und welcher Geltungsbereich betrachtet werden muss. Ein abgestimmter Aufbau kann Doppelarbeit reduzieren, sofern die jeweiligen Besonderheiten von Beginn an berücksichtigt werden.

Informationssicherheit stärkt nicht nur Systeme, sondern auch Vertrauen

Ein wirksames Sicherheitskonzept wird häufig zunächst als Kostenfaktor betrachtet. Es bringt jedoch handfeste geschäftliche Vorteile. Klare Prozesse reduzieren Ausfallzeiten, erleichtern die Einarbeitung neuer Beschäftigter und schaffen Transparenz über kritische Abhängigkeiten. Kunden und Partner erhalten mehr Sicherheit, dass ihre Informationen verantwortungsvoll behandelt werden. Bei Ausschreibungen oder Kooperationen kann ein nachvollziehbares Sicherheitsniveau sogar zur Voraussetzung werden. Zugleich schützt ein strukturiertes Vorgehen die kreative Arbeit selbst. Quellcode, Entwürfe, Simulationen und unveröffentlichte Inhalte sind keine beiläufigen Dateien, sondern ein wesentlicher Teil der wirtschaftlichen Identität eines Studios oder Technologieunternehmens. Wer diese Werte kennt, angemessen klassifiziert und kontinuierlich schützt, gewinnt mehr als ein Zertifikat an der Wand. Es entsteht Widerstandsfähigkeit. Neue Bedrohungen werden dadurch nicht verschwinden, doch das Unternehmen kann kontrollierter reagieren und aus Vorfällen lernen. Informationssicherheit ist deshalb kein einmaliges Projekt mit einem endgültigen Abschlussdatum. Sie begleitet technische Entwicklung, Wachstum und Zusammenarbeit dauerhaft. Richtig umgesetzt wirkt sie nicht wie eine Handbremse, sondern wie ein stabiles Fundament, auf dem innovative digitale Produkte zuverlässig entstehen können.