IT Security Audit: So schützen sich KMU vor Cyberkriminalität

Cyberkriminalität ist auf dem Vormarsch: Laut einer Bitkom-Studie erlitten deutsche Unternehmen im Jahr 2023 insgesamt Schäden von über 200 Milliarden Euro durch Cyberangriffe auf ihre Systeme. Viele KMU sind sich zwar darüber im Klaren, welche Bedrohung von Datendiebstahl, Industriespionage oder Erpressung ausgeht und ergreifen auch entsprechende Schutzmaßnahmen. Doch reichen diese aus, um sich vor den immer neuen Methoden der Angreifer zuverlässig zu schützen? Und werden Maßnahmenpläne im unternehmerischen Alltag zuverlässig eingehalten? Ein professioneller IT Security Audit liefert Antworten auf diese Fragen. Er ermittelt den IST-Zustand Ihrer IT-Sicherheit, deckt Schwachstellen in der Umsetzung auf und entwickelt Maßnahmen für ein sicheres Arbeitsumfeld.

Was ist ein IT Security Audit?

Die meisten Unternehmen wenden verschiedene Methoden an, um die IT-Sicherheit ihrer Organisation zu erhöhen. Sie nutzen Firewalls, schulen die Mitarbeiter im Umgang mit sensiblen Informationen und fertigen regelmäßig Backups von ihren Daten an. Ein IT Security Audit (dt. IT-Sicherheitsaudit) bewertet all diese Maßnahmen, um potenzielle Schwachstellen und Lücken in der IT-Sicherheit zu finden und zu beheben.

Es gibt verschiedene Ansätze für IT Audits

Es gibt mehrere Methoden, nach denen ein IT Security Audit durchgeführt werden kann. Üblich ist die ansatzbasierte Methode, die in drei Kategorien unterteilt wird:

Black-Box Audit
Der IT Security Auditor schaut von außen auf die Informationstechnik des Unternehmens und nutzt nur die Informationen, auf die er öffentlich Zugriff hat.

Der Vorteil: Hier kann die Perspektive eines externen Angreifers simuliert werden. So entsteht eine realistische Einschätzung der aktuellen Sicherheitslage.

Der Nachteil: Die Prüfer haben hier weniger detaillierte Einblicke in die internen Systemabläufe. Der IT Security Audit kann daher nicht so gründlich erfolgen.

White-Box Audit
Der für den Sicherheitscheck Verantwortliche besitzt detaillierte, interne Informationen und kann auf dieser Basis gezielt nach Sicherheitslücken suchen.

Der Vorteil: Es entsteht eine tiefgreifende Analyse von Sicherheitslücken.

Der Nachteil: Die Prüfung ist nicht mehr objektiv und erfolgt nicht aus der Sicht eines externen Angreifers.

Gray-Box Audit
Der Prüfer bekommt einige Informationen zur IT-Sicherheit, die vom Unternehmen zusammengestellt werden.

Der Vorteil: Es entsteht eine Balance zwischen der externen Sicht und der Innenansicht.

Der Nachteil: Durch fehlende Informationen kann die Analyse unvollständig sein.

Der IT Security Audit kann auch anderen Methoden folgen. Im Rahmen von Penetrationstests kann der Prüfer beispielsweise versuchen, aktiv in die Systeme des Unternehmens einzudringen. Compliance-Analysen betrachten die Einhaltung von gesetzlichen und anderen regulatorischen Vorgaben (siehe unsere Blogartikel „NIS-2-Richtlinie: Das müssen betroffene Unternehmen wissen“ und „Was ist die DORA-Verordnung – und wie bereiten Sie Ihr Unternehmen darauf vor?„), während spezielle Risikobewertungen auf die geschäftskritischen Ressourcen abheben.

Relevante Themen bei einem Sicherheitscheck

IT-Sicherheit tangiert viele unterschiedliche Bereiche. Neben den rein technischen Voraussetzungen können auch die Mitarbeiter selbst zur Schwachstelle werden. Ein IT Security Audit hat daher verschiedene Themen im Blick und prüft, ob Maßnahmen in jedem Bereich definiert und umgesetzt werden.

✔︎ Sicherheitsmanagement
Existieren klare Regeln für die IT-Sicherheit, z.B. was den Gebrauch privater Endgeräte während der Arbeit oder den Umgang mit vertraulichen Informationen angeht?

✔︎ Zugriffsrechte
Wer kann vertrauliche Daten aufrufen und Nutzungsrechte vergeben? Gibt es entsprechende softwarebasierte Schutzmechanismen?

✔︎ Sicherung der Daten
Werden regelmäßig Backups durchgeführt? Wie lange würde es dauern, ein System vollständig wiederherzustellen?

✔︎ Hacker-Schutz
Wie gut sind die IT-Systeme vor Hacker-Angriffen geschützt?

✔︎ Passwortschutz
Wurden überall sichere Passwörter eingesetzt? Wie oft werden diese erneuert?

✔︎ VPN-Zugriffe
Sind Zugriffe auf das Netzwerk verschlüsselt? Ist das WLAN ausreichend gesichert?

Neben diesen Themen werden bei einem IT Security Audit noch weitere Bereiche geprüft. Beispielsweise werden vorhandene Virenprogramme neu evaluiert oder deren Update-Frequenz überprüft. Auch ein Disaster-Recovery-Plan sollte vorhanden sein und bewertet werden, um im Katastrophenfall (z. B. Brände, Überschwemmungen, Cyberangriffe) sofort die richtigen Schritte einzuleiten.

Wie erfolgt die Dokumentation der Ergebnisse?

Nach Abschluss der IT-Sicherheitsanalyse erhalten die Unternehmen einen abschließenden Bericht. Darin wird festgehalten, welche IT-Sicherheitsmaßnahmen aktuell existieren, einschließlich einer detaillierten Bewertung dieser Maßnahmen. Der Bericht benennt außerdem Sicherheitslücken und beschreibt Schritte, um diese zu beheben.

Audit vs. Cyber Risk Management: Das ist der Unterschied

Vor allem größere Organisationen müssen oft sowohl Security Audits durchführen als auch ein durchdachtes Risk Management nachweisen. Doch worin besteht der Unterschied? Schließlich geht es in beiden Fällen darum, Sicherheitsprobleme zu lösen. 

Die beiden Prozesse werden aus verschiedenen Gründen durchgeführt. Beim IT Audit geht es darum, einen Ist-Zustand zu ermitteln und vorhandene Prozesse und Systeme auf die Einhaltung von Standards zu überprüfen. Das Ziel dieses Verfahrens ist es festzustellen, ob die Kontroll- und Sicherheitsmechanismen noch ausreichend sind und ob sie ordnungsgemäß durchgeführt werden. So wird beispielsweise überprüft, ob das Backup der Systeme vorschriftsmäßig erfolgt.

Das Risk Management ist ein proaktiver Prozess der Bewertung, Überwachung und Steuerung von Risiken, die für Unternehmen gefährlich werden können. Es geht darum, diese Risiken gezielt zu kontrollieren, indem Eintrittswahrscheinlichkeiten für einen bestimmten Vorfall ermittelt werden. Außerdem werden diese Risiken engmaschig im Zeitverlauf beobachtet. 

Trotz dieser Unterschiede gehen Audits und Risikomanagement oft Hand in Hand, da die Ergebnisse von Risikobewertungen als Grundlage für Audits dienen können.

Typische Anwendungsfälle: Wer braucht einen IT Audit?

Die Notwendigkeit eines regelmäßigen IT-Sicherheitsaudits besteht grundsätzlich für alle Unternehmen, die digitale Daten verarbeiten, unabhängig von Größe oder Branche. Auch kleine und mittelständische Firmen müssen sich mit dem Thema auseinandersetzen, um die teils existenziellen Folgen eines Angriffs zu verhindern.

Es gibt aber Geschäftsmodelle, die bei einem Sicherheitsvorfall besonders stark betroffen sind. Dazu zählen z. B. staatliche und medizinische Einrichtungen als auch Technologieunternehmen und E-Commerce-Firmen. Insbesondere KRITIS-Unternehmen müssen in Sachen IT-Sicherheit gut aufgestellt sein, da ihr Ausfall verheerende gesamtgesellschaftliche Folgen hätte.

Warum ist ein IT Security Audit so wichtig?

Die zunehmende Digitalisierung bringt es mit sich, dass auch die Zahl der Cyberangriffe steigt. Alles wird digital erfasst – von sensiblen Kundendaten bis zu Rechnungen und Aufträgen. Auch der Trend zum Home-Office, bei dem die Mitarbeiter weniger geschützte Systeme nutzen, spielt den Kriminellen in die Karten.

Wie aus der eingangs genannten Bitkom-Studie hervorgeht, sind allein durch Imageschäden und negative Berichterstattung in den Medien im Jahr 2023 Schadenssummen in Höhe von 35,3 Milliarden Euro entstanden. Zwei Jahre zuvor waren es noch 12,3 Milliarden. Hinzu kommen Schäden durch Ausfälle und Störungen der Betriebsabläufe, Kosten für Ersatzmaßnahmen, Umsatzeinbußen und Verlust der Wettbewerbsvorteile. 

Hinter den Angriffen stecken oftmals organisierte Banden. Aber auch Privatpersonen, ehemalige Beschäftigte oder konkurrierende Unternehmen können Sicherheitslücken für geplante Angriffe ausnutzen. Regelmäßige IT Security Audits sind daher ein unverzichtbarer Bestandteil jeder erfolgreichen Unternehmensstrategie. Nur wenn Firmen wissen, wie es aktuell um ihre IT-Sicherheit bestellt ist, können sie rechtzeitig reagieren und Lecks schließen (siehe auch Blogartikel „Ransomware-Schutz: Die Top-12-Maßnahmen für Unternehmen“).

AI-Technologien erhöhen Sicherheitsrisiken für Unternehmen

Mit dem Boom der KI-Anwendungen erweitern sich auch die Möglichkeiten für Cyberkriminelle. Sie setzen Artificial Intelligence dazu ein, um große Mengen an Falschmeldungen und gefälschten Bildern zu generieren, die sie dann im Internet verbreiten. Dies ermöglicht es ihnen, Phishing-Attacken viel effektiver durchzuführen und massenhaft personalisierte Mails zu erstellen, die individuell auf die Empfänger zugeschnitten sind.

Ein weiteres aufkommendes Sicherheitsrisiko ist die sogenannte „Prompt Injection“. Dabei manipulieren Kriminelle gezielt Sprachmodelle durch missbräuchliche Eingaben, um sie dazu zu bringen, gegen ihre eigenen internen Regeln zu verstoßen. Dies kann dazu führen, dass die Modelle unerwünschte Outputs generieren, die sensible Informationen preisgeben oder falsche Informationen liefern. Beispielsweise könnten Angreifer versuchen, den Chatbot eines Unternehmens dazu zu „überreden“, interne Informationen freizugeben. Damit entsteht eine Gefahr für die Integrität von Systemen, die auf solchen Sprachmodellen basieren.

Durch regelmäßige IT Security Audits können bestehende Systeme auf ihre Sicherheit auch gegen neuartige Bedrohungen geprüft werden, die bislang nicht in den Sicherheitsplänen erfasst waren.

Vernachlässigte Sicherheitschecks haben oft schwere Folgen

Wer in Sachen IT-Sicherheit nicht am Ball bleibt, muss mit Konsequenzen rechnen, welche die Existenz des ganzen Unternehmens bedrohen. Trotzdem zögern viele KMU die Vorsorge hinaus. Zum einen sind Investitionen in die IT-Sicherheit mit Kosten verbunden. Zum anderen erhöhen sie die Komplexität der Abläufe im Unternehmen, beispielsweise durch Multi-Faktor-Authentifikation. So wird das Projekt IT Audit immer wieder hinausgeschoben, bis es zu spät ist. Genau hier setzt der Cyber-Sicherheits-Check (CSC) von Proact an, der in Kooperation mit der “Information Systems Audit and Control Association“ (ISACA) und dem Bundesamt für Sicherheit in der Informationstechnik (BSI) entworfen wurde. In einem fünfstufigen Prozess überprüfen wir Ihre IT-Sicherheit und geben konkrete Handlungsempfehlungen. Der Clou: Es gibt keine Voraussetzung für das Vorhandensein komplexer technischer Lösungen, Prozesse oder Dokumente für die Durchführung des CSCs. Wir starten mit Ihrem Status quo.

Mögliche Nachteile eines IT Security Checks durch einen externen Partner

Ein IT-Sicherheitsaudit durch einen externen Partner ist zunächst ein Kostenfaktor. Gerade kleine Firmen aber auch Mittelständler haben häufig geringe Budgets für die IT-Sicherheit eingeplant – was sich aber rächt, wenn eine reale Bedrohung entsteht, die Systeme lahmlegt oder sensible Kundendaten ausspioniert. Auf den zweiten Blick stellt sich dann heraus, dass der IT-Sicherheitsaudit eine nachhaltige Investition ist, die wichtige Geschäftsprozesse schützt und vor schweren Imageschäden oder Geschäftsunterbrechungen bewahrt.

Die Offenlegung von Unternehmensdaten und internen Prozessen gegenüber externen Sicherheitsauditoren erfordert außerdem einiges an Vertrauen. Die Auswahl des richtigen Partners ist hier entscheidend. Proact Deutschland ist ein anerkannter IT-Dienstleister, der für zahlreiche namhafte deutsche Unternehmen gearbeitet hat. Kunden können sich auf die Integrität des Anbieters verlassen.

Wie die Umsetzung erfolgt

Sie fragen sich, wie ein IT Security Audit in der Praxis abläuft? Hier eine Übersicht über Abläufe und Tools.

1. Die 5 Phasen des Audits

Der IT Security Audit erfolgt in mehreren Schritten. Dafür haben wir von der PROACT-Gruppe ein einheitliches Verfahren entwickelt, das bei unseren Kunden zur Anwendung kommt.

1. Auftragserteilung: In einem offenen Austausch werden die gegenseitigen Erwartungen erfasst. Die Prüfer informieren transparent über den Verlauf des Checks und es erfolgt die finale Beauftragung. 
2. Risikoeinschätzung: Der IT Security Audit wird risikoorientiert durchgeführt. Dabei werden vorhandene Maßnahmen zur Cyber-Sicherheit anhand des individuellen Risikoprofils bewertet. Das Risiko wird individuell eingeschätzt; daran passt sich dann der Check an. 
3. Dokumentensichtung: Stichprobenartig werden alle vorhandenen Dokumente, die für die Cybersicherheit relevant sind, geprüft, um potenzielle Schwachstellen zu identifizieren.
4. Vor-Ort-Beurteilung: Basierend auf den Ergebnissen der Dokumentensichtung und unserer Erfahrungswerte führen wir vor Ort eine umfassende Beurteilung des aktuellen Standes der Cybersicherheit durch. Dabei führen wir auch Interviews mit den Verantwortlichen.
5. Abschlussbericht: Am Ende des Checks erhalten Sie einen kompakten Bericht, der unsere Einschätzung zum Stand der Cybersicherheit aufgrund der durchgeführten Prüfpunkte zusammenfasst. Etwaige Mängel und Empfehlungen zur Behebung werden in einem gemeinsamen Abschlusstermin besprochen.

Die konkreten Inhalte und Abläufe der einzelnen Schritte werden dabei immer individuell an das Unternehmen und die jeweiligen Sicherheitsanforderungen angepasst.

2. Tools für die Durchführung von IT-Sicherheitsaudits

Bei der Durchführung eines Sicherheits-Check-ups kommen verschiedene Tools zum Einsatz. Hier eine Auswahl: 

ReconDog

ReconDog ist ein Open-Source-Tool, das für die Informationssammlung und das Erkennen von Schwachstellen in Netzwerken entwickelt wurde. Es kann Informationen über Zielnetzwerke sammeln und den Prüfern dadurch helfen, potenzielle Angriffsvektoren zu identifizieren. Es kann als normales Skript verwendet und im Webverzeichnis gespeichert werden. 

Nmap

Auch bei Network Mapper handelt es sich um eine Open-Source-Lösung, die für die Netzwerkexploration und Sicherheitsanalyse genutzt wird. Das Tool kann offene Ports auf einem Zielhost erkennen, Angriffsvektoren auf einem Betriebssystem identifizieren und Sicherheitslücken im Netzwerk aufdecken. 

sqlmap

sqlmap ist ein leistungsstarkes Tool zur automatisierten Erkennung und Ausnutzung von SQL-Injection-Schwachstellen in Webanwendungen und Datenbanken. Das Tool ahmt einen Angriffsprozess nach und geht dabei auf die typischen Schwachstellen verschiedener Datenbankmanagementsysteme wie MySQL, PostgreSQL oder Microsoft SQL Server ein.

3. Nach dem Audit ist vor dem Audit

Der IT-Security-Check kann immer nur den Ist-Zustand bewerten und notwendige Schritte aufzeigen, um Sie vor aktuellen Bedrohungen zu schützen. Cyberkriminelle ruhen sich aber nicht auf ihren Erfolgen aus, sondern entwickeln immer neue Angriffsmethoden. IT-Sicherheit muss also ebenfalls ein iterativer Prozess im Unternehmen sein.

Proact ist Ihr Partner für regelmäßige Sicherheitsanalysen

Möchten Sie in Sachen IT-Sicherheit auf dem neuesten Stand sein und potenzielle Risiken erkennen, bevor Sie Ihnen schaden? Dann ist Proact Ihr richtiger Ansprechpartner. Unser Expertenteam hat einen bewährten Prozess für IT Security Audits entwickelt und kann die vorgeschlagenen Maßnahmen direkt für Sie umsetzen. 

Sie bekommen mit uns einen Ansprechpartner, der sich Zeit nimmt, um Ihre genauen Geschäftsanforderungen zu verstehen und die daraus resultierenden Anforderungen an die IT-Sicherheit maßgeschneidert anzupassen. In jedem Prozess stehen wir in engem Austausch mit Ihnen und informieren Sie transparent über jeden einzelnen Schritt. Ein Abschlussbericht fasst alle wichtigen Themen zusammen und gibt die Schritte vor, mit denen Sie Ihre IT-Sicherheit auf ein neues Level heben.

Das hört sich interessant an? Dann kontaktieren Sie uns noch heute für eine kostenlose Beratung. Wir freuen uns, von Ihnen zu hören!

Erkunden Sie unsere Case Study und sehen Sie, wie wir effektive IT-Security Audits in der Praxis umsetzen.