Technische und rechtliche Aspekte der IT-Sicherheit und der Bedrohungslage

1. RECHTLICHE ASPEKTE DER IT-SICHERHEIT

1.1. Rechtliche Grundlagen in Deutschland und der EU

• DSGVO (Datenschutz-Grundverordnung)
  Verpflichtet Unternehmen zur Gewährleistung der Vertraulichkeit, Integrität und Verfügbarkeit personenbezogener Daten (Art. 5, 32 DSGVO).
• BDSG (Bundesdatenschutzgesetz)
  Ergänzt die DSGVO und konkretisiert sie für Deutschland.
• BSIG (Gesetz über das Bundesamt für Sicherheit in der Informationstechnik)
  Regelt die Aufgaben des BSI und die Pflichten von KRITIS-Betreibern.
• NIS2-Richtlinie (EU) / NIS2-Umsetzungsgesetz
  Weitet Sicherheitsanforderungen auf mehr Unternehmen aus, verschärft Meldepflichten.
• IT-Sicherheitsgesetz 2.0 (seit 2021)
  Verpflichtet KRITIS-Betreiber und bestimmte IT-Hersteller zur Einhaltung von Mindeststandards und zur Meldung von Sicherheitsvorfällen.
• Telekommunikations-Telemedien-Datenschutzgesetz (TTDSG)
  Ergänzt Datenschutz im Bereich Kommunikation und digitale Dienste.

1.2. Haftung und Strafrecht

• Zivilrechtliche Haftung: Schadensersatzansprüche nach Art. 82 DSGVO bei Datenpannen.
• Strafrecht:
  • § 202a StGB: Ausspähen von Daten
  • § 303a/b StGB: Datenveränderung, Computersabotage
• Arbeitsrechtliche Verantwortung: Arbeitgeber müssen technische und organisatorische Maßnahmen (TOM) sicherstellen.

1.3. Vertragsrecht

• IT-Sicherheitsdienstleister arbeiten auf Basis von:
  • Dienstverträgen (Beratung, Penetrationstests)
  • Werkverträgen (z. B. Installation von Sicherheitslösungen)
  • SLA (Service Level Agreements) mit garantierten Reaktionszeiten

---

2. TECHNISCHE ASPEKTE DER IT-SICHERHEIT

2.1. Schutzziele der IT-Sicherheit

• Verfügbarkeit: Systeme müssen dauerhaft erreichbar sein (z. B. durch DDoS-Schutz).
• Vertraulichkeit: Daten dürfen nur autorisierten Personen zugänglich sein (z. B. durch Verschlüsselung).
• Integrität: Daten dürfen nicht unbefugt verändert werden (z. B. durch Hash-Prüfsummen).
• Authentizität und Nichtabstreitbarkeit (z. B. bei E-Mails mit Signaturen)

2.2. Maßnahmen und Technologien

• Firewalls & IDS/IPS (Intrusion Detection/Prevention Systems)
• Endgeräteschutz (Anti-Virus, EDR)
• Zero Trust Architektur
• Verschlüsselung (TLS, E-Mail, Festplatten)
• Netzwerksegmentierung
• Multi-Faktor-Authentifizierung
• Patch-Management & Schwachstellenmanagement
• Backup-Strategien / Desaster Recovery

---

3. AKTUELLE BEDROHUNGSLAGE

3.1. Typische Bedrohungen

• Ransomware-Angriffe (z. B. Lockbit, Conti)
• Phishing & Social Engineering
• Advanced Persistent Threats (APT) – staatlich unterstützte Hackergruppen
• Insider-Bedrohungen
• Cloud-Sicherheitsprobleme – Fehlkonfigurationen, API-Schwachstellen
• Zero-Day-Exploits
• Supply-Chain-Attacken – SolarWinds, Kaseya

3.2. Statistische Lage

• Laut BSI (2024):
  • Ransomware bleibt das größte Risiko
  • Zunahme von Angriffen auf KMU und KRITIS
  • Wachsende Gefahren durch KI-gestützte Angriffe

---

4. ZUKÜNFTIGE HERAUSFORDERUNGEN

4.1. Technologisch

• Künstliche Intelligenz – Angreifer setzen automatisierte Phishing und Malware ein.
• Post-Quanten-Kryptografie – Vorbereitung auf Quantencomputer, die aktuelle Verschlüsselung brechen könnten.
• IoT-Absicherung – Milliarden unsicherer Geräte weltweit.
• Sicherheitsarchitekturen in Multi-Cloud-Umgebungen
• OT-Security – industrielle Anlagen sind zunehmend digital vernetzt.

4.2. Regulatorisch

• Umsetzung von NIS2, CRA (Cyber Resilience Act), DORA (Finanzmarkt), EU AI Act.
• Wachsende Compliance-Anforderungen (Audit, Berichtspflichten, Meldefristen).
• Höhere Strafen und individuelle Haftung der Geschäftsleitung.

---

5. LEISTUNGEN UNSERES IT-SICHERHEITSUNTERNEHMENS

5.1. Beratung und Strategie

• Erstellung und Umsetzung von ISMS (z. B. nach ISO 27001, BSI-Grundschutz)
• Risikoanalysen & Bedrohungsmodelle
• Compliance-Beratung (DSGVO, NIS2, KRITIS)

5.2. Technische Dienstleistungen

• Penetrationstests (extern, intern, Web, App, Cloud)
• Schwachstellenanalysen
• Security Monitoring / SIEM (Security Information and Event Management)
• Implementierung von Sicherheitslösungen (Firewalls, EDR, Verschlüsselung)

5.3. Betrieb & Reaktion

• 24/7-Security Operations Center (SOC)
• Incident Response & Forensik
• Business Continuity & Desaster Recovery Planung

5.4. Awareness & Schulungen

• Phishing-Simulationen
• Schulungen für Mitarbeiter, Admins, Geschäftsführung

5.5. Zukunftsorientierte Entwicklung

• Entwicklung sicherer Software (Secure Development Lifecycle)
• Unterstützung bei Cloud-Migration mit Sicherheitskonzept
• Beratung zu KI-Sicherheit und Quantenresilienz