Compliance ist ein viel bemühter Begriff in der IT-Security-Branche. Und die Geschäftsführer nicken teure Compliance-Maßnahmen ab – aus diffuser Angst um ihre Sicherheit und vor gesetzlichen Repressalien. Der Reality-Check, ob das Unternehmen durch diese Maßnahmen wirklich sicherer wird, bleibt in der Regel aus.

Es ist jedoch zu kurz gedacht, wenn Unternehmens- und IT-Chefs sich damit begnügen, alle vorgeschriebenen Compliance-Regeln zu befolgen und meinen, damit auf der sicheren Seite zu sein. Compliance bedeutet erst einmal lediglich, Regeln zu erfüllen, die von der Industrie, von Verbänden, Banken, Versicherungen oder dem Gesetzgeber aufgestellt wurden – etwa der Sarbanes Oxley Act von der US-Regierung, PCI-DSS von der Kreditkartenindustrie, Basel III von der Bank für Internationalen Zahlungsausgleich und so weiter. Ein Unternehmen, das „compliant“ ist, hat bisher genau ein einziges Risiko ausgeschlossen: Den Verstoß gegen diese von Dritten aufgestellten Regeln.

Compliant sein, heißt noch lange nicht, sicher sein

Es drohen andere und weit existentiellere Risiken für ein Unternehmen, als nur „non-compliant“ zu sein: Dazu gehört an vorderster Stelle der Verlust von Geschäftsgeheimnissen, Diebstahl persönlicher Kundendaten oder auch die Beschädigung von Ansehen. Nicht zuletzt müssen Unternehmen innovativ bleiben und schnell auf Marktgegebenheiten reagieren können, um mitbewerbsfähig zu bleiben.

Eine regelgerechte Compliance hilft dabei aber nicht. Im Gegenteil, sie kann sogar Sicherheitsstrukturen im Wege stehen, die ja flexibel jede neue Situation berücksichtigen soll. „Compliant sein“ bedeutet nämlich auch Schwerfälligkeit und Langsamkeit, denn jeder Prozess und jede Veränderung muss daraufhin geprüft werden, ob alle Regeln eingehalten werden. Der Hype um Compliance führt dazu, dass komplette Security-Budgets in teure Compliance-Maßnahmen gesteckt werden, die der konkreten Sicherheit des Unternehmens wenig dienlich sind. Hauptsache ist, der Wirtschaftsprüfer bescheinigt beim Jahresabschluss, die Compliance des Unternehmens. Ob die für das Unternehmen relevanten Sicherheitsrisiken berücksichtigt und mit passgenauen Sicherheitsmaßen abgedeckt sind, schenken CEOs weit weniger Beachtung.

Sicherheit ist individuell

Keine Frage, bestimmte Geschäftsmodelle sind zwangsläufig darauf angewiesen, Compliance-Anforderungen zu befolgen: Wenn etwa daran eine Zulassung hängt, wie an PCI-DSS für Anbieter von Kreditkarten oder die Erfüllung von Basel III-Kriterien die Kreditwürdigkeit beeinflusst. Es empfiehlt sich jedoch, genau zu prüfen, ob und in welchem Maße das eigene Unternehmen Compliance-Vorschriften nachkommen muss – oder aber, ob der Compliance-Vorwand nicht nur als Geschäftsführerschreck und Honorarmaschinerie für Unternehmensberater und Security-Anbieter angeführt wird.

Wichtiger als Compliance-Anforderungen akribisch zu erfüllen, ist für die meisten Unternehmen, ein Sicherheitskonzept zu entwickeln, das wirklich passgenau auf die eigenen Ansprüche zugeschnitten ist. Dafür müssen sie sich folgende Fragen stellen:

• Was sind eigentlich unsere „schützenswerten Informationen“ - Patente, Kunden- und Buchhaltungsdaten, Produktionsprozesse?
• Was sind die Risiken? Was passiert, wenn diese Informationen in fremde Hände gelangen oder verloren gehen?
• Welche Maßnahmen sind nötig, um diese Unternehmenswerte wirksam zu schützen?
• Was wird bereits getan, um diese Informationen zu schützen?

Wer schützenswerte Informationen besitzt, braucht einen Mitarbeiter der sich explizit um Informationssicherheit kümmern kann. Für ein erstes Sicherheitskonzept unterstützen idealerweise externe Sicherheitsberater, die die nötigen Strukturen aufbauen und dabei helfen eigene, interne Kräfte zu qualifizieren, damit sie diese Aufgaben übernehmen können. Kleinere Firmen ohne eigene personelle Ressourcen sind gut beraten, einen externen Sicherheitsbeauftragen langfristig zu beauftragen, so wie es heute mit einem Datenschutzbeauftragten üblich ist.