E-Mail und mobile Geräte bergen Risiko

Studie: E-Mail und mobile Geräte bergen größtes Risiko unkontrollierter Informationsweitergabe
Riskantes Spiel mit dem Vertrauen der Kunden - Schwerwiegende Folgen für die Compliance, die Marken-Reputation und den Aktienwert

(26.01.07) - Die Mehrzahl der deutschen Unternehmen geht äußerst fahrlässig mit sensiblen Daten um. Das ergab eine Umfrage im Auftrag von Workshare. Obwohl die meisten Unternehmen befürchten, dass wertvolle oder vertrauliche Informationen nach außen gelangen könnten, wissen viele nicht, welche Daten wie oft tatsächlich die Organisation verlassen. Dabei sind nicht nur E-Mails potenzielle Kanäle für die ungewollte Informationsweitergabe, sondern auch USB-Sticks, iPods oder PDAs, die Mitarbeiter mit an ihren Arbeitsplatz bringen. Darüber hinaus fehlt es den meisten Unternehmen an effizienten Mechanismen, um Regeln für den Umgang mit sensiblen Daten umzusetzen, und an automatisierten Lösungen, die Informationslecks verhindern. Diese Unternehmen spielen ein riskantes Spiel mit dem Vertrauen und der Treue ihrer Kunden und nehmen schwerwiegende Folgen für ihre Compliance, die Reputation ihrer Marke und ihren Aktienwert in Kauf. Im Rahmen einer branchenübergreifenden Studie im Auftrag von Workshare befragte das unabhängige Marktforschungsinstitut Loudhouse leitende Sicherheits- und Risikoexperten großer deutscher Unternehmen.

Die Ergebnisse der Umfrage zeichnen ein Besorgnis erregendes Bild. Denn obwohl die Befragten Datenschutz und Informationssicherheit als ihre wichtigsten Anliegen nannten, zeigt die Studie, dass es den meisten Entscheidern an Wissen und Bewusstsein über das Risiko für ihre vertraulichen Daten fehlt.

Die wichtigsten Ergebnisse der Befragung unter deutschen Unternehmen im Überblick:

>> Die drei größten potenziellen Informationslecks sind nach Ansicht der Befragten E-Mail-Inhalte (74 Prozent), tragbare Geräte (64 Prozent) und E-Mail-Anhänge (54 Prozent).

>> Durchschnittlich 70 Prozent der Befragten sind "besorgt" oder "sehr besorgt", dass Verletzungen der Informationssicherheit in ihrem Unternehmen negative Folgen haben könnten. Dabei spielt es keine Rolle, ob die Informationslecks durch vorsätzliche Weitergabe von Daten oder unabsichtlich im normalen Umgang mit ihnen auftreten.

>> Die wichtigsten Gründe, weshalb deutsche Unternehmen sich um ihre Informationssicherheit Gedanken machen, sind der Studie zufolge der Ruf ihres Unternehmens (84 Prozent), der Schutz von Kundendaten (82 Prozent) sowie das Ziel, auch im Krisenfall den Geschäftsbetrieb aufrecht zu erhalten (80 Prozent). Bemerkenswert ist, dass der Schutz geistigen Eigentums, eigentlich das Herzstück der wissensgetriebenen deutschen Wirtschaft, mit 48 Prozent nur auf dem letzten Platz der Prioritäten rangiert.

>> Es stimmt zuversichtlich, dass 78 Prozent der befragten Unternehmen Regeln zum sicheren Umgang mit sensiblen Informationen definiert haben. Der Umstand, dass 64 Prozent der Befragten "einigermaßen sicher" oder "sehr sicher" sind, dass ihre Mitarbeiter diese Richtlinien bei ihrer täglichen Arbeit auch wirklich befolgen, zeigt zugleich die eigentliche Schwachstelle auf: die Sicherstellung der Umsetzung der Regeln. Von den Befragten mit formalen Regeln gaben nur 26 Prozent an, irgendeinen Mechanismus zu nutzen, der die Einhaltung dieser Richtlinien überwacht. Dieses Ergebnis ist besonders kritisch zu bewerten, weil man sich fragen muss, welchen Wert man Richtlinien beimessen kann, wenn ihre Einhaltung nicht durchgesetzt wird.

>> Dokumente aller Art bilden unbestritten das Rückgrat für die Kommunikation in Unternehmen und darüber hinaus. Sie sind der wichtigste Informationsträger zum Austausch zwischen Kollegen, Partnern und Kunden. Dennoch können sie Inhalte preisgeben, die eigentlich nicht für unberechtigte Dritte bestimmt sind. Deshalb ist die automatisierte Durchsetzung von Dokumentensicherheit und Compliance entscheidend für die Absicherung sensibler oder geheimer Informationen. Trotzdem gaben nur 46 Prozent aller in der Studie befragten Sicherheits- und Risikoexperten an, solche Mechanismen eingerichtet zu haben.

>> Obwohl die Befragten meinten, dass verärgerte Mitarbeiter und Industriespionage nicht weit verbreitet seien, verschicken dennoch alle Mitarbeiter laufend sensible Informationen, ohne dass effektive Schutzmechanismen vorhanden wären, die auch die versehentliche Datenweitergabe verhindern. Offensichtlich beginnen auch große Unternehmen gerade erst, das Risiko dieser scheinbar unkritischen Prozesse ernst zu nehmen.

>> Dass es keine strengeren Mechanismen für die Durchsetzung von Informationssicherheit gibt, könnte an der Verwirrung über geeignete Kontrollansätze liegen. 28 Prozent der Befragten wollen die Inhaltskontrolle in den Händen der Endanwender belassen. Das wird das Problem aber nicht lösen. 56 Prozent möchten lieber ein Gleichgewicht zwischen Endnutzern und automatisierter Compliance-Kontrolle der Inhalte erhalten. Nur 14 Prozent wollen die Endanwender an die Hand nehmen und einen vollautomatisierten Prozess für die Kontrolle von Inhalten einsetzen.

>> Erschreckenderweise glauben viele der befragten Unternehmen (42 Prozent) noch immer, dass die Umwandlung eines Dokuments in das PDF-Format es sicher genug für den Versand macht. Das Gegenteil ist der Fall: Während PDF noch immer als das beliebteste Format gilt, um wichtige Dokumente für viele Empfänger zugänglich zu machen oder online zu stellen, können PDF-Dokumente dennoch sensible Informationen enthalten – sowohl sichtbar im Text, als auch in den mit der Datei verbundenen Metadaten.

Frank Böning, Sales Director EMEA bei Workshare, sagt: "Mitarbeiter werden immer mobiler. Unternehmen müssen deshalb Richtlinien und Mechanismen einrichten, die durchsetzen, dass sensible Informationen nicht über E-Mails, Anhänge oder tragbare Geräte wie USB-Sticks, MP3-Player oder andere mobile Geräte nach außen gelangen können. Die Tatsache, dass viele Unternehmen keine automatisierte Lösung besitzen, um Richtlinien zur intelligenten Eindämmung von Datenlecks durchzusetzen, ist alarmierend."

"Eine Reihe aufgedeckter Schwachstellen bei der Kriegsveteranenbehörde der USA, bei AT&T, Google, General Electric und anderen führenden Institutionen und Unternehmen bieten Beispiele für dringenden Handlungsbedarf", so Frank Böning weiter. "Bei den heutigen behördlichen und rechtlichen Rahmenbedingungen können es sich Manager nicht mehr leisten, einfach darauf zu vertrauen, dass ihre Mitarbeiter richtig handeln, oder schlimmer noch, einfach keinen Fehler machen, durch den kritische Informationen an die Öffentlichkeit gelangen. Aktuelle Presseberichte und damit verbundene PR-Albträume von Europäischen Unternehmen beweisen, welche Dynamik hinsichtlich sensibler Daten entstehen kann."

Die Workshare-Umfrage zu Informationsrisiken hat Loudhouse Research im August 2006 durchgeführt. Im Auftrag von Workshare befragte die unabhängige Marktforschungsberatung mit Sitz in Großbritannien 200 Sicherheits- und Risikoexperten in Unternehmen mit über 1.000 Mitarbeitern in Deutschland, Großbritannien, Japan und Australien. Die Teilnehmer der Umfrage waren verantwortlich für Informationssicherheit, Risiko oder Compliance bei Finanzdienstleitungsunternehmen, im Einzelhandel, im öffentlichen Sektor oder im Bereich Business Services. (Workshare: ra)