Sie sind hier: Startseite > Arbeitsfelder > Spionageabwehr > Archiv  > Archiv 2017 > Know-how-Schutz in Wirtschaft und Wissenschaft erfordert ein ganzheitliches Sicherheitsmanagement

Know-how-Schutz in Wirtschaft und Wissenschaft erfordert ein ganzheitliches Sicherheitsmanagement

Spionageabwehr/Wirtschaftsschutz      12 | 2017

Deutschland steht durch seine große Wirtschaftskraft, die vielen innovativen Unternehmen und die weltweite Anerkennung deutscher Wissenschafts- und Forschungsleistungen im Zentrum nachrichtendienstlicher Aufklärungsbestrebungen aus dem Ausland. Angriffsmöglichkeiten sowie das unbefugte Aneignen von Know-how und Technologien sind vielfältig. Oftmals wissen die Unternehmen nicht, dass sie schon im Fadenkreuz stehen. Der bundesweite Gesamtschaden durch Wirtschaftsspionage wird mit jährlich rund 55 Milliarden Euro beziffert.
Die digitale Vernetzung und der globale Datenaustausch schaffen neue Verwundbarkeiten. Folglich müssen die Unternehmen ihre „Kronjuwelen“ schützen. Vorrangiges Ziel ist es, sie für die Gefahr des ungewollten Know-how-Abflusses zu sensibilisieren.

Immer ausgereiftere Angriffstechniken sind zu einer massiven Bedrohung für IT-Systeme, Kommunikationsstrukturen und Daten geworden. Viren, Würmer, Trojaner, DDoS-Attacken oder leistungsstarke Botnetze werden für Spionage- und Sabotagezwecke genutzt. Die Täter arbeiten für ausländische Nachrichtendienste, konkurrierende Unternehmen oder die organisierte Kriminalität (Banden); ebenso kann es sich aber auch um Kunden, Lieferanten, externe Dienstleister und Berater sowie um eigene derzeitige oder auch ehemalige Mitarbeiter handeln. Neben Firmennetzwerken, Produktions- und Telekommunikationsanlagen bieten auch mobile Endgeräte (z. B. Smartphone, Tablet-PC, Notebook) durch unzureichende Konfigurationen der Sicherheitseinstellungen oder die Nutzung öffentlicher W-LAN-Hotspots die Möglichkeit eines Datenzugriffs.

Die Verantwortlichen der Unternehmen müssen sich Gedanken über mögliche Angriffsszenarien machen, um sich auf diese Bedrohungen einzustellen und sich dagegen zu schützen. Hierbei ist abzuwägen, inwieweit Cybersicherheit und Notfallplanung ineinandergreifen können.

Neben einem umfassenden Grundschutz erfordert jedes Schutzkonzept eine Analyse, welches die wirklich schützenswerten Daten sind, wo diese liegen und wie ein unautorisierter Zugriff effektiv zu verhindern ist. Nur auf dieser Grundlage lassen sich effiziente Maßnahmen für den Schutz der relevanten Daten ableiten. Die Maßnahmen müssen zudem regelmäßig auf ihre Wirksamkeit gegen aktuelle Bedrohungen überprüft werden.

Eine Möglichkeit für Unternehmen, ein Bewusstsein für ihr Sicherheitsniveau zu entwickeln, ist der Einsatz von Ethical Hackers (auch „Penetration Tester“ genannt), die im Auftrag des Kunden Hackerangriffe simulieren, um Sicherheitslücken aufzudecken. Viele Angriffsstrategien setzen auf die Unachtsamkeit und Nachlässigkeit der Mitarbeiter im Unternehmen. Wer unbedarft eine E-Mail aus unbekannter Quelle, deren Anhang oder Links öffnet, kann sich unbeabsichtigt zum Helfer der Angreifer machen. Ziel dieser Angriffsform (des sogenannten Phishings) ist es, unbemerkt Schadsoftware zu installieren und zu starten. Die Sensibilisierung und die kontinuierliche Schulung der Mitarbeiter im Hinblick auf Sicherheit und relevante Gefahren gehören daher unabdingbar zu jedem Security-Konzept. Wichtig ist die regelmäßige Information von Mitarbeitern, um diese mit den relevanten Aspekten vertraut zu machen, damit sie aufmerksam bleiben und stets mit Risiken rechnen.

KMU im Fokus

Umfangreiche Studien belegen, dass insbesondere kleine und mittelständische innovative Unternehmen (KMU) gefährdet sind. Verstärkt wird dies durch mangelndes Sicherheitsbewusstsein. So können Mitarbeiter sehr schnell zu fahrlässig oder irrtümlich handelnden Innentätern werden. Innentäter sind in Anbetracht ihrer Zugangsmöglichkeiten sowie ihres Wissens über innerbetriebliche Abläufe in der Lage, Unternehmen erheblichen Schaden zuzufügen. Unabhängig vom Status im Unternehmen kann jeder zum Innentäter werden – vom Hausmeister bis zum Manager.
Die größten Risiken gehen vom vorsätzlich handelnden Mitarbeiter aus, der häufig eigene finanzielle Interessen verfolgt. Seine Beweggründe können Unzufriedenheit am Arbeitsplatz oder eine fehlende Identifikation mit dem Unternehmen sein. Mögliche Anzeichen für eine Spionagetätigkeit sind eine auffällige Neugier, das regelwidrige Einbringen und Nutzen mobiler Endgeräte oder Datenträger, auffällige Veränderungen im persönlichen Umfeld und verdächtige Kontakte zu Konkurrenzunternehmen oder zu Vertretungen ausländischer Staaten. Vor der Einstellung neuer Mitarbeiter ist deshalb eine gewissenhafte Prüfung der Bewerbungsunterlagen unerlässlich. Dabei ist auch auf Lücken im Lebenslauf oder auf möglicherweise gefälschte Unterlagen zu achten.

Besonders strenge Maßstäbe sind bei Bewerbern aus Ländern mit besonderen Sicherheitsrisiken anzulegen. Hier sollte die Prüfung auch folgende Punkte berücksichtigen: Hat der Bewerber eine berufliche oder politische Vergangenheit bei staatlichen Stellen, Forschungseinrichtungen oder dem Militär? Gibt es, insbesondere bei Bewerbern aus Ländern mit besonderen Sicherheitsrisiken, Anhaltspunkte für einen nachrichtendienstlich beeinflussten Lebenslauf – z. B. frühere Kontakte zu einem Nachrichtendienst? Bestehen familiäre Bindungen, die Nachrichtendienste als Druckmittel einsetzen können?

Leichtfertig, beispielweise in sozialen Netzwerken, veröffentlichte Firmeninterna können ebenfalls einen Angriffsweg bieten. Die Preisgabe persönlicher Daten offenbart oft eine Vielzahl von Vorlieben und Schwächen eines Menschen. Für Nachrichtendienste fremder Staaten bietet diese Fülle an Details ideale Möglichkeiten, um gezielt nach interessanten Personen zu suchen. Die Sensibilisierung aller Mitarbeiter für den richtigen Umgang mit sozialen Netzwerken ist deshalb außerordentlich wichtig. Informationen zum Arbeitgeber, aktuellen Projekten und besonderen Problemstellungen gehören aus Know-how-Schutzgründen nicht an die Öffentlichkeit. Oft werden auch in scheinbar unverbindlichen Gesprächen vertrauliche Informationen abgeschöpft, diese Methode gehört zum sogenannten Social Engineering. Die Kontakte entstehen häufig auf Messen und Veranstaltungen, in sozialen Medien, über fingierte E-Mails oder inszenierte Forschungsangebote.

Nicht jeder, der sich für die Produkte einer Firma interessiert, hat Kaufabsichten. Täter versuchen, Kenntnisse über Produktionsprozesse zu gewinnen, um sich dadurch einen Wettbewerbsvorteil zu verschaffen. Mit der systematischen Auswertung frei zugänglicher Informationen wie Firmenpräsentationen, Patent- und Lizenzunterlagen, Produktbeschreibungen und Forschungsberichten können Täter wertvolle Informationen erlangen.

Unabdingbar: Besuchermanagement

Im Geschäftsleben ist es unumgänglich, unterschiedlichsten Personen Zugang zum Unternehmen zu gewähren. Dazu zählen neben Kunden und Geschäftspartnern auch Zulieferer, Praktikanten, Werkstudenten, Delegationen, Dienstleister und weitere Fremdfirmen. Insbesondere dann, wenn Externe Zugriffe auf Firmeninterna haben, ist eine hohe Sensibilität erforderlich. Fremde Nachrichtendienste und Konkurrenten können dies gezielt ausnutzen.

Ein konsequentes Besuchermanagement ist eine wichtige Voraussetzung. Zu den grundlegenden Sicherheitsmaßnahmen gehören eine zentralen Anmeldung von betriebsfremden Personen, die Einweisung in interne Vorschriften und die Ausstellung eines Besucherausweises. Hinzu kommt die Begleitung durch einen Firmenangehörigen über den gesamten Besuchszeitraum, vom Betreten bis zum Verlassen des Firmengeländes. Ein Konzept, das auch den Umgang mit Verstößen gegen diese Sicherheitsstandards regelt, ist ebenfalls ein unerlässliches Mittel für die Unternehmenssicherheit.

Verhalten auf Auslandsreisen

Im Zuge der Globalisierung gehören Geschäftsreisen und Auslandsaufenthalte zum Unternehmensalltag. Der Schritt, neue Märkte in anderen Ländern zu erschließen, eröffnet Unternehmen eine Vielfalt an wirtschaftlichen Chancen. Doch mit diesen neuen Möglichkeiten entsteht auch eine Vielzahl an Sicherheitsrisiken.

Denkbare Gefahren im Ausland sind die Überwachung des Internets, der Telekommunikation sowie der Postwege, die Sperrung bestimmter Internetangebote, Manipulationen mobiler Endgeräte sowie Datenträger und Gepäckdurchsuchungen. Denkbar sind aber auch die Schaffung kompromittierender Situationen, willkürliche staatliche Repressionen oder die Verhinderung der Ausreise, beispielsweise durch fingierte Verkehrsunfälle.

Die rechtliche Situation im Gastland kann sich erheblich von derjenigen in Deutschland unterscheiden. Fremde Nachrichtendienste handeln häufig mit umfassenden Exekutivbefugnissen. Vor der Reise sollten deshalb Recherchen zur Gefährdungs- und Sicherheitslage sowie zu den gesetzlichen Vorgaben im Zielland erfolgen.

Während der Reise ist es sinnvoll, bei Kontaktversuchen und Geschenken oder gegenüber Dienstleistern des Gastlandes vorsichtig zu sein. Vor allem sensible Informationen dürfen nicht aus der Hand gegeben werden; diese sind auch im Hotelzimmer und -safe nicht sicher. Auf mobilen Endgeräten sollten keine vertraulichen Firmendaten gespeichert sein, und die Kommunikation ist auf das notwendige Maß zu reduzieren. Hinsichtlich der Nutzung von Verschlüsselungsprodukten empfiehlt es sich, vor der Reise zu klären, ob die Nutzung im Zielland erlaubt ist. Bei Verdacht auf Datenverlust und ungewöhnlichen Vorkommnissen sollte das Unternehmen im Heimatland sofort informiert und gegeben falls Sicherheitsbehörden eingeschaltet werden.

Zu einem wirksamen Schutzkonzept gehört es, die Werte eines Unternehmens zu identifizieren, Risiken festzustellen, Präventionsmaßnahmen zu ergreifen, Gefahren zu minimieren, Gegner, Angriffe sowie Methoden zu erkennen und Beratungsstellen zu kontaktieren.

Spionageabwehr in Baden-Württemberg

Die Spionageabwehr ist eine der Kernkompetenzen des Verfassungsschutzes. Das Landesamt für Verfassungsschutz Baden-Württemberg trägt dem mit seinem hier entwickelten Informationsschutzkonzept Rechnung. Es verfolgt damit einen ganzheitlichen Ansatz. Bei der konkreten Beratung von Behörden, Wirtschaftsunternehmen und Forschungseinrichtungen haben sich mittlerweile komplexe Fragestellungen des Informationsschutzes zu einem besonderen Schwerpunkt entwickelt.

Zum Präventions- und Informationsangebot gehören:

 Vorträge und Veranstaltungen zu ausgewählten Themen des Wirtschaftsschutzes
 Vertrauliche themen- und risikobezogene Informationsgespräche mit Unternehmen und Forschungseinrichtungen
 Kompetente Beratung und Unterstützung beim Verdacht auf Wirtschaftsspionage
 Aktuelle Informationen auf der Website des Landesamts in der Rubrik Wirtschaftsspionage/Wirtschaftsschutz
 Herausgabe themenbezogener Faltblätter und Broschüren
 Unterstützung bei der Erstellung eines individuellen Sicherheitskonzepts. Dieses setzt sich aus den klassischen Basis-Bausteinen „Personal“, „Organisation“, „Materielle (baulich-technische) Sicherheit“ und „IT-Sicherheit/IT-Geheimschutz“ zusammen.

Wirtschaftsschutz ist die Summe aller Maßnahmen von Politik, Behörden und Wirtschaft zur Minimierung von Risiken bei der Unternehmenssicherheit. Aufgrund der gestiegenen Bedrohungen in den letzten Jahren, vor allem im Zusammenhang mit der stetig wachsenden Digitalisierung, ist es wichtig, die Kräfte von Staat und Wirtschaft zu bündeln und die Schutzmaßnahmen aufeinander abzustimmen. Diese Zusammenarbeit kann zukünftige Delikte und weitere Schäden verhindern.

Durch das Beratungs-und Unterstützungsangebot des Landesamts für Verfassungsschutz Baden-Württemberg können Unternehmen und Forschungseinrichtungen für Spionagerisiken sensibilisiert werden. Die Entwicklung individueller und wirkungsvoller Schutzkonzepte soll einem illegalen Informations- und Technologieabfluss entgegenwirken. Darüber hinaus umfasst die Beratung auch die Aufklärung über Risiken wie Konkurrenzausspähung, Proliferation, Sabotage, Extremismus und Terrorismus.

Eine Kontaktaufnahme mit der Spionageabwehr ist jederzeit möglich und wird auf Wunsch auch vertraulich behandelt:

Postanschrift: Taubenheimstraße 85A, 70372 Stuttgart
Telefon: 0711/95 44-301
E-Mail: info@lfvbw.bwl.de

Darüber hinaus bietet das Webportal der bundesweiten „Initiative Wirtschaftsschutz“ aktuelle Informationen und Einschätzungen zu relevanten Aspekten der Unternehmenssicherheit und des Schutzes des Wirtschaftsstandorts Deutschland. Weitere Bestandteile des Angebots sind Hinweise zu Risikoszenarien und praxisorientierte Handlungsempfehlungen. Ein Veranstaltungskalender gibt Auskunft über Messen, Seminaren und fachbezogene Veranstaltungen.

Das Informationsportal Wirtschaftsschutz bündelt die Expertise aller beteiligten Behörden und Verbände zur Unternehmenssicherheit im Internet auf neuartige Weise. Es ist der folgender Webadresse www.wirtschaftsschutz.info erreichbar: