Konstruktionszeichnungen, Rezepturen, Kalkulationen, Kundenlisten, Maschinenprogramme: In Industrieunternehmen steckt ein großer Teil des Wertes in Informationen. Informationssicherheit sorgt dafür, dass diese Informationen nicht abfließen, nicht verfälscht werden und verfügbar bleiben. Spätestens wenn ein Kunde einen Nachweis verlangt oder ein Verschlüsselungsangriff die Produktion stoppt, wird das Thema zur Chefsache.
Die drei Schutzziele
| Schutzziel | Bedeutung | Beispiel aus der Industrie |
|---|---|---|
| Vertraulichkeit | Nur Berechtigte haben Zugriff | CAD-Daten eines Kunden gelangen nicht an Dritte |
| Integrität | Informationen sind vollständig und unverfälscht | Ein CNC-Programm oder eine Stückliste wird nicht unbemerkt verändert |
| Verfügbarkeit | Informationen und Systeme sind nutzbar, wenn sie gebraucht werden | ERP und Fertigungssteuerung laufen, Backups lassen sich zurückspielen |
Fazit der Tabelle: Je nach Unternehmen wiegen die Schutzziele unterschiedlich schwer. Für einen Zulieferer mit Kundendaten steht oft die Vertraulichkeit im Vordergrund, für eine verkettete Fertigung die Verfügbarkeit.
Manche Modelle ergänzen weitere Ziele wie Authentizität (Herkunft ist echt) oder Nachvollziehbarkeit (wer hat was geändert). Sie lassen sich aber meist den drei Grundzielen zuordnen.
Informationssicherheit, IT-Sicherheit, Cybersicherheit und Datenschutz
Die Begriffe werden oft vermischt. Für die Praxis hilft diese Abgrenzung:
| Begriff | Schützt | Schwerpunkt |
|---|---|---|
| Informationssicherheit | Alle Informationen, digital und analog | Organisation, Prozesse, Technik und Menschen |
| IT-Sicherheit | IT-Systeme, Netzwerke, Software | Technische Schutzmaßnahmen |
| Cybersicherheit | Systeme und Daten gegen Angriffe aus dem Netz | Abwehr, Erkennung, Reaktion |
| OT-Sicherheit | Steuerungen, Maschinen, Produktionsnetze | Verfügbarkeit und sichere Funktion der Anlagen |
| Datenschutz | Personenbezogene Daten | Rechte der betroffenen Personen nach DSGVO |
Fazit der Tabelle: Informationssicherheit ist der Oberbegriff. Datenschutz überschneidet sich mit ihr, verfolgt aber ein anderes Ziel: den Schutz von Menschen, nicht von Unternehmenswerten.
Wie Informationssicherheit organisiert wird: das ISMS
Einzelne Maßnahmen wie Virenschutz oder Firewall reichen auf Dauer nicht. Ein Informationssicherheits-Managementsystem (ISMS) legt fest, wer verantwortlich ist, welche Risiken bestehen, welche Maßnahmen gelten und wie regelmäßig geprüft wird, ob sie wirken. Es folgt einem Kreislauf aus Planen, Umsetzen, Überprüfen und Verbessern.
Für Unternehmen in Deutschland gibt es drei verbreitete Bezugsrahmen:
- ISO/IEC 27001: internationale Norm für ein ISMS mit risikobasiertem Ansatz. Sie ist zertifizierbar und bei Kunden weltweit bekannt.
- BSI IT-Grundschutz: Methode und Maßnahmenkatalog des Bundesamts für Sicherheit in der Informationstechnik. Er ist kostenlos verfügbar und sehr konkret. Eine Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz ist möglich.
- TISAX: Prüf- und Austauschverfahren der Automobilindustrie, das auf ISO 27001 aufbaut und branchenspezifische Anforderungen ergänzt.
Welcher Rahmen passt, hängt vor allem davon ab, was Kunden verlangen und wie groß das Unternehmen ist. Für viele Mittelständler ist ein pragmatischer Einstieg sinnvoller als ein sofortiges Zertifizierungsprojekt.
Warum das Thema für Industriebetriebe wichtiger wird
- Kundenanforderungen: Automobilhersteller, Großkunden und öffentliche Auftraggeber verlangen zunehmend Nachweise von ihren Lieferanten.
- Regulierung: Mittlere und große Unternehmen bestimmter Branchen, darunter Maschinenbau und Elektroindustrie, fallen unter NIS2 und müssen Risikomanagementmaßnahmen umsetzen. Für Hersteller vernetzter Produkte kommen Anforderungen aus Maschinenverordnung und Cyber Resilience Act hinzu.
- Vernetzte Produktion: Fernwartung, IIoT und verbundene Büro- und Produktionsnetze vergrößern die Angriffsfläche.
- Neue Werkzeuge: Unkontrollierte Nutzung von KI-Diensten (Schatten-KI) kann vertrauliche Informationen nach außen tragen.
Ein realistischer Einstieg
- Kronjuwelen bestimmen: Welche Informationen und Systeme sind für Lieferfähigkeit und Wettbewerb entscheidend?
- Verantwortung festlegen: Eine benannte Person mit Rückendeckung der Geschäftsführung.
- Schnelle Verbesserungen umsetzen: Mehr-Faktor-Anmeldung für Fernzugänge und E-Mail, getestete Backups, aktuelle Updates, getrennte Netze für Büro und Produktion.
- Regeln schriftlich festhalten: Zugriffsrechte, Umgang mit Kundendaten, Nutzung von Cloud- und KI-Diensten.
- Mitarbeiter schulen: Viele Angriffe beginnen mit einer gefälschten E-Mail.
- Schrittweise zum ISMS: Risiken bewerten, Maßnahmen planen und regelmäßig überprüfen, bei Bedarf bis zur Zertifizierung.
Wie OT-Sicherheit, ISO 27001 und TISAX im industriellen Mittelstand zusammenspielen, vertieft der geplante Magazinbeitrag zur Cybersicherheit in der Industrie.
Häufige Fragen
Was ist Informationssicherheit einfach erklärt?
Informationssicherheit bedeutet, dass wichtige Informationen eines Unternehmens nur von Berechtigten gesehen werden, nicht unbemerkt verändert werden und zur Verfügung stehen, wenn sie gebraucht werden. Dazu gehören technische Maßnahmen wie Backups und Zugriffsrechte, aber auch Regeln, Schulungen und der Schutz von Papierunterlagen.
Was sind die drei Schutzziele der Informationssicherheit?
Vertraulichkeit, Integrität und Verfügbarkeit. Vertraulichkeit heißt, dass nur Berechtigte Zugriff haben. Integrität heißt, dass Informationen vollständig und unverfälscht sind. Verfügbarkeit heißt, dass Informationen und Systeme nutzbar sind, wenn sie gebraucht werden. Im Englischen spricht man von der CIA-Triade.
Was ist der Unterschied zwischen Informationssicherheit und IT-Sicherheit?
IT-Sicherheit schützt Computer, Netzwerke und Software. Informationssicherheit ist weiter gefasst und schützt alle Informationen, also auch Zeichnungen auf Papier, Gespräche oder das Wissen einzelner Mitarbeiter. IT-Sicherheit ist damit ein Teil der Informationssicherheit.
Was ist ein ISMS?
Ein Informationssicherheits-Managementsystem (ISMS) ist das organisatorische Gerüst, mit dem ein Unternehmen Informationssicherheit plant, umsetzt, überprüft und verbessert. Es legt Verantwortlichkeiten, Risiken, Maßnahmen und Kontrollen fest. Die bekannteste Norm dafür ist ISO/IEC 27001.
Muss ein mittelständisches Industrieunternehmen nach ISO 27001 zertifiziert sein?
Eine allgemeine gesetzliche Pflicht zur Zertifizierung gibt es nicht. Viele Kunden verlangen aber einen Nachweis, etwa ISO 27001 oder in der Automobilindustrie TISAX. Unternehmen, die unter NIS2 fallen, müssen Risikomanagementmaßnahmen umsetzen; ein Zertifikat ist dafür nicht vorgeschrieben, ein ISMS hilft aber bei der Umsetzung und beim Nachweis.
Wo fängt man mit Informationssicherheit an?
Mit einer Übersicht, welche Informationen und Systeme für das Geschäft kritisch sind, etwa Konstruktionsdaten, ERP und Maschinensteuerungen. Danach folgen schnelle Verbesserungen wie Mehr-Faktor-Anmeldung, getestete Backups und klare Zuständigkeiten, bevor ein vollständiges ISMS aufgebaut wird.
Verwandte Begriffe
Quellen
Zuletzt aktualisiert: · Redaktion Industrie Digital Verbund · Alle Begriffe im Glossar