Vertrauen ist gut, Kontrolle ist besser

Viele Unternehmen gehen nachlässig mit den Themen Compliance, IT-Sicherheit und  Datenmissbrauch durch die eigenen Mitarbeiter um. Zwar haben die meisten Unternehmen Regeln für den Umgang mit Internet und E-Mail am Arbeitsplatz. Dort hören dann aber die Sicherheitsmassnahmen schon auf: Ob die Regeln von den Mitarbeitern eingehalten werden, kontrollieren die wenigsten Firmen. 

Zwar sind dies die Ergebnisse einer Studie von Kroll Ontrack und CMS Hasche Sigle in Deutschland. Man darf aber wohl davon ausgehen, dass die sich die Problematik in der Schweiz ganz ähnlich stellt. Reinhold Kern von Kroll Ontrack erklärt:

„Die Gefahr, Opfer von Computerkriminalität zu werden, ist für Unternehmen durchaus real. Die Kriminalstatistik 2009 weist fast 75’000 Fälle aus, mit steigender Tendenz. Oft entwenden, sabotieren oder manipulieren Täter aus den eigenen Reihen die Daten. Unsere Studie zeigt, dass Unternehmen sich gegen Fehlverhalten ihrer Mitarbeiter noch stärker absichern müssen.“

Laut der Befragung haben zwar 87 Prozent der Unternehmen Regelungen zum Umgang mit e-Mail und Internet aufgestellt, 88 Prozent blockieren bestimmte Websites, beispielsweise Erotikseiten. Erstaunlicherweise kontrolliert die grosse Mehrheit der Unternehmen aber nicht, ob die aufgestellten Regeln auch wirklich eingehalten werden.

Ohne Kontrollen bleiben Richtlinien ein stumpfes Instrument. Viele Unternehmen dulden private Internetnutzung. Wenn Mitarbeiter aber übermässig viel privat surfen oder vertrauliche Informationen nach aussen tragen, geben nur regelmässig kontrollierte Vorgaben eine Handhabe, um dagegen vorzugehen.
Für den Fall, dass Mitarbeiter sich tatsächlich illegal verhalten, sind die befragten Unternehmen ebenfalls schlecht vorbereitet: Eine „Whistleblowing-Hotline“, also eine Instanz, über die Mitarbeiter Fehlverhalten  melden können (auch anonym), gibt es nur in 37 Prozent der Unternehmen. Einen Notfallplan oder eine Eskalationsrichtlinie bei Verdacht auf illegale Handlungen hat weniger als die Hälfte der Unternehmen eingerichtet, nämlich nur 44 Prozent.
Zusammenfassend stellt die Studie in deutschen Unternehmen erhebliche Lücken beim Schutz vor Datenmissbrauch fest. Unternehmen unterschätzen die Risiken aus der privaten Internetnutzung, der Möglichkeit zum Datendiebstahl oder dem einfachen Zugriff der Mitarbeiter auf  Unternehmensnetzwerke.

Um das Unternehmen effektiv gegen diese Risiken zu schützen, sollten Unternehmen eine Reihe von Massnahmen ergreifen. An erster Stelle stehen dabei Richtlinien und Betriebsvereinbarungen für Internetnutzung und den Umgang mit sensiblen Daten – und deren regelmässige Kontrolle.