IT-Sicherheit in NRW - Horst Görtz Institut für IT-Sicherheit - Ruhr ...

Ausgestaltung der Systeme gibt. Die genaue Ausgestaltung richtet sich vielmehr
nach den individuellen Eigenschaften und konkreten Erfordernissen des betreffenden
Unternehmens. 22
Gemäß KonTraG müssen in einem Risikomanagementsystem sämtliche Risiken
vollständig erfasst und bewertet werden. 23 Hierunter fallen insbesondere die IT-
Risiken, da diese den Fortbestand der Gesellschaft ernsthaft gefährden können. So
haben einer amerikanischen Studie zufolge 68 % aller Unternehmen in den USA, die
einen IT-Ausfall von mehr als sieben Tagen zu beklagen hatten, den Betrieb nie
wieder aufnehmen können. 24 Angesichts dieser Zahlen ist es umso erstaunlicher,
dass in den Unternehmen massive Defizite bei der Wahrnehmung und Kontrolle der
IT-Risiken bestehen wie bspw. die /Microsoft-Sicherheitsstudie 2006 belegt. 25
Dabei liegt es auch im Eigeninteresse der IT-Verantwortlichen für ein angemessenes
IT-Sicherheitsniveau zu sorgen, da mit dem Inkrafttreten des KonTraG strafrechtlich
relevante Verstöße im Aufgabenkreis eines IT-Verantwortlichen neben der Haftung
mit dem Privatvermögen auch eine Haftstrafe nach sich ziehen können. 26
Oftmals ist den IT-Verantwortlichen jedoch nicht bewusst, wie weit ihre persönliche
Haftung tatsächlich geht. So haben 52 % der befragten IT-Entscheider im Rahmen
der /Microsoft Sicherheitsstudie 2004 angegeben, dass ihnen die Inhalte des
KonTraG bekannt seien aber nur 35 %, dass dieses Gesetz für ihren
Aufgabenbereich relevant ist. Bei der Sicherheitsstudie von 2006 waren es immerhin
schon 70 % bzw. 54 % der Befragten. 27
Um den Anforderungen des KonTraG zu genügen und die Gefahr der persönlichen
Haftung auszuschließen, ist es für die IT-Verantwortlichen unumgänglich, sich mit
der Gesetzeslage zu befassen, bei Defiziten im eigenen Zuständigkeitsbereich die
Vorgesetzten zu informieren und bezüglich erforderlicher Gegenmaßnahmen
umfassend zu beraten. 28
22
Vgl. Romeike (2003c), S. 79; Schöne (2003), S. 93.
23
Vgl. Schäffter (2002), S. 10ff.
24
Vgl. Công Bùi (2005), S. 12.
25
Vgl. /Microsoft (2006a), S. 24ff.
26
Vgl. Schäffter (2002), S. 10ff.
27
Vgl. /Microsoft (2004b), S. 6ff.; /Microsoft (2006b), S. 40ff.
28 Vgl. Schäffter (2002), S. 13.
8