Geschäftsführer und Vorstände können persönlich haftbar gemacht werden, wenn sie in ihrem Unternehmen nicht ausreichend für IT-Sicherheit sorgen. Darauf weist der Bundesverband Informationswirtschaft, Telekommunikation und neue Medien (BITKOM) hin. Viele Geschäftsführer räumen sicherer Informationstechnik nicht den erforderlichen Stellenwert ein, obwohl diese für den Unternehmenserfolg immer wichtiger wird. "IT-Sicherheit wird in der Regel leider erst nach einem Schadensfall Chefsache", meint Jürgen Gallmann, Präsidiumsmitglied des BITKOM. Zu der Frage der persönlichen Haftung kämen im Schadensfall noch sonstige Folgen wie der Datenverlust. Auch weiche Faktoren wie das Unternehmensimage können stark in Mitleidenschaft gezogen werden. "Eine sichere, zuverlässige IT-Infrastruktur ist zu einem Faktor für den strategischen Erfolg eines Unternehmens geworden", sagte Gallmann.
Die vielen möglichen IT-Risiken für die verschiedenen Ebenen und Rechtsformen von Unternehmen sind für die Verantwortlichen nur schwer zu überblicken. Der BITKOM hat in einer Haftungsmatrix die unterschiedlichen rechtlichen Regelungen und ihre jeweiligen Verantwortlichen in den Unternehmen umfassend dargestellt. "Bei der Frage, wer für den jeweiligen Regelungsbedarf verantwortlich ist, taucht überwiegend die Geschäftsführung auf", sagte Gallmann.
Um Sicherheits- und Haftungsrisiken vorzubeugen, sollten Unternehmer ein Sicherheitskonzept entwickeln lassen, dies verabschieden und auch intern kommunizieren. Ein solches Konzept müsse jedoch das ganze Unternehmen mit sämtlichen Geschäftsprozessen berücksichtigen. "Entscheidend ist, dass Unternehmen einen ganzheitlichen Ansatz verfolgen: weg von der Einzel-Kurierung lokaler Symptome hin zu einem umfassenden Konzept", sagte Gallmann. So reiche die Installierung von Antiviren-Software, Spam-Filtern und Firewalls nicht aus. Denn auch höhere Gewalt wie Feuer und Überschwemmungen, technisches Versagen wie Softwarefehler und Stromausfall, Vorsatz wie Diebstahl und Hacking, sowie Organisationsdefizite wie unklare Vorschriften oder ungeschulte Mitarbeiter können zu IT-Schadensfällen führen.
"Doch obwohl die Abhängigkeit vieler Unternehmen von Webauftritt und IT-Infrastruktur zunimmt und bei IT-Problemen die Schäden daher immer höher ausfallen, haben viele mittelständische Unternehmen in den vergangenen Jahren in diesem Bereich nur sehr zurückhaltend investiert", betonte Gallmann. Häufig müsse die vorhandene IT-Infrastruktur nach- und aufgerüstet werden, beim Thema IT-Sicherheit bestehe ein struktureller Nachholbedarf.
Die gesetzlichen Regelungen zur IT-Sicherheit umfassen jedoch nicht nur das Haftungsrecht, sondern auch Steuer- und sogar Strafrecht, die Strafen reichen vom Bußgeld bis zur Gefängnisstrafe. "IT-Sicherheit ist ein Querschnittsthema quer durch alle Branchen, Wertschöpfungs- und Politikbereiche", meint daher Walter Fumy, Vorsitzender des BITKOM-Arbeitskreises IT-Sicherheitsmanagement. Fumy stellte neben der Haftungsmatrix zwei weitere konkrete Hilfen und Leitfäden des Verbandes vor: zum einen für Unternehmen, die Anwendungen auslagern wollen (ASP-Sicherheitsleitfaden) und zum anderen für Unternehmen, die ihre IT nach einem der zahlreichen Sicherheitsstandards zertifizieren lassen wollen.
