Cybersecurity als Pflicht der Geschäftsleitung

veröffentlicht am 22. November 2018

Die Digitalisierung birgt Sicherheitsgefahren, welche zu einem nicht unerheblichen Schaden führen können. Die Gegenmaßnahmen und Instrumente zum Umgang mit den konkreten Gefahren sollten, da sie zunehmend im Fokus der Gesetzgebung liegen, zum Repertoire einer jeden Geschäftsleitung gehören. Dieser Artikel geht der Frage nach, ob sich eine konkrete Handlungspflicht für die Ge­schäfts­leitung ergibt, wie dieser (wenn ja) nachzukommen ist und ob es Rest- und Haftungsrisiken gibt, welche durch eine Versicherung abgedeckt werden können.
 

• Welches generelle Bedrohungspotenzial ist gegeben? »

• Welcher gesetzliche Rahmen in Bezug auf IT-Sicherheit ist gegeben? »

• Wie kompliziert sind nun Managementsysteme sowie Instrumente und Maßnahmen? »

• Leiten sich hieraus Pflichten der Geschäftsleitung ab? »

• Kann es zu einer persönlichen Haftung kommen? »

• Ist Versicherungsschutz denkbar? »

• Fazit »

Die Digitalisierung ist in aller Munde. Schritt für Schritt werden Produkte, Leistungen und Prozesse so mit Informationstechnologie unterlegt, dass von einer hohen Abhängigkeit gesprochen werden kann. Selbst in Unternehmen, welche gedanklich weit von Auswirkungen potenziell disruptiver Digitalisierungsprozesse entfernt sind, ist oftmals die Durchdringung von IT so fortgeschritten, dass ein IT-Ausfall verheerend wäre. Es gibt kaum mehr ein Unternehmen, welches sich nicht sinnvollerweise mit den Bedrohungen von innen heraus und aus dem sog. Cyber-Raum auseinandersetzen muss.

Welches generelle Bedrohungspotenzial ist gegeben?

Eine abschließende Definition bzw. Auflistung von Bedrohungsszenarien ist im Rahmen dieser Abhandlung nur schwer möglich. Als Überblick dient eine Dreiteilung in generelle Schadsoftware, gezielte Angriffe von außen und von innen.

Der Schaden lässt sich i.d.R. immer in folgende Kategorien einteilen: Kosten eines Betriebsausfalls nebst Wiederanlauf, Verlust von Geschäftsdaten, Erpressung, Geldbußen und letztlich Imageverlust.

Dazu kommen häufig die Kosten einer rechtlichen Auseinandersetzung. Statistiken sprechen von jährlich zweistelligen Milliardenbeträgen als Schaden aus Sicherheitsvorfällen in Deutschland, Tendenz steigend!

Diese steigt, weil der Grad der Digitalisierung zunimmt und sich die Angriffstechniken sowie die dahinte­rstehenden Organisationen ebenso immer weiterentwickeln. Aus unternehmerischer Sicht darf es ein „Weiter so” nicht geben.

Welcher gesetzliche Rahmen in Bezug auf IT-Sicherheit ist gegeben?

• IT-Sicherheitsgesetz zur Erhöhung der Sicherheit informationstechnischer Systeme und zum Schutz von kritischen Infrastrukturen (KRITIS)
• EU-Datenschutz-Grundverordnung (EU-DSGVO)
• Handels- und steuerrechtliche IT-Sicherheitspflichten über die Grundsätze zur ordnungsgemäßen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff (GoBD)

• Bankaufsichtsrechtliche Anforderungen an die IT – BAIT
• Versicherungsrechtliche Anforderungen an die IT – VAIT
• Länderspezifische E-Government-Gesetze, welche IT-Sicherheitsanforderungen konkretisieren

Fast allen Regelungen gemein ist, dass konkrete sicherheitstechnische oder organisatorische Maßnahmen nicht vorgeschrieben sind. Vielmehr wird auf ein notwendiges Managementsystem und Maßnahmen nach dem „Stand der Technik” verwiesen.

Wie kompliziert sind nun Managementsysteme sowie Instrumente und Maßnahmen?

• ISO/IEC 27001 Familie (Information technology – Security techniques – Information security management systems – Requirements)
• BSI-Grundschutz mit den Standards der 200er Familie
• ISIS12 – Informationssicherheit für den Mittelstand

Auf Basis sich wiederholender Sicherheitsprozesse werden die vorhandenen Sicherheitsmaßnahmen und Instrumente mit den notwendigen Sicherheitsmaßnahmen und Instrumenten abgeglichen. Auf dieser Basis findet eine regelmäßige Verbesserung der Abwehrkraft (Resilienz) des Unternehmens, u.a. gegenüber Cyber-Angriffen, statt.

Regelmäßige Kontrollen (Audits) gewährleisten, dass die gewählten Sicherheitsmaßnahmen wirksam sind. Die im Unternehmen getroffenen Regelungen, Dokumentationen sowie Kontrollbelege dienen zum Nachweis der Wirksamkeit des Informationssicherheitsmanagementsystems.

Bezogen auf obige 3 Angriffsszenarien sind das i.d.R. folgende Maßnahmen und Instrumente:

Angriff 1 und 2

Schutzmaßnahmen und Instrumente sind hier i.d.R. technischer Natur. Dazu gehören z. B. Next Generation Firewalls, Endpoint-Protection, DMZ („Demilitarisierte Zone”), Netzwerktrennung, VPNs (Virtual Private Network) und vieles mehr.

Angriff 2 und 3

Schutzmaßnahmen bei Innen- wie Außentätern sind i.d.R. unter dem Begriff „Internes Kontrollsystem” zusammenzufassen. Um sich wirksam vor dolosen Handlungen oder Racheakten zu schützen, gilt es, den Tätern wirksame Kontrollen (Vier-Augen-Prinzip, Funktionstrennung, etc.) entgegenzustellen.

• Die Wirksamkeit der eigenen Maßnahmen zu „Schadsoftware” und „gezielte Angriffe von außen” wird nur bedingt gemessen. In Folge kann sich die Geschäftsleitung kaum einen für sie verständlichen Eindruck über die Effektivität verschaffen. Sicht des Angreifers erfolgreich war. Nur wenige Unterneh­men investieren laufend in sog. Penetrationstests. Oftmals bleibt es bei Einzelaktionen. Für einen kontinuierlichen „Test” der Resilienz gab es bislang keine Lösungen. Zwischenzeitlich bietet der Markt jedoch effektive und bezahlbare Lösungen zur Kontrolle und zum Nachweis.

• Ob Systeme durch gezielte Angriffe kompromittiert sind, lässt sich oftmals nur schwer erkennen. Die installierten Instrumente, wie Firewalls, Virenscanner, IDS/IPS (Intrusion Detection/Prevention System) lassen nur bedingt erkennen, ob ein Angriff, welcher i.d.R. über einen längeren Zeitraum geht, aus Sicht des Angreifers erfolgreich war. Die Funktionsvielfalt der heutigen Systeme lassen immer eine Restlücke. Zwischenzeitlich gibt es sinnvolle Ergänzungen zur Entdeckung von kompromittierten Systemen. Ist doch die Entscheidung, ein kompromittiertes System komplett auszutauschen sowie eine Meldung einer Datenschutzverletzung in Erwägung zu ziehen, elementar.
  
• Ein in den Unternehmen installiertes IKS (Internes Kontrollsystem) ist heute noch nicht an die Anforderungen der Digitalisierung angepasst. Die vorhandenen Kontrollen stammen oftmals in großem Umfang aus der analogen Welt und nutzen zu wenig die Möglichkeiten der IT. Aufgrund der modernen Möglichkeiten der Datenanalyse lassen sich wirksame Kontrollen etablieren, welche nahezu in Echtzeit Verstöße gegen Unternehmensregelungen aufzeigen. Die Digitalisierung erfordert neue Kontrollen.

• Insbesondere der Mittelstand tut sich in der Integration dieser Kontrollen (technische und organisatorische) im Sinne eines Dashboards noch schwer. Erschwerend kommt noch hinzu, dass sich die technischen Kontrollen für die Geschäftsleitung nur schwer erschließen lassen. Die Kommunikation zwischen Geschäftsleitung und IT findet häufig nur bedingt statt.
  
  

Die Risiken, Maßnahmen und Instrumente gehören in das Management integriert. Auch hier gibt es zwischenzeitlich elegante Lösungen, die Kontrollergebnisse in ein System verständlich einzubetten und als Nachweis heranzuziehen.

Leiten sich hieraus Pflichten der Geschäftsleitung ab?

• Sorgfaltspflicht: So haben etwa Vorstandsmitglieder die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters gem. § 93 Abs. 1 (1) und (2) AktG anzuwenden. Für einen Geschäftsführer einer GmbH wird nach § 43 Abs. 1 GmbHG der gleiche Maßstab zur Sorgfalt gefordert.
• Legalitätspflicht: Diese Pflicht der Geschäftsleitung verlangt, dafür Sorge zu tragen, dass sich die Gesellschaft in ihren Außenbeziehungen rechtmäßig verhält. Dabei hat die Geschäftsleitung auch die Handlungen ihrer Mitarbeiter zu überprüfen.
• Pflicht zur Einrichtung von Überwachungssystemen: In § 91 Abs. 2 AktG wird die Einrichtung explizit gefordert. Es ist aufgrund dieser Regelung davon auszugehen, dass im Falle einer juristischen Überprüfung auch die Geschäftsführung einer GmbH oder anderer Gesellschaftsformen betroffen sind.

Kann es zu einer persönlichen Haftung kommen?

Wenn z. B. die Aktiengesellschaft nachweisen kann, dass ihre Geschäftsleitung eine Pflichtverletzung begangen hat, so ist diese gem. § 93 Abs. 2 (1) AktG zum Ersatz des daraus entstandenen Schadens verpflichtet. Im Kern geht es also darum, ob obige Instrumente und Maßnahmen zum Cyberschutz nicht den (gesetzlichen und/oder branchenspezifischen) Anforderungen entsprachen.

Im Idealfall sollte somit ein Informationssicherheitsmanagementsystem (ISMS) beschrieben und installiert sein, welches durch nachweisebare Kontrollen dessen Wirksamkeit belegt.

Fazit

Die Disziplin „Informationstechnik” als Grundpfeiler der Digitalisierung gehört zwischenzeitlich zu den Erfolgs­treibern jedes Unternehmens. Die hieraus erwachsenden Gefahren gilt es zu erkennen und die Gegenmaßnahmen entsprechend umzusetzen. Folglich ist die „Informationstechnik” inhaltlich in alle Unternehmenssteuerungsinstrumente einzubetten. Dazu gehören das Risikomanagement und Maßnahmen des internen Kontrollsystems. Restrisiken sowie Haftungsrisiken können durch entsprechende Cyber­security-Versicherungen abgedeckt werden. Dies erfordert i.d.R., dass die Geschäftsleitung ihrer Sorgfalts- und Legalitätspflicht sowie der Pflicht zur Einrichtung eines Überwachungssystems nachweisbar nachgekommen ist.