Se­cu­ri­ty-Pro­fis sind ge­fragt

An­wen­der müs­sen sich ge­gen im­mer per­fi­de­re An­griffs­sze­na­ri­en wapp­nen.

Computerwoche - - Vorderseite - Von In­grid Weid­ner, freie Jour­na­lis­tin in Mün­chen (hk)

Mit dem In­ter­net of Things und der Ver­net­zung von Pro­duk­ti­ons­an­la­gen so­wie der Di­gi­ta­li­sie­rung all­ge­mein ent­wi­ckelt sich IT-Si­cher­heit zu ei­nem zen­tra­len Auf­ga­ben­feld. „Bis­her war die Pro­duk­ti­on weit­ge­hend au­to­nom. Doch heu­te sind vie­le Ro­bo­ter und Ma­schi­nen ver­netzt und ha­ben In­ter­net-Zu­gang. Die Si­cher­heits­stan­dards sind je­doch oft noch ver­bes­se­rungs­wür­dig“, warnt Bernd Eßer, Chief Se­cu­ri­ty Of­fi­cer (CSO) der BWI In­for­ma­ti­ons­tech­nik in Me­cken­heim.

Auch Lars Fink, Ge­schäfts­füh­rer des IT-Be­ra­tungs­un­ter­neh­mens Bee Se­cu­ri­ty in Köln, geht da­von aus, dass die Si­cher­heits­vor­fäl­le dras­tisch zu­neh­men wer­den. Man­che An­grif­fe auf IT-Sys­te­me wer­den heu­te bes­ser und schnel­ler er­kannt, meint der Un­ter­neh­mer. In den ver­gan­ge­nen Jah­ren wan­del­te sich auch das Image der IT-Si­cher­heits­ex­per­ten; gal­ten die Spe­zia­lis­ten lan­ge als Ver­hin­de­rer und Be­den­ken­trä­ger, su­chen heu­te vie­le Fir­men Ex­per­ten mit die­sem Know-how. Fink emp­fiehlt, be­reits bei der Soft­warent­wick­lung an die spä­te­ren Si­cher­heits­an­for­de­run­gen zu den­ken, an­statt das The­ma de­fen­siv an­zu­ge­hen.

Agie­ren wie die Ha­cker

„Egal, was wir prä­ven­tiv für die Si­cher­heit tun, es ist nur be­dingt steu­er­bar, ob An­grei­fer ins Sys­tem ein­bre­chen kön­nen. Wich­tig ist, schnell zu er­ken­nen, dass je­mand ein­ge­bro­chen ist“, sagt Bernd Eßer. Ab­so­lu­te Si­cher­heit gibt es schlicht­weg nicht. In­zwi­schen kommt es vor al­lem auf Schnel­lig­keit an. Der 53-jäh­ri­ge Eßer be­schäf­tigt sich seit den 1990er Jah­ren mit Si­cher­heits­kon­zep­ten und er­leb­te in die­ser Zeit, wie sich das ei­ge­ne Be­rufs­pro­fil ver­än­der­te. „Vor zehn Jah­ren war Schnel­lig­keit kein The­ma. Es gab ei­ne Ri­si­ko­ana­ly­se, Steue­rungs­ele­men­te und ei­ne Hand­lungs­an­wei­sung, wie man prä­ven­tiv vor- ge­hen kann. Heu­te ar­bei­ten wir mit Sen­so­ren und kon­trol­lie­ren per­ma­nent al­le Vor­gän­ge.“

Im wei­ten Feld der IT-Si­cher­heit er­öff­nen sich für In­for­ma­ti­ker viel­fäl­ti­ge Be­rufs­per­spek­ti­ven. Wich­tig und re­la­tiv ein­fach fin­den Fir­men gu­te Ad­mi­nis­tra­to­ren, die be­ste­hen­de Sys­te­me mit klas­si­schen Maß­nah­men nach au­ßen ab­si­chern kön­nen. Wie ei­ne Fi­re­wall funk­tio­nie­re, sei klar de­fi­niert, das Wis­sen las­se sich leicht trai­nie­ren, meint Fink. Schwie­ri­ger wird es da­ge­gen, Ex­per­ten für das so­ge­nann­te „Pe­ne­tra­ti­on Tes­ting“zu fin­den. „Die Spe­zia­lis­ten müs­sen krea­tiv sein und sich vor­stel­len kön­nen, was Ha­cker in­ter­es­siert. Idea­ler­wei­se kön­nen sie sich in an­de­re hin­ein­ver­set­zen und brin­gen ei­ne Fas­zi­na­ti­on für die dunk­le Sei­te mit“, er­klärt Fink. Die­se Si­cher­heits­spe­zia­lis­ten agie­ren wie „gu­te Ha­cker“, kön­nen sich aber in die kri­mi­nel­le Ge­dan­ken­welt ih­res Geg­ners ein­den­ken. Au­ßer­dem müs­sen sie in der La­ge sein, ana­ly­tisch zu den­ken und sys­te­ma­tisch zu ar­bei­ten, so­wie mit ih­ren Team­kol­le­gen ko­ope­rie­ren. „Die­se Spe­zia­lis­ten sind in­trin­sisch mo­ti­viert und wol­len ger­ne coo­le Tools aus­pro­bie­ren.“

In­for­ma­ti­ker, die ei­ne Soft­ware­ar­chi­tek­tur ent­wer­fen und da­bei das gan­ze Sys­tem im Au­ge

ha­ben, viel Be­rufs­er­fah­rung mit­brin­gen, ein Team lei­ten und ih­re Ide­en ge­gen­über dem Ma­nage­ment in ver­ständ­li­che Spra­che über­set­zen kön­nen, fin­den sich nicht so leicht, sagt Fink: „Sie müs­sen die Zu­sam­men­hän­ge ge­nau ver­ste­hen und viel tech­ni­sches Wis­sen mit­brin­gen.“Hier rei­che oft ei­ne Fach­in­for­ma­ti­ker-Aus­bil­dung nicht aus. Ge­eig­ne­te Be­wer­ber brin­gen idea­ler­wei­se ein In­for­ma­tik­stu­di­um so­wie zu­sätz­li­ches Wis­sen über be­triebs­wirt­schaft­li­che Zu­sam­men­hän­ge mit. Wirt­schafts­in­for­ma­ti­ker hält Fink nur dann für ge­eig­net, wenn sie sich in­ten­siv mit Tech­no­lo­gie be­schäf­tigt ha­ben. Als wei­te­re wich­ti­ge Be­rufs­grup­pe sieht Fink Au­di­to­ren, die Stan­dards über­prü­fen.

Stel­len­an­zei­gen loh­nen sich nicht

Wenn Fink neue Mit­ar­bei­ter für sein Be­ra­tungs­un­ter­neh­men sucht, merkt er schnell, dass es vor al­lem die be­rufs­er­fah­re­nen IT-Si­cher­heits­ex­per­ten sind, die sich schwer auf­spü­ren las­sen. „Wir ko­ope­rie­ren eng mit Hoch­schu­len, um gu­te Leu­te mög­lichst früh ken­nen­zu­ler­nen und dann selbst wei­ter­zu­bil­den“, er­klärt der Köl­ner Un­ter­neh­mer. „Über ei­ne Stel­len­an­zei­ge ha­ben wir noch nie je­man­den ge­fun­den.“ Die Be­rufs­chan­cen für IT-Si­cher­heits­ex­per­ten schätzt auch BWI-CSO Bernd Eßer als sehr gut ein. Me­tho­den der Ri­si­ko­be­wer­tung und der Or­ga­ni­sa­ti­on von IT-Si­cher­heit fin­den sich in­zwi­schen auf dem Lehr­plan vie­ler In­for­ma­tik­stu­den­ten. Auch wie Netz­wer­ke pro­fes­sio­nell ab­ge­si­chert wer­den und wie ei­ne IT-Si­cher­heits­ar­chi­tek­tur aus­se­hen muss, ler­nen Stu­den­ten heu­te an den Hoch­schu­len. Des­halb fin­det die BWI In­for­ma­ti­ons­tech­nik durch­aus Se­cu­ri­ty-Ma­na­ger, IT-Si­cher­heits-Con­sul­tants und IT-Si­cher­heits­ar­chi­tek­ten am Ar­beits­markt.

Schwie­ri­ger wird es je­doch, be­rufs­er­fah­re­ne Ex­per­ten für stark spe­zia­li­sier­te The­men wie ITFo­ren­sik, Mal­wa­re (Schad­soft­ware), so­ge­nann­te Re­ver­ser oder für das Com­pu­ter Emer­gen­cy Re­s­pon­se Team (CERT) zu fin­den. „Mit­ar­bei­ter in den so­ge­nann­ten Hun­ter- oder CERT-Teams las­sen sich nicht nur über das Ge­halt ge­win­nen. Sie wol­len ein si­che­res Ar­beits­um­feld für sich, vie­le Frei­hei­ten und auch so man­ches tech­ni­sche Spiel­zeug. Ein Team, in dem sie sich wohl­füh­len, ist ih­nen wich­tig“, er­klärt Eßer. „Sie ha­ben ei­ne in­trin­si­sche Mo­ti­va­ti­on und den per­sön­li­chen Ehr­geiz, dass nie­mand in ih­re Net­ze ein­bricht oder sie den Ein­dring­ling schnell fin­den.“ Wer sich für IT-Si­cher­heit in­ter­es­siert, bringt nach dem Ein­druck von Lars Fink ei­ne Fas­zi­na­ti­on für die dunk­len Sei­ten des Bu­si­ness mit. Wäh­rend ein klas­si­scher In­for­ma­ti­ker mehr an den Auf­bau denkt, müs­se ein Si­cher­heits­ex­per­te auch die Lust ver­spü­ren, et­was zu zer­stö­ren. Ne­ben um­fas­sen­dem Wis­sen und Er­fah­rung brau­chen IT-Si­cher­heits­ex­per­ten Kom­mu­ni­ka­ti­ons­ta­lent. Die Be­rufs­aus­sich­ten schätzt Un­ter­neh­mer Fink als sehr gut ein, denn auch für Quer­ein­stei­ger ge­be es vie­le Ein­stiegs­chan­cen: „Die In­dus­trie ist of­fen für Quer­ein­stei­ger oh­ne Stu­di­um, die sich das Wis­sen mit Wei­ter­bil­dun­gen und Zer­ti­fi­ka­ten selbst an­ge­eig­net ha­ben.“

In­dus­trie of­fen für Quer­ein­stei­ger

Hel­fen Stars der Sze­ne wie Ed­ward Snow­den, mehr Abitu­ri­en­ten für das The­ma zu be­geis­tern? Lars Fink warnt da­vor, In­for­ma­tik oder den Schwer­punkt IT-Si­cher­heit aus ei­ner Art Ha­cker-Ro­man­tik her­aus zu wäh­len: „In die­sem Be­ruf gibt es vie­le Rou­ti­ne­auf­ga­ben.“Auch das Be­wusst­sein für IT-Si­cher­heit hat mit den Ent­hül­lun­gen von Wi­ki­leaks oder Snow­den kaum zu­ge­nom­men. Die Lis­te der be­son­ders un­si­che­ren Pass­wör­ter sieht seit Jah­ren ähn­lich de­sas­trös aus.

Lars Fink, Bee Se­cu­ri­ty: „Wir ko­ope­rie­ren eng mit Hoch­schu­len, um gu­te Leu­te mög­lichst früh ken­nen­zu­ler­nen und sie dann selbst wei­ter­zu­bil­den.“

Bernd Eßer, BWI: „Vor zehn Jah­ren war Schnel­lig­keit kein The­ma, heu­te kon­trol­lie­ren wir per­ma­nent al­le Vor­gän­ge.“

Newspapers in German

Newspapers from Germany

© PressReader. All rights reserved.