(IT) Compliance/(IT) Governance

Welche Risiken durch BYOD in Unternehmen entstehen und wie mit diesen umgegangen werden kann

“Bring your own device“ (BYOD) bezeichnet die Nutzung privater mobiler Geräte, wie z.B. Tablet-PCs, Notebooks oder Smartphones, innerhalb von Unternehmensnetzwerken. Auf diesen mobilen Geräten wird auf vom Arbeitgeber bereitgestellte Ressourcen wie E-Mail, Kontakte, Kalender, Datenbanken sowie persönliche Einstellungen und Daten zugegriffen.

Die Nutzung privater IT-Geräte in Unternehmen hat ein hohes Kosteneinsparpotential, birgt jedoch eine Vielzahl von Risiken, die betrachtet werden müssen:

• Komplexität und damit der Betriebsaufwand der IT-Infrastruktur steigt

Unternehmensnetzwerke sind häufig nicht heterogen ausgelegt. Ein heterogenes Netzwerk erfordert einen höheren Aufwand für die Administration von Strukturen, Protokollen und Diensten.

Ziele, Zusammenfassung und Übersicht der Themen und mögliche Arbeitspakete für PSD-2-Projekte

Das Rundschreiben 4/2015 (BA) der BaFin – Mindestanforderungen an die Sicherheit von Internetzahlungen (kurz MaSI) – gilt als Vorbereitung auf die PSD-II-Zahlungsdiensterichtlinie (Directive on Payment Services). Während die MaSI einen starken Fokus auf die Sicherheit von Internetzahlungen gelegt hat, reguliert PSD II den grundsätzlichen Zahlungsverkehr. Das spannendste Thema ist dabei sicherlich die Einbindung innovativer Marktteilnehmer und die Verpflichtung für Zahlungsdienstleister, sich gegenüber „Third Party Providers“ (TPPs) in Form von geeigneten Schnittstellen zu öffnen. Dazu zählen die Kontoinformationsdienste („Account Information Services“, kurz AIS) oder die Zahlungsauslösedienstleister („Payment Initiation Services“, kurz PIS).

Ein wesentlicher Erfolgsfaktor für die Funktionsfähigkeit unserer modernen Gesellschaft ist die Energieversorgung. Diese umfasst die Versorgung der Gesellschaft mit Strom, Gas, Wasser und Heizverfahren aus unterschiedlichsten Quellen. Als Quellen können Windkraftanlagen, Kohlekraftwerke, Kernkraftwerke, Wasserkraftwerke, Wärmekopplungsanlagen, Gezeitenanlagen, Biogasanlagen, Solaranlagen, Gaskraftwerke und weitere Anlagen der Energiegewinnung genannt werden.

Waren es bis Ende der 1990er-Jahre im Wesentlichen Kohle-, Wasser- und Kernkraftwerke, so sind es heute immer mehr Windkraft-, Biogas-, Solar- und Wasserkraftwerke, Tendenz stark steigend. Darüber hinaus hat die Liberalisierung des Energiemarktes dazu beigetragen, dass die Anzahl der Marktteilnehmer in Bezug auf die Erzeugung und den Handel sowie den Vertrieb der Energie stark gewachsen ist. Betrug der Anteil der erneuerbaren Energie (Wasser, Wind, Biogas, Batterie, Sonne …) 2014 rund 28%, so wird sich dieser 2050 voraussichtlich bundesweit insgesamt 80% oder mehr belaufen, wie einer von der IRR-Innovationsregion Rheinisches Revier GmbH (Jühlich) beauftragten Studie zu entnehmen war. Nicht zu vergessen ist in diesem Zusammenhang die immer noch bestehende Absicht der heutigen Bundesregierung, bis Ende 2022 den Ausstieg aus der Kernenergie als Energielieferant geschafft zu haben.

Anhand der Energieversorgungseinrichtungen für Strom (Netzbetreiber) lässt sich der Sachverhalt der ansteigenden Energieversorger gut verdeutlichen. Waren es früher vier bis sechs große regionale und überregionale Netzbetreiber, Netzverteiler und Energieversorger, so sind es heute bundesweit wesentlich mehr kleinere und mittelständische Netzbetreiber (z.B. Stadtwerke), welche die Auflagen der Bundesnetzagentur (BNetzA) erfüllen müssen.

Immer mehr Unternehmen wollen auch ihren Gästen den Zugang zum Internet ermöglichen. Häufig wird dabei auf ein öffentliches WLAN Netzwerk oder Gastzugänge zurückgegriffen.

Generell besteht ein Interessenkonflikt in Bezug auf die öffentliche Nutzung von WLAN. Einerseits gibt es ein großes öffentliches Interesse an verbreitetem Internetzugang, das sich auch in der im Grundgesetz verankerten Meinungs- und Informationsfreiheit gemäß Art. 5 GG wiederspiegelt. Andererseits können durch die Nutzung eines solches Netzes Urheberrechts- und Persönlichkeitsrechtsverstöße nach Abs. 14 GG und Art. 2 Abs. 1 GG begangen werden. Auch Marken- oder Namensrechtsverletzungen sind denkbar.[1]

Doch welche Auswirkungen hat die Bereitstellung eines solchen Netzwerks für den Betreiber?

Software testen: Ein immer wieder brisantes Thema bei der Softwareerstellung ist die Testdatenbereitstellung oder -aufbereitung. Gerne werden hierzu Echtdaten benutzt, da diese Daten selbstverständlich der Komplexität der Realität am nächsten kommen und im Verhältnis leicht und kostengünstig zu beschaffen sind. Noch dazu lassen sich ganze Testsysteme durch einfache Kopie des Produktivsystems aufbauen und immer wieder aktualisieren.

Das Bundesministerium der Finanzen hat am 14.11.2014 die „Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff (GoBD)“ veröffentlicht.

Eine besondere Verschärfung haben die Anforderungen an die IT durch die GoBD erfahren. Viele Unternehmen stehen nun der Herausforderung gegenüber ihre IT in der Form anzupassen, dass die Grundsätze des BMF-Schreibens erfüllt werden. Darüber hinaus wurde auch im Detail geregelt, in welchem Umfang eine ordnungsmäßige Verfahrensdokumentation vorgehalten werden sollte.

Erschwert wird die Umsetzung dann, wenn ein Unternehmen Dienstleister einsetzt oder sogar Prozesse ausgelagert hat. Wie kann in solchen Fällen gewährleistet werden, dass Themen wie Datensicherheit, Aufbewahrung, Nachvollziehbarkeit, Datenzugriff oder Unveränderbarkeit eingehalten werden?

Ist es wirklich nötig, ein Gesetz zu erlassen, um die Unternehmen und Verwaltungen dieses Landes zu mehr Sicherheits­aufwendungen im Bereich der digitalen Infrastruktur zu animieren?

Die Bundesregierung hat, durch das Bundesministerium des Inneren, einen der elementaren Bausteine ihrer „Digitalen Agenda“, vorgestellt am 20.08.2014, am 19.08.2014 als Referentenentwurf  veröffentlicht – das „IT-Sicherheitsgesetz“ (Entwurf eines Gesetzes zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz)).

Dokumentation der Geschäftsprozesse, um interne, aufsichtsrechtliche bzw. gesetzliche Vorgaben zu erfüllen: Mehrwertverbundene Tätigkeit oder lästige Pflichtaufgabe?

Die Meinungen gehen oft auseinander und die Frage ist in Einzelfällen nicht einfach zu beantworten. Die Dokumentation der Aufbau- und Ablauforganisation ist grundsätzlich mit einem Mehrwert verbunden und sollte immer aktuell vorhanden sein. Sie kann jedoch das Ziel verfehlen, wenn in einem Unternehmen ein „Dokumentationswahn“ ohne strukturiertes Vorgehen herrscht und der Durchblick verloren geht bzw. die notwendigen Kapazitäten nicht vorhanden sind, um die Anforderungen umzusetzen. Die Begleiterscheinungen sind dann oft die folgenden:

• fehlende Aktualisierung in einem sich schnell wandelnden Umfeld
• Organisationen erstellen ohne klare Vorgaben Dokumentationen mit unterschiedlicher Struktur und Umfang
• fehlende Ordnung und Transparenz, da in den Dokumenten nicht auf Schnittstellenpapiere verwiesen wird
• zentrale, wesentliche Punkte verlieren sich in langen und umfangreichen Ausführungen
• Mitarbeiter werden von der Vielzahl an Dokumenten „erschlagen“, da eine zielgruppengerechte Verteilung nicht stattfindet
• fehlende Abgrenzungen zwischen Papieren führen dazu, dass Themen doppelt aufgegriffen werden und mit unterschiedlichen Ständen oder widersprüchlich vorliegen
• Dokumente können nicht aufgefunden werden bzw. die aktuelle Version ist nicht eindeutig erkennbar

Die Grundlage für die Vermeidung der eben aufgeführten Punkte bildet ein effektives Rahmenwerk für Dokumentenerstellung und -verwaltung (Richtlinienmanagement), welches in einfacher Ausprägung Nachfolgendes berücksichtigt: