Markus Groß

BLOG

Markus Groß

Markus Groß ist Gründer und Administrator dieses Blogs und verfügt über umfassende Erfahrung in strategischen IT-Themen. Sein fachlicher Schwerpunkt liegt auf IT-Governance und Compliance, insbesondere in der Anwendung von COBIT, der Umsetzung regulatorischer Anforderungen wie DORA oder NIS2 und dem Aufbau belastbarer Steuerungsstrukturen. Im Bereich Service-Management bringt er langjährige Praxis mit ITIL sowie der Einführung von Best Practices ein.

Ein weiterer Kernbereich seiner Arbeit ist die Informationssicherheit, mit besonderem Fokus auf den Aufbau und die Weiterentwicklung von ISMS nach ISO27001 sowie BSI IT-Grundschutz, die Entwicklung von Sicherheitsstrategien und die Umsetzung von BYOD-Konzepten. Darüber hinaus ist Markus Groß versiert im Projektmanagement und wendet Methoden wie PRINCE2, LEAN/SIX SIGMA und agile Ansätze gezielt an, um Projekte effizient und erfolgreich zu steuern.

In seinen Beiträgen verbindet er fundierte Analysen mit praxisnahen Empfehlungen. Sein Ziel ist es, Leserinnen und Lesern tiefgehende, sachlich fundierte Einblicke zu geben, die sie in der strategischen Ausrichtung ebenso unterstützen wie in der operativen Umsetzung von IT-, Sicherheits- und Compliance-Vorhaben.

Incident Reporting wie ein Profi – Keine Panik im Ernstfall

Dienstag, 12. November 2024

Markus Groß

Incident Reporting wie ein Profi – Keine Panik im Ernstfall

Wer in einer Organisation für Informationssicherheit, Compliance oder IT verantwortlich ist, weiß: Sicherheitsvorfälle passieren nicht nur bei anderen. Irgendwann kommt der Tag, an dem ein System ausfällt, Daten abfließen oder ein Cyberangriff den Geschäftsbetrieb stört. Für viele Unternehmen ist das ein Schreckmoment, der Adrenalin freisetzt und schnell in hektisches Handeln münden kann. Genau hier setzt DORA mit klaren Vorgaben für das Incident Reporting an – der strukturierten Meldung von schweren IKT-Vorfällen an die zuständigen Behörden. Die Idee dahinter ist einfach: Wenn Vorfälle einheitlich, zeitnah und vollständig gemeldet werden, können Aufsichtsbehörden die Lage besser einschätzen, koordinierte Gegenmaßnahmen einleiten und vor allem verhindern, dass ähnliche Angriffe unbemerkt andere Unternehmen treffen. Für die betroffenen Organisationen bedeutet das aber auch, dass sie ihre internen Prozesse so aufstellen müssen, dass sie im Ernstfall nicht improvisieren, sondern nach einem klaren Plan vorgehen.

Was unter DORA als schwerwiegender IKT-Vorfall gilt – und warum das nicht nur „große Hacks“ sind

Der erste Schritt ist das Verständnis, was unter DORA überhaupt als „schwerwiegender IKT-Vorfall“ gilt. Hier geht es nicht nur um spektakuläre Hackerangriffe oder großflächige Systemausfälle. Auch lang anhaltende Beeinträchtigungen einzelner kritischer Prozesse, der Verlust sensibler Daten oder sicherheitsrelevante Störungen in der Lieferkette können meldepflichtig sein. DORA definiert Kriterien, die sich an der Auswirkung auf Verfügbarkeit, Integrität, Vertraulichkeit und Authentizität orientieren. Dazu zählen unter anderem die Anzahl betroffener Kunden, die Dauer der Störung, die geographische Reichweite, die potenziellen finanziellen Verluste und mögliche Auswirkungen auf die Stabilität des Finanzsystems. Unternehmen müssen diese Kriterien nicht erst im Ernstfall nachschlagen, sondern schon vorab in ihre eigenen Bewertungsverfahren integrieren. Gute Praxis ist eine interne Schwellwertmatrix, die technische Indikatoren (z. B. Umfang der Beeinträchtigung, Exfiltrationsindikatoren) mit Geschäftsauswirkungen (z. B. SLAs, verpasste Zahlungen, Marktkommunikation) verbindet und so schnell zur Entscheidung „meldepflichtig – ja/nein“ führt.

Markiert in:

EU Reporting Incident DORA

8364 Aufrufe

BSI IT-Grundschutz ohne Fachchinesisch – So funktioniert’s wirklich

Montag, 11. November 2024

Markus Groß

BSI IT-Grundschutz ohne Fachchinesisch – So funktioniert’s wirklich

Der Begriff BSI IT-Grundschutz klingt für viele zunächst nach einer komplizierten Sammlung von Vorschriften, die nur Behörden oder große Konzerne verstehen. Tatsächlich ist er eines der umfassendsten und praxisorientiertesten Werkzeuge, um Informationssicherheit strukturiert aufzubauen – und er stammt aus Deutschland. Entwickelt vom Bundesamt für Sicherheit in der Informationstechnik (BSI), ist der IT-Grundschutz nicht nur ein theoretisches Modell, sondern ein praxiserprobtes Vorgehenskonzept, das Schritt für Schritt beschreibt, wie Organisationen ihre Informationswerte systematisch schützen können. Das Ziel: Sicherheit so in den Alltag integrieren, dass sie wirksam ist und trotzdem zum Geschäft passt. Wer mit IT-Grundschutz arbeitet, bekommt ein Methodenhandbuch, ein Maßnahmenbaukasten und eine gemeinsame Sprache für alle Beteiligten – von der IT über Compliance und Einkauf bis zur Geschäftsführung.

Ganzheitlicher Ansatz statt reiner Technikfixierung

Das Besondere am IT-Grundschutz ist seine ganzheitliche Sichtweise. Während manche Standards sich vor allem auf technische Maßnahmen konzentrieren, deckt der IT-Grundschutz alle relevanten Bereiche ab: Organisation, Personal, Technik, Infrastruktur und Notfallvorsorge. Er beginnt nicht mit Firewalls und Verschlüsselung, sondern mit der Frage: Was genau wollen wir schützen? Welche Informationen, Systeme und Prozesse sichern den Wertschöpfungsfluss – und welche Schäden drohen, wenn sie kompromittiert werden? Darauf aufbauend empfiehlt der Grundschutz differenziert skalierte Schutzmaßnahmen, die in der Praxis funktionieren und auditierbar sind. Die Folge: nicht „Sicherheit um der Sicherheit willen“, sondern angemessener Schutz nach Schutzbedarf und Risiko.

8674 Aufrufe

Kennst du alle? – Die wichtigsten Normen rund um Informationssicherheit

Donnerstag, 12. September 2024

Markus Groß

Kennst du alle? – Die wichtigsten Normen rund um Informationssicherheit

Wer sich ernsthaft mit Informationssicherheit beschäftigt, stößt früher oder später auf eine Flut an Abkürzungen und Normenbezeichnungen: ISO 27001, ISO 27002, BSI IT-Grundschutz, NIST, COBIT, TISAX, DORA, DSGVO – und das ist nur der Anfang. Für Außenstehende wirkt dieses Regelwerk wie ein unüberschaubarer Dschungel aus Vorschriften, Empfehlungen und Zertifizierungen. Doch wer die wichtigsten Normen kennt und versteht, erkennt schnell, dass sie mehr sind als bloße Bürokratie: Sie sind Werkzeuge, die Struktur schaffen, Risiken reduzieren, Compliance sichern und Vertrauen aufbauen. Das Ziel ist immer dasselbe – Informationen schützen –, aber die Wege dorthin unterscheiden sich. Manche Normen sind international, andere national. Manche sind gesetzlich vorgeschrieben, andere freiwillig, aber in vielen Branchen de facto unverzichtbar. Richtig eingesetzt, machen Normen Informationssicherheit planbar, messbar und nachhaltig – und zwar nicht trotz, sondern wegen ihrer Struktur.

ISO/IEC 27001: Der globale Rahmen für ein wirksames ISMS

ISO/IEC 27001 ist der weltweit anerkannte Standard für Informationssicherheits-Managementsysteme (ISMS). Sein Fokus liegt nicht auf Checklisten, sondern auf Management: Risiken verstehen, Ziele setzen, Maßnahmen festlegen, Wirksamkeit prüfen und fortlaufend verbessern. Die Norm folgt der harmonisierten ISO-Struktur (High Level Structure) und lässt sich daher gut mit anderen Managementsystemen (z. B. ISO 9001, ISO 22301) integrieren. Herzstück ist die risikobasierte Steuerung. Unternehmen entscheiden – auf Basis einer nachvollziehbaren Risikoanalyse – selbst, welche Kontrollen angemessen sind, und dokumentieren diese Auswahl in der „Statement of Applicability“ (SoA). Genau diese Flexibilität macht ISO 27001 so mächtig: Ein FinTech, ein Klinikum und ein Maschinenbauer können völlig unterschiedliche Kontrollen wählen und dennoch konform sein, solange die Auswahl risikogerecht und wirksam belegt ist. Das Zertifikat dient international als Gütesiegel: Es signalisiert Kunden, Partnern und Aufsichten, dass Informationssicherheit nicht dem Zufall überlassen wird, sondern nach einem anerkannten Regelwerk geführt wird.

Markiert in:

COBIT DSGVO DORA TISAX ISO27001

8215 Aufrufe

ISO 27001 in 7 Minuten erklärt – So klappt das Zertifikat

Donnerstag, 15. August 2024

Markus Groß

ISO 27001 in 7 Minuten erklärt – So klappt das Zertifikat

ISO 27001 – allein der Name klingt nach Norm, Paragraphen und endlosen Dokumenten. Viele, die ihn hören, denken sofort an eine trockene, bürokratische Übung, die man nur für Auditoren und Zertifizierer macht. Doch hinter ISO 27001 steckt weit mehr als ein dicker Ordner mit Richtlinien. Sie ist der international anerkannte Standard für Informationssicherheits-Managementsysteme – kurz ISMS – und damit so etwas wie die „Bedienungsanleitung“ dafür, wie Unternehmen ihre Informationen und Systeme wirksam schützen. Wer die Norm versteht und klug umsetzt, baut nicht nur ein solides Sicherheitsfundament, sondern kann auch gegenüber Kunden, Partnern und Behörden nachweisen: Wir nehmen Sicherheit ernst – und wir können es belegen.

Der Kern: Sicherheit als Management- und Verbesserungsprozess

Die Grundidee ist einfach, aber mächtig: Informationssicherheit ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. ISO 27001 schreibt nicht vor, welche konkreten technischen Maßnahmen ein Unternehmen ergreifen muss, sondern wie es ein Managementsystem aufbaut, das Risiken erkennt, bewertet und systematisch behandelt. Das macht die Norm so flexibel – sie passt zu Banken genauso wie zu Start-ups, zu Produktionsbetrieben ebenso wie zu Behörden. Entscheidend ist, dass die Organisation ihr Sicherheitsmanagement in einem klaren Rahmen betreibt, der regelmäßig überprüft und verbessert wird.

Markiert in:

ISO Zertifikat ISO27001 ISMS

8444 Aufrufe

Wer schützt was? – Warum Informationssicherheit Chefsache ist

Mittwoch, 07. August 2024

Markus Groß

Wer schützt was? – Warum Informationssicherheit Chefsache ist

Viele Unternehmen betrachten Informationssicherheit immer noch als eine Disziplin, die irgendwo tief in der IT-Abteilung angesiedelt ist. Dort sitzen die Administratoren, die Passwortrichtlinien einführen, Firewalls konfigurieren, Updates einspielen und im Ernstfall versuchen, Angriffe abzuwehren. Diese Sichtweise hat sich über Jahrzehnte gehalten, weil IT-Sicherheit tatsächlich in den Serverräumen, Rechenzentren und Netzwerken beginnt. Doch sie ist gefährlich verkürzt – und im Jahr 2025 schlicht nicht mehr haltbar. Informationssicherheit ist längst keine rein technische Aufgabe mehr, sondern ein strategisches Kernthema, das das gesamte Unternehmen betrifft, von der Produktentwicklung über die Lieferkette bis hin zur externen Kommunikation. Und weil sie alle Bereiche betrifft, ist sie letztlich eine Führungsaufgabe, die an der Spitze beginnt und nicht delegierbar ist.

Warum die alte IT-Sicht nicht mehr reicht

Der Grund dafür ist einfach: Informationssicherheit schützt nicht nur Dateien auf Festplatten, sondern das Fundament des Unternehmens – seine Daten, Prozesse, Beziehungen und seinen Ruf. Wer glaubt, man könne diese Verantwortung komplett an die IT „auslagern“, verkennt zwei Realitäten. Erstens: Die meisten Sicherheitsvorfälle beginnen nicht mit einer komplizierten Zero-Day-Schwachstelle, sondern mit menschlichen Fehlern, organisatorischen Schwächen oder fehlender Priorisierung. Zweitens: Die juristische Verantwortung bleibt in der Unternehmensleitung. Wenn vertrauliche Kundendaten durch einen Angriff oder eine Unachtsamkeit abfließen, wird nicht nur der IT-Leiter befragt, sondern vor allem das Management. In regulierten Branchen wie dem Finanzwesen, im Gesundheitssektor oder bei Betreibern kritischer Infrastrukturen ist diese Verantwortung sogar ausdrücklich in Gesetzen und Aufsichtsregeln verankert.

Markiert in:

C-Level Informationssicherheit ISMS

8322 Aufrufe

1 2 3 4 5 6 7 8 9 10