Wer in einer Organisation für Informationssicherheit, Compliance oder IT verantwortlich ist, weiß: Sicherheitsvorfälle passieren nicht nur bei anderen. Irgendwann kommt der Tag, an dem ein System ausfällt, Daten abfließen oder ein Cyberangriff den Geschäftsbetrieb stört. Für viele Unternehmen ist das ein Schreckmoment, der Adrenalin freisetzt und schnell in hektisches Handeln münden kann. Genau hier setzt DORA mit klaren Vorgaben für das Incident Reporting an – der strukturierten Meldung von schweren IKT-Vorfällen an die zuständigen Behörden. Die Idee dahinter ist einfach: Wenn Vorfälle einheitlich, zeitnah und vollständig gemeldet werden, können Aufsichtsbehörden die Lage besser einschätzen, koordinierte Gegenmaßnahmen einleiten und vor allem verhindern, dass ähnliche Angriffe unbemerkt andere Unternehmen treffen. Für die betroffenen Organisationen bedeutet das aber auch, dass sie ihre internen Prozesse so aufstellen müssen, dass sie im Ernstfall nicht improvisieren, sondern nach einem klaren Plan vorgehen.

Was unter DORA als schwerwiegender IKT-Vorfall gilt – und warum das nicht nur „große Hacks“ sind

Der erste Schritt ist das Verständnis, was unter DORA überhaupt als „schwerwiegender IKT-Vorfall“ gilt. Hier geht es nicht nur um spektakuläre Hackerangriffe oder großflächige Systemausfälle. Auch lang anhaltende Beeinträchtigungen einzelner kritischer Prozesse, der Verlust sensibler Daten oder sicherheitsrelevante Störungen in der Lieferkette können meldepflichtig sein. DORA definiert Kriterien, die sich an der Auswirkung auf Verfügbarkeit, Integrität, Vertraulichkeit und Authentizität orientieren. Dazu zählen unter anderem die Anzahl betroffener Kunden, die Dauer der Störung, die geographische Reichweite, die potenziellen finanziellen Verluste und mögliche Auswirkungen auf die Stabilität des Finanzsystems. Unternehmen müssen diese Kriterien nicht erst im Ernstfall nachschlagen, sondern schon vorab in ihre eigenen Bewertungsverfahren integrieren. Gute Praxis ist eine interne Schwellwertmatrix, die technische Indikatoren (z. B. Umfang der Beeinträchtigung, Exfiltrationsindikatoren) mit Geschäftsauswirkungen (z. B. SLAs, verpasste Zahlungen, Marktkommunikation) verbindet und so schnell zur Entscheidung „meldepflichtig – ja/nein“ führt.

Der Begriff BSI IT-Grundschutz klingt für viele zunächst nach einer komplizierten Sammlung von Vorschriften, die nur Behörden oder große Konzerne verstehen. Tatsächlich ist er eines der umfassendsten und praxisorientiertesten Werkzeuge, um Informationssicherheit strukturiert aufzubauen – und er stammt aus Deutschland. Entwickelt vom Bundesamt für Sicherheit in der Informationstechnik (BSI), ist der IT-Grundschutz nicht nur ein theoretisches Modell, sondern ein praxiserprobtes Vorgehenskonzept, das Schritt für Schritt beschreibt, wie Organisationen ihre Informationswerte systematisch schützen können. Das Ziel: Sicherheit so in den Alltag integrieren, dass sie wirksam ist und trotzdem zum Geschäft passt. Wer mit IT-Grundschutz arbeitet, bekommt ein Methodenhandbuch, ein Maßnahmenbaukasten und eine gemeinsame Sprache für alle Beteiligten – von der IT über Compliance und Einkauf bis zur Geschäftsführung.

Ganzheitlicher Ansatz statt reiner Technikfixierung

Das Besondere am IT-Grundschutz ist seine ganzheitliche Sichtweise. Während manche Standards sich vor allem auf technische Maßnahmen konzentrieren, deckt der IT-Grundschutz alle relevanten Bereiche ab: Organisation, Personal, Technik, Infrastruktur und Notfallvorsorge. Er beginnt nicht mit Firewalls und Verschlüsselung, sondern mit der Frage: Was genau wollen wir schützen? Welche Informationen, Systeme und Prozesse sichern den Wertschöpfungsfluss – und welche Schäden drohen, wenn sie kompromittiert werden? Darauf aufbauend empfiehlt der Grundschutz differenziert skalierte Schutzmaßnahmen, die in der Praxis funktionieren und auditierbar sind. Die Folge: nicht „Sicherheit um der Sicherheit willen“, sondern angemessener Schutz nach Schutzbedarf und Risiko.

Es klingt zunächst nach Erlösung: niedrige Latenzen, garantierte Qualität durch Network Slicing, Edge-Intelligenz direkt neben der Funkzelle, Millionen vernetzter Geräte pro Quadratkilometer. 5G trägt den Nimbus des Möglichmachers, und vieles davon stimmt. Doch je näher Unternehmen 5G in produktive Prozesse lassen, desto deutlicher tritt die zweite Seite hervor: Jede Fähigkeit, die 5G stark macht, vergrößert auch die Angriffs- und Fehlerfläche. Aus der Infrastruktur für Geschwindigkeit wird eine kritische Steuerungsebene – und damit zum primären Governance-Thema.

Dieser Beitrag seziert die Schattenseite nüchtern: nicht als Angstkatalog, sondern als Handbuch für Entscheiderinnen und Entscheider, die 5G sicher, nachweisbar und beherrschbar einsetzen wollen. Was verändert die Architektur wirklich? Wo liegen die technischen Hebel für Angriffe? Welche Lücken entstehen in Rollen, Verträgen und Verantwortlichkeiten? Und wie schafft man Resilienz, ohne den Fortschritt abzuwürgen?

Wer sich ernsthaft mit Informationssicherheit beschäftigt, stößt früher oder später auf eine Flut an Abkürzungen und Normenbezeichnungen: ISO 27001, ISO 27002, BSI IT-Grundschutz, NIST, COBIT, TISAX, DORA, DSGVO – und das ist nur der Anfang. Für Außenstehende wirkt dieses Regelwerk wie ein unüberschaubarer Dschungel aus Vorschriften, Empfehlungen und Zertifizierungen. Doch wer die wichtigsten Normen kennt und versteht, erkennt schnell, dass sie mehr sind als bloße Bürokratie: Sie sind Werkzeuge, die Struktur schaffen, Risiken reduzieren, Compliance sichern und Vertrauen aufbauen. Das Ziel ist immer dasselbe – Informationen schützen –, aber die Wege dorthin unterscheiden sich. Manche Normen sind international, andere national. Manche sind gesetzlich vorgeschrieben, andere freiwillig, aber in vielen Branchen de facto unverzichtbar. Richtig eingesetzt, machen Normen Informationssicherheit planbar, messbar und nachhaltig – und zwar nicht trotz, sondern wegen ihrer Struktur.

ISO/IEC 27001: Der globale Rahmen für ein wirksames ISMS

ISO/IEC 27001 ist der weltweit anerkannte Standard für Informationssicherheits-Managementsysteme (ISMS). Sein Fokus liegt nicht auf Checklisten, sondern auf Management: Risiken verstehen, Ziele setzen, Maßnahmen festlegen, Wirksamkeit prüfen und fortlaufend verbessern. Die Norm folgt der harmonisierten ISO-Struktur (High Level Structure) und lässt sich daher gut mit anderen Managementsystemen (z. B. ISO 9001, ISO 22301) integrieren. Herzstück ist die risikobasierte Steuerung. Unternehmen entscheiden – auf Basis einer nachvollziehbaren Risikoanalyse – selbst, welche Kontrollen angemessen sind, und dokumentieren diese Auswahl in der „Statement of Applicability“ (SoA). Genau diese Flexibilität macht ISO 27001 so mächtig: Ein FinTech, ein Klinikum und ein Maschinenbauer können völlig unterschiedliche Kontrollen wählen und dennoch konform sein, solange die Auswahl risikogerecht und wirksam belegt ist. Das Zertifikat dient international als Gütesiegel: Es signalisiert Kunden, Partnern und Aufsichten, dass Informationssicherheit nicht dem Zufall überlassen wird, sondern nach einem anerkannten Regelwerk geführt wird.

Es knirscht selten laut, wenn es passiert. Kein großer Knall, keine rot blinkenden Warnlampen. Stattdessen: eine kleine Konfigurationsänderung bei einem Dienstleister, ein unscheinbares Update, eine freundliche E-Mail eines „Partners“, ein Browser-Plugin aus einem Hersteller-Marketplace. Wochenlang wirkt alles normal, die Dashboards bleiben grün. Und doch hat sich die Risikolage grundlegend verschoben – nur eben nicht dort, wo das eigene SOC hinschaut. Die Schwachstelle liegt außerhalb des Perimeters, außer Reichweite der üblichen Telemetrie und häufig auch jenseits der eigenen Zuständigkeiten. Genau dort, wo moderne Wertschöpfung in der Praxis stattfindet: bei Third Parties.

Dass Drittparteien zur Achillesferse werden, ist keine überraschende Schlagzeile – aber die Mechanik dahinter wird in vielen Unternehmen unterschätzt. Third Parties stehen mitten in unseren Prozessen, tragen weitreichende Berechtigungen, hosten Daten, signieren Updates, verwalten Identitäten, triagieren Tickets, betreiben Infrastruktur und liefern das, was Kundinnen und Kunden direkt erleben: Verfügbarkeit, Geschwindigkeit, Qualität. In dieser Rolle sind sie nicht „außen“, sondern innen – oft mit mehr Rechten, mehr Einblick und mehr Steuerungsmacht als das, was wir im eigenen Haus für selbstverständlich halten.