Herr Fox, Sie sind seit fast 30 Jahren am Markt und beschäftigen sich mit der Informationssicherheit von großen und mittelständischen Unternehmen. Woraus speist sich die Hingabe für das Thema?
 
Ich bin von Herzen ein Netzwerker. Denn Vernetzung ist heutzutage das Bindemittel für alles. Ohne unsere Verbindungen zueinander entstehen keine Innovationen und kein Fortschritt. Und wenn es um Netzwerke geht, ist deren Sicherheit stets relevant.
 
In welchen Branchen ist die Komponente »Informationssicherheit« am relevantesten?
 
In Deutschland gibt es ein schönes Sprichwort: »Alle kochen mit dem gleichen Wasser.« Das passt zu dieser Frage perfekt. Jedes Unternehmen ist mittlerweile abhängig von IT. Vom Solo-Selbstständigen bis zum Konzern, von der Metropole bis in die tiefste Provinz: Durch eine mangelnde Informationssicherheit kann jede Organisation existenzielle Probleme bekommen. Wer seinen Computer mit dem Internet verbindet, wird damit angreifbar. 
 
 Oft wird Informationssicherheit allein mit IT gleichgesetzt. Warum ist das falsch?
 
Das ist nicht nur bei den Begriffen IT und Informationssicherheit ein Problem. Auch Cyber-Security wird oftmals als Synonym für die beiden Wörter benutzt. Dabei reden wir über drei grundsätzlich verschiedene Bedeutungen.
 
Die da wären?
 
Bei der IT-Security geht es hauptsächlich um Hardware und Software. Um Betriebssysteme, VPN-Tunnel, Netzwerkprotokolle, Firewalls oder das Patch-Management.
 
Cyber-Security ist die nächsthöhere Ebene: Sie behandelt Verschlüsselungsverfahren oder Bedrohungsmodelle –  Prävention, Erkennung, Reaktion. 
 
Was zahlreiche Unternehmen dramatisch unterschätzen: Es gibt neben externen Angriffen auch interne, die statistisch gesehen häufiger auftreten. Diese Attacken aus der eigenen Company sind besonders gefährlich. Deshalb ist ein breitflächiges Awareness-Training für die Mitarbeitenden wichtig. Was ist Spam? Was Malware? Worauf darf ich klicken?
 
Informationssicherheit ist dagegen der ganz große Brocken. Er umspannt die vorher genannten Begriffe. Weitere kommen dazu: Governance, Compliance, Regulatorik, Lieferketten- und Vertragsmanagement, Disaster Recovery und Business Continuity.
 
Welcher Aspekt der Informationssicherheit wird am häufigsten unterschätzt?
 
Einige Verantwortliche behaupten, dass Informationssicherheit die IT unterstützen sollte. Ein Irrglaube! Es ist anders herum: Die IT sollte die Informationssicherheit unterstützen. Als gutes Beispiel: Disaster Recovery ist und bleibt ein Business-, kein IT-Problem! Es ist erstaunlich, wie unvorbereitet Unternehmen und Branchen auf dieses Thema reagieren. Sie investieren zu wenig Aufmerksamkeit und zu geringe Ressourcen.
 
Der Begriff Disaster Recovery lässt sich leicht übersetzen. Aber was verbirgt sich dahinter?
 
Die Frage, was mit dem Geschäft passiert, wenn es beispielsweise zu einem breitflächigen Ausfall der IT kommt. Was wären die Folgen für Amazon, wenn die Plattform am Black Friday oder vor Weihnachten ausfällt? Welche Maßnahmen können das Problem lösen und den Schaden begrenzen? Eine gute Disaster Recovery entscheidet, wie wahrscheinlich Firmen Notlagen erleiden und diese überleben. Ein Risiko lässt sich selten komplett ausschließen, aber man kann es stark reduzieren.
 
Wie hat sich das Thema Informationssicherheit in den vergangenen drei Jahrzehnten verändert?
 
Heutzutage sprechen wir über ein ganz anderes Datenvolumen. Alle paar Jahre verzehnfacht sich die Informationsmenge. Die Verantwortlichen müssen deutlich mehr managen als früher.
 
Wie gelingt Ihnen das als Berater oder Interimsmanager?
 
Mit einem Zusammenspiel aus verbesserter Dokumentation, viel Erfahrung und einem effizienten Troubleshooting-Verfahren.
 
Troubleshooting bedeutet übersetzt Fehlerbehebung. Das klingt etwas banal für einen Lösungsansatz.
 
Große Probleme kann man meist nicht in einem Rutsch beheben. Das muss man einsehen. Also zerbreche ich sie in Krumen und behebe die Fehler im Kleinen. Das ist ein effizientes Vorgehen.
 
Sie haben Erfahrungen in diversen Bereichen gesammelt, bei Pharmaunternehmen, Versicherungen und Banken. Auch wenn die Informationssicherheit überall relevant ist: In welchen Branchen erkennen Sie den größten Nachholbedarf?
 
Daten sind das neue Gold. Daher werden ausnahmslos alle Bereiche attackiert. Kein Unternehmen kann sich von einem Nachholbedarf freisprechen. Es gibt aber Branchen, die sind deutlich besser gewappnet als andere. Zum Beispiel Banken und Versicherungen.

Drucker sind eher ein Symptom für verpennte Digitalisierung. Und kein Problem für die Informationssicherheit.
 
Tatsächlich ist die Sache problematischer. Wer kümmert sich? Die IT-Abteilung, weil Drucker streng genommen zu deren Aufgabengebiet gehören? Der Einkauf? Das Lieferketten-Management? Informationssicherheit ist kein Problem, dass sich auf ein thematisches Feld beschränkt. Sie verlangt jederzeit eine kooperative Zusammenarbeit über Abteilungsgrenzen. Und eine übergeordnete Verantwortung.
 
Wie steht es um die Kollaboration bezüglich der IT-Sicherheit?
 
Oft schwierig. Was passiert, wenn die IT fordert, dass alle Server für ein Update vom Netz müssen. Der Protest in den anderen Abteilungen ist groß, es wird mit Verlusten argumentiert. Meist gewinnt die Seite mit dem Geldbeutel – also das Business. Auch an diesem Punkt ist gutes Risikomanagement wichtig. Wenn klar ist, was ein möglicher Verlust der Informationssicherheit kosten kann, ist das ein wirksames Gegenargument.
 
 
Rivalitäten zwischen einzelnen Abteilungen in Unternehmen sind bekannt. Wie lässt sich dieser kooperative Geist erzeugen?
 
Indem man das Schwarze-Peter-Spiel vermeidet und begreift, dass man im selben Boot sitzt. Ich arbeite in meiner Beratung gerne mit leicht verständlichen Analogien wie dem Rettungsboot. 10 Leute sitzen darin. Alle haben ein Ruder, es gibt jedoch zehn verschiedene Schlagstile. Was passiert: Die Havarierten rudern unterschiedlich und das Boot rotiert. Dann steht ein Mensch auf und behauptet, dass er weiß, wie man paddelt. Wenn genügend Personen darauf vertrauen, sagen wir acht, geht es zumindest schon mal in eine Richtung. Es ist entscheidend, dass sich die Expertise in einem relevanten Thema durchsetzt.
 
Das klingt logisch – aber zu romantisch.
 
Es braucht Führung, die sagt, auf wen wann zu hören ist. Das zeichnet gutes Management aus. Es weiß nicht alles am besten, kann aber einschätzen, wer in welchem Thema die Richtung vorgeben sollte. 
 
Wo wir beim Thema Durchsetzen sind: Wie kommen Sie als externer Berater in diesem Dickicht der Interessen zurecht?
 
Es ist für IT-Spezialistinnen und Spezialisten teilweise ein mühseliger Berufsalltag. Nicht umsonst wird zuletzt häufiger über das Thema Burn-out im Kontext der Informationssicherheit diskutiert. Die Verantwortung der Spezialistinnen und Spezialisten ist hoch, die Ressourcen dagegen begrenzt. Besonders was den Entscheidungsfreiraum anbelangt. Dazu gibt es mit dem Staff vereinzelt Probleme. Externe Expertinnen und Experten werden als Aufsehende wahrgenommen, die Verbote aussprechen oder noch mehr Pflichten auf den Teller der Angestellten häufen. Unter diesem Vorurteil leidet die Akzeptanz.
 
Wie erzeugen Sie statt Distanz die notwendige Nähe?
 
Ich muss Kompetenz ausstrahlen, ohne dass sie aufgesetzt oder arrogant wirkt. Für mich ist wichtig, dass ich gut über das Unternehmen und die Aufgabe informiert bin. Dann kann ich die richtigen Fragen stellen. Die sind zu Beginn wichtig, weil ich mit ihnen mein Interesse an anderen Personen und gleichzeitig Fachkenntnis ausdrücke.
 
Ihre Zeit in Organisationen ist begrenzt. Wie wichtig ist neben dem Machen das »Enablen«?
 
Das Thema Informationssicherheit lässt sich nicht wie ein normales Projekt starten und abschließen. Es geht um eine permanente Verbesserung der Sicherheitslage. Es ist eine kontinuierliche Aufgabe. Dafür braucht es fortlaufende Optimierungsprozesse. Trotzdem ist ein durchdachtes Fundament sehr sinnhaft. Zu diesem gehören grundlegende Strukturen, die das Thema Informationssicherheit personell und prozessual über Abteilungsgrenzen abbilden. In meiner Funktion als externer Berater oder Interimsmanager will ich zunächst diese Ausgangslage schaffen. Danach muss ich die internen Beschäftigten befähigen, damit diese auf dem Fundament langfristig etwas aufbauen.
 
Warum sind Sie trotz der Herausforderungen immer selbstständig geblieben?
 
Nicht, weil es so einfach ist. Es gibt wirklich sehr frustrierende Situationen. Besonders dann, wenn Firmen einen teuer einkaufen, aber nicht wirklich an Bewegung interessiert sind. Ich möchte aber bewegen, bin persönlich am Erfolg interessiert. Ich will kein Berater sein, der die Augen schließt, den Mund hält und die Hand ausstreckt. Was manche auch unterschätzen: Wenn ein Projekt richtig gut läuft, ich eine Bindung zu den Personen im Unternehmen aufbaue, ist der Abschied schwer. Vor allem weil ich weiß, dass ich demnächst wieder bei null anfange.
 
Das klingt jetzt nicht unbedingt wie eine Eloge auf Ihre Selbstständigkeit.
 
Ich schätzte das, was ich tue, trotz der beschriebenen Nachteile sehr. Um noch eine Analogie zu bringen: Ich esse sehr gerne chinesisch. Aber wenn ich das jeden Tag tue, wird mir langweilig. So geht es mir mit meinen Projekten. Es gibt grundsätzlich drei Phasen: Change, Build und Run. Ich persönlich initiiere gerne den Wandel und gestalte ihn aus. Danach benötige ich eine neue Aufgabe. Genau diese Option bietet mir meine Selbstständigkeit. In Amerika würde man mich als Mover-und-Shaker-Typ bezeichnen. 
 
Beeinflusst Ihre Herkunft die Qualität Ihrer Beratung?
 
Ja, ich kann amerikanisch denken, also nicht unbedingt besser, aber anders. Wenn andere zu viele Probleme sehen, zu lange abwägen, setze ich – in den mir gesetzten Grenzen – rasch etwas um. Manchmal ist es zielführender, um Entschuldigung zu bitten, als eine Erlaubnis zu bekommen. Wenn es Nachfragen gibt, kann ich mich darauf berufen, dass ich »neu« bin.
 
Zum Abschluss: Ihre drei Tipps für Unternehmen, die nach diesem Interview beim Thema Informationssicherheit fiese Bauchschmerzen bekommen?
 

1. Lassen Sie von externen Beratern und Beraterinnen ihren Schuldenstand überprüfen. Um zu wissen, wo sie stehen, braucht es eine neutrale Ist-Analyse.
2. Informationssicherheit fängt beim Einzelnen an. Kommunizieren Sie klar und deutlich, was Sie von Ihren Mitarbeitenden erwarten. Das gilt auch für das Management!
3. Für die Klarheit empfehle ich einfache Analogien. Egal welche Abteilungen in einem Unternehmen involviert sind: Beim Thema Informationssicherheit rudern alle im selben Boot. Verdeutlichen Sie das.