Wir leben Partnerschaften und haben den IT-Leiter Herr Reuel von unserem langjährigen Partner der Lück GmbH zu einem Interview getroffen. Er spricht mit uns offen und ehrlich über die Herausforderungen in Bezug auf IT-Security und wagt mit uns einen optimistischen Blick in die Zukunft.

suresecure: Welche Herausforderungen haben sie dazu bewogen einen IT-Security Dienstleister zu beauftragen?

Ralf Reuel: Es gibt zwei Hauptgründe für die Beauftragung eines IT-Security-Dienstleisters. Zum einen haben wir keine Kapazitäten und zum anderen zu wenig Know-how, um uns diesem Bereich so professionell zu widmen, wie es nötig ist.

Unsere ERP-Software und das Tagesgeschäft rauben nahezu alle zeitlichen Kapazitäten, sodass für weitere Themen nur wenig Zeit bleibt. Deshalb arbeiten wir bereits seit 8 Jahren mit Spezialisten auf diesem Gebiet zusammen.

Das heißt es gab schon einen Dienstleister vor der suresecure – wie waren hier Ihre Erfahrungen?

Der Vergleich ist schwierig, da ich quasi die gleichen Ansprechpartner hatte. Herr Papadaniil und Herr Ridderskamp waren letztlich auch der Grund für den Wechsel zur suresecure.

Das ist spannend, d.h. Sie sind auch über diesen Weg auf die suresecure aufmerksam geworden?

Exakt. Ich kannte beide bereits aus Cancom-Zeiten und als ich darüber informiert wurde, dass eine Unternehmensgründung ansteht, war mir sofort klar, dass wir da mitgehen werden. Das persönliche Verhältnis hat sich in der Zeit stark gefestigt und wir vertrauen der Expertise von beiden zu 100 %.

So eine Entscheidung für ein junges Unternehmen im Vergleich zur Cancom scheint auf den ersten Blick unüblich – wie haben Sie das argumentieren können? Was hat Sie letztlich von der suresecure überzeugt?

Ich hatte von Beginn an nicht das Gefühl, dass ich in irgendeinem Punkt Qualität verliere, sondern dass ich bei gleichbleibender Qualität an Flexibilität gewinn

Max Mustermann

Welchen Stellenwert hat IT-Security in Ihrem Unternehmen?

Vor 6-8 Jahren war IT-Security noch ein absolutes Randthema. Es ging dabei lediglich um Spam-Mails und Virenschutzprogramme. Mittlerweile hat es, auch bedingt durch schmerzliche Erfahrungen, einen sehr hohen Stellenwert und ist fester Bestandteil der Unternehmensstrategie. Ein Trojaner hat uns enormen Schaden zugefügt. Diesen Vorfall wollen wir in der Form und so unvorbereitet nie mehr erleben. Deshalb haben wir die Investitionen in präventive Maßnahmen enorm gesteigert und setzen mittlerweile auch auf Managed Security Services.

Wir investieren aber nicht nur in Technologie, sondern wollen perspektivisch auch in Security-Awareness Schulungen für unsere Mitarbeiter investieren. Das halte ich persönlich für sehr wichtig, was durchgeführte Tests auch bestätigen.

Das ist eine schöne Überleitung zu unserem nächsten Thema: Sie haben kürzlich einen [secure]check durchführen lassen - was hat Sie dazu bewogen und wie war Ihre Erwartungshaltung an den Check?

Wir haben bereits mehrere Prüfungen durchführen lassen. Vor einigen Jahren war es ein Black & White Test der T-Systems. Dabei wurde ein unangekündigter Penetrationstest gefahren sowie vor Ort eine Schwachstellenanalyse durchgeführt. Daraus ließen sich definitiv einige gute Maßnahmen und Rückschlüsse ableiten.

Der [secure]check verfolgt einen etwas anderen Ansatz und verlagert den Test-Schwerpunkt von: Wie komme ich in die IT-Infrastruktur hinein zu – wie kann sich ein Angreifer in der IT-Infrastruktur eigentlich bewegen? Diesen Bereich haben wir noch nie untersuchen lassen und waren deshalb sehr interessiert an einer Bewertung.

Zudem versprachen die Vorgespräche eine intensive Prüfung der organisatorischen Abläufe unseres Unternehmens, wo wir uns mancher Schwachstellen durchaus bewusst sind.

Was hat Ihnen der [secure]check gebracht? Wie zufrieden sind Sie mit den Ergebnissen?

Mit dem Ergebnis des [secure]checks sind wir sehr zufrieden. Nicht nur mit dem eigentlichen Ergebnis, sondern insbesondere auch mit dem Ablauf, der Durchführung und der durchweg transparenten Kommunikation. Detaillierte Ergebnisse möchte ich da nicht nennen, wir sind insgesamt aber deutlich für Themen wie Dokumentation sowie das Nachhalten von Anforderungen und Changes sensibilisiert. Zudem wurden die technischen Ansätze aus dem vorherigen Check in Gänze bestätigt.

Welches Gefühl haben Sie derzeit bezüglich Ihrer IT-Security?

Insgesamt habe ich momentan ein sehr gutes Gefühl. Aber: Man kann auch immer noch mehr tun, insbesondere im Bereich Organisation und Dokumentation.

Sie hatten vorhin bereits erwähnt, dass Sie nun auch Managed Security Services nutzen. Was hat Sie dazu bewogen auf einen Service-Vertrag umzusteigen?

Wie bereits erwähnt haben wir immer wieder mit Kapazitätsengpässen zu kämpfen. Wir wollen IT-Security in außergewöhnlicher Qualität und die erhalten wir nun gebündelt von der suresecure. Wir schätzen vor allem die Schnelligkeit, die Flexibilität und die außergewöhnliche Expertise.

Wenn ich das in gleicher Qualität im Unternehmen durchführen wollen würde, bräuchte ich sicherlich 2-3 gut ausgebildete Fachkräfte.

Durch die Corona-Krise ist das Aufkommen von Angriffen stark gestiegen. Nicht nur Schad-Mails, sondern auch infizierte Landingpages mit Corona-Bezug haben uns zu schaffen gemacht. Glücklicherweise legt sich diese Entwicklung mittlerweile wieder. Aber unser Personal ist mit der Instandhaltung der IT-Infrastruktur und dem inhouse Trouble-shooting voll ausgelastet.

Welcher ungefähre prozentuale Anteil der Angriffe wird mittlerweile automatisiert angefangen?

Durch die Expertise der suresecure und dem Einsatz der passenden, gut aufeinander abgestimmten Soft- und Hardware-Komponenten, können wir mittlerweile 90 – 95 % der Angriffe voll automatisiert abfangen. Das ist für uns natürlich eine riesige Entlastung. Teilweise haben wir uns gefragt, ob die Systeme noch funktionieren, da nur noch so wenig Fälle bei uns gelandet sind. Keines der Systeme möchte ich perspektivisch missen wollen.

Was denken Sie ist derzeit Ihr größtes IT-Sicherheitsrisiko?

Gerade das Social-Engeneering spielt eine immens große Rolle. Es ist absolut unerlässlich, die Mitarbeiter für den richtigen Umgang mit E-Mails zu sensibilisieren. Hier haben uns vor allem auch die Ergebnisse aus dem secure[check] geholfen, dieses Thema nun strategisch anzugehen.

Um ein Gefühl für die Security-Awareness der Mitarbeiter zu bekommen, haben wir in der Vergangenheit Test-Spam-Mails an die Mitarbeiter versendet und die Ergebnisse geprüft.

Wenn Sie sich im Bereich IT-Security etwas wünschen könnten, was wäre das?

Was ich mir beziehungsweise dem Unternehmen wünschen würde, ist ein gut funktionierendes SIEM. Mein Favorit wäre das SIEM des Herstellers splunk, da hier auch fremde Produkte und Lösungen miteingebunden werden können. Die intuitive und einfache Bedienung hat mich bei einer Demo-Präsentation überzeugt. Die Korrelation von Daten aus unterschiedlichsten Bereichen ist ein enorm wirkungsvolles und hilfreiches Werkzeug.

Welchen Stellenwert hat IT-Security für Sie persönlich?

Die IT-Security war auch für mich ein Randthema, aber es hat mich gefesselt. Durch die Zusammenarbeit mit der suresecure habe ich mich immer intensiver in das Thema eingearbeitet und Spaß daran gefunden, sodass ich mittlerweile auch zu Hause einen deutlich höheren Sicherheitsstandard vorweisen kann.

Es gibt so viele unvorstellbare Beispiele für die Cyber-Kriminalität. Mir wurde mal ein Film zugespielt, wo Hacker live eine Bank ausgeraubt haben. 100 Mio. € waren nach nur wenigen Stunden auf einem anderen Konto. Natürlich war das nur ein Test, um der Bank zu zeigen, wo Verbesserungsbedarf besteht, aber es zeigt einfach, was alles möglich ist. Ob Walmart, easyjet, Playstation oder Yahoo: Viele große Unternehmen haben bereits Cyber-Skandale durchstehen müssen und das wollen wir mit aller Macht verhindern.

re

Mein Credo ist: Zu Hause lässt man die Türe doch auch nicht offen stehen.

Max Mustermann

Wir bedanken uns an dieser Stelle nochmals herzlich für den partnerschaftlichen Austausch und freuen uns auf eine weiterhin außergewöhnliche Zusammenarbeit.

Im Dia-LOG mit Ralf Reuel