Wirksamkeit von Sicherheitsmaßnahmen prüfen
Sicherheitsmaßnahmen einzuführen ist der erste Schritt – aber wie weiß man, ob sie wirklich funktionieren? Eine Firewall kann installiert sein und trotzdem falsch konfiguriert sein. Ein Backup-System kann laufen und trotzdem seit Monaten keine vollständigen Backups erstellt haben. Die Wirksamkeitsprüfung von IT-Sicherheitsmaßnahmen ist deshalb genauso wichtig wie ihre Einführung – und Teil des PDCA-Zyklus jedes IT-Sicherheitsmanagements.
1) Warum Wirksamkeit prüfen?
IT-Sicherheitsmaßnahmen können aus verschiedenen Gründen ihre Wirkung verlieren: neue Angriffsvektoren umgehen bestehende Kontrollen, Konfigurationen driften über Zeit, neue Systeme werden ohne Sicherheitsmaßnahmen eingeführt, oder Maßnahmen werden zwar dokumentiert, aber nie tatsächlich umgesetzt. Wirksamkeitsprüfungen schließen diese Lücke zwischen Soll (Dokumentation) und Ist (Realität).
2) Methoden zur Wirksamkeitsprüfung
3) KPIs für IT-Sicherheit
Wirksamkeit lässt sich auch durch messbare Kennzahlen (Key Performance Indicators) dokumentieren:
| KPI | Was er misst |
|---|---|
| Zeit bis Patch (Mean Time to Patch) | Durchschnittliche Zeit von CVE-Veröffentlichung bis Patch – je kürzer, desto besser |
| Phishing-Klickrate | % der Mitarbeitenden, die bei Phishing-Simulation klicken – soll sinken |
| Backup-Erfolgsrate | % der erfolgreichen Backups – sollte nahe 100 % sein |
| Anzahl offener Critical-CVEs | Ungepatchte kritische Schwachstellen – soll gegen 0 gehen |
| Mean Time to Detect (MTTD) | Durchschnittliche Zeit bis zur Erkennung eines Vorfalls – je kürzer, desto besser |
Zusammenfassung
Sicherheitsmaßnahmen müssen regelmäßig auf Wirksamkeit geprüft werden. Die wichtigsten Methoden: Penetrationstest (simulierter Angriff), Vulnerability Scanning (automatisiert), Sicherheitsaudit (Prozess und Dokumentation), Phishing-Simulation (Menschliche Faktoren), Backup-Test (letzte Verteidigungslinie) und Security Monitoring / SIEM (Echtzeitüberwachung). KPIs machen Sicherheit messbar: Patchzeit, Klickrate, offene CVEs, MTTD. Wirksamkeitsprüfungen sind Teil des PDCA-Zyklus und des BSI-Grundschutz-Prozesses.