Fachgespräch: IT-Security als Service:
IT-Sicherheit: Warenkorb statt Wundertüte

von Lars Bube (lars.bube@crn.de)

Share
25.05.2010

Die zunehmende Anzahl und Gefährlichkeit der Angriffe auf IT-Umgebungen erfordert neue flexiblere Sicherheitsstrategien. Im Hintergrundespräch mit InformationWeek-Redakteur Lars Bube mahnte Astaro-CEO Jan Hichert deshalb: »Sicherheits-Hardware ohne Servicegedanke führt Unternehmen in die Investitionssackgasse!«

(Fortsetzung des Artikels von Seite 2)

Keine Beiträge im Forum. » Diskussion starten!

Jan Hichert, CEO von Astaro: »Sicherheits-Hardware ohne Servicegedanke führt Unternehmen in die Investitionssackgasse!«

Einer der wenigen Wirtschaftszweige, der gerade in der Krise erst richtig aufblühen konnte, ist die kriminelle Schattenwirtschaft im Internet. Angriffe gegen Unternehmen per Spam, Malware und Phishing sind im letzten Jahr auf besorgniserregende Rekordwerte gestiegen. Dementsprechend ging es auch der IT-Sicherheitsbranche in der Flautenzeit weit besser als den meisten anderen Branchen. Die Marktforscher von IDC bezifferten allein den europäischen Markt für IT-Sicherheit im Jahr 2009 auf elf Milliarden Euro.

In diesem heißen Abwehrkampf gegen immer komplexere Gefahren haben die Anbieter inzwischen eine schier unüberschaubare Bandbreite an Lösungen und Ansätzen entwickelt, aus der Unternehmen zum Schutz ihres Netzwerks, ihres E-Mail-Verkehrs oder ihrer Web-Aktivitäten wählen können. »Auf der CeBIT haben wir es wieder gesehen: Viele Anbieter von IT-Sicherheit setzen noch immer hauptsächlich auf Spezial-Hardware. Damit meine ich speziell entwickelte Hardware-Appliances mit Beschleunigungschips zur Steigerung des Datendurchsatzes«, fast Jan Hichert, CEO von Astaro [1], zusammen.

Solche spezialisierten Lösungen und Appliances sind zwar auf ihrem Gebiet meist sehr gut, bieten dafür jedoch an anderer Stelle offene Flanken, die sich teilweise auch erst nach einiger Zeit im Einsatz zeigen. Hichert warnt deshalb gerade die Verantwortlichen der KMUs vor vorschnellen Entscheidungen: »Vor allem kleinen und mittelständischen Unternehmen, die keine so hohen Geschwindigkeitsanforderungen haben, können wir hier nur raten: Hände weg! Ein hoher Datendurchsatz garantiert kein hohes Sicherheitslevel, und die spezielle Hardware ist unflexibel und schränkt die Anpassungsfähigkeit ein – über kurz oder lang landet man in der Investitionssackgasse.«

Nachhaltige Planung statt Schnellschuss

Security sollte möglichst flexibel geplant werden. (Bild: Michael Kempf, fotolia.de)

Das größte Problem solcher Sicherheitslösungen auf Basis spezieller Hardware ist es, dass spätere Änderungen nur sehr eingeschränkt möglich sind. So lassen sich beispielsweise Funktionserweiterungen nur extrem aufwändig entwickeln, wodurch Funktionsupdates nur selten bis gar nicht herausgegeben werden können. Bei tiefgreifenden Änderungswünschen kann es sogar schnell nötig werden, die gesamte Harware auszutauschen, da eine Anpassung der alten Appliances an neue Anforderungen nicht möglich ist. Gerade für Unternehmen aus sicherheitskritischen Industriebereichen wie Telekommunikations- oder Finanzdienstleister kann das sehr schnell zu einem teuren »Hardware-Marathon“ werden.

»Ändern sich beispielsweise wichtige Compliance-Anforderungen oder wächst das Unternehmen schneller als erwartet und kann der Funktionsumfang der vorhandenen Lösung nicht wie erforderlich erweitert werden, muss im schlimmsten Fall eine komplett neue Sicherheitslösung her.«, erklärt Astaro-Chef Hichert. Das wird dann schnell teuer: »Die ursprünglich für die bestehende Lösung getätigten Investitionen sind dann buchstäblich zum Fenster hinausgeworfen. Bei einem mittelständischen Unternehmen mit hundert Mitarbeitern reden wir hier im Durchschnitt von circa 5.000 Euro!«

Doch gerade für KMUs ist die Entscheidung für eine Sicherheitsstrategie und –Lösung alles andere als einfach, da sich ihre Sicherheitsanforderungen stetig weiterentwickeln und je nach Marktlage auch enorm schnell verändern können. Somit zum Zeit des Hardwareeinkaufs meist noch nicht sicher abzusehen, wie sich die Situation in den nächsten Jahren entwickeln wird und welche Anforderungen an die Sicherheit damit einhergehen. »Mittelfristig betrachtet entpuppt sich die gekaufte Hardware daher als Wundertüte. Beispiel Instant Messaging: Wer eine Spezial-Hardware gekauft hat, bevor Skype und Co aufkamen, konnte dann nur das Handbuch aufschlagen und hoffen, dass seine Lösung bereits imstande war, IM zu blocken. Im Zweifel sollten Unternehmen deshalb eher einen Anbieter wählen, der ihnen mit einem geeigneten Angebotsmodell ein hohes Maß an Flexibilität ermöglicht.«, empfiehlt Hichert.

Alternative Security-as-a-Service?

Gerade für viele kleinere Unternehmen, die angesichts der vorhandenen Vielfalt der Angriffs- und Abwehrszenarien, sowie einer genauen Einschätzung der zukünftigen Entwicklung überfordert sind, empfiehlt sich daher zunehmend der relativ junge Ansatz einer »Security-as-a-Service«. Vor allem die damit mögliche Flexibilität und Skalierbarkeit bieten den mittelständischen Unternehmen enorme Vorteile in ihrer langfristigen Sicherheitsstrategie.

»Statt Hardware-Spezifikationen zu vergleichen, sollten Unternehmen besser auf Lösungen setzen, die hinsichtlich der Plattform Flexibilität bieten und zum Beispiel auch die Installation in virtuellen Umgebungen oder auf beliebiger Hardware ermöglichen. Auch sollte es das Lizenzmodell erlauben, Sicherheitsfunktionen ganz nach Bedarf zusammenzustellen. Diese einzelnen Module lassen sich idealer Weise nach dem Warenkorb-Prinzip frei auswählen und individuell kombinieren. Ändern sich die Sicherheitsanforderungen im Unternehmen, können die gewünschten Sicherheitsmodule ergänzt oder entfernt werden«, so Hichert. »Im Sinne des Servicegedankens sollte der Lizenzanbieter außerdem kontinuierlich Funktions- und Sicherheits-Upgrades zur Verfügung stellen. Wichtig ist, dass der Kunde in Punkto Sicherheit immer auf dem neuesten Stand ist.«

Und selbst wenn die Performance der wichtigste faktor bei einer Sicehrheitslösung sei, müsse man deshalb nicht unbedingt ganz auf Flexibilität Verzichten, wie Hichert verdeutlicht: »Sollte ein Unternehmen in Sachen IT-Sicherheit doch mehr Performance benötigen, muss es auf die Vorteile flexibler Warenkorb-Lösungen nicht verzichten. Man kann zum Beispiel eine clusterfähige Lösung einsetzen und bei steigendem Leistungsbedarf die Hardware-Basis duplizieren. Oder eine Lösung, bei der man die Hardware upgraden kann und der Lizenzanbieter die Subscriptions auf die upgegradete Hardware umschreibt. In beiden Fällen halten sich die Investitionen für das Unternehmen in Grenzen.«

Sein Fazit für die unternehmen lautet deshalb klar: »Alles in allem betrachtet kann man sagen: Nur die richtige Kombination aus Hardware, Software und Lizenzmodell sorgt im Bereich IT-Sicherheit für Kosteneffizienz und Flexibilität und ist für zukünftige Investitionsentscheidungen in Sachen IT-Sicherheit deshalb das A und O!«

[1] http://www.astaro.com/de-de

Verwandte Artikel