Wie können sich Berliner Firmen vor Industriespionage schützen?

Text: O.K. / Letzte Aktualisierung: 18.10.2023

Industriespionage ist eine ernste Bedrohung für die Wirtschaft, insbesondere in einem technologisch fortgeschrittenen Land wie Deutschland. Der Diebstahl von Geschäftsgeheimnissen und anderen sensiblen Informationen durch Wettbewerber kann die Innovationsfähigkeit und finanzielle Stabilität von Unternehmen erheblich beeinträchtigen. Umso wichtiger ist es für Firmen, ihre Dokumente, Gebäude und IT-Infrastruktur vor dem Zugriff durch Außenstehende zu schützen. In diesem Ratgeber geben wir Ihnen einen ersten Überblick über die Möglichkeiten zur Risikominderung. Viele davon sind essenziell, um die Wettbewerbsfähigkeit von Unternehmen in einem zunehmend herausfordernden Marktumfeld zu wahren.

Deutsche Wirtschaft: Milliardenschäden durch Industriespionage auch in Berlin

Dass Industriespionage für deutsche Unternehmen ein ernstzunehmendes Thema ist, offenbart ein Blick auf aktuelle Statistiken. Demnach erleidet die deutsche Wirtschaft durch den Diebstahl von Daten und IT-Ausrüstung sowie Sabotage jährlich einen Schaden von mehr als 200 Milliarden Euro.[1] Berlin ist als Hauptstadt und wichtiger Wirtschaftsstandort mit einer sehr hohen Dichte an Firmen, Lobbyisten und Nähe zu Behörden, politischen Entscheidungsträgern und Wirtschaftsverbändern besonders anfällig für diese Form von Bedrohungen. Dafür sorgt laut Experten auch die stetig zunehmende Ansiedlung ausländischer Unternehmen in der Region. Besonders im Speckgürtel von Berlin.

Das Sicherheitskonzept: Die Basis für einen effektiven Spionageschutz

Durch Erstellen eines Sicherheitskonzepts (SiKo) legen Unternehmen ein solides Fundament für einen wirksamen Schutz vor Industriespionage. Zentrales Element jeder SiKo ist die systematische Risikoanalyse. Ziel ist es, alle sensiblen Bereiche und Informationen innerhalb des Unternehmens zu identifizieren und die Risiken sowie Folgen eines Informationsverlusts zu bewerten. Die Ergebnisse dienen dann als Grundlage, um entsprechende Regeln und Vorkehrungen zu implementieren. Im Folgenden gehen wir näher auf die einzelnen Maßnahmen ein.

Festlegen von Zugangsbeschränkungen & Implementieren von Kontrollmechanismen

Eine der wichtigsten Maßnahmen zur Vorbeugung von Wirtschaftsspionage, ist das Einführen strikter Zugangsbeschränkungen im Unternehmen. Durch diese lässt sich sicherstellen, dass nur Mitarbeiter Zugang zu bestimmten Bereichen bzw. Zugriff auf bestimmte Daten und Dokumente haben, die auch dafür autorisiert sind. Beispiele für Bereiche, die für die Wettbewerbsfähigkeit von Bedeutung sind und die immer wieder Ziel von Spionageangriffen werden, sind Forschungs- und Entwicklungsabteilungen, die IT-Infrastruktur (Serverräume), Produktionsstätten und Verwaltungsräume.

Regeln lässt sich der Zugang zu einzelnen Bereichen über Zugangskontrollen. Wie diese konkret aussehen, hängt von verschiedenen Faktoren wie der Sensibilität des zu schützenden Bereichs ab. Für Unternehmensbereiche mit geringem bis mittlerem Schutzbedürfnis können beispielsweise Schlüsselsysteme, Pin-Code-Systeme oder Kartenlesesysteme ausreichen. Ein höheres Schutzniveau bieten Kombination daraus oder biometrische Zugangskontrollen (z. B. Fingerabdruckscanner).

Neben den genannten physischen Zugangskontrollen sollte auch der Zugriff auf virtuelle Daten über firmeninterne IT-Geräte oder von außen (z. B. im Homeoffice via PC oder Smartphone) fest geregelt sein. Eine Möglichkeit dazu bietet zum Beispiel das Einrichten von Benutzergruppen. Diese legen fest, welche Mitarbeiter beim Zugriff auf Datenbanken Zugang zu welchen Datensätzen erhalten.

Passwortrichtlinie einführen

Für den Zugriff auf IT-Systeme ist es wichtig, klare Passwortrichtlinien festzulegen. Denn unsichere und leicht zu erratende Passwörter sind ein beliebtes Einfallstor bei der Industriespionage. Als sehr sicher gelten komplexe Passwörter aus Buchstaben, Zahlen und Sonderzeichen. Bei sensiblen Daten ist es zudem sinnvoll, Passwörter mit weiteren Authentifizierungsebenen (sogenannte Multi-Faktor-Authentifizierung) zu kombinieren. Dabei kann es sich zum Beispiel um den Versand eines Einmal-Codes auf das Smartphone oder die Verwendung eines Hardware-Dongles handeln.

Installation von Überwachungstechnik

Ein weiterer wichtiger Baustein für den wirksamen Schutz vor Industriespionage ist die Installation von Überwachungstechnik. In erster Linie handelt es sich dabei um Kamerasysteme, die in sensiblen Bereichen des Unternehmens installiert werden. Diese lassen sich nutzen, um Aktivitäten wie den Zutritt zu Gebäuden in Echtzeit zu überwachen (z. B. durch eigens dafür vorgesehenes Sicherheitspersonal) oder um diese aufzuzeichnen und bei Bedarf später zu betrachten. Rechtlich ist es wichtig, dass dabei die Datenschutzvorgaben eingehalten werden und eine sichtbare Kennzeichnung der Kameraüberwachung für Mitarbeiter und Besucher erfolgt.

Datenverkehr überwachen

Neben der physischen gilt es auch die digitale Umgebung im Unternehmen zu überwachen und sowohl vor Cyberangriffen als auch vor Spionage von Insidern zu schützen. Vor Angriffen von außen bieten Firewalls und Systeme zur Erkennung von Eindringlingen (sog. Intrusion Detection Systeme, kurz: IDS) zuverlässigen Schutz. Sie erkennen verdächtigten Netzwerkverkehr, sperren ihn aus und alarmieren das dafür zuständige IT-Personal. Allerdings ist es für einen wirksamen Schutz wichtig, diese Systeme fortlaufend zu aktualisieren und richtig zu konfigurieren.

Endpoint-Security-Software nutzen

Statistiken von Sicherheitsunternehmen belegen: Ein Großteil der Spionageangriffe auf deutsche Unternehmen erfolgt unbemerkt über mit Viren oder Trojanern infizierte Endgeräte wie Homeoffice-PCs oder Smartphones. Mit einer Endpoint-Security-Software können Unternehmen diese Geräte überwachen, Sicherheitsbedrohungen erkennen und sie unschädlich machen, bevor sie ernsten Schaden anrichten können.

Einrichten eines Incident-Response-Teams

Kommt es im Unternehmen zu einem Sicherheitsvorfall, ist eine schnelle Reaktion wichtig, um den Schaden so gering wie möglich zu halten. Eine effektive Möglichkeit bietet die Bildung eines sogenannten Incident-Response-Teams (IRT). Dabei handelt es sich um eine Gruppe aus unternehmensinternen Experten, die für die Reaktion auf Sicherheitsvorfälle wie das Eindringen von Cyberkriminellen in IT-Systeme geschult sind. Zu den Aufgaben eines Incident-Response-Teams zählen:

• das frühzeitige Erkennen von Anomalien in IT-Systemen,
• die Analyse des Umfangs und der Auswirkungen des Vorfalls,
• die schnelle Eindämmung, um weitere Schäden zu verhindern,
• die Wiederherstellung von wichtigen Computersystemen und
• die Nachbearbeitung des Vorfalls und Verbesserung der Systeme.

Überprüfen von Software & Durchführen von Systemaktualisierungen

In vielen Unternehmen gilt nach wie vor das Motto: "Never change a running system" (Verändere niemals ein laufendes System). Die Folge: Zahlreiche Computersysteme arbeiten mit veralteter Software, die oftmals bekannte Sicherheitslücken aufweist. Bestes Beispiel: Die Zero-Day Schwachstelle in Microsoft Office aus dem Juli 2023. Über diese konnten Angreifer mittels präparierter Office-Dokumente Schadcode in Systeme einschleusen und so die Kontrolle über diese übernehmen.

Die beste Maßnahme, um Sicherheitslücken vorzubeugen, ist das regelmäßige Aktualisieren der Systemsoftware (z. B. Windows oder MacOSx) und die ausschließliche Nutzung von Software aus seriösen Quellen (z. B. von bekannten Anbietern wie Adobe, SAP, etc.). Dabei sollten Unternehmen nicht nur an Computer und Server denken, sondern auch an Mobilgeräte wie Smartphones und Tablets und andere Geräte, die mit einer Betriebssoftware oder Firmware arbeiten. Des Weiteren sollte auch an die regelmäßige Aktualisierung des Servers und der Webseite gedacht werden. Lesen Sie auch: Tipp für Handwerker: Damit Sie Ihre Kunden besser informieren und neue Kunden gewinnen können, sollten Sie eine Webseite erstellen. Lesen Sie dazu: Berliner Unternehmen gehen ins Internet - Das sollten Sie beachten!

Deutliche Zahlen: Einer Untersuchung zufolge gingen in den USA zuletzt 60 Prozent der erfolgreichen Cyberangriffe auf das Konto nicht durchgeführter Aktualisierungen von Betriebssystemen oder nicht installierter Sicherheitspatches.

Regelmäßige Schulung von Mitarbeitern

Ein wichtiger Faktor beim Schutz vor Cyberangriffen und Insider-Spionage in Unternehmen ist die regelmäßige Schulung von Mitarbeitern. Bei diesen intern oder extern von Experten durchgeführten Maßnahmen wird das Bewusstsein der Mitarbeiter für potenzielle Bedrohungen und deren Auswirkungen geschärft.

Je nach Arbeitsplatz erhalten sie zum Beispiel konkrete Leitfäden für den Umgang mit sensiblen Daten, die Bedeutung von regelmäßigen Systemaktualisierungen und über die Best-Practices bei der Wahl von sicheren Passwörtern. Auch das Thema Datenschutz bei Videoaufzeichnungen oder der Protokollierung von Zutritten sollte Teil der Schulung sein. Der genaue Umfang hängt vom jeweiligen Unternehmen ab.

Vertrauenswürdigkeit von Mitarbeitern überprüfen

Mitarbeiter, die im Auftrag anderer Unternehmen oder Staaten sensible Daten ausspionieren, lassen sich nicht auf den ersten Blick erkennen. Deshalb ist es ratsam, den Hintergrund von Mitarbeitern, die in Bereichen mit sensiblen Daten bzw. Informationen arbeiten sollen, genau zu überprüfen. Eine gute Möglichkeit dazu bietet eine Hintergrundüberprüfung (Background Check), der jedoch an strenge gesetzliche Rahmenbedingungen gebunden ist und zudem einer Zustimmung durch den Bewerber bedarf. Bei dem Hintergrundcheck können Arbeitgeber unter anderem

• frühere Arbeitsverhältnisse (wo hat der Bewerber wie lange gearbeitet?),
• Bildungsabschlüsse (wo hat der Bewerber studiert oder sich fortgebildet?),
• das Strafregister (ist der Bewerber eventuell vorbestraft?) und
• die Bonität (ist der Bewerber verschuldet?)

überprüfen. All diese Informationen erlauben eine Einschätzung der Vertrauenswürdigkeit des Mitarbeiters und wie empfänglich er zum Beispiel angesichts seiner finanziellen Verhältnisse für Angebote zur Wirtschaftsspionage ist. Bestimmte persönliche Informationen wie die Religionszugehörigkeit sind allerdings tabu.

Hintergrundcheck durch externe Dienstleister

Viele Unternehmen haben nicht die personellen Ressourcen, um selbst eine Hintergrundüberprüfung von Bewerbern durchzuführen. In diesem Fall besteht die Möglichkeit einen externen Dienstleister wie eine Detektei [2] (meist Wirtschaftsdetektei) mit dieser Aufgabe zu betrauen. Allerdings ist auch hier wichtig, dass die Detektei die geltenden gesetzlichen Bestimmungen bezüglich des Datenschutzes einhält.

Regelmäßige interne Überprüfungen

Getreu dem Motto "Vertrauen ist gut, Kontrolle ist besser" sollten Unternehmen regelmäßig interne Überprüfungen durchführen. Bei diesen wird kontrolliert, ob Mitarbeiter sich an die Richtlinien halten und es keine Anzeichen für Spionage gibt. Auch hier können sich Unternehmen Unterstützung durch eine Wirtschaftskanzlei holen. Allerdings sind auch hier rechtliche Grenzen gesetzt. So ist eine Überwachung bzw. Beschattung einzelner Mitarbeiter durch einen Detektiv nur dann zulässig, wenn ein konkreter Verdacht für ein Fehlverhalten vorliegt.

Beratung durch externe Experten in Anspruch nehmen

Das Erstellen eines Sicherheitskonzepts und dessen Umsetzung sind eine große Herausforderung. Daher kann es für Unternehmen sinnvoll sein, die Hilfe von Experten in Anspruch zu nehmen. Besonders wertvoll im Zusammenhang mit Wirtschaftsspionage ist das Wissen des Bundeskriminalamts (BKA). Die Behörde bietet verschiedene Beratungsdienste an, um Unternehmen bei der Identifizierung und Minderung von Sicherheitsrisiken zu unterstützen. Dazu zählen beispielsweise Informationen zu aktuellen Bedrohungen (z. B. zu Schadsoftware wie Ransomware) oder auch Schulungen zu spezifischen Sicherheitsthemen.
Auch das BKA und die Berliner Polizei können hier die richtigen Ansprechpartner sein!

Neben dem BKA oder dem Bundesamt für Verfassungsschutz [4] können spezialisierte Sicherheitsberatungsfirmen helfen, die Unternehmenssicherheit zu bewerten, Schwachstellen aufzudecken und bei der Erstellung eines Sicherheitskonzepts inklusive dessen Umsetzung zu helfen. Häufig bieten diese Dienstleister auch die Durchführung von Sicherheitsaudits, Schulungen und Penetrationstests an. Letztere haben den Zweck, zum Beispiel durch Hacking Zugang zu den IT-Systemen zu erlangen und so Sicherheitslücken erkennen und schließen zu können. Hilfreich für Unternehmen kann auch eine Beratung und Unterstützung durch Sicherheitsdienste sein, um zum Beispiel eine Überwachung durch Kameras oder Zugangskontrollsysteme installieren und warten zu lassen.

Sicher vor Industriespionage: Die Checkliste

• Risiken analysieren und Sicherheitskonzept erstellen
• Zugangsbeschränkungen und Kontrollmechanismen installieren
• Physische und digitale Überwachungstechnik installieren
• Richtlinien für Software- und Systemaktualisierungen festlegen
• Passwortrichtlinie und ggf. Multi-Faktor-Authentifizierung einführen
• Incident-Response-Team für Notfälle wie Datenlecks einrichten
• Mitarbeiter regelmäßig schulen und für Gefahren sensibilisieren
• Background Check von Bewerbern, ggf. durch eine externe Detektei
• Externe Expertise vom BKA und anderen Sicherheitsfirmen nutzen
• Allgemeine Infos zur Sicherheit in Berlin

Quellenangaben bzw. weiterführende Informationen:

• [1] Schäden durch IT-Diebstahl und Industriespionage übersteigen 200 Milliarden Euro
  Herbert Schulte, NRW-Landesgeschäftsführer Politik des BVMW, äußert tiefe Besorgnis über die jüngsten Ergebnisse einer Bitkom-Studie. https://www.bvmw.de/de/...industriespionage-uebersteigen-200-milliarden-euro
• [2] Wenn Mitarbeiter zu internen Vorgängen in ihrem privaten Umfeld zu redselig sind und Beratung in Sachen Lauschabwehr und Mitarbeiterüberprüfung: https://www.detektiv-tudor.com/berlin/detektei
• [3] Forscher berichten, dass fast 60 % der Datenschutzverletzungen in den letzten zwei Jahren auf einen fehlenden Betriebssystem- oder Anwendungspatch zurückzuführen sind.
  https://www.darkreading.com/vulnerabilities-threats/missing-patches-misconfiguration-top-technical-breach-causes (In englischer Sprache, deshalb nicht verlinkt)
• [4] Das Bundesamt für Verfassungsschutz: "Wirtschaft und Wissenschaft in Deutschland sind aufgrund ihrer herausragenden Stellung Ziel vielfältiger Bedrohungen: Spionage und Sabotage durch staatliche Akteure aus dem Ausland, aber auch Terrorismus und der gewaltbereite Extremismus stellen ernst zu nehmende Gefahren für deutsche Unternehmen und Forschungseinrichtungen dar."
  https://www.verfassungsschutz.de/....wirtschafts-wissenschaftsschutz_node.html

Ämter in Berlin:

Bezirke in Berlin:

Alle Angaben ohne Gewähr!