Marktplatz IT-Sicherheit:
die Plattform für IT-Sicherheit

Für die Betreiber eines Online-Marktplatzes ist es entscheidend, Risiken realistisch einzuschätzen und faktenbasiert Entscheidungen zu treffen. IT-Sicherheitsfirmen bieten hierfür Dienstleistungen an, die von IT-Sicherheitsstudien mit branchenspezifischen IT-Sicherheitszahlen bis hin zu umfassenden Sicherheitstests reichen. Ein Unternehmen könnte zum Beispiel anlassbezogen einen Penetrationstest durchführen lassen, wobei externe Spezialisten die Verteidigungsmaßnahmen des Marktplatzsystems prüfen und systematische Angriffe simulieren. Die durch solche IT-Sicherheitsstudien und Penetrationstests gewonnenen Erkenntnisse helfen, Fortschritte messbar zu machen und den Stand der aktuellen Schutzmaßnahmen sachlich zu belegen. Die IT-Sicherheitszahlen, die aus diesen und weiteren unabhängigen Untersuchungen hervorgehen, liefern Kennzahlen für Managemententscheidungen und unterstützen bei der Einhaltung branchenspezifischer Anforderungen durch kontrollierbare Leistungsindikatoren.

Die technische Sicherheit des Marktplatzbetriebs verlangt robuste Schutzmechanismen und flexible Strategien für den IT-Notfall. Backups bilden hier ein wesentliches Fundament, um im Falle eines plötzlichen Datenverlusts zumindest eine Datenwiederherstellung und den Wiederanlauf zu ermöglichen, sofern die getesteten Bedingungen erfüllt werden. Ergänzend sorgen fortschrittliche Lösungen für E-Mail-Sicherheit dafür, dass schädliche Nachrichten abgefangen werden, bevor sie überhaupt Schaden anrichten. Der Schutz sensibler Geschäftsgeheimnisse und Nutzerinformationen kann zudem durch den Einsatz eines Hardware-Sicherheitsmoduls unterstützt werden, etwa zur sicheren Speicherung von Schlüsseln. IT-Sicherheitstools und die Überwachung durch ein Security Operations Center, kurz SOC, beziehungsweise ein internes Security Operations Center, helfen dabei, Angriffe frühzeitig zu erkennen, auch wenn nicht jedes Unternehmen zwingend ein solches Zentrum betreibt.

Wenn es um die Bewertung und Steigerung der Vertrauenswürdigkeit eines Marktplatzes geht, nehmen Zertifizierungen eine wichtige Rolle ein. Individuen können Personenzertifikate erwerben, die ihre fundierten Kenntnisse zu IT-Sicherheit bestätigen – etwa als Verantwortliche für Systeme oder Sicherheit. Wird Marktplatzsoftware beispielsweise nach bestimmten, klar benannten Kriterien geprüft, können Produktzertifikate deren Eigenschaften im festgelegten Bewertungsumfang dokumentieren. Unternehmenszertifikate werden wiederum auf Basis von Standards für organisatorische Prozesse und Abläufe ausgestellt, wobei sie den Erfüllungsgrad innerhalb des jeweiligen Bewertungsspektrums widerspiegeln. Zu unterscheiden bleibt: Der Master Cyber-Sicherheit ist ein akademischer Abschluss, der gezielt wissenschaftliche und praktische Kenntnisse zu Cybersecurity vermittelt; er dient nicht als Nachweis einer spezifischen Produkt- oder Personenzertifizierung.

Die Verantwortung für den Schutz von Daten und Systemen ist auf mehrere Schultern verteilt und verlangt spezifische Kompetenzen. Datenschutz nimmt dabei für sämtliche Teilnehmer eines Marktplatzes einen zentralen Stellenwert ein. Der Datenschutzbeauftragte berät die jeweilige Organisation zur Einhaltung des Datenschutzes und überwacht dessen zielgerichtete Umsetzung, wobei die Verantwortung für die Verarbeitung stets beim Verantwortlichen bleibt. Parallel kann ein Informationssicherheitsbeauftragter benannt werden, um innerhalb des Marktplatzunternehmens Strategien für Informationssicherheit zu entwickeln, Maßnahmen zu koordinieren und ein entsprechendes Managementsystem zu pflegen. Unter die Köpfe der IT-Sicherheit fallen jene Fachkräfte und Entscheidungsträger, die technisches Wissen, praktische Erfahrung sowie strategischen Weitblick bei der Absicherung und Weiterentwicklung des Marktplatzes einbringen.

Online-Marktplätze unterliegen einem Geflecht rechtlicher Anforderungen und internationaler Regelwerke. Die Europäische Union hat in den letzten Jahren über verschiedene Gesetzesinitiativen Einfluss genommen und klare Standards gesetzt: Der Cyber Resilience Act (CRA) schreibt Mindestanforderungen zur Cybersicherheit bei digitalen Produkten am Markt vor und legt so eine einheitliche Grundlage für Anbieter fest. Im Finanzsektor ist das DORA-Rahmenwerk maßgeblich, das explizit betroffene Unternehmen und IKT-Drittdienstleister zu strengen Regeln bezüglich ihrer digitalen operationellen Resilienz verpflichtet – hierbei werden vertragliche Vorgaben und die Aufsicht über als kritisch eingestufte Anbieter deutlich voneinander unterschieden. Die DSA-Vorgaben adressieren Vermittlungsdienste wie Hosting-Services und Onlineplattformen, wobei die zu erfüllenden Pflichten klar nach Dienstart und Rolle gestaffelt sind. Einen weiteren Baustein bildet das IT-Sicherheitsrecht, das sich aus IT-Sicherheitsgesetzen und der Richtlinie NIS2 zusammensetzt und für marktplatznahe Unternehmen in spezifischen Sektoren Schutzmaßnahmen und Berichtspflichten regelt. Hinzu kommt eIDAS: Diese Verordnung schafft einen einheitlichen Rahmen für elektronische Identitäten und Vertrauensdienste im europäischen Handel und ist wesentlicher Bestandteil bei sicheren, rechtsverbindlichen Transaktionen sowie im Identitätsmanagement digitaler Marktplätze.

Doch nicht nur technische und rechtliche Aspekte sind wichtig für den sicheren Marktplatzbetrieb – auch die kontinuierliche Schulung und Sensibilisierung der Mitarbeitenden darf nicht fehlen. Ein Unternehmen könnte beispielsweise regelmäßig ein IT-Sicherheitsforum besuchen oder organisieren, um den Austausch zwischen Fachkräften, Entwicklerinnen und Entscheidungsträgern zu fördern und einen schnellen Zugang zu aktuellem Wissen über Angriffsformen zu ermöglichen. Gleichzeitig lassen sich durch speziell auf den Marktplatzalltag zugeschnittene IT-Sicherheitsspiele praxisrelevante Risiken und typische Fehlerquellen simulieren, was einen nachhaltigen Lerneffekt für Security Awareness schafft. Ergänzend ist denkbar, dass Serious Games Cybersecurity im Rahmen von Inhouse-Trainings genutzt werden: Diese spielerischen Formate verbinden Unterhaltung mit der Vermittlung komplexer Sicherheitsinhalte, steigern die Eigenmotivation und erleichtern den Wissenstransfer in reale Situationen, ohne dass ein tatsächlicher IT-Notfall eintreten muss.

Zusammenfassend zeigt sich, dass Marktplätze heute ganzheitliche Sicherheitsstrategien benötigen, die technische, organisatorische und menschliche Aspekte berücksichtigen. Die Entwicklung passender Prozesse, die Beachtung der gültigen Regelwerke und die Sensibilisierung der Köpfe der IT-Sicherheit sind entscheidend, um das Vertrauen aller Nutzergruppen zu erhalten und den Betrieb auch bei sich wandelnden Anforderungen zu sichern.