Wie Pfeifer & Langen IT-Solutions KG Schatten-IT eliminiert und KRITIS-Compliance nachweisbar macht

Als interner IT-Dienstleister der Pfeifer & Langen Industrie- und Handels-KG, einem führenden Hersteller der Nahrungs- und Genussmittelindustrie, steht das Team unter anderem vor der Herausforderung, die Compliance dezentraler Systeme zu gewährleisten. Mit LocateRisk identifiziert und bewertet das Unternehmen seine externe Angriffsfläche kontinuierlich. Das unterstützt bei der täglichen Abwehr sowie bei Prüfungen.

Die Vernetzung von IT und OT sowie wachsende Infrastrukturen erhöhen die Komplexität der IT-Landschaft. Gleichzeitig wird durch dezentrale Systemeinführungen und Dienstleister-Anbindungen die vollständige Transparenz über den digitalen Fußabdruck immer anspruchsvoller. Genau vor dieser Herausforderung stand Jörg Marczinek, IT-Governance-Manager der Pfeifer & Langen IT-Solutions KG. „Durch die Vernetzung und die Vergrößerung haben wir viel mehr externe Dienstleister, die wir koordinieren müssen“, erklärt Jörg Marczinek. Fachabteilungen beauftragen Agenturen, registrieren Domains oder setzen Server auf, um agil zu bleiben. Diese Systeme sind jedoch nicht immer in der zentralen IT-Verwaltung erfasst. „Schon gibt es irgendwo einen Server, der nicht sicher ist, über den wir aber keine Hoheit haben“, beschreibt Jörg Marczinek die Herausforderung.

Von sporadischen Checks zur kontinuierlichen Übersicht

Vor dem Einsatz von LocateRisk fehlte eine strukturierte Übersicht über die externe IT-Angriffsfläche. Sporadische Aufträge bei IT-Dienstleistern lieferten lediglich Momentaufnahmen. Die Idee, LocateRisk zu beauftragen, kam bei einer IT-Veranstaltung in Düsseldorf, als sich das damals noch junge StartUp professionell und kompetent präsentierte. 

Das primäre Ziel war Transparenz. „Es ging darum, eine Systematik zu etablieren und uns einen Überblick zu verschaffen, welche Server und Domains anfällig für Angriffe sind und Sicherheitslücken aufzeigen.“, so Jörg Marczinek. Die ersten Scans brachten dabei auch Systeme ans Licht, die dem Unternehmen zwar namentlich zugeordnet waren, jedoch nicht unter dessen direkter Kontrolle standen; ein wichtiger Schritt zur Klärung von Verantwortlichkeiten und zur Bereinigung der Assets.

„Wir können bei Prüfern und Auditoren den Report vorlegen und belegen, dass wir für die externe IT-Infrastruktur regelmäßige Risikoanalysen durchführen.“ —  Jörg Marczinek, IT-Governance-Manager der Pfeifer & Langen IT-Solutions KG

Unterstützung bei Audits und Versicherungsfragen

Heute ist die quartalsweise Analyse fester Bestandteil der IT-Sicherheit. Besonders hilfreich erweist sich die Lösung bei der Kommunikation mit Prüfern und Auditoren. „Wir können bei Prüfern und Auditoren den Report vorlegen und belegen, dass wir für die externe IT-Infrastruktur regelmäßige Risikoanalysen durchführen“, erläutert Jörg Marczinek. Das schafft Vertrauen und beschleunigt die Bearbeitung der Anfragen. Zwar ersetzen die Scans nicht die komplette interne Dokumentation, sie liefern aber die notwendigen Datenpunkte, um den aktuellen Sicherheitsstatus objektiv zu untermauern.

Compliance-Risiken im Blick: NIS-2 und DSGVO

Neben der technischen Bestandsaufnahme nutzt das Team das Compliance Mapping von LocateRisk. Die Funktion visualisiert, wie gut die im Scope befindlichen Server und Domains im Hinblick auf Normen wie DSGVO und NIS-2 aufgestellt sind. „Ich verantworte die regulatorischen Themen, da ist es hilfreich, Hinweise auf Schwachstellen direkt zu erhalten, ohne manuell nachforschen zu müssen“, sagt Jörg Marczinek. Auch wenn die Visualisierungen mitunter ein optimistisches Bild zeichnen, helfen sie dabei, den Fokus auf Bereiche mit tatsächlichem Handlungsbedarf zu lenken.

Fazit: Automatisierte Prozesse als Antwort auf wachsende IT-Infrastrukturen 

Für die Pfeifer & Langen IT-Solutions KG hat sich der Wechsel von sporadischen Prüfungen zu einem kontinuierlichen Monitoring bewährt. Der zentrale Nutzen liegt in der Validierung der eigenen Wahrnehmung durch eine objektive Außenperspektive. „Für uns ist die fortlaufende Identifikation und Bewertung unserer externen digitalen Präsenz zwingend erforderlich, um die Lücke zwischen dokumentierter IT und tatsächlicher Exposition im Netz zu schließen“, fasst Jörg Marczinek zusammen. Die nächsten Schritte sind bereits definiert: Die Ergebnisse sollen künftig stärker automatisiert in das Incident-Management einfließen, um Prozesse weiter zu straffen und Reaktionszeiten zu verkürzen.

Die Vorteile für die Pfeifer & Langen IT-Solutions KG

---