IT-Security-Projekte richtig planen und sicher umsetzen

Das Wichtigste im schnellen Überblick

Erfolgreiche IT-Security-Projekte beginnen lange vor der Installation einer Firewall oder einer anderen Sicherheitslösung. Zunächst müssen Anforderungen, bestehende Systeme, Risiken und technische Abhängigkeiten analysiert werden. Darauf aufbauend entstehen ein passendes Sicherheitskonzept und eine konkrete Planung für Engineering, Implementierung und späteren Betrieb. Eine strukturierte Vorgehensweise reduziert Fehler, vermeidet unnötige Ausfallzeiten und sorgt dafür, dass neue Sicherheitslösungen tatsächlich zur Infrastruktur und den Anforderungen des Unternehmens passen.

IT-Sicherheit lässt sich nicht einfach durch den Kauf einzelner Produkte verbessern. Eine leistungsfähige Firewall, moderne Endpoint Security oder ein neues Security Gateway entfalten ihren Nutzen erst dann vollständig, wenn sie richtig dimensioniert, konfiguriert und in die bestehende Infrastruktur integriert werden.

Genau deshalb beginnt ein erfolgreiches IT-Security-Projekt mit einer gründlichen Planung. Technische Anforderungen müssen ebenso berücksichtigt werden wie Geschäftsprozesse, vorhandene Systeme und zukünftige Entwicklungen. Je genauer diese Faktoren vor der Umsetzung bekannt sind, desto zielgerichteter kann eine Sicherheitslösung entwickelt und implementiert werden.

Am Anfang steht nicht das Produkt, sondern der tatsächliche Bedarf

Bei der Planung einer neuen Sicherheitslösung liegt der Fokus schnell auf konkreten Produkten und Funktionen. Dabei sollte die Produktauswahl eigentlich erst erfolgen, wenn klar ist, welches Problem gelöst werden soll. Ein Unternehmen mit einem zentralen Standort stellt andere Anforderungen an seine Netzwerksicherheit als eine Organisation mit mehreren Niederlassungen, Homeoffice-Arbeitsplätzen und einer umfangreichen Cloud-Infrastruktur. Auch die Anzahl der Nutzer, das vorhandene Datenvolumen und die Kritikalität einzelner Geschäftsprozesse beeinflussen die Anforderungen.

Deshalb sollte zunächst die bestehende Situation analysiert werden. Welche Systeme sind vorhanden? Welche Anwendungen müssen erreichbar sein? Welche Daten benötigen besonderen Schutz? Wo befinden sich kritische Schnittstellen und welche Sicherheitsmassnahmen bestehen bereits? Gleichzeitig lohnt sich der Blick in die Zukunft. Eine neue Security-Lösung sollte nicht nur die aktuellen Anforderungen erfüllen, sondern möglichst auch geplantes Wachstum oder Veränderungen der Infrastruktur berücksichtigen. Erst auf dieser Grundlage lässt sich beurteilen, welche Technologien und Produkte tatsächlich benötigt werden.

Eine präzise Planung verhindert Probleme während der Umsetzung

Sind die Anforderungen definiert, beginnt die eigentliche Projektplanung. Dabei werden technische und organisatorische Rahmenbedingungen miteinander verbunden. Besonders bei Veränderungen an zentralen Netzwerk- und Sicherheitssystemen müssen mögliche Auswirkungen auf den laufenden Betrieb berücksichtigt werden. Eine neue Firewall kann beispielsweise zahlreiche Verbindungen, Anwendungen und Standorte betreffen. Fehler während der Migration können deshalb unmittelbar Geschäftsprozesse beeinträchtigen.

Eine strukturierte Planung eines IT-Security-Projekts sollte unter anderem folgende Fragen beantworten:

• Welche Systeme und Netzwerkbereiche sind betroffen?
• Welche bestehenden Konfigurationen müssen übernommen oder angepasst werden?
• Welche Abhängigkeiten zu anderen Anwendungen und Diensten bestehen?
• Wer trägt die Verantwortung für einzelne Projektschritte?
• Wann können Änderungen durchgeführt werden?
• Welche Auswirkungen sind auf den laufenden Betrieb zu erwarten?
• Wie kann im Problemfall zum vorherigen Zustand zurückgekehrt werden?

Damit entstehen klare Abläufe, bevor Veränderungen an produktiven Systemen vorgenommen werden. Gerade bei komplexen Projekten reduziert dies das Risiko unerwarteter Probleme während der Umsetzung.

Engineering verbindet Anforderungen und technische Umsetzung

Nach der Planungsphase eines IT-Security-Projekts müssen die definierten Anforderungen in eine konkrete technische Architektur übersetzt werden. Genau hier setzt das IT-Security Engineering an. Dabei geht es beispielsweise darum, Sicherheitskomponenten richtig zu dimensionieren, Netzwerkstrukturen zu planen und geeignete Sicherheitsrichtlinien zu entwickeln. Ebenso müssen Schnittstellen zu bestehenden Systemen berücksichtigt werden.

Eine Firewall kann technisch leistungsfähig sein und trotzdem nicht optimal zur Infrastruktur passen, wenn beispielsweise die benötigte Performance falsch eingeschätzt wurde. Ähnliches gilt für Hochverfügbarkeit, VPN-Verbindungen oder die Integration mehrerer Standorte. Gutes Engineering betrachtet deshalb nicht nur einzelne Produkte, sondern das Zusammenspiel der gesamten Infrastruktur. Sicherheitslösungen müssen sich sinnvoll in bestehende Prozesse integrieren lassen und dürfen den Arbeitsalltag nicht unnötig erschweren. Das Ergebnis sollte eine Architektur sein, die sowohl den Sicherheitsanforderungen als auch den betrieblichen Anforderungen des Unternehmens gerecht wird.

Standardlösungen passen nicht zu jeder IT-Infrastruktur

Unternehmen unterscheiden sich erheblich hinsichtlich Grösse, Infrastruktur und Risikoprofil. Deshalb lässt sich ein Sicherheitskonzept selten unverändert von einer Organisation auf eine andere übertragen. Ein kleines Unternehmen mit einem Standort benötigt möglicherweise eine vergleichsweise übersichtliche Sicherheitsarchitektur. Bei mehreren Niederlassungen, Cloud-Diensten, mobilen Mitarbeitenden und externen Partnern entstehen dagegen deutlich komplexere Anforderungen.

Auch bestehende Technologien müssen berücksichtigt werden. Neue Sicherheitslösungen sollten vorhandene Systeme sinnvoll ergänzen und nicht unnötig zusätzliche Komplexität erzeugen. Eine individuelle Planung bedeutet allerdings nicht, dass jede Infrastruktur vollständig neu entwickelt werden muss. Bewährte Standards, Referenzarchitekturen und automatisierte Prozesse können weiterhin genutzt werden. Entscheidend ist, sie an die tatsächlichen Anforderungen anzupassen. Dadurch lässt sich vermeiden, dass Unternehmen Funktionen einkaufen, die sie gar nicht benötigen, oder Sicherheitslösungen einsetzen, die bei zunehmendem Wachstum schnell an ihre Grenzen stossen.

Eine sichere Implementierung schützt den laufenden Betrieb

Nach Planung und Engineering folgt die praktische Umsetzung. Neue Systeme werden installiert, Konfigurationen übertragen und Verbindungen eingerichtet. Gerade in dieser Phase können sich Planungsfehler unmittelbar bemerkbar machen. Deshalb sollte die Implementierung möglichst kontrolliert erfolgen. Kritische Änderungen werden idealerweise in geeigneten Wartungsfenstern durchgeführt und zuvor vorbereitet beziehungsweise getestet.

Auch ein Rückfallkonzept ist sinnvoll. Falls während einer Migration unerwartete Probleme auftreten, sollte klar sein, wie der ursprüngliche Zustand wiederhergestellt werden kann. Besondere Aufmerksamkeit verdienen bestehende Konfigurationen. Werden beispielsweise Firewall-Regeln von einem älteren System übernommen, sollten diese nicht automatisch eins zu eins auf die neue Umgebung übertragen werden. Eine Migration bietet gleichzeitig die Gelegenheit, historisch gewachsene Regeln zu überprüfen und nicht mehr benötigte Einträge zu entfernen. So entsteht nicht nur eine neue technische Plattform, sondern im besten Fall auch eine übersichtlichere und besser kontrollierbare Sicherheitsarchitektur.

Tests gehören zu jeder erfolgreichen Umsetzung eines IT-Security-Projekts

Mit der Installation einer neuen Security-Lösung ist ein Projekt noch nicht abgeschlossen. Erst durch gezielte Tests lässt sich feststellen, ob die geplante Architektur im praktischen Betrieb wie vorgesehen funktioniert. Dabei sollten nicht nur grundlegende Funktionen geprüft werden. Je nach Projekt können unter anderem Netzwerkverbindungen, Sicherheitsrichtlinien, VPN-Zugänge, Hochverfügbarkeit oder das Verhalten bei einem Systemausfall getestet werden.

Ebenso wichtig ist die Frage, ob legitime Geschäftsprozesse weiterhin problemlos funktionieren. Eine Sicherheitslösung erfüllt ihren Zweck nicht, wenn sie zwar möglichst viele Verbindungen blockiert, gleichzeitig aber wichtige Anwendungen für Mitarbeitende nicht mehr erreichbar sind. Tests helfen deshalb dabei, das richtige Verhältnis zwischen Sicherheit und Verfügbarkeit herzustellen. Festgestellte Probleme können anschliessend behoben und Konfigurationen optimiert werden, bevor das System vollständig in den Regelbetrieb übergeht.

Dokumentation und Übergabe werden häufig unterschätzt

Ein IT-Security-Projekt sollte nicht mit dem erfolgreichen Go-live enden. Damit die neue Infrastruktur langfristig zuverlässig betrieben werden kann, müssen wichtige Informationen dokumentiert und an die zuständigen Mitarbeitenden übergeben werden. Dazu gehören beispielsweise Netzwerkstrukturen, relevante Konfigurationen, Verantwortlichkeiten und durchgeführte Änderungen. Ebenso sollte nachvollziehbar sein, warum bestimmte Entscheidungen während des Projekts getroffen wurden.

Eine aktuelle Dokumentation erleichtert später Wartungsarbeiten, Fehleranalysen und Erweiterungen. Auch bei einem Personalwechsel bleibt wichtiges Wissen dadurch im Unternehmen erhalten. Gleichzeitig bildet die Übergabe den Ausgangspunkt für das Lifecycle Management. Nach der erfolgreichen Implementierung beginnt schliesslich der laufende Betrieb mit Updates, Wartung, Monitoring und regelmässigen Anpassungen. Planung und Betrieb sollten deshalb nicht als voneinander getrennte Bereiche betrachtet werden. Entscheidungen während des Projekts beeinflussen unmittelbar, wie einfach und sicher eine Lösung später verwaltet werden kann.

Wenn die bestehende Sicherheitsarchitektur nicht mehr zu den Anforderungen passt

Nicht jedes IT-Security-Projekt beginnt mit einer komplett neuen Infrastruktur. In vielen Unternehmen sind Sicherheitslösungen über Jahre gewachsen. Neue Systeme wurden ergänzt, Regeln erweitert und verschiedene Technologien miteinander verbunden. Irgendwann kann dadurch eine Architektur entstehen, die unnötig komplex geworden ist oder nicht mehr zu den aktuellen Anforderungen passt. In diesem Fall reicht der Austausch eines einzelnen Produkts möglicherweise nicht aus.

Ein Review der bestehenden Umgebung hilft dabei, Strukturen und Konfigurationen grundsätzlich zu hinterfragen. Dabei wird geprüft, welche Komponenten weiterhin benötigt werden, wo unnötige Komplexität besteht und welche Bereiche verbessert werden können. Auf Basis dieser Analyse kann ein Redesign erfolgen. Netzwerkstrukturen werden neu geplant, Sicherheitskomponenten konsolidiert oder Richtlinien überarbeitet. Ein solches Redesign bietet die Gelegenheit, historisch gewachsene Strukturen aufzuräumen und die Sicherheitsarchitektur wieder stärker an den tatsächlichen Geschäftsanforderungen auszurichten.

IT-Security-Projekte mit NetWyl planen und umsetzen

Von der ersten Analyse über Engineering und Planung bis zur Implementierung sind bei IT-Security-Projekten unterschiedliche Kompetenzen gefragt. NetWyl unterstützt Unternehmen deshalb während verschiedener Projektphasen. Gemeinsam können zunächst Anforderungen und die bestehende Infrastruktur analysiert werden. Darauf aufbauend lassen sich geeignete Sicherheitskonzepte und technische Lösungen entwickeln.

Bei der Umsetzung unterstützt NetWyl unter anderem bei Installation, Konfiguration, Migration und Integration neuer Security-Komponenten. Bestehende Umgebungen können zudem überprüft und bei Bedarf optimiert oder neu gestaltet werden. Nach der Implementierung lässt sich die Unterstützung in den laufenden Betrieb überführen. Damit entsteht ein durchgängiger Prozess von der Planung über die Realisierung bis hin zu Wartung und Lifecycle Management.

Gute Planung schafft die Grundlage für langfristige Sicherheit

Ein erfolgreiches IT-Security-Projekt beginnt nicht mit der Installation einer neuen Sicherheitslösung. Zunächst muss klar sein, welche Anforderungen bestehen, welche Risiken berücksichtigt werden müssen und wie sich eine neue Technologie in die vorhandene Infrastruktur integrieren lässt. Eine strukturierte Planung reduziert Überraschungen während der Implementierung und schafft klare Verantwortlichkeiten. Professionelles Engineering sorgt anschliessend dafür, dass aus den Anforderungen eine passende technische Architektur entsteht.

Ebenso wichtig sind kontrollierte Umsetzung, Tests, Dokumentation und die spätere Betreuung der Systeme. Werden diese Schritte von Beginn an berücksichtigt, entstehen Sicherheitslösungen, die nicht nur beim Go-live funktionieren, sondern langfristig zuverlässig betrieben und weiterentwickelt werden können.

Häufig gestellte Fragen zu IT-Security-Projekten

Noch Fragen? Wir haben die Antworten!

Was gehört zur Planung eines IT-Security-Projekts?

Zur Planung gehören unter anderem die Analyse der bestehenden Infrastruktur, die Definition von Sicherheitsanforderungen, die Auswahl geeigneter Technologien sowie die Planung von Verantwortlichkeiten, Zeiträumen, Abhängigkeiten und möglichen Ausfallzeiten.

Was versteht man unter IT-Security Engineering?

IT-Security Engineering übersetzt Sicherheitsanforderungen in konkrete technische Lösungen. Dazu können beispielsweise die Planung von Netzwerkarchitekturen, die Dimensionierung von Sicherheitskomponenten und die Entwicklung geeigneter Konfigurationen und Sicherheitsrichtlinien gehören.

Wie lässt sich eine neue Security-Lösung möglichst ohne längere Ausfälle einführen?

Eine detaillierte Migrationsplanung, geeignete Wartungsfenster, vorbereitete Konfigurationen, Tests und ein Rückfallkonzept helfen dabei, Unterbrechungen zu reduzieren. Vollständig ausschliessen lassen sich Auswirkungen je nach Projekt allerdings nicht immer.

Wann ist ein Redesign der IT-Security sinnvoll?

Ein Redesign kann sinnvoll sein, wenn eine Sicherheitsarchitektur über Jahre stark gewachsen ist, unnötig komplex geworden ist oder neue Anforderungen mit der bestehenden Struktur nicht mehr sinnvoll umgesetzt werden können.

Was passiert nach der Implementierung?

Nach Tests und Übergabe beginnt der laufende Betrieb. Dazu gehören unter anderem Monitoring, Wartung, Updates, Dokumentation und regelmässige Anpassungen. Damit geht das IT-Security-Projekt in das Lifecycle Management über.