IT-Kontrollen im Ernstfall: Was die PHP-Sicherheitslücke für den Jahresabschluss bedeutet

Warum eine PHP-Sicherheitslücke den Jahresabschluss gefährden kann 

Betroffen war mit PHP eine Programmiersprache, auf der ein großer Teil aller Webanwendungen beruht. Dazu gehören Internetauftritte ebenso wie Onlineshops, Kundenportale, Warenwirtschaftssysteme und Eigenentwicklungen. Drei Umstände machten den Fall besonders ernst: Angreifer konnten unter bestimmten Voraussetzungen ohne Anmeldung Schadcode auf den Servern ausführen. Details zu den Lücken waren öffentlich, bevor die Updates bereitstanden. Für ältere Versionen der Software gab es keine Updates. 

Daraus ergaben sich Risiken, die über die IT hinausreichten. Ein kompromittierter Server konnte Daten preisgeben oder verfälschen. Er konnte Angreifern auch als Einfallstor in das interne Netz dienen, bis zum ERP-System und zur Datensicherung. Wurden Systeme vorsorglich abgeschaltet oder kurzfristig umgestellt, stockte der Geschäftsbetrieb und Geschäftsvorfälle mussten auf anderem Weg verarbeitet werden. Flossen personenbezogene Daten ab, folgten Meldepflichten, und es drohten Bußgelder und Schadenersatzforderungen. Waren rechnungslegungsrelevante Systeme betroffen, stand in Frage, ob Buchführung und Jahresabschluss noch auf verlässlichen Daten beruhten. 

Solche Ereignisse sind keine Ausnahme. Kritische Sicherheitslücken, Ausfälle von IT-Dienstleistern oder Cyberangriffe treffen Unternehmen regelmäßig und oft kurzfristig. Das Muster ist dabei meist dasselbe: Geschäftsprozesse hängen an Systemen, deren Risiken nicht immer bekannt sind, und Entscheidungen müssen unter Zeitdruck fallen. 
 

IT-Kontrollen und internes Kontrollsystem als Verantwortung der Geschäftsleitung 

Die Vorbereitung auf und der Umgang mit solchen Situationen liegen nicht allein bei der IT, sondern auch in der Verantwortung der Geschäftsleitung. Ihr obliegen die Ordnungsmäßigkeit der Buchführung und ein angemessenes internes Kontrollsystem. In Einrichtungen, die unter NIS2 fallen, muss sie zudem die Maßnahmen zum Risikomanagement in der Cybersicherheit billigen und ihre Umsetzung überwachen. Verletzt sie diese Pflichten, haftet sie persönlich. 

Ob ein Unternehmen einen solchen Vorfall beherrscht, hängt weniger vom einzelnen Update ab als von seinen generellen IT-Kontrollen. Gemeint sind die Regeln dafür, wer auf Systeme zugreifen darf, wie Änderungen geplant, genehmigt und dokumentiert werden und wie der Betrieb überwacht wird. Sie sind Teil des internen Kontrollsystems. 
 

Welche IT-Kontrollen im Ernstfall entscheidend sind 

Auch kurzfristige Änderungen müssen kontrolliert ablaufen. Ein sogenannter Emergency Change wie ein kurzfristig eingespieltes Sicherheitsupdate, eine vorübergehende Abschaltung oder die spätere Nachverarbeitung von Daten sind Vorgänge, die diese Kontrollen abdecken sollen.  

Sind die Abläufe gut gestaltet, entstehen die Nachweise dabei von selbst, etwa durch Freigaben im Ticketsystem, Protokolle der Schnittstellen oder automatische Abstimmungen. So lässt sich auch im Nachhinein zeigen, dass die Kontrollen gewirkt haben. Was die Kontrollen nicht verhindern, muss das Business Continuity Management (BCM) auffangen. Notfallpläne legen fest, wie der Betrieb bei einem Ausfall weiterläuft, wie Geschäftsvorfälle in dieser Zeit erfasst und später abgestimmt werden und wie Systeme wiederhergestellt werden. Ob diese Pläne tragen, zeigen regelmäßige Notfalltests. 

Unabhängig vom aktuellen Anlass sollte sich die Geschäftsleitung deshalb vier Fragen stellen:

• Risiken: Wissen wir, welche IT-Risiken für unser Geschäft und unsere Rechnungslegung wesentlich sind, und halten wir diese Einschätzung aktuell? 
• Prozesse: Sind Zuständigkeiten und Abläufe so festgelegt, dass die Organisation auch unter Zeitdruck geordnet handelt? 
• Kontrollen: Decken unsere Kontrollen die wesentlichen Risiken ab und lässt sich ihre Durchführung belegen? 
• Wirksamkeit: Wissen wir aus unabhängiger Sicht, ob unsere Kontrollen tatsächlich funktionieren, und erfahren die Leitungs- und Überwachungsorgane regelmäßig davon?

Auswirkungen eines Security Incidents auf die Abschlussprüfung 

Nach einem Security Incident kommt eine weitere Frage hinzu: Welche Auswirkungen hat der Vorfall auf die Abschlussprüfung? Der Abschlussprüfer stützt sich bei seiner Arbeit auch auf die IT-Kontrollen des Unternehmens. Kann das Unternehmen belegen, dass rechnungslegungsrelevante Daten, Prozesse und Kontrollen nicht beeinträchtigt waren, bleibt der Vorfall für die Prüfung ohne Folgen.  

Fehlen diese Nachweise, muss der Prüfer seine Prüfungssicherheit auf anderem Weg gewinnen, was zusätzlichen Aufwand verursacht. Stellt er Mängel im internen Kontrollsystem fest, berichtet er darüber, bei bedeutsamen Mängeln auch an das Überwachungsorgan. Gibt es Hinweise auf eine Kompromittierung, sollte der Abschlussprüfer deshalb frühzeitig eingebunden werden.  
 

IT-Kontrollen prüfen und verbessern: So unterstützen wir Sie 

Baker Tilly unterstützt Sie dabei, diese Fragen zu beantworten. Wir schätzen Ihre IT-Risiken ein und gestalten mit Ihnen die Prozesse, auf denen Ihre generellen IT-Kontrollen beruhen: Identity & Access Management, Change Management, Patch Management, IT-Betrieb und Incident Management. Dabei legen wir den Maßstab an, den auch ein Prüfer verlangt. Die Kontrollen betten wir so in die Abläufe ein, dass sie wirken und ihre Nachweise im laufenden Betrieb entstehen. Alternativ zeigt ein Readiness Assessment, wo noch Lücken bestehen. Die Wirksamkeit der Kontrollen können wir ggf. unabhängig überprüfen. Nach einem Vorfall bewerten wir, welche Auswirkungen er auf Ihre Abschlussprüfung haben kann und welche Nachweise Sie dafür benötigen.  

Bemerkenswert im Fall PHP ist, wie die Lücken gefunden wurden. Der fehlerhafte Code steckte seit mehr als zehn Jahren in der Programmiersprache. Entdeckt haben ihn Sicherheitsforscher mit Hilfe von KI-Werkzeugen. Dieselben Werkzeuge stehen auch Angreifern zur Verfügung. Schwachstellen werden dadurch schneller gefunden und schneller ausgenutzt, und der zeitliche Spielraum für eine geordnete Reaktion wird kleiner. Unternehmen brauchen deshalb Abläufe, die vorbereitet und erprobt sind, bevor der nächste Fall eintritt. Wir unterstützen Sie beim Aufbau Ihres Business Continuity Managements und begleiten Notfalltests. 

Diese Anforderungen an Prozesse, Kontrollen und Notfallvorsorge stellen auch die regulatorischen Rahmenwerke. NIS2 fordert von betroffenen Einrichtungen Maßnahmen zum Risikomanagement, zur Behandlung von Sicherheitsvorfällen und zur Sicherheit der Lieferkette. DORA stellt Finanzunternehmen ähnliche, teils weitergehende Anforderungen an das IKT-Risikomanagement und an die Steuerung von IKT-Drittdienstleistern.  

Wir gestalten Ihre IT-Kontrollen so, dass sie diese Anforderungen erfüllen. Dazu gehört die Steuerung von Dienstleistern. Wer den IT-Betrieb oder Cloud-Dienste auslagert, bleibt für die Risiken verantwortlich. Wir unterstützen Sie dabei, Anforderungen vertraglich zu verankern und Nachweise Ihrer Dienstleister zu bewerten, etwa ISAE-3402-Berichte oder C5-Testate.