Marktplatz IT-Sicherheit:
die Plattform für IT-Sicherheit

Im Betrieb eines digitalen Marktplatzes stehen insbesondere die Analyse von Risiken und die Überprüfung dieser Risiken durch verschiedene Methoden im Vordergrund. IT-Sicherheitsfirmen bieten beispielsweise Dienstleistungen zur Identifikation von Schwachstellen oder zur Auswertung von aktuellen IT-Sicherheitsstudien an, die über Trends und Angriffsszenarien informieren. Die Nutzung von IT-Sicherheitszahlen hilft Verantwortlichen dabei, Entscheidungen über priorisierte Schutzmaßnahmen zu treffen und die Effizienz bestehender Kontrollen zu bewerten. Regelmäßige Penetrationstests könnten auf einem Marktplatz angesetzt werden, um tatsächlich vorhandene Schwächen in den Schnittstellen zwischen Nutzer, Anbieter und Plattform aufzudecken und gezielt Gegenmaßnahmen zu entwickeln.

Für einen reibungslosen technischen Betrieb sowie eine schnelle Reaktion auf Störungen sind spezielle Prozesse notwendig. Backups werden regelmäßig erstellt, um im Fall eines IT-Notfalls wie etwa bei einem Ransomware-Vorfall eine Datenwiederherstellung und einen Wiederanlauf zu unterstützen. Gezielte Kontrollen wie E-Mail-Sicherheit schützen davor, dass kompromittierende Nachrichten oder Phishing-Angriffe in den internen Kommunikationen eines Marktplatzbetreibers Schaden anrichten. Der Einsatz eines Hardware-Sicherheitsmoduls kann bei Zahlungsabwicklungen unterstützen und die Speicherung vertraulicher Schlüssel absichern. Spezielle IT-Sicherheitstools – etwa für Intrusion Detection oder Netzwerksegmentierung – werden gemäß Bedarf ausgewählt. Ein Unternehmen könnte darüber hinaus ein SOC oder Security Operations Center beauftragen, um den Marktplatzbetrieb rund um die Uhr zu überwachen und im Verdachtsfall rasch zu reagieren.

Zur fachlichen Bewertung eingesetzter Technologien und der Verantwortlichen spielen verschiedene Zertifizierungen eine Rolle. Produktzertifikate dokumentieren die Bewertung definierter Produkteigenschaften nach ausgewiesenen Kriterien und Standards, etwa auf Grundlage internationaler Normen. Personenzertifikate bescheinigen einzelnen Mitarbeitenden, dass sie definierte Kompetenzen und Kenntnisse im Bereich der Cybersicherheit erworben haben – diese werden häufig nach Schulungen oder bestandenen Prüfungen vergeben. Unternehmenszertifikate dokumentieren, dass der Marktplatzbetreiber bestimmte organisatorische und technische Anforderungen etwa nach ISO 27001 erfüllt hat. Der Master Cyber-Sicherheit ist ein akademischer Abschluss, der theoretische und praxisbezogene Inhalte in IT-Sicherheit vermittelt und Absolventen für die Übernahme verantwortungsvoller Aufgaben qualifiziert.

Die organisatorische Verantwortung für die Einhaltung von Regelungen zum Datenschutz und zur IT-Sicherheit ist eindeutig zuzuordnen. Für den Bereich Datenschutz bestellt der Marktplatzbetreiber häufig einen Datenschutzbeauftragten, der zur Beratung und Überwachung der Einhaltung des Datenschutzes verpflichtet ist. Die Verantwortung für gesetzeskonformes Handeln verbleibt jedoch beim Verantwortlichen selbst. Für weitergehende Fragen zur Informationssicherheit kann auch ein Informationssicherheitsbeauftragter bestellt werden, der die Umsetzung technischer und organisatorischer Maßnahmen begleitet. In vielen Unternehmen engagieren sich zudem Köpfe der IT-Sicherheit, die in verschiedenen Rollen – von der technischen Analyse bis zur strategischen Planung – an Schutzkonzepten des Marktplatzes mitwirken.

Rechtliche Anforderungen an digitale Marktplätze sind vielschichtig und richten sich nach europäischen wie nationalen Regelungen. Die DSA-Vorgaben betreffen Marktplätze als Vermittlungsdienste und definieren je nach Dienst und Rolle abweichende Pflichten im Umgang mit Inhalten und der Zusammenarbeit mit Behörden. DORA betrifft den Bereich digitale operationelle Resilienz im Finanzsektor und legt für erfasste Finanzunternehmen sowie für IKT-Drittdienstleister Anforderungen fest, wobei vertragliche Aspekte von der besonderen Aufsicht über als kritisch eingestufte Dienstleister klar zu unterscheiden sind. Die Richtlinie NIS2 führt schärfere Vorgaben für Betreiber wesentlicher Dienste ein, während das CRA neue Ansätze zur Cybersicherheit von Produkten in den Binnenmarkt bringt. Hinzu kommen IT-Sicherheitsgesetze, die beispielsweise in Deutschland klare Vorgaben für KrITIS-Betreiber machen, sowie das IT-Sicherheitsrecht, das Aspekte wie Angriffsabwehr und Meldepflichten regelt. Die Verordnung eIDAS schafft europaweite Standards für Vertrauensdienste und elektronische Identitäten, was wiederum Marktplätze etwa bei Identitätsprüfungen betrifft.

Für nachhaltige Sicherheit ist auch der Aufbau von Wissen und der soziale Austausch von Bedeutung. Ein Marktplatzbetreiber könnte beispielsweise ein IT-Sicherheitsforum nutzen, um sich mit Experten über aktuelle IT-Bedrohungen auszutauschen und unterschiedliche Perspektiven kennenzulernen. Security Awareness ist dabei ein zentrales Ziel, das durch kontinuierliche Maßnahmen gefördert werden sollte, um Mitarbeitende für Gefahren und Risiken zu sensibilisieren. Durch Serious Games Cybersecurity lassen sich Kenntnisse spielerisch festigen, wobei solche Ansätze die Teamdynamik und das lösungsorientierte Denken stärken können. Ergänzend unterstützen IT-Sicherheitsspiele, praxisnah mit simulierten Bedrohungsszenarien umzugehen und die eigenen Reaktionsabläufe zu überprüfen.

Zusammenfassend zeigt sich, dass Marktplätze vielfältige Anforderungen im Bereich der IT-Sicherheit erfüllen müssen. Neben technischen Schutzmaßnahmen und regelmäßigen Prüfungen bedarf es eines gezielten organisatorischen Rahmens sowie der kontinuierlichen Weiterentwicklung von Kompetenzen. Der Austausch in Fachkreisen und die Umsetzung rechtlicher Vorgaben runden ein umfassendes Schutzkonzept ab, mit dem Marktplatzbetreiber aktuelle und künftige Herausforderungen bewältigen können.