Marktplatz IT-Sicherheit:
die Plattform für IT-Sicherheit

Für die Einschätzung und Verbesserung der IT-Sicherheit eines Marktplatzes spielen unterschiedliche Akteure und Messgrößen eine Rolle. IT-Sicherheitsfirmen führen regelmäßig Penetrationstest durch, um Schwachstellen der Systeme gezielt aufzuspüren und Optimierungspotenziale zu identifizieren. Auf Basis von IT-Sicherheitsstudien erhalten Marktplatzbetreiber einen Überblick über aktuelle Bedrohungslagen und empfohlene Standards. Die Auswertung von IT-Sicherheitszahlen, also aussagekräftigen Statistiken und Kennzahlen zur Cybersicherheit, unterstützt die Risikobewertung der eigenen Plattform durch das Management. Hypothetisch könnte sich ein neuer Online-Marktplatz dazu entscheiden, jährlich externe Penetrationstests und eine Auswertung der branchenspezifischen IT-Sicherheitszahlen in Auftrag zu geben, um Sicherheitslücken frühzeitig zu adressieren.

Über den laufenden technischen Betrieb hinaus müssen Marktplatzbetreiber auch die Wiederherstellung im Falle eines IT-Notfall gewährleisten. Backups dienen dazu, Daten nach Störungen schnell wieder verfügbar zu machen und den Betrieb eines Marktplatzes nach einem IT-Notfall möglichst zügig wiederaufzunehmen. Dabei wird die Möglichkeit, regelmäßig Wiederherstellungstests durchzuführen, zum entscheidenden Faktor für die Verlässlichkeit der Backup-Lösungen. Zusätzlich haben Marktplatzbetreiber für eine umfassende E-Mail-Sicherheit zu sorgen, etwa durch den Einsatz von gefilterten Gateways gegen Phishing oder Malware. Ein Hardware-Sicherheitsmodul schützt die besonders sensiblen kryptografischen Schlüssel des Systems, beispielsweise zur Absicherung von Zahlungen. Darüber hinaus kann ein Security Operations Center, kurz SOC, mit ausgewählten IT-Sicherheitstools im Hintergrund tätig sein und sicherheitskritische Vorfälle überwachen, auch wenn ein SOC nicht für jede Organisation erforderlich ist. So könnte ein florierender Online-Kunstmarktplatz mit mehreren Millionen jährlichen Transaktionen ein externes Security Operations Center beauftragen, das gemeinsam mit Backup- und E-Mail-Sicherheitssystemen eine abgestimmte Reaktion im IT-Notfall sicherstellt.

Die Bewertung der Sicherheitsmaßnahmen eines Marktplatzes und die Qualifikation der handelnden Personen erfolgen zunehmend über anerkannte Zertifizierungen. Personenzertifikate dokumentieren die jeweilige Fachkompetenz von Einzelpersonen in festgelegten Bereichen. Produktzertifikate belegen, dass bestimmte Eigenschaften eines eingesetzten Produkts nach benannten Kriterien und Standards innerhalb des jeweiligen Bewertungsumfangs geprüft wurden. Unternehmenszertifikate beziehen sich wiederum auf Prozesse und Strukturen gesamter Organisationen und dokumentieren deren Konformität mit spezifischen Standards. Ein Master Cyber-Sicherheit ist ein akademischer Abschluss, der vertiefte Fachkenntnisse zu IT-Sicherheit und Cybersecurity vermittelt. Hypothetisch lässt sich ein Marktplatz so aufstellen, dass in der technischen Leitung ausschließlich Mitarbeitende mit aktuellen Personenzertifikaten beschäftigt werden, während für kritische Software Produktzertifikate zu Verschlüsselung und Authentifizierung vorliegen.

Nicht nur technische Absicherung, sondern auch die Verantwortlichkeiten für Datenschutz und Sicherheit spielen beim Betrieb eines Marktplatzes eine tragende Rolle. Der Datenschutzbeauftragte berät das Unternehmen in allen Fragen des Datenschutzes und überwacht die Einhaltung der Vorgaben, bleibt aber nicht selbst verantwortlich für die Verarbeitung personenbezogener Daten. Parallel dazu unterstützt ein Informationssicherheitsbeauftragter die Organisation bei der Definition und Umsetzung von IT-Sicherheitsmaßnahmen. Die eigentliche Verantwortung liegt stets bei der Geschäftsleitung. Köpfe der IT-Sicherheit, also die Experten im Unternehmen, die sich um alle Aspekte der IT-Sicherheit kümmern, tragen somit zur Vertrauensbildung gegenüber Kunden und Partnern bei. In einem hypothetischen Mode-Marktplatz könnten Datenschutzbeauftragter, Informationssicherheitsbeauftragter und weitere Köpfe der IT-Sicherheit gemeinsam die Grundlagen für wirksamen Datenschutz und IT-Sicherheit schaffen.

Bei der Gestaltung und dem Betrieb digitaler Marktplätze sind auch verschiedene rechtliche Geltungsbereiche zu beachten. Der CRA, kurz Cyber Resilience Act, fordert höhere Produktsicherheitsstandards für vernetzte Produkte. Das DORA-Rahmenwerk betrifft die digitale operationelle Resilienz im Finanzsektor und legt für erfasste Finanzunternehmen sowie bestimmte IKT-Drittdienstleister besondere Anforderungen fest. Die Aufsicht über als kritisch eingestufte Anbieter ergänzt die vertraglichen Anforderungen. DSA-Vorgaben richten sich an Vermittlungsdienste inklusive Hosting und Onlineplattformen und legen je nach Art und Rolle des Dienstes unterschiedliche Sorgfaltspflichten und Transparenzanforderungen fest. Geltungsbereiche und Regulierungsinhalte von DORA und DSA unterscheiden sich erheblich. IT-Sicherheitsgesetze wie das IT-Sicherheitsrecht und die Richtlinie NIS2 machen für verschiedene Wirtschaftszweige branchen- und größenabhängige Vorgaben zum Schutz kritischer Infrastrukturen und Meldepflichten. Darüber hinaus regelt eIDAS die Rahmenbedingungen für elektronische Vertrauensdienste und digitale Identitäten auf dem europäischen Marktplatz. Ein hypothetischer Finanzmarktplatz könnte vor der Einführung neuer Angebote prüfen, welche Pflichten aus DORA, dem IT-Sicherheitsgesetz und den DSA-Vorgaben jeweils greifen und welche Personenzertifikate oder Produktzertifikate dafür erforderlich sind.

Regelmäßiges Training und Austausch tragen dazu bei, die Sicherheitskultur in einer Marktplatzorganisation weiter zu stärken. Ein IT-Sicherheitsforum bietet dabei eine Plattform, um aktuelle Themen, Entwicklungen oder Erfahrungswerte im Fachkreis offen zu diskutieren. Interne Trainings wie IT-Sicherheitsspiele fördern die praktische Auseinandersetzung mit Risiken und Abläufen in simulierten Marktplatzszenarien. Die gezielte Steigerung von Security Awareness hilft Mitarbeitenden, Bedrohungspotenziale frühzeitig zu erkennen und darauf angemessen zu reagieren. Moderne Serious Games Cybersecurity bereiten wichtige Fragestellungen und Herausforderungen der IT-Sicherheit in spielerischer Form auf. Selbst ein kleinerer Marktplatz könnte etwa regelmäßig Mitarbeiter zu IT-Sicherheitsspielen einladen und den Austausch im IT-Sicherheitsforum fördern, um die Security Awareness konstant zu verbessern.

Abschließend zeigt sich, dass marktplatzbezogene IT-Sicherheit ein Zusammenspiel aus technischen Maßnahmen, Zertifizierungen, Verantwortlichkeiten, rechtlichen Vorgaben und kontinuierlichem Training ist. Praktische Beispiele verdeutlichen, wie unterschiedliche Maßnahmen und Rollen ineinandergreifen. Die gezielte Abstimmung aller Komponenten unterstützt einen vertrauenswürdigen und dauerhaft erfolgreichen Betrieb digitaler Marktplätze.