"Man kann nicht früh genug an später denken", lautet der Werbeslogan der Gothaer Versicherung in Köln. Ein Kleinkind mit blau gestricheltem Bart strahlt den Betrachter an. Die Fusion mit der Berlin-Kölnischen Krankenversicherung vor vier Jahren hat hier dazu geführt, in Sachen IT-Sicherheit erwachsener zu werden.

IT-Vorstand Herbert Schmitz erkannte damals in der Vielzahl unterschiedlicher Systeme ein Gefahrenpotenzial. "Er gab der Sicherheit einen besonderen Stellenwert, indem er eine zentrale Abteilung für die Sicherheit installierte", erinnert sich Günther Otten, Leiter der Abteilung Corporate SecuritySecurity. Während ProjekteProjekte wie die Vereinheitlichung der Systeme und der Umstieg auf SAPSAP R/3 von der IT-Tochter Informationsverarbeitung und Dienstleistungen (IDG) erledigt werden, ist Ottens zehnköpfiges Team für die Sicherheit im Unternehmen sowie der IT verantwortlich und direkt dem IT-Vorstand unterstellt. "Für technische Fragen ziehen wir die IDG hinzu", sagt Otten, der dafür jährlich eine Million Euro ausgeben darf. Alles zu Projekte auf CIO.de Alles zu SAP auf CIO.de Alles zu Security auf CIO.de

Konzernweite Leitlinien

Otten betreut die vier Verantwortungsbereiche IT-Sicherheit, DatenschutzDatenschutz, physisch-technische Sicherheit und Arbeitssicherheit. Für jeden davon gibt es eine einheitliche Politik. "Konzernweit ist festgelegt, welcher Virenschutz eingesetzt werden soll und welche Festplattenverschlüsselung für den Außendienst vorgesehen ist", sagt der Diplomkaufmann. "Verbindliche Regeln sind noch längst nicht selbstverständlich in deutschen Unternehmen." Alles zu Datenschutz auf CIO.de

Als Standards kann Otten inzwischen eine vom TÜV zertifizierte Firewall vorweisen, zudem ein Virtual Private Network (VPN) sowie einen übergreifenden Virenschutz. Doch Otten ist Realist; er weiß, dass alte Sicherheitskonzepte ständig geprüft und verbessert werden müssen. So bereitet er derzeit ein Single-Sign-on-Konzept für das Portal vor und außerdem eine Mitarbeiterkarte. "Diese Company-Card dient der Identifizierung, Zeiterfassung, Zugangskontrolle und Authentifizierung; sie soll signaturfähig werden", sagt Otten.