Cybersicherheit ist Chefsache: Tipps für Betriebe

Veraltete Software kann zum Einfallstor für Angreifer werden. Unternehmen sollten deshalb einen klaren Prozess für Updates und Sicherheits-Patches für Betriebssysteme, Officeanwendungen, Browser und geschäftskritische Programme etablieren.

Fragen für die Unternehmenscheckliste:

• Wissen Sie, welche Software in Ihrem Unternehmen eingesetzt wird?
• Gibt es einen definierten Prozess für Updates?
• Werden Sicherheitsupdates zeitnah installiert? 

Ein gestohlenes oder erratenes Passwort verschafft Angreifern Zugang zu Firmendaten. Deshalb sollten kritische Konten und Fernzugänge mit einer Zwei-Faktor- oder Multi-Faktor-Authentisierung (2FA/MFA) geschützt werden sowie Administratorenkonten und normale Nutzerkonten voneinander getrennt sein.

Fragen für die Unternehmenscheckliste:

• Nutzen wir 2FA/MFA für die Benutzerzugänge? 
• Sind Admin- und Benutzerkonten voneinander getrennt? 
• Sind auch mobile Geräte, die auf das Unternehmensnetz zugreifen, geschützt?

Back-ups schützen vor dem Verlust geschäftskritischer Daten. Die Cybersicherheitsagentur Baden-Württemberg empfiehlt dafür die „3-2-1-Regel“: Zusätzlich zu den Originaldaten gibt es zwei Sicherungskopien auf mindestens zwei unterschiedlichen Speichermedien. Eine der Sicherungen sollte außerhalb des Betriebs aufbewahrt werden, um einen Datenverlust etwa durch Einbruch zu verhindern.

Fragen für die Unternehmenscheckliste:

• Haben wir getestet, ob wir unsere wichtigsten Daten tatsächlich wiederherstellen können? 
• Werden wichtige Daten regelmäßig gesichert? 
• Nutzen wir verschiedene Speichermedien und Aufbewahrungsorte?

Selbst die besten technischen Schutzmaßnahmen können nicht immer verhindern, dass Beschäftigte auf Phishingmails oder andere Cybercrime-Betrugsmaschen hereinfallen. Regelmäßige Schulungen und klare Meldewege sind für Betriebe deshalb ein wichtiger Bestandteil der Sicherheitsstrategie.

Fragen für die Unternehmenscheckliste:

• Werden die Beschäftigten regelmäßig und realitätsnah zu Cybersicherheit geschult? 
• Weiß jeder Beschäftigte, was bei einer verdächtigen Beobachtung zu tun ist und wie ein Verdacht gemeldet wird? 

Nicht jedes System im Unternehmensnetz muss ans Internet angebunden sein. Je weniger unnötige Schnittstellen bestehen, desto kleiner ist die Angriffsfläche für Cyberkriminelle. Firewalls, sichere Fernzugänge und Netzwerksegmentierung gehören zu den zentralen Schutzmaßnahmen. Kritische Systeme sollten vom übrigen Netzwerk getrennt werden.

Fragen für die Unternehmenscheckliste:

• Kennen wir alle externen Zugänge zum Unternehmensnetz?
• Ist der Übergang zum Internet durch eine Firewall geschützt?
• Erfolgen externe Zugriffe ausschließlich über gesicherte Verbindungen, etwa über ein VPN (Virtual Private Network)?

Phishingmails und Schadsoftware zählen zu den häufigsten Einfallstoren für Cyberkriminelle. Aktuelle Virenschutzlösungen, Spam- und Phishingfilter sowie eine sichere Konfiguration von Office-Anwendungen reduzieren das Risiko eines Angriffs deutlich.

Fragen für die Unternehmenscheckliste:

• Ist auf Endgeräten und Servern eine aktuelle Virenschutzlösung installiert? 
• Sind Spam- und Phishingfilter eingerichtet?
• Werden externe Mails gekennzeichnet und wird die tatsächliche Absenderadresse angezeigt?

Kein Schutzsystem ist perfekt. Deshalb braucht jedes Unternehmen einen Plan für den Fall, dass es doch zu einem Sicherheitsvorfall kommt. In diesem Notfallplan sollten Rollen, Kommunikationswege und externe Ansprechpartner festgelegt sein. Zudem sollte der Plan auch außerhalb der IT-Infrastruktur verfügbar sein und regelmäßig aktualisiert werden.

Fragen für die Unternehmenscheckliste:

• Gibt es einen IT-Notfallplan mit klaren Rollen?
• Sind wichtige Meldefristen (etwa gegenüber der Cyberversicherung) bekannt?
• Können wir bei einem IT-Ausfall mit Beschäftigten, Kunden und Partnern kommunizieren? 

Was man nicht kennt, kann man nur schwer schützen. Eine aktuelle Übersicht über IT-Geräte, Software, Daten, Zugriffsrechte und Netzwerkverbindungen sowie ein aktueller Netzwerkplan sind daher eine zentrale Voraussetzung für wirksame Cybersicherheit.

Fragen für die Unternehmenscheckliste:

• Könnten wir einem externen IT-Experten unsere komplette IT-Landschaft erklären? 
• Sind Zugänge und externe Verbindungen dokumentiert? 
• Sind alle relevanten Benutzer- und Zugriffsrechte bekannt? 
• Gibt es einen aktuellen Netzwerkplan in digitaler und physischer Form?

Die IT-Abteilung des Unternehmens kann Systeme absichern – die Verantwortung für den Umgang mit Cyberrisiken trägt jedoch die Geschäftsleitung: Ihre Aufgabe ist es, das Sicherheitsniveau festzulegen, die notwendigen Ressourcen bereitzustellen und zu entscheiden, wie im Ernstfall gehandelt wird.