IT-Sicherheit für Unternehmen: sieben Bausteine, die Ihren Betrieb schützen

Was IT-Sicherheit im Unternehmen bedeutet

IT-Sicherheit ist mehr als ein Virenschutz und mehr als eine einzelne Firewall. Gemeint ist das Zusammenspiel aus Technik, Regeln und Menschen, das dafür sorgt, dass Ihre Rechner, Daten und Zugänge im Alltag verfügbar bleiben und nicht in falsche Hände geraten. Für Firmen ohne eigene IT-Abteilung heißt das: Es braucht keinen Konzern-Apparat, aber es braucht einen Plan und jemanden, der ihn pflegt.

Das BSI, das Bundesamt für Sicherheit in der Informationstechnik, stellt in seiner Broschüre „Cybersicherheit für kleine und mittlere Unternehmen“ eine Frage an den Anfang: Wer ist verantwortlich? Die Antwort sei in jedem Unternehmen dieselbe, nämlich die Unternehmensleitung. Wenn die IT etwa nach einem Angriff mit einem Verschlüsselungstrojaner ausfalle, stehe der Betrieb in den meisten Fällen still. Es werde nichts mehr produziert, Bestellungen würden nicht mehr entgegengenommen, die Einnahmen fielen aus und die Kosten liefen weiter. (Quelle: BSI, Cybersicherheit für kleine und mittlere Unternehmen, Frage 1)

Die Aufgabe selbst muss die Geschäftsführung nicht allein erledigen. Sie muss aber entscheiden, wie viel Sicherheit sie will, und die Umsetzung jemandem eindeutig übertragen, intern oder an einen IT-Dienstleister. Dieser Überblick zeigt Ihnen, aus welchen Bausteinen IT-Sicherheit besteht und wo Sie vertiefen können.

Ransomware-Schutz: was wirklich hilft

Ransomware, auch Erpressungs- oder Verschlüsselungstrojaner genannt, ist Schadsoftware, die Ihre Daten verschlüsselt und für die Freigabe Lösegeld verlangt. Es gibt keinen einzelnen Schalter, der davor schützt. Wirksam ist die Kombination aus mehreren Maßnahmen, die das BSI in seiner Broschüre für kleine und mittlere Unternehmen nennt:

• Datensicherung: Mit regelmäßigen Sicherungen können Betriebsabläufe nach einem Ransomware-Angriff schneller wieder aufgenommen werden. Das BSI rät zu unveränderlichen Sicherungen und dazu, jede Sicherung direkt nach dem Erstellen auf Funktion zu testen. Ein Datenträger, der nur für die Sicherung angeschlossen wird, ist in der übrigen Zeit für Zugriffe von außen, etwa durch Ransomware, nicht erreichbar. Er kann aber gestohlen werden oder kaputtgehen, deshalb empfiehlt das BSI mehrere Sicherungen an verschiedenen Orten.
• Updates: Zu spät oder nicht installierte Updates seien einer der häufigsten Gründe für erfolgreiche Cyberangriffe auf Unternehmen.
• Eigene Konten statt Gruppenkonten: Normale Benutzer sollen keine Administratorrechte haben, das begrenzt das Risiko, dass Schadcode eingeschleust wird.
• Trennung im Netz: Verbindungen zwischen den Arbeitsplatzrechnern sollten standardmäßig gesperrt sein, damit sich Schadsoftware von einem befallenen Rechner nicht sofort auf alle anderen ausbreitet.
• Zweiter Faktor bei der Anmeldung: Wer nur Ihr Passwort erbeutet hat, kommt ohne diesen zweiten Nachweis, etwa einen Code auf dem Handy, in der Regel nicht weiter.

(Quelle: BSI, Cybersicherheit für kleine und mittlere Unternehmen, Fragen 3, 4, 8 und 10)

Wichtig zu wissen: Ein solcher Schutz senkt das Risiko deutlich, ausschließen kann ihn niemand. Deshalb gehört zum Ransomware-Schutz immer auch die Vorbereitung auf den Ernstfall, im nächsten Abschnitt.

Sicherheitskonzept und IT-Notfallhandbuch

Das Sicherheitskonzept: Bestand, Zuständigkeit, Regeln

Ein IT-Sicherheitskonzept beginnt mit einer Bestandsaufnahme. Das BSI empfiehlt, Computer, Smartphones, Server, Drucker, Router, Software, wichtige Daten, Zugriffsrechte und alle Verbindungen zum Internet aufzulisten, und diese Liste mindestens zweimal im Jahr zu aktualisieren. Daraus lassen sich die passenden Schutzmaßnahmen ableiten. Bei einem kleinen Unternehmen sei das schnell gemacht. (Quelle: BSI, Frage 2) Danach halten Sie fest, wer wofür zuständig ist und welche Regeln für alle gelten.

Das Notfallhandbuch: was im Ernstfall zu tun ist

Ein IT-Notfallhandbuch beantwortet vorab, was Sie sonst im Schreck unter Zeitdruck klären müssten. Aus den Empfehlungen des BSI ergeben sich folgende Punkte:

• Betroffene Geräte oder das Firmennetz vom Internet trennen, zum Beispiel durch Ziehen des Netzwerksteckers oder an der Firewall. Betroffene Geräte nicht ausschalten und nicht verändern, damit Fachleute den Hergang klären können.
• Auf Lösegeldforderungen nie eingehen. Das BSI nennt als Gründe, dass nicht sicher ist, ob nach einer Zahlung ein Schlüssel geliefert wird, und dass erst der Einfallsweg geschlossen werden muss, sonst droht die nächste Verschlüsselung.
• Ein Logbuch führen: Uhrzeit und Datum, wer was getan hat und was geschehen ist.
• Vorab festlegen, wie intern und extern kommuniziert wird, und Anzeige bei der Polizei erstatten. Wer personenbezogene Daten verarbeitet, muss Vorgaben des Datenschutzes beachten, bei Fragen dazu hilft Ihr Rechtsbeistand.
• Notfallkontakte und Dienstleister für den Vorfall im Voraus bestimmen, und die Sicherungen bereithalten, aus denen Sie nach dem Schließen des Einfallstors wieder zurückspielen.

(Quelle: BSI, Frage 14) Das BSI weist in derselben Broschüre auch darauf hin, dass sich ein Blick in die eigene Versicherung lohnt: Manche Policen decken Cyberrisiken ab und bieten im Schadensfall auch Rechtsbeistand oder technische Hilfe. (Frage 13)

Wir helfen Ihnen, Bestandsliste, Sicherheitsregeln und Notfallhandbuch für Ihren Betrieb in verständlicher Form aufzusetzen, und halten es mit Ihnen aktuell. Ein Beispiel für eine Soforthilfe-Liste finden Sie in unserer Notfall-Checkliste bei einem Angriff.

IT-Sicherheit mit Dienstleister: worauf Sie achten sollten

Viele Betriebe lassen ihre IT von einem externen Dienstleister betreuen. Das BSI rät dazu, sicherzustellen, dass er die eingesetzten IT-Systeme auch aktualisiert, und diese Aufgabe gegebenenfalls ausdrücklich in den Dienstleistungsvertrag aufzunehmen. (Quelle: BSI-Broschüre, Frage 4) Fragen Sie deshalb auch zur Datensicherung nach: Wer spielt Updates ein? Wer prüft die Sicherung? Wer ist im Notfall wie erreichbar?

Gesamtüberblick oder Firewall-Paket?

Diese Seite ist der Gesamtüberblick über alle sieben Bausteine. Das Firewall-Monatspaket auf der Seite Netzwerk & Sicherheit ist ein einzelner, wichtiger Teil davon: ein eigenes Schutzgerät am Eingang Ihres Netzes, laufend gepflegt, dazu getrennte Netze, sichere Fernzugänge und Zwei-Faktor-Anmeldung. Updates und laufende Betreuung gehören zu unseren Managed Services.

Sicherheit prüfen und Vorgaben klären

Ob Ihre Maßnahmen tatsächlich halten, lässt sich mit einem abgesprochenen Angriffstest prüfen, einem Penetrationstest. Wenn Kunden oder Gesetze Sicherheitsnachweise von Ihnen verlangen könnten, finden Sie Orientierung auf der Seite zur NIS2-Beratung. Rechtliche Einzelfragen beantwortet Ihr Rechtsbeistand, wir ordnen die technische Seite ein.

Wir betreuen über 100 Betriebe und arbeiten ausschließlich für Firmenkunden. Vor Ort sind wir im Ruhrgebiet, in Gelsenkirchen, Essen, Bochum, Bottrop, Gladbeck, Herten, Herne, Recklinghausen, Oberhausen, Mülheim an der Ruhr und Dortmund, sonst arbeiten wir per Fernwartung. Mehr zu uns als Systemhaus: IT-Systemhaus im Ruhrgebiet.