IT-Sicherheit im Betrieb: die Maßnahmen, die zuerst zählen
Die meisten Vorfälle in kleinen Betrieben beginnen nicht mit einem raffinierten Angriff, sondern mit einer E-Mail und einem Klick in Eile. Acht Maßnahmen, nach Wirkung sortiert.
IT-Sicherheit klingt nach einem Thema für große Unternehmen mit eigener Abteilung. Für einen Handwerks- oder Industriebetrieb ist sie etwas anderes: die Frage, ob nächste Woche noch Rechnungen geschrieben werden können.
Die Reihenfolge in diesem Artikel ist nach Wirkung sortiert. Wer bei eins anfängt, hat den größten Teil abgedeckt.
1. Eine Sicherung, an die kein laufender Rechner herankommt
Der wichtigste Punkt, weil er den schlimmen Tag von der Katastrophe trennt. Schadsoftware, die Daten verschlüsselt, verschlüsselt alles, was erreichbar ist — auch die Sicherungsplatte, die dauerhaft angeschlossen ist, und auch den Netzwerkordner.
Deshalb: mehrere Stände, eine Kopie außer Haus, und mindestens eine Fassung, die nicht dauerhaft verbunden ist. Und: Eine Sicherung, die nie zurückgespielt wurde, ist keine Sicherung.
2. Zwei-Faktor-Anmeldung überall, wo es sie gibt
Postfach, Onlinebanking, Warenwirtschaft, Fernwartung. Ein gestohlenes Passwort allein reicht dann nicht mehr aus. Das ist die wirksamste Einzelmaßnahme, die nichts kostet außer ein paar Minuten Einrichtung.
3. Die Rückrufregel bei Geld
Die häufigste teure Masche ist keine Technik, sondern Täuschung: eine E-Mail, die aussieht wie von Ihrem Lieferanten, mit geänderter Bankverbindung. Oder eine Nachricht, die scheinbar vom Chef kommt und eine eilige Überweisung verlangt.
Die Regel dagegen ist einfach und muss im Betrieb bekannt sein: Bei geänderten Bankverbindungen und bei eiligen Zahlungsaufforderungen wird zurückgerufen — unter der bekannten Nummer, nie unter der aus der Nachricht. Und jeder darf nachfragen, ohne dass es unangenehm wird.
4. Aktualisierungen, für die jemand zuständig ist
Betriebssystem, Browser, Warenwirtschaft, Website. Nicht neu muss es sein, aktuell muss es sein. Wichtig ist weniger das Werkzeug als die Zuständigkeit: Wenn niemand benannt ist, passiert es nicht.
5. Eigene Zugänge je Person
Ein gemeinsames Passwort für alle ist bequem, bis jemand geht. Jeder braucht seinen eigenen Zugang, und Passwörter gehören in eine Verwaltung — nicht auf einen Zettel unter der Tastatur und nicht in eine Datei namens „Zugänge“.
Dazu die unangenehme Frage: Wer kommt heute noch an alles heran? In vielen Betrieben ist die Antwort ein ehemaliger Dienstleister.
6. Getrennte Netze für Gäste und Technik
Das WLAN für Besucher gehört getrennt vom Betriebsnetz. Dasselbe gilt für Geräte, die man nicht aktualisieren kann — Kameras, Steuerungen, Maschinen mit Netzanschluss.
7. Zugriff auf E-Mail von privaten Geräten regeln
Wenn geschäftliche Post auf privaten Telefonen liegt, sollte das geregelt sein, bevor sie dort liegt: Bildschirmsperre, Möglichkeit zur Fernlöschung, klare Absprache beim Ausscheiden.
8. Ein Notfallzettel auf Papier
Wer ist anzurufen, welche Nummern, welche Zugänge, in welcher Reihenfolge wird wieder angefahren. Ausgedruckt — im Ernstfall funktioniert die digitale Fassung nicht.
Was Sie im Ernstfall tun
- Gerät vom Netz trennen, nicht ausschalten — flüchtige Spuren gehen sonst verloren.
- Nicht zahlen, und nichts löschen.
- Anzeige erstatten. Die Polizei hat dafür zuständige Stellen.
- Vom sauberen Stand wiederherstellen, nicht vom befallenen.
- Meldepflichten prüfen: Sind personenbezogene Daten betroffen, gelten kurze Fristen.
Was oft überschätzt wird
Ein teures Sicherheitsgerät, das niemand pflegt, schützt nach zwei Jahren fast nichts. Ein Virenschutz allein ersetzt keine Sicherung. Und die Annahme, ein kleiner Betrieb sei uninteressant, stimmt nicht — die meisten Angriffe suchen nicht aus, sie probieren.
Häufige Fragen
Reicht der Virenschutz, der beim Betriebssystem dabei ist?
Für viele Betriebe ja, wenn er aktuell gehalten wird. Der Unterschied zwischen Produkten ist kleiner als der Unterschied zwischen gepflegt und ungepflegt.
Wie oft sollten Passwörter gewechselt werden?
Nicht routinemäßig. Besser sind lange, einmalig verwendete Passwörter aus einer Verwaltung — plus Zwei-Faktor. Gewechselt wird, wenn es einen Anlass gibt.
Brauchen wir eine Versicherung dagegen?
Kann sinnvoll sein. Prüfen Sie vorher die Bedingungen: Viele verlangen genau die Maßnahmen aus dieser Liste, sonst zahlen sie nicht.
Wie schulen wir die Mitarbeiter?
Kurz und wiederholt statt einmal und lang. Drei Regeln reichen für den Anfang: Bei Geld wird zurückgerufen. Anhänge von unbekannten Absendern werden nicht geöffnet. Wer unsicher ist, fragt — immer.
Der nächste Schritt
Prüfen Sie zwei Dinge diese Woche: Ist die Zwei-Faktor-Anmeldung für das Postfach aktiv, und wann wurde die Sicherung zuletzt zurückgespielt? Das sind die beiden Fragen, deren Antwort im Ernstfall zählt.
09195 9392909 oder info@xaicore.de.