IT-Sicherheit für KMU: Die vier Säulen im Überblick

„Wir sind zu klein, um interessant für Hacker zu sein" ist einer der teuersten Irrtümer in der IT-Sicherheit kleiner und mittlerer Unternehmen. Die meisten Angriffe richten sich gar nicht gezielt gegen ein bestimmtes Unternehmen, sondern automatisiert gegen jedes System, das eine bekannte Schwachstelle aufweist, unabhängig von dessen Größe. IT-Sicherheit für ein KMU lässt sich dabei auf vier Säulen herunterbrechen, die zusammen den größten Teil des Risikos abdecken, ohne dass ein Betrieb dafür eine eigene IT-Abteilung braucht.

Firewall und Netzwerktrennung als erste Verteidigungslinie

Eine Firewall entscheidet, welche Verbindungen zwischen dem eigenen Netzwerk und dem Internet überhaupt zugelassen werden, und ist damit die erste Barriere gegen Angriffe von außen. Ebenso wichtig ist die Trennung innerhalb des eigenen Netzwerks: Gäste-WLAN, Bürogeräte und sensible Systeme wie ein Server sollten in getrennten Netzbereichen liegen, damit ein kompromittiertes Gerät nicht automatisch Zugriff auf alles andere hat.

In der Praxis ist genau diese Trennung der Punkt, der bei gewachsenen Netzwerken am häufigsten fehlt. Ein Gästezugang, der versehentlich im selben Netz wie der Buchhaltungsrechner hängt, macht die teuerste Firewall wirkungslos, weil der Angriff dann gar nicht mehr durch sie hindurch muss.

Eine Update-Strategie statt gelegentlicher Aktualisierungen

Veraltete Software ist das mit Abstand häufigste Einfallstor für erfolgreiche Angriffe, weil bekannte Schwachstellen längst öffentlich dokumentiert sind und automatisiert ausgenutzt werden. Das betrifft nicht nur den PC-Arbeitsplatz, sondern genauso Router, Netzwerkspeicher, Kassensysteme und jedes andere Gerät, das mit dem Internet verbunden ist.

Entscheidend ist dabei weniger die einzelne Aktualisierung als eine Struktur dahinter: Wer ist dafür zuständig, wie oft wird geprüft, und was passiert mit Geräten, für die der Hersteller keine Updates mehr anbietet. Ohne eine solche Struktur bleiben Lücken oft monatelang offen, einfach weil niemand die Zuständigkeit dafür hatte.

Backups als letzte Absicherung, wenn alles andere versagt

Selbst die beste Firewall und die aktuellste Software verhindern nicht jeden Vorfall, weshalb eine funktionierende Datensicherung die letzte und wichtigste Verteidigungslinie bleibt. Bei einem Ransomware-Angriff, bei dem Daten verschlüsselt und Lösegeld gefordert wird, entscheidet meist einzig die Qualität der Sicherung darüber, ob ein Unternehmen tagelang stillsteht oder innerhalb weniger Stunden wieder arbeitsfähig ist.

Eine solide Backup-Strategie folgt üblicherweise der 3-2-1-Regel: drei Kopien der Daten, auf zwei unterschiedlichen Speichermedien, davon eine räumlich getrennt vom Unternehmen. Wie sich das konkret umsetzen lässt, beschreibt der Beitrag zur 3-2-1-Backup-Regel für KMU.

Der Faktor Mensch entscheidet häufiger als die Technik

Ein Großteil erfolgreicher Angriffe beginnt nicht mit einer technischen Lücke, sondern mit einer E-Mail, die einen Mitarbeiter dazu bringt, einen Anhang zu öffnen oder ein Passwort auf einer gefälschten Seite einzugeben. Die beste technische Absicherung nützt wenig, wenn ein einzelner Klick sie umgeht.

Wirksamer als einmalige Schulungen ist dabei eine Kultur, in der Mitarbeiter verdächtige Nachrichten ohne Scheu melden können, statt aus Angst vor Konsequenzen zu schweigen, wenn sie versehentlich auf etwas geklickt haben. Ein paar wiederkehrende Grundregeln helfen dabei mehr als lange Richtlinien:

• Unerwartete Rechnungen oder Mahnungen erst über einen zweiten Kanal verifizieren, bevor ein Anhang geöffnet wird
• Passwörter nie über einen Link aus einer E-Mail eingeben, sondern immer direkt über die bekannte Adresse
• Für wichtige Zugänge, wo möglich, eine Zwei-Faktor-Absicherung aktivieren
• Verdächtige Nachrichten intern melden, statt sie einfach zu löschen
• Zugriffsrechte regelmäßig prüfen und ehemaligen Mitarbeitern konsequent entziehen

Pragmatismus statt Angstmacherei

IT-Sicherheit wird oft mit einer langen Liste an Bedrohungen verkauft, die vor allem Angst erzeugen soll. Sinnvoller ist ein pragmatischer Blick darauf, was für den eigenen Betrieb tatsächlich das größte Risiko darstellt, und dort zuerst anzusetzen, statt gleichzeitig an zwanzig Baustellen zu arbeiten.

Für die meisten kleinen und mittleren Unternehmen sind es genau die vier genannten Säulen, mit denen sich das Risiko drastisch senken lässt, ohne ein Budget zu benötigen, das für einen Konzern kalkuliert wäre. Der größte Sicherheitsgewinn entsteht dabei fast immer aus der Kombination aus technischer Grundabsicherung und einem geschärften Bewusstsein im Team.

Ein einfacher Plan für den Ernstfall

Selbst mit allen vier Säulen kann ein Vorfall passieren, und genau in diesem Moment zeigt sich, ob ein Unternehmen vorbereitet ist oder improvisiert. Ohne einen Plan verliert das Team wertvolle Zeit damit, herauszufinden, wer zuständig ist, wen man informieren muss und wo die letzte funktionierende Sicherung überhaupt liegt.

Ein einfacher, schriftlich festgehaltener Ablauf reicht dafür meist aus: wer im Ernstfall zuerst informiert wird, welche Systeme sofort vom Netz getrennt werden, und wer die Datenwiederherstellung übernimmt. Dieser Plan muss nicht umfangreich sein, er muss nur existieren und allen relevanten Personen bekannt sein, bevor er gebraucht wird.

Fazit

Firewall und Netzwerktrennung, eine klare Update-Strategie, geprüfte Backups und ein aufmerksames Team sind die vier Säulen, mit denen ein kleines oder mittleres Unternehmen sein IT-Risiko realistisch und budgettauglich senkt. Keine dieser Maßnahmen ist für sich allein ausreichend, gemeinsam decken sie aber den weitaus größten Teil der tatsächlich vorkommenden Vorfälle ab. Eine Bestandsaufnahme der eigenen Netzwerktechnik als Ausgangspunkt bietet die Seite zur Netzwerktechnik für Unternehmen in Wien.