IT-Sicherheit für kleine Betriebe

Angemessen statt maximal. Beides ist eine Entscheidung.

Sicherheit lässt sich beliebig weit treiben. Die Frage ist nicht, was möglich ist, sondern was in einem Betrieb mit fünf bis fünfzig Leuten tatsächlich getragen wird — denn was im Weg steht, wird umgangen, und dann ist es schlechter als nichts.

Was kleine Betriebe tatsächlich trifft

Nicht der gezielte Angriff. Was hier ankommt, ist breit gestreut und trifft den, bei dem gerade etwas offen steht.

Gefälschte Mails. Eine Rechnung, die aussieht wie die vom Lieferanten, mit geänderter Bankverbindung. Eine Nachricht von der Geschäftsführung, die eine dringende Überweisung verlangt. Das ist kein technisches Problem — es zielt auf Menschen unter Zeitdruck.

Verschlüsselte Daten. Meist über einen Anhang oder einen offenen Fernzugang. Der Schaden entsteht nicht durch die Verschlüsselung selbst, sondern dadurch, dass die Sicherungen gleich mit erwischt werden.

Zugänge, die niemand geschlossen hat. Ein Konto eines ausgeschiedenen Mitarbeiters, ein Wartungszugang eines Dienstleisters von vor drei Jahren.

Was wir dagegen aufbauen

Zugänge ordnen. Wer hat worauf Zugriff, und warum? Konten von Ausgeschiedenen werden geschlossen, Verwaltungsrechte gibt es nur, wo sie gebraucht werden, und für alles von außen gilt ein zweiter Faktor. Das ist die Maßnahme mit dem besten Verhältnis von Aufwand zu Wirkung.

Geräte auf einen Stand bringen. Updates, Schutzsoftware, Verschlüsselung bei allem, was das Haus verlässt. Unspektakulär, aber es schließt den Weg, über den das meiste hereinkommt.

Menschen vorbereiten. Keine Schulung mit Zertifikat am Ende, sondern zwei, drei konkrete Regeln: Woran erkennt man eine gefälschte Rechnung, wen ruft man an, bevor eine Überweisung rausgeht, was tut man, wenn man doch geklickt hat. Vor allem Letzteres — wer Angst vor Ärger hat, meldet zu spät.

Einen Plan für danach. Wen ruft man an, in welcher Reihenfolge, und woher kommen die Daten zurück. Das gehört zu Backup und Wiederherstellung und ist der Teil, der im Ernstfall zählt.

Was wir nicht tun

Wir verkaufen keine Angst und keine Zertifikate, die niemand verlangt hat. Wenn eine Maßnahme bei deiner Größe keinen erkennbaren Nutzen hat, sagen wir das — auch wenn wir daran verdienen könnten.