Cybersecurity für kleine Unternehmen: Welche Maßnahmen zuerst wirklich wichtig sind

Kleine Unternehmen sollten zuerst die Zugänge und Systeme absichern, über die ein Angriff großen Schaden anrichten kann. Dazu gehören insbesondere E-Mail- und Administrationskonten, aus dem Internet erreichbare Dienste und die wichtigsten Geschäftsdaten. Sichere Anmeldung, zeitnahe Updates, begrenzte Rechte und eine geprüfte Wiederherstellung bilden eine sinnvolle Basis.

Welche Lücke zuerst geschlossen werden muss, hängt vom Bestand ab. Ein ungeschützter Fernzugang kann dringlicher sein als ein langfristiges Schulungsprojekt. Fehlt dagegen jede brauchbare Datensicherung, muss dieses Risiko unmittelbar in die Planung. Eine Maßnahmenliste braucht deshalb eine Reihenfolge, Verantwortliche und einen Nachweis der Umsetzung.

Erst wissen, was geschützt werden muss

Beginnen Sie mit den Arbeitsabläufen, deren Ausfall das Unternehmen spürbar beeinträchtigen würde. Dazu können Buchhaltung, Kundenkommunikation, Auftragsdaten oder eine zentrale Fachanwendung gehören. Anschließend werden die dazugehörigen Geräte, Dienste, Konten und externen Anbieter aufgenommen.

Die IT-Bestandsaufnahme schafft dafür die Übersicht. Bei der Sicherheitsbewertung folgt eine zusätzliche Frage: Welche einzelne Schwachstelle könnte den Zugriff auf besonders viele Daten oder Systeme ermöglichen? Ein Konto zur Verwaltung aller Cloud-Benutzer ist beispielsweise anders zu behandeln als ein Zugang zu einer wenig wichtigen Einzelanwendung.

Die Geschäftsführung muss dafür keine technischen Schutzfunktionen selbst bewerten. Sie sollte von der zuständigen IT eine verständliche Beschreibung erhalten: Welches Risiko besteht, welche Maßnahme reduziert es und was bleibt danach offen?

Konten schützen, über die weitere Zugänge übernommen werden können

E-Mail-Konten sind besonders wichtig, weil darüber oft Kennwörter für andere Dienste zurückgesetzt werden. Administrative Konten können Benutzer, Rechte und Systeme verändern. Für solche Zugänge sollte Mehrfaktor-Authentifizierung, kurz MFA, früh eingerichtet werden. Neben dem Kennwort wird dabei ein weiterer unabhängiger Nachweis verlangt.

MFA ist allerdings nur dann im Alltag belastbar, wenn auch Wiederherstellung und Vertretung geregelt sind. Nach einem verlorenen Smartphone darf der einzige Administrationszugang nicht dauerhaft fehlen. Umgekehrt dürfen Wiederherstellungscodes nicht frei zugänglich neben dem Kennwort liegen. Wo unterstützt und passend, können phishingresistente Anmeldeverfahren wie Sicherheitsschlüssel zusätzlichen Schutz bieten.

Persönliche Konten erleichtern außerdem das gezielte Sperren von Zugriffen. Ein gemeinsames Administratorkonto für mehrere Personen erschwert die Zuordnung von Änderungen und den Entzug einzelner Berechtigungen. Für den normalen Arbeitsalltag sollte ein Konto ohne administrative Vollrechte verwendet werden; privilegierte Tätigkeiten erhalten einen getrennten Zugriffsweg.

Angriffsfläche und Updates zusammen betrachten

Ein Dienst, der direkt aus dem Internet erreichbar ist, kann unabhängig davon angegriffen werden, ob gerade jemand im Büro sitzt. Prüfen lassen sollten Unternehmen deshalb öffentliche Verwaltungsoberflächen, Fernzugänge und nicht mehr benötigte Freigaben. Was keinen begründeten öffentlichen Zugriff benötigt, sollte entsprechend begrenzt werden.

Updates betreffen mehr als das Betriebssystem des Notebooks. Auch Browser, Fachanwendungen, Router, Firewalls und Server benötigen unterstützte Versionen und eine geregelte Aktualisierung. Bei einer bekannten kritischen Schwachstelle reicht ein weit entfernter Standardwartungstermin möglicherweise nicht aus.

Die IT sollte Änderungen nach Risiko und Auswirkungen planen. Für ein wichtiges Geschäftssystem gehören Sicherung, Wartungsfenster und Funktionsprüfung dazu. Wenn eine Altanwendung nicht mehr aktualisiert werden kann, braucht es eine dokumentierte Übergangslösung und einen Ablöseplan. Dauerhaft unveränderte Software wird durch ein Schutzprogramm allein nicht zu einer verlässlich abgesicherten Umgebung.

Rechte und Netze begrenzen die Folgen

Mitarbeitende sollten auf die Informationen zugreifen können, die sie für ihre Aufgabe benötigen. Pauschaler Zugriff auf sämtliche Abteilungsdaten macht den Betrieb zunächst bequem, vergrößert aber den Schaden bei einem kompromittierten Konto.

Bei Personalwechseln und Rollenänderungen müssen Rechte deshalb angepasst werden. Dasselbe gilt für externe Dienstleister und technische Konten, mit denen Anwendungen arbeiten. Für jeden wichtigen Zugang sollte bekannt sein, wofür er gebraucht wird und wer ihn verantwortet.

Im Netzwerk können getrennte Bereiche zusätzliche Grenzen schaffen. Gäste oder vernetzte Geräte benötigen normalerweise keinen allgemeinen Zugriff auf Firmenrechner. Wie die Infrastruktur dabei zusammenspielt, erläutert unser Beitrag zu Firewall und VPN. Eine Trennung ergänzt sichere Endgeräte und Konten; sie deckt deren Aufgaben nicht automatisch mit ab.

Wiederherstellung als eigene Schutzmaßnahme organisieren

Auch bei guter Prävention können Fehler, Angriffe oder Ausfälle auftreten. Eine Sicherung soll deshalb wichtige Daten erhalten, selbst wenn der produktive Zugang oder Speicher betroffen ist. Dafür sind mehrere nutzbare Sicherungsstände und ein gegen das betrachtete Risiko geschützter Aufbewahrungsort relevant.

Besonders wichtig sind die administrativen Grenzen. Wenn dasselbe kompromittierte Konto alle produktiven Daten und alle Sicherungen löschen kann, besteht eine gemeinsame Schwachstelle. Die konkrete Lösung kann getrennte Berechtigungen, offline aufbewahrte Kopien oder technisch geschützte Sicherungsstände enthalten.

Die Wiederherstellung sollte praktisch geprüft werden. Der Beitrag über Restore-Tests erklärt, wie sich aus einem grünen Sicherungsstatus ein belastbarer Nachweis entwickeln lässt. Die Geschäftsführung benötigt daraus vor allem die Antwort, ob ein kritischer Ablauf innerhalb einer vertretbaren Zeit wieder aufgenommen werden kann.

Mitarbeitende brauchen klare Handlungswege

Eine verdächtige Zahlungsanweisung sollte über einen bekannten, unabhängigen Kontaktweg bestätigt werden. Eine Rückfrage an dieselbe möglicherweise kompromittierte Adresse genügt dafür nicht. Auch Änderungen von Bankverbindungen oder ungewöhnlich dringende Freigaben benötigen einen festgelegten Ablauf.

Schulungen helfen, wenn sie solche Situationen konkret behandeln. Ebenso wichtig ist ein einfacher Meldeweg. Wer eine verdächtige Anmeldung bestätigt oder einen Anhang geöffnet hat, sollte sofort wissen, wen er informiert. Schuldzuweisungen und unklare Zuständigkeit verzögern die Reaktion.

Ein vorbereiteter Notfallkontakt muss auch ohne das betroffene E-Mail-System erreichbar sein. Die ersten Maßnahmen werden durch die zuständige IT koordiniert, damit sowohl der Schaden begrenzt als auch die Ursache nachvollzogen werden kann.

Eine Prioritätenliste mit überprüfbaren Ergebnissen

Die folgende Tabelle zeigt beispielhaft, wie Maßnahmen formuliert werden können. Die Reihenfolge ist an den tatsächlichen Risiken zu prüfen.

Einen zusätzlichen Einstieg bieten die Empfehlungen des Bundesamts für Sicherheit in der Informationstechnik für Unternehmen. Sie ersetzen die Bewertung des eigenen Bestands nicht, helfen aber bei der Orientierung.

Unsere IT-Sicherheit für KMU setzt bei dieser Bestandsaufnahme und Priorisierung an. Eine gute erste Beauftragung endet mit wenigen klar beschriebenen Maßnahmen, Zuständigkeiten und Prüfergebnissen. So wird aus einer allgemeinen Sicherheitsabsicht ein bearbeitbarer Plan.