Was ist Cybersicherheit? Schutzmaßnahmen für KMU

01Was schützt Cybersicherheit?

Cybersicherheit beruht auf drei Schutzzielen: der Vertraulichkeit der Daten, also dass nur Berechtigte sie sehen; der Integrität, also dass sie nicht unbefugt verändert werden; und der Verfügbarkeit, also dass sie bei Bedarf nutzbar sind. Ein Angriff beeinträchtigt mindestens eines dieser drei Ziele.

In einem kleinen Unternehmen gibt es mehr zu schützen, als man denkt: Kundenlisten und Kontaktdaten, Buchhaltungsunterlagen, Bank- und Zahlungsdaten, E-Mail-Korrespondenz, die Website sowie das Reservierungs- oder Bestellsystem. Jedes davon hat einen geschäftlichen Wert und ist zugleich mit rechtlicher Verantwortung verbunden.

02Warum sind KMU im Visier?

Ein verbreiteter Irrtum lautet, Angreifer hätten es nur auf große Konzerne abgesehen. Tatsächlich laufen die meisten Angriffe automatisiert ab: Das Internet wird ständig durchsucht, und eine nicht aktualisierte Website, ein Konto mit schwachem Passwort oder ein offen gelassener Remote-Desktop-Zugang wird ausgenutzt, ganz gleich, wie groß das Unternehmen ist.

Die eigentliche Herausforderung bei der Cybersicherheit im KMU sind die Ressourcen: Es gibt kein eigenes Sicherheitsteam, und die IT ist oft nur eine Zusatzaufgabe eines Mitarbeiters. Die gute Nachricht: Ein großer Teil der Angriffe lässt sich nicht mit teuren Produkten, sondern mit ein paar grundlegenden Gewohnheiten verhindern.

03Arten von Cyberangriffen

Die Arten von Cyberangriffen, mit denen kleine Unternehmen am häufigsten zu tun haben, zielen weniger auf Technik als auf Menschen. Der Angreifer knackt oft kein System, sondern bringt jemanden dazu, ihm die Tür zu öffnen.

Phishing

Dabei lockt eine E-Mail oder Nachricht, die scheinbar von einer Bank, einem Paketdienst oder einem bekannten Lieferanten stammt, den Nutzer auf eine gefälschte Anmeldeseite, um sein Passwort zu stehlen. Typische Erkennungsmerkmale und Schutzmöglichkeiten erklären wir ausführlich im Beitrag Was ist Phishing.

Ransomware

Das ist Schadsoftware, die Dateien auf Computern und Servern verschlüsselt und für die Entschlüsselung Geld verlangt. Eine Zahlung garantiert nicht, dass Sie Ihre Dateien zurückbekommen; die einzige echte Absicherung sind vom Netzwerk getrennte Backups. Das Thema behandeln wir gesondert im Ratgeber zu Ransomware.

Gefälschte Rechnungen und CEO-Betrug

Der Angreifer schreibt über ein gekapertes oder nachgeahmtes E-Mail-Konto wie ein Lieferant oder eine Führungskraft und verlangt, die Zahlung auf ein neues Konto zu überweisen. Da keine Schadsoftware im Spiel ist, passieren solche Mails Filter leicht; die wirksamste Maßnahme ist die Regel der telefonischen Rückbestätigung.

Passwortangriffe

Benutzername-Passwort-Kombinationen, die bei anderen Websites abgeflossen sind, werden automatisiert bei Konten ausprobiert, die dasselbe Passwort verwenden. Ein auf einer Seite gestohlenes Passwort gefährdet jedes Konto, bei dem Sie es erneut verwendet haben.

Sicherheitslücken auf Websites und DDoS

Nicht aktualisierte Softwarekomponenten, schwache Passwörter im Verwaltungsbereich und fehlerhafte Formularverarbeitung sind die häufigsten Schwachstellen von Websites. DDoS-Angriffe wiederum überlasten die Seite mit gefälschtem Datenverkehr, sodass sie nicht mehr erreichbar ist.

04Grundlegende Maßnahmen mit kleinem Budget

Die folgenden Sicherheitsmaßnahmen für Unternehmen erfordern keine großen Investitionen, verkleinern die Angriffsfläche aber erheblich. Sie müssen nicht alles auf einmal umsetzen; die ersten drei Punkte bringen den größten Nutzen.

• Zwei-Faktor-Authentifizierung: Machen Sie sie für E-Mail-, Bank-, Buchhaltungs-, Social-Media- und Website-Verwaltungskonten verpflichtend.
• Einzigartige, lange Passwörter: Verwenden Sie für jedes Konto ein eigenes Passwort und speichern Sie es in einem Passwortmanager; wie Sie sichere Passwörter erstellen, erklärt der Beitrag Sicheres Passwort erstellen.
• Regelmäßige Updates: Aktivieren Sie automatische Updates für Betriebssystem, Browser, Office-Programme, Router und Website-Komponenten.
• Getrennte Backups: Erstellen Sie automatische Backups, von denen mindestens eine Kopie vom Netzwerk getrennt oder unveränderbar aufbewahrt wird.
• Minimale Rechte: Jeder Mitarbeiter sollte nur auf die Konten zugreifen, die er für seine Arbeit braucht; Administratorkonten gehören nicht in die tägliche Nutzung.
• Gästenetz: Trennen Sie das offene WLAN für Kunden vom Netzwerk, in dem Kasse, Registrierkasse und Büro-Computer laufen.
• Austrittsprozess: Sperren Sie die Konten ausscheidender Mitarbeiter noch am selben Tag und ändern Sie gemeinsam genutzte Passwörter.

05Sicherheit von Website und Server

Ihre Website ist häufig die einzige Tür Ihres Unternehmens, die zum Internet offen steht. Grundvoraussetzungen sind die Auslieferung über HTTPS, ein per starker Authentifizierung geschützter Verwaltungsbereich, das Entfernen ungenutzter Komponenten und aktuelle Serversoftware. Wenn Sie eine neue Unternehmenswebsite erstellen lassen, ist es viel einfacher, diese Punkte schon im Angebotsstadium anzusprechen, als später nachzubessern.

Sicherheit und Performance greifen oft auf denselben Ebenen ineinander: aktuelle Serversoftware, richtig konfigurierter Cache und CDN, eine Netzwerkschicht, die Angriffsverkehr herausfiltert, bevor er Ihre Seite erreicht. Diese Einstellungen behandeln wir gemeinsam in der Geschwindigkeits- und Performance-Optimierung.

Wenn Sie online verkaufen, ist die Sicherheit der Zahlungsseiten besonders wichtig. Ein Onlineshop-System, bei dem Kartendaten nicht über Ihren Server laufen, sondern die sichere Infrastruktur des Zahlungsdienstleisters genutzt wird, senkt dieses Risiko erheblich. Auch bei branchenspezifischen Softwarelösungen wie Reservierungs- und Bestellsystemen sind Benutzerrechte und Protokolle ein zentraler Teil der Sicherheit.

06Sensibilisierung der Mitarbeiter

So stark die technischen Maßnahmen auch sind: Wenn ein Mitarbeiter sein Passwort auf einer gefälschten Seite eingibt, kann das die gesamte Absicherung aushebeln. Deshalb ist Sensibilisierung die günstigste und wirksamste Sicherheitsschicht.

Statt langer Schulungen wirken kurze, regelmäßige Erinnerungen besser. Ein echtes Phishing-Beispiel im Teammeeting zu zeigen, klar festzulegen, an wen verdächtige E-Mails gemeldet werden, und eine Kultur zu schaffen, die Fehler nicht bestraft, sorgt dafür, dass Probleme früh erkannt werden.

• Prüfen Sie den Absender über einen anderen Kanal, bevor Sie auf unerwartete Anhänge oder Links klicken.
• Bestätigen Sie Änderungen von Zahlungs- und Bankdaten immer telefonisch.
• Stecken Sie USB-Sticks und private Geräte nicht unkontrolliert an Arbeitsrechner an.
• Melden Sie verdächtige Vorfälle sofort, statt sie zu verschweigen; eine frühe Meldung begrenzt den Schaden.

07Was tun bei einem Angriff?

Ein vorab verfasster, kurzer Notfallplan hilft Ihnen, im Moment der Panik die richtigen Schritte zu gehen. Der Plan kann eine einzige Seite umfassen; wichtig ist, dass klar ist, wer was tut und wen man anruft.

1. Trennen Sie das betroffene Gerät vom Netzwerk, schalten Sie es aber nicht aus; für die Untersuchung sind Spuren wichtig.
2. Ändern Sie die Passwörter der Konten, die Sie für kompromittiert halten, von einem anderen Gerät aus und beenden Sie alle offenen Sitzungen.
3. Rufen Sie Ihre Bank und Ihren Zahlungsdienstleister an und stoppen Sie verdächtige Transaktionen.
4. Dokumentieren Sie, was passiert ist, wann es bemerkt wurde und welche Daten betroffen sind.
5. Schließen Sie den Einstiegspunkt des Angriffs, bevor Sie aus einem sauberen Backup wiederherstellen.
6. Verfolgen Sie die Meldungen des türkischen Nationalen Zentrums für Cybervorfälle USOM und erstatten Sie bei Bedarf Meldung.

08KVKK und Datensicherheit

Jedes Unternehmen, das Daten wie Name, Telefonnummer und Adresse von Kunden verarbeitet, ist nach dem türkischen Gesetz Nr. 6698 zum Schutz personenbezogener Daten (KVKK, vergleichbar mit der DSGVO) verpflichtet, die Sicherheit dieser Daten zu gewährleisten. Das Gesetz verlangt vom Verantwortlichen angemessene technische und organisatorische Maßnahmen.

Bei einer Datenpanne müssen die Betroffenen und der türkische Datenschutzrat (Kişisel Verileri Koruma Kurulu) benachrichtigt werden; in den Beschlüssen des Rates ist dafür eine Frist von 72 Stunden vorgesehen. Dieser Beitrag dient nur der allgemeinen Information; für die Einzelheiten Ihrer Pflichten prüfen Sie bitte die aktuelle Rechtslage und lassen Sie sich rechtlich beraten.