IT-Sicherheit im Mittelstand

Der häufigste Satz in Erstgesprächen lautet: „Bei uns gibt es doch nichts zu holen."

Das stimmt sogar — nur sucht niemand nach Ihnen. Angriffe auf Betriebe dieser Größe laufen automatisiert. Ein Programm klappert Adressbereiche ab, findet einen offenen Zugang, probiert Passwörter aus veröffentlichten Datenlecks durch und meldet den Treffer weiter. Erst danach schaut ein Mensch nach, wen es erwischt hat und was sich damit anfangen lässt.

Deshalb hat die Betriebsgröße wenig damit zu tun, ob man getroffen wird. Sie hat sehr viel damit zu tun, wie gut man es übersteht: Ein Konzern hat ein Team, das nachts um drei die Wiederherstellung startet. Ein Handwerksbetrieb mit 30 Leuten hat den Chef, der am Wochenende telefoniert.

Was wir hier zusammengetragen haben, ist deshalb keine Bedrohungslage, sondern eine Arbeitsliste. Sechs Bausteine, sortiert danach, was in der Praxis den größten Unterschied macht.

1 — Zugänge absichern. Der mit Abstand häufigste Einstieg ist ein Passwort, kein technisches Schlupfloch. Mehrfaktor-Anmeldung auf allen Postfächern und Fernzugängen ist die wirksamste Einzelmaßnahme überhaupt — und die günstigste. Dazu ein Passwortmanager, damit nicht dasselbe Kennwort an sieben Stellen liegt.

2 — E-Mail als Haupteinfallstor behandeln. Nahezu jeder Vorfall beginnt in einem Postfach. Ein Filter, der mehr sieht als die einzelne Nachricht, gehört dazu — und Verfahrensregeln für den Fall, den Technik nicht abfängt: geänderte Bankverbindungen, eilige Zahlungsanweisungen, Absenderadressen, die fast stimmen.

3 — Sicherung, die einen Angriff überlebt. Nicht „gibt es", sondern: von einem Angreifer mit vollen Rechten nicht löschbar, eine Kopie außer Haus, Rückholung getestet. Eine Sicherung, aus der noch nie etwas zurückgeholt wurde, ist eine Vermutung.

4 — Das Netz aufteilen. Kamera, Kasse, Maschinensteuerung und Buchhaltung im selben Netz heißt: Das unsicherste Gerät bestimmt, wie weit ein Angreifer kommt. Segmentierung ist selten ein Umbau — meistens fehlt nur die Aufteilung auf einer Verkabelung, die längst passt.

5 — Geräte verwalten. Wer nicht weiß, welche Geräte im Netz stehen, kann sie auch nicht aktuell halten. Dazu gehört das Unangenehme: Geräte, die keine Updates mehr bekommen, und die Frage, was mit ihnen geschieht.

6 — Menschen einbeziehen. Nicht als Schulung, die einmal im Jahr abgehakt wird, sondern als eine Handvoll Regeln, die im Alltag gelten und bei denen Nachfragen ausdrücklich erwünscht ist. Der teuerste Vorfall wird meist von einer Verfahrensregel verhindert, nicht von einem Produkt.

Genau in dieser. Nicht weil die Liste hübsch aussieht, sondern weil die ersten drei Punkte zusammen den Großteil des realistischen Risikos abdecken und in wenigen Tagen umsetzbar sind. Punkt vier und fünf sind Projekte, Punkt sechs ist Daueraufgabe.

Wir sehen häufig das Gegenteil: viel Geld in einem einzelnen technischen Baustein, während die Mehrfaktor-Anmeldung noch aussteht. Das ist, als hätte man eine Alarmanlage bestellt und die Haustür offen gelassen.

Sieben Fragen. Wer sie ehrlich beantwortet, weiß hinterher mehr über den eigenen Stand als nach jedem Sicherheitscheck von der Stange:

• Ist Mehrfaktor-Anmeldung auf allen Postfächern aktiv — auch bei der Geschäftsführung?
• Kann jemand mit Administratorrechten Ihre Sicherungsstände löschen?
• Wann wurde zuletzt etwas aus der Sicherung zurückgeholt, testweise?
• Gibt es ein getrenntes Gästenetz — getrennt, nicht nur mit eigenem Passwort?
• Weiß jemand, welche Geräte im Netz sind? Und stimmt die Liste?
• Was passiert, wenn ein Lieferant eine neue Bankverbindung mailt?
• Wer hat noch Zugänge, der nicht mehr im Unternehmen ist?

Drei Nein sind kein Notfall. Fünf sind ein Termin.

Ehrlicher, als es die meisten Anbieter sagen: Die ersten drei Bausteine kosten wenig Geld und etwas Aufmerksamkeit — die Mehrfaktor-Anmeldung ist in vorhandenen Paketen fast immer schon enthalten, ein Passwortmanager kostet pro Mitarbeiter weniger als ein Mittagessen im Monat. Teurer wird es bei Sicherung und Netz, weil dort Technik und Arbeitszeit dranhängen.

Die Rechnung, die wirklich zählt, geht andersherum: Wie viele Tage kann Ihr Betrieb ohne Zugriff auf seine Daten arbeiten? Diese Zahl bestimmt, was die Sicherung leisten muss — und alles andere ordnet sich darunter ein.

Wir fangen mit einer Bestandsaufnahme an, nicht mit einem Angebot. Am Ende steht eine Liste: was da ist, was fehlt, und welche drei Dinge in Ihrem Fall den größten Unterschied machen. Was Sie davon umsetzen und wann, entscheiden Sie.

Was wir nicht machen: Angst als Verkaufsargument. Wenn ein Baustein bei Ihnen nicht nötig ist, sagen wir das — und wenn etwas dringend ist, sagen wir das auch.