7 Sicherheitstipps, die Ihr Unternehmen vor einer Datenpanne schützen

Wieder ein Tag, an dem ein Hacker bei der Enormo Bank die Daten von ein paar Millionen Kunden in einem massiven Cybersecurity-Vorfall stiehlt. Kleine und mittlere Unternehmen (KMU) schmunzeln und sind dankbar, dass sie angeblich nicht groß genug sind, um ins Visier von Hackern zu geraten. Wenn Sie so denken, müssen wir Sie enttäuschen: Diese Wahrnehmung ist falsch. Völlig falsch.

Die Realität ist laut US-Kongressausschuss für kleine Unternehmen, dass ganze 71 % aller Online-Sicherheitsverletzungen Unternehmen mit weniger als 100 Mitarbeitern treffen. Wie bitte? Sie haben richtig gelesen: Wenn sich in Ihrem KMU noch die Mentalität „Wir sind zu klein, als dass die Bösen uns angreifen würden“ hält, ist jetzt der richtige Zeitpunkt, den Energy-Drink beiseite zu legen, sich aufzurichten und diesen 7 Website-Sicherheitstipps Aufmerksamkeit zu schenken, die Ihr Unternehmen vor einer Datenpanne retten könnten.

Sie werden es nicht bereuen.

#1 Firewalls sind nicht nur eine gute Idee

Wenn Sie keine Firewalls in Ihrem Netzwerk installiert haben, könnten Sie Ihre Passwörter gleich im Dark Web posten und jedem Hacker freigeben. Die Realität ist: Eine Firewall ist Ihre erste Verteidigungslinie zum Schutz von Kundendaten. Zur Erinnerung: Eine Firewall ist ein Sicherheitsmechanismus – als Hardware oder Software –, der den Datenfluss zwischen Ihrem internen Netzwerk und dem Internet überwacht und verdächtige Aktivitäten anhand vordefinierter Regeln herausfiltert.

Bei der Installation von Firewalls sollten Sie sich auf drei Bereiche konzentrieren.

Externe Firewall: Diese Art von Firewall ist normalerweise Bestandteil eines Routers oder Servers. Sie sitzt außerhalb Ihres Firmennetzwerks und verhindert, dass Schadsoftware überhaupt erst in Ihr System gelangt. Wenn Sie sich nicht sicher sind, ob Sie eine solche Firewall haben, fragen Sie bei Ihrem Webhoster nach.

Interne Firewall: Diese Firewall ist als Software im Netzwerk installiert. Sie erfüllt eine ähnliche Funktion wie die externe Firewall, nämlich das Scannen auf Viren, Malware und andere Cyberbedrohungen. Zusätzlich sollte sie Ihr Netzwerk segmentieren, sodass Viren oder Angriffe schnell isoliert werden können und sich nicht im gesamten System ausbreiten.

Der dritte Bereich betrifft Mitarbeitende im Homeoffice, die auf das Firmennetzwerk zugreifen. Ihre Gesamtsicherheit ist nur so stark wie das schwächste Glied. Für ein gutes Gefühl lohnt sich hier die Investition in modernen Firewall-Schutz.

Firewalls sind eng mit dem Hosting Ihrer Website/Ihres Netzwerks verbunden. Für ein paar Euro mehr pro Monat sollten Sie vielleicht auf Shared Hosting verzichten und auf einen eigenen Server oder Virtual Private Server umsteigen, um Ihre Sicherheitskonfigurationen gezielter steuern zu können.

#2 Sichern Sie smarte Geräte ab

Einer Umfrage von Tech Pro aus dem Jahr 2016 zufolge setzen 59 % der Unternehmen auf eine Bring-Your-Own-Device-(BYOD)-Strategie. Das sind viele potenziell ungesicherte Zugänge ins Firmennetzwerk, die durch die Büros spazieren. Die Hoffnung, dass niemand diese massive Sicherheitslücke bemerkt, ist keine Strategie – was also tun? Im heutigen Informationszeitalter persönliche Geräte wie Smartphones, Tablets, Fitness-Tracker und Smartwatches aus dem Büro zu verbannen, würde wahrscheinlich zu einer Massenflucht Ihrer Mitarbeitenden führen.

So gehen Sie vor:

Erstellen Sie eine Sicherheitsrichtlinie speziell für persönliche Geräte. Teilen Sie Ihren Mitarbeitenden mit, dass BYOD erlaubt ist, sie jedoch – und das bitte in Großbuchstaben – UNBEDINGT die Regeln zur Netzwerksicherheit einhalten müssen. Zwei wichtige Maßnahmen:

1. Alle persönlichen Geräte müssen so eingestellt sein, dass sie Sicherheitsupdates automatisch überprüfen und installieren.
2. Alle persönlichen Geräte müssen die Passwortrichtlinie des Unternehmens einhalten. Sie haben doch eine Passwortrichtlinie, oder? Sie ist enorm wichtig. Gleich mehr dazu.

Falls Sie sich mit diesen Anforderungen wie der Grinch fühlen: Wäre es Ihnen lieber, ein paar Mitarbeitende mit klaren Sicherheitsvorgaben zu verärgern oder Ihr wertvollstes Gut, die Kundendaten, zu verlieren? Eben.

#3 Ein Sicherheitsmanual, um sie alle zu steuern

Wie erwähnt, sind Daten für viele KMU heutzutage das wertvollste Unternehmensgut. Ein einzelner Mitarbeiter mit nachlässigen Passwörtern oder unkritischem Umgang mit verdächtigen E-Mails kann Ihr Geschäft ruinieren. Ein kluger Rat: Kunden sind wenig nachsichtig und meiden Unternehmen, die sorglos mit ihren Informationen umgehen. Falls Ihr Unternehmen professionelle Unterstützung benötigt, ist ein Security-Software-Entwickler eine gute Wahl.

Mehr denn je müssen Führungskräfte und alle Mitarbeitenden – vom alten Hasen bis zum Neuling – das Training zur Vermeidung von Online-Sicherheitsverletzungen ernst nehmen. Sie brauchen ein gedrucktes Richtlinienhandbuch, das klar die einzuhaltenden Protokolle und auch die Konsequenzen bei Nichteinhaltung (bis hin zur Kündigung) beschreibt. Cyberkriminelle sind einfallsreich. Sie testen ständig Ihre Verteidigung und entwickeln neue Wege, um Ihr Netzwerk technisch oder mit List zu knacken.

Es ist Aufgabe der KMU-Leitung, das Handbuch regelmäßig nach aktuellen Standards und neuen Angriffsmethoden zu aktualisieren und genügend Zeit für Schulungen im Onboarding-Prozess neuer Mitarbeitender einzuplanen. Wenn Sie wollen, dass dieses Thema ernst genommen wird – und das sollten Sie! – müssen Sie es selbst auch ernst nehmen. Jede Person, die aus irgendeinem Grund auf das Unternehmensnetzwerk zugreift, sollte genau wissen, wie sie es schützt. Ein wichtiger Teil ist die Passwortsicherheit, der ein eigenes Kapitel zusteht.

#4 Wenn Sie nichts anderes tun, setzen Sie eine starke Passwortrichtlinie um

Hier ein paar Zahlen, die zeigen, warum KMU oft Probleme mit Cybersecurity haben:

• Ein Verizon-Bericht von 2016 besagt, dass 63 % der Datenpannen durch schwache, verlorene oder gestohlene Passwörter verursacht wurden – ein Problem.
• Laut Ponemon Institute setzen 65 % der Unternehmen mit Passwortrichtlinie diese nicht konsequent durch – ein noch größeres Problem.

Wo soll man da anfangen? Ja, Mitarbeitende werden sich beschweren, wenn Sie komplexe Passwörter und regelmäßige Änderungen verlangen. Aber sind leichte Unmutsbekundungen wirklich schlimmer als ein Hackerangriff auf Ihr Netzwerk? Falls Sie das glauben, sollten Sie Ihr Unternehmen besser gleich verkaufen.

Das Thema Passwortsicherheit braucht einen eigenen Abschnitt im Sicherheitsmanual. Best Practices lauten:

1. Passwörter müssen alle 60–90 Tage geändert werden
2. Passwörter müssen mindestens 8 Zeichen lang sein, je länger desto besser
3. Passwörter müssen Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen enthalten

Und wenn Sie diese Vorgaben erst einmal eingeführt haben, gehören Sie nicht zu den 65 %, die sie nicht durchsetzen. Das wäre absurd.

Passwortmanager: Wir möchten diesen Abschnitt nicht beenden, ohne Passwortmanager zu erwähnen. Diese gibt es als Software, Cloud-Service oder sogar als Hardware. Sie helfen, komplexe Passwörter zu generieren und zu verwalten. Genau das, was der Name verspricht – und die meisten von uns könnten dabei Unterstützung gebrauchen.

Mehr über dieses (günstige) Online-Sicherheits-Tool lesen Sie bei Consumer Reports.

#5 Backups? Heute wichtiger denn je

Sie setzen bereits alle unsere Tipps konsequent um? Dann können Sie sich entspannt zurücklehnen – oder? Leider nein. Trotz bester Vorsätze kann es passieren, dass ein Hacker doch ins System eindringt. Cyberkriminelle sind erfinderisch. Im schlimmsten Fall können sie Passworteingaben mitlesen, Ihr System für Bot-Attacken missbrauchen oder sogar Ihren Server komplett löschen.

Dann wünschen Sie sich, das System zu einem früheren Zeitpunkt zurücksetzen zu können – vor dem Angriff. Sie machen doch regelmäßig Backups in die Cloud und lagern eine Kopie an einem entfernten Standort, falls es brennt oder flutet? Falls nicht, sollten Sie dringend darüber nachdenken, Textdokumente, Tabellen, Datenbanken, Finanzdaten, Personalakten und Buchhaltung regelmäßig zu sichern.

Da Cloud-Backups immer günstiger werden, gibt es keine Ausrede, keine umfassende Strategie einzusetzen. So stellen Sie im Ernstfall Ihr System schnell wieder her. Oder rekonstruieren Sie lieber jede Datei aus dem Gedächtnis?

#6 Anti-Malware ist kein Luxus

Ob Sie Anti-Malware installieren, ist theoretisch freiwillig. Praktisch ist es fahrlässig, es nicht zu tun. Anti-Malware schützt vor Phishing-Attacken, einer der beliebtesten Methoden von Hackern – weil sie funktioniert. Laut Verizon-Bericht 2016 haben 30 % der Mitarbeitenden Phishing-Mails geöffnet, ein Anstieg von 7 % zum Vorjahr!

Zur Erinnerung: Beim Phishing verschickt ein Hacker eine E-Mail, um einen Mitarbeitenden zum Klick auf einen Link zu verleiten. Damit wird Malware installiert und der Angreifer hat Zugang. Die beste Verteidigung: Schulen Sie Ihre Mitarbeitenden darin, keine Links in E-Mails anzuklicken, es sei denn, sie sind absolut sicher, dass sie echt sind.

Da 30 % der Mitarbeitenden Hackern quasi die Tür öffnen, ist Anti-Malware Ihr bester Schutz, um schädliche Software-Angriffe abzufangen, bevor sie das Netzwerk infizieren. Besonders gefährdet sind: Geschäftsleitung, Assistenz, Vertrieb und Personalabteilung – sie haben oft tieferen Zugriff auf sensible Bereiche.

Denken Sie aber nicht, dass andere sicher sind. Jeder Mitarbeitende mit Netzzugang ist ein potenzielles Ziel.

#7 Multi-Faktor-Authentifizierung – wird schnell zum Standard

In den letzten Jahren hat sich die Multi-Faktor-Authentifizierung (MFA) als Hoffnungsträger für mehr Netzwerksicherheit etabliert. Ja, sie ist etwas aufwendiger, aber nahezu narrensicher beim Login. Es gibt viele Varianten, aber so könnte ein Login ablaufen:

• Nutzer gibt wie gewohnt sein Passwort ein
• Ein einmaliger Code wird an das Handy geschickt
• Nutzer gibt diesen Code auf der Login-Seite ein
• Zugang zum Netzwerk wird gewährt

Noch einfacher: Die Handynummer des Mitarbeitenden dient als zweiter Login-Faktor. Ein Hacker wird kaum Zugriff auf Passwort UND Handy haben. Diese zusätzliche Sicherheitsschicht lässt sich in den meisten Systemen leicht aktivieren und erhöht die Passwortsicherheit erheblich.

Viel Pionierarbeit in diesem Bereich leistete Google. Dort gab es ein Jahr lang keinen einzigen gehackten Gmail-Account bei über 85.000 Mitarbeitenden – dank eines physischen Sicherheitsschlüssels (Titan), der in den USB-Port gesteckt wird. Selbst mit Nutzername und Passwort kam ein Hacker nicht weiter, solange er keinen Zugriff auf den Schlüssel hatte.

Abschließende Gedanken

Das große Ganze: Wer in KMU tätig ist, muss sich klarmachen, dass Website- und Netzwerksicherheit kein einmaliger Akt ist. Es ist ein fortlaufender Prozess – mit jedem Schritt nach vorne verschiebt sich die Ziellinie. „Einmal einstellen und vergessen“ gibt es nicht. Die Angreifer lernen ständig dazu und werden immer raffinierter – also müssen Sie das auch. Heute müssen Unternehmen zudem Datenschutzvorschriften einhalten. Ein Datenmanagement-System stellt sicher, dass alle Daten korrekt erhoben und verwaltet werden.

Wenn noch nicht geschehen, sollte jemand in Ihrem Unternehmen stets die neuesten Entwicklungen in der Cybersecurity beobachten, um sich über neue Angriffs- und Schutzmethoden zu informieren. In einer Welt, in der Ihr Gegner nie aufhört zu lernen , können Sie sich das auch nicht leisten. Wenn Ihnen Ihr Unternehmen am Herzen liegt, ist Nachlässigkeit beim Schutz Ihres Netzwerks und Ihrer Daten keine Option.