Nie war es wichtiger für Unternehmen, ihre eigenen IT-Systeme sicher zu gestalten. Dass dies in erster Linie auch ganz profane Aufgaben beinhaltet – von regelmäßigen Updates bis hin zu Mitarbeiterschulungen –, ist den Verantwortlichen gar nicht immer bewusst.

Fünf Tipps für kleine und mittlere Unternehmen

Der Digitalverband Bitkom gibt fünf konkrete Hinweise, welche Vorbereitungen und Vorsichtsmaßnahmen insbesondere kleine und mittelständische Unternehmen treffen sollten, um in Hinsicht auf ihre IT einen hohen Schutz zu haben:

1.    Härtung der Systeme durch Updates, Multi-Faktor-Authentifizierung etc. Unternehmen sollten ihre Schutzmaßnahmen insgesamt verstärken:

Betriebssysteme und Software müssen auf dem aktuellen Stand sein, Sicherheitsupdates sind zügig einzuspielen. Sichere – also komplexe und für jedes System unterschiedliche – Passwörter tragen signifikant zur Erhöhung des Schutzniveaus bei. Möglichst alle Logins mit Außenanbindung sollten über eine Multi-Faktor-Authentifizierung geschützt werden. Privilegien und Administrationsrechte sollten für einzelne Nutzerinnen und Nutzer eingeschränkt werden und die Komplexität von verwendeten Diensten insgesamt verringert werden. Eine solche Härtung der Systeme ist trotz Einschränkung der Nutzungsfreundlichkeit und Produktivität zum Schutz der eigenen Infrastruktur und unternehmenssensiblen Daten ratsam. Zudem ist die unternehmenseigene Backup-Strategie zu prüfen und nachzuziehen, sodass alle relevanten Unternehmensdaten gesichert sind und zusätzlich Sicherheitskopien offline auf einem externen Datenträger existieren.

2.    Verantwortlichkeiten klar definieren

Unternehmen müssen in einem Angriffsfall reaktionsfähig sein. Es braucht die klare Definition von Verantwortlichkeiten im Sicherheitsbereich und die Einrichtung entsprechender Anlaufstellen – sowohl intern als auch bei externen Dienstleistern. Es gilt sicherzustellen, dass zu jeder Zeit ausreichend Personal einsatzfähig ist. Urlaubszeiten oder Vertretungen bei Krankheit müssen dabei einkalkuliert werden. Außerdem ist es sinnvoll, sich darauf vorzubereiten, auch ohne die Hilfe externer Dienstleister kurzfristig reagieren zu können – bei großflächigen Cyberangriffen könnten Externe an Kapazitätsgrenzen stoßen.

3.    Beschäftigte sensibilisieren – Schritt-für-Schritt-Anleitungen aushändigen

Alle Erfahrungen zeigen: Der Mensch bleibt eines der größten Sicherheitsrisiken, ist aber auch Schutzgarant eines Unternehmens. Alle Beschäftigten sollten zielgruppengerecht für das erhöhte Risiko von Cyberangriffen sensibilisiert werden. Dazu gehört, potenzielle Gefahren verständlich zu erklären und Schritt-für-Schritt-Anleitungen bereitzustellen, wie man sich im Falle eines Angriffs verhält und an wen man sich wenden muss. Gegebenenfalls können kurzfristige Sicherheitsschulungen sinnvoll sein. Ziel ist es, die Wachsamkeit in der Belegschaft zu erhöhen. Besonders für den E-Mail-Verkehr gilt, Hyperlinks und Anhänge nicht vorschnell zu öffnen und ungewöhnliche Anweisungen mit Skepsis zu betrachten. An Unternehmen werden auch sehr gezielte und gut gemachte Phishing-Mails geschickt, wodurch der Fake nur anhand weniger Details wie etwa eines falsch geschriebenen Namens oder einer falschen Durchwahl in der Signatur entdeckt werden kann. 

4.    Notfallplan erstellen

Für den Fall eines Angriffs sollte im Unternehmen ein Notfallplan bereitliegen, der das weitere Vorgehen dokumentiert. Neben den technischen Schritten, die eingeleitet werden müssen, sollte der Plan auch organisatorische Punkte wie die Kontaktdaten relevanter Ansprechpersonen im Unternehmen sowie die Notfallkontakte der offiziellen Anlaufstellen beinhalten. Auch rechtliche Aspekte wie Meldepflichten bei Datenschutzverletzungen müssen berücksichtigt werden. Des Weiteren gehört eine vorbereitete Krisenkommunikation dazu, um schnell alle relevanten Stakeholder wie Kundinnen und Kunden, Partnerinnen und Partner sowie die Öffentlichkeit zu informieren. 

5.    Informationen offizieller Stellen beachten

Die Sicherheitslage ist hochdynamisch und kann sich von Tag zu Tag ändern. Unternehmen sollten daher die Meldungen von Behörden wie dem Bundesamt für Sicherheit in der Informationstechnik (BSI) sowie der Allianz für Cybersicherheit (ACS) stets beobachten und die dort zur Verfügung gestellten Dokumente und Informationen zur digitalen Sicherheit von Unternehmen regelmäßig studieren.

Business Continuity Management in der Praxis Herausgegeben von: Frank Roselieb Beiträge von: Prof. Dr. Werner Gleißner, Frank Roselieb u.a. Cyberangriffe auf Behörden, zerstörte Infrastrukturen nach der Flutkatastrophe, pandemiebedingte Lieferkettenprobleme – Störungen des Regelbetriebs von Organisationen oder ganzer Volkswirtschaften haben viele Ursachen. Business Continuity Management (BCM) zielt darauf ab, solche Prozessstörungen möglichst zu vermeiden, sie frühzeitig zu erkennen, systematisch zu bewältigen und adäquat nachzubereiten. Wie Sie Ihre Notfall- und Krisenmanagementsysteme zielgerichtet optimieren, erfahren Sie von einem 15-köpfigen Expertenteam. Standards zum Krisenmanagement: BSI-Standard 200-4, DIN CEN/TS 17091 und international DIN EN ISO 22301/22313 Aufbau und Betrieb von BCM-Systemen: Passgenaue Konzepte auch zur Krisenkommunikation, zum Krisentraining und IT Service Continuity Management (ITSCM) Erfahrungen langjähriger Krisenmanager und BCM-Beauftragter: Einblicke in die Managementsysteme namhafter Unternehmen Die Weiterentwicklung des Erfolgsbuchs „Krisenmanagement in der Praxis“ von Herausgeber Frank Roselieb mit völlig neuen Fallbeispielen aus einem breitem Branchenspektrum: von Finanz- und Verkehrswirtschaft, Gesundheitswesen, Medizintechnik und IT bis zu chemischer Industrie, Touristik, Rechtsberatung und Universität.

(ESV, uw)