IT-Sicherheit für kleine Unternehmen: die Maßnahmen, die die meisten Angriffe verhindern
Kleine Unternehmen werden nicht angegriffen, weil sie interessant sind, sondern weil sie leichte Ziele sind. Die meisten Vorfälle beginnen mit einem gestohlenen Passwort, einer Phishing-Mail oder einem veralteten System. Eine Handvoll Maßnahmen verhindert den Großteil der Angriffe, und keine davon braucht eine große IT-Abteilung.
Konten: Zwei-Faktor-Anmeldung und Passwortmanager
Aktivieren Sie die Zwei-Faktor-Authentifizierung für E-Mail, Cloudspeicher, Banking, Buchungsplattformen und die Website. Nutzen Sie einen Passwortmanager, damit jedes Konto ein eigenes starkes Passwort hat. Entfernen Sie die Konten ausscheidender Mitarbeitender an deren letztem Tag.
Phishing: das häufigste Einfallstor
Gefälschte Rechnungen, Paketbenachrichtigungen und angebliche Nachrichten von Buchungsplattformen sind die üblichen Fallen. Hotels erhalten zum Beispiel regelmäßig Nachrichten, die Buchungsportale nachahmen und auf gefälschte Anmeldeseiten führen. Schulen Sie das Team, Absender und Links zu prüfen und geänderte Zahlungsdaten telefonisch über eine bekannte Nummer zu bestätigen.
Updates und Backups
Installieren Sie Updates für Betriebssysteme, Browser und die Website zeitnah. Sichern Sie Daten so, dass ein einzelner Vorfall nicht alles zerstören kann:
- Mehrere Kopien wichtiger Daten an mindestens zwei Orten.
- Mindestens eine Kopie offline oder unveränderbar, geschützt vor Ransomware.
- Automatische Backups mit Benachrichtigung, wenn sie fehlschlagen.
- Alle paar Monate ein Test der Wiederherstellung.
Zugriffsrechte und Geräte
Geben Sie jeder Person nur die Zugriffe, die sie braucht, und nutzen Sie getrennte Administratorkonten. Verschlüsseln Sie Laptops und Smartphones, sperren Sie Bildschirme automatisch und führen Sie eine Liste der Geräte mit Firmendaten. Gemeinsame Konten an Rezeption oder Kasse sollten eingeschränkte Rechte haben.
Wenn etwas passiert
Legen Sie vorab fest, wer entscheidet, wen Sie anrufen und wie Systeme vom Netz getrennt werden. Sind personenbezogene Daten betroffen, muss die Datenschutzaufsicht in der Regel binnen 72 Stunden informiert werden (Art. 33 DSGVO). Mittlere und größere Unternehmen bestimmter Branchen fallen zudem unter die NIS2-Regeln; das Bundesamt für Sicherheit in der Informationstechnik bietet dazu eine Prüfung an. Wir sichern Websites und Automatisierungen ab und richten Backups und Überwachung ein; nennen Sie uns Ihre Systeme, und Sie erhalten einen Festpreis.
Häufige Fragen
- Werden kleine Unternehmen wirklich angegriffen?
- Ja, meist durch automatisierte Angriffe und Phishing, die alle treffen. Kleine Unternehmen haben oft weniger Schutz und sind deshalb leichte Ziele.
- Ist Cloudspeicher sicher genug?
- Seriöse Anbieter sind oft sicherer als ein Server im Büro, sofern Zwei-Faktor-Anmeldung, Zugriffsrechte und ein unabhängiges Backup vorhanden sind.
- Brauchen wir eine Cyberversicherung?
- Sie kann Kosten nach einem Vorfall decken, Versicherer verlangen aber meist Grundmaßnahmen wie Zwei-Faktor-Anmeldung und Backups. Setzen Sie diese zuerst um.
Quellen
Nennen Sie uns die Systeme und Konten, von denen Ihr Betrieb abhängt. Wir prüfen die Grundlagen und richten Backups, Überwachung und sichere Zugänge ein.
Sicherheitscheck anfragen