IT-Sicherheit für KMU: Welche Maßnahmen wirklich wichtig sind

IT-Sicherheit wird häufig mit komplexen Produkten, großen Security-Teams und hohen Investitionen verbunden. Für kleine und mittlere Unternehmen entsteht dadurch schnell der Eindruck, dass wirksamer Schutz nur mit erheblichem Aufwand möglich ist.

In der Praxis ist die Ausgangslage meist einfacher. Viele Sicherheitsprobleme entstehen nicht, weil ein Unternehmen zu wenig Spezialsoftware besitzt, sondern weil grundlegende Maßnahmen fehlen oder nicht konsequent umgesetzt werden.

Deshalb lautet die entscheidende Frage nicht:

Welche Security-Produkte brauchen wir noch?

Sondern:

Sind die wichtigsten Grundlagen unserer IT bereits sauber abgesichert?

IT-Sicherheit besteht nicht aus einer einzelnen Lösung

Es gibt kein einzelnes Produkt, das ein Unternehmen vollständig schützt. Eine Firewall allein reicht genauso wenig wie ein Virenscanner oder Multi-Faktor-Authentifizierung.

Gute IT-Sicherheit entsteht durch mehrere Maßnahmen, die sich gegenseitig ergänzen.

Für ein KMU bedeutet das nicht, möglichst viele Systeme einzuführen. Viel wichtiger ist, die relevanten Bereiche sinnvoll abzudecken und anschließend auch laufend zu betreuen.

1. Systeme und Programme aktuell halten

Eine der wichtigsten Sicherheitsmaßnahmen ist gleichzeitig eine der unspektakulärsten: Updates installieren.

Betriebssysteme, Programme, Browser, Firewalls, Server und andere Komponenten erhalten regelmäßig Sicherheitsupdates. Diese schließen bekannte Schwachstellen, die sonst von Angreifern ausgenutzt werden könnten.

Das Problem entsteht häufig nicht dadurch, dass Updates überhaupt fehlen, sondern dadurch, dass niemand einen klaren Überblick darüber hat, welche Systeme regelmäßig aktualisiert werden müssen.

2. Benutzerkonten mit MFA absichern

Passwörter können gestohlen, erraten oder durch Phishing abgegriffen werden. Deshalb sollte der Zugriff auf wichtige Unternehmensdienste nicht nur von einem Kennwort abhängen.

Multi-Faktor-Authentifizierung ergänzt die Anmeldung um einen zusätzlichen Faktor und erschwert damit den Missbrauch gestohlener Zugangsdaten deutlich.

Besonders wichtig ist MFA bei E-Mail- und Cloud-Diensten wie Microsoft 365, aber auch bei administrativen Zugängen und anderen kritischen Anwendungen.

3. Benutzerrechte sinnvoll begrenzen

Nicht jeder Mitarbeiter benötigt Administratorrechte auf seinem Arbeitsplatz. Und nicht jeder Benutzer muss Zugriff auf alle Daten des Unternehmens haben.

Je mehr Rechte ein Konto besitzt, desto größer kann der Schaden sein, wenn dieses Konto kompromittiert wird.

Dieses Prinzip nennt sich häufig „Least Privilege“: Ein Benutzer erhält genau die Rechte, die er für seine Aufgabe benötigt – nicht mehr.

4. Arbeitsplätze und Server schützen

Endgeräte sind ein wichtiger Angriffspunkt. Mitarbeiter öffnen E-Mails, laden Dateien herunter, verwenden Browser und arbeiten mit unterschiedlichsten Anwendungen.

Deshalb gehört ein zuverlässiger Endpoint-Schutz zur Grundausstattung.

• Aktiver Schutz vor Schadsoftware
• Überwachung verdächtiger Aktivitäten
• Regelmäßige Aktualisierung der Schutzmechanismen
• Erkennung auffälliger Prozesse oder Dateien
• Zentrale Verwaltung, sofern mehrere Geräte vorhanden sind

Auch hier gilt: Der Schutz sollte nicht nur installiert, sondern tatsächlich überwacht und aktuell gehalten werden.

5. Firewall und Netzwerk nicht vergessen

Eine Firewall kontrolliert den Datenverkehr zwischen verschiedenen Netzen und kann unerwünschte Verbindungen blockieren.

Sie ist deshalb weiterhin ein wichtiger Bestandteil der IT-Sicherheit. Trotzdem sollte sie nicht als alleinige Schutzmaßnahme betrachtet werden.

Ebenso wichtig ist eine sinnvolle Netzstruktur. Geräte, Server, Gast-WLAN und andere Systeme müssen nicht zwangsläufig alle im selben Netzwerksegment liegen.

6. Backup und Wiederherstellung planen

IT-Sicherheit bedeutet nicht nur, einen Angriff zu verhindern. Unternehmen müssen auch darauf vorbereitet sein, dass trotzdem etwas schiefgeht.

Ein funktionierendes Backup kann in solchen Situationen entscheidend sein.

Dabei reicht es nicht, Daten einfach irgendwo zu kopieren. Wichtig ist, dass klar definiert ist:

• Welche Daten gesichert werden
• Wie oft Sicherungen durchgeführt werden
• Wie lange Backups aufbewahrt werden
• Wo die Sicherungen gespeichert werden
• Wie eine Wiederherstellung durchgeführt wird
• Ob die Wiederherstellung regelmäßig getestet wird

Denn ein Backup, das im Ernstfall nicht wiederhergestellt werden kann, erfüllt seinen Zweck nicht.

7. E-Mail bleibt ein zentraler Angriffspunkt

Viele Angriffe beginnen mit einer E-Mail. Phishing, gefährliche Anhänge, gefälschte Rechnungen oder manipulierte Links gehören deshalb weiterhin zu den wichtigsten Risiken im Unternehmensalltag.

Technische Filter helfen dabei, einen großen Teil solcher Nachrichten bereits vor dem Posteingang abzufangen.

Trotzdem können einzelne Nachrichten durchkommen.

Deshalb müssen technische Schutzmaßnahmen und Aufmerksamkeit der Mitarbeiter zusammenspielen.

8. Mitarbeiter sensibilisieren

Ein Unternehmen kann technisch gut abgesichert sein und trotzdem Probleme bekommen, wenn Mitarbeiter verdächtige Situationen nicht erkennen.

Dabei geht es nicht darum, aus jedem Mitarbeiter einen IT-Security-Experten zu machen.

Einige einfache Grundregeln helfen bereits deutlich:

• Unerwartete Nachrichten kritisch prüfen
• Keine unbekannten Anhänge leichtfertig öffnen
• MFA-Anfragen nur bestätigen, wenn die Anmeldung selbst gestartet wurde
• Ungewöhnliche Zahlungsanforderungen über einen zweiten Weg überprüfen
• Verdächtige Vorfälle frühzeitig melden

9. Ausscheidende Mitarbeiter sauber entfernen

IT-Sicherheit betrifft auch organisatorische Abläufe.

Verlässt ein Mitarbeiter das Unternehmen, sollten seine Zugänge nicht einfach irgendwann später deaktiviert werden.

Ein sauberer Offboarding-Prozess umfasst unter anderem:

• Benutzerkonto sperren oder deaktivieren
• Aktive Sitzungen beenden
• Zugänge zu Anwendungen überprüfen
• Benötigte E-Mails und Daten übernehmen
• Geräte und Zugangsmittel zurücknehmen
• Externe Freigaben und Berechtigungen überprüfen

Je strukturierter solche Abläufe organisiert sind, desto geringer ist das Risiko, dass alte Zugänge versehentlich bestehen bleiben.

10. Sicherheit laufend überwachen

Eine IT-Umgebung verändert sich ständig. Neue Benutzer kommen hinzu, Geräte werden ersetzt, Software wird aktualisiert und neue Dienste eingeführt.

Deshalb sollte IT-Sicherheit nicht als einmaliges Projekt betrachtet werden.

Monitoring und regelmäßige Kontrolle helfen dabei, Probleme frühzeitig zu erkennen. Dazu können beispielsweise fehlgeschlagene Backups, ungewöhnliche Anmeldungen, ausgefallene Systeme oder veraltete Komponenten gehören.

Was braucht ein kleines Unternehmen wirklich?

Nicht jedes Unternehmen benötigt dieselben Sicherheitslösungen.

Ein Betrieb mit fünf Mitarbeitern und wenigen Arbeitsplätzen hat andere Anforderungen als ein Unternehmen mit mehreren Standorten, Servern und Außendienstmitarbeitern.

Trotzdem gibt es einige Grundlagen, die fast immer sinnvoll sind.

Typische Fehler bei der IT-Sicherheit

Oft sind es nicht außergewöhnliche technische Probleme, sondern einfache Versäumnisse, die später Schwierigkeiten verursachen.

• Updates werden nur unregelmäßig installiert
• MFA ist nicht für alle Benutzer aktiviert
• Zu viele Benutzer besitzen Administratorrechte
• Backups werden erstellt, aber nie getestet
• Alte Benutzerkonten bleiben aktiv
• Externe Freigaben werden nicht regelmäßig überprüft
• Mitarbeiter wissen nicht, wie sie verdächtige Vorfälle melden sollen
• Security-Produkte sind vorhanden, werden aber nicht überwacht

Braucht ein KMU ein eigenes Security-Team?

In vielen kleinen und mittleren Unternehmen ist ein eigenes Security-Team weder notwendig noch wirtschaftlich sinnvoll.

Entscheidend ist vielmehr, dass jemand die Verantwortung für die IT-Sicherheit übernimmt und die Umgebung regelmäßig betreut.

Das kann intern geschehen oder durch einen externen IT-Partner.

Sicherheit muss zum Unternehmen passen

Es ist genauso wenig sinnvoll, ein kleines Unternehmen mit unnötig komplexen Sicherheitslösungen zu überfordern, wie wichtige Schutzmaßnahmen aus Bequemlichkeit wegzulassen.

Die richtige Lösung liegt dazwischen.

Zuerst sollten die tatsächlichen Risiken und die vorhandene Infrastruktur betrachtet werden. Danach lässt sich entscheiden, welche Maßnahmen sinnvoll sind.

Fazit: Die Grundlagen machen den Unterschied

IT-Sicherheit ist kein einzelnes Produkt und auch kein einmaliges Projekt.

Für kleine und mittlere Unternehmen geht es vor allem darum, die wichtigsten Bereiche konsequent abzudecken: aktuelle Systeme, sichere Benutzerkonten, passende Rechte, Endpoint-Schutz, Firewall, Backup und aufmerksame Mitarbeiter.

Sind diese Grundlagen sauber umgesetzt und werden sie laufend betreut, ist bereits viel erreicht.