Cybersecurity für KMU: die Grundlagen, die Sie nicht überspringen dürfen

Viele KMU meinen, sie seien zu klein, um für einen Angreifer interessant zu sein. Das ist ein gefährlicher Irrtum: Gerade weil sie weniger geschützt sind, sind kleine Unternehmen bequeme Ziele. Ein erfolgreicher Angriff kann den Betrieb lahmlegen, Kundendaten preisgeben und Beträge kosten, die ein KMU nur schwer verkraftet. Die gute Nachricht: 80 % des Risikos deckt man mit grundlegenden Massnahmen ab, nicht mit dem Budget eines Grosskonzerns. Hier sind die Fundamente, nach Priorität.

Passwörter und Zugang: die erste Linie

Die meisten Verletzungen laufen über schwache oder wiederverwendete Zugangsdaten. Bevor Sie irgendetwas anderes tun, bringen Sie die Zugänge in Ordnung.

• Lange, einzigartige Passwörter für jeden Dienst: Ein wiederverwendetes Passwort kompromittiert alle verbundenen Konten.
• Zwei-Faktor-Authentifizierung (2FA) bei E-Mail, Bank, betrieblicher Software und Portalen: Selbst wenn das Passwort gestohlen wird, bleibt der Zugang blockiert.
• Passwortmanager: Er beseitigt die Angewohnheit, Passwörter aufzuschreiben oder wiederzuverwenden.
• Sofortiger Entzug der Zugänge, wenn eine Mitarbeiterin oder ein Mitarbeiter das Unternehmen verlässt.

Dieser einzelne Block von Massnahmen beseitigt einen enormen Teil des Risikos, zu nahezu keinen Kosten.

Backups: Ihr Sicherheitsnetz

Wenn eine Ransomware Ihre Daten verschlüsselt, ist die einzige echte Verteidigung, eine intakte Kopie zu haben. Backups sind kein Luxus, sie sind die Versicherung auf die Kontinuität.

• Wenden Sie die 3-2-1-Regel an: drei Kopien der Daten, auf zwei verschiedenen Datenträgern, davon eine ausser Haus (oder in einer separaten Cloud).
• Prüfen Sie, dass die Backups automatisch sind: Jene, die vom Gedächtnis einer Person abhängen, fallen früher oder später aus.
• Testen Sie die Wiederherstellung: Ein Backup, das Sie nicht wiederherzustellen wissen, ist kein Backup. Versuchen Sie regelmässig, die Daten zurückzugewinnen.
• Halten Sie mindestens eine Kopie vom Netz unerreichbar, damit ein Angriff sie nicht zusammen mit dem Rest verschlüsseln kann.

Updates: die offenen Türen schliessen

Ein Grossteil der Angriffe nutzt bekannte Schwachstellen aus, für die bereits eine Korrektur existiert. Sie nicht anzuwenden bedeutet, die Tür offen zu lassen.

• Aktivieren Sie die automatischen Updates bei Betriebssystemen, Browsern und betrieblicher Software.
• Ersetzen Sie nicht mehr unterstützte Systeme: Software, die keine Patches mehr erhält, ist eine dauerhafte Lücke.
• Halten Sie auch die “vergessenen” Geräte aktuell: Router, Netzwerkdrucker, verbundene Geräte.

Der menschliche Faktor: die wichtigste Verteidigung

Die Technologie stoppt viele Angriffe, doch Phishing zielt auf die Menschen, nicht auf die Systeme. Eine Mitarbeiterin oder ein Mitarbeiter, die oder der auf den falschen Link klickt, kann jede Firewall umgehen.

• Schulen Sie das Team darin, verdächtige E-Mails zu erkennen: ungewöhnliche Absender, künstliche Dringlichkeit, Aufforderungen zu Zugangsdaten oder Zahlungen.
• Legen Sie ein Prüfverfahren für Zahlungen fest: Eine Änderung der Bankverbindung per E-Mail ist stets über einen zweiten Kanal zu bestätigen.
• Schaffen Sie eine Kultur, in der das Melden eines Zweifels normal ist, kein Grund zur Verlegenheit. Ein rechtzeitig gemeldeter Angriff lässt sich eindämmen.

Datenschutz ist nicht nur technisch

Ein Schweizer KMU bearbeitet Daten von Kunden und Mitarbeitenden, und die Datenschutzgesetzgebung verlangt, sie angemessen zu schützen. Die Cybersecurity hat daher auch eine Compliance-Dimension:

• Zu wissen, welche Daten Sie besitzen und wo sie aufbewahrt sind.
• Den Zugang zu den Daten auf jene zu beschränken, die ihn wirklich brauchen.
• Bereit zu sein, eine allfällige Verletzung zu bewältigen, die Meldepflichten mit sich bringen kann.

Ein Mindestplan, nach Priorität

Wenn Sie bei null anfangen, ist dies die Reihenfolge, die mit dem geringsten Aufwand das meiste Risiko abdeckt:

1. Aktivieren Sie die 2FA bei allen kritischen Konten.
2. Sichern und testen Sie die Backups.
3. Aktivieren Sie überall die automatischen Updates.
4. Schulen Sie das Team zu Phishing.
5. Definieren Sie Rollen und Zugänge zu den Daten.

Sie müssen nicht alles sofort tun, aber Sie müssen diese Dinge gut tun.

Wie wir arbeiten

Bei SIH ONE ist die Datensicherheit integraler Bestandteil der Art, wie wir Ihre Administration führen. Die Dokumente und Daten, die Sie uns anvertrauen, sind verschlüsselt, mit persönlichen Zugängen und Nachvollziehbarkeit, an bekannten Orten und konform zur Schweizer Gesetzgebung aufbewahrt. Unser Portal und unsere Systeme sind so gestaltet, dass der Schutz die Regel ist, nicht eine zu konfigurierende Option.

Möchten Sie einen Check der Sicherheitsgrundlagen Ihres KMU? Sprechen wir gemeinsam darüber.