KMU

Vorbereitet auf mögliche Cyber-Angriffe? Drei Grundregeln für kleinere Unternehmen

von

Schon mit ein paar Grundregeln sind auch kleinere Unternehmen im Fall eines Cyber-Angriffs viel besser vorbereitet. Für Cyber-Risiken gilt nichts anderes als für das Feuer-Risiko: Es kann jeden treffen, aber nicht überall entstehen die gleichen Schäden, denn das hängt von der Vorbereitung ab. Wenige, einfache Schritte können viel ausmachen.

(Wohlgemerkt: Es geht hier nicht um Technik – Firewalls, Intrusion Detection und ähnliches mehr. Sondern um das Vorbereitet-sein des Unternehmens, als Organisation.)

Was im Brandfall gilt …

Wie viel Schaden droht, wenn in einem Betrieb Feuer ausbricht? Dafür ist entscheidend, ob der Betrieb vorbereitet ist. Funktionieren die Feuerlöscher, wurden keine Brandschutztüren zugestellt? Fühlt sich gleich der erste Mitarbeiter, der den Brand bemerkt, für den Anruf bei der Feuerwehr zuständig? Kennen alle die Fluchtwege, und wissen sie, wo die Notausknöpfe und Unterbrechungsschalter in Werkstätten und Produktionshallen sind? Solche kleinen Dinge können viel Schaden verhindern.

… ist im Cyber-Angriffsfall nicht anders

Im Fall einer Cyber-Attacke auf die Unternehmens-IT gilt das Gleiche: Ein paar Verhaltensregeln können bereits einen guten Teil des Schaden eindämmen.

  • Grundregel für alle: reagieren – nicht warten. Die Mitarbeiter müssen aktiv werden, wenn es Anzeichen für einen Cyberangriff gibt. Der komische Dateianhang führt beim Bürorechner zu eigenartigem Verhalten? Ausschalten, vom Netz trennen, umgehend Bescheid sagen!
    DIe Mitarbeiter sollten geistig auf die Möglichkeit von Cyberangriffen vorbereitet sein. Das Bewusstsein für die digitale Gefahr muss Teil der Unternehmenskultur werden.
  • Klären, wer für IT-Notfälle zuständig ist. In größeren Unternehmen ist klar, wen man bei einem möglichen Trojaner-Befall anruft. Dort gibt es eine IT-Abteilung mit – hoffentlich – fertigen Notfallplänen. In kleineren Unternehmen gibt es vielleicht keinen eigenen Administrator. Gibt es einen externen Dienstleister für IT-Notfälle, und wissen alle, wie man ihn erreicht?
  • Eine funktionierende Datensicherung einrichten. Von einem Moment zum anderen alle- Personal-, Kunden-, Buchhaltungs-, Produktionsdaten etc. weg? Dann stehen auch kleinere Unternehmen vor dem Nichts, ohne Zugriff auf ihre geschäftlichen Informationen. Für eine niedrige vierstellige Summe bekommt man ein solides Backup-System für ein kleineres Unternehmen eingerichtet. Daran zu sparen ist wie auf Feuerlöscher zu verzichten. Mehr im Beitrag „Wie kann Datensicherung vor Ransomware schützen?„

Natürlich ersetzen diese Regeln nicht eine professionell gemanagte und installierte IT-Security. Aber sie ergänzen sie um einen wichtigen Aspekt.

Vorbereitet sein – und versichern!

Brandschutzmaßnahmen und eine Feuerversicherung schließen sich nicht aus. Im Gegenteil. Das Gleiche gilt für die Bedrohung durch Cyber-Risiken, denn eine Cyber-Versicherung gehört zum Vorbereitet sein dazu.

Der Unterschied ist eher, dass die Wahrscheinlichkeit für einen Cyber-Angriff deutlich höher liegt als das Risiko einer Brandkatastrophe.

Haben Sie Fragen oder Anmerkungen? Rufen Sie uns an: +49 (0)30 863 926 990

Praktische IT-Sicherheit im Geschäftsalltag speziell für kleine und mittlere Unternehmen

von

Das Problem ist bekannt – gesucht wird die Lösung:

Auch kleine und mittlere Unternehmen sind handfesten digitalen Risiken ausgesetzt. Den Inhabern und Geschäftsführern ist das auch längst klar. Das weiß ich aus meinen täglichen Gesprächen mit Kunden und Interessenten. Fast jeder hat von Unternehmen gehört, in denen ein Verschlüsselungstrojaner auf dem USB-Stick den gesamten Betrieb für Tage lahmgelegt hat, oder ein unzufriedener Mitarbeiter mal eben die Unternehmensdaten vernichten konnte, oder ein Software-Fehler die Produktion stoppte.

Es fehlt nicht am Problembewusstsein, sondern daran, dass der Weg zur Lösung nicht klar ist. Denn auch wenn es oft genau so dargestellt wird: Sicherheit ist kein Produkt, dass man einmal einkauft, installiert und dann abhakt (leider). Die IT-Sicherheit des eigenen Unternehmens ist ein Prozess, den man zum Laufen bringen muss. Das mag abgedroschen klingen. Aber ich denke dabei an praktische, umsetzbare Schritte, und konkrete Dienstleistungen, die man sich einkaufen kann.

Frage eins: Wer ist dafür zuständig, die IT-Sicherheit im Auge zu haben?

Das ist der Startpunkt, und bereits auf diese Frage gibt es in vielen Büros, Werkstätten und Firmen keine klare Antwort.

Ein Unternehmen mit zehn oder zwanzig Mitarbeitern kann sich keinen eigenen IT-Sicherheitsbeauftragten installieren. Aber in dem Fall sollte es einen externen Dienstleister dafür geben. Jemand, der das Unternehmen mit Blick auf die IT-Sicherheit durchleuchtet ,die wirklich nötigen Maßnahmen anstößt oder gleich durchführt. Und zwar regelmäßig – etwa einmal im Jahr. Oder immer dann, wenn das Geschäft erweitert wird, sich etwas in den Abläufen ändert etc.

Benötigt wird dafür ein Dienstleister mit dem nötigen Know-how und Engagement. Sinnvollerweise sollte er eine Zertifizierung mitbringt (BSI IT-Grundschutz/ISO 27001). Und im eigenen Unternehmen muss klar sein, wer Ansprechpartner ist. Übrigens hat es nach meiner Erfahrung für kleine und mittlere Unternehmen Vorteile, wenn auch ihr IT-Dienstleister aus diesem Segment kommt. Dann bringt er eher die Flexibilität und Bereitschaft mit, sich wirklich individuell mit dem „kleinen“ Kunden auseinanderzusetzen, und der Draht ist deutlich kürzer. Er muss allerdings absolut professionell arbeiten.

Übrigens: Ab ca. 50 Mitarbeitern, oder in Branchen mit besonders sensiblen Daten wie dem Gesundheitsbereich, lohnt sich das Einrichten der Position eines IT-Sicherheitsbeauftragen: dann ist nicht nur die Vorbereitung auf Risiken, sondern auch die Reaktionsfähigkeit im Krisenfall eine ganz andere. Und gerade das schnelle, gezielte Reagieren im Ernstfall spart dem Unternehmen erhebliche Summen.

Frage zwei: Was wird dafür getan, um die Mitarbeiter auf IT-Risiken aufmerksam zu machen?

Das ist ein anderer Punkt, den viele kleine und mittlere Unternehmen völlig vernachlässigen, obwohl er sich einfach ändern lässt. Für die meisten Mitarbeiter sind Computer, Laptop und Telefon Geräte, die man zum Arbeiten (Einkaufen, Chatten …) benutzt. Dass es viele digitale Gefahren gibt, wissen sie abstrakt. Aber ist ihnen konkret klar, woran man eine Phishing-Mail erkennt, warum man Passwörter nicht per WhatsApp verschickt und was droht, wenn man Gratis-Spiele-Apps auf dem Firmenhandy installiert?

Schulung heißt das Zauberwort. Und die Umsetzung im Alltag, ausgehend vom Chef: Der muss durch das eigene Beispiel klarmachen, dass bestimmte Verhaltensweise am Smartphone oder Laptop genauso unverantwortlich sind wie das Rauchen im Tanklager oder eine unbeaufsichtigte Kasse. Entwickelt das Team im Alltag ein normales, angemessenes IT-Sicherheitsbewusstsein, reduziert sich die die Angriffsfläche des Unternehmens enorm.

Frage drei: Stimmt die grundlegende IT-Infrastruktur?

Hier geht es um ganz konkrete Punkte, und wenn es jemand gibt, der für IT-Sicherheit zuständig und kompetent ist (Frage eins), dann sind diese Dinge fast schon abgehakt: Hat das Unternehmen einen sicheren Server, auf dem es Daten ablegt (ob in der Secure Cloud eines großen Anbieters, bei einem kleinen, aber sicherheitsbewussten Provider oder im eigenen Unternehmen)? Ist die Software, die im Unternehmen eingesetzt wird, einigermaßen sicher, und wird sie einheitlich und professionell verwaltet? Gibt es grundlegende Vorkehrungen, Firewall, Virenschutz etc.? Werden alle wichtigen Daten gesichert, werden sensible Daten beim Löschen wirklich gelöscht? Und so weiter.

Frage vier: Wer sorgt laufend für den Fall vor, dass es doch zu einer Sicherheitsverletzung kommt?

Das machen wir, die acant.service GmbH. Dafür sind wir Versicherungsmakler.

Übrigens ist auch das ein Prozess, kein einmaliger Einkauf. Für sinnvollen Versicherungsschutz, auch und gerade gegen digitale Gefahren, muss zunächst einmal genau geschaut werden, wo das Unternehmen wirklich Risiken ausgesetzt ist. Ein nicht existentes Risiko zu versichern ist teuer. Ein existentes Risiko nicht zu versichern ist ebenfalls teuer. Das muss also passen. Dafür sind wir Experten da.

Anschließend muss der Versicherungsschutz aktuell gehalten werden. Deshalb überprüfen wir bei jedem Kunden von uns jedes Jahr, ob die Deckungen weiterhin passen, oder geändert werden müssen. Wenn es Veränderungen gibt – neue Maschinen, eine neue Niederlassung, ein besonders großer Auftrag, ein Sonderprojekt – natürlich auch zwischendurch.

Das gehört zu unserem Service als Versicherungsmakler, genau wie das Recherchieren und Aushandeln der optimalen Police oder die Betreuung im Schadensfall. Deshalb ist Frage vier besonders leicht zu beantworten: Sie müssen uns dafür nur anrufen (030 863 926 990 oder 0176 10318791).