Praktische IT-Sicherheit im Geschäftsalltag speziell für kleine und mittlere Unternehmen

Das Problem ist bekannt – gesucht wird die Lösung:

Auch kleine und mittlere Unternehmen sind handfesten digitalen Risiken ausgesetzt. Den Inhabern und Geschäftsführern ist das auch längst klar. Das weiß ich aus meinen täglichen Gesprächen mit Kunden und Interessenten. Fast jeder hat von Unternehmen gehört, in denen ein Verschlüsselungstrojaner auf dem USB-Stick den gesamten Betrieb für Tage lahmgelegt hat, oder ein unzufriedener Mitarbeiter mal eben die Unternehmensdaten vernichten konnte, oder ein Software-Fehler die Produktion stoppte.

Es fehlt nicht am Problembewusstsein, sondern daran, dass der Weg zur Lösung nicht klar ist. Denn auch wenn es oft genau so dargestellt wird: Sicherheit ist kein Produkt, dass man einmal einkauft, installiert und dann abhakt (leider). Die IT-Sicherheit des eigenen Unternehmens ist ein Prozess, den man zum Laufen bringen muss. Das mag abgedroschen klingen. Aber ich denke dabei an praktische, umsetzbare Schritte, und konkrete Dienstleistungen, die man sich einkaufen kann.

Frage eins: Wer ist dafür zuständig, die IT-Sicherheit im Auge zu haben?

Das ist der Startpunkt, und bereits auf diese Frage gibt es in vielen Büros, Werkstätten und Firmen keine klare Antwort.

Ein Unternehmen mit zehn oder zwanzig Mitarbeitern kann sich keinen eigenen IT-Sicherheitsbeauftragten installieren. Aber in dem Fall sollte es einen externen Dienstleister dafür geben. Jemand, der das Unternehmen mit Blick auf die IT-Sicherheit durchleuchtet ,die wirklich nötigen Maßnahmen anstößt oder gleich durchführt. Und zwar regelmäßig – etwa einmal im Jahr. Oder immer dann, wenn das Geschäft erweitert wird, sich etwas in den Abläufen ändert etc.

Benötigt wird dafür ein Dienstleister mit dem nötigen Know-how und Engagement. Sinnvollerweise sollte er eine Zertifizierung mitbringt (BSI IT-Grundschutz/ISO 27001). Und im eigenen Unternehmen muss klar sein, wer Ansprechpartner ist. Übrigens hat es nach meiner Erfahrung für kleine und mittlere Unternehmen Vorteile, wenn auch ihr IT-Dienstleister aus diesem Segment kommt. Dann bringt er eher die Flexibilität und Bereitschaft mit, sich wirklich individuell mit dem „kleinen“ Kunden auseinanderzusetzen, und der Draht ist deutlich kürzer. Er muss allerdings absolut professionell arbeiten.

Übrigens: Ab ca. 50 Mitarbeitern, oder in Branchen mit besonders sensiblen Daten wie dem Gesundheitsbereich, lohnt sich das Einrichten der Position eines IT-Sicherheitsbeauftragen: dann ist nicht nur die Vorbereitung auf Risiken, sondern auch die Reaktionsfähigkeit im Krisenfall eine ganz andere. Und gerade das schnelle, gezielte Reagieren im Ernstfall spart dem Unternehmen erhebliche Summen.

Frage zwei: Was wird dafür getan, um die Mitarbeiter auf IT-Risiken aufmerksam zu machen?

Das ist ein anderer Punkt, den viele kleine und mittlere Unternehmen völlig vernachlässigen, obwohl er sich einfach ändern lässt. Für die meisten Mitarbeiter sind Computer, Laptop und Telefon Geräte, die man zum Arbeiten (Einkaufen, Chatten …) benutzt. Dass es viele digitale Gefahren gibt, wissen sie abstrakt. Aber ist ihnen konkret klar, woran man eine Phishing-Mail erkennt, warum man Passwörter nicht per WhatsApp verschickt und was droht, wenn man Gratis-Spiele-Apps auf dem Firmenhandy installiert?

Schulung heißt das Zauberwort. Und die Umsetzung im Alltag, ausgehend vom Chef: Der muss durch das eigene Beispiel klarmachen, dass bestimmte Verhaltensweise am Smartphone oder Laptop genauso unverantwortlich sind wie das Rauchen im Tanklager oder eine unbeaufsichtigte Kasse. Entwickelt das Team im Alltag ein normales, angemessenes IT-Sicherheitsbewusstsein, reduziert sich die die Angriffsfläche des Unternehmens enorm.

Frage drei: Stimmt die grundlegende IT-Infrastruktur?

Hier geht es um ganz konkrete Punkte, und wenn es jemand gibt, der für IT-Sicherheit zuständig und kompetent ist (Frage eins), dann sind diese Dinge fast schon abgehakt: Hat das Unternehmen einen sicheren Server, auf dem es Daten ablegt (ob in der Secure Cloud eines großen Anbieters, bei einem kleinen, aber sicherheitsbewussten Provider oder im eigenen Unternehmen)? Ist die Software, die im Unternehmen eingesetzt wird, einigermaßen sicher, und wird sie einheitlich und professionell verwaltet? Gibt es grundlegende Vorkehrungen, Firewall, Virenschutz etc.? Werden alle wichtigen Daten gesichert, werden sensible Daten beim Löschen wirklich gelöscht? Und so weiter.

Frage vier: Wer sorgt laufend für den Fall vor, dass es doch zu einer Sicherheitsverletzung kommt?

Das machen wir, die acant.service GmbH. Dafür sind wir Versicherungsmakler.

Übrigens ist auch das ein Prozess, kein einmaliger Einkauf. Für sinnvollen Versicherungsschutz, auch und gerade gegen digitale Gefahren, muss zunächst einmal genau geschaut werden, wo das Unternehmen wirklich Risiken ausgesetzt ist. Ein nicht existentes Risiko zu versichern ist teuer. Ein existentes Risiko nicht zu versichern ist ebenfalls teuer. Das muss also passen. Dafür sind wir Experten da.

Anschließend muss der Versicherungsschutz aktuell gehalten werden. Deshalb überprüfen wir bei jedem Kunden von uns jedes Jahr, ob die Deckungen weiterhin passen, oder geändert werden müssen. Wenn es Veränderungen gibt – neue Maschinen, eine neue Niederlassung, ein besonders großer Auftrag, ein Sonderprojekt – natürlich auch zwischendurch.

Das gehört zu unserem Service als Versicherungsmakler, genau wie das Recherchieren und Aushandeln der optimalen Police oder die Betreuung im Schadensfall. Deshalb ist Frage vier besonders leicht zu beantworten: Sie müssen uns dafür nur anrufen (030 863 926 990 oder 0176 10318791).