Vielen Unternehmen ist gar nicht bewusst, wie wichtig die IT-Sicherheit im Büro eigentlich ist. Dadurch, dass die Sicherheitsanforderungen stetig wachsen, muss man an dieser Stelle auch reagieren. Ein umfassendes Konzept gegen Cyberattacken, Schulungen für die Mitarbeiter und eine sichere E-Mail-Kommunikation sollten hier angesprochen werden.
Bringen Sie Ihre Mitarbeiter auf den neuesten Stand um Gefahren, die besonders bei der Kommunikation in den sozialen Netzwerken entstehen können, aus dem Weg zu gehen.
Erstellen Sie für Ihre Mitarbeiter einen kleinen Leitfaden. Sinnvoll wäre hierbei Themen zu benennen, wie den Umgang mit Datenschutz oder sozialen Medien. Sobald sich Mitarbeiter jedoch in sozialen Netzwerken unangebracht verhalten, sollte hier direkt eine Ermahnung erfolgen beziehungsweise bei wiederholten Verstößen letztlich die Kündigung. In den Bereichen Personal, Recht und Geschäftsentwicklung sollte eventuell ein Experte in Betracht gezogen werden.
Worauf ist in den sozialen Medien zu achten?
Mitarbeiter sollten einen separaten Firmenaccount für die sozialen Netzwerke nutzen, um generell private und berufliche Äußerungen klar zu trennen. Wer in diesem Bereich noch sehr unsicher ist, sollte sich mit dem Thema intensiv beschäftigen und den ein oder anderen Workshop besuchen.
Es gibt einige Websites, auf denen Nutzer Unternehmensbeiträge aufs Äußerste beleidigen. Der Ruf der Firma kann sich dadurch natürlich extrem verschlechtern. Vorwürfe dieser Art sollten immer mit den Vorgesetzten besprochen werden, bevor Sie sie beantworten oder gar löschen. Anschuldigungen sollten möglichst neutral beantwortet werden und Diskussionen sollten sich nicht in die Länge ziehen.
Bevor sich eine Firma online repräsentieren kann, sollten Sie einen Blick auf die Allgemeinen Geschäftsbedingungen und Datenschutzbestimmungen der jeweiligen sozialen Netzwerke, die Sie bedienen möchten, werfen. Dort steht geschrieben, welche Rechte die Betreiber an eigenen Bildern, Texten und Infos erhalten. Bevor also etliche Bilder hochgeladen werden, sollten Sie sich über die Bildrechte für Online-Medien im Klaren sein.
Zusätzlich sollten Unternehmen festlegen, wer Unternehmensprofile betreuen darf und welche Mitarbeiter Zugriff auf die jeweiligen Konten erhalten. Für Firmenkonten sollten individuelle Zugänge verwendet und, soweit vom jeweiligen Dienst angeboten, eine Mehr-Faktor-Authentisierung aktiviert werden. Zugangsdaten sollten nicht gemeinsam über Messenger, E-Mail oder ungeschützte Dokumente weitergegeben werden.
Konzepterstellung zur IT-Sicherheit
Fangen Sie mit einer Risiko- und Strukturanalyse an, die alle IT-Komponenten beinhaltet und den Ist-Zustand definiert. Hierbei betrachten Sie die IT-Komponenten nach Vertraulichkeit, Verfügbarkeit und Integrität. Welche gesetzlichen Vorgaben müssen berücksichtigt werden? Ermitteln Sie eine Risikoanalyse und achten Sie darauf, ob Kosten und Nutzen der Absicherung in einem wirtschaftlich gutem Verhältnis zueinander stehen.
Wählen Sie nun entsprechende Maßnahmen, nachdem Sie die Analysen ausgewertet haben. Das dient vor allem dem Schutz Ihrer aufbereiteten Informationen, die Sie am Ende in einem Konzept zusammenfassen.
Für Konzepterstellung und Umsetzung sollten Sie einen IT-Dienstleister in Erwägung ziehen, falls Sie keine spezielle IT-Abteilung haben.
Heute reichen technische Sicherheitsmaßnahmen allein nicht aus. Auch die Mitarbeiter müssen zurechtkommen und gewisse Regeln und Vorgaben beachten. Deshalb sind Schulungen und Informationen für Mitarbeiter ein fester Bestandteil jedes Sicherheitskonzeptes.
Ein Sicherheitskonzept sollte unter anderem regeln, wie Zugänge geschützt, Updates eingespielt, Daten gesichert und Sicherheitsvorfälle behandelt werden. Für wichtige Benutzerkonten ist eine Mehr-Faktor-Authentisierung eine zusätzliche Schutzmaßnahme. Außerdem sollten Unternehmen prüfen, welche Mitarbeiter auf welche Daten und Systeme zugreifen müssen. Nicht jeder Mitarbeiter benötigt Zugriff auf sämtliche Unternehmensdaten.
Auch regelmäßige Backups gehören zur IT-Sicherheit. Dabei reicht es nicht aus, Daten lediglich zu kopieren. Das Unternehmen sollte auch festlegen, wie Sicherungen geschützt, aufbewahrt und im Notfall wiederhergestellt werden. Das BSI weist ausdrücklich darauf hin, dass ein Backup erst dann hilfreich ist, wenn die Wiederherstellung der Daten funktioniert. Auch eine Datensicherung sollte deshalb regelmäßig getestet werden.
Ein Sicherheitskonzept verlangt aber nach regelmäßiger Überprüfung. Aktualität und Relevanz spielen hier eine wichtige Rolle. Was hat sich geändert? Was ist noch von Bedeutung und was müsste gegebenenfalls ergänzt werden? Gelingen die Schutzvorrichtungen und halten sich die Mitarbeiter an Vorschriften? Nur wer sein Sicherheitskonzept stetig aktualisiert erhält damit auch wichtige Informationen über technische Entwicklungen und Angriffsmethoden.
Neben der Prävention sollte auch festgelegt werden, was bei einem IT-Sicherheitsvorfall zu tun ist. Dazu gehört beispielsweise, wer im Unternehmen informiert werden muss, welche Systeme vom Netz genommen werden können und wer die Kommunikation mit dem IT-Dienstleister übernimmt. Ein schriftlicher Notfallplan erleichtert die Reaktion, wenn beispielsweise Schadsoftware entdeckt wurde, ein Benutzerkonto kompromittiert ist oder Unternehmensdaten nicht mehr verfügbar sind.
Das BSI weist darauf hin, dass insbesondere beim Notfallmanagement bei Unternehmen noch Verbesserungsbedarf besteht. Laut BSI-Lagebericht 2024 verfügte weniger als ein Drittel der Unternehmen über einen schriftlich fixierten Notfallplan. Für Unternehmen kann daher auch eine externe Prüfung des eigenen Sicherheitsniveaus sinnvoll sein. Der vom BSI entwickelte CyberRisikoCheck ermöglicht kleinen und mittleren Unternehmen eine strukturierte Einschätzung ihres IT-Sicherheitsniveaus und zeigt konkrete Maßnahmen auf.
Datenschutz und IT-Sicherheit miteinander verbinden
IT-Sicherheit und Datenschutz sind nicht dasselbe, überschneiden sich im Unternehmen aber an vielen Stellen. Sobald personenbezogene Daten verarbeitet werden, müssen Unternehmen geeignete technische und organisatorische Maßnahmen treffen. Dazu können unter anderem Zugriffsbeschränkungen, Verschlüsselung, Schutz vor Datenverlust und Verfahren zur regelmäßigen Überprüfung der Sicherheitsmaßnahmen gehören.
Nach Artikel 32 DSGVO muss das Schutzniveau unter anderem dem jeweiligen Risiko angemessen sein. Dabei sind beispielsweise der Stand der Technik, die Art der Verarbeitung und die möglichen Folgen eines Sicherheitsvorfalls zu berücksichtigen. Für Unternehmen bedeutet das: Es gibt keine pauschale Sicherheitslösung, die für jeden Betrieb gleichermaßen geeignet ist.
E-Mail-Kommunikation absichern
E-Mail-Kommunikation gehört in vielen Betrieben zum Arbeitsalltag und sollte deshalb ebenfalls Bestandteil des IT-Sicherheitskonzepts sein. Mitarbeiter sollten lernen, verdächtige Nachrichten, unerwartete Dateianhänge und Links zu unbekannten Webseiten zu erkennen. Besonders bei Rechnungen, Zahlungsaufforderungen oder angeblichen Nachrichten von Geschäftspartnern sollte die Identität des Absenders geprüft werden.
Bei wichtigen Änderungen von Bankverbindungen oder Zahlungsdaten sollte eine zusätzliche Rückfrage über einen bereits bekannten Kommunikationsweg erfolgen. So lässt sich das Risiko reduzieren, dass gefälschte Nachrichten zu finanziellen Schäden führen.
Auch bei Passwörtern sollte auf individuelle Zugangsdaten und ausreichend sichere Verfahren geachtet werden. Für verschiedene Dienste sollten nicht dieselben Passwörter verwendet werden. Ein Passwortmanager kann dabei helfen, für unterschiedliche Konten individuelle Zugangsdaten zu verwalten.
Updates und Zugriffsrechte
Veraltete Betriebssysteme, Programme und Geräte können Sicherheitslücken enthalten. Sicherheitsupdates sollten deshalb zeitnah eingespielt werden. Das gilt nicht nur für Computer, sondern beispielsweise auch für Smartphones, Router, Server, Drucker und andere mit dem Unternehmensnetzwerk verbundene Geräte.
Ebenso wichtig ist die Verwaltung der Zugriffsrechte. Mitarbeiter sollten nur die Berechtigungen erhalten, die sie für ihre Arbeit benötigen. Verlässt ein Mitarbeiter das Unternehmen, sollten seine Benutzerkonten und Zugriffsrechte zeitnah deaktiviert werden. Bei einem Arbeitsplatzwechsel sollten die Berechtigungen ebenfalls überprüft werden.
Resultat für kleine und mittlere Unternehmen
Eine ältere Studie des Bundesamts für Sicherheit in der Informationstechnik (BSI) hatte bereits gezeigt, dass bei kleinen und mittleren Unternehmen unterschiedliche Sicherheitsniveaus bestehen. Die damaligen Zahlen zur Umsetzung einzelner Maßnahmen sind inzwischen jedoch nicht mehr als aktueller Ist-Zustand geeignet.
Die aktuelle Lage zeigt weiterhin, dass kleine und mittlere Unternehmen vor besonderen Herausforderungen stehen. Häufig fehlt eigenes IT-Personal, während gleichzeitig die Abhängigkeit von funktionierenden IT-Systemen wächst. Das BSI bezeichnet die Gefährdungslage für Unternehmen als angespannt und weist insbesondere beim Notfallmanagement auf Nachholbedarf hin.
Zu den wichtigen Bereichen der IT-Sicherheit gehören daher insbesondere:
- regelmäßige Sicherheitsupdates
- sichere und individuelle Zugangsdaten
- Mehr-Faktor-Authentisierung für wichtige Konten
- regelmäßige und getestete Datensicherungen
- Schutz vor Schadsoftware
- Verschlüsselung und sichere Datenübertragung
- Beschränkung von Zugriffsrechten
- Schulungen und Sensibilisierung der Mitarbeiter
- ein schriftlicher Notfallplan
- regelmäßige Überprüfung des Sicherheitskonzepts
- geregelte Abläufe für Sicherheitsvorfälle
Gerade für kleine Handwerksbetriebe kann es sinnvoll sein, nicht jede Aufgabe selbst zu übernehmen. Ein externer IT-Dienstleister kann beispielsweise bei der Absicherung von Netzwerken, der Einrichtung von Backups, der Verwaltung von Updates oder der Erstellung eines Notfallkonzepts unterstützen. Das BSI stellt mit dem CyberRisikoCheck außerdem ein Verfahren zur Verfügung, mit dem KMU ihr eigenes IT-Sicherheitsniveau strukturiert überprüfen lassen können.
IT-Sicherheit ist damit keine einmalige Aufgabe. Neue Programme, Geräte, Mitarbeiter und Arbeitsabläufe können neue Risiken mit sich bringen. Ein Sicherheitskonzept sollte deshalb regelmäßig überprüft und an die tatsächlichen Bedingungen im Unternehmen angepasst werden.
