Digitalisierung
8 Tipps für mehr IT-Sicherheit im Betrieb
Im Sommer 2022 erwischte es erstmals einen DAX-Konzern: Bei einem Cyberangriff auf einen deutschen Automobilzulieferer wurden Medienberichten zufolge rund 40 Terabyte Daten gestohlen – das entspricht circa 260 Millionen Dokumentenseiten. Die Cyberkriminellen konnten einem Bericht des Handelsblatts zufolge neben digitalen Unterlagen des Autozulieferers selbst sowie Kundendaten auch personenbezogene Informationen von aktiven und ehemaligen Mitarbeitenden kopieren. Für den Fall, dass kein Lösegeld gezahlt werde, drohten die Datendiebe mit der Veröffentlichung der gestohlenen digitalen Inhalte im sogenannten Darknet. Ausgang nach wie vor ungewiss. Zuletzt hatte der Automobilzulieferer angekündigt, nicht auf die Lösegeldforderungen eingehen zu wollen.
Die sogenannte Ransomware-Attacke auf den DAX-Konzern – von englisch „ransom“, zu Deutsch: Lösegeld – ist kein Einzelfall. Ob Ransomware, Brut-Force oder DDoS: Die Zahl der Cyberattacken nimmt dramatisch zu.
Davon betroffen sind nicht nur große Konzerne, sondern vor allem mittelständische Unternehmen: Einer forsa-Befragung im Auftrag des Gesamtverbands der Deutschen Versicherungswirtschaft (GDV) zufolge war bis heute bereits fast jedes fünfte kleine und mittlere Unternehmen in Deutschland Opfer eines erfolgreichen Cyberangriffs. Fazit des GDV: Der Mittelstand muss mehr für den Schutz seiner IT-Systeme tun. Denn nur 22 Prozent der befragten Unternehmen erfüllen derzeit zumindest die Basisanforderungen an die IT-Sicherheit – obwohl diese vergleichsweise einfach umzusetzen seien. Die überwiegende Mehrheit (78 Prozent) hat demnach mehr oder minder große Sicherheitslücken. „Die meisten Unternehmen halten sich für deutlich besser gegen Cyberattacken geschützt, als sie es tatsächlich sind“, warnt GDV-Hauptgeschäftsführer Jörg Asmussen. Die Verantwortlichkeit dafür packt das Bundesamt für Sicherheit in der Informationstechnik (BSI) in eine einfache Formel: Cybersicherheit ist Chefsache! Acht Tipps, wie Sie dabei vorgehen können.
So erhöhen Sie die IT-Sicherheit in Ihrem Betrieb
Verantwortliche benennen
Wer darf entscheiden, ob der Webserver heruntergefahren wird? Wer ist im Notfall auch außerhalb der Bürozeiten erreichbar, selbst ohne funktionierendes Netzwerk? Definieren Sie klare Zuständigkeiten und Kommunikationswege. Erstellen Sie dafür eine Liste mit Namen und Telefonnummern für den Notfall. Diese sollte gegebenenfalls auch die Kontaktdaten externer Dienstleister enthalten.
Virenschutz aktuell halten
Eine Antivirensoftware gehört zur Pflichtausstattung jedes Computers. Alle bekannten Hersteller bieten je nach Bedarf modular erweiterbare Pakete für kleine und mittlere Unternehmen an. Die Software kann zumeist kostenlos getestet werden. Wichtig: Das Virenschutzprogramm muss immer auf dem aktuellen Stand sein. Deshalb sollte die automatische Aktualisierungsfunktion für die Virensignaturen und für das Programm selbst aktiviert sein.
Firewall installieren
Enthält die genutzte Virenschutzsoftware, das Betriebssystem oder der Router keine Firewall, sollte diese zusätzlich installiert werden. Während Antivirensoftware E-Mails oder die Festplatte des Rechners nach Viren durchsucht, verhindert eine Firewall grundsätzlich den unbefugten Zugriff von außen und blockt von vornherein Schadsoftware ab. Die Firewall sollte immer eingeschaltet bleiben.
Daten regelmäßig sichern
Wenn ein Angreifer wertvolle Dateien verschlüsselt oder ein Feuer oder eine Flut die IT-Anlage zerstört, ist es für Unternehmen mitunter existenzrettend, eine Sicherungskopie beziehungsweise ein Backup dieser Daten zu haben. Deshalb sollte eine regelmäßige Datensicherung zum Standard jedes Betriebes gehören. Experten empfehlen, mindestens einmal pro Woche eine Sicherungskopie zu erstellen und diese an einem sicheren Ort zu verwahren – zum Beispiel auf den Servern eines sicherheitszertifizierten Cloud-Anbieters. Dabei sollte regelmäßig geprüft werden, ob sich die Daten mithilfe der Sicherheitskopien tatsächlich wieder ins System einspielen lassen.
Softwareaktualisierungen einschalten
Anwendungssoftware und Betriebssysteme sollten immer auf aktuellem Stand gehalten werden. Denn mit Updates und sogenannten Patches werden von den Anbietern häufig bereits bekannte Sicherheitslücken geschlossen. Entsprechende Updates werden von den Programmen in der Regel automatisch installiert. Die Update-Funktionen sollten daher auf keinen Fall deaktiviert werden. Wenn die Soft- und Firmware auf dem neuesten Stand ist, ist das Risiko eines erfolgreichen Cyberangriffs laut dem BSI signifikant geringer.
Benutzerkonten einrichten
Jeder Mitarbeiter des Unternehmens sollte ein eigenes Benutzerkonto mit individuellem Passwort haben. Hingegen sollte es nur ein Administratorprofil geben, welches nur dann genutzt wird, wenn neue Programme eingerichtet oder das Betriebssystem konfiguriert werden muss. Fängt sich ein Mitarbeiter über sein Konto einen Virus ein, kann dieser so meist nur begrenzten Schaden anrichten. Zudem sollten die Mitarbeiter für Cybergefahren sensibilisiert werden.
Passwortregeln vorgeben
Einfach zu erratende Passwörter sind eines der häufigsten Einfallstore für Angreifer – dazu gehören zum Beispiel der Name des Unternehmens oder simple Zahlenreihen. Unternehmer sollten eine bestimmte Passwortlänge vorschreiben und ihre Mitarbeiter dazu verpflichten, mindestens eine Zahl oder ein Sonderzeichen im Passwort zu verwenden. Empfehlungen für die Erstellung sicherer Passwörter gibt das Bundesamt für Sicherheit in der Informationstechnik.
Mobile Geräte schützen
Häufig werden Firmendaten auf Smartphones, Tablets oder Laptops auch außerhalb des Betriebes genutzt. Diese müssen ebenfalls zum Beispiel mit Virenschutzsoftware und sicheren Passwörtern geschützt werden. Darüber hinaus sollten sensible Daten auf Handys oder Laptops für den Fall des Verlusts oder Diebstahls verschlüsselt werden und aus der Ferne gelöscht werden können.
Vorsicht, Phishing!
Sie locken mit Betreffzeilen wie „Online-Prüfung auf Geldwäsche“ oder behaupten, dass die Sicherheitseinstellungen in Ihrem Online-Banking angepasst und dafür Ihre Kontodaten abgeglichen werden müssen: Deutsche Sicherheitsbehörden warnen erneut vor betrügerischen Phishingmails und ‑anrufen. Dabei geben sich Kriminelle als Bankmitarbeiter oder Polizisten aus, um persönliche Daten von Bankkunden „abzufischen“ und sich Zugang zu deren Konten zu verschaffen. Betroffen sind davon sowohl private als auch gewerbliche Kunden.
Bitte beachten Sie dazu die folgenden Sicherheitshinweise:
- Nutzen Sie als Postbank-ID und als Passwort für Ihr Onlinebanking niemals dieselben Anmeldedaten, die Sie für andere Logins verwenden, etwa für Ihr E-Mail-Konto.
- Geben Sie bei Telefonanrufen, E-Mails oder Kontaktversuchen über andere Medien, zum Beispiel Messengerdienste, niemals Ihre Logindaten preis – auch dann nicht, wenn Sie von angeblichen Bankmitarbeitern dazu gedrängt werden. Die Postbank führt niemals einen Datenabgleich telefonisch, per E-Mail oder SMS durch – auch nicht im Falle von Datenverlusten. Dasselbe gilt für Polizeibehörden.
- Geben Sie auf keinen Fall Authentifizierungsverfahren (z. B. BestSign, mobile TAN) frei, wenn Sie diese nicht selbst aktiv angefordert haben. Geben Sie entsprechenden Aufforderungen auch dann nicht nach, wenn sie mehrfach erfolgen.
- Achtung: Kriminelle können sowohl die Absenderadresse einer E-Mail als auch die in der Rufnummernanzeige sichtbare Telefonnummer manipulieren (Fachbegriff: „spoofing“, deutsch: parodieren). Seien Sie also auch dann misstrauisch, wenn die angezeigte Nummer die der Postbank zu sein scheint. Gut zu wissen: Damit Sie sichergehen können, dass E-Mails mit dem Absender Postbank auch wirklich von der Postbank stammen, sind diese mit einem E-Mail-Signaturverfahren signiert. Mehr dazu erfahren Sie im Sicherheitsbereich auf der Postbank Website.
- Wenn Sie einen Betrugsversuch vermuten, ändern Sie sofort Ihre Postbank-ID und Ihr Passwort und senden Sie uns bitte direkt anschließend eine E-Mail an missbrauch@postbank.de
- Lesen Sie regelmäßig die aktuellen Sicherheitshinweise auf der Postbank Website.
Quellen: Gesamtverband der Deutschen Versicherungswirtschaft, Bundesamt für Sicherheit in der Informationstechnik, eigene Recherchen
Stand: 03/24; alle Angaben ohne Gewähr
Bildnachweis: iStockphoto / solarseven
