Cybersicherheit für KMU: ein umsetzbarer Anfang

Welche Arbeit muss morgen weitergehen?

Eine kleine Firma braucht keinen umfangreichen Fachwortkatalog, sondern einen Überblick über ihre Abhängigkeiten. Welche Anwendung benötigen Sie für Rechnungen, Aufträge oder Termine? Wo liegen die zugehörigen Daten? Wer kann die Anwendung administrieren? Notieren Sie für jeden wichtigen Dienst eine verantwortliche Person und einen erreichbaren Ansprechpartner beim Dienstleister.

Trennen Sie dabei drei Aufgaben: Die Geschäftsführung legt Prioritäten und Verantwortlichkeiten fest. Die IT setzt technische Maßnahmen um. Mitarbeitende melden unerwartete Anfragen oder Vorgänge. Auch mit einem externen IT-Dienstleister braucht es intern eine Person, die Entscheidungen treffen kann. Das NCSC ordnet seine Empfehlungen für kleine Organisationen entlang von E-Mail, wichtigen Konten, Geräten, Sicherungen und Angriffserkennung.

Fachliche Grundlage: NCSC: Cybersicherheit für kleine Organisationen

Fünf Maßnahmen mit einem klaren Nachweis.

Ein Häkchen auf einer Liste ersetzt keine Rückfrage. Lassen Sie sich zeigen, wie die Maßnahme im Alltag funktioniert. Die folgenden Fragen können Sie ohne eigene Security-Abteilung mit Ihrer IT besprechen.

Eine Sicherung muss auch einen Angriff überstehen.

Backups können selbst zum Ziel eines Angriffs werden. Eine zusätzliche Kopie in derselben, mit denselben Rechten erreichbaren Umgebung reicht deshalb nicht als alleinige Antwort. Besprechen Sie mit dem Anbieter, wie Löschung und unberechtigter Zugriff verhindert werden und wer eine Wiederherstellung auslösen darf.

Testen Sie nicht nur eine beliebige Datei. Wählen Sie einen wichtigen Arbeitsablauf: Ist eine Rechnung mit allen zugehörigen Daten wieder nutzbar? Sind Zugang und Programm ebenfalls verfügbar? Halten Sie Dauer und verbleibende Schritte fest. Eine Wiederherstellung ersetzt keine Maßnahmen gegen vorherigen Datenabfluss.

Fachliche Grundlage: NCSC: Gegen Ransomware widerstandsfähige Backups

Ein sinnvoller Start in vier Etappen.

Die Reihenfolge folgt Ihren betrieblichen Risiken. Der Plan ist eine Arbeitsvorlage, kein Versprechen, dass nach vier Wochen alle Risiken erledigt sind.

1. Woche 1: Kritische Dienste, Domains, Verantwortliche und Notfallkontakte erfassen.
2. Woche 2: Wichtige Konten und den Versand geschäftlicher E-Mails mit der IT überprüfen.
3. Woche 3: Eine Wiederherstellung testen und offene Updates priorisieren.
4. Woche 4: Einen verdächtigen Vorgang als Übung durchspielen; offene Aufgaben und regelmäßige Kontrollen festlegen.

Wo Centira Sie unterstützt.

Der kostenlose Domain-Check untersucht öffentliche Einstellungen Ihrer Internetadresse. Er kann beispielsweise Hinweise zur E-Mail-Konfiguration, zu TLS und Website-Headern geben. Daraus entstehen nachvollziehbare nächste Schritte für Ihre IT. Interne Programme, Mitarbeitendenkonten und Backups werden dabei nicht vollständig untersucht.

Nach Einrichtung und Freigabe können vereinbarte Domain-Prüfungen regelmäßig laufen. Weitere Datenleck-Quellen hängen von Domainnachweis und Anbieterzugang ab. Individuell eingerichtete Warn-Dateien ergänzen die Sicherheitsarbeit um einen gezielten Melder. So erhalten Sie zusätzliche Hinweise, ohne die Verantwortung für grundlegende Schutzmaßnahmen aus dem Blick zu verlieren.