Die Anzahl von Cyberattacken auf Unternehmen nimmt täglich zu. Die traurige Wahrheit ist: Behörden, Antivirensoftwares, IT-Verantwortliche usw. hinken den Kriminellen meist den entscheidenden Schritt hinterher. Das ist aber noch lange kein Grund zur Resignation. Denn es gibt einfache und wirksame Mittel, die Cybersicherheit und -resilienz im Unternehmen zu erhöhen.
Das Unternehmen ist zu klein und zu unbedeutend, um Opfer einer Cyberattacke zu werden? Dieser fatalen Fehleinschätzung sitzen viele KMUs auf. Denn gerade sie entwickeln sich zum beliebten Ziel von Kriminellen. Ein Beispiel in Zahlen: 2023 wurden dem Bundesamt für Sicherheit in der Informationstechnik (BSI) 132 Ransomware-Opfer bekannt. Noch vor Kommunen beziehungsweise Kommunalen Betrieben (30) oder Forschungs- und Bildungseinrichtungen (27) führten Unternehmen mit 68 registrierten erfolgreichen Angriffen die Statistik an. Davon betrafen allein 59 Attacken Mittlere Unternehmen. Im Vergleich waren „nur“ 3 Große und 6 Kleine/Kleinstunternehmen betroffen.
Der erste Schritt für mehr Cybersicherheit lautet also: Sich von der trügerischen Annahme befreien, nicht interessant genug für einen Angriff zu sein. Denn das Geld eines KMU ist den Kriminellen genauso viel wert, wie das eines DAX-Konzerns.
Cybersecurity zur Chefsache machen
Eine Cyberattacke kann auch ein vitales Unternehmen in eine schwere Schieflage bringen. Angefangen beim Reputationsverlust über die Belastung für die Mitarbeitenden bis hin zur Erneuerung der gesamten IT-Umgebung sind die Folgen für die Angriffsopfer weitreichend. Daher sollte dem Thema Cybersicherheit höchste Priorität auf Führungsebene eingeräumt werden. Die IT-Abteilungen dürfen mit dieser großen Herausforderung nicht allein gelassen werden und müssen maximale Unterstützung durch die Geschäftsführung erfahren.
Vor- und Nachsorge betreiben
Eines vorweg: Keine Sicherheitssoftware der Welt kann eine Cyberattacke zu 100% verhindern. Trotzdem ist sie ein essenzieller Bestandteil jeder Security-Strategie. Der Fehler ist, dass die meisten Unternehmen beim Virenschutz aufhören. Doch sollten darüber hinaus unbedingt Fahrpläne für den Ernstfall erstellt werden, denn in einem laufenden Angriff bleibt keine Zeit mehr, um das Vorgehen abzustimmen. Maßnahmen, Zuständigkeiten und Meldeketten müssen vorab festgelegt und nach jedem Zwischenfall aktualisiert werden. Auch Bedrohungsszenarien in konkreten Übungen durchzuspielen ist empfehlenswert. So werden nicht nur Notfallpläne auf ihre Tauglichkeit überprüft, sondern auch die Mitarbeitenden für den Ernstfall geschult.
Zur Vorsorge gehört auch die kontinuierliche Datensicherung über (nicht kompromittierbare!) Back-ups sowie lückenloses Screening der Systeme auf Anomalien, um beginnende Zwischenfälle möglichst früh zu erkennen. Auch der Abschluss einer entsprechenden Versicherung ist Teil einer belastbaren Cyberresilienz-Strategie. Denn eine erfolgreiche Cyberattacke kann Prozesse im Unternehmen noch über Monate hinweg lahmlegen und enorme Folgekosten verursachen. Übrigens, die Kriminellen nutzen gerne Wochenenden, Feiertage oder die Hauptferienzeit, um einen Angriff zu starten. Gerade in diesen Zeiten darf die Wachsamkeit also nicht nachlassen.
Mitarbeiter sensibilisieren
Von Ransomware-Attacke über CEO-Fraud bis hin zur Phishing-Mail: Es gibt unzählige Arten, wie sich Unbefugte Zugriff zu IT-Systemen verschaffen können. Der „Faktor Mensch“ spielt hierbei eine entscheidende Rolle, ist er doch der größte Schwachpunkt im Kampf gegen Cyberkriminalität.
Die Sensibilisierung der Mitarbeitenden gegenüber gängigen Angriffstaktiken ist das A und O, um die Cyberresilienz eines Unternehmens zu stärken. Dazu gehören regelmäßige Schulungen, klar definierte Regeln für Verhalten im Verdachtsfall sowie zuständige Ansprechpartner. Dabei darf die Unternehmenskultur nicht außer Acht gelassen werden: Mitarbeitende sollen sich trauen dürfen, im Zweifel auch eigene Fehler einzuräumen, zum Beispiel weil ein Link in einer Spam-Mail angeklickt wurde.
FAZIT
Niemals wird eine Maßnahme allein für absolute Cybersicherheit sorgen. Es geht vielmehr darum, viele kleine Bausteine zu einem großen Konzept zusammenzustellen, um für maximale Absicherung zu sorgen. Am Ende wird eine Kombination aus guter Vorbereitung, Schnelligkeit und funktionierenden Notfallstrategien für die erfolgreiche Bewältigung eines Angriffs sorgen.
Erik Sterck
Erik Sterck ist Mitgründer und Geschäftsführender Gesellschafter der Leonberger Erik Sterck GmbH. Das IT-Systemhaus berät Unternehmen im gesamten Datacenter-Umfeld sowie zu Cloud-native-Services. Darüber hinaus hat sich die Erik Sterck GmbH auf Cybersecurity spezialisiert. Insgesamt betreut das Unternehmen über 170 Kunden aus allen Branchen, bevorzugt im deutschen Mittelstand. Für seine Arbeit wurde das Systemhaus mit zahlreichen Preisen ausgezeichnet, zuletzt mit Nutanix „Best Technical Partner“ (2020), Rubrik Global Award „Cyber Recovery Partner of the Year“ (2023) und Arctic Wolf Networks „DACH Partner of the Year“ (2024).
