Cybersicherheit für KMU:
wo man anfängt

Ja, gerade weil es klein ist. Die Angriffe, die ein KMU erreichen, richten sich nicht gezielt gegen es: Es sind Massenkampagnen mit gefälschten Rechnungen, angeblichen Bankmitteilungen oder auf anderen Websites gestohlenen Passwörtern, die bei Tausenden Unternehmen gleichzeitig ihr Glück versuchen. Herein kommt man dort, wo die Tür am schlechtesten verschlossen ist, und bei KMU sind die Türen am schlechtesten verschlossen, weil niemand dafür zuständig ist. Der Angreifer weiß nicht, wer Sie sind, und es interessiert ihn nicht: Er weiß, dass ein Unternehmen mit acht Leuten ohne Backups eher zahlt als ein großes mit Sicherheitsabteilung. Die Warnungen des spanischen Cybersicherheitsinstituts INCIBE und die jährlichen Branchenberichte wiederholen es jedes Jahr: Die meisten Vorfälle in spanischen Unternehmen betreffen KMU, und die meisten beginnen mit einer E-Mail.

Ein Virenschutz stoppt auf dem Rechner, was er erkennt, und ist notwendig, deckt aber nicht ab, was am häufigsten hereinkommt. Er verhindert nicht, dass jemand sein Passwort auf einer gefälschten Bankseite eingibt, dass eine Rechnung mit geänderter Kontonummer bezahlt wird, dass ein nicht aktualisiertes Windows eine bekannte Lücke hat oder dass die Backups auf derselben Festplatte liegen, die die Ransomware verschlüsselt. Die sieben Punkte dieses Leitfadens sind genau das, was der Virenschutz nicht leistet. Sinnvoll ist aber ein verwalteter Virenschutz: dass jemand von außen sieht, ob er auf allen Geräten aktiv ist und was er erkannt hat, statt darauf zu vertrauen, dass jeder auf sein Symbol schaut.

Weniger als ein einziger Vorfall. Getestete Backups, Updates, Zwei-Faktor-Authentifizierung und die Überprüfung der Konten sind vor allem Arbeit, keine Anschaffungen: Ein Passwort-Manager und ein Cloud-Backup kosten ein kleines Unternehmen ein paar Euro pro Nutzer und Monat. Eine echte Investition sind die Firmen-Firewall und, wenn es einen Server gibt, eine USV. Am meisten kostet die Zeit, es umzusetzen und zu pflegen, deshalb ist es bei KMU meist Teil eines Wartungsvertrags mit einem Techniker, der es jeden Monat prüft. Bei uns beginnt der Plan Esencial mit verwalteten Backups, Virenschutz und Updates bei 49 € im Monat, der Plan Gestionado mit fest zugeordnetem Techniker und Monitoring bei 99 €; was ein Wartungsvertrag enthalten sollte, erklärt, was Sie in jedem Fall verlangen sollten.

Sie am selben Tag deaktivieren, an dem die Person geht, und alle paar Monate prüfen, dass keines mehr offen ist. Das ist einer der häufigsten und am leichtesten vermeidbaren Fehler: ein ehemaliger Mitarbeiter mit aktiver E-Mail, Zugang zur Warenwirtschaft oder ein WLAN-Passwort, das nie geändert wurde. Man muss niemandem etwas Böses unterstellen; es reicht, dass sein Passwort, das er vielleicht auch woanders verwendet hat, in einem Datenleck auftaucht. Dasselbe gilt für Lieferanten und externe Techniker, die für etwas Bestimmtes Zugang hatten. Das Werkzeug ist eine Liste, wer worauf Zugriff hat, vierteljährlich geprüft; das kostet eine Stunde.

Mehrere, die schon für jedes Unternehmen gelten, und eine, die kommen kann. Die DSGVO verpflichtet, personenbezogene Daten mit geeigneten Maßnahmen zu schützen und eine Datenschutzverletzung binnen 72 Stunden der Aufsichtsbehörde (in Spanien der AEPD) zu melden; ein KMU mit Kundendaten fällt bereits darunter, und in der DSGVO-Checkliste für Kanzleien und Praxen gehen wir ins Detail. Die europäische NIS2-Richtlinie, die Spanien gerade in nationales Recht umsetzt, betrifft mittlere und große Unternehmen bestimmter Sektoren, nicht das typische KMU – wohl aber einige seiner Kunden, die von ihren Lieferanten zunehmend vertraglich Maßnahmen verlangen. Und wenn Sie mit Gesundheitsdaten arbeiten oder für die öffentliche Verwaltung tätig sind, gelten eigene Anforderungen. Was dieser Leitfaden vorschlägt, deckt das für jedes KMU Vernünftige ab; was Ihre Branche zusätzlich verlangt, klären Sie mit Ihrem Berater.

Das hängt davon ab, was. Ist jemand auf eine E-Mail hereingefallen und hat ein Passwort preisgegeben, finden Sie unter „Was tun, wenn Sie schon hereingefallen sind“ die Reihenfolge der ersten zwei Stunden: Zugänge ändern, gegebenenfalls die Bank informieren, Anzeige erstatten. Sind die Dateien verschlüsselt oder taucht eine Lösegeldforderung auf, steht unter „Ransomware: die ersten Stunden“, was zu tun ist und was nicht: isolieren, nicht ausschalten, nicht zahlen, Bescheid geben. In beiden Fällen berät die kostenlose Rufnummer 017 von INCIBE Unternehmen und Privatpersonen zu den nächsten Schritten und zur Anzeige. Und nach dem Vorfall ist genau diese Liste mit sieben Punkten das, was man überprüfen muss, denn irgendetwas davon hat gefehlt.