80 Arbeitsplätze,
null Schreckmomente.

Mit Zwei-Faktor-Authentifizierung für E-Mail und Fernzugriff – und mit der Prüfung, ob sich die Backups wirklich wiederherstellen lassen. Das sind die beiden Maßnahmen, die pro ausgegebenem Euro das meiste Risiko beseitigen, und keine von beiden erfordert neue Hardware oder Infrastrukturarbeiten: Es ist Konfiguration auf dem, was schon vorhanden ist. Die Zwei-Faktor-Authentifizierung schließt das häufigste Einfallstor, und das ist nicht jemand, der eine Firewall durchbricht, sondern ein wiederverwendetes Passwort, das in einem Datenleck eines ganz anderen Dienstes ohne Bezug zur Firma aufgetaucht ist. Getestete Backups schließen den Ausweg: Wenn trotzdem etwas schiefgeht, gibt es einen echten Weg, die Daten in Stunden statt Tagen zurückzuholen. Nach diesen beiden bieten meist eine Hardware-Inventur und regelmäßige Updates das beste Verhältnis von Kosten zu vermiedenem Risiko. Die teureren Architekturänderungen wie Netzwerksegmentierung oder virtuelle Desktops können auf eine zweite Phase warten.

Sie funktionieren sehr gut für Büro- und Verwaltungstätigkeiten, die in einer Beratungsfirma meist den Großteil des Teams ausmachen: Buchhaltung, Analyse, Kundenbetreuung – jede Tätigkeit, die sich hauptsächlich in Tabellen, E-Mail und Geschäftsanwendungen abspielt. Dort ist der Vorteil klar, denn die Daten verlassen nie die kontrollierte Umgebung (zum Rechner zu Hause wird nur das Bildschirmbild übertragen), und ein verlorener oder gestohlener Laptop bedeutet keinen Informationsverlust, weil nichts darauf gespeichert war. Mehr Überlegung braucht es bei Grafikdesign, Videoschnitt oder Berechnungen mit hohem Grafikbedarf: Dort hat ein lokaler Rechner weiterhin die Nase vorn, weil ein für diese Arbeit richtig dimensionierter virtueller Desktop teuer wird. Die übliche Lösung in Beratungsfirmen mit gemischten Tätigkeiten ist, kein einheitliches Modell zu erzwingen: virtuelle Desktops, wo sie sich lohnen, verwaltete physische Rechner, wo nicht.

Sie ist keine allgemeine gesetzliche Pflicht, auch wenn verschiedene Branchen- und Datenschutzvorschriften immer stärker in diese Richtung drängen. Entscheidend ist nicht die formale Pflicht, sondern was sie in der Praxis verhindert: Eine von einem Dritten ohne Bezug zur Firma geleakte Zugangskennung (worauf die Firma keinen Einfluss hat) taugt nicht mehr als Einfallstor, wenn ein zweiter Faktor nötig ist, den nur der Mitarbeiter besitzt – meist sein Handy. In einer Firma, die Kundendaten mit sensiblen Finanz- oder Personeninformationen verarbeitet, lässt sich die Zwei-Faktor-Authentifizierung als optional kaum rechtfertigen, wenn etwas passiert. Die Einführung ist weder teuer noch kompliziert: Die meisten E-Mail- und Fernzugriffsdienste haben sie bereits an Bord; man muss sie nur aktivieren und dem Team gut erklären. Wie das in einen umfassenderen Wartungsvertrag passt, erklären wir in Was ein Wartungsvertrag enthalten sollte.

Das hängt davon ab, welchen Teil der Umstellung man betrachtet. Zwei-Faktor-Authentifizierung und regelmäßige Updates wirken schnell, innerhalb weniger Wochen, weil sie den ständigen Strom kleiner Störungen an der Wurzel stoppen, der früher jede Woche Stunden fraß: kompromittierte Passwörter, veraltete Rechner, die ausfallen, Viren, die über eine bekannte, ungepatchte Schwachstelle eindringen. Diese Art von Verbesserung sieht man an der Zahl der Tickets, bevor sie in irgendeinem Bericht auftaucht. Architekturänderungen wie die Segmentierung des internen Netzwerks oder die Einführung virtueller Desktops sind etwas anderes: Sie werden schrittweise eingeführt, Arbeitsplatz für Arbeitsplatz oder Abteilung für Abteilung, und ihre Wirkung baut sich über das gesamte Projekt auf statt auf einen Schlag. Beurteilen Sie das Gesamtprojekt nicht danach, wie langsam es anfangs wirkt, solange Neues und Altes noch parallel laufen, bis die Migration abgeschlossen ist.

Maßstab ist nach wie vor die 3-2-1-Regel: mindestens drei Kopien von allem, was Sie nicht verlieren dürfen, auf zwei verschiedenen Medien, eine davon außer Haus. In einer Beratungsfirma mit Kundendaten kommen zwei konkrete Punkte hinzu. Der erste ist Verschlüsselung: Ein Backup mit Finanz- oder Personendaten, das das Büro verlässt (auf einer externen Festplatte oder bei einem Cloud-Anbieter), muss verschlüsselt übertragen und gespeichert werden – sonst ist der Verlust dieses Mediums so gravierend wie der Verlust der Daten auf dem Originalrechner. Der zweite ist ein Wiederherstellungstest: Ein Backup, bei dem niemand geprüft hat, ob es sich wiederherstellen lässt, ist kein Backup, sondern eine Annahme. Wenn Sie zwischen einem eigenen NAS und einem Cloud-Backup schwanken, erklärt NAS oder Cloud für Backups die Entscheidung danach, wo Ihr tatsächlicher Schwachpunkt liegt.

Keine Maßnahme senkt das Risiko auf null, deshalb sollte man wissen, was in den ersten Stunden zu tun ist, bevor man es braucht. Erstens: Den oder die betroffenen Rechner sofort vom Netzwerk trennen – Kabel ziehen oder WLAN ausschalten –, damit sich die Verschlüsselung nicht auf freigegebene Ordner oder andere Arbeitsplätze ausbreitet, die mit denselben Ressourcen verbunden sind. Zweitens: Das Lösegeld nicht zahlen – es gibt keine Garantie, im Gegenzug etwas zurückzubekommen, und Zahlen schließt das Einfallstor nicht, das den Angriff ermöglicht hat. Mit den getesteten Backups aus der vorherigen Frage besteht der Ausweg meist darin, aus dem letzten sauberen Backup wiederherzustellen, sobald feststeht, dass die Ursache des Angriffs gefunden und beseitigt ist. Genau deshalb sind getestete Backups und Zwei-Faktor-Authentifizierung die beiden Maßnahmen, die entscheiden, ob ein solcher Vorfall mit einem Schreck am Nachmittag endet oder mit mehreren Tagen Stillstand. Die Einzelheiten stehen in Ransomware: die ersten Stunden.