IT-Sicherheit scheitert in KMU selten an fehlender Technik. Sie scheitert daran, dass niemand die Reihenfolge kennt – und deshalb an der falschen Stelle angefangen wird.
Kostenloses Erstgespräch
Grundschutz für KMU und Verwaltungen – ohne Angstverkauf
IT-Sicherheit scheitert in KMU selten an fehlender Technik. Sie scheitert daran, dass niemand die Reihenfolge kennt – und deshalb an der falschen Stelle angefangen wird.
IT-Sicherheit heisst für ein KMU nicht, alles abzusichern, sondern das Wichtigste zuerst: eine geprüfte Datensicherung, aktuelle Systeme, saubere Berechtigungen, Zwei-Faktor-Anmeldung und Mitarbeitende, die eine Phishing-Mail erkennen. Diese fünf Punkte verhindern den grössten Teil der Schäden. Alles Weitere baut darauf auf – nicht umgekehrt.
Sie kosten Betriebe regelmässig mehr als jede Sicherheitslücke.
Angriffe laufen automatisiert. Sie suchen nicht nach Namen, sondern nach offenen Türen. Für einen Erpressungstrojaner ist ein 12-Personen-Betrieb ein ebenso gutes Ziel wie ein Konzern.
Ein Backup, das nie wiederhergestellt wurde, ist eine Vermutung. Ausserdem verschlüsseln moderne Angriffe gezielt auch die Sicherung, wenn sie im selben Netz erreichbar ist.
Der häufigste Weg ins Netz ist nicht die Firewall, sondern eine E-Mail und ein Passwort. Technik allein deckt das nicht ab.
IT-Sicherheit umfasst alle Massnahmen, die Verfügbarkeit, Vertraulichkeit und Unversehrtheit Ihrer Systeme und Daten sichern – technisch und organisatorisch. Cyber Security ist der Teil davon, der sich mit Angriffen von aussen befasst. Datenschutz regelt, wie mit Personendaten umzugehen ist; er verlangt Sicherheit, ist aber nicht dasselbe.
Für den Betriebsalltag ist die Unterscheidung zweitrangig. Wichtiger ist die Reihenfolge: Zuerst kommt, was einen Totalausfall verhindert (Sicherung und Wiederherstellung), dann kommt, was die häufigsten Einbruchswege schliesst (Updates, Berechtigungen, Zwei-Faktor), und erst danach das Feinere.
Wer diese vier Schritte in dieser Reihenfolge macht, hat mehr erreicht als mit jedem einzelnen teuren Werkzeug.
Mehrere Stände, mindestens eine Kopie ausserhalb des Netzes, und eine Wiederherstellung, die tatsächlich einmal durchgespielt wurde.
Betriebssysteme, Anwendungen, Firewall und Router. Die meisten erfolgreichen Angriffe nutzen Lücken, für die es längst eine Aktualisierung gäbe.
Wer braucht worauf Zugriff – und wer nicht mehr? Dazu Zwei-Faktor-Anmeldung für alles, was von aussen erreichbar ist.
Nach Wirkung geordnet, nicht nach Preis.
Eine ehrliche Einschätzung, womit ein KMU anfangen sollte.
| Massnahme | Aufwand | Wirkung |
|---|---|---|
| Geprüfte Sicherung mit Kopie ausser Haus | Mittel | Sehr hoch – verhindert den Totalverlust |
| Zwei-Faktor-Anmeldung | Gering | Sehr hoch – stoppt die meisten Kontoübernahmen |
| Updates automatisiert und überwacht | Gering | Hoch – schliesst die meistgenutzten Lücken |
| Berechtigungen aufräumen | Mittel | Hoch – begrenzt den Schaden im Ernstfall |
| Schulung der Mitarbeitenden | Gering | Hoch – der häufigste Einstiegspunkt ist die E-Mail |
| Erweiterte Angriffserkennung | Hoch | Mittel – sinnvoll, wenn die Grundlagen stehen |
Was Sie davon haben, wenn die Grundlagen sitzen.
Sobald Sie Personendaten bearbeiten, gilt eine Sorgfaltspflicht – unabhängig von der Betriebsgrösse. Die Grundmassnahmen sind der Nachweis, dass Sie ihr nachkommen.
Hier kommt zur Sorgfalt die Nachvollziehbarkeit: Es muss belegbar sein, wer wann worauf Zugriff hatte und wie im Ernstfall reagiert wurde.
Unser Sitz ist an der Sihleggstrasse in Wollerau, im Bezirk Höfe. Von dort betreuen wir Betriebe in der ganzen Region: Pfäffikon SZ, Freienbach, Richterswil, Wädenswil, Einsiedeln, Lachen und die March, dazu die Stadt Zürich in rund 25 und den Kanton Zug in rund 30 Minuten. Die meisten Anliegen erledigen wir ohnehin per Fernwartung – die Nähe zählt dort, wo jemand vorbeikommen muss.
Alle technischen und organisatorischen Massnahmen, die Verfügbarkeit, Vertraulichkeit und Unversehrtheit von Systemen und Daten sichern – von der Datensicherung über Berechtigungen bis zur Schulung der Mitarbeitenden.
Mit einer Sicherung, deren Wiederherstellung geprüft wurde, und mit Zwei-Faktor-Anmeldung. Diese beiden Schritte verhindern zusammen den grössten Teil der schweren Schäden.
Die Grundmassnahmen kosten vor allem Sorgfalt, nicht Geld: Sicherung, Updates, Berechtigungen und Zwei-Faktor sind in den meisten Umgebungen bereits vorhanden und müssen richtig eingerichtet werden.
Nein. Virenschutz ist eine Schicht von mehreren. Die häufigsten erfolgreichen Angriffe laufen über E-Mail und gestohlene Zugangsdaten – dagegen hilft er nur begrenzt.
Mindestens einmal jährlich und nach jeder wesentlichen Änderung an Servern oder Sicherungssystem. Ein ungetestetes Backup ist eine Vermutung.
Angemessene Sicherheit für Personendaten, Meldung schwerwiegender Verletzungen an den EDÖB und Nachvollziehbarkeit der Bearbeitung. Die technischen Grundmassnahmen sind die Basis dafür.
Sie kann sinnvoll sein, ersetzt aber keine Massnahmen – die meisten Versicherer setzen Sicherung, Updates und Zwei-Faktor ohnehin voraus.
Mit kurzen, wiederkehrenden Schulungen und einer Kultur, in der Nachfragen nichts kostet. Wichtiger als jede Regel ist, dass niemand Angst hat, einen Fehlklick zu melden.
Im kostenlosen Erstgespräch gehen wir die Grundmassnahmen durch und sagen Ihnen, welche bei Ihnen fehlen – ohne Angstverkauf.