Alle paar Wochen erreicht uns derselbe Anruf: eine E-Mail, die angeblich von der Bank kam, eine Rechnung mit geänderter Kontonummer oder ein Server, auf dem alle Dateien verschlüsselt sind. Keines dieser Unternehmen war ein besonderes Ziel: Sie waren klein, ihre E-Mails lagen in der Cloud, und jemand hat geklickt, wo er nicht hätte klicken sollen.
Cybersicherheit in einem kleinen Unternehmen heißt nicht, das teuerste Produkt zu kaufen, sondern die Türen zu schließen, durch die echte Angriffe hereinkommen. Das setzen wir mit Unternehmen zwischen 5 und 30 Mitarbeitenden auf Mallorca um: welche Bedrohungen zählen, welche Maßnahmen in welcher Reihenfolge sinnvoll sind und wo Sie sich das Geld sparen können.
Die Bedrohungen, die wir wirklich sehen
Phishing und gestohlene Zugangsdaten
Nach wie vor der häufigste Einstieg. Eine E-Mail imitiert Microsoft, die Bank oder einen Lieferanten und führt auf eine Seite, die Benutzername und Passwort abfragt. Damit gelangt der Angreifer ins Postfach, liest wochenlang mit und wartet auf den richtigen Moment.
Zahlungsbetrug
Bereits im Postfach oder als Lieferant getarnt, verschickt der Angreifer eine echte Rechnung mit geänderter Bankverbindung. Niemand merkt etwas, bis der echte Lieferant mahnt. Es ist der lukrativste Angriff auf kleine Unternehmen und kommt ganz ohne Schadsoftware aus.
Ransomware
Verschlüsselt die Dateien auf Server und Arbeitsplätzen und stiehlt sie oft vorher, um mit der Veröffentlichung zu drohen. Der Einstieg erfolgt über einen offenen Fernzugang, ein schwaches Passwort oder ein Gerät ohne Updates.
Wiederverwendete Passwörter
Dasselbe Passwort für E-Mail, Rechnungsprogramm und einen Onlineshop, der ein Datenleck hatte. Sobald das Leck veröffentlicht wird, probiert jemand das Passwort bei Ihrem Microsoft 365 aus. Ohne zweiten Faktor ist er drin.
Ein Schutzplan in drei Stufen
Stufe 1: diese Woche
- MFA überall, wo es möglich ist, angefangen bei der E-Mail; in Microsoft 365 aktivieren die Sicherheitsstandards sie für alle Benutzer.
- Ein Passwort-Manager für das ganze Team (Bitwarden oder vergleichbar), ein eigenes Passwort pro Dienst und geteilte Zugangsdaten in Ordnern statt per WhatsApp.
- Automatische Updates für Windows, macOS und Browser, vor allem aber für Router, Firewall und jedes NAS oder jeden Server, der von außen erreichbar ist.
- 3-2-1-Backups: drei Kopien auf zwei verschiedenen Medien, eine davon außer Haus und möglichst unveränderbar. Die Details stehen in unserem Leitfaden zur 3-2-1-Strategie. Und testen Sie die Wiederherstellung: Ein Backup, das nie zurückgespielt wurde, ist eine Vermutung.
Stufe 2: die nächsten Monate
- E-Mail-Filterung über den Standard hinaus sowie korrekt gesetzte SPF-, DKIM- und DMARC-Einträge für Ihre Domain, damit niemand in Ihrem Namen Mails verschicken kann.
- Minimale Rechte: Niemand arbeitet im Alltag mit einem Administratorkonto, weder am Laptop noch in Microsoft 365; Admin-Konten dienen nur der Verwaltung und haben ebenfalls MFA.
- Austritte noch am selben Tag: Wer das Unternehmen verlässt, verliert an diesem Tag den Zugang zu allen Diensten, geteilte Konten eingeschlossen.
- Kurze, regelmäßige Schulungen: Zwanzig Minuten alle paar Monate mit echten E-Mails, die das Unternehmen erhalten hat, bringen mehr als ein zweistündiger Kurs einmal im Jahr.
- Fernzugriff per VPN oder identitätsbasiert, niemals ein Remote-Desktop, der offen im Internet steht.
Stufe 3: wenn das Vorherige läuft
- Ein einseitiger Notfallplan: wer angerufen wird, was zuerst vom Netz genommen wird, wo die Backups liegen, wie Kunden informiert werden und, falls personenbezogene Daten betroffen sind, wie die spanische Datenschutzbehörde (AEPD) innerhalb von 72 Stunden benachrichtigt wird.
- Cyberversicherung. Sie ist sinnvoll, sobald MFA und Backups stehen, denn die meisten Versicherer setzen beides inzwischen voraus, bevor sie zahlen. Lesen Sie die Ausschlüsse, bevor Sie unterschreiben.
- Endpunktschutz, den jemand im Blick hat (Managed EDR), plus eine regelmäßige Überprüfung von Zugängen und Konfiguration. Das ist Teil unseres IT-Support-Angebots, denn ein Werkzeug zu installieren, dessen Warnungen niemand liest, bringt wenig.
Zu NIS2 und dem spanischen Esquema Nacional de Seguridad: Die meisten Unternehmen dieser Größe sind nicht betroffen, es sei denn, sie arbeiten für die öffentliche Verwaltung oder in einer regulierten Branche. Wenn Ihnen jemand aus Angst ein „Compliance-Paket“ verkaufen will, fragen Sie zuerst, ob es überhaupt für Sie gilt.
Warnsignale
- Weiterleitungs- oder Löschregeln im Postfach, die niemand angelegt hat.
- Anmeldehinweise aus Ländern, in denen sich niemand aus dem Unternehmen aufhält.
- Ein Lieferant, der per E-Mail „die Bank wechselt“, ohne Rückruf zur Bestätigung.
- Dateien mit seltsamen Endungen oder Textnotizen, die in freigegebenen Ordnern auftauchen.
Bei einem dieser Anzeichen: Gerät vom Netzwerk trennen (nicht ausschalten), das E-Mail-Passwort von einem anderen Gerät aus ändern und den Support anrufen.
Wofür sich das Geld nicht lohnt
- Eine High-End-Firewall mit Funktionen, die niemand konfigurieren wird, während die E-Mail noch ohne MFA läuft.
- Überwachung rund um die Uhr, hinter der niemand sitzt, der reagiert.
- Ein „Premium“-Virenschutz auf jedem Gerät, wenn der in Windows integrierte, sauber verwaltet, das Wesentliche abdeckt.
Budget
Einen magischen Prozentsatz gibt es nicht. Es gibt eine Reihenfolge: Fast alles aus Stufe 1 kostet mehr Zeit als Geld. Ein Passwort-Manager, ein unveränderbares externes Backup und die passenden Microsoft-365-Lizenzen ergeben einen überschaubaren Monatsbetrag; verglichen mit einem Betrugsfall oder einer Woche Stillstand ist es der Posten mit der besten Rendite im gesamten IT-Budget.
Womit Sie anfangen sollten
Wenn Sie in diesem Monat nur drei Dinge tun können: MFA für die E-Mail, ein Passwort-Manager und ein Wiederherstellungstest des Backups. Sobald das läuft, geht es mit Stufe 2 weiter. Und wenn Sie nicht wissen, wo Sie stehen, reicht meist eine Überprüfung von einem Vormittag, um es herauszufinden.