Informationssicherheit für KMU: Die zwölf wichtigsten Schutzmassnahmen

Sicherheit wird sichtbar, wenn etwas nicht mehr funktioniert

Ein gesperrtes E-Mail-Konto, ein verlorenes Notebook oder ein Ausfall beim IT-Dienstleister kann einen Arbeitstag rasch verändern. In einem KMU kann schon ein fehlender Zugang zu Aufträgen, Terminen oder Lieferantendaten die Arbeit mehrerer Personen stoppen. Informationssicherheit hilft Ihnen, kritische Werte zu kennen, Angriffe zu erschweren und bei einem Vorfall handlungsfähig zu bleiben.

Die zwölf Massnahmen eignen sich als Praxisrahmen. Sie müssen nicht gleichzeitig zu zwölf Projekten werden. Sinnvoller ist eine Reihenfolge, die zu den grössten Risiken und den vorhandenen Ressourcen passt.

1 bis 4: Wissen, was geschützt wird

Führen Sie ein Inventar der Geräte, Konten, Anwendungen und wichtigen Lieferantenzugänge. Ordnen Sie Daten nach Bedeutung und nutzen Sie persönliche Konten statt gemeinsamer Logins. E-Mail, Fernzugriff und administrative Konten brauchen Mehrfaktorauthentifizierung (MFA). Diese Massnahmen schaffen einen Überblick und erschweren es, dass ein einzelnes gestohlenes Passwort sofort zum vollständigen Zugriff führt.

Als Grundlage sollten Verantwortliche diese Fragen beantworten können: - Welche Systeme sind für den Betrieb kritisch? - Welche Daten wären bei Offenlegung besonders problematisch? - Wer entscheidet über Prioritäten bei einem Ausfall?

Ein aktuelles Inventar macht Risiken erst steuerbar. Es muss keine perfekte Datenbank sein. Eine gepflegte Liste mit Geräten, zentralen Diensten, verantwortlichen Personen und kritischen Lieferantenzugängen ist für viele Betriebe ein guter Anfang.

5 bis 8: Angriffsfläche und Schaden begrenzen

Aktualisieren Sie Betriebssysteme und Anwendungen nach einem verbindlichen Ablauf. Nicht jede Aktualisierung kann sofort installiert werden, etwa bei einer spezialisierten Produktionssoftware. Dokumentieren Sie in solchen Fällen den Grund, die verantwortliche Person und eine Übergangsmassnahme, statt die Ausnahme unbemerkt dauerhaft werden zu lassen.

Begrenzen Sie Rechte nach Aufgabe und zeitlich, wo dies möglich ist. Geräte sollten zentral verwaltet und verschlüsselt sein, damit ein verlorenes Notebook nicht automatisch zum Datenabfluss wird. Trennen Sie Gäste-WLAN, Büroarbeitsplätze, Server und gegebenenfalls Produktionssysteme angemessen voneinander. Die konkrete Technik hängt vom Betrieb ab; das Ziel bleibt, dass ein einzelner Vorfall nicht ohne Weiteres alle Bereiche erreicht.

9 bis 12: Erkennen, wiederherstellen, üben und verbessern

Definieren Sie Warnungen, die tatsächlich jemand beurteilt, und benennen Sie Verantwortliche. Eine Warnung über eine neue Administratorrolle hilft nur, wenn klar ist, wer sie zeitnah prüft. Sichern Sie wichtige Daten nach einem überprüfbaren Konzept, zum Beispiel nach der 3-2-1-1-0-Regel.

Ergänzen Sie den technischen Schutz durch einen kurzen Notfallablauf. Eine Empfangsmitarbeitende sollte wissen, an wen sie eine verdächtige E-Mail weiterleitet; die Geschäftsleitung sollte wissen, wer bei einem Systemausfall entscheiden darf. Üben Sie mit einem kleinen Szenario statt sich allein auf ein Dokument zu verlassen. Phishing erkennen und richtig reagieren hilft beim menschlichen Teil.

Messen Sie den Fortschritt mit wenigen Kennzahlen, etwa MFA-Abdeckung, verwaltete Geräte, kritische Updates und dokumentierte Wiederherstellungstests. Der IT-Security-Service unterstützt KMU und Dienstleister, die Reihenfolge passend festzulegen. Sicherheit wird verlässlich, wenn Verantwortliche, Termine und Nachkontrollen dazugehören.