Probleme · Sicherheit, Backup & Datenschutz
Welche Massnahmen schützen ein KMU vor Cyberangriffen?
Kurz gesagt
Zwölf Massnahmen in drei Gruppen bilden einen guten Rahmen: wissen, was geschützt wird (Inventar, Datenklassen, persönliche Konten, MFA), Angriffsfläche begrenzen (Updates, Rechte, verwaltete Geräte, getrennte Netze) und handlungsfähig bleiben (Warnungen, geprüfte Sicherungen, Notfallablauf, Kennzahlen). Setze sie nicht gleichzeitig um, sondern in der Reihenfolge deiner grössten Risiken.
Für wen das gilt
Für KMU, die ihre Informationssicherheit ordnen wollen, ohne gleich zwölf Projekte zu starten. Sicherheit wird oft erst sichtbar, wenn etwas nicht mehr funktioniert: ein gesperrtes E-Mail-Konto, ein verlorenes Notebook, ein Ausfall beim IT-Dienstleister. In einem KMU kann schon ein fehlender Zugang zu Aufträgen, Terminen oder Lieferantendaten die Arbeit mehrerer Personen stoppen.
Die zwölf Massnahmen
| # | Massnahme | Wozu |
|---|---|---|
| Wissen, was geschützt wird | ||
| 1 | Inventar von Geräten, Konten, Anwendungen und Lieferantenzugängen | Risiken werden erst steuerbar |
| 2 | Daten nach Bedeutung ordnen | wissen, was bei Offenlegung besonders heikel ist |
| 3 | persönliche Konten statt gemeinsamer Logins | nachvollziehbar, wer was tut |
| 4 | MFA für E-Mail, Fernzugriff und Adminkonten | ein gestohlenes Passwort reicht nicht mehr |
| Angriffsfläche und Schaden begrenzen | ||
| 5 | Updates nach verbindlichem Ablauf, Ausnahmen dokumentiert | bekannte Lücken schliessen |
| 6 | Rechte nach Aufgabe und, wo möglich, zeitlich begrenzen | weniger Schaden pro Konto |
| 7 | Geräte zentral verwalten und verschlüsseln | ein verlorenes Notebook führt nicht automatisch zum Datenabfluss |
| 8 | Gäste-WLAN, Büro, Server und Produktion trennen | ein Vorfall erreicht nicht alle Bereiche |
| Erkennen, wiederherstellen, üben | ||
| 9 | Warnungen mit klarer Zuständigkeit | jemand prüft sie zeitnah |
| 10 | Sicherungen nach überprüfbarem Konzept | Daten kommen sicher zurück |
| 11 | kurzer Notfallablauf, mit kleinem Szenario geübt | handlungsfähig im Ernstfall |
| 12 | Fortschritt mit wenigen Kennzahlen messen | Sicherheit wird verlässlich |
Wissen, was geschützt wird (1–4)
Als Grundlage sollten Verantwortliche drei Fragen beantworten können: Welche Systeme sind für den Betrieb kritisch? Welche Daten wären bei Offenlegung besonders problematisch? Wer entscheidet bei einem Ausfall über Prioritäten? Wie du MFA ohne Widerstand einführst, steht in Wie führe ich MFA im KMU richtig ein?.
Angriffsfläche begrenzen (5–8)
Die konkrete Technik hängt vom Betrieb ab. Das Ziel bleibt: Ein einzelner Vorfall darf nicht ohne Weiteres alle Bereiche erreichen. Für die Trennung der Netze spielt die Firewall eine zentrale Rolle, siehe Welche Firewall braucht ein KMU?.
Erkennen und wiederherstellen (9–12)
Eine Warnung über eine neue Administratorrolle hilft nur, wenn klar ist, wer sie prüft. Für Sicherungen eignet sich die Regel 3-2-1-1-0 als überprüfbares Konzept.
Aus der Praxis
Technik allein reicht nicht. Die Mitarbeiterin am Empfang sollte wissen, an wen sie eine verdächtige E-Mail weiterleitet. Die Geschäftsleitung sollte wissen, wer bei einem Systemausfall entscheiden darf. Ein kleines geübtes Szenario hilft im Ernstfall mehr als ein Dokument, das niemand kennt.
Sicherheit wird verlässlich, wenn zu jeder Massnahme eine verantwortliche Person, ein Termin und eine Nachkontrolle gehören.
Ehrlich gesagt: wann es sich nicht lohnt
Alle zwölf Massnahmen auf einmal anzugehen, überfordert die meisten KMU und bringt wenig. Sinnvoller ist eine Reihenfolge, die zu den grössten Risiken und den vorhandenen Ressourcen passt. Auch eine perfekte Inventardatenbank ist kein Muss: Eine gepflegte Liste genügt für den Anfang.
So gehst du vor
- Inventar anlegen: Geräte, zentrale Dienste, Verantwortliche, kritische Lieferantenzugänge.
- Konten bereinigen: persönliche Konten, MFA für E-Mail, Fernzugriff und Adminkonten.
- Updates und Rechte regeln: verbindlicher Ablauf, Ausnahmen mit Grund und Übergangsmassnahme.
- Geräte und Netze absichern: zentrale Verwaltung, Verschlüsselung, getrennte Netzbereiche.
- Sicherungen prüfen: Konzept festlegen und Wiederherstellung testen.
- Notfallablauf üben: wer wird informiert, wer entscheidet, wohin mit verdächtigen E-Mails.
- Kennzahlen verfolgen: MFA-Abdeckung, verwaltete Geräte, kritische Updates, Wiederherstellungstests.
Wenn du eine Cyberversicherung abschliessen willst, fragt der Versicherer meist genau nach diesen Punkten: Welche IT-Sicherheit verlangt eine Cyberversicherung?. Die Übersicht findest du unter Sicherheit, Backup & Datenschutz, unsere Festpreise auf der Preisseite.
Häufige Fragen
Muss das Inventar eine perfekte Datenbank sein?
Nein. Eine gepflegte Liste mit Geräten, zentralen Diensten, verantwortlichen Personen und kritischen Lieferantenzugängen ist für viele Betriebe ein guter Anfang. Wichtig ist, dass sie aktuell bleibt.
Was tun, wenn ein Update nicht sofort installiert werden kann?
Das kommt vor, etwa bei spezialisierter Produktionssoftware. Dokumentiere den Grund, die verantwortliche Person und eine Übergangsmassnahme, damit die Ausnahme nicht unbemerkt dauerhaft wird.
Wo braucht es Mehrfaktorauthentifizierung zuerst?
Bei E-Mail, Fernzugriff und administrativen Konten. So führt ein einzelnes gestohlenes Passwort nicht sofort zum vollständigen Zugriff.
Wie messe ich, ob wir sicherer werden?
Mit wenigen Kennzahlen, zum Beispiel MFA-Abdeckung, Anteil verwalteter Geräte, offene kritische Updates und dokumentierte Wiederherstellungstests.
