In diesem Artikel
Die meisten Sicherheitsvorfälle in einem KMU entstehen nicht durch einen ausgeklügelten Angriff, sondern durch eine Handlung, die normal wirkte: dasselbe Passwort für die E-Mail und die Website des Paketdienstes, die geöffnete „Rechnung“ im Anhang, der von zu Hause mitgebrachte USB-Stick, das dem neuen Kollegen „nur heute“ geliehene Passwort. Ohne schriftliche Regeln hat niemand etwas falsch gemacht. Managed Cybersecurity beginnt mit sieben kurzen Richtlinien – je eine Seite –, die alle gelesen und unterschrieben haben.
Die sieben Richtlinien auf einen Blick
| Richtlinie | Beantwortete Frage |
|---|---|
| Passwörter und MFA | Wie werden Konten geschützt? |
| Geräte | Welche Geräte greifen auf die Daten zu, und wie? |
| E-Mail und Kommunikation | Was tun mit einer verdächtigen E-Mail? |
| Zugriffe | Wer sieht was? |
| Datensicherungen | Was wird gesichert, wohin, und wie wird getestet? |
| Reaktion auf Vorfälle | Und wenn es passiert? |
| Eintritte und Austritte | Was ändert sich, wenn jemand kommt oder geht? |
Konten schützen: Passwörter und Authentifizierung
- Lange Passphrasen 14 oder mehr Zeichen statt kurzer Kombinationen mit Sonderzeichen.
- Eines pro Dienst Im Passwortmanager des Unternehmens gespeichert, nie per E-Mail oder Nachricht versendet.
- MFA verpflichtend Für E-Mail, Dateien und jeden Fernzugriff, ohne Ausnahme für die Geschäftsleitung, die das bevorzugte Ziel ist.
- Gemeinsame Konten Das Passwort ändert sich immer, wenn jemand geht.
Das Warum und Wie erläutern wir unter Passwortmanager im Unternehmen.
Geräte kontrollieren: Geräterichtlinie
Firmengeräte haben installierten Schutz, automatische Updates und eine verschlüsselte Festplatte. Private Geräte greifen über den Browser auf E-Mail und Dateien zu, ohne auf die Festplatte herunterzuladen. Laptops bleiben nicht im Auto, und ein Verlust oder Diebstahl wird noch am selben Tag gemeldet, damit der Zugriff aus der Ferne gesperrt werden kann. Installiert wird nur Software von der genehmigten Liste – und diese Liste existiert.
Betrug stoppen: E-Mail und Kommunikation
Eine verdächtige E-Mail wird an das IT-Team weitergeleitet; man antwortet nicht und klickt nicht. Jede Anfrage zur Änderung der IBAN eines Lieferanten wird telefonisch bestätigt, unter einer bereits bekannten Nummer, nie unter der aus der E-Mail. Das ist die wirksamste Abwehr gegen den Betrug mit manipulierten Rechnungen. Kundendaten werden weder über private E-Mail noch über Messenger-Apps verschickt.
Berechtigungen begrenzen: Zugriffsrichtlinie
- Minimaler Zugriff Jede Person sieht nur, was ihre Funktion erfordert.
- Halbjährliche Überprüfung Berechtigungen für freigegebene Ordner und SharePoint zweimal im Jahr überprüft.
- Administration vorbehalten Administratorrechte nur für das IT-Team.
- Kontrollierte Lieferanten Individuelle, befristete und protokollierte Zugänge.
- Funktionswechsel Alte Zugänge werden entzogen, nicht nur neue hinzugefügt.
Das ist das Prinzip des minimalen Zugriffs in der Praxis, wie wir unter Zero Trust in 4 Schritten für KMU erklären.
Wiederherstellung sichern: Datensicherungen
Die Richtlinie legt fest, was gesichert wird, wie oft, wohin und wie lange. Mindestens eine Kopie liegt außerhalb des Gebäudes und ist unveränderlich, um Ransomware standzuhalten. Wiederherstellungstests haben einen festen Termin und ein dokumentiertes Ergebnis, und es ist festgelegt, wer die Fehlermeldungen erhält und wie schnell er sie bearbeitet. Erfahren Sie, wie das verwaltete Backup funktioniert und was ein Plan für Disaster Recovery und Geschäftskontinuität ergänzt.
Den schlimmsten Tag vorbereiten: Reaktion auf Vorfälle
Eine Seite, die beantwortet: „Und wenn es passiert?“
- Wer wen informiert — und in welcher Reihenfolge.
- Was zuerst isoliert wird — der betroffene Rechner, nicht der ganze Server.
- Wer kommuniziert — mit Kunden und Lieferanten, und wer schweigt.
- Pflichtmeldungen — an die CNPD (portugiesische Datenschutzbehörde) innerhalb von 72 Stunden, wenn personenbezogene Daten betroffen sind; an das Centro Nacional de Cibersegurança für Einrichtungen, die unter NIS2 fallen.
- Kontakte auf Papier — des IT-Dienstleisters und der Versicherung, denn am Tag des Vorfalls kann die E-Mail ausfallen.
Die vier Phasen eines Cyberangriffs helfen zu verstehen, wo jede Maßnahme hingehört.
Türen schließen: Eintritte und Austritte von Personen
Eintritt: Konto mit den Berechtigungen der Funktion, MFA am ersten Tag, Geräteübergabe mit Protokoll und 30 Minuten Einführung in diese Richtlinien. Austritt: Konto am letzten Tag deaktiviert, nicht in der Woche danach; E-Mail-Weiterleitung festgelegt; Gerät zurückgegeben und geprüft; gemeinsame Passwörter geändert; Lieferantenzugänge im Namen dieser Person widerrufen. Aktive Konten ehemaliger Mitarbeiter gehören zu den Schwachstellen, die wir bei Audits am häufigsten finden.
Vom Dokument zur Praxis
Jede Richtlinie passt auf eine halbe Seite. Gehen Sie von dem aus, was das Unternehmen bereits gut macht, ergänzen Sie, was fehlt, und vermeiden Sie Verbote, die niemand einhalten wird – eine ignorierte Regel schwächt alle anderen. Lassen Sie sie von der Geschäftsführung genehmigen, stellen Sie sie in einer kurzen Sitzung vor, sammeln Sie Unterschriften und überprüfen Sie sie einmal im Jahr.
In den Verträgen für Managed Cybersecurity von DataRoad liefern wir Vorlagen dieser sieben Richtlinien, angepasst an das Unternehmen, und prüfen im Monatsbericht, was technisch eingehalten wird: aktive MFA, deaktivierte Konten, getestete Sicherungen. In 11 Jahren hatte DataRoad keinen einzigen Sicherheitsvorfall.
Häufige Fragen
Braucht ein Unternehmen mit 12 Personen wirklich schriftliche Richtlinien?
Es braucht dieselben sieben, nur kürzer. Die Risiken sind gleich; nur die Zahl der Leser ändert sich. In einem kleinen Unternehmen wiegt ein vergessenes Konto eines ausgeschiedenen Mitarbeiters sogar schwerer.
Erfüllen diese Richtlinien DSGVO und NIS2?
Sie gehören zu den technischen und organisatorischen Maßnahmen, die beide verlangen. Sie ersetzen weder das Verarbeitungsverzeichnis der DSGVO noch die Risikoanalyse der NIS2, bilden aber die Grundlage dieser Dokumente.
Wer unterschreibt?
Alle, die auf Systeme zugreifen, einschließlich Praktikanten, Aushilfen und Geschäftsführung. Die Unterschrift ermöglicht es, die Einhaltung einzufordern.
Wann werden sie überprüft?
Einmal im Jahr und bei jeder relevanten Änderung: neue Unternehmenssoftware, flächendeckende Telearbeit, ein Vorfall oder eine Gesetzesänderung.
Nächster Schritt: die sieben Richtlinien, angepasst an Ihr Unternehmen
Wir liefern die Vorlagen, passen sie an Ihre Situation an und konfigurieren den technischen Teil – MFA, Zugriffe, Sicherungen –, damit Papier und Praxis übereinstimmen. Lernen Sie die Managed Cybersecurity von DataRoad kennen und fordern Sie ein unverbindliches Angebot an.
Mehr als 10 Arbeitsplätze · Wartungsvertrag · Remote-, Vor-Ort- und telefonischer Support. Rufen Sie +351 211 459 950* an oder schreiben Sie an sales@dataroad.pt.
*Anruf ins portugiesische Festnetz.
