IT-Sicherheit im Unternehmen – 9 Tipps zur Umsetzung

Unternehmen, die mehr für ihre IT-Sicherheit tun möchten, fragen sich oft, welche Tipps und Strategien konkret weiterhelfen, um Daten vor möglichen Cyberattacken zu schützen. Allgemein betreffen Cyberattacken bei weitem nicht nur große Konzerne, sondern gerade auch viele kleine und mittelgroße Unternehmen. Nur dass letztere viel häufiger unzureichende Sicherheitsvorkehrungen vorweisen können. Denn Hackerangriffe sind die wohl größte Bedrohung im 21. Jahrhundert und können nicht nur ganze Unternehmen, sondern selbst komplette Städte und deren kritische Infrastruktur lahmlegen.

Im Folgenden werden zehn Tipps erläutert, um die IT-Infrastruktur in Firmen sicherer zu machen.

Bestandsaufnahme der IT-Netze und IT-Produkte inklusive Soft- und Hardware

Zunächst einmal ist zu konkretisieren, welche Netze und IT-Produkte im Unternehmen regelmäßig genutzt werden und das Ziel von Hackerangriffen sein könnten. Die Verfügbarkeit, Integrität sowie Vertraulichkeit von Unternehmensdaten stehen dabei im Mittelpunkt. Organisation, Technologien, Schutzsysteme und nicht zuletzt der Mensch selbst sind hierbei entscheidende Faktoren.

Patschen heißt das Gebot der Stunde, denn die vom Hersteller der IT-Systeme mitgelieferten Sicherheitsupdates dürfen keinesfalls auf die leichte Schulter genommen, sondern sollten sofort eingespielt werden. Neue Software reduziert fast immer das Risiko eines schwerwiegenden Cyber-Angriffs.

Sensibilisierung aller Mitarbeiter im Unternehmen für virtuelle Bedrohungen

Dazu muss ein Gespür für mögliche Gefährdungen unter den Mitarbeitern eines Unternehmens etabliert werden. Denn ohne Sensibilisierung erkennen diese mögliche Fehlerquellen nicht oder erst zu spät, wenn die Attacke bereits passiert ist. Dazu bieten fachkundige IT-Beratungsfirmen nützliche Workshops und Seminare an. Kampagnen innerhalb des Unternehmens helfen ebenfalls weiter, um sich möglicher Bedrohungen bewusst zu werden. Tatsächlich hatten bereits 90 Prozent aller Unternehmen in Deutschland schon einmal einen Cyber Vorfall. Diese verursachen Schäden in Milliardenhöhe und führen in vielen Fällen zur Unterbrechung des laufenden Betriebs sowie Produktionsausfällen. Mit der Industrie 4.0 wächst diese Gefahr eher noch in den kommenden Jahren. Dennoch darf nicht jeder Mitarbeiter Zugriff auf alle Daten haben. Etliche Hackerangriffe kommen sogar aus dem Inneren des Betriebs selbst.

Installation eines Informationssicherheits Systems durch einen professionellen IT-Spezialisten

Im nächsten Schritt leistet ein Informationssicherheits-System wertvolle Dienste. Dieses berücksichtigt auch die besonderen Anforderungen an die Cloud. IT-Experten betrachten hierzu den Prozess der Informationssicherheit im jeweiligen Unternehmen und ermitteln den Reifegrad der bisherigen Prozesse zur Cybersicherheit. Um mögliche Fehlerquellen frühzeitig zu erkennen wird eine individuelle Roadmap erstellt. Zu einem späteren Zeitpunkt kann zusätzlich eine Auditierung der eingeleiteten Sicherheitsmaßnahmen erfolgen. Die Informationssicherheit sollte immer eines der Top-Themen im Betrieb sein. Ein solches Information Security Management System (ISMS) ist prozessorientiert und verfolgt ausgehend von der Unternehmensleitung einen Top-Down-Ansatz. Mit ihm lassen sich definierte Maßnahmen und Tools steuern, um die Risiken vorhersehbar und beherrschbar zu machen. Für die konkrete Ausführung ist beispielsweise ein interner Datenschutzbeauftragter verantwortlich. Der Datenschutz spielt hierbei jedoch nur eine untergeordnete Rolle. Für diese Aufgabe ist zusätzlich die Einrichtung eines Datenschutzmanagement-Systems empfehlenswert.

Den Ernstfall erproben

Wer regelmäßig Übungen durchführt und neue Szenarien durchspielt, erhöht ebenso den Schutz der IT-Infrastruktur. Dann muss auch sofort feststehen, wer die notwendigen Entscheidungen in die Wege leitet und im Notfall erreichbar ist. Für jeden muss klar sein, welche Aufgabe in seinen Zuständigkeitsbereich fällt. Zudem schützen Netzwerke andere Netzwerke. Der regelmäßige Austausch mit staatlichen Stellen oder erfahrenen IT-Sicherheitspartnern klärt über bestehende Gefahren auf. Konsistent und Funktionalität der Backups spielen in den Probedurchlauf ebenso hinein wie deren Aktualität. Das hört sich vielleicht ein bisschen so an wie eine Brandschutzübung bei der örtlichen Feuerwehr, doch Vorsorge ist immer noch der beste Schutz.

Penetration-Tests durchführen

Auf die Probe stellen lässt sich der Ernstfall mittels Pentests oder Penetration-Tests, um markante Sicherheitslücken aufzuspüren. Denn eine gängige Fehleinschätzung lautet immer noch, die eigene Firma sei ja bestimmt nicht von einem Cyberangriff betroffen. Diesen Irrtum offenbaren Pentests auf vergleichsweise einfache Weise. Manche Betriebe wollen auch nur Geld sparen, da Cybersicherheit oft mit hohen Kosten verbunden ist. Es macht sich jedoch im Ernstfall bezahlt, da die Folgekosten mit hoher Wahrscheinlichkeit noch viel höher ausfallen. Dennoch erfordert ein Penetration-Test ein hohes Maß an Expertise, das externe Sicherheitsberater liefern.

Analyse und Konkretisierung aller Schutzmaßnahmen – Risikomanagement

Natürlich muss die konkrete Bedrohungslage beständig analysiert und technische, organisatorische sowie prozessuale Schutzmaßnahmen umgesetzt werden. Dazu ist es entscheidend, zu klären, welche Daten besonders geschützt sein müssen. All dies hat jedoch auch vor dem Hintergrund der Wirtschaftlichkeit stattzufinden. Der laufende Geschäftsbetrieb darf durch diesen Prozess nicht gestört werden. Die Risikobewertung ergibt sich letztlich aus der Relation zwischen einem potenziellen Schaden und seiner Eintrittswahrscheinlichkeit. Ein wesentlicher Bestandteil eines erfolgreichen Risikomanagements bildet das sogenannte Compliance-Management.

Schutzmaßnahmen in der industriellen Produktion

Natürlich verlangen die sensibelsten Daten auch die höchste Schutzstufe. Gerade im produzierenden Gewerbe dürfen technische Schutzmaßnahmen nicht außer Acht gelassen werden. Alle Maschinen und Anlagen müssen abgesichert sein. Am besten ist die Einrichtung separater Sicherheitszellen, die durch eine Firewall voneinander getrennt sind. Im Störfall darf keinesfalls die gesamte Produktion ausfallen. Am besten wäre es natürlich, wenn jede einzelne Maschine durch eine eigene Firewall geschützt ist. Zusätzlich heißt es, die Fernwartungszugänge zu kontrollieren und bei der Verwendung eine sichere VPN-Verbindung zu öffnen. Die Abwehr von Gefahren wirkt sich am Ende positiv auf die Wertschöpfung der Fertigung aus.

Viele der Schutzmaßnahmen beruhen auf Kryptografie, also mathematischen Verfahren, die für sämtliche Anlagen einen ausreichenden Schutz bieten sollten.

Zusätzlich bestehen Auswirkungen auf die Lagerkapazitäten und Produktqualität. Erfolgt ein Angriff, sind natürlich auch Zulieferbetriebe davon betroffen. Vor allem geöffnete Netzwerke bieten erhebliche Angriffsflächen. Die Komplexität der Netzwerke in der Industrie 4.0 haben im schlimmsten Fall die Zerstörung von Anlagen zur Folge.

Sicherheitskopien anfertigen, verdächtige Mails löschen und Passwörter verschlüsseln

Beim Schutz der Daten helfen Sicherheitskopien genauso wie deren regelmäßige Testung. Auf diesem Weg verhindert man, Opfer einer heimtückischen Erpressung zu werden. Grundlegend ist die Verschlüsselung wichtiger Daten und Passwörter, welche in Unternehmen die Norm sein sollte. Komplexe Passwörter stellen hier sowieso das A und O dar. Bewährt hat sich eine Codesatz, bestehend aus den Anfangsbuchstaben eines Satzes, ergänzt um Zahlen und verschiedene Sonderzeichen. Zudem sollte man für unterschiedliche Dienste auch unterschiedliche Passwörter nutzen. Mit einem Passwort-Manager lassen sich komplexe Passwörter generieren und sicher aufbewahren. Dazu muss man sich dann lediglich noch ein Generalpasswort merken. Immer gängiger wird überdies die Zwei-Faktoren-Authentifizierung. Dazu muss man nochmals eine TAN per SMS bestätigen. Nicht zuletzt versuchen Betrüger mittels Phishing nach wie vor, über Mail Anhänge Schadsoftware in ein Unternehmen einzuschleusen.

Informieren und Handeln

Auf verschiedenen Wegen wird in den Medien oder in einschlägigen Fachmagazinen regelmäßig über neue Sicherheitslücken in IT-Netzwerken informiert. Diese heißt es ernst zu nehmen und daraufhin zu handeln. Wenn alle mitwirken und selbst im Unternehmen bei Sicherheitsfragen aktiv werden, profitieren am Ende alle davon. Statt des Terminus IT-Sicherheit macht deshalb immer mehr der Begriff der Cyber-Resilienz die Runde. Er bezeichnet einen Zustand der nachhaltigen Widerstandsfähigkeit. Dieser geht mit einem länger andauernden Prozess einher, wodurch die gesamte potenzielle Angriffsfläche eines Unternehmens für Cyberattacken verringert wird. Denn Vorsorge ist nicht alles. So stellt sich die Frage, wie ein Unternehmen einen Cyberangriff möglichst unbeschadet überstehen kann. Cyber-Resilienz-Konzepte greifen also sämtliche Schritte auf, die eine Attacke verhindern und die Konsequenzen so gering wie möglich halten. Ein resilientes Unternehmen hat bereits mehrere Strategien und Schritte erfolgreich umgesetzt, um diese Bedrohung von außen gezielt und koordiniert abzuhalten.

Ein Unternehmen, das neben weiteren IT-Dienstleistungen Unternehmen bei der Umsetzung eines Informationssicherheits Systems und weiteren Sicherheitsmaßnahmen begleitet, ist Campana & Schott aus Frankfurt am Main, zu finden unter https://www.campana-schott.com/de/de/.

---

---