Teil 2 von 2
Die zweite Hälfte: dranbleiben und das Team mitnehmen
Im ersten Teil ging es vor allem um Struktur und Technik: Überblick über deine IT, kontrollierte Installationen, getrennte Netze, sichere Konfiguration und aktuelle Systeme.
Der zweite Teil geht noch einen Schritt weiter. Jetzt kommen die Massnahmen dazu, die deinen Schutz laufend prüfen und die Menschen in deinem Unternehmen mit einbeziehen. Denn genau dort entscheidet sich im Ernstfall oft, ob ein Angriff erfolgreich ist oder nicht.
Hier sind die restlichen fünf Massnahmen, mit denen du dich als KMU besser vor Cyberattacken schützt.
Lass dein Netz regelmässig auf Schwachstellen prüfen
Eine IT verändert sich laufend. Neue Geräte kommen dazu, Programme werden aktualisiert, Konfigurationen angepasst. Was gestern sicher war, kann heute eine Lücke haben.
Deshalb reicht es nicht, einmal aufzuräumen und dann davon auszugehen, dass alles sicher bleibt. Ein regelmässiger Schwachstellen-Check deckt offene Türen auf, bevor es ein Angreifer tut.
Am besten übernimmt das ein externer IT-Partner. Er schaut mit Abstand und Erfahrung auf deine Systeme und erkennt Dinge, die intern längst zur Gewohnheit geworden sind.
Lass in regelmässigen Abständen einen Schwachstellen-Scan durchführen und arbeite die Ergebnisse nach Priorität ab. Wichtig ist nicht nur das Prüfen, sondern dass die gefundenen Lücken danach auch tatsächlich geschlossen werden.
Setze auf sichere Passwörter und Zwei-Faktor
Passwörter sind nach wie vor eines der häufigsten Einfallstore. Kurze oder mehrfach verwendete Passwörter sind schnell geknackt. Und ist ein Passwort erst einmal bekannt, stehen dem Angreifer oft gleich mehrere Konten offen.
Sichere Passwörter sind deshalb Pflicht. Mindestens zwölf Zeichen und für jedes Konto ein eigenes Passwort. Genauso wichtig ist die Zwei-Faktor-Authentifizierung. Selbst wenn ein Passwort gestohlen wird, fehlt dem Angreifer dann der zweite Faktor.
Gerade bei Microsoft 365, Fernzugriffen und anderen zentralen Diensten macht dieser zusätzliche Schritt einen grossen Unterschied.
Führe einen Passwort-Manager ein, damit sich niemand mehr Dutzende Passwörter merken muss. Und aktiviere die Zwei-Faktor-Authentifizierung überall dort, wo es möglich ist. Besonders bei den Konten, über die im Ernstfall der grösste Schaden entstehen würde.
Sensibilisiere deine Mitarbeitenden
Technik allein reicht nicht. Der Mensch ist und bleibt das grösste Einfallstor. Die beste Firewall nützt wenig, wenn jemand im entscheidenden Moment freiwillig die Tür öffnet.
Sensibilisierte Mitarbeitende erkennen verdächtige Situationen, hinterfragen ungewöhnliche Anfragen und melden Vorfälle, statt sie aus Angst vor Ärger zu verschweigen. Genau dieses Verhalten entscheidet oft darüber, ob aus einem Zwischenfall ein grosser Schaden wird.
Wichtig ist dabei die Haltung dahinter. Es geht nicht um Kontrolle oder Schuldzuweisungen, sondern darum, dass alle im Unternehmen ihren Teil zur Sicherheit beitragen.
Mach IT-Sicherheit zum regelmässigen Thema statt zur einmaligen Schulung. Kurze, verständliche Inputs im Arbeitsalltag bleiben besser hängen als eine einzelne Pflichtveranstaltung pro Jahr.
Schule dein Team im Erkennen von Phishing
Phishing ist eine der häufigsten Angriffsmethoden überhaupt. Und moderne Phishing-Mails sind längst nicht mehr an schlechter Sprache oder plumpen Formulierungen zu erkennen. Viele sehen aus wie echte Nachrichten von Microsoft, einer Bank oder der Geschäftsleitung.
Ein kritischer Blick auf Absender, Links und ungewöhnliche Aufforderungen kann einen grossen Schaden verhindern. Es geht nicht darum, niemandem mehr zu vertrauen, sondern im richtigen Moment kurz innezuhalten und nachzudenken.
Diese Fähigkeit lässt sich trainieren. Wer die typischen Merkmale einmal bewusst gesehen hat, erkennt sie im Alltag deutlich schneller wieder.
Trainiere dein Team mit konkreten Beispielen und simulierten Phishing-Mails. So lernen alle die typischen Merkmale kennen, ganz ohne dass dabei ein echter Schaden entsteht.
Vergib keine lokalen Admin-Rechte
Wenn Mitarbeitende auf ihren Geräten Administratorrechte haben, kann im Ernstfall auch Schadsoftware genau diese Rechte übernehmen. Sie kann sich dann tiefer im System einnisten, sich ausbreiten und deutlich mehr Schaden anrichten.
Ohne lokale Admin-Rechte bleibt ein Angriff dagegen oft auf ein einzelnes Konto begrenzt. Eine einfache Massnahme mit grosser Wirkung, die den Schaden im Ernstfall stark eingrenzt.
Für den Arbeitsalltag ändert sich dabei kaum etwas. Die allermeisten Aufgaben lassen sich problemlos mit einem normalen Benutzerkonto erledigen.
Arbeite im Alltag mit normalen Benutzerkonten ohne Admin-Rechte. Administrative Aufgaben laufen über separate, klar geregelte Zugänge, die nur dann genutzt werden, wenn sie wirklich gebraucht werden.
Klingt nach viel? Wir setzen es mit dir um
Damit hast du alle zehn Massnahmen beisammen. Keine davon ist ein Hexenwerk, aber zusammen machen sie den Unterschied zwischen einem KMU, das vorbereitet ist, und einem, das es nicht ist.
Die HEAD IT Solutions hilft dir, diese Massnahmen und viele mehr in deinem Unternehmen umzusetzen. Wir schauen uns deine IT an, setzen die richtigen Prioritäten und kümmern uns darum, dass dein Schutz nicht nur auf dem Papier steht, sondern im Alltag funktioniert.
Falls du herausfinden möchtest, wo du heute stehst, helfen wir dir gerne weiter.
Weitere Beiträge, die dich interessieren könnten
IT-Security Mythen für KMU: 3 teure Irrtümer
«Wir sind zu klein», «Meine Leute klicken nicht», «Wir haben ein Antivirus». Drei Sätze, die sich hartnäckig halten und im Ernstfall richtig teuer werden. Wir räumen mit ihnen auf.
Zero Trust für KMU mit Microsoft 365
Vertraue niemandem automatisch, prüfe jeden Zugriff. Was hinter dem Prinzip Zero Trust steckt und wie du es mit Microsoft 365 auch als KMU umsetzt.
Ist deine IT fit für die Zukunft?
Woran du erkennst, ob deine IT dein Unternehmen sicher, effizient und zukunftsfähig macht und wo es sich lohnt, genauer hinzuschauen.