Erste Schritte

Cyberangriffe treffen auch Kleinstunternehmen. Fünf Sofortmassnahmen erhöhen das Schutzniveau der Cybersicherheit erheblich: Mehrstufige Anmeldung, tägliche Backups, Updates, Vorsicht bei E-Mails und sichere Passwörter.

Viele Kleinstunternehmen gehen davon aus, dass sie für Cyberkriminelle uninteressant sind. Doch die Realität sieht anders aus: Hacker nutzen automatisierte Programme, die das Internet nach Schwachstellen absuchen. Dabei spielt es keine Rolle, ob es sich um einen weltweit tätigen Konzern oder einen lokalen Handwerksbetrieb mit einer Handvoll Angestellten handelt. Ein einziger erfolgreicher Angriff kann dazu führen, dass Ihr Betrieb still steht, Rechnungen nicht bezahlt werden können oder Kundendaten ungewollt im Internet landen. IT-Sicherheit ist also keine Frage der Unternehmensgrösse, sondern der Existenzsicherung.

Die Sofort-Checkliste: Diese fünf Schritte bieten einen wichtigen Schutz

Um Ihnen den Einstieg in die Cybersicherheit so einfach wie möglich zu machen, sollten Sie sich beim Schutz Ihrer Systeme auf die folgenden Punkte konzentrieren. Diese Massnahmen kosten oft wenig Zeit, erhöhen Ihr Schutzniveau aber beträchtlich:

• Mehrstufige Anmeldung (MFA)
  Aktivieren Sie überall dort, wo es möglich ist (E-Mail, Banking, Cloud), die Mehr-Faktor-Authentisierung. Ein Passwort allein ist heute kein ausreichender Schutz mehr.
• Regelmässige Datensicherung (Backup)
  Sichern Sie Ihre Daten regelmässig auf einem externen Medium oder in einer sicheren Cloud. Wichtig ist, dass das Backup nicht dauerhaft mit dem Computer verbunden bleibt, damit es von Angriffen verschont bleibt.
• Updates konsequent durchführen
  Installieren Sie Sicherheits-Updates für sämtliche installierte Hard- und Software-Komponenten sowie für Ihr Smartphone und Ihr Tablet umgehend, sobald diese zur Verfügung stehen. Diese Updates schliessen bekannte Sicherheitslücken, die von Angreifern ausgenutzt werden können.
• Misstrauen bei E-Mails
  Seien Sie skeptisch bei unerwarteten Anhängen oder Links, selbst wenn der Absender bekannt scheint. Ein kurzes telefonisches Nachfragen schützt vor teurem Betrug. Verwenden Sie für die telefonische Nachfrage aber nicht die in der E-Mail vermerkte Telefonnummer. Suchen Sie die Telefonnummer beispielsweise über die Website des Absenders heraus.
• Sichere Passwörter
  Verwenden Sie für jeden Dienst ein eigenes, mindestens 12 Zeichen langes Passwort. Ein Passwort-Manager hilft Ihnen dabei, den Überblick zu behalten, ohne dass Sie sich alles merken müssen.

Das neue Schweizer Datenschutzgesetz (DSG): Was Sie wissen müssen

Seit dem 1. September 2023 ist das revidierte Datenschutzgesetz (DSG) in Kraft. Auch für Kleinstunternehmen bringt dies Verpflichtungen im Bereich der IT-Sicherheit mit sich. So verlangt das Gesetz, dass Sie die Kundendaten durch angemessene technische und organisatorische Massnahmen schützen.

Ein wesentlicher Aspekt des DSG ist die Transparenzpflicht: Sie müssen Ihre Kundinnen und Kunden darüber informieren, welche Daten Sie zu welchem Zweck sammeln. Zudem besteht im Falle eines Datendiebstahls oder -verlusts unter Umständen eine Meldepflicht an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB). Wenn Sie die oben genannten technischen Basismassnahmen umsetzen, erfüllen Sie bereits einen grossen Teil der gesetzlichen Anforderungen an die Datensicherheit und minimieren das Risiko rechtlicher Konsequenzen oder von Reputationsschäden.

Cloud-Anwendungen: Wer trägt eigentlich die Verantwortung?

Der Wechsel zu Cloud-Diensten wie Microsoft 365 oder Google Workspace bietet Kleinstunternehmen Vorteile in Bezug auf Flexibilität und Kollaboration. Ein häufiges Missverständnis besteht jedoch darin, dass mit dem Abonnieren eines Cloud-Dienstes die gesamte Verantwortung für die Sicherheit an den Anbieter übergeht. In der Fachwelt spricht man in diesem Zusammenhang vom Modell der geteilten Verantwortung. Während der Cloud-Anbieter für die physische Sicherheit der Rechenzentren und die Verfügbarkeit der Infrastruktur sorgt, sind Sie als Unternehmer dafür verantwortlich, wer Zugriff auf Ihre Daten hat und wie diese konfiguriert sind.

Ein Cloud-Konto ohne aktivierte Mehr-Faktor-Authentisierung (MFA) ist heute eines der grössten Einfallstore für Identitätsdiebstahl. Zudem sollten Sie bedenken, dass die Standard-Aufbewahrungsfristen in der Cloud oft nicht mit einer echten Backup-Strategie gleichzusetzen sind. Wenn keine unabhängige Sicherung durch einen Drittanbieter implementiert wurde, können versehentlich gelöschte Dokumente oder durch Ransomware verschlüsselte Cloud-Speicher verloren sein. Die Cloud schützt Sie vor Hardware-Ausfällen, aber nicht vor Fehlbedienung oder vor gezielten Angriffen auf Ihre Zugangsdaten.

Der IT-Dienstleister als strategischer Partner

Für Kleinstunternehmen, die keine eigene IT-Abteilung unterhalten, ist die Zusammenarbeit mit einem kompetenten IT-Dienstleister die beste Lösung. Ein guter Dienstleister ist weit mehr als nur ein Notfallkontakt für den Fall, dass der Drucker streikt. Er agiert viel mehr als Ihr proaktiver Sicherheitsberater. Er sorgt im Hintergrund dafür, dass Ihre Firewall korrekt konfiguriert ist, die Antiviren-Software auf allen Endgeräten läuft und die oben erwähnten Cloud-Backups tatsächlich funktionieren sowie verfügbare Updates für Hard- und Software zeitnah eingespielt werden.

Die Delegation der IT an Experten entbindet Sie zwar nicht von der unternehmerischen Letztverantwortung, gibt Ihnen aber die Sicherheit, dass Ihre Systeme nach aktuellen Standards überwacht werden. In Bezug auf das Schweizer Datenschutzgesetz (DSG) ist diese Partnerschaft besonders wertvoll, denn Ihr Dienstleister kann Sie dabei unterstützen, die notwendigen technischen und organisatorischen Massnahmen umzusetzen und zu dokumentieren. Achten Sie bei der Wahl Ihres Partners auf klare Leistungsvereinbarungen (SLAs) und darauf, dass das Thema Sicherheit explizit adressiert wird, statt sich nur auf die reine Funktionalität der Geräte zu konzentrieren.

Fazit: Anfangen ist wichtiger als Perfektion

Sie müssen kein IT-Experte sein, um Ihr Unternehmen sicherer zu machen. Der wichtigste Schritt ist, das Thema nicht länger zu ignorieren. Beginnen Sie mit der Sicherung Ihrer wichtigsten Konten und Daten. IT-Sicherheit ist ein fortlaufender Prozess, der mit kleinen, aber konsequenten Schritten beginnt. So bleibt Ihr Fokus dort, wo er sein sollte: bei Ihrem Kerngeschäft und Ihren Kunden.

Grundschutz: Schützen Sie Ihr Unternehmen und Ihre Behörde

Weiterführende Informationen

ITSec4KMU
BSI - Bundesamt für Sicherheit in der Informationstechnik: Cybersicherheit für KMU