Cybersecurity

Cybersicherheit ist längst keine reine IT-Frage mehr, sondern eine Frage der Betriebsfähigkeit. Fällt die IT für mehrere Tage aus, stehen Produktion, Auftragsabwicklung, Versand und Buchhaltung still – unabhängig davon, wie gut das Unternehmen aufgestellt ist. Die häufigsten Ursachen sind unspektakulär: verschlüsselte Server nach einem Erpressungsangriff, gekaperte E-Mail-Konten für gefälschte Zahlungsanweisungen, ungepatchte Fernzugänge, unzureichend getrennte Netze. Angriffe laufen dabei überwiegend automatisiert und suchen nach Schwachstellen, nicht nach bestimmten Unternehmen.

Wirksame Sicherheit entsteht deshalb nicht durch einzelne Produkte, sondern durch mehrere aufeinander abgestimmte Schutzschichten – und durch die Annahme, dass ein Vorfall trotz aller Vorkehrungen eintreten kann. Ein belastbares Konzept beantwortet daher immer zwei Fragen: Wie verhindern wir den Vorfall so weit wie möglich, und wie stellen wir den Betrieb wieder her, wenn er dennoch eintritt?

Fragestellungen

1. Wie können wir unsere IT-Infrastruktur und unsere sensiblen Unternehmensdaten effektiv vor den zunehmenden Bedrohungen durch Cyberangriffe schützen?
2. Welche technischen und organisatorischen Maßnahmen sind erforderlich, um ein angemessenes Sicherheitsniveau gemäß anerkannter Standards (z.B. ISO 27001, BSI IT-Grundschutz) zu erreichen?
3. Wie schulen und sensibilisieren wir unsere Mitarbeiter, um menschliches Fehlverhalten als Einfallstor für Cyberkriminelle zu minimieren (Security Awareness)?

Bedrohungslage: Wo Angriffe tatsächlich beginnen

Die Einfallswege sind seit Jahren stabil, was die Priorisierung erleichtert. Ganz vorn stehen Phishing und Social Engineering, mit denen Zugangsdaten oder Freigaben erschlichen werden. Ähnlich relevant sind bekannte, aber nicht geschlossene Schwachstellen in aus dem Internet erreichbaren Systemen – Fernzugängen, VPN-Zugängen, Web- und Mailservern. Dazu kommen gestohlene oder mehrfach verwendete Passwörter ohne zweiten Faktor, überhöhte Berechtigungen, mit denen sich Angreifer nach dem ersten Zugriff frei im Netz bewegen, sowie Dienstleister und Lieferanten, die über Fernwartungszugänge angebunden sind. Der Faktor Mensch ist dabei kein Sonderproblem, sondern der wahrscheinlichste Startpunkt – und genau deshalb ein Thema für Organisation und Prozesse, nicht nur für Technik.

Arbeitsanweisung

Ziel: Etablierung eines robusten und resilienten Cybersecurity-Konzepts zum Schutz vor digitalen Bedrohungen – mit nachweisbarer Wirksamkeit und geprüfter Wiederherstellungsfähigkeit.

Vorgehen:

1. Schutzbedarfsfeststellung: Analyse und Klassifizierung der IT-Systeme und Daten hinsichtlich ihres Schutzbedarfs in Bezug auf Vertraulichkeit, Integrität und Verfügbarkeit. Grundlage sind eine Übersicht der Anwendungen und Datenbestände sowie die Frage, welche Prozesse wie lange ohne welches System auskommen. Daraus ergeben sich Wiederanlaufzeiten und der maximal tolerierbare Datenverlust.
2. Risikoanalyse: Identifizierung und Bewertung von Bedrohungen und Schwachstellen nach Eintrittswahrscheinlichkeit und Schadenshöhe. Ergänzt wird die Analyse durch technische Bestandsaufnahmen wie Schwachstellen-Scans, die Prüfung von aus dem Internet erreichbaren Diensten und die Bewertung von Berechtigungen und Fernzugängen – einschließlich der Zugänge externer Dienstleister.
3. Maßnahmenkonzept: Entwicklung eines Sicherheitskonzepts nach dem Prinzip mehrerer Schutzschichten. Technisch gehören dazu Mehr-Faktor-Authentisierung für alle externen Zugänge, konsequentes Patch-Management, Netzsegmentierung, moderner Endpunktschutz mit Angriffserkennung, gehärtete Konfigurationen und ein Backup-Konzept mit mindestens einer nicht veränderbaren oder physisch getrennten Kopie. Organisatorisch sind Berechtigungskonzepte nach dem Prinzip der minimalen Rechte, Freigabe- und Zahlungsprozesse mit Vier-Augen-Prinzip, Notfallpläne mit Meldeketten und verbindliche Regeln für Dienstleister festzulegen.
4. Umsetzung: Implementierung der Maßnahmen in einer nach Risiko priorisierten Reihenfolge. Zuerst werden die wirksamsten Basismaßnahmen umgesetzt – Zugangsschutz, Aktualisierung erreichbarer Systeme, funktionierende Backups –, anschließend die aufwendigeren Bausteine. Parallel läuft die Sensibilisierung der Mitarbeiter: kurze, wiederkehrende Schulungen, praxisnahe Phishing-Übungen und eine Meldekultur, die auffällige Vorfälle belohnt statt Fehler zu bestrafen.
5. Audit & Reaktion: Regelmäßige Überprüfung der Maßnahmen durch interne Audits, Schwachstellenanalysen und beauftragte Penetrationstests. Zusätzlich wird ein Incident-Response-Prozess etabliert und geübt: definierte Rollen, Erreichbarkeiten rund um die Uhr, Vorgehen zur Eindämmung, Kommunikationsvorlagen sowie die Kenntnis gesetzlicher Meldefristen. Entscheidend ist der regelmäßige Wiederherstellungstest – ein Backup, das nie zurückgespielt wurde, ist kein Backup.

Nutzen

Der Nutzen ist unmittelbar wirtschaftlich, weil ein einziger schwerer Vorfall die Kosten jahrelanger Vorsorge übersteigt:

• Schutz kritischer Unternehmenswerte und Daten vor Diebstahl, Verlust oder Manipulation.
• Aufrechterhaltung des Geschäftsbetriebs und deutlich kürzere Ausfallzeiten im Ernstfall.
• Stärkung des Vertrauens von Kunden, Partnern, Investoren und Versicherern in die Organisation.
• Erfüllung gesetzlicher und regulatorischer Anforderungen sowie vertraglicher Sicherheitszusagen gegenüber Kunden.
• Vermeidung von Reputationsschäden, Vertragsstrafen und Folgekosten nach Sicherheitsvorfällen.

Vorteile

• Proaktive Risikominimierung: Schwachstellen werden geschlossen, bevor sie ausgenutzt werden – statt teurer Schadensbegrenzung unter Zeitdruck.
• Höhere Resilienz: Geprüfte Wiederanlaufpläne wirken auch bei Störungen ohne Angriff, etwa bei Hardwaredefekten, Stromausfällen oder Ausfällen von Cloud-Diensten.
• Wettbewerbsvorteil: Nachweisbare Sicherheitsstandards sind in Lieferantenfragebögen und Ausschreibungen zunehmend Voraussetzung – und erleichtern Verhandlungen mit Cyberversicherern.
• Handlungsfähige Belegschaft: Sensibilisierte Mitarbeiter erkennen Auffälligkeiten früh und melden sie, wodurch sich Angriffe oft noch im Anfangsstadium stoppen lassen.
• Planbarkeit: Ein strukturierter Maßnahmenplan macht Sicherheitsinvestitionen budgetierbar und begründbar, statt in Einzelanschaffungen zu zerfallen.

Häufige Schwachstellen im Mittelstand

In der Praxis wiederholen sich einige Muster: Backups liegen in derselben Umgebung wie die Produktivdaten und werden im Angriffsfall mitverschlüsselt. Administrative Konten werden für die tägliche Arbeit genutzt. Fernwartungszugänge von Dienstleistern bestehen dauerhaft und ohne zweiten Faktor. Alte Systeme ohne Herstellersupport laufen weiter, weil eine Fachanwendung sie benötigt. Und für den Ernstfall existiert ein Notfallplan als Dokument – aber niemand hat ihn geübt, sodass im Vorfall Zuständigkeiten und Kontaktdaten fehlen. Jeder dieser Punkte ist mit begrenztem Aufwand behebbar und senkt das Risiko deutlich stärker als zusätzliche Sicherheitssoftware.

FAQ

Was ist der Unterschied zwischen IT-Sicherheit und Cybersecurity?
IT-Sicherheit beschreibt klassisch den Schutz der eigenen Systeme und Daten. Cybersecurity ist weiter gefasst und umfasst zusätzlich alles, was über das Internet vernetzt ist: Cloud-Dienste, Fernzugänge, Produktionsanlagen und IoT-Geräte, Lieferanten und Dienstleister. In der Praxis ist die Abgrenzung weniger wichtig als die Erkenntnis, dass technische, organisatorische und personelle Maßnahmen zusammengehören.

Reicht eine gute Firewall nicht aus, um uns zu schützen?
Nein. Eine Firewall schützt Übergänge zwischen Netzen, hilft aber wenig, wenn Zugangsdaten abgephisht werden, ein Notebook infiziert ins Firmennetz zurückkehrt oder ein Cloud-Konto ohne zweiten Faktor übernommen wird. Wirksam ist ein gestufter Schutz aus mehreren Ebenen: Zugangsschutz, Aktualisierungen, Segmentierung, Endpunktüberwachung, Berechtigungskonzept, Backup und geübte Notfallprozesse.

Sind wir als kleines oder mittleres Unternehmen überhaupt ein Ziel?
Ja. Ein großer Teil der Angriffe ist automatisiert und richtet sich gegen jedes erreichbare, verwundbare System – unabhängig von Branche und Größe. Mittelständische Unternehmen sind zudem attraktiv, weil sie wertvolles technisches Wissen und Zugänge zu größeren Kunden besitzen, ihre Schutzmaßnahmen aber häufig geringer ausgestattet sind. Hinzu kommt: Große Auftraggeber prüfen die Sicherheit ihrer Lieferanten immer strenger.

Wie lange dauert die Umsetzung eines solchen Sicherheitskonzepts?
Die Grundlagen mit der größten Wirkung – Mehr-Faktor-Authentisierung, Patch-Stand erreichbarer Systeme, getrennte Backups mit Wiederherstellungstest, Aufräumen administrativer Rechte – sind meist in wenigen Wochen umsetzbar. Ein vollständiges Managementsystem inklusive Dokumentation, Audits und geübter Notfallorganisation braucht deutlich länger. Cybersicherheit ist ohnehin kein Projekt mit Enddatum, sondern ein laufender Prozess, weil sich Bedrohungen und Systeme fortlaufend ändern.

Was kostet ein professionelles Cybersecurity-Konzept?
Die Kosten hängen vom Schutzbedarf, der Größe der Landschaft und dem gewählten Zielniveau ab. Sinnvoll ist eine Betrachtung gegen den Schadenfall: Was kostet ein Produktions- oder Vertriebsstillstand pro Tag, was der Verlust von Konstruktions- oder Kundendaten, was Wiederherstellung, Forensik und Kommunikation? Gegen diese Größen gerechnet sind die wirksamsten Basismaßnahmen in der Regel vergleichsweise günstig – die teuren Positionen entstehen erst bei sehr hohen Verfügbarkeitsanforderungen.