10 Tipps zur Cybersicherheit für kleine Unternehmen

Cyberbedrohungen stellen für kleine und mittlere Unternehmen ein wachsendes Problem dar, insbesondere angesichts des starken Wandels hin zur Telearbeit aufgrund von COVID-19. Zu den bekannten Datenschutzverletzungen zählen etwa Equifax (EFX ) im Jahr 2017 sowie jüngere Fälle wie der Ransomware-Angriff auf das deutsche Technologieunternehmen Software AG im Oktober 2020. Solche Vorfälle führen dazu, dass Kunden das Vertrauen in das Unternehmen verlieren.

Angesichts dieser wachsenden Bedrohung müssen kleine Unternehmen die erforderlichen Sicherheitsmaßnahmen ergreifen – insbesondere, da sich die KI-Technologie rasant weiterentwickelt.

Hier sind 10 Tipps zur Cybersicherheit für kleine Unternehmen:

1. Mitarbeitende in Sicherheitsfragen schulen

Eine der besten Maßnahmen, mit denen sich ein kleines Unternehmen vor Cyberbedrohungen schützen kann, ist, seine Mitarbeitenden in grundlegenden Sicherheitsprinzipien zu schulen. Mit klaren Protokollen und Richtlinien sinkt die Wahrscheinlichkeit, dass ein Unternehmen zum Ziel eines Angriffs wird. Dazu können Vorgaben für starke Passwörter und eine angemessene Internetnutzung gehören, bei deren Nichteinhaltung Konsequenzen drohen. Ebenso wichtig ist es, Mitarbeitende darüber aufzuklären, worauf sie achten müssen, etwa auf betrügerische E-Mails.

All dies lässt sich durch ein wirksames Cybersicherheitsschulungsprogramm für Mitarbeitende erreichen. Aktueller Forschung zufolge gehen 43 % der Datenverluste darauf zurück, dass interne Mitarbeitende Cyberkriminellen vorsätzlich oder versehentlich Zugriff auf das Unternehmensnetzwerk gewähren.

2. Zuerst die wichtigsten Geschäftsbereiche schützen

Kleine Unternehmen, die Cybersicherheitsmaßnahmen einführen möchten, sollten sich zunächst auf ihre wichtigsten Geschäftsbereiche konzentrieren. So lässt sich nach und nach ein Cybersicherheitskonzept entwickeln, das das gesamte Unternehmen wirksam schützt.

Das Unternehmen sollte prüfen, welche Bereiche von einem technologischen Wandel am stärksten betroffen sein werden, und anschließend diese kritischen Abläufe ausbauen. Dabei kann es hilfreich sein, professionelle Berater oder andere Sicherheitsexperten mit der Umsetzung eines Programms zu beauftragen.

3. Mobile Geräte schützen

Kleine Unternehmen müssen auch mobile Geräte berücksichtigen, nicht nur Computer und andere technische Systeme. Mobile Geräte stellen ein erhebliches Sicherheitsrisiko dar, da sie häufig vertrauliche Daten enthalten und auf das Unternehmensnetzwerk zugreifen können. Ihre Verwaltung ist anspruchsvoll, doch es gibt Maßnahmen, die sich ergreifen lassen: Dazu gehören der Schutz der Geräte durch ein Passwort, die Verschlüsselung von Daten und die Installation von Sicherheits-Apps, um den Diebstahl von Informationen zu verhindern, wenn das Gerät in öffentlichen Netzwerken genutzt wird.

4. WLAN-Passwörter zu Hause ändern

Da wir uns auf eine Zeit nach COVID zubewegen, in der stark auf Telearbeit gesetzt wird, muss Cybersicherheit auch im Zuhause der Mitarbeitenden gewährleistet sein. Vielen Unternehmen fällt es schwer, dies umzusetzen, wodurch Angriffe möglich werden.

Deshalb ist die WLAN-Sicherheit der Mitarbeitenden zu Hause inzwischen für das gesamte Unternehmen entscheidend. Kleine Unternehmen müssen daher dafür sorgen, dass ihre Beschäftigten ähnliche Sicherheitsmaßnahmen wie im Büro einhalten. Als Erstes sollten die Mitarbeitenden ihre Heimrouter mit einem starken Passwort schützen und nur vertrauenswürdigen Personen den Zugriff auf das Netzwerk gestatten.

5. Verwalteten Fernzugriff bereitstellen

Stellen Sie Ihren Mitarbeitenden einen genehmigten Weg bereit, auf Unternehmenssysteme zuzugreifen, etwa über ein geschäftliches VPN oder einen anwendungsbasierten Zugriffsservice, der in Ihre Identitätskontrollen eingebunden ist. Verlangen Sie eine Multifaktor-Authentifizierung, halten Sie Gateways und Client-Software auf dem neuesten Stand und beschränken Sie den Zugriff jeder Person auf die Ressourcen, die sie für ihre Rolle benötigt. Ein privates VPN-Abonnement ersetzt diese Kontrollen nicht.

Wählen Sie einen Service nach seinen Verwaltungsfunktionen, der Unterstützung für Geräte, den Zugriffsrichtlinien und dem dokumentierten Umgang mit Daten aus. Der Preis allein ist kein Beleg für Vertrauenswürdigkeit: Einige seriöse Anbieter bieten kostenlose Tarife für Privatkunden an, während ein kostenpflichtiges VPN für den geschäftlichen Zugriff dennoch ungeeignet sein kann. Weitere Informationen zur Infrastruktur finden Sie in unserem Leitfaden zu VPN-Gateways für Unternehmen.

6. Multifaktor-Authentifizierung verlangen

Aktivieren Sie die Multifaktor-Authentifizierung für E-Mail, Administratorkonten, den Fernzugriff und andere wichtige Unternehmensdienste. Bei der MFA kommen mehrere Authentifizierungsfaktoren zum Einsatz; sie beschränkt sich nicht auf einen per SMS versendeten Code. Bevorzugen Sie, wo verfügbar, phishing-resistente Optionen wie entsprechend konfigurierte Passkeys oder Sicherheitsschlüssel.

Authentifizierungscodes und SMS-Codes sind sicherer als ein Passwort allein, können aber dennoch durch Phishing abgefangen werden. Schulen Sie Ihre Mitarbeitenden darin, unerwartete Anmeldeaufforderungen zu melden, und richten Sie ein sicheres Verfahren zur Kontowiederherstellung bei verlorenen Geräten ein. Der NIST-Leitfaden für kleine Unternehmen zum Schutz vor Phishing behandelt phishing-resistente MFA als einen Teil des Themas.

7. Sicherstellen, dass alle Systeme gepatcht und aktualisiert sind

Kleine Unternehmen müssen dafür sorgen, dass alle ihre Systeme mit Sicherheitsupdates versorgt und auf dem neuesten Stand sind. Anbieter von Anwendungen und Videokonferenz-Tools schließen Sicherheitslücken in der Regel schnell. Unternehmen, die Updates nicht rechtzeitig installieren, sind jedoch gefährdet.

Das gilt besonders für Computer mit Windows, denn diese Updates sind die erste Verteidigungslinie gegen gängige Viren und Schadsoftware. Damit das Unternehmen nicht in Rückstand gerät, sollten die Verantwortlichen sicherstellen, dass automatische Updates aktiviert sind und funktionieren. 

8. Sicherungskopien erstellen

Eine der größten Bedrohungen für die Cybersicherheit sind Ransomware-Angriffe, bei denen die Daten eines Unternehmens gesperrt werden, um es zur Zahlung eines Lösegelds zu zwingen. Während manche Großunternehmen einen solchen Betrag möglicherweise verkraften können, kann er für ein kleines Unternehmen verheerend sein.

Um dies zu vermeiden, müssen kleine Unternehmen fortlaufend Sicherungskopien erstellen und die Sicherungsdaten offline speichern. Wird ein Unternehmen Opfer eines Ransomware-Angriffs, kann es seine Daten wiederherstellen. Neben dem Schutz vor Cyberangriffen stellen Sicherungskopien sicher, dass wichtige Daten nicht durch Ausfälle oder andere Ursachen verloren gehen.

9. Unbefugten Zugriff verhindern

Ein kleines Unternehmen sollte alles daransetzen, den Zugriff auf geschäftliche Computer und deren Nutzung durch Unbefugte zu verhindern. Geräte wie Laptops werden häufig gestohlen oder gehen verloren. Deshalb sollten sie weggeschlossen und geschützt werden, wenn sie nicht benutzt werden. Außerdem muss jeder Mitarbeiter ein eigenes Konto mit einem starken Passwort haben. Administratorrechte sollten nur vertrauenswürdige IT-Mitarbeiter und andere Führungskräfte erhalten.

10. Möglichkeiten zur Softwareinstallation einschränken

Kein Mitarbeiter sollte Software installieren oder auf alle Datensysteme zugreifen können. Die Berechtigungen sollten auf das beschränkt sein, was für die jeweilige Tätigkeit erforderlich ist. Wer diese Grenzen überschreiten möchte, muss um Erlaubnis bitten. So lässt sich verhindern, dass schädliche oder betrügerische Software in das System eines Unternehmens gelangt.

Neue Technologien ermöglichen kleinen und mittelständischen Unternehmen zwar, zu wachsen und größere Märkte zu erschließen, erhöhen aber auch das Risiko von Cyberangriffen. Deshalb muss jedes Unternehmen über einen wirksamen Cybersicherheitsplan für die gesamte Organisation verfügen, und alle Mitarbeiter müssen sich der Risiken bewusst sein. Diese Technologien für Cybersicherheit und Datenschutz sind für kleine Unternehmen umso wichtiger, da sie sich von solchen Angriffen oft nicht erholen können.