IT-Sicherheit: Checkliste für kleine Unternehmen

So arbeitest du mit der Checkliste

Nimm dir eine Stunde Zeit, am besten zusammen mit der Person, die sich im Betrieb um die Technik kümmert. Jeder Punkt wird mit Ja oder Nein beantwortet. Ein „Keine Ahnung“ zählt als Nein und ist ein Ergebnis für sich: Es zeigt, wo niemand zuständig ist.

Die Liste verlangt kein Fachwissen und keine besonderen Programme. Sie fragt nach Grundlagen, an denen Angriffe auf kleine Betriebe in der Praxis scheitern oder gelingen. Gezielt sind diese Angriffe selten. Automatische Programme suchen nach offenen Türen, und die Größe des Betriebs spielt dabei keine Rolle.

Bereich 1: Konten und Zugänge

• Jede Person hat ein eigenes Konto. Sammelzugänge gibt es nur dort, wo es technisch nicht anders geht.
• Für E-Mail, Microsoft 365 und Banking ist die Zwei-Faktor-Anmeldung aktiv, und zwar bei allen.
• Passwörter liegen in einem Passwortmanager und nicht in Tabellen, auf Zetteln oder im Kopf einer einzelnen Person.
• Verwaltungsrechte liegen auf eigenen Konten, mit denen niemand E-Mails liest oder im Internet surft.
• Es gibt eine aktuelle Liste aller Konten, und die Zugänge ehemaliger Mitarbeiter sind gesperrt.

Am letzten Punkt hapert es in vielen Betrieben. Ein fester Ablauf für Ein- und Austritte in der Benutzerverwaltung verhindert, dass Konten jahrelang offen bleiben.

Bereich 2: Rechner, Handys und Updates

• Alle Rechner laufen mit einem Betriebssystem, das noch Sicherheitsupdates erhält.
• Updates für Betriebssystem, Browser und Programme werden automatisch eingespielt oder nach einem festen Rhythmus.
• Auf jedem Rechner ist ein Virenschutz aktiv und aktuell.
• Laptops und Handys sind verschlüsselt und sperren sich nach kurzer Zeit von selbst.
• Im Alltag arbeitet niemand mit Administratorrechten am eigenen Rechner.

Vergessen werden gern die Geräte am Rand: der alte Rechner an der Maschine, das Tablet am Empfang, der Laptop, der nur für die Inventur aus dem Schrank kommt.

Bereich 3: Datensicherung

• Es ist aufgeschrieben, welche Daten es gibt und wo sie liegen: auf dem Server, auf einzelnen Rechnern, in der Cloud.
• Die Sicherung läuft automatisch und folgt der 3-2-1-Regel, mit einer Kopie außer Haus.
• Auch Postfächer und Dateien in Microsoft 365 sowie die Datenbank der Branchensoftware sind erfasst.
• Fällt eine Sicherung aus, bekommt jemand eine Meldung und kümmert sich darum.
• Die Wiederherstellung wurde tatsächlich geprobt, mit einer einzelnen Datei und mit einem ganzen System.

Wer in diesem Bereich nur einen Punkt angehen kann, nimmt den letzten. Erst der Versuch zeigt, ob die Datensicherung im Ernstfall trägt.

Bereich 4: E-Mail

• Ein Filter gegen Spam, gefälschte Absender und gefährliche Anhänge ist aktiv.
• Nachrichten von außen sind als extern gekennzeichnet.
• Für die eigene Domain sind SPF, DKIM und DMARC gesetzt, damit niemand im Namen des Betriebs senden kann.
• Automatische Weiterleitungen an private Adressen sind abgeschaltet.
• Für Überweisungen und geänderte Bankverbindungen gilt: Rückruf unter der bekannten Nummer und Freigabe durch eine zweite Person.

Die drei Einträge für die Domain klingen technisch, sind aber schnell geprüft. Sie gehören zur sauberen Einrichtung von Postfächern und Domain.

Bereich 5: Netzwerk und WLAN

• Router und Firewall erhalten Updates, und das Kennwort ab Werk wurde geändert.
• Gäste nutzen ein eigenes WLAN, das keinen Zugriff auf Rechner und Server hat.
• Drucker, Kameras, Kassen und Maschinen laufen in einem eigenen Netzbereich.
• Der Zugriff von außen läuft über ein VPN oder eine gesicherte Fernwartung. Offene Freigaben ins Internet gibt es nicht.
• Der Netzwerkschrank ist abgeschlossen, beschriftet und dokumentiert.

Getrennte Netze sind die wirksamste Maßnahme in diesem Bereich. Sie setzen eine passende Netzwerktechnik voraus, die sich meist nachrüsten lässt.

Bereich 6: Menschen und Notfall

• Neue Mitarbeiter bekommen am ersten Tag eine kurze Einweisung zu Phishing, Passwörtern und dem Meldeweg.
• Alle wissen, wem sie einen Verdacht melden, und niemand muss dafür Ärger fürchten.
• Ein Notfallblatt auf Papier nennt, wer anzurufen ist und was in welcher Reihenfolge geschieht.
• Wichtige Zugangsdaten sind sicher hinterlegt und einer zweiten Person zugänglich.
• Die Kontakte von Internetanbieter, Hosting, IT-Betreuung, Bank und Datenschutzbeauftragtem liegen griffbereit, auch ohne Zugriff auf das Postfach.

Dieser Bereich kostet am wenigsten und wird am häufigsten aufgeschoben. Dabei entscheidet er im Ernstfall darüber, ob aus einem Vorfall ein Stillstand von Stunden oder von Tagen wird.

Womit anfangen? Aufwand und Wirkung

Niemand arbeitet 30 Punkte an einem Nachmittag ab. Die Reihenfolge richtet sich danach, was wenig Aufwand macht und viel bewirkt:

Danach folgt der Rest, Bereich für Bereich. Wer das nicht neben dem Tagesgeschäft stemmen will, holt sich dafür eine feste IT-Betreuung.