Mobile-Menu

Cyber-Basics Auch KMU stehen im Fokus der Hacker

Ein Gastbeitrag von John Mutuski 6 min Lesedauer

Anbieter zum Thema

Pipedrive Deutschland GmbH
FTAPI Software GmbH

Digitalisierung macht KMU zu attraktiven Zielen für Cyberkriminelle. Der Text zeigt, wie Unternehmen mit gezielten Schutzmaßnahmen (WPA3, MFA, MDM), Aufklärung zu Social Engineering und bewährten Sicherheitsstandards ihre Daten absichern und dadurch langfristig Vertrauen, Ruf und Geschäftserfolg sichern.

Auch KMU sind in Gefahr gehacked zu werden! Dass Cyberkriminalität nur Weltunternehmen oder IT-Konzerne betreffe, ist ein veralteter Mythos, der in unserer digitalisierten Welt nicht mehr haltbar ist.(Bild: Eightshot Studio - stock.adobe.com)
Auch KMU sind in Gefahr gehacked zu werden! Dass Cyberkriminalität nur Weltunternehmen oder IT-Konzerne betreffe, ist ein veralteter Mythos, der in unserer digitalisierten Welt nicht mehr haltbar ist.
(Bild: Eightshot Studio - stock.adobe.com)

Mit der Digitalisierung haben sich nicht nur unsere privaten Gewohnheiten nachhaltig verändert, sondern längst auch die Modalitäten unserer Arbeitswelt. Dank digitaler Dienste sind Daten in kürzester Zeit verfügbar - immer und überall. Der technologische Wandel diktiert Effizienz, vergrößert aber gleichzeitig die Gefahr von Cyber-Angriffen. Während smarte Softwarelösungen also zum Erfolgsgarant für Unternehmen jeder Größe avancieren und Wettbewerbsvorteile versprechen, dürfen Investitionen in die IT-Sicherheit nicht vernachlässigt werden. Das verheißungsvolle Versprechen der Prozessoptimierung setzt Nutzer und Unternehmen nämlich potentiellen Risiken aus. Es besteht Aufklärungsbedarf.

Dem Branchenverband Bitkom (2024) zufolge erreichte der Anteil aller von Cyberkriminalität betroffenen Unternehmen in 2024 81 Prozent und nahm im Vergleich zum Vorjahr um 9 Prozentpunkte zu. Erfolgreiche Cyberangriffe können erhebliche finanzielle Verluste, rechtliche Folgen und langfristige Schäden für den Ruf des betroffenen Unternehmens verursachen. Hier sind besonders Start-ups und kleine Unternehmen gefährdet, da sie im Vergleich zu Großunternehmen deutlich weniger in Präventionsmaßnahmen investieren (können).

Maßnahmen zur Eindämmung von Cyberkriminalität müssen allerdings nicht komplex und kostenintensiv sein. Mit folgenden Tipps können sich auch kleinere Unternehmen gegen Cyber-Angriffe wappnen:

Kritische Bereiche identifizieren

Die klassischen Einfallstore können variieren. In Abhängigkeit von Industrie und Geschäftsmodell ist es ratsam, die Bedrohungen unternehmensspezifisch zu klassifizieren. Potentielle Angriffspunkte müssen erkannt und in interne Prioritäten übersetzt werden, um im Sinne der Cybersicherheit wirksame Maßnahmen ableiten zu können.

  • Firmengeräte: Einfallstore ergeben sich häufig aus Privatgeräten, da diese nicht ausreichend gegen Cyberkriminalität gewappnet sind. Die Nutzung von Firmengeräten kann dabei helfen, internen Sicherheitsstandards gerecht zu werden.
  • Festplattenverschlüsselung und Softwareupdates: Festplatten sollten grundsätzlich verschlüsselt sein. Schwachstellen in Software und Betriebssystemen bergen ebenfalls Gefahrenpotenzial, das es durch regelmäßige Aktualisierungen und Softwaretests einzudämmen gilt. Die Aktualität der Software ist essentiell, um Sicherheitslücken zu schließen und die neuesten Schutzfunktionen zu implementieren.
  • WPA3-Verschlüsselung: Netzwerkkonfigurationen sollten auf ihre Sicherheit geprüft werden; unzureichend geschützte WLAN-Netzwerke oder offene Netzwerkports sind klassische Einfallstore. WPA3 ist die aktuell sicherste Form der WLAN-Verschlüsselung.
  • Private Netzwerke: Auch die Nutzung von einem Virtual Privat Network (VPN) kann eine sinnvolle Alternative zum klassischen Netzwerk sein. Das VPN stellt eine verschlüsselte Verbindung zwischen Gerät und Internet her. Es garantiert einen zusätzlichen Schutz vor unbefugtem Zugriff, indem sensible Daten und Verläufe nicht gespeichert werden. Mitarbeiter können das VPN auch im Homeoffice nutzen.

Social Engineering – Sensibilisierung des Personals

Beim sogenannten Social-Engineering werden Merkmale auf Seiten des Opfers wie Hilfsbereitschaft, Vertrauen und Respekt vor Autorität geschickt für manipulative Zwecke genutzt. Dabei spielen Cyberkriminelle gezielt mit der Gewissenhaftigkeit ihrer Opfer, indem sie ihnen den Eindruck vermitteln, das vermeintlich Richtige zu tun. Beim Phishing täuschen Täter häufig die Sicherheit des Systems vor, obwohl sich die konsekutive Handlung auf Seiten des Opfers genau gegen diese kehren würde. Kurzum: Mitarbeitende sind aufgrund immer ausgefeilterer Social Engineering Attacken ein potenzielles Risiko.

Es ist daher grundlegend, das Personal für kriminelle Vorgehensweisen und Risikofaktoren zu sensibilisieren, damit jeder Verdacht schnellstmöglich gemeldet wird und mögliche Folgen eingedämmt werden können. Der Aufbau einer sicheren Unternehmenskultur bedeutet, dass alle Mitarbeiter wissen, wie wichtig Cyber-Security ist – und wie sie beispielsweise Phising-Versuche erkennen können.

Ein Angebot zu Cybersicherheitsschulungen sollte genauso implementiert werden wie eine klare Führungslinie für die Nutzung von Firmengeräten und -netzwerken.

Erkennen von Phishing-E-Mails: Bei unpersönlicher Anrede oder fehlender Kontaktinformationen sollte man hellhörig werden. Phishing-E-Mails werden in der Regel von falschen oder manipulierten E-Mail-Adressen gesendet. Daher gilt es im Verdachtsfall zu überprüfen, ob der Absender vertrauenswürdig ist. Alarmierende Betreffzeilen und dringliche Handlungsaufforderungen sind ein weiterer Hinweis auf einen unseriösen Absender. Bei ungewöhnlichen Formulierungen oder auffälligen Rechtschreib- und Grammatikfehlern ist ebenfalls Vorsicht geboten.

Ungewöhnliche Links und Anhänge sollten nicht geöffnet werden, da sich beim Öffnen Schadsoftware installieren kann. Mit Antivirus oder Anti-Phishing-Software können suspekte E-Mails automatisch erkannt und direkt blockiert werden. Eine Zwei-Faktor-Authentifizierung (ZFA) kann Schutz vor unbefugtem Zugriff bieten.

Verwendung sicherer Passwörter: Neben sicheren Passwörtern mit ausreichend Variation ist es zu empfehlen, einen Passwort-Manager wie 1Password oder Bitwarden zu nutzen, der komplexe Passwörter sicher hinterlegt. Von einer Speicherung der Passwörter im Browser ist abzuraten. Biometrische Verfahren können zusätzlichen Schutz bieten.

Vermeidung von verdächtigen Links oder Downloads: Über Phishing-E-Mails hinaus können verdächtige Links überall hinterlegt sein. Vorsicht ist geboten bei Links, die verkürzt sind, ungewöhnlich enden, eine IP-Adresse statt einer Domain angeben, grammatische oder stilistische Fehler enthalten, nicht HTTPS-verschlüsselt oder auffallend lang und komplex sind.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Sicherer Umgang mit sensiblen Daten: Es ist ratsam, Daten zu verschlüsseln und die Zugriffsrechte so weit wie möglich einzuschränken. Bei sensiblen Daten kann eine Mehr-Faktor-Authentifizierung (MFA) gewährleisten, dass nur autorisierte Benutzer auf die Daten zugreifen können. Regelmäßige Backups an einem sicheren, vom Netzwerk getrennten Ort sind ebenfalls rats. Zusätzlich ist es empfehlenswert, nicht mehr benötigte Daten regelmäßig sicher zu löschen, um das Risiko von Datenlecks zu reduzieren. Im Fall gestohlener Geräte können Daten über Fernlöschfunktionen (Remote Wipes) eliminiert werden, noch bevor Unbefugte Zugriff erlangen. Bei größeren Teams mit mehr als 10 Geräten ist zu einer Investition in ein spezielles System zur Verwaltung mobiler Geräte (Mobile Device Management) geraten. Eine solche Software bietet zentrale Kontrolle über Sicherheitseinstellungen, Fernverwaltung und Überwachung aller registrierten Geräte.

Checklisten, Notfallplan und Audits: Natürlich können nicht alle KMU teure PEN-Tests mit Drittanbietern durchführen. Alternativ können diese auf weniger komplexe in-house Tests und von Verbänden und Regierung bereitgestellte Checklisten zurückgreifen (z.B. vom BSI oder DsiN, oder der Informations-Sicherheits-Analyse Fragenkatalog vom Bayerischen IT-Sicherheitscluster e.V.). Darüber hinaus ist es essentiell, einen Notfallplan zu entwickeln, der klare Handlungsaufforderungen ausspricht. Im Falle eines Cyberangriffs hilft dieser bei der Schadensbegrenzung und Wiederherstellung. Notfallkarten verschiedener Organisationen können einen ersten Handlungsleitfaden an die Hand geben (z.B. die IT-Notfallkarte vom BSI).

Um Sicherheitsstandards langfristig umzusetzen, ist es darüber hinaus grundlegend, Sicherheitsprüfungen durchzuführen. Das Ziel von sogenannten Audits ist es, Schwächen, Risiken oder Unregelmäßigkeiten zu identifizieren. Damit erlauben sie es, Standards auf ihre Praktikabilität zu überprüfen und appellieren an die Reevaluation vereinbarter Maßnahmen. Regelmäßige Überprüfungen sind ein wichtiges Instrument zur Risikominimierung und werden unter anderem von Cybereason, Cure53 und ProSec angeboten.

Last but not least, auch die Partner prüfen

Gerade KMU sind auf die Zusammenarbeit mit Third-Party-Provider angewiesen. Diese müssen schon im Auswahlprozess kritisch geprüft werden. Hier hilft u.a. das Anfordern von bestimmten Zertifikaten (z.B. SOC2, PCI, ISO). Gleichermaßen ist es dringend notwendig, landes- oder regionalspezifische Gesetze wie die DSGVO zu beachten und zu überprüfen, ob auch Third-Party-Provider der aktuellen Gesetzeslage entsprechen.

Dass Cyberkriminalität nur Weltunternehmen oder IT-Konzerne betreffe, ist ein veralteter Mythos, der in unserer digitalisierten Welt nicht mehr haltbar ist. IT-Sicherheit gehört längst zu den zentralen Aufgaben kleiner Unternehmen und bedarf einer kompetenten, aufgeklärten Führung. Zum Erfolg eines Unternehmens gehört auch der Schutz vor potentiellen Cyber-Bedrohungen. Denn das Vertrauen der Kunden zu wahren, ist eine Investition, die sich langfristig auszahlt. Antivirus-Software, Firewalls, Zwei- oder Multi-Faktor-Authentifizierung (MFA), ein sicheres E-Mail-Gateway (SEG) zur Abwehr von Phishing-Angriffen sowie ein Mobile Device Management sind vergleichsweise kostengünstige, aber äußerst wirkungsvolle Sicherheitsmaßnahmen - und sollten in kritischen Bereichen zwingend eingesetzt werden. Sofort-Maßnahmen ersetzen allerdings noch kein internes Sicherheitsnetz, das vom Team entwickelt und getragen wird - Stichwort Unternehmenskultur.

Über den Autor: John Mutuski ist Chief Information Security Officer beim CRM-Anbieter Pipedrive, der weltweit über 100.000 kleinere Unternehmen zu seinen Kunden zählt. Als Sales-Tool von dieser Größe hantiert Pipedrive täglich mit Millionen von sensiblen Daten, wie Kontakt- und Zahlungsdaten. John weiß deshalb ganz genau, welche Gefahren im Bereich der Cyber-Kriminalität lauern – und gibt konkrete Tipps, wie sich KMU wappnen können.

(ID:50270666)

Weiterführende Inhalte