KMU und trotzdem sicher Sicher vor Cyberbedrohungen, trotz mangelnder Ressourcen

Anbieter zum Thema

Utimaco Safeware AG

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Kleine und mittelständische Unternehmen (KMU) sind besonders attraktive Ziele für Cyberkriminelle. Das liegt vor allem daran, dass es ihnen oftmals an personeller Security-Expertise und finanziellen Mitteln fehlt, um eine ausgereifte, solide Cybersicherheit aufzubauen.

Allein im Jahr 2022 waren Studien zufolge etwa 55 Prozent der deutschen Mittelstands­unternehmen von Cyberkriminalität betroffen. EU-weite Regularien wie die NIS-2-Richtlinie (Netzwerk- und Informationssicherheit) und die DORA-Verordnung (Digital Operational Resilience Act) machen zusätzlich deutlich, wie heikel die Situation mittlerweile ist und wie dringend Unternehmen entsprechende Sicherheitsmaßnahmen ergreifen müssen.

Gemäß diesen Regularien können Manager bestimmter Branchen für Sicherheitsverstöße haftbar gemacht werden. Besonders für kleine und mittelständische Unternehmen (KMU), die oftmals weder über genügen IT-Ressourcen noch über eine spezialisierte IT-Abteilung verfügen, wird die IT-Sicherheit damit zu einer enormen Herausforderung.

Mimecast Global Threat Intelligence Report 1. HJ 2024

KMU weiter im Fokus von Cyberkriminellen

Sicherheit über die Cloud

Aus Sicherheitsgründen haben sich viele Unternehmen lange Zeit gegen die Einführung von Cloud-Diensten entschieden. Für sie war damals das Risiko zu groß, die Kontrolle über ihre Daten zu verlieren oder zum Opfer eines Cyberangriffs auf die Cloud zu werden. Mittlerweile hat sich die Cloud jedoch durchgesetzt. Auch für KMU ist sie eine gute Alternative zum Rechenzentrum oder Eigenbetrieb, was normalerweise massig Ressourcen benötigen würde, über die sie nicht verfügen.

Denn die Cloud bietet ihnen einen sicheren und flexiblen Weg, ihre IT-Infrastruktur zu modernisieren. Allerdings dürfen sie dabei weder Datensicherheit noch Datenschutz aus den Augen verlieren. So ist es EU-Unternehmen zum Beispiel gemäß Schrems II Urteil nicht erlaubt, die Daten ihrer europäischen Kunden in die USA sowie andere Drittländer mit geringeren Sicherheitsstandards zu transferieren. Daher sollten KMU unbedingt sicherstellen, dass ihre Daten ausschließlich innerhalb der Union gespeichert werden. Idealerweise wird dies vertraglich vereinbart.

Kryptografie für zusätzlichen Schutz

Kryptografie ist ein wichtiger Baustein moderner IT-Sicherheitsstrategien; viele Cloud-Anbieter setzen inzwischen eigene Verschlüsselungsmethoden ein. Darüber hinaus können sich Unternehmen zusätzlich absichern, indem sie ihre Daten vor dem Upload in die Cloud selbst mit Technologien verschlüsseln, die unabhängig von den jeweiligen Cloud-Diensten eingesetzt werden können und unter ihrer alleinigen Kontrolle stehen. Allerdings erweisen sich komplexe kryptografische Technologien für KMU wegen der fehlenden Expertise oftmals als Herausforderung. Deshalb schrecken viele von ihnen vor ihrer Implementierung zurück. Mittlerweile bieten zahlreiche Anbieter nutzerfreundliche Kryptografie-Lösungen, die sich mühelos in die bestehende Infrastruktur einbinden lassen, auch als Service an. Eine Datei- und Ordnerverschlüsselung zum Beispiel funktioniert unabhängig vom Speicherort und lässt sich komplett von Anbieterseite aus managen.

Unternehmen, die über kein eigenes Hardware-Sicherheitsmodul (HSM) verfügen, aber nicht auf ihren kryptografischen Dienst verzichten wollen, können es sich über HSM-as-a-Service bereitstellen lassen. Zwar betreibt der jeweilige Anbieter das HSM in einer hochsicheren Umgebung, die Kontrolle verbleibt jedoch beim Unternehmen selbst. KMU haben damit Zugriff auf ein HSM, ohne die Hardware vor Ort installieren und mit eigenen Ressourcen verwalten zu müssen.

Optimierter Security-Check mit Fördermöglichkeiten

CyberRisikoCheck des BSI: IT-Sicherheit für KMU verbessern

Ohne Identitätsmanagement geht’s nicht

Zu einer robusten IT-Sicherheitsstrategie gehört es dazu, sämtliche Geräte im Unternehmensnetzwerk zu verwalten und zu überwachen. Beim klassischen Identity and Access Management (IAM) spielen Accounts und rollenbasierte Zugangsprivilegien die Hauptrolle. Kommt IoT ins Spiel, ergeben sich allerdings zusätzliche sicherheitsrelevante Herausforderungen.

Sämtliche Geräte sollten daher entsprechend abgesichert werden, bevor sie auf das Unternehmensnetzwerk zugreifen können. In diesem Fall bieten sich ebenfalls kryptografische Technologien an. Diese ordnen jedem IoT-Gerät einen eindeutigen, fälschungssicheren Schlüssel zu, über den es dem Netzwerk seine Identität bestätigt. KMU müssen auch hier zwangsläufig keine eigenen Ressourcen aufwenden und können stattdessen einen externen Service in Anspruch nehmen. Eine alternative Möglichkeit, um die Identität von IoT-Geräten sicher festzustellen, stellen Public-Key-Infrastrukturen (PKI) zur Verwaltung von Zertifikaten dar. Über Zertifikate lässt sich gewährleisten, dass nur autorisierte Geräte Zugang zum Netzwerk haben.

Vor Phishing und Social Engineering schützen

Neben diesen Sicherheitsmaßnahmen sollten KMU auch Angriffen auf die Schwachstelle „Mensch“ vorbeugen. Social Engineering und Phishing sind besonders beliebte Angriffsmethoden unter Akteuren, die aufgrund ihrer Fortschrittlichkeit immer schwerer zu erkennen sind. Auf der einen Seite helfen regelmäßige Schulungen KMU dabei, ihre Mitarbeitenden für die Gefahren zu sensibilisieren. Auf der anderen Seite sind auch technische Lösungen notwendig, um dieses Schlupfloch zu schließen. So steigert der Einsatz von Multi-Faktor-Authentifizierung (MFA) die Sicherheit – und zwar auch, wenn Angreifer durch Phishing an Zugangsdaten gelangen. Denn diese erweisen sich als wertlos, wenn Akteuren der zusätzliche Authentifizierungsfaktor wie das Smartphone fehlt.

Versehen KMU ihre Dokumente und E-Mails mit einer elektronischen Signatur, können sie sich zudem vor gefälschten digitalen Inhalten schützen. Diese garantiert, dass die Dokumente vom angegebenen Absender stammen, authentisch sind und nicht mehr verändert werden können. Sehr zum Glück von KMU lässt sich diese Technologie relativ einfach in bestehende Prozesse einfügen, ohne die Komplexität der IT-Infrastruktur zu erhöhen.

Konzern versus KMU

Welche Leadership-Kompetenzen braucht es für mehr Cybersicherheit?

Fazit

Auch für KMU gilt: Es ist keine Frage mehr, ob es zu Cyberangriffen kommt, sondern wann. Auf diese Eventualität müssen sie sich vorbereiten und sind dazu angehalten, ihre Sicherheitsstrategie mithilfe innovativer Ansätze zu stärken. Die Cloud, kryptografische Methoden, ein effektives Identitätsmanagement sowie Schulungen und Multi-Faktor-Authentifizierung sind wichtige Elemente, mit denen sie ihre Daten, Systeme und Netzwerke vor Cyberbedrohungen nachhaltig schützen können.

Unternehmen, die weder über die technische Expertise noch das Verständnis für die Gefahren verfügen, können sich an spezialisierte, erfahrene Anbieter wenden. Als vertrauenswürdige Partner ergänzen sie die fehlende Wissensgrundlage, kümmern sich um Implementierung und Betrieb und verhelfen so selbst KMU mit begrenzten Ressourcen zu einem hohen Sicherheitsniveau.

Über den Autor: Nils Gerhardt ist CTO von Utimaco.

(ID:50212309)