Strategien für IT-Sicherheit entwickeln Security Assessment für kleine Unternehmen

Anbieter zum Thema

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

TXOne Networks

Fellowmind Germany GmbH

Im privaten Alltag schützen wir ganz selbstverständlich unser Haus, sowie Hab und Gut gegen ungebetene Gäste. Nicht anders sollte dies bei Unternehmen sein. Auch sollten vielschichtige Maßnahmen alle erdenklichen Angriffspunkte abriegeln, um den Betrieb vor unerwünschten Eindringlingen zu schützen. Das Problem: In kleinen Firmen gibt es selten Security-Experten, für teure externe Spezialisten fehlen wiederum die finanziellen Mittel. Doch diese sind oft gar nicht nötig.

Eines ist klar: Homeoffice, Remote Work & Co. sind heute nicht mehr aus der Geschäftswelt wegzudenken. Verwunderlich ist dies nicht, haben diese Konzepte doch für viele von uns durchaus gewisse Vorteile gegenüber der Präsenzarbeit. Damit einher geht allerdings auch das erhöhte Risiko für Unternehmen, etwaigen Viren, Würmern, Trojanern oder gar Hackern anheimzufallen. Führt man sich vor Augen, dass ein Cyberangriff ein Unternehmen hierzulande im Durchschnitt mehr als 18.000 Euro kostet , wird eines schnell deutlich: Ein ausgeklügeltes und vielschichtiges Sicherheitskonzept ist heutzutage unabdingbar. Insbesondere gilt es, alle Angriffspunkte auf ihre Gefährdung hin abzuklopfen – seien dies das Netzwerk und die Cloud, die genutzten Geräte oder die einzelnen Applikationen.

Kleinere Unternehmen im Hintertreffen?

Gerade kleinere Firmen stellt dies allerdings vor enorme Herausforderungen: Zwar zählt die IT-Sicherheit rein formal häufig zu den Kernaufgaben der Geschäftsführung, doch handelt es sich bei den Vertretern der Führungsetage in den seltensten Fällen um IT-Experten. Für Nichtkundige ist es jedoch äußerst schwierig bis unmöglich zu wissen, ob das Unternehmen wirklich gut geschützt oder gar bereits einem Hackerangriff zum Opfer gefallen ist. Und selbst, wenn es eine IT-Abteilung gibt, heißt dies nicht unbedingt, dass die Entscheider ein vollständiges Bild der Lage erhalten. Zum einen betrachten die IT-ler das System meist rein aus der unternehmensinternen Brille, zum anderen wird wohl kein Mitarbeiter je behaupten, das von ihm installierte Sicherheitssystem sei nicht gut genug. Hier lohnt es sich, externe Cybersecurity-Spezialisten mit ins Boot zu holen, die einen neutralen Blick auf das System werfen und einen umfassenden Sicherheitscheck vornehmen.

Schwachstellenanalyse (Security Assessment)

Beim sogenannten Security Assessment – einer Art Schwachstellen­analyse – klopft der oder die qualifizierte Spezialist für IT-Sicherheit die Unternehmensressourcen auf etwaige Sicherheitslücken ab. Dazu nimmt er/sie Identitäten ebenso unter die Lupe wie Anwendungen, Geräte und Infrastrukturen. Die Ergebnisse der Analyse münden dann in einen umfassenden Sicherheitsbericht, der die aufgespürten Schwachstellen aufführt und Empfehlungen zu deren Beseitigung enthält. Diese Überprüfung nimmt im Idealfall lediglich zwei bis zweieinhalb Wochen in Anspruch, sodass das Unternehmen in relativ kurzer Zeit einen guten Überblick über seinen Sicherheitsstatus erhält. Die Beseitigung der Schwachstellen kann das Unternehmen dann in Eigenregie vornehmen oder den Experten beziehungsweise die Expertin damit beauftragen.

Denn sie wissen nicht, was sie bereits haben

Der Clou: Um aufgedeckte Sicherheitslücken zu beseitigen, brauchen Unternehmen in vielen Fällen nicht einmal Lizenzen für entsprechende Software. Denn meistens sind die erforderlichen Funktionen und Anwendungen bereits in ihren Systemen vorhanden – die Firmen wissen es schlichtweg nur nicht. Zumindest, wenn sie Microsoft 365 einsetzen, verfügen sie häufig bereits über ein umfassendes Repertoire an schützenden Tools. Denn dieses Softwarepaket vereint nicht nur alle Office-Programme. Auch umfasst es mit der Plattform "Enterprise Mobility + Security" (EMS) bereits vielfältige Sicherheitsleistungen, die es lediglich zu aktivieren gilt – etwa zur Abwehr von Cyberangriffen, zum Schutz von Kundendaten und Geräten sowie zur Nutzer- und Geräteverwaltung. So bietet das Paket beispielsweise mit MDM (Mobile Device Management) schon einen Service zur Verwaltung von unternehmenseigenen Mobilgeräten. Kommt eines von ihnen abhanden, lässt es sich mit diesem Service für die weitere Verwendung deaktivieren, darauf befindliche Daten werden gelöscht. Für fremde Personen wird es damit unbrauchbar. Auch der sogenannte bedingte Zugriff ist oftmals bereits in das auf Microsoft 365 basierende System integriert. Diese Funktionalität gestattet es, den Zugang zu einigen Unternehmensressourcen auf bestimmte Anwender, Geräte und sogar Länder zu beschränken.

Unabhängige auf IT-Sicherheit spezialisierte Microsoft-Experten können hier beraten: Bei einem Blick in die vorhandenen Systeme werden sie schnell entdecken, dass es bereits entsprechende Softwarelizenzen gibt und die Kunden darauf hinweisen. Diese wiederum sparen sich erhebliche Kosten: Statt ein neues Sicherheitssystem anzuschaffen, können sie auf das vorhandene (und bereits bezahlte) Microsoft 365 zurückgreifen.

Ausgelagerter Betrieb: Managed Services für die IT-Infrastruktur

Doch selbst mit einer solchen Analyse und entsprechend eingeleiteten Maßnahmen ist es noch nicht getan. Allein schon, weil Hacker äußerst kreativ sind, wenn es darum geht, neue Angriffsmöglichkeiten zu finden, gilt es, das System auf dem neuesten Stand der Technik zu halten. Ebenso heißt es, regelmäßig zu beobachten, ob es Auffälligkeiten gibt. Auch diese Aufgabe lässt sich an einen externen Dienstleister auslagern: Erfahrene Managed-Services-Provider können alle wichtigen Arbeiten rund um den Betrieb der IT-Infrastruktur übernehmen und somit das Unternehmen entlasten. Alternativ lässt sich dieser Service auch für nur einige wenige Anwendungen buchen – etwa, wenn nicht gleich der komplette Infrastrukturbetrieb von extern verwaltet werden soll.

Ein entsprechendes Service-Level-Agreement (SLA) erlaubt es, Antwortzeiten an die Anforderungen des Unternehmens anzupassen und monatliche Mindestzeitaufwände für die Instandhaltung, Schulungen der Mitarbeiter oder Beratungsleistungen festzulegen. Von einem solchen SLA profitieren im Endeffekt beide Seiten: Die Kunden erhalten ein tadellos funktionierendes System inklusive aller dazugehörigen Serviceleistungen zu einem erheblich günstigeren Preis als ohne eine solche Vereinbarung. Sollte es doch zu Systemstörungen kommen, ist Hilfe sofort zur Stelle. Mehr noch: Die Kunden verfügen über eine zentrale Anlaufstelle (single point of contact) und müssen nicht erst mühsam die Unmengen an verfügbaren Supportangeboten durchforsten. Dem Dienstleister wiederum gestattet ein SLA eine bessere Planbarkeit.

Fazit: Spezialisten sind gefragt

Der Siegeszug von Remote Work scheint nicht mehr zu stoppen: Laut einer Umfrage des Beratungsunternehmens Capgemini konnten 68 Prozent der deutschen Betriebe im dritten Quartal 2020 ihre Produktivität allein durch die Umstellung auf Homeoffice & Co. erhöhen. Lediglich 22 Prozent der befragten Unternehmen gaben an, dadurch Produktivitätseinbußen erlitten zu haben. Gleichzeitig birgt dieser kulturelle Wandel auch mehr Gefahren hinsichtlich der IT-Sicherheit und erfordert die Entwicklung einer entsprechenden Strategie. In Anbetracht der wachsenden Anzahl an Anwendungen und Angriffspunkten für Cyberkriminelle ist es nicht verwunderlich, dass kleinere Firmen hier bisweilen überfordert sind. Auf IT-Sicherheit spezialisierte Microsoft-Experten können Abhilfe schaffen: Nach einem umfassenden Security Assessment schließen sie Sicherheitslücken und schützen so das Unternehmen vor ungebetenen Eindringlingen. Auf Wunsch entlasten sie es sogar dauerhaft, indem sie den reibungslosen Betrieb der IT-Infrastruktur sicherstellen und alle Systeme auf dem neuesten Stand halten.

Über den Autor: Ilia Rud ist Team Lead – Azure Security & Infrastructure bei Fellowmind.

(ID:49515461)