Eine eigene IT-Abteilung hat kaum ein Handwerksbetrieb, keine Praxis und kein Restaurant. Trotzdem hängt der Alltag an Rechnern, Mails und dem Handy. Wenn etwas ausfällt, steht der Betrieb. Zum Glück braucht es keine Spezialkenntnisse, um die größten Risiken zu senken. Die Empfehlungen decken sich weitgehend mit dem, was das Bundesamt für Sicherheit in der Informationstechnik (BSI) Betrieben rät.
Die acht Maßnahmen
- Backup mit Wiederherstellungstest. Mindestens drei Kopien auf zwei verschiedenen Medien, eine davon außer Haus oder in der Cloud. Das nennt sich 3-2-1-Regel. Entscheidend ist der Test: Spielt einmal im Quartal eine Datei zurück. Ein Backup, das nie geprüft wurde, ist eine Hoffnung.
- Updates automatisch. Windows, macOS, Router, Handys und Programme aktualisieren sich selbst, wenn man es einschaltet. Besonders wichtig sind Geräte, die aus dem Internet erreichbar sind, wie Router und Webserver. Wie gefährlich ein verspätetes Update sein kann, zeigt die PHP-Lücke vom Oktober.
- Zwei-Faktor-Anmeldung. Für E-Mail, Microsoft 365 oder Google, Online-Banking und alles mit Kundendaten. Wer das Passwort kennt, kommt trotzdem nicht rein, wenn der zweite Faktor fehlt.
- Passwortmanager. Ein eigenes, langes Passwort pro Dienst, das niemand sich merken muss. Das Team bekommt Zugänge geteilt, statt Zettel und Excel-Listen zu pflegen.
- Admin-Rechte trennen. Für den Alltag ein normales Konto ohne Administratorrechte. Schadprogramme bekommen damit weniger Spielraum.
- Phishing erkennen. Falsche Rechnungen, Paketmails, angebliche Chef-Anweisungen für eine dringende Überweisung. Regel für Zahlungen: Wenn sich Kontonummer oder Empfänger ändern, ruft ihr unter der bekannten Nummer zurück, nicht unter der in der Mail.
- Geräte schützen. Rechner und Handys mit PIN oder Passwort sperren, Festplatten verschlüsseln (BitLocker bei Windows, FileVault bei macOS) und Fernlöschung aktivieren. Ein verlorenes Handy auf der Baustelle ist sonst ein Datenleck.
- Notfallplan auf einem Zettel. Wen rufen wir an? Wo liegen die Backups? Wer darf was entscheiden? Ein Zettel am Kühlschrank hilft mehr als ein Konzept in der Schublade.
Zugänge von außen
Viele Betriebe haben Rechner oder Geräte, auf die jemand von außen zugreifen kann: Fernwartung durch den Dienstleister, ein Zugang für das Homeoffice, eine Maschine mit Fernsteuerung. Diese Zugänge sollten nicht offen im Internet hängen, sondern hinter einem VPN oder einer geschützten Anmeldung. Wer nicht weiß, ob es solche Zugänge gibt, sollte danach fragen.
Wenn doch etwas passiert
Dann gelten vier Dinge, bevor irgendetwas anderes passiert:
- Betroffene Geräte vom Netz trennen (Netzwerkkabel ziehen, WLAN aus), aber nicht ausschalten, wenn ihr es vermeiden könnt.
- Nichts löschen und keine „Aufräumprogramme“ laufen lassen. Spuren helfen bei der Aufklärung.
- Hilfe holen: eure IT-Betreuung, ein Dienstleister oder die Polizei, die Anzeigen zu Cyberangriffen aufnimmt.
- Bei personenbezogenen Daten kann eine Meldung an die Datenschutzaufsicht nötig sein, in der Regel innerhalb von 72 Stunden. Auch das klärt ihr mit Hilfe.
Lösegeld zahlen? Davon raten Behörden ab. Es gibt keine Garantie, dass die Daten zurückkommen, und es finanziert die nächsten Angriffe. Ein funktionierendes Backup ist die bessere Antwort.
Womit anfangen?
Wer alles auf einmal angeht, hört nach zwei Wochen auf. Besser in dieser Reihenfolge: zuerst das Backup und den Test, dann die Zwei-Faktor-Anmeldung für E-Mail und Konten, dann die Updates. Das dauert zusammen einen Nachmittag und deckt die Risiken ab, die in kleinen Betrieben am häufigsten schiefgehen.
