IT-Sicherheit im Mittelstand: 10 Maßnahmen, die wirklich schützen

Die Frage, die uns im Erstgespräch am häufigsten gestellt wird, lautet nicht „Was gibt es alles?“, sondern „Womit fangen wir an?“. Denn Sicherheitsempfehlungen gibt es im Überfluss – Zeit und Budget im Mittelstand nicht. Dieser Beitrag ordnet die zehn Maßnahmen, die sich in der Praxis am deutlichsten auszahlen, nach genau diesem Kriterium: Wirkung im Verhältnis zum Aufwand.

Bewusst nicht enthalten sind Schreckenszahlen und Produktempfehlungen. Was zählt, ist die Frage, welche Lücke ein Angriff realistisch nutzen würde – und wie viel Arbeit es macht, genau diese zu schließen.

1. Updates automatisieren, nicht verschieben

Ein großer Teil erfolgreicher Angriffe nutzt Schwachstellen, für die längst ein Update existiert. Der Grund ist selten Nachlässigkeit, sondern fehlende Zuständigkeit: Niemand ist formal dafür verantwortlich, dass der Fileserver, die Firewall und die zwanzig Notebooks aktuell sind.

• Legen Sie ein festes Wartungsfenster fest – etwa den zweiten Mittwochabend im Monat.
• Rollen Sie Client-Updates automatisiert aus, statt auf die Mitarbeitenden zu vertrauen.
• Führen Sie eine Liste aller Geräte mit Netzwerkzugang, inklusive Firewall, Switches, NAS, Druckern und Zeiterfassung. Was nicht auf der Liste steht, wird auch nicht aktualisiert.
• Prüfen Sie beim Kauf, wie lange ein Gerät Sicherheitsupdates erhält. Hardware ohne Update-Zusage ist mittelfristig ein offenes Tor.

Wichtig ist die Trennung von Server und Client: Serverdienste brauchen ein geplantes Fenster mit vorherigem Snapshot, Arbeitsplätze vertragen in der Regel automatische Updates über Nacht. Wie wir das im laufenden Betrieb organisieren, steht unter Linux- & Windows-Server.

2. Mehr-Faktor-Authentifizierung überall, wo es sie gibt

Ein gestohlenes Passwort ist kein Ausnahmefall, sondern der Normalfall. Sobald ein zweiter Faktor nötig ist, verliert ein erbeutetes Passwort den größten Teil seines Werts. Die Maßnahme kostet fast nichts und ist in wenigen Stunden umgesetzt.

Priorität hat alles, was aus dem Internet erreichbar ist: E-Mail, VPN- und Fernzugriff, Cloud-Speicher, Administrationsoberflächen und die Fernwartung. Für Microsoft 365 haben wir die konkreten Schritte in einem eigenen Beitrag beschrieben: Microsoft 365 sicher einrichten.

3. Backups, die jemand schon einmal zurückgespielt hat

Backup ist die einzige Maßnahme, die auch dann noch hilft, wenn alle anderen versagt haben. Genau deshalb greifen Verschlüsselungsangriffe heute zuerst die Sicherungen an: erreichbare Netzlaufwerke, verbundene NAS-Systeme und Backup-Server mit denselben Anmeldedaten wie das Tagesgeschäft.

• Mindestens eine Kopie muss außerhalb der Reichweite des Produktivsystems liegen – offline, unveränderbar oder mit getrennten Zugangsdaten.
• Die Wiederherstellung muss getestet sein. Ein Backup, das nie zurückgespielt wurde, ist eine Vermutung, keine Sicherheit.
• Halten Sie fest, wie lange eine vollständige Wiederherstellung dauert. Diese Zahl entscheidet im Ernstfall über den Schaden.

Die Systematik dahinter erklären wir ausführlich in Die 3-2-1-Backup-Regel, den Praxisteil in Warum ein ungetestetes Backup kein Backup ist.

4. Berechtigungen aufräumen

In gewachsenen Umgebungen hat fast jede Benutzerin und jeder Benutzer Zugriff auf fast alles. Das ist bequem – und der Grund, warum ein einziger kompromittierter Arbeitsplatz reicht, um sämtliche Unternehmensdaten zu verschlüsseln.

• Administrative Rechte gehören auf ein separates Konto, nicht auf das Konto, mit dem E-Mails gelesen werden.
• Ordnerberechtigungen an Abteilungen und Rollen knüpfen, nicht an einzelne Personen.
• Beim Ausscheiden von Mitarbeitenden Konten deaktivieren – ein fester Bestandteil des Offboardings, nicht eine Aufgabe „bei Gelegenheit“.
• Einmal jährlich prüfen, wer worauf noch zugreifen kann. Erfahrungsgemäß sind das mehr Personen als erwartet.

5. Das Netzwerk in Zonen aufteilen

Ein flaches Netz, in dem Kasse, Produktionsmaschine, Gäste-WLAN und Buchhaltung nebeneinander liegen, macht jede Störung sofort zum Gesamtproblem. Eine Aufteilung in wenige klare Zonen – Server, Arbeitsplätze, Produktion, Gäste, Gebäudetechnik – begrenzt den Schaden erheblich.

Der Aufwand ist überschaubar, wenn er bei einem ohnehin anstehenden Umbau miterledigt wird. Nachträglich in ein laufendes Netz eingezogen, ist es ein Projekt. Details zur Umsetzung finden Sie unter Netzwerk & Security.

6. Die Firewall als gepflegtes System behandeln

Eine Firewall ist kein Gerät, das man einmal aufstellt. Regeln werden für Projekte geöffnet und danach nie geschlossen, Firmware-Updates bleiben liegen, Fernzugriffe von früheren Dienstleistern bestehen weiter. Zwei Stunden Regelwerksprüfung im Jahr decken regelmäßig Zugänge auf, an die sich niemand mehr erinnert.

Was eine Firewall leisten kann – und was nicht – erklären wir in Was ist eine Firewall?.

7. Mitarbeitende zum Nachfragen ermutigen

Der wirksamste Schutz gegen Phishing ist keine Software, sondern eine Kultur, in der Nachfragen keine Umstände macht. Wer befürchten muss, sich zu blamieren, klickt im Zweifel lieber und schweigt danach – und genau dieses Schweigen kostet im Ernstfall die entscheidenden Stunden.

Praktisch heißt das: eine bekannte Anlaufstelle für „Ist diese Mail echt?“, eine kurze Auffrischung ein- bis zweimal im Jahr statt einer jährlichen Pflichtschulung, und die klare Ansage, dass eine Meldung nie Ärger nach sich zieht. Woran sich gefälschte Nachrichten erkennen lassen, steht in Phishing-Mails erkennen.

8. Fernzugriff kontrolliert gestalten

Homeoffice und Außendienst sind gesetzt, offen erreichbare Fernwartungszugänge sind es nicht. Ein direkt aus dem Internet erreichbarer Remote-Desktop-Dienst gehört zu den zuverlässigsten Einstiegspunkten für Angriffe überhaupt.

• Zugriff ausschließlich über VPN oder ein ZTNA-Konzept, immer mit zweitem Faktor.
• Keine Sammelkonten – jede Person mit eigenem Zugang, damit Protokolle aussagekräftig sind.
• Zugänge externer Dienstleister zeitlich begrenzen statt dauerhaft offen lassen.

9. Störungen bemerken, bevor sie gemeldet werden

Ein volles Backup-Laufwerk, eine seit Wochen fehlgeschlagene Sicherung oder ein Serverdienst, der stillschweigend nicht mehr startet: Solche Zustände fallen ohne Überwachung erst dann auf, wenn es zu spät ist. Monitoring ist keine Kür, sondern die Voraussetzung dafür, dass die Maßnahmen eins bis acht dauerhaft wirken.

Welche Werte sinnvoll überwacht werden – und wie man Alarmmüdigkeit vermeidet – beschreibt IT-Monitoring: Ausfälle sehen, bevor das Telefon klingelt.

10. Den Ernstfall einmal durchspielen

Die letzte Maßnahme kostet keinen Cent und wird trotzdem am häufigsten ausgelassen: eine Seite Papier, auf der steht, wer im Ernstfall was tut.

• Wer entscheidet, ob Systeme vom Netz genommen werden?
• Welche Telefonnummern gelten, wenn die Telefonanlage über die IT läuft und ausgefallen ist?
• Wo liegen Zugangsdaten, wenn der Passwortmanager im verschlüsselten System liegt?
• Wer informiert Kundschaft, Versicherung und – bei personenbezogenen Daten – die Aufsichtsbehörde?

Diese Fragen einmal in Ruhe zu beantworten, dauert zwei Stunden. Sie im laufenden Vorfall zu beantworten, dauert Tage.

Eine sinnvolle Reihenfolge

Wer bei null anfängt, arbeitet die Liste am besten in drei Etappen ab. Die erste Etappe senkt das Risiko am stärksten und lässt sich meist innerhalb weniger Tage abschließen.

Als Orientierung für den weiteren Ausbau eignen sich die Veröffentlichungen des Bundesamts für Sicherheit in der Informationstechnik. Für Unternehmen, die personenbezogene Daten verarbeiten, ist die Umsetzung angemessener technischer und organisatorischer Maßnahmen ohnehin durch Artikel 32 DSGVO vorgegeben.

Fazit

IT-Sicherheit im Mittelstand scheitert selten am fehlenden Wissen und fast nie am Budget. Sie scheitert daran, dass niemand die Zuständigkeit hat, die bekannten Punkte der Reihe nach abzuarbeiten. Wer die ersten drei Maßnahmen dieser Liste konsequent umsetzt, hat mehr erreicht als mit jeder zusätzlichen Software.

Wenn Sie nicht sicher sind, wo Ihre Umgebung steht: Genau das klären wir im Rahmen unserer IT-Betreuung – herstellerneutral und mit einer Einschätzung, die auch ein „das reicht so“ enthalten darf.