Datensicherheit im Betrieb: Was gegen die häufigsten Angriffe hilft

Montagmorgen, kurz nach acht. Die Buchhaltung meldet, dass sich keine Datei mehr öffnen lässt. Auf den Bildschirmen steht eine Lösegeldforderung. So beginnt für viele Unternehmen ein Angriff mit Erpressungssoftware, im Fachjargon Ransomware genannt. Er trifft Konzerne ebenso wie Handwerksbetriebe, Arztpraxen und Kommunen.

Datensicherheit wirkt oft wie ein Thema für Spezialisten. Tatsächlich entscheiden aber wenige, gut umgesetzte Grundlagen darüber, ob ein Angriff gelingt und wie schwer er wiegt. Viele Vorfälle beginnen nicht mit raffinierter Technik. Am Anfang steht ein gestohlenes Passwort, eine gefälschte Mail oder eine seit Monaten bekannte Lücke.

Dieser Beitrag stellt die Maßnahmen vor, die mit überschaubarem Aufwand den größten Schutz bringen. Er richtet sich an Geschäftsführer und Verantwortliche in kleinen und mittleren Unternehmen.

Wie Angreifer typischerweise hineinkommen

Die Einfallstore wiederholen sich. Häufig sind Phishing-Mails, die zur Eingabe von Zugangsdaten verleiten oder Schadsoftware einschleusen. Ebenso verbreitet sind gestohlene oder erratene Passwörter, etwa für Fernzugänge. Dazu kommen Sicherheitslücken in Software, für die längst ein Update existiert.

Ein weiteres Muster ist Betrug ganz ohne Schadsoftware. Angreifer geben sich per Mail als Geschäftsführer oder Lieferant aus. Sie bitten um eine dringende Überweisung oder melden eine angeblich neue Bankverbindung. Technisch ist daran nichts raffiniert. Es braucht nur eine glaubwürdige Mail und einen Moment der Unachtsamkeit.

Ist ein Angreifer im Netz, sieht er sich oft in Ruhe um. Er sucht Konten mit weitreichenden Rechten und vor allem die Datensicherungen. Erst danach verschlüsselt er Daten oder kopiert sie, um mit ihrer Veröffentlichung zu drohen. Diese Abfolge zeigt, wo Schutz ansetzen muss: am Eingang, bei den Rechten und bei den Backups.

Zugänge absichern: Passwörter allein reichen nicht

Die wirksamste Einzelmaßnahme ist oft die mehrstufige Anmeldung, auch Zwei-Faktor-Authentifizierung genannt. Neben dem Passwort braucht es dann einen zweiten Nachweis, etwa einen Code aus einer App oder einen Sicherheitsschlüssel. Ein gestohlenes Passwort allein öffnet so keine Tür mehr.

Beginnen Sie mit den kritischen Zugängen: E-Mail, Fernzugriff, Buchhaltung, Cloud-Dienste und Administratorkonten. Ergänzend hilft ein Passwortmanager. Er erzeugt lange, einzigartige Passwörter und verhindert, dass dasselbe Kennwort an zehn Stellen genutzt wird.

Achten Sie auch auf Konten, die niemand mehr braucht. Zugänge ehemaliger Mitarbeiter, alte Testkonten oder Konten früherer Dienstleister sind beliebte Hintertüren. Ein fester Ablauf beim Austritt, der alle Zugänge sperrt, schließt diese Lücke.

Updates, Rechte und Übersicht

Hersteller schließen bekannte Lücken mit Updates. Angreifer werten diese Updates aber ebenfalls aus und suchen gezielt nach Systemen, auf denen sie noch fehlen. Legen Sie deshalb fest, wer Updates verantwortet und wie schnell kritische Korrekturen eingespielt werden. Wo möglich, sollten Updates automatisch laufen.

Besondere Vorsicht verdienen Geräte, an die selten jemand denkt. Dazu gehören Router, Drucker, Kameras und alte Server im Keller. Auch sie brauchen Updates. Liefert der Hersteller keine mehr, sollten Sie das Gerät ersetzen.

Ebenso wichtig ist der sparsame Umgang mit Rechten. Ein Mitarbeiter im Vertrieb braucht keinen Zugriff auf die Personalakten. Administratorrechte gehören nicht in das Konto, mit dem jemand täglich Mails liest. Fachleute sprechen vom Prinzip der minimalen Rechte. Es begrenzt den Schaden, wenn ein Konto doch einmal übernommen wird.

Voraussetzung für beides ist Übersicht. Viele Unternehmen wissen nicht genau, welche Geräte, Programme und Konten sie betreiben. Eine einfache, gepflegte Liste ist der erste Schritt zu jeder weiteren Maßnahme.

Backups, die im Ernstfall wirklich helfen

Eine Datensicherung schützt nur, wenn Angreifer sie nicht mitverschlüsseln können. Liegt das Backup auf einem Laufwerk, das ständig mit dem Netz verbunden ist, ist es im Ernstfall oft verloren. Bewährt hat sich die sogenannte 3-2-1-Regel.

• Drei Kopien der wichtigen Daten, also das Original und zwei Sicherungen.
• Zwei verschiedene Speichermedien oder Speicherorte.
• Eine Kopie getrennt vom Firmennetz, offline oder unveränderbar gespeichert.
• Dazu regelmäßige Tests, ob sich die Daten tatsächlich wiederherstellen lassen.

Für viele kleine Betriebe ist eine Sicherung in der Cloud mit Versionierung ein praktischer Weg zur getrennten Kopie. Ältere Stände bleiben dabei erhalten, auch wenn aktuelle Dateien verschlüsselt wurden. Prüfen Sie, wie lange der Dienst alte Versionen aufbewahrt. Klären Sie auch, ob ein Angreifer mit gestohlenen Zugangsdaten sie löschen könnte.

Der letzte Punkt wird am häufigsten vergessen. Üben Sie die Wiederherstellung zumindest für die wichtigsten Systeme. Messen Sie dabei, wie lange sie dauert. Vergleichen Sie das mit der Zeit, die Ihr Betrieb ohne diese Systeme auskommt.

Ein Backup, das nie zurückgespielt wurde, ist eine Hoffnung und kein Plan.

Menschen als Teil der Abwehr

Oft heißt es, der Mensch sei die größte Schwachstelle. Das greift zu kurz. Mitarbeiter sind auch die ersten, die eine seltsame Mail oder ein ungewöhnliches Verhalten des Rechners bemerken. Entscheidend ist, dass sie das sofort melden und dafür keinen Ärger fürchten müssen.

Kurze, regelmäßige Schulungen wirken besser als eine jährliche Pflichtveranstaltung. Sinnvoll sind konkrete Beispiele aus dem eigenen Alltag: die gefälschte Rechnung, der angebliche Anruf des Chefs, die dringende Bitte um eine Überweisung. Ein einfacher Grundsatz hilft dabei. Geänderte Bankverbindungen und ungewöhnliche Anweisungen werden immer über einen zweiten, bekannten Kanal bestätigt.

Auch die Geschäftsleitung gehört dazu. Wenn die Chefin selbst die Regeln umgeht, etwa weil die zweite Anmeldung lästig ist, nimmt sie im Team bald niemand mehr ernst.

Der Notfallplan: vorbereitet statt überrascht

Kein Schutz ist lückenlos. Deshalb gehört zu jeder Sicherheitsstrategie ein Plan für den Ernstfall. Er beantwortet einfache Fragen. Wer entscheidet, ob Systeme vom Netz gehen? Wen rufen Sie an, intern und extern? Wo liegen die Telefonnummern, wenn das Mailsystem ausgefallen ist? Und wer informiert Kunden und Behörden?

Bei Vorfällen mit personenbezogenen Daten greift die Meldepflicht der DSGVO. Die zuständige Aufsichtsbehörde muss unverzüglich informiert werden, möglichst innerhalb von 72 Stunden. Wer diese Abläufe vorher geklärt hat, verliert im Ernstfall keine Zeit mit Grundsatzfragen.

Spielen Sie den Plan regelmäßig in einer kurzen Besprechung durch. Nehmen Sie dafür einen konkreten Fall, etwa den verschlüsselten Server am Montagmorgen. Solche Übungen zeigen schnell, wo Telefonnummern fehlen oder Zuständigkeiten unklar sind.

Ein solcher Plan muss nicht dick sein. Wenige Seiten, ausgedruckt und an mehreren Orten aufbewahrt, reichen oft. Wer Datensicherheit später systematisch ausbauen will, findet in Normen wie ISO 27001 oder im IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik einen Rahmen. Der erste Schritt bleibt aber derselbe: die Grundlagen konsequent umsetzen.