Datensicherheit im Unternehmen: 10 Maßnahmen, die Sie sofort umsetzen sollten

Auch kleine Unternehmen sind Ziel von Cyberkriminellen

Viele Unternehmer glauben, ihr Betrieb sei zu klein, um ins Visier zu geraten. Tatsächlich setzen Angreifer meist automatisierte Tools ein, die massenhaft Ziele scannen und dort zuschlagen, wo die Abwehr am schwächsten ist. Fehlendes Sicherheitspersonal, einfache Passwörter und ungeprüfte Backups machen kleine Unternehmen zur leichten Beute.

Zu den häufigsten Angriffsformen zählen Erpressungstrojaner (Ransomware), die sämtliche Daten verschlüsseln und Lösegeld fordern, Phishing-E-Mails zum Diebstahl von Passwörtern sowie gefälschte E-Mails im Namen von Geschäftspartnern, die zur Überweisung auf ein anderes Konto auffordern. Neben dem direkten Schaden zieht ein Datenleck mit personenbezogenen Daten auch rechtliche Konsequenzen nach sich: Das Dekret 13/2023/ND-CP zum Schutz personenbezogener Daten und darauf aufbauend das Gesetz zum Schutz personenbezogener Daten (in Kraft ab dem 01.01.2026) verpflichten Organisationen, die personenbezogene Daten verarbeiten, angemessene Schutzmaßnahmen zu ergreifen und die zuständigen Behörden bei Verstößen zu benachrichtigen.

Maßnahmen 1–3: Konten und Zugriffsrechte schützen

Die meisten Sicherheitsvorfälle beginnen mit einem übernommenen Konto. Deshalb hat es oberste Priorität, die „Eingangstür“ abzusichern – zugleich ist dies der Maßnahmenbereich mit den geringsten Kosten.

Erstellen Sie zusätzlich eine Liste aller wichtigen Systeme samt den jeweiligen Administratoren, damit nie unklar ist, wer die Zugänge zu Domain, Hosting oder Facebook-Seite in der Hand hat.

• 1. Zwei-Faktor-Authentifizierung (2FA) aktivieren – für geschäftliche E-Mail-Konten, Buchhaltungssoftware, Online-Banking sowie Admin-Zugänge zu Website und sozialen Netzwerken. Bevorzugen Sie nach Möglichkeit Authenticator-Apps wie Google Authenticator, Microsoft Authenticator oder physische Sicherheitsschlüssel statt SMS-Codes.
• 2. Starke Passwörter und einen Passwortmanager nutzen. Für jedes System ein eigenes, ausreichend langes Passwort; speichern und teilen Sie Zugangsdaten sicher mit Tools wie Bitwarden oder 1Password, statt sie in Excel-Dateien oder Chatgruppen abzulegen.
• 3. Minimale Rechte vergeben. Mitarbeiter erhalten nur Zugriff auf die Daten, die sie für ihre Arbeit benötigen; Administratorkonten werden separat geführt und nicht für die tägliche Arbeit verwendet. Verlässt ein Mitarbeiter das Unternehmen, werden sämtliche Zugriffsrechte noch am selben Tag entzogen.

Maßnahmen 4–5: Regelmäßige Backups und Software-Updates

4. Regelmäßig sichern und die Wiederherstellung testen. Backups sind die letzte Rettung bei Ransomware-Angriffen oder Hardwareausfällen. Weit verbreitet ist die 3-2-1-Regel: mindestens drei Kopien der Daten auf zwei unterschiedlichen Speichermedien, davon eine an einem getrennten Ort wie der Cloud. Backups sollten vom internen Netzwerk getrennt oder gegen Änderung und Löschung geschützt sein, damit Schadsoftware sie nicht verschlüsseln kann. Testen Sie die Wiederherstellung regelmäßig, denn ein nie geprüftes Backup kann nicht als sicher gelten.

5. Software aktualisieren und Sicherheitslücken schließen. Betriebssysteme, Browser, Website-Plugins und Netzwerkgeräte wie Router oder Kameras müssen regelmäßig aktualisiert werden. Viele Angriffe nutzen Schwachstellen aus, für die längst Patches existieren, die aber nie installiert wurden. Aktivieren Sie automatische Updates und ersetzen Sie Software und Geräte, die keinen Support mehr erhalten.

Maßnahmen 6–7: Mitarbeiter schulen und Prozesse absichern

Selbst die beste Technik kann durch einen einzigen falschen Klick ausgehebelt werden. Der Mensch ist Schwachstelle und zugleich eine wirksame Verteidigungslinie – sofern er das nötige Wissen und klare Prozesse an die Hand bekommt.

Ein Beispiel: Die Buchhaltung eines Import-Export-Unternehmens erhält eine E-Mail „vom Geschäftspartner“, die eine geänderte Bankverbindung mitteilt – samt täuschend echt wirkender Rechnung. Ein einziger Rückruf unter der bisher bekannten Telefonnummer genügt, um die Fälschung aufzudecken. Ermutigen Sie Ihre Mitarbeiter, Verdachtsfälle oder versehentliche Klicks sofort zu melden, statt sie aus Angst vor Sanktionen zu verschweigen.

• 6. Mitarbeiter regelmäßig schulen, damit sie betrügerische E-Mails und Nachrichten erkennen: ungewöhnliche Absenderadressen, unbekannte Links, Formulierungen, die zur Eile drängen, oder Aufforderungen zur Herausgabe von Passwörtern oder OTP-Codes. Simulierte Phishing-Tests können die Wachsamkeit zusätzlich schärfen.
• 7. Verifizierungsprozesse für sensible Vorgänge einführen. Jede Anfrage zur Änderung einer Empfängerkontonummer, jede Eilüberweisung und jeder Export von Kundendaten muss über einen zweiten Kanal bestätigt werden – etwa durch einen Rückruf beim Anfragenden unter der zuvor gespeicherten Telefonnummer.

Maßnahmen 8–9: Geräte und sensible Daten schützen

8. Geräte und internes Netzwerk schützen. Installieren Sie Anti-Malware-Software auf allen Computern, aktivieren Sie die Festplattenverschlüsselung (BitLocker unter Windows, FileVault unter macOS) auf Laptops, die häufig unterwegs genutzt werden, und richten Sie eine automatische Bildschirmsperre ein. Trennen Sie das Gäste-WLAN vom internen Netzwerk und ändern Sie die Standardpasswörter von Routern und Kameras. Arbeiten Mitarbeiter remote, nutzen Sie ein VPN oder eine sichere Zugriffslösung, statt Ports direkt zum Internet zu öffnen.

9. Sensible Daten klassifizieren und schützen. Nicht alle Daten benötigen den gleichen Schutz. Legen Sie fest, welche Daten am wichtigsten sind, und ergreifen Sie angemessene Maßnahmen.

• Erfassen Sie, wo Kunden-, Personal-, Finanz- und Vertragsdaten gespeichert sind.
• Verschlüsseln Sie sensible Daten bei Speicherung und Übertragung; Ihre Website sollte stets HTTPS verwenden.
• Teilen Sie Dateien möglichst nicht über öffentliche Links und versehen Sie Freigabelinks mit einem Ablaufdatum.
• Erheben Sie nur die personenbezogenen Daten, die Sie wirklich benötigen, mit Einwilligung der betroffenen Person, und löschen Sie sie, sobald der Zweck entfällt.

Maßnahme 10: Einen Notfallplan für Sicherheitsvorfälle erstellen

10. Einen Notfallplan für Sicherheitsvorfälle vorbereiten. Wenn ein Vorfall eintritt, zählen die ersten Stunden. Selbst ein kurzer Plan von ein bis zwei Seiten ist weitaus besser, als hektisch nach jemandem zu suchen, der sich darum kümmert.

Sie müssen nicht alle zehn Maßnahmen in einer Woche umsetzen. Beginnen Sie mit Zwei-Faktor-Authentifizierung, Backups und Software-Updates und ergänzen Sie die übrigen Schritt für Schritt; mindestens einmal pro Jahr sollten Sie alles überprüfen. Wenn Sie kein eigenes Sicherheitspersonal haben, unterstützt GREEN TECH Sie bei der Bestandsaufnahme und der Einrichtung von Sicherheitsmaßnahmen, die zur Größe Ihres Unternehmens passen.

• Wer ist Ansprechpartner und wer muss informiert werden: Geschäftsleitung, IT-Abteilung, Dienstleister.
• Erste Schritte zur Eindämmung: infizierte Geräte vom Netzwerk trennen, Passwörter betroffener Konten ändern.
• Wiederherstellung aus Backups und die Reihenfolge, in der die einzelnen Systeme wiederhergestellt werden.
• Meldepflichten gegenüber Behörden und betroffenen Kunden bei einem Datenleck mit personenbezogenen Daten.