Die meisten Ratschläge zur Cybersicherheit richten sich an ein Unternehmen, das es nicht gibt: eines mit einer eigenen IT-Person, einem eigenen Budget und etwas Zeit. Ein Unternehmen mit vier Personen hat nichts davon, und ein Unternehmen mit sechzig Personen hat auch nicht dieselben Probleme.
Hier sind drei unterschiedliche Wege, je nach Ihrer Mitarbeiterzahl. Jeder zeigt, was zu tun ist, in welcher Reihenfolge und über welchen Zeitraum. Folgen Sie dem Weg, der zu Ihrer Situation passt, und ignorieren Sie die beiden anderen, bis sie für Sie relevant werden.
Was verändert die Grösse wirklich?
Nicht die Anzahl der Angestellten zählt, sondern das, was sie bedeutet.
Unter zehn Personen gibt es in der Regel niemanden, dessen Beruf die IT ist. Der Geschäftsführer entscheidet, führt aus und vergisst, weil er anderes zu tun hat. Die Massnahmen, die sich halten, sind jene, die von selbst funktionieren, sobald sie aktiviert wurden.
Zwischen zehn und fünfzig wird eine Schwelle überschritten: Sie wissen nicht mehr auswendig, wer worauf Zugriff hat. Mitarbeitende kommen, gehen, wechseln die Funktion. Ein IT-Dienstleister ist im Einsatz, ohne dass seine Grenzen immer klar sind. Das Thema wird von einem technischen zu einem organisatorischen.
Ab fünfzig Personen besteht das Problem nicht mehr darin, die Massnahmen einzuführen, sondern sicherzustellen, dass sie über die Zeit bestehen bleiben. Ohne benannte Verantwortliche und ohne schriftliche Nachweise verschlechtert sich eine korrekte Konfiguration innerhalb von achtzehn Monaten, ohne dass es jemand bemerkt.
Weg 1: 1 bis 9 Personen
Ihre Einschränkung ist die Zeit, nicht das Budget. Alles Folgende erledigen Sie selbst, grösstenteils mit Werkzeugen, die Sie bereits besitzen.
| Frist | Massnahme | Aufwand |
|---|---|---|
| Erster Monat | Zwei-Faktor-Authentifizierung für E-Mail, Online-Banking und Fachanwendungen | 2 bis 3 Stunden |
| Erster Monat | Ein Offline-Backup, zwischen den Kopien getrennt | 3 bis 4 Stunden |
| Erster Monat | Automatische Updates auf allen Computern und Telefonen aktiviert | 1 Stunde |
| Erstes Quartal | Passwort-Manager für Sie und Ihre Mitarbeitenden | 3 Stunden, danach 15 Min pro Person |
| Erstes Quartal | Schriftliches Verzeichnis der genutzten Konten und Werkzeuge | 2 Stunden |
| Erstes Jahr | Echter Wiederherstellungstest eines Backups | Ein halber Tag |
| Erstes Jahr | Eine klare Regel für ungewöhnliche Zahlungsanfragen | 1 Stunde |
Die ersten drei Zeilen sind nicht verhandelbar. Sie decken die Szenarien ab, die ein kleines Unternehmen tatsächlich zerstören: die Ransomware, die alles verschlüsselt, das gestohlene E-Mail-Konto, die bekannte Sicherheitslücke, die monatelang offen bleibt. Die Einzelheiten zum Backup werden in unserem Artikel zur 3-2-1-Backup-Regel erklärt.
Die letzte Zeile verdient ein Wort. In einem kleinen Unternehmen wird eine dringende Überweisungsanfrage von einer Adresse, die der des Chefs ähnelt, leicht durchgehen, weil sich niemand traut, sie zu überprüfen. Eine einfache, allen bekannte Regel reicht aus, um diesen Mechanismus zu durchbrechen: Jede Änderung der Bankdaten wird telefonisch bestätigt, über eine im Voraus bekannte Nummer. Das ist der Kern des CEO-Betrugs.
Weg 2: 10 bis 49 Personen
In dieser Grösse bleiben die Massnahmen des ersten Wegs die Grundlage. Sie reichen nicht mehr aus, weil sich das Risiko zu den Menschen und den Prozessen verschoben hat.
| Frist | Massnahme | Aufwand |
|---|---|---|
| Erster Monat | Die drei Grundlagen von Weg 1 überprüfen, ohne sie als gegeben anzusehen | Ein halber Tag |
| Erster Monat | Aktuelle Liste aller aktiven Konten, nach Person und nach Werkzeug | Ein Tag |
| Erstes Quartal | Ein- und Austrittsverfahren, mit Schliessung der Zugänge am selben Tag | Ein halber Tag zum Verfassen |
| Erstes Quartal | Entzug der Administratorrechte auf den Arbeitsplätzen | 1 bis 2 Tage, mit dem Dienstleister |
| Erstes Quartal | Einseitiges Krisenblatt: wer anzurufen ist, in welcher Reihenfolge, mit welchen Nummern | 2 bis 3 Stunden |
| Erstes Jahr | Sensibilisierung des Teams, kurz und wiederholt statt lang und einmalig | 1 Stunde pro Sitzung, 2 bis 3 Mal pro Jahr |
| Erstes Jahr | Schriftliche Bestandsaufnahme mit dem Dienstleister zu dem, was abgedeckt ist und was nicht | Ein halber Tag |
| Erstes Jahr | Vollständiger, zeitlich erfasster Wiederherstellungstest | Ein Tag |
Zwei Punkte verdienen eine genauere Betrachtung.
Die Austritte. Das ist der häufigste blinde Fleck in dieser Grösse. Ein Mitarbeitender, der seit acht Monaten weg ist, dessen E-Mail noch funktioniert, dessen Zugriff auf den Dateiserver offen geblieben ist, dessen Konto noch im Verwaltungstool erscheint. Das ist fast nie böswillig, es liegt einfach daran, dass niemand für das Schliessen zuständig war. Ein einseitiges Verfahren löst das Problem endgültig.
Der Dienstleister. Viele Geschäftsführer denken, ihr externer IT-Betreuer kümmere sich um die Sicherheit. Oft deckt sein Vertrag den laufenden Betrieb ab, nicht den Schutz. Es geht nicht darum, ihn infrage zu stellen, sondern genau zu wissen, wo die Grenze liegt und wer sich um den Rest kümmert. Die Risiken dieser Abhängigkeit werden in unserem Artikel zu Angriffen über Lieferanten im Detail behandelt.
Weg 3: 50 Personen und mehr
Sie haben wahrscheinlich schon die meisten technischen Massnahmen. Die Arbeit besteht nun darin, sie dauerhaft und nachweisbar zu machen.
| Frist | Massnahme | Aufwand |
|---|---|---|
| Erster Monat | Eine namentlich benannte Person für die Informationssicherheit bestimmen | Entscheid der Geschäftsleitung |
| Erstes Quartal | Verzeichnis der Bearbeitungen von Personendaten | 2 bis 4 Tage |
| Erstes Quartal | IT-Richtlinie, ausgehändigt und von jedem Mitarbeitenden unterschrieben | 1 bis 2 Tage |
| Erstes Quartal | Verfahren zur Meldung einer Datenschutzverletzung, in einer Übung getestet | Ein Tag |
| Erstes Jahr | Formalisierte Zugriffsüberprüfung, zweimal pro Jahr | Ein Tag pro Überprüfung |
| Erstes Jahr | Dokumentierte Risikoanalyse, jährlich überprüft | Mehrere Tage |
| Erstes Jahr | Unabhängige Kontrolle der bestehenden Massnahmen | Variabel |
In dieser Grösse wird die Compliance zu einem eigenen Thema. Das Datenschutzgesetz verlangt geeignete Massnahmen, ohne sie aufzulisten, und verlangt, dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) Verletzungen zu melden, die ein hohes Risiko für die betroffenen Personen darstellen. Das Schweizer Recht setzt keine zahlenmässige Frist, es verlangt ein Handeln so rasch wie möglich, was voraussetzt, im Voraus zu wissen, wer entscheidet und wer den Text verfasst. Die Einzelheiten stehen in unserem Artikel zur Meldung einer Datenschutzverletzung.
Die periodische Überprüfung ist die am meisten unterschätzte Massnahme dieses Wegs. Eine im Januar geschriebene und nie wieder gelesene Richtlinie wird innerhalb von zwei Jahren zu einem Fantasiedokument. Was schützt, ist nicht das Dokument, sondern das Datum der nächsten Kontrolle, das in einem Kalender eingetragen ist.
Die Grenze jedes Plans nach Grösse
Man muss ehrlich sein, was diese drei Tabellen wert sind.
Ein Plan nach Mitarbeiterzahl gibt eine vernünftige Richtung vor, und wenn Sie dem für Sie passenden Weg folgen, stehen Sie besser als viele vergleichbare Unternehmen. Doch dieser Plan kennt weder Ihre Branche noch die Art der Daten, mit denen Sie umgehen, noch Ihre Datenflüsse zwischen Werkzeugen, noch die Dienstleister, von denen Sie abhängen, ohne sie ersetzen zu können, noch das, was Ihnen am meisten schaden würde, wenn es morgen früh aufhören würde zu funktionieren.
Ein Architekturbüro, dessen gesamter Wert in laufenden Plänen steckt, muss sich zuerst um Backups und Verfügbarkeit sorgen. Eine Arztpraxis derselben Grösse bearbeitet sensible Daten: Ihre Priorität ist die Zugriffskontrolle und die Verschlüsselung. Beide Unternehmen haben dieselbe Mitarbeiterzahl, denselben theoretischen Weg, und trotzdem ist es nicht dieselbe Massnahme, die zuerst behandelt werden muss.
Diese Pläne teilen auch die Schwäche jeder Liste: eine abgehakte Massnahme ist keine funktionierende Massnahme. Das Backup, das seit sechs Monaten lautlos fehlschlägt, erscheint in der Tabelle als erledigt. Das Konto eines ehemaligen Mitarbeitenden, vergessen in einem Nebenwerkzeug, erscheint in keinem Feld. Und was man nicht weiss, taucht niemals in einer Checkliste auf, die man selbst ausfüllt.
Diese Grundlage ist also ein solider Ausgangspunkt, kein fertiger Schutz. Sie in echten Schutz zu verwandeln erfordert zwei Dinge: eine Analyse dessen, was in Ihrem Unternehmen wirklich zählt, und eine Überprüfung durch jemanden, der weiss, wo er hinschauen muss. Das gilt für alle drei Wege, auch für den ersten.
Wo diese Woche anfangen?
Wenn Sie sich nur eine Sache merken sollen: Öffnen Sie den Weg, der zu Ihrer Mitarbeiterzahl passt, nehmen Sie die erste Zeile und legen Sie dafür ein Datum fest. Eine umgesetzte Massnahme ist mehr wert als drei geplante.
Nehmen Sie sich anschliessend dreissig Minuten Zeit, um die drei Fragen des Wegs zu beantworten, die die Grösse allein nicht entscheiden kann: Welche Daten dürfen dieses Haus niemals verlassen, welcher Ausfall würde Sie am meisten kosten, und von wem hängen Sie ohne Alternative ab. Vergleichen Sie Ihre Antworten mit der Reihenfolge der Tabelle, und ordnen Sie bei Bedarf neu.
Um Ihr aktuelles Niveau vor der Wahl einzuschätzen, deckt der Cyber-Check-up dieselben Themen in wenigen Minuten ab und zeigt Ihnen Ihre wichtigsten Lücken. Wenn Sie die Details der Massnahmen selbst suchen und nicht deren Reihenfolge, sind sie einzeln in den 10 wesentlichen Massnahmen beschrieben. Die weiteren Artikel im Themenbereich Bewährte Praktiken ergänzen jeden Schritt.