Cyber-Security in KMU – warum IT-Sicherheit nicht nur DAX-Unternehmen betrifft

Kleine und mittelständische Unternehmen (KMU) sind heute, mehr denn je, von Cyber-Angriffen bedroht. Doch die Gefahr aus der digitalen Welt wird vor allem von diesen Unternehmen noch stark unterschätzt. Der Schutz von Cyber-Angriffen wird vernachlässigt, Mitarbeiter werden nicht geschult und alles läuft wie gewohnt weiter. Warum auch, wenn noch nie etwas passiert ist?

Cyberangriffe können schwerwiegende Folgen haben, ganz besonders für KMU. Denn vor allem in solchen Unternehmen gibt es weder die inhouse Expertise, die notwendigen Ressource oder die schnelle Handlungsfähigkeit, die erforderlich ist, wenn einmal etwas passiert.

Ted Schlein, eine der berühmtesten Stimmen im Bereich der Cyber-Security sagte dazu einmal: “There are only two different types of companies in the world: those that have been breached and know it and those that have been breached and don’t know it.” Demnach gibt es nur zwei Arten von Unternehmen: Unternehmen, die bereits erfolgreich angegriffen wurden und es wissen und solche, die erfolgreich angegriffen wurden und es nicht wissen.

Die Bedeutung von Cyber-Security für KMU

Das Problem mit der Cyber-Security in kleineren Unternehmen ist vor allem, dass diese alles dafür tun werden, um nichts in die Cyber-Security zu investieren. Als Gründe werden hier oft genannt:

“Für uns interessiert sich doch eh keiner, wir sind kein attraktives Ziel.”

Doch genau das Gegenteil ist der Fall. KMU sind häufiger Ziel von erfolgreichen Cyberangriffen als größere Unternehmen, was vor allem an den geringeren Sicherheitsmaßnahmen und weniger robusten IT-Systemen liegt.

Die Folgen können fatal sein:

• irreversibler Datenverlust
• Reputationsschäden
• Finanzielle Einbußen
• zeitweiser oder permanenter Stillstand des Unternehmens

Aus diesem Grund ist Cyber-Security für KMU von entscheidender Bedeutung.

Die Herausforderungen für KMU im Bereich Cyber-Security

KMU stehen bei der Umsetzung von Cyber-Security Maßnahmen einer ganzen Reihe an Herausforderungen gegenüber.

Eingeschränkte Ressourcen und fehlende Expertise

Cyber-Security Maßnahmen umzusetzen erfordert logischerweise zunächst einmal Zeit- und/oder Geldeinsatz. Auch die Aktualisierung und Aufrechterhaltung eines eventuellen Schutzes sind nicht “einfach so” getan. Hier haben größere Unternehmen eindeutig einen Ressourcenvorteil. In KMU fehlt es häufig an interner Expertise im Bereich der IT-Sicherheit. Eventuell gibt es nicht einmal eine IT-Abteilung.

Das führt natürlich dazu, dass KMU grundlegende, meistens mit Software und Hardware mitgelieferte Sicherheitsmaßnahmen, wie Antivirensoftware oder Firewalls nutzen, aber keine umfassenderen Strategien für die IT-Sicherheit haben.

Das macht vor allem KMU angreifbar und erhöht das Risiko für Cyberangriffe. Hacker haben hier leichtes Spiel. Weit verbreitete Software hat schließlich oft auch weit verbreitete Sicherheitslücken.

Die Bedrohung verändert sich – der Schutz meistens nicht

Die Bedrohung aus dem digitalen Raum entwickelt sich ständig weiter und verändert sich. KMU werden kaum die Zeit und erneut auch Ressourcen aufbringen können, um stets auf dem Laufenden zu bleiben und die entsprechenden Maßnahmen zu ergreifen.

Und selbst wenn Hardware und Software vom Unternehmen genug geschützt werden. Oft sind die Mitarbeiter die größte Sicherheitslücke. Diese kennen sich viel zu selten mit neuesten Bedrohungen und Sicherheitsrichtlinien in einem Unternehmen aus. Schließlich sind sie, und das sollten sich auch sein, mit anderen Aufgaben aus dem Tagesgeschäft des Unternehmens beschäftigt.

Phishing- oder Sozial-Engineering-Angriffe setzen genau darauf und nutzen die Mitarbeiter als größte Sicherheitslücke eines Unternehmens eiskalt aus. Hier werden dann schnell mal vertrauliche Informationen weitergegeben oder Schadsoftware auf einem der Arbeitsrechner oder Smartphones installiert.

Cyber-Security-Schulungen und -Awareness als Geheimwaffe der IT-Sicherheit

“Unternehmen geben Millionen von Dollar für Firewalls, Verschlüsselung und sichere Zugangsgeräte aus, und das ist reine Geldverschwendung, denn keine dieser Maßnahmen zielt auf das schwächste Glied in der Sicherheitskette.” – Kevin Mitnick (frei übersetzt)

Dieses Zitat und unsere Erklärungen von oben zeigen: Die Mitarbeiter sind das schwächste Glied der Kette und oftmals das größte Sicherheitsrisiko. Das zeigt auch, warum selbst die Implementierung von technischen Cyber-Security-Maßnahmen alleine meist nicht ausreicht, um die IT-Sicherheit von KMU zu gewährleisten.

Cyber-Security-Schulungen und Cyber-Security-Awarenesskampagnen sind hier die Geheimwaffe und unverzichtbar für gute Sicherheitsstrategien in KMU. Die Auswahl des richtigen Anbieters für Cyber-Security-Trainings ist hier entscheidend. Ein Anbieter für Cyber-Security-Trainings wie IS-FOX, einem Anbieter mit über 3.319 positiven Rezensionen auf Trustpilot, ist auf jeden Fall eine gute Wahl.

Auf dem Plan sollten hier vor allem Programmpunkte aus dem Best Practice Bereich der Cyber-Security-Maßnahmen stehen:

• Verwendung starker Passwörter und 2-Faktor-Authentifizierung
• IAM (Identity and Access Management) zur Einschränkung des Zugriffs auf sensible Daten
• Vermeidung und Erkennung von Phishing Attacken
• Erkennung gefährlicher Dateiendungen, sowie Viren & Schadsoftware
• Awareness für Social Engineering Angriffe & CEO Fraud
• Cyber-Security im Home Office

Regelmäßige Schulung gewährleisten, dass diese Best Practices stets präsent sind und auch in der Praxis umgesetzt werden.

Cyber-Security-Awareness-Kampagnen sorgen im Unternehmen dafür, dass Mitarbeitende stets sensibilisiert sind und auf die Gefahren und Bedeutung der IT-Sicherheit hingewiesen werden.

Dies kann beispielsweise durch regelmäßige Sicherheitswarnungen und E-Mails, die die Mitarbeiter in Bezug auf aktuelle und akute Bedrohungen informieren, gewährleistet werden.

Besondere Relevanz ab einer Unternehmensgröße von 100 Mitarbeitern

Obwohl jedes Unternehmen, unabhängig von der Größe, auf Cyberangriffe vorbereitet sein sollte, ist es wichtig zu beachten, dass Unternehmen mit einer Belegschaft von 100 oder mehr Angestellten und dementsprechend hohen Umsatz besonders gefährdet sind. Nicht unbedingt vor den Angriffen selbst, sondern vor den Konsequenzen.

Je größer ein Unternehmen, desto größer auch die mögliche Beute für Angreifer. Und natürlich auch mehr Angriffspunkte durch mehr Mitarbeiter, Abteilungen etc. mit oft unterschiedlichen Sicherheitsanforderungen.

Die grundlegenden Schritte zur Implementierung von Cyber-Security-Maßnahmen in KMU

Wer die IT-Sicherheit in seinem kleinen Unternehmen verbessern will, der sollte immer ein paar der folgenden, grundlegenden Schritte umsetzen und durchführen.

Als allererstes muss eine umfangreiche und umfassende Risikobewertung und Analyse der eigenen, digitalen Infrastruktur durchgeführt werden. Auf diese Weise können potenzielle Schwachstellen identifiziert werden.

Abhängig von den Ergebnissen dieser Risikoanalyse und -bewertung müssen Richtlinien und Maßnahmen definiert und dokumentiert werden, die es zu implementieren gilt. Dazu zählen unter anderem:

• Richtlinien für Passwörter
• Netzwerkzugangsbeschränkungen und IAM
• Firewalls und Antivirensoftware
• Backupzyklen

Externen Berater und Dienstleister für Cyber-Security bei KMU

Aufgrund des Mangels von Ressourcen und Fachkenntnissen dem KMUs gegenüber stehen, ist es naheliegend auf externe Berater und Dienstleister im Rahmen der Cyber-Security zu setzen.

Diese können einem dabei helfen, die passenden Strategien, Maßnahmen, Technologien und Methoden zu identifizieren und im Zweifel auch zu implementieren. Dem KMU werden dann spezielle Dienstleistungen wie Penetrationstests, Risikobewertungen und Schulungen angeboten.

Auf dieser Basis kann dann die Sicherheitslage des jeweiligen Unternehmens spezifisch analysiert und entsprechend verbessert werden. Und das mit der vollen Branchenexpertise, auf Basis aktuellster Trends etc.

Das schafft natürlich auf Seite der KMU Freiräume, die sich stattdessen auf die eigenen Kernkompetenzen konzentrieren können.

Natürlich entstehen durch die Zusammenarbeit mit externen Experten und Dienstleistern auch Kosten. Die Vorteile dieser Investitionen sind aber sehr häufig gerechtfertigt. KMU sparen dadurch Zeit, können sich auf ihr Kerngeschäft konzentrieren und auf diese Weise das Geld für diese Investitionen wieder erwirtschaften. Und müssen die Expertise nicht inhouse aufbauen, was natürlich ebenso zu Kosten führt.

Für KMU ist die Auswahl des passenden Beraters oder Dienstleistungspartners natürlich dementsprechend umso wichtiger. Hier sollte die Auswahl natürlich nicht überhastet getroffen werden. Branchenerfahrung und entsprechende Empfehlungen oder Bewertungen von Branchenbegleitern sind hier natürlich entscheidend.

Gängige Cyber-Security-Methoden und Technologien für KMU

Welche Methoden und Technologien sollten KMU jetzt also konkret implementieren? Es gibt natürlich zahlreiche Optionen. Ein paar der gängigsten haben wir im Folgenden aufgelistet:

Firewalls

Firewalls schützen das Netzwerk bzw. die Netzwerke in einem Unternehmen, in dem Sie den Datenverkehr zwischen Netzwerken, also auch dem Internet. Das schützt natürlich das Unternehmen und blockiert potenziell schädlichen Datenverkehr. Unerwünschte Zugriffe auf das Netzwerk von außerhalb werden auf diese Weise verhindert.

Verschlüsselung

Datenverschlüsselung ist natürlich ebenfalls ein wichtiges Mittel für KMU. Auf diese Weise können gespeicherte Daten nur von Personen gelesen werden, die entsprechend autorisiert sind. Vertrauliche Informationen können auf diese Weise nicht aus Versehen freigegeben oder bei einem eventuellen Angriff ausgelesen werden.

Zwei-Faktor-Authentifizierung

Der heilige Gral der Cyber-Security Welt ist, sowohl für Privatpersonen, als auch Unternehmen, seit geraumer Zeit die Zwei-Faktor-Authentifizierung bzw. Multifaktor-Authentifizierung. Egal ob Fingerabdruck, Sicherheitstoken oder zweites Gerät. Durch 2FA bzw. Multifaktor-Authentifizierung wird sichergestellt, dass nur die Personen auf ein System oder Netzwerk zugreifen können, die auch berechtigt sind.

Die Verwendung dieser und natürlich zahlreicherer anderer Methoden und Technologien kann und wird maßgeblich dazu beitragen, die Cybersicherheit von KMU zu verbessern und den Schutz von digitalen Assets zu gewährleisten.

Diese Best Practices sollten in jedem KMU umgesetzt werden

Best Practice	Maßnahme
Passwort-Management	Starke Passwörter verwenden. Passwörter regelmäßig ändern. Gängige und leicht zu hackende Passwörter vermeiden. Passwort-Manager-Tools nutzen.
Regelmäßige Updates	Systeme immer auf dem neuesten Stand halten. Patches und Sicherheitsupdates für Hard- und Software regelmäßig und möglichst zeitnah installieren.
Sicherheitskopien	Regelmäßig Sicherheitskopien erstellen, um auf diese Weise Datenverluste bei einem Cyberangriff verhindern.
Zugangskontrolle	Zugang zu wichtigen und sensiblen Daten bzw. Systemen muss kontrolliert werden. Nur einzelne und autorisierte Personen sollten Zugriff haben.
Cyber-Security-Schulungen	Regelmäßige Cyber-Security-Schulugen, um Mitarbeiter auf dem aktuellen Stand zu halten. Cyber-Security-Awareness im Unternehmen fördern.
Firewalls und Antivirus	Einsatz von Firewalls und Antivirus-Software an möglichst vielen Stellen. Schutz vor Malware und Phishing.
Überwachung	Überwachen Sie Ihre Systeme und Netzwerke. Reagieren Sie auf diese Weise schnell, wenn Sie Anomalien feststellen.

Durch die Umsetzung dieser Best Practices können KMU ihre Cyber-Security-Maßnahmen verbessern und das Risiko von Cyberangriffen minimieren.

Compliance und rechtliche Aspekte der Cyber-Security in KMU

Natürlich sollte auch der Zusammenhang zwischen Compliance bzw. rechtlichen Aspekten und Cyber-Security in KMUs nicht unterschätzt werden. Unternehmen müssen heutzutage sicherstellen, dass sie Gesetze, Vorschriften und alle relevanten Auflagen erfüllen. Nur auf diese Weise können potenzielle Strafen und Schadenersatzforderungen vermieden werden.

Hier spielen vor allem Datenschutz, Verträge und Haftung eine Rolle. Im Bereich Datenschutz müssen Unternehmen natürlich sicherstellen, personenbezogene Daten, egal ob von Kunden oder Mitarbeitern, angemessen zu schützen. Verträge mit Kunden, Lieferanten und Partnern sollten angemessene Klauseln zum Schutz vor Cyberangriffen enthalten. Denn Unternehmen können für die Folgen von Cyberangriffen, zum Beispiel dem Diebstahl von Daten, haftbar gemacht werden. Insbesondere dann, wenn nachweislich keine oder keine angemessenen Schutzmaßnahmen umgesetzt wurden.

Neben den rechtlichen Aspekten gibt es auch branchenspezifische Vorschriften, die KMU einhalten müssen. Zum Beispiel müssen Unternehmen im Gesundheitswesen besonders strenge Vorschriften zum Schutz von Patientendaten einhalten.

Fazit: Cyber-Security als unverzichtbarer Schutz für KMU

In unserer digitalisieren Welt ist die Bedeutung von Cyber-Security für KMU enorm. Immer mehr Unternehmen sind von Cyberangriffen betroffen und die Bedrohung steigt immer weiter.

Noch nie war es für Unternehmen jeder Größe so wichtig, sich vor diesen Risiken zu schützen.

Wer die Expertise und Ressourcen zur Implementierung derartiger Systeme nicht inhouse zur Verfügung stellen kann oder will, der sollte auf externe Dienstleister und Experten setzen.

Es ist wichtig, dass KMU die Herausforderungen im Bereich Cyber-Security verstehen und entsprechende Maßnahmen ergreifen. Ein Mangel an Ressourcen und Fachkenntnissen kann zu Schwierigkeiten bei der Umsetzung führen. In diesem Fall muss und sollte auf die Hilfe von externen Experten und Dienstleistern gesetzt werden. Eine Schulung der Mitarbeiter und Aufklärung über die Gefahren von Cyberangriffen ist ein wichtiger Schritt, um das Risiko zu minimieren.