Ein IT-Sicherheitskonzept klingt nach Konzern, Compliance-Abteilung und einem Ordner mit hundert Seiten. Für einen Betrieb mit fünf, zehn oder zwanzig Arbeitsplätzen braucht es das nicht. Ein paar klare Seiten reichen, wenn darin steht, was Ihre IT schützt, wer wofür zuständig ist und was im Ernstfall passiert.
Warum auch kleine Betriebe ein Sicherheitskonzept brauchen
Die meisten Angriffe auf kleine Betriebe sind nicht gezielt. Programme suchen automatisch nach Rechnern mit fehlenden Updates, schwachen Passwörtern oder offenen Zugängen. Ob dahinter eine Bäckerei, ein Gerüstbauer oder ein Hotel steht, spielt dabei keine Rolle. Ein Verschlüsselungstrojaner trifft den kleinen Betrieb oft härter, weil es keine eigene IT-Abteilung gibt, die nachts eingreift.
Dazu kommen ganz alltägliche Gründe. Das Wissen über Passwörter, Router und Datensicherung steckt oft im Kopf einer einzigen Person. Fällt sie aus oder verlässt den Betrieb, weiß niemand mehr, wie alles zusammenhängt. Und wer personenbezogene Daten verarbeitet, muss nach Artikel 32 der DSGVO angemessene technische und organisatorische Maßnahmen zu ihrem Schutz treffen. Ein Sicherheitskonzept ist der Ort, an dem diese Maßnahmen stehen.
Was in ein IT-Sicherheitskonzept gehört
Bestandsaufnahme
Am Anfang steht eine einfache Liste: welche Rechner, Laptops, Handys, Drucker, Kassen und Server es gibt, welche Programme und Cloud-Dienste genutzt werden und wer welche Zugänge hat. Ohne diese Liste lässt sich nichts schützen, weil niemand weiß, was alles dazugehört.
Updates
Fehlende Updates sind das häufigste Einfallstor. Im Konzept steht, wer Betriebssysteme, Programme, Router und Firewall aktuell hält und wie oft das geprüft wird. Geräte, die keine Updates mehr bekommen, gehören auf eine eigene Liste mit einem Termin für den Austausch. Ein Beispiel dafür sind Rechner mit Windows 10 nach dem Supportende.
Zugänge und Passwörter
Jede Person bekommt ein eigenes Benutzerkonto, und Administratorrechte haben nur die, die sie wirklich brauchen. Für E-Mail, Cloud und Fernzugriff gehört eine Zwei-Faktor-Anmeldung dazu. Passwörter gehören in einen gemeinsamen Passwortmanager, Zettel am Monitor und Excel-Listen fallen damit weg. Wie das mit einem selbst betriebenen Passwortmanager aussehen kann, zeigt unser Ratgeber zu Vaultwarden im Unternehmen. Wichtig ist auch, was passiert, wenn jemand den Betrieb verlässt: Konten sperren, Passwörter ändern, Geräte zurücknehmen.
Datensicherung und Wiederherstellung
Ein Backup hilft nur, wenn es sich zurückspielen lässt. Im Konzept steht, was gesichert wird, wie oft, wohin und wer kontrolliert, dass die Sicherung gelaufen ist. Mindestens einmal im Jahr sollte jemand testen, ob sich Daten tatsächlich wiederherstellen lassen. Eine Sicherung, die dauerhaft am Rechner oder im Netzwerk hängt, kann ein Verschlüsselungstrojaner mit verschlüsseln.
Netzwerk und Firewall
Arbeitsrechner, Gäste-WLAN, Kassen und Geräte wie Kameras oder Drucker gehören in getrennte Netze. Dann kommt ein Gast im WLAN nicht an die Buchhaltung, und ein unsicheres Gerät reißt nicht das ganze Netz mit. Zugriff von außen, etwa aus dem Homeoffice, läuft über ein verschlüsseltes VPN. Wie das in der Praxis aussieht, beschreiben wir am Beispiel WLAN im Restaurant.
Notfallplan
Wenn Bildschirme plötzlich eine Lösegeldforderung zeigen, darf niemand improvisieren müssen. Der Notfallplan regelt, welche Geräte vom Netz genommen werden, wer als Erstes informiert wird, welche Telefonnummern gelten und in welcher Reihenfolge die Systeme wieder anlaufen. Er liegt zusätzlich ausgedruckt im Büro, denn im Ernstfall ist der Rechner vielleicht nicht nutzbar. Mehr dazu im Ratgeber EDV-Notdienst: Was im Ernstfall zählt.
Mitarbeitende
Viele Angriffe beginnen mit einer E-Mail: eine gefälschte Rechnung, eine angebliche Paketbenachrichtigung oder eine dringende Bitte, die scheinbar vom Chef kommt. Eine kurze Schulung mit Beispielen aus dem eigenen Betriebsalltag hilft mehr als jedes Merkblatt. Im Konzept steht außerdem, an wen sich jemand wendet, der auf einen Link geklickt hat. Wer das ohne Angst melden kann, meldet es früher.
Wie umfangreich das Konzept sein muss
Für einen kleinen Betrieb reichen oft fünf bis zehn Seiten. Entscheidend ist, dass jemand ohne IT-Kenntnisse versteht, was dort steht, und dass es aktuell bleibt. Schauen Sie mindestens einmal im Jahr darauf und immer dann, wenn sich etwas Größeres ändert, etwa ein neuer Standort, eine neue Kasse oder ein Wechsel in die Cloud.
Der CyberRisikoCheck nach DIN SPEC 27076 als Einstieg
Wer nicht weiß, wo er anfangen soll, kann mit dem CyberRisikoCheck beginnen. Das Verfahren wurde unter Beteiligung des Bundesamts für Sicherheit in der Informationstechnik (BSI) für Betriebe mit weniger als 50 Beschäftigten entwickelt. Ein IT-Dienstleister fragt dabei in einem Gespräch von ein bis zwei Stunden 27 Anforderungen aus sechs Themenbereichen ab. Am Ende steht ein Bericht mit einer Punktzahl und Empfehlungen für jede nicht erfüllte Anforderung, sortiert nach Dringlichkeit. Der Bericht nennt auch Förderprogramme von Bund, Ländern und Kommunen, die infrage kommen. Eine Zertifizierung ist der Check nicht. Er zeigt Ihnen, wo Sie stehen, und ist damit eine gute Grundlage für das eigentliche Konzept.
In fünf Schritten zum eigenen Konzept
- Bestandsaufnahme machen: Geräte, Programme, Cloud-Dienste und Zugänge auflisten.
- Die größten Lücken zuerst schließen: fehlende Updates, Konten ohne Zwei-Faktor-Anmeldung, Datensicherungen, die nie getestet wurden.
- Zuständigkeiten festlegen: Wer kümmert sich um Updates, wer kontrolliert die Sicherung, wer ist im Notfall erreichbar?
- Den Notfallplan schreiben und ausgedruckt hinterlegen.
- Das Team kurz schulen und einen festen Termin im Jahr für die Überprüfung eintragen.
Wie wir Sie unterstützen
Wir erstellen mit Ihnen ein IT-Sicherheitskonzept, das zu Ihrem Betrieb passt, und schreiben es so auf, dass Sie es ohne IT-Studium verstehen. Auf Wunsch setzen wir die Maßnahmen auch um: Firewall und getrennte Netze, VPN für das Homeoffice, Datensicherung mit regelmäßigem Wiederherstellungstest, Notfallplan und Schulung. Wir arbeiten dabei so dokumentiert und nachvollziehbar, wie wir es aus dem Betrieb regulierter IT kennen. Wir betreuen Betriebe in Erfurt und im Umkreis von etwa 30 Kilometern, vieles per Fernwartung und bei Bedarf vor Ort.
Der erste Schritt ist unser kostenloser Sicherheits-Check. In etwa einer halben Stunde gehen wir am Telefon oder vor Ort durch, wo Ihr Betrieb heute angreifbar wäre. Danach bekommen Sie eine Einschätzung in verständlicher Sprache und entscheiden selbst, ob es weitergeht. Rufen Sie uns an unter 0361 34949224 oder fragen Sie den Check über das Kontaktformular an.