Cyber-Hygiene: Tägliches Zähneputzen in der IT
So wichtig wie Zähneputzen und so einfach wie die 2-Minuten-Regel: Cyber-Hygiene sollte in Unternehmen den gleichen Stellenwert haben wie die tägliche Mundpflege. Ebenso wie eine regelmäßige Zahnpflege Karies und andere unschöne Erkrankungen verhindern soll, kann Cyberhygiene Viren, Bedrohungen und Hacking vorbeugen. Die darin enthaltenen Kernprinzipien sollten darum jeder Organisation bekannt sein, um ihre IT mit einfachen Maßnahmen bestmöglich zu schützen.
Ungepflegte Unternehmensnetzwerke kranken
Typische Probleme einer schlechten Cyber-Hygiene sind Datenverlust oder unauffindbare Dateien. Hinzu kommen möglicherweise Sicherheitsvorfälle sowie Sicherheitslücken aus veralteter (Sicherheits-)Software. Sie alle erhöhen das Risiko einer digitalen Infektion. Daher sollte das „digitale Zähneputzen“ keineswegs ausgelassen oder nachlässig durchgeführt werden.
1. Regelmäßige Updates
Einmal Zähneputzen und alles ist gut? Leider nicht. Genauso verhält es sich mit der IT-Infrastruktur. Einmaliges Einrichten aller Sicherheitsvorkehrungen reicht leider nicht aus, deswegen sollten Updates aller Systeme regelmäßig durchgeführt werden. Passen Sie diese idealerweise an die Updatezyklen der eingesetzten Software an, so ist das Risiko einer Infektion minimal.
2. Kleinschrittig vorgehen
Ein kleinteiliges Vorgehen im Unternehmensnetzwerk senkt das Risiko einer vollständigen Infektion. Aus diesem Grund sollten Sie mehrere voneinander getrennte Netzwerke errichten. Das Gäste-WLAN sollte beispielsweise nicht mit wichtiger Infrastruktur geteilt werden. Läuft beides zusammen, kann ein böswilliger Gast ansonsten das gesamte Unternehmen lahm legen.
3. Sicher einloggen
Sie sollten unbedingt sicherstellen, dass sich nur zugangsberechtigte Personen in Ihr Firmennetzwerk einloggen. Das geht am besten über eine Multi-Faktor-Authentifizierung. Bei besonders kritischen Anlagen kann das beispielsweise ein Fingerabdruck- oder Iris-Scan sein. Auch für Alltägliches sollte es zumindest eine Zwei-Faktor-Authentifizierung geben.
4. Least Privilege
Schließlich sollte die Devise gelten, dass Mitarbeiter grundsätzlich nur Zugang zu den Systemen und Netzwerken haben sollten, die sie wirklich benötigen. Dieses Least Privilege-Prinzip beinhaltet auch, dass beispielsweise nur die IT-Abteilung den Serverraum betreten kann. In diesem Zug sollten Sie genau überprüfen, in welcher Applikation welche Administratoren eingerichtet sind – und diese gegebenenfalls sogar löschen. Schließlich muss noch nicht einmal ein böser Wille dahinterstecken, mancher Mitarbeiter hat schon aus engagiertem Übereifer ganze Systeme zum Erliegen gebracht.
5. Nutzerkonten aktiv verwalten
Das wiederum bedingt den nächsten Punkt: Verwalten Sie Nutzerkonten aktiv. Wer benötigt welche Berechtigungen? Denken Sie unbedingt daran, die Konten von ausgeschiedenen Mitarbeitern umgehend zu löschen. Ansonsten könnten sensible Unternehmensdaten verloren gehen...
6. Mit wem teilen Sie Ihre Daten?
Es ist gut und wichtig, mit Zulieferern und Partnern zusammenzuarbeiten. Doch auch bei diesen sollten Sie Vorsicht walten lassen. Überprüfen Sie also kontinuierlich die daraus hervorgehenden Cyberrisiken. Regen Sie im Zweifelsfall ein entsprechendes Audit an, um einen vollständigen Überblick zu erhalten.
7. Die letzte Bastion: Verschlüsselung
Sollten alle anderen Maßnahmen versagen und Hacker Zugriff auf Ihre Unternehmensdaten bekommen oder diese gar erbeuten, hilft Ihnen nur noch eines: Verschlüsseln Sie konsequent alle Daten! Erst dann, wenn alle Daten – ob in Bewegung oder bei der Speicherung – ausreichend verschlüsselt sind, haben Hacker keinen Gewinn aus ihrer Beute. Die Daten sind dann unlesbar.
Dennoch sollten Sie die Verschlüsselung als letzte Waffe in der Cyberverteidigung ansehen – gemäß DSGVO müssen Sie einen solchen Datenleak trotzdem den örtlichen Datenschutzbehörden melden. Der Ansehensverlust wäre immens.
