Der kürzlich erfolgreich durchgeführte Cyberangriff auf die Berliner Verwaltung ging diese Woche durch die Medien. Wir stellen uns heute die kritische Frage: Sind die deutschen Behörden gut gegen Cyberangriffe geschützt und wagen eine Prognose für die Zukunft.t.

Was ist bei dem Cyberangriff in Berlin passiert?

Bereits Mitte August gelang es Hackern in die Berliner Verwaltung einzudringen und Daten abfließen zu lassen. Die Behörde spricht von rund 1,4 Millionen Dateien. Darunter auch persönliche Daten wir Arbeitszeugnisse und Passwörter von Verwaltungsangestellten. Als Täter hat sich die Hackergruppe „Rhysida“ bekannt, die nach Erbeutung der Daten rund 2 Millionen Euro in Bitcoin forderte. Die Landesregierung ging nicht auf die Erpressung ein und so wurden die Daten Anfang September im Dark Net veröffentlicht.
Wie der Staatssekretär Florian Hauer am 7. September 2026 mitteilte, ist man aktuell dabei die entsprechenden Daten herunterzuladen und zu sichten. Dabei sollen kritische Daten ermittelt werden. Bisher seien jedoch nur Daten der niedrigsten Sicherheitsstufe NfD (Nur für Dienstgebrauch) gefunden worden. Im Gegensatz zu vorherigen Meldungen, haben sich Datensätze mit kritischen Bezeichnungen im Nachhinein als harmlos entpuppt.
Beispielsweise gab es eine Datei zum Militärischen Abschirmdienst (MAD). In dieser befanden sich jedoch nur Informationen zu Anwohnerparkausweisen. Auch wenn noch nicht alle Daten gesichtet wurden, besteht die Hoffnung, dass weniger personenbezogene Daten und weniger Informationen über deutsche Verteidigungssysteme abgeflossen sind als ursprünglich angenommen.

Hätte man den Cyberangriff in Berlin verhindern können?

Wie die Tagesschau berichtet, erhebt der IT-Experte Manuel Atug gegen die Berliner Verwaltung schwere Vorwürfe. Atug hat die AG KRITIS gegründet. Diese Arbeitsgruppe setzt sich aus 23 Fachleuten verschiedener Bereiche zusammen und beschäftigt sich mit Optionen, die kritische Infrastruktur von Deutschland besser zu schützen. Er gibt an, dass es konkrete Geheimschutz-Vorgaben gibt, die für die Speicherung und Verarbeitung von Daten gelten. Offensichtlich wurde sich an diese nicht gehalten. Er war bereits 2023 und 2025 als Sachverständiger geladen worden und hatte vor erheblichen Sicherheitslücken gewarnt.

Ist der Cyberangriff in Berlin ein Einzelfall?

Tatsächlich weisen IT-Sicherheitsexperten seit Jahren daraufhin, dass viele öffentliche Verwaltungen eklatante Sicherheitslücken aufweisen. Dies bedingt sich meist durch veraltete IT-Systeme und einem Mangel an IT-Personal, das die Expertise besitzt, Sicherheitsmaßnahmen zu implementieren. Hinzukommt, dass Behörden nicht nur ein beliebtes Angriffsziel von monetär interessierten Hackergruppen wie die Rhysida sind, sondern durchaus für Geheimdienste anderer Länder interessant sind. Dadurch sind sie häufiger professionellen Hack-Angriffen ausgesetzt als beispielsweise Unternehmen. Das Bundesministerium für Sicherheit in der Informationstechnik (BSI) warnt jährlich im Bundeslagebericht vor der gestiegenen Bedrohungslage. In dem Bericht werden explizit auch Behörden genannt, die von den Gefahren betroffen sind.

Kritischer Blick auf die Anforderungen nationaler Behörden gegen Cyberangriffe

Kritischer Blick auf die Anforderungen nationaler Behörden gegen Cyberangriffe
Cyberangriffe sind eine reale Bedrohung für Unternehmen und Behörden gleichermaßen. Für uns ist daher nicht begreiflich, warum dieses Thema häufig auch in Behörden immer noch vernachlässigt wird. Im Gegensatz zu Unternehmen, haben die Bürger dieses Landes nicht die Wahl ihre Daten an eine Behörde zu übermitteln, sondern müssen sich teilweise zwangsweise an sie wenden oder sind dort registriert. Hinzu kommen wichtige Informationen über die Infrastruktur, Organisation und Verteidigung dieses Landes, die schützenswert sind. Umso erstaunlicher und erschreckender ist es, dass es zu einem Vorfall wie in Berlin kommen konnte. Es lässt sich vermuten, dass auch in anderen Verwaltungen ähnlich eklatante Sicherheitslücken vorhanden sind und Berlin keine Ausnahme ist.
Mit Blick auf das in diesem Jahr eingeführte NIS2UmsuCG haben wir den Eindruck, dass hier die Chance verpasst wurde, Behörden stärker in die Pflicht zu nehmen. Denn die NIS-2 Regelung wurde nicht auf lokale Ebene und Bildungseinrichtungen ausgeweitet. Stattdessen liegt die „Die Gesetzgebungskompetenz für die Cybersicherheit der Verwaltung von Ländern, Landkreisen und Kommunen […] bei den Ländern und Kommunen selbst (vgl. Artikel 70 Absatz 1, 28 Absatz 2 Grundgesetz). Die Länder haben in eigener Verantwortung und Zuständigkeit die NIS-2-Richtlinie hinsichtlich der kritischen Teile ihrer Landesverwaltungen umzusetzen und zu entscheiden, ob die Umsetzung auch die Ebene der Landkreise bzw. Kommunen erfassen wird.“ NIS2 wurde ursprünglich durch die EU beschlossen, um Europa im Kampf gegen Cyberangriffe zu stärken. Dassdie Regelungen nun auf Unternehmen angewandt werden, aber zeitgleich eine so lasche Regelung für Behörden in das Gesetz aufgenommen wurde, ist mehr als fahrlässig.

Werden Behörden in Zukunft besser gegen Cyberangriffe geschützt sein?

Es herrscht die starke Hoffnung, dass der Vorfall in Berlin nun ein Weckruf war. Doch bereits jetzt kann man sich nicht den Eindruck erwehren, dass versucht wird, den Cyberangriff klein zu reden. Die fehlende Bereitschaft Landesregierungen und Behörden gesetzlich dazu zu verpflichten mehr Sicherheitsmaßnahmen zu implementieren zeugt von einer geringen Bereitschaft zur Veränderung. Es entsteht der Eindruck, dass Behörden aktuell nicht leisten können ein sinnvolles IT-Sicherheitsniveau zu erreichen und man sie deshalb erst gar nicht in das NIS2UmsuCG aufgenommen hat. Das kann jedoch katastrophale Konsequenzen haben. Über 140 Milliarden Euro sollen nächstes Jahr in die Verteidigung des Landes fließen. Gesprochen wird hierbei vor allem von Geld für Drohnen, Panzer und Militär. Verteidigung bedeutet jedoch nicht nur eine physische Wehrhaftigkeit, sondern sollte auch eine digitale mit einschließen. Es bleibt zu hoffen, dass dies durch Fälle wie in Berlin rechtzeitig erkannt wird.

Niemand denkt gern über einen Notfallplan nach. Einen Notfallplan zu haben scheint zu implizieren, dass man ihn braucht und es zu einem Notfall kommen kann. Auch wenn diese Denkweise naheliegend erscheint, ist sie dennoch verfehlt. Vergleichen wir das mit einem menschlichen Körper, könnte man sagen „Ich brauch keinen Notarzt, ich gehe regelmäßig zu den Vorsorgeuntersuchungen bei meinem Hausarzt und lebe gesund.“ Niemand würde jedoch zustimmen, dass der Rettungsdienst aufgrund der Vorsorge überflüssig wäre. Nicht das eine gesunde Lebensweise und Vorsorgeuntersuchungen schlecht wären, aber dennoch kann es passieren, dass ein Notarzt gebraucht wird.

Ähnlich sieht es bei der IT-Sicherheit aus. Ein System kann noch so gut geschützt sein, es ist dennoch sinnvoll einen Plan für den Notfall zu haben. Einen Fallschirm, falls das gut gewartete Flugzeug abstürzt. In vielen Lebenslagen ist ein Plan B absolut selbsterklärend und so sollte es auch in der IT sein. Deshalb beschäftigen wir uns heute mit dem Notfallplan.

Was ist ein Notfall in der IT?

Notfälle in der IT sind zunächst Sicherheitsvorfälle. Diese werden meist ausgelöst durch Cyberangriffe sowie Systemausfälle und Datenverlust. Dies sind meist die größten Risiken denen Unternehmen ausgesetzt sind. Viele der größten Notfälle, die einen Notfallplan bedürfen, werden nicht durch einen externen Akteur ausgelöst, sondern passieren intern. Fehlern von Mitarbeitern oder veraltete Hardware können schnell zu größeren Problemen führen. Aber auch neue Hardware kann Fehler haben. Hinzu kommen externe Ereignisse wie Naturkatastrophen, Stromausfälle und Brände. Auch in solchen Fällen kann es schnell passieren, dass die IT nicht mehr richtig funktioniert. Schlussendlich hat man es nie ganz in der Hand, ob es nicht morgen einen Notfall gibt. Aus diesem Grund ist ein Notfallplan sinnvoll.

Warum ist ein Notfallplan so wichtig?

Der wichtigste Faktor bei einem Notfall ist immer Zeit. Je länger ein Unternehmen still steht, desto teurer wird es. Produktionsausfälle führen zu stockenden Lieferungen und unzufriedenen Kunden. Hinzu kommt, dass durch die Verzögerungen ein Stau ersteht und neue Bestellungen nicht angenommen werden können, wenn alte noch abgearbeitet werden müssen. Das Ergebnis sind weniger Einnahmen. Hinzu kommt, dass der Regelbetrieb dennoch das gleiche Geld kostet wie ohne einen Ausfall. Ihre Mitarbeiter können nicht mehr arbeiten, aber bekommen dennoch ihr Gehalt. Es gilt so schnell wie möglich das Unternehmen wieder handlungsfähig zu machen.
Bei einer Firma mit Produktion ist dies offensichtlich, aber auch bei Unternehmen die ihren Verdienst mit Dienstleistungen machen, ändert das nichts an der Notwendigkeit schnellstmöglich wieder handlungsfähig zu werden. Das Kapital in solchen Unternehmen liegt im Kundenkontakt und auf diese Daten müssen die Mitarbeitenden zugreifen können. Wenn die IT-Systeme ausfallen, dann gibt es für diese Mitarbeitenden oft keine Möglichkeit weiterzuarbeiten und das System steht still.
Zeit spielt aber noch eine andere Rolle. Es geht nicht nur darum schnell wieder arbeiten zu können, sondern vor allem im Bereich IT-Sicherheit sollte schnell gehandelt werden. Beispielsweise damit sich Malware nicht von einem PC auf alle anderen Systeme ausbreitet. Ein Notfallplan kann auch regeln wie mit einem Angriff umgegangen wird, bevor dieser das ganze Netzwerk infiltriert. Dadurch lässt sich vielleicht das Schlimmste verhindern und der Reputationsverlust ist deutlich geringer.
Hinzu kommen gesetzliche Anforderungen. Ist ein Unternehmen beispielsweise NIS-2-pflichtet, müssen auch die Meldungen an das Bundesministerium für Informationssicherheit (BSI) bedacht werden. Bei zu späten Meldungen drohen Sanktionen. Ein Notfallplan, in dem klar definiert wird, wer eine Meldung abgeben muss und wann, verhindert dies.

Was sind wichtige Bestandteile eines Notfallplans?

Um einen sinnvollen Notfallplan zu erstellen, ist es gut diesen mit der IT-Abteilung und eventuell einer externen Person abzusprechen. Nur dann kann er auf das Unternehmen perfekt angewendet werden und leistet das, was er sollte. Wir stellen ihnen die wichtigsten Bestandteile vor:

Risikoanalyse und Definition kritischer Systeme

Vor dem eigentlichen Notfallplan steht eine Risikoanalyse und damit verbunden ein Plan, was bedacht werden muss, im Falle eines Notfalls. Welche Bereiche sind besonders anfällig und müssen geschützt werden? Welche Bereiche benötigen welche Systeme um arbeiten zu können? Erst auf Basis einer guten Struktur und Dokumentation kann der eigentliche Notfallplan erstellt werden.

Rollen und Verantwortlichkeiten

Im Notfallplan muss klar definiert sein, welche Person in einem Krisenszenario, welche Rolle übernimmt. Wer wird informiert, wer meldet Sicherheitsvorfälle an das BSI? Wer bearbeitet die Meldungen durch Mitarbeitende? Wer kümmert sich um die Wiederherstellung?
Diese und andere Fragen sollten geklärt werden.

Kommunikationskanäle

Im Notfallplan sollte klar geregelt sein, welche Kommunikationskanäle genutzt werden. Auf welchem Weg erreicht man die Verantwortlichen? Dieser Punkt ist eng verknüpft mit dem vorherigen. Darüber hinaus sollte geregelt werden, welche Kunden und Partner informiert werden müssen. Dies ist vor allem bei Datenschutzvorfällen essentiell.

Maßnahmenkatalog

Je nach Vorfall sollten dann konkrete Handlungsanweisungen hinterlegt werden. Beispielsweise für die Isolierung von betroffenen Systemen und der Sperrung von kompromittierten Benutzerkonten. Sollte es notwendig sein, muss auch die forensische Sicherung von Beweisdaten geregelt werden.

Backup- und Wiederherstellungsstrategie

Der wichtigste Hebel im Notfallplan ist die Backup- und Wiederherstellungsstrategie. Hier sollte genauestens protokolliert werden, wie Backups wieder eingespielt werden und vor allem wie gewährleistet wird, dass diese nicht direkt wieder kompromittiert werden.
Man sollte darauf achten, dass der Notfallplan auch analog verfügbar ist und wichtige Inhalte auch mit den Mitarbeitenden geteilt werden. Diese sollten wissen, welche Ansprechpartner sie haben.

Sollte man den Notfallplan testen?

Ein Notfallplan sollte komplett durchgespielt werden, damit die jeweiligen Akteure am Ende ihre Rolle wissen und in einem Notfall schnell agieren können. Dazu sollte man nach dem Erstellen eine Übung durchführen und danach am besten in regelmäßigen Abständen alle 1-2 Jahre. Zusätzlich sollte der Notfallplan auch mindestens einmal im Jahr geprüft werden, ob der Notfallplan noch aktuell ist. Wurden etwaige Personaländerungen erfasst? Gibt es neue Büros oder Produktionsstätten, die Eingang finden müssen? Ist das Backup-System noch so, wie es bei der Erstellung war?
Zusätzlich kann man Cyberangriffe simulieren oder Krisenkommunikationsübungen durchführen. Unabhängig vom Notfallplan raten wir auch dazu Backups regelmäßig zu prüfen, damit diese im Ernstfall funktionieren.

Fazit

Ein IT-Notfallplan sollte in jedem Unternehmen eingeführt werden. Man kann nie wissen, wann es zu einem Notfall kommt und so ist die Firma im Ernstfall vorbereitet. Dadurch kann schnell auf Krisen reagiert werden und die Handlungsfähigkeit schneller wieder hergestellt werden. Das wiederum minimiert Schäden finanzieller Natur und Reputationsverlust.
Wenn sie nicht wissen, wie man einen Notfallplan sinnvoll erstellt, kommen Sie gern auf uns zu. Wir beraten Unternehmen seit über 20 Jahren erfolgreich im Bereich IT-Sicherheit und unterstützen auch Sie sehr gern dabei.

Ab dem 11. Dezember 2027 müssen Hersteller den Cyber Resilience Act umsetzen. Doch bereits am 11. September 2026 beginnt die Meldepflicht durch die Hersteller. Ab dann müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle gemeldet werden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) erinnert im Zuge dessen noch einmal an die dazu vom BSI veröffentlichte Hilfestellung „TR-03183“ für Unternehmen.

Was ist der Cyber Resilience Act?

Der Cyber Resilience Act (CRA) ist eine EU-Verordnung, um die Cybersicherheit von Produkten mit digitalen Elementen verbindlich zu regeln. Die Verordnung ist bereits am 10. Dezember 2024 in Kraft getreten. Die eigentliche Umsetzung durch die Hersteller muss bis zum 11. Dezember 2027 durchgeführt werden. Ausgenommen der Meldepflicht für Sicherheitsvorfälle, diese beginnt bereits früher, nämlich zum 11. September 2026.
Für die Umsetzungndes CRA soll Hard- und Software so entwickelt werden, dass sie möglichst während ihres gesamten Lebenszyklus gegen Cyberangeriffe geschützt bleiben. Betroffen sind davon nahezu alle Produkte mit digitalen Komponenten. Dazu zählen neben offensichtlichen Produkten wie Betriebssystemen, Laptops oder Routern auch Smart-Home-Geräte wie Waschmaschinen oder Fernseher, die sich mit dem eigenen WLAN verbinden lassen. Ähnlich wie auch NIS-2 wurde der CRA EU-weit beschlossen und muss entsprechend in den einzelnen Ländern umgesetzt werden. Er betrifft dabei nicht nur Unternehmen innerhalb der EU, sondern auch Hersteller, die in einem anderen Land produzieren, aber in der EU verkaufen möchten. Somit tangiert die Verordnung nicht nur Hersteller, sondern auch Lieferanten und Importeure.

Wozu dient der CRA?

Der Cyber Resilience Act soll zukünftig vor allem Verbraucher:innen vor Cyberattacken stärker schützen. Für die Nutzer von Produkten mit digitalen Komponenten ist nicht immer einsehbar, welche Schutzmaßnahmen hierfür getroffen wurden oder nachträglich getroffen werden müssen. Wenn, wie vom CRA gefordert, die Cybersicherheit bereits bei der Herstellung implementiert wird, erhöht dies den Schutz der Verbraucher:innen deutlich und gibt die Verantwortung wieder zurück zu den Herstellern.

Welche Verpflichtungen gelten durch den CRA für Hersteller?

Wie auch bei NIS-2 sind die Umsetzungsmaßnahmen des CRA nicht trivial und kurz zusammen zu fassen. Vor allem geht es darum IT-Sicherheit bereits bei der Entwicklung von Produkten mitzudenken. Zusätzlich soll ein Schwachstellenmanagement etabliert werden und Meldeketten für Sicherheitslücken und ausgenutzten Schwachstellen geschaffen werden. Vor allem letzteres sollte zeitnah durch Hersteller eingeführt werden, da dies bereits 2026 verpflichtend wird. Die vollständigen Maßnahmen des CRA finden sich in der eigentlichen Verordnung.

Was ist die TR-03183 Hilfestellung, die durch das BSI für den CRA bereitgestellt wurde?

Die BSI TR-03183 dient als Einstiegshilfe in den CRA und ist als eine Sammlung von wichtigen Informationen zu verstehen. Sie soll vor allem Herstellern dienen, die noch keine ausgereiften IT-Sicherheitsprozesse oder Schwachstellenbehandlung etabliert haben. Die TR-03183 ist aktuell nur in englischer Sprache vorhanden. Auf LinkedIN begründet das BSI dies damit, dass sie im Austausch mit europäischen und internationalen Stakeholdern entstanden ist und aus diesem Grund in englischer Sprache verfasst wurde. Zusätzlich betont das BSI auf der Webseite, dass das Dokument lediglich eine Hilfestellung ist, die weder verpflichtend noch verbindlich ist. Das komplette Dokument findet sich auf der Seite des BSIs zum Download. Zusätzlich gibt es auch eine Auswahl allgemeiner Sicherheitsmaßnahmen in dem maschienenlesbaren Format OSCAL. Diese sind auf Github zu finden.

Unsere Handlungsempfehlungen für den CRA

Sollten Sie Hersteller von Produkten mit digitalen Komponenten sein, wird es nun höchste Zeit sich mit diesem Thema zu beschäftigen. Die Meldepflichten sind bereits ab dem 11. September 2026 bindend. Somit sollten Sie hier ansetzen und dokumentieren, wie mit Sicherheitsvorfällen zukünftig verfahren werden soll. Sonst drohen neben dem üblichen Reputationsverlust und finanziellen Schaden eines Sicherheitsvorfalls auch Sanktionen durch das BSI. Dies kann auch in einem Notfallplan geregelt werden. Wir von der ISCL GmbH beraten Sie hierzu gern.

Wenn wir über den Begriff „Malware“ sprechen, meinen wir meist alles an schädlichen Programmen, die ein System zerstören oder kompromittieren können. In unserem heutigen Blog-Beitrag möchten wir nicht nur erläutern, was der Begriff „Malware“ bedeutet, sondern uns darüber hinaus anschauen, ob kleine- und mittelständische Unternehmen (KMU) häufiger von Angriffen mit Malware betroffen sind.

Was ist Malware?

Der Begriff „Malware“ wurde bereits in den 1990er Jahren verwendet. Er ist ein Kofferwort aus den beiden englischen Wörtern „malicious“ („bösartig“) und „Software“. Darunter fallen alle Programme, deren hauptsächlicher Zweck ist, schädlich zu agieren. Heute wird der Begriff vor allem als Überbegriff für verschiedene Arten an Schadsoftware verwendet. Dabei spielt es nur eine untergeordnete Rolle, wie das Schadprogramm am Ende genau agiert. Deshalb zählen Viren, Würmer, Ransomware, Trojaner oder auch Spyware alle zu Malware.

Wer ist durch Malware gefährdet?

Prinzipiell kann ein Malware-Angriff jeden treffen. Das bedeutet, es gehören Privatpersonen, Behörden, Unternehmen und sogar medizinische Einrichtungen zu den potentiellen Opfern. Immer wieder begegnet uns die verbreitete Ansicht, nicht „groß“, „bekannt“ oder „reich“ genug zu sein, um für Cyberkriminelle interessant zu sein. Dahinter steckt aber ein Irrtum, der sich immer noch hartnäckig hält. Digitale Kriminalität wird nicht nur von menschlichen Akteuren durchgeführt. Viel passiert einfach durch ein Bot-System. So wie bei Google nicht Mitarbeiter händisch das Internet nach Seiten durchsuchen, die bei einem Suchergebnis gezeigt werden, so suchen Kriminelle nicht händisch nach ihrem nächsten Opfer. Diese Arbeit übernehmen Bots. Die prüfen automatisch wie zugänglich ein System von außen ist und nicht wie bekannt oder vermögend ein Unternehmen oder eine Privatsystem ist. Teilweise laufen sämtliche Schritte, vom Finden des Opfers, über eine Ransomware-Sperrung bis hin zum Lösegeld Empfang völlig automatisiert.

Werden kleine- und mittelständische Unternehmen häufiger angegriffen?

Laut Bundeslagebericht vom Bundesministerium für Sicherheit und Informationstechnik (BSI) wurden 2025 über 950 Angriffe mit Ransomware gemeldet. Davon betrafen 80 Prozent KMU. Dabei muss man bedenken, dass Ransomware nur ein Teil von Malware ist und auch nicht alle Angriffe gemeldet wurden. Dies zeigt eindrücklich, dass kleine- und mittelständische Unternehmen ein deutliches Angriffsziel von Cyberkriminellen sind. Mit NIS-2 steigen die Meldepflichten und die Statistik nächstes Jahr werden wahrscheinlich noch einige Fälle mehr bekannt werden. 72% der genannten Ransomware-Angriffe 2025 waren übrigens so massiv, dass es zu Datenleaks kam.

Warum werden vor allem KMU Opfer von Malware?

Im Gegensatz zu größeren Unternehmen haben vor allem kleine- und mittelständische Unternehmen oft deutlich weniger IT-Sicherheitsmaßnahmen. Zum einen ist das Budget nicht so hoch wie bei großen Unternehmen und auch nicht immer ist das Gefahrenbewusstsein so stark ausgeprägt. Hinzu kommen auch personelle Engpässe. Noch immer gibt es einen Fachkräftemangel und nicht jede Firma kann oder möchte einen eigenen Experten für IT-Sicherheit einstellen. Jetzt könnte man sagen, das wissen auch Cyberkriminelle und sie begeben sich damit gezielt auf die Suche nach KMUs. Das ist aber so nicht richtig, viel mehr findet das Bot-Netz, das kontinuierlich durch das Netz geistert häufiger offene Zugänge und Sicherheitslücken bei KMU. Diese werden dann ausgenutzt und es kommt zu einem Vorfall.

Warum ist ein Malware-Angriff vor allem für kleine- und mittelständische Unternehmen so gefährlich?

Neben der Tatsache, dass die Wahrscheinlichkeit höher ist, dass ein Angriff erfolgreich verläuft, sind auch die Folgen eines Cyberangriffs meist deutlich gravierender. Der entstandene finanzielle Schaden kann nicht immer kompensiert werden. Teilweise sind Firmen nach einem Angriff so geschädigt, dass das Unternehmen Insolvenz anmelden muss. Viele Unternehmen sind aber nicht nur schlecht geschützt, sondern auch nicht für den Notfall gewappnet. Das hat zur Folge, dass nach einem erfolgreichen Malware-Angriff erst einmal alles still steht. Während bei größeren Unternehmen ein Notfallplan und schnelle Incident-Maßnahmen greifen, wird in kleineren Unternehmen erst im Falle eines Vorfalls überlegt, welcher Schritt der nächste sinnvolle ist. Das kostet jedoch sehr viel Zeit. Jede Minute, in der die Mitarbeiter nicht arbeiten können und jeder Moment in dem die Produktion still steht, kostet Geld.

Wie können Sie Ihr Unternehmen vor Malware schützen?

IT-Sicherheitsmaßnahmen sind nicht nur für große Unternehmen, sondern auch für KMU relevant. Wir raten Ihnen deshalb zu folgenden Maßnahmen gegen Malware:
Security-Audits/Checks: Diese helfen Ihnen einen Überblick zu bekommen. Für sehr kleine Unternehmen bietet sich der CyberRisikoCheck des BSIs an. Damit bekommen Sie eine erste grobe Übersicht, wie es um die IT-Sicherheit in Ihrem Unternehmen steht. Wenn Sie diesen bereits gemacht haben und/oder einige Maßnahmen fest implementiert haben, raten wir Ihnen jedoch zu einem größeren Security-Audit. Hier werden alle Maßnahmen auf Herz und Nieren geprüft. Dies dient vor allem dazu Sicherheitslücken zu finden und im Anschluss auch zu schließen. Mit einem Experten an Ihrer Seite wird nichts übersehen.
Mitarbeiterschulungen: Malware gelangt immer noch häufig durch Social Engineering-Attacken in das Firmennetzwerk. Dazu werden Mitarbeiter gezielt reingelegt. Es werden beispielsweise Phishing-Mails verschickt. Diese sind heutzutage nicht mehr so leicht zu erkennen wie noch vor zehn Jahren. Deshalb ist es wichtiger, dass Mitarbeitende dafür eine gewisse Achtsamkeit entwickeln und vor dem Öffnen von Mails oder Anhängen noch einmal einen zweiten prüfenden Blick darauf werfen.
Auf technischer Seite gibt es ebenfalls einige Maßnahmen mit denen Sie Ihre eigenen Systeme gegen Malware schützen können.
Eine gute und aktuell gehaltene Firewall: Wichtig ist, dass Sie diese nicht einmal einbauen und vor ihr Netzwerk schalten. Sie muss nicht nur gut konfiguriert sein, sondern die Einstellungen müssen regelmäßig geprüft und überarbeitet werden. Auch Updates müssen regelmäßig eingespielt werden. Eine Firewall ist nur so gut, wie der Verantwortliche, der sich um sie kümmert. Ohne aktuelle Updates, ist Ihre Firewall wie eine Mauer mit Löchern und bietet keinen ausreichenden Schutz. Deshalb sprechen wir uns nur dann für eine Firewall aus, wenn sie auch gepflegt wird. Alles andere führt zu einem trügerischen Sicherheitsgefühl, obwohl das eigentliche Gerät nicht die gewünschte Sicherheit bietet.
Endpoint Security: Hier gibt es viele gute Anbieter zu denen wir Sie auch gern beraten. Durch eine Endpoint-Security kann jedes Gerät noch einmal einzeln geschützt werden. Dadurch hilft sie auch, sollte es einmal Malware durch die Firewall geschafft haben.
Notfallplan und eine Backup-Strategie: Im Falle eines Vorfalls ist direkt klar, welche Schritte notwendig ist. Welche Maßnahmen sind erforderlich? Wer wird verständigt und wie können wir schnellstmöglich wieder arbeiten? Sollte das Unternehmen unter NIS-2 fallen sind zudem Meldestrukturen erforderlich. Denn hier gibt es festgelegte Meldefristen, wann Unternehmen Vorfälle an das BSI melden müssen.
Keine Vorbereitung bedeutet nicht nur Arbeitsausfälle und damit verbundenen finanziellen Schaden, sondern auch einen Reputationsverlust. Wer NIS-2 beachten muss, kann zudem mit Sanktionen rechnen, sollte die Meldepflicht nicht eingehalten werden.
In jedem Fall empfiehlt es sich vorbereitet zu sein, um möglichst schnell wieder handlungsfähig zu sein.

Wir von der ISCL GmbH verstehen uns als Experten für IT-Sicherheit und unterstützen vor allem KMU bei der Umsetzung von Maßnahmen. Am besten fangen Sie noch heute an und buchen den CyberRisikoCheck bei uns. Dieser eignet sich perfekt, um einen ersten Überblick über ihre aktuelle Situation zu bekommen. Alle Informationen finden Sie hier.

Vermutlich gibt es Schatten-IT fast genauso lang, wie es Büros mit einer IT-Infrastruktur gibt. In den seltensten Fällen ist das Nutzen von nicht freigegebenen Programmen oder Geräten böse Absicht. Allerdings kann es oft für das Unternehmen problematisch enden. Denn viele Programme, Geräte oder Tools sind eine Gefahr für die interne Cybersicherheit und den Datenschutz.

Was ist Schatten-IT?

Unter Schatten-IT versteht man jede Software oder App und jedes digitale Gerät, das ohne Genehmigung und meist auch ohne jedes Wissen der IT-Abteilung und/oder Geschäftsführenden eingesetzt wird. Mit Blick auf den Datenschutz zählen auch Anwendungen dazu, die in einem legitimierten Browser genutzt werden, wie Webseiten von KI oder auch private E-Mail Programme und Clouds.

Was sind die Gründe für Schatten-IT?

Meist haben Mitarbeitende unterschiedliche Motivationen, um ihre eigenen Programme zu nutzen und diese nicht abzusprechen. Selten sind die Absichten jedoch wirklich böswillig und meist spielen verschiedene Gründe mit in die Entscheidung.

Fehlendes Bewusstsein

In Gesprächen mit Mitarbeitenden stellen wir ganz oft fest, dass wenig oder kein Bewusstsein für die Problematik von nicht autorisierter IT herrscht. Hinzu kommt, auch die Geschäftsführung ist oft ebenfalls nicht für dieses Thema sensibilisiert. Das ist auch verständlich, denn weder bei den Mitarbeitern noch bei der Geschäftsführung sind zwangsläufig Menschen, deren Fachgebiet in der IT liegt. Je nach Unternehmensstruktur wird die IT auch durch komplett externe Firmen geregelt, somit ist niemand im Unternehmen, der dieses Thema anspricht. Das Ergebnis einer solchen Struktur ist häufig, dass eine rege Schatten-IT herrscht, ohne das diese sinnvoll reguliert wird.

Effizienteres Arbeiten/Arbeitserleichterung

Manche Tools und vor allem KI-Werkzeuge versprechen ein vereinfachtes Arbeiten. Deshalb nutzen viele diese mittlerweile in allen möglichen Bereichen des täglichen Geschäftslebens. Text und Bilderstellung, programmieren von Code, Datenanalyse und Zusammenfassungen oder Recherche sind nur einige Einsatzgebiete in denen KI Anwendung findet. Das ist erst einmal prinzipiell nichts schlechtes, es wird aber selten genug reguliert. Wie schnell landet ein Protokoll aus einem Kundengespräch in der KI, um dieses zusammenzufassen? Wenn diese KI jedoch nicht lokal installiert und reglementiert ist, dann landen auf diese Weise auch Daten auf Fremdservern, die durch den DSGVO geschützt sind. Im schlimmsten Fall gibt es hier ein Datenschutzverstoß.

Handlungsfähigkeit

Der alte Fernseher im Meeting-Raum ist kaputt, also wird schnell ein Neuer bestellt. Neue Fernseher sind aber oft auch Smart-TVs und benötigen für ihre Funktion eine W-LAN Verbindung. Dazu muss man doch nicht extra die IT-Abteilung behelligen oder? Das kann doch jeder Mitarbeiter schnell selbst machen.
Aber ist das wirklich so? Leider ist das etwas zu kurz gedacht. Denn selbst über einen ungeschützten Smart-TV im Netzwerk können potentiell Hacker in das Firmennetzwerk eindringen. Entsprechend sollte der Fernseher durch Netzwerksegmentierung vielleicht nicht im gleichen virtuellen Netzwerk wie die Buchhaltung sein. Dies ist nur ein Beispiel für die bevorzugten kurze Wege. Man kennt dies auch mit Programmen, die mal eben benötigt werden, um einen bestimmten Dateityp zu öffnen. Selbst wenn diese Programme nicht schädlich sein sollten, bieten sie ein anderes Risiko. Einmal installiert verbleiben sie meist einfach auf dem Gerät und das ohne regelmäßige Aktualisierungen und Sicherheitsupdates.

Private Geräte und Clouds

Der Akku vom Diensthandy ist leer, aber man hat einen wichtigen Kundentermin? Kein Problem, einfach die wichtigen Infos in die private Dropbox und von da auf das private Handy und der Termin kann kommen. Auch das ist wieder ein Gedanke, der grundsätzlich erst einmal nicht boshaft ist, sondern nur eine Zeitersparnis darstellen soll. Aber sowohl private Geräte als auch eine nicht legitimierte externe Cloud sind in der Regel nicht DSGVO konform und es kann hier schnell zu Problemen kommen.
Ähnlich verhält es sich mit Messengern auf privaten Handys. Immer wieder tauschen Mitarbeiter Informationen über Kunden schriftlich aus. Dies geschieht häufig wenn die offiziellen Kommunikationswege als zu langsam wahrgenommen werden. Natürlich ist auch das mit Blick auf den Datenschutz nicht erlaubt.

Wieso ist Schatten-IT problematisch?

Grundsätzlich bietet Schatten-IT eine deutlich höhere Angriffsfläche für Cyberkriminelle. Programme sind unkontrolliert auf den Geräten und entziehen sich somit teilweise der Prüfung durch erfahrene Mitarbeitende aus dem IT-Bereich. Sie werden nicht aktualisiert und bestehende Sicherheitslücken nicht geschlossen. Hinzu kommt, dass nicht jedes Programm sicher ist. Darüber hinaus ist der Datenschutz ein wichtiges Thema vor allem dann, wenn Kunden Informationen außerhalb der autorisierten IT landen. Datenschutzverstöße können Unternehmen nicht nur sehr viel Geld kosten, sondern auch einiges an Reputation.
Damit einher gehen häufig Compliance Verstöße. Wenn ein Unternehmen beispielsweise eine ISO 27001 Zertifizerung erreicht hat oder sich an NIS2 Vorgaben halten muss, dann kann es eher passieren, dass durch die Schatten-IT diese Vorgaben unterlaufen werden. Die Konsequenzen sind Sanktionen und/oder der Verlust des Zertifikats.

Wie lässt sich Schatten-IT einschränken?

Oft entsteht Schatten-IT aus mangelnder Aufklärung heraus oder weil die standardisierten Prozesse zu langwierig erscheinen. Wir möchten Ihnen deshalb auch Lösungsvorschläge aufzeigen, wie man mit Schatten-IT umgeht oder sie wieder los wird.

Klare Kommunikation und ein Bewusstsein schaffen

Oft ist Mitarbeitenden nicht bewusst, welche Freiheiten für Ihre Arbeit gelten und wo Vorsicht geboten ist. Hier wäre es zunächst sinnvoll klare Regeln zu definieren, die dann durch die IT-Leitung oder die Geschäftsführer an die jeweiligen Teamleitungen und auch die Mitarbeiter weitergegeben werden. Dazu gehört nicht nur das Thema Programme und Geräte,sondern auch KI. Es muss klar geregelt werden, wer in welcher Abteilung auf welche KI mit welchen Daten zugreifen darf. Wenn sich Mitarbeitende KI-Systeme wünschen, sollten diese durch die IT bereitgestellt werden und entsprechenden Sicherheitsrichtlinien unterliegen.
Idealerweise werden zu diesem Thema auch Schulungen durchgeführt. Denn dann wächst auch das Verständnis für diese notwendigen Einschränkungen. Wenn die Geschäftsführung selbst das eigene Wissen erweitern möchte, wäre auch hier eine Schulung relevant. Denn Mitarbeiter orientieren sich gern an ihren direkten Vorgesetzten und die Regeln greifen besser, wenn sie für alle gelten. Es ist wichtig ein Bewusstsein für diese Themen zu schaffen und gemeinsam darüber zu sprechen. Denn dann werden die folgenden Punkte von Mitarbeitern nicht als Schikane empfunden, sondern als sinnvolle Maßnahmen.

Einschränkungen für Systeme und Programme

Die Wege für eine Schatten-IT sollten durch die IT-Mitarbeitenden verbaut werden. Beispielsweise könnte man Mitarbeitern die Möglichkeit nehmen Programme/Apps auf ihren PCs und Geschäftshandys selbstständig zu installieren, indem man ihnen keine Administratoren-Rechte gibt. Dann müssen alle Programme abgesprochen werden. Auch können Netzwerke so gesichert werden, dass es einen Verantwortlichen braucht,bevor der Smart-TV beispielsweise auf das Internet zugreifen kann.

Schnellere Prüfung von IT-Tools und damit verbundene Genehmigungsprozesse

Die Bedürfnisse der Mitarbeiter nach schnellen und effizienten Programmen sollten ernst genommen werden. Um den Wünschen nach benötigter Software schnell nachzukommen, ist es notwendig einen Prozess zu entwickeln bei dem neue Programme möglichst schnell Eingang in die Standard-IT finden. Sollte eine Ablehnung stattfinden, ist es wichtig sinnvolle und moderne Alternativen zu finden. Die IT sollte dabei eng mit dem Datenschutz-Verantwortlichen zusammenarbeiten und auch für die Mitarbeitenden nahbar bleiben.
Beherzigen Sie diese Punkte, wird es zukünftig deutlich weniger Schatten-IT in Ihrem Unternehmen geben und die IT-Sicherheit wird sich deutlich erhöhen.

Fazit: Warum wird Schatten-IT zunehmend ein Problem?

Die Ursache für eine zunehmende Schatten-IT findet sich vor allem in der Entwicklung der KI. Man spricht deshalb auch von „Schatten-KI“. Häufig verspricht KI schnelle und hilfreiche Arbeitserleichterungen. Das verleitet Arbeitnehmer in sehr vielen Bereichen dazu, diese zu nutzen oder mindestens einmal auszuprobieren. KI ist leicht zugänglich und benutzerfreundlich, dadurch können viele Menschen mit unterschiedlichem Kenntnisstand schnell darauf zugreifen.
Die Probleme, die daraus entstehen können, sind jedoch für viele im Unternehmen nicht naheliegend oder ersichtlich. Eine Umfrage ergab 2025, dass nahezu ein Viertel der deutschen Fachkräfte nicht autorisierte KI zum Arbeiten nutzt. Dabei kann die Nutzung zu Problemen mit unterschiedlichem Schweregrad führen. Von einer falschen Information, die die Marketing-Abteilung ungeprüft von ChatGPT übernimmt, bis hin zu KI-Agenten die die komplette Datenbank eines Unternehmens löschen, sind alle Abstufungen an Problemen vorhanden.
Deshalb möchten wir jede:n IT-Leitende:n und jede Geschäftsführung dazu ermuntern, sich mit diesem Thema auseinander zu setzen. Mittlerweile ist die Zeit zu vorbeugenden Maßnahmen abgelaufen und es wird Zeit schnell zu reagieren, bevor Schäden entstehen.

Verschiedene Varianten an Sicherheitskonzepten sorgen je nach Unternehmen für mehr IT-Sicherheit. Aktuell häufig sieht man das Zero-Trust-Modell. Dieses beinhaltet in der Regel als untergeordnetes Element das „Principle of Least Privilege“ (Prinzip der geringsten Rechte). Wir erklären Ihnen in unserem heutigen Beitrag, was damit gemeint ist und warum es sinnvoll ist es einzuführen.

Was ist das Principle of Least Privilege?

Beim Principle of Least Privilege (PoLP) geht es darum, dass Benutzer und Anwendungen genau die Berechtigungen erhalten, die sie für ihren Aufgabenbereich brauchen und nicht mehr.
Beispielsweise benötigt die IT-Leitung nicht unbedingt Zugriff auf Finanzdaten, während die Vertriebsleitung keine administrativen Firewall-Rechte benötigt. Jeder in einem Unternehmen sollte nur genau so viele Rechte bekommen, wie die Person benötigt.

Was für Vorteile bietet das Principle of Least Privilege?

Das Principle of Least Privilege bietet viele Vorteile und das in ganz unterschiedlichen Bereichen.

1. IT-Sicherheit

Viele Angriffe beginnen mit einem Social Engineering-Versuch. Mit dem PoLP lässt sich etwaiger Schaden begrenzen. Stellen wir uns dazu zwei Szenarien vor:
Szenario 1: Ein HR-Manager hat häufiger E-Mail Kontakt mit Bewerbern und Personen, die dem Unternehmen unbekannt sind. In unserem Beispiel fällt ein der Manager auf eine Phishing-Mail herein. In unserem Szenario gibt es weder ein komplettes Zero-Trust-System noch ein Principle of Least Privilege. Das bedeutet, im schlimmsten Fall kann sich der Angreifer innerhalb kürzester Zeit Zugriff auf alle System des Unternehmens verschaffen. Er erhält damit nicht nur die Daten potentieller Bewerber und Mitarbeiter, sondern auch die Daten sämtlicher Kunden, finanzielle Informationen, Zugriff auf die Konten des Unternehmens, die Backup-Systeme, die Produktion und kann alle weiteren Sicherheitsmechanismen ausschalten. Dies kann für das Unternehmen ein wirtschaftlicher Totalschaden bedeuten.
Szeanrio 2: Auch in diesem Beispiel öffnet der HR-Manager eine Phishing-Mail. Allerdings hat hier die IT-Abteilung vorgesorgt und Rechte nach dem Principle of Least Privilege vergeben. Der Mitarbeiter hat somit lediglich Zugriff auf die Bereiche, die er für das tägliche Arbeiten benötigt. Der Hacker hat es über die Phishing-Mail geschafft den Computer des Mitarbeiters unter seine Kontrolle zu bringen. Er hat nun Zugriff auf die Daten von potentiellen Bewerbern oder Mitarbeitenden. Aber um an andere Daten zu gelangen, benötigt er weitere Zugriffsrechte. Diese erhält er nicht ohne weiteres. Er steckt also erst einmal auf dem System fest, in das er einbrechen konnte. Wird der Sicherheitsvorfall nun erkannt, kann die IT-Abteilung den befallenen PC nun von allen anderen Systemen weiter isolieren. Man könnte sogar einfach das komplette Gerät austauschen und die Daten aus einem Backup wiederherstellen. Der Schaden, der in diesem Fall entstanden ist, ist erst einmal hauptsächlich ein reiner Datenschutzvorfall, da die Daten von Mitarbeitenden und Bewerbern durch einen Fremden eingesehen werden konnten. Zwar kann auch dies ein Unternehmen viel Geld kosten, aber es sind andere Kosten als eine stillgelegte Produktion oder der Zugriff auf sämtliche Konten und Kundendaten.

2. Reduktion interner Datenschutzfälle

Die menschliche Neugier ist eine Antriebsfeder und in vielen Bereichen durchaus wichtig. Allerdings kann sie in einem Unternehmen auch zu Problemen führen. Beispielsweise hat die HR-Abteilung oft Zugriff auf viele personenbezogene Daten von Mitarbeitenden. Neben Adressen, Familienstand sind teilweise auch Gesundheitsdaten hinterlegt. All diese Daten sind durch die DSGVO geschützt und andere Mitarbeitende sollten diese nicht einsehen dürfen. Interner Datenschutz wird in vielen Firmen häufig nicht sehr hoch priorisiert und in der Tat fallen solche Lücken meist erst dann auf, wenn ein Problem entstanden ist. Beispielsweise dann wenn ein Mitarbeiter bei einem anderen ungefragt vor der Haustür steht, da er die Adresse einsehen konnte. Ebenso kann es passieren, dass die chronische Erkrankung eines Mitarbeiters bekannt wird und er sich dadurch bloßgestellt fühlt. Solche Vorfälle lassen sich reduzieren, wenn das Principle of Least Privilege umgesetzt wird und nicht jeder Mitarbeitende Zugriff auf alle anderen Daten hat.

3. Reduktion menschlicher Fehler

Die menschliche Neugier führt nicht nur dazu, dass Daten eingesehen werden, die vom Datenschutz geschützt sind, sondern auch von andere Betriebsbereichen. Vielleicht wollte ein Mitarbeiter nur mal schauen, was im nächsten Newsletter thematisiert wird. Dabei vernichtet er versehentlich das mühsam erstellte Layout der Marketing-Abteilung oder es wird nachgeschaut, wie die Produktion läuft und nebenbei werden falsche Aufträge erzeugt. Schlussendlich ist es immer gut, wenn nur Menschen mit ihrer eigenen fachlichen Expertise Einsicht in die eigenen Bearbeitungen haben.
Ebenso verhält es sich mit Administratoren-Rechten. Fehlende Administratoren-Rechte verhindern nicht nur, dass Hacker problemlos Programme installieren können, sondern auch eine sogenannte „Schatten-IT“. Bei dieser werden Programme ohne Rücksprache „mal eben schnell“ installiert und nicht richtig einkategorisiert. Vielen Mitarbeitenden ist nicht bewusst, dass dadurch etwaige Schadprogramme und Sicherheitslücken versehentlich mitinstalliert werden können. Bei erfolgreicher Anwendung des Principle of Least Privileges müssen Mitarbeitende Programme mit der zuständigen Abteilung absprechen. Was für die Mitarbeitenden vielleicht erst einmal als störend empfunden wird, dient als zusätzlicher Sicherheitsmechanismus und reduziert die Fehleranzahl und die Anzahl an unsicheren Programmen erheblich.

4. Zertifizierungen

Für viele Sicherheitszertifikate ist ein Principle of Least Privilege eine Grundvoraussetzung. Möchte man langfristig beispielsweise eine ISO 27001 Zertifizierung erreichen, sollte man sich darauf einstellen ein PoLP etablieren zu müssen. Es schadet also nicht, dieses bereits frühzeitig einzurichten und dabei alle wesentlichen Punkte zu dokumentieren. So spart man sich den doppelten Aufwand. Auch für eine Cyberversicherung ist ein solches Prinzip oft eine Grundvoraussetzung.

Was bedeutet Principle of Least Privilege auf Anwendungen und Systeme bezogen?

Nicht nur Mitarbeitende sollten eingeschränkt Zugriff auf verschiedene Bereiche im Unternehmen haben. Auch Anwendungen und der Zugriff von Systemen untereinander sollte reguliert werden. Auf diese Weise verhindert man, dass Programme kompromittiert werden und eventuell Daten verwenden, auf die sie eigentlich keinen Zugriff haben sollten.
Beispielsweise könnte man Apps den Zugriff auf das Internet limitieren oder sie nicht auf das Netzwerk zugreifen lassen. Zudem kann man einschränken, ob ein Programm andere Daten löschen darf oder nicht. Vor allem in den letzten Monaten hat es vermehrt Fälle gegeben bei denen KI-Agenten zu viel Rechte hatten und Daten (teilweise samt Backup) gelöscht hatten. Dies hätte mit einem PoLP verhindert werden können.

Wie lässt sich das Principle of Least Privilege im Unternehmen umsetzen?

Das Konzept wirkt auf den ersten Blick einfach und auch sehr stimmig. Die Umsetzung hingegen ist je nach Unternehmen häufig sehr komplex. Zunächst muss man sich Gedanken darüber machen, wie man das PoLP umsetzt und die Privilegien verteilt. Werden diese nach Rollen vergeben oder Sicherheitsstufen erstellt? Teilt man die Rechte nach den Abteilungen auf und benötigen die einzelnen Abteilungen noch einmal Unterstufen? In einer kleinen Firma besteht die IT-Abteilung vielleicht nur aus drei Leuten, dann könnten alle die gleichen Rechte haben. In einem größeren Unternehmen gibt es dagegen vielleicht zwei IT-Leiter, 5 Mitarbeitende, eine Auszubildende und ein Praktikant. Sollte der Praktikant die gleichen Zugriffsrechte haben wie der IT-Leiter? Solche Fragen müssen vorab geklärt werden. Anschließend müssen die Rechte verteilt werden. Dabei sollte der laufende Betrieb am besten so wenig wie möglich beeinflusst werden. Nach der ersten Einrichtung sollten die Rechte regelmäßig überprüft werden. Ein Unternehmen ist selten statisch. Neue Mitarbeitende kommen und alte gehen, mal wurden jemandem kurzfristig Rechte erteilt und mal gab es ein Update für ein Programm und es muss neu kategorisiert werden. Regelmäßige Prüfungen und eine gute Dokumentation sind damit nahezu verpflichtend.

Wie kann die ISCL GmbH beim Principle of Least Privilege unterstützen?

KSchlussendlich kann man sagen, dass es für jedes Unternehmen erst einmal sinnvoll ist, die Rechte und IT-Hierarchien nach diesem System auszurichten. Vor allem aber die erste Einrichtung und Dokumentation ist mit sehr viel Aufwand verbunden. Die eigene IT-Abteilung hat aber in der Regel bereits ihren festen Aufgabensatz, den es tagtäglich zu bewältigen gilt. Hinzu kommt, dass sie ein Teil des System ist, den es zu reglementieren gilt. Hier hilft häufig ein externer Berater. Wir von der ISCL GmbH unterstützen mit einem qualifizierten Außenblick ein strukturiertes Zero-Trust-System nach dem Principle of Least Privilege zu implementieren. Zusätzlich bieten wir eine regelmäßige Revision und Prüfung der vorhandenen Regeln an. Ziel ist es, dass Sie sich ganz auf ihre täglichen Prozesse konzentrieren können und wir die andere Arbeit übernehmen. Dadurch erhöhen Sie ihre IT-Sicherheit mit möglichst geringem eigenen Aufwand und Einschränkungen im normalen Arbeitsalltag.

Was bedeutet der Begriff „Kryptografie“?

Der Begriff der „Kryptografie“ stammt aus dem altgriechischen und bedeutet so viel wie „Geheimsprache“. Als der Begriff das erste Mal auftauchte, bedeutete er vor allem eine geheime Schreibweise und die entsprechenden Techniken dafür zu entwickeln. Im alten Griechenland ging es bei der Kryptografie zum Beispiel vor allem darum Methoden für neue Geheimschriften zu kreieren.
Heutzutage setzen viele den Begriff „Kryptografie“ mit dem Begriff „Verschlüsselung gleich. Das ist jedoch etwas zu kurz gefasst. Viel eher ist Kryptografie die „Wissenschaft der Verschlüsselung“. Damit umfasst sie deutlich mehr Bestandteile als die eigentliche Verschlüsselung. Die Kryptografie umfasst vier Hauptziele:
Vertraulichkeit: Daten lesen oder generell Informationen erhalten dürfen nur berechtigte Personen.
Integrität: Sämtliche Daten müssen nachweisbar unverändert und vollständig sein.
Authentizität: Urheber von Nachrichten müssen eindeutig identifizierbar sein und Fälschungen müssen ausgeschlossen sein.
Verbindlichkeit: Durch die eindeutige Identifikation von Urhebern soll der Verfasser einer Nachricht nicht in der Lage sein, seine Urheberschaft abzustreiten.

Warum ist Kryptografie wichtig?

Ohne Kryptografie wäre eine sichere Nutzung des Internets nicht möglich. Sie ist unter anderem die Grundlage für das „HTTPS“-Protokoll, welches Daten zwischen Ihnen und Ihrer besuchten Website verschlüsselt. Unseren Blog-Beitrag zu HTTPS finden Sie hier.
In der digitalen Kommunikation ist diese deshalb nicht mehr weg zu denken

Welche Teilbereiche gibt es in der Kryptografie?

Verschlüsselung:

In der Regel unterscheidet man bei der Verschlüsselung zwischen der symmetrischen und der asymmetrischen Verschlüsselung. Bei der symmetrischen Verschlüsselung haben beide Kommunikationspartner den gleichen Schlüssel für die verschlüsselten Daten. Auf diese Weise kann eine große Menge an Daten leicht versendet werden. Es bietet aber auch Unsicherheiten und beide Parteien müssen den jeweiligen Schlüssel habe.
Bei der asymmetrischen Verschlüsselung hingegen gibt es zwei verschiedene Schlüssel. Den öffentlichen, der frei verteilt wird und den privaten, der geheim bleibt. Die Daten werden zwar mit dem öffentlichen Schlüssel verschlüsselt, können jedoch nur mit dem privaten entschlüsselt werden. Dies ist eine sehr verknappte Darstellung einer Public Key Infrastructure. Einen ausführlichen Blog Beitrag zu diesem Thema finden Sie hier.

Digitale Signaturen:

Bei Public Key Infrastructure sind Signaturen maßgeblich für die Kommunikation. Aber auch in anderen Bereichen fallen Signaturen in den Bereich Kryptografie. Beispielsweise bei signierte PDFs. Es gibt verschiedene Verfahren für Signaturen. Um nur ein paar zu nennen:
RSA-Signaturen,EdDSA (Edwards-Curve Digital Signature Algorithm) und ECDSA (Elliptic Curve Digital Signature Algorithm)

Umwandeln in Hashes:

Ein Passwort kann in Hashes umgewandelt werden. Ein Hash ist eine Umwandlung des Passworts in eine Buchstaben- und Zeichenfolge nach einem bestimmten Muster. Gewissermaßen könnte man sagen, dass ein Hash in der Kryptografie dem ursprünglichen Sinn einer geheimen Sprache am nächsten kommt. Dies dient dazu, dass Passwörter nicht im Klartext abgespeichert und somit leichter zu stehlen sind.

Blockchain:

Dem ein oder anderen ist das Wort „Kryptowährung“ oder Bitcoin ein Begriff. Wie der gleiche Wortanfang zu Kryptografie vermuten lässt, hängt auch die Kryptowährung mit der Kryptografie zusammen. Die Währung wird durch Hashes gebildet und auch die Transaktionen bauen auf kryptografischen Verfahren.

Wie wird sich Kryptografie in der Zukunft entwickeln?

Die Kryptografie so wie sie bis vor wenigen Jahren noch bekannt war, steht vor einer Herausforderung. Diese Verschlüsselungsverfahren könnten durch Quantencomputer viel zu schnell geknackt und Daten somit entschlüsselt werden. Aus diesem Grund wird bereits an vielen Stellen Post-Quanten-Kryptografie etabliert und auch an weitergehenden Techniken in diesem Bereich geforscht und gearbeitet. Nur auf diese Weise wird zukünftig die Kryptografie der fortschreitenden Technik standhalten können.

Fazit

Kryptografie ist essentiell und nahezu überall im Internet im Einsatz. Sie ermöglicht uns eine sichere Kommunikation und bildet somit die Grundlage für viele moderne Anwendungen. Ohne Kryptografie wären viele alltägliche Dinge wie Online-Banking mit einem immensen Sicherheitsrisiko verbunden.
Sie möchten Kryptografie verstärkt in Ihrem Unternehmen einsetzen und eine Public Key Infrastructure implementieren? Sprechen Sie uns gern an und wir unterstützen Ihr Unternehmen bei der Einrichtung.

Unser Blog-Beitrag heute wird ein wenig technischer als unsere sonstigen Beiträge, aber wir möchten an dieser Stelle einmal über ein aktuelles Thema sprechen, das unser Team in den letzten Monaten stärker beschäftigt hat. Eine der bekanntesten Firewall-Modelle weltweit ging gestern End of Life (EoL) und wird nicht weiter mit Updates unterstützt: Sämtliche Modelle der UTM-Reihe der Firma Sophos. Dieser Beitrag ist vor allem gestützt durch unsere Erfahrungen und unserer eigenen Meinung zu diesem Thema.

Alle wichtigen Informationen über das EoL-Datum noch einmal im Überblick

Die UTM wurde bereits vor über 20 Jahren von der Firma Astaro in Karlsruhe entwickelt und war lange führend im Bereich Firewalls. 2011 wurde Astaro und mit dem Unternehmen auch die UTM von Sophos übernommen. Sophos hat im Juni 2023 den Verkauf beendet und Anfang April des gleichen Jahres angekündigt, dass die bekannte Firewall ab dem 30. Juni 2026 nicht mehr unterstützt wird. Dies bedeutete für alle Nutzer einer UTM, dass es über kurz oder lang notwendig wurde, das Modell zu wechseln. Es werden ab diesem Datum keine weiteren Sicherheitsupdates mehr kommen und auch die Funktionen des Geräts sind nur noch eingeschränkt verfügbar. Das heißt schlussendlich alles was eine Nextgen Firewall ausmacht (VPN, Webfiltering, Werbserver etc.) kann nicht mehr verwendet werden.

Bitter ist dies vor allem für Kunden, die die Firewall erst kurz vor April 2023 erworben haben. Denn damit haben sie ihr Modell gerade einmal für etwas mehr als drei Jahre gekauft. Unserer Meinung nach ist dies eine ziemlich kurze Zeitspanne für eine hochwertige Firewall, die, je nach Größe, auch entsprechend Geld kostet. Hinzu kommt, dass die Hardware nach drei Jahren noch lange nicht einen Punkt erreicht hat, an dem man sie aufgrund von Verschleiß ohnehin austauschen müsste. Vor allem mit Blick auf aktuelle wirtschaftliche Herausforderungen und umweltbewusster Ressourcen-Verwendung hat diese kurze Zeitspanne einen besonders unangenehmen Beigeschmack. Tatsächlich wurde genau diese Zeitspanne von Sophos bereits häufiger in der Vergangenheit vom letzten Verkauf bis zum EoL auch für andere Sophos Geräte gesetzt hatte. Wir finden der Abstand von Ankündigung zu End of Life sollte mindestens fünf Jahre betragen.

Ist ein Wechsel von der UTM auf die XGS ohne Schwierigkeiten möglich?

Jaein, tatsächlich macht es einem Sophos hier nicht ganz einfach. Zwar gibt es ein Tool von Sophos selbst, dass aber, unserer Meinung nach, nicht ausreichend dokumentiert ist. Hinzu kommt, dass die beiden Firewalls grundverschieden funktionieren (UTM Interfacebasiert, XGS Zonenbasiert), das heißt, die Regeln müssen für das neue System erst optimiert wurden.
Dies ist im ersten Blick wenig intuitiv und somit stoßen wir öfter auf das Unverständnis von Kunden, die von dem Umzug betroffen sind. Denn neben der Notwendigkeit neue Hardware zu kaufen, sind somit auch Zeit und menschliche Ressourcen notwendig, eine solche Migration durchzuführen.

Ist es besser auf die XGS zu wechseln oder auf eine andere Firewall?

Dies ist eher eine Frage des Bedarfs als eine, die die aktuelle Situation betrifft. Sollte man jedoch schon länger mit dem Gedanken spielen sich von Sophos loszusagen und eine andere Marke in Betracht ziehen, ist jetzt ein guter Zeitpunkt für einen Wechsel. Zum einen wird ohnehin eine neue Appliance benötigt und zum anderen ist, wie bereits erwähnt, auch der Umzug zur XGS etwas zeitaufwendig. Aus unserer Erfahrung können wir berichten, dass sich unsere Kunden für ganz unterschiedliche Wege entschieden haben. Einige haben sich für das jeweilige zum Nachfolgemodell der XGS-Reihe entschieden. Andere vor allem kleinere Firmen sind zu Marken wie Securepoint gewechselt und wieder andere sind bei dem Open Source Modell OPNSense gelandet. Wir können an dieser Stelle erstmal keine allgemein gültige Empfehlung abgeben.

Wir haben noch eine UTM und den Wechsel noch nicht beschlossen, was tun wir nun?

Generell gibt es hier verschiedene Möglichkeiten. Wenn Sie vor dem 1. April 2026 bereits eine Lizenz für den Nachfolger XGS gekauft haben, gewährt Ihnen Sophos nur noch eine Kulanz von 30 Tagen nachdem 30. Juni für die Migration. Dies gilt auch, sollten Sie sich für einen Nachfolger entscheiden, der nicht von Sophos ist. Sollten Sie sich jetzt erst für eine XGS Lizenz entscheiden, gibt Sophos noch einmal weitere Kulanz-Verlängerungen für ihre UTM. Jedoch gilt auch hier eine Einschränkung, zwar lässt sich das Gerät dann noch weiter benutzen und Features wie VPN werden nicht direkt deaktiviert, jedoch liegt der Hauptfokus des Sophos-Firewall-Teams nicht mehr auf der UTM und es kann sein, dass wichtige Sicherheitsupdates nur noch spät oder sogar gar nicht mehr kommen. Denn auf der Webseite wird explizit gesagt: „Diese verlängerte Laufzeit bietet Ihnen und Ihren Kunden mehr Flexibilität bei der Durchführung von Migrationen. Das EOL-Datum bleibt unverändert.“ Aus diesem Grund raten wir davon ab, die UTM noch länger als notwendig zu nutzen.

Kann mich die ISCL GmbH bei der Migration unterstützen?

Ja, seit Bekanntgabe des End of Life Datums haben wir unsere Kunden für das beste Nachfolge-Modell zunächst beraten und die Migrationen dann nach und nach durchgeführt. Dabei haben wir so wohl kleine Kunden mit unter zehn Mitarbeitenden beraten als auch größere Firmen mit Produktionsstätten. Den laufenden Betrieb aufrecht zu erhalten und dennoch die Migration auf das neue Modell durchzuführen ist eine anspruchsvolle Aufgabe, der wir uns gern gestellt haben und der wir uns auch gern wieder stellen. Dabei ist es von unserem Kunden abhänbgig, ob die Migration zu einer XGS, OPNSense oder einer Firewall der Marke Securepoint erfolgen soll.
Jedes Unternehmen hat seine eigenen Besonderheiten und Herausforderungen. Wir von der ISCL GmbH möchten deshalb nicht nur von unseren Erfolgen berichten, sondern vor allem Sie und Ihr Unternehmen kennen lernen. Nur so können wir Sie bei Ihrem Firewall-Umzug adäquat und individuell unterstützen.
Gern können Sie uns anrufen, eine Mail schreiben oder uns über unser Kontaktformular erreichen.

Die Zeit der Kabelverbindung scheint immer mehr vorbei zu sein. Fast niemand nutzt mehr ein Festnetztelefon oder schließt seinen Laptop an ein LAN-Kabel an. WLAN, Mobilfunk und GPS sind nur einige drahtlose Verbindungen, die sich in unserem Alltag fest etabliert haben. Jamming setzt genau hier an und stört diese Verbindungen. Welche Konsequenzen dies haben kann, erklären wir heute in unserem Blog-Beitrag.

Was versteht man unter Jamming?

Jamming wurde ursprünglich hauptsächlich in militärischen und staatlichen Kontexten benutzt. Es ist, kurz gesagt, das absichtliche Blockieren oder Überlagern von drahtlosen Signalen. Durch diese wird die Kommunikation unterbunden und Sicherheitsmaßnahmen, die an drahtlose Signale gebunden sind, ausgehebelt. Typische Ziele sind unter anderem WLAN-Netzwerke, Mobilfunksignale und GPS-Ortung.
Man konnte jedoch feststellen, dass mit Jamming auch andere Bereiche beeinflusst werden können und hier wird es vor allem für Unternehmen und Privatpersonen interessant. Die Bereiche sind funkbasierte Alarm- und Sicherheitssysteme sowie Smart-Home-Geräte.

Wie gefährlich ist Jamming für Unternehmen?

In Unternehmen gibt es zunehmend drahtlose Infrastruktur. Dadurch bieten sie natürlich eine Angriffsfläche für Jamming. Allerdings muss man hier festhalten, dass Jamming eine physische Nähe zum Opfer erfordert, um die drahtlosen Geräte zu stören. Das dies geschieht, um Firmen beispielsweise in ihrem Ablauf zu stören oder zu erpressen ist eher unwahrscheinlich. Vielmehr kann Jamming genutzt werden, um Kamerasysteme für einen potentiellen Einbruch zu stören.

Wie wahrscheinlich ist ein durch Jamming unterstützter physischer Einbruch?

Jamming betrifft nur Sicherheits- und Überwachungssystem, die drahtlos funktionieren. Vor allem Kameras die Inhalte automatisch an eine Cloud senden und nicht auf einer eigenen Festplatte speichern, können so gestört werden, dass am Ende kein Material mehr vorhanden ist, um etwaige Einbrecher zu überführen. Dies betrifft Unternehmen, aber auch Privatpersonen, die solche Sicherheitssystem nutzen.

Welche Geräte können für einen Einbruch gestört werden?

Im folgenden beschreiben wir die drei größten Feldern in denen Jamming zum Einsatz kommen kann:

1. Funkbasierte Alarmanlagen und Kamerasysteme

Durch die Störung der Funksignale kann es passieren, dass Sensoren an Tür und Fenster nicht auslösen. Weiterhin werden Kameras vom Netz abgeschnitten. Dadurch erreichen Alarme nicht die Sicherheitsanbieter oder die Handys der Hausbesitzer.

2. Smart Home

Bei Smart Homes gibt es viele angreifbare Punkte, die gestört werden können. Dazu gehören intelligente Türschlösser, Bewegungsmelder, die Heizungs- und Lichtsteuerung sowie die Sprachassistenten, die bei der Steuerung des Smart Homes unterstützen. Während letzteres mehr ein Ärgernis ist, ist vor allem der erste Punkt ein Sicherheitsrisiko.

3. Fahrzeugdiebstahl in der Kombination mit GPS-Störung

Neuere Autos haben ein eingebautes GPS-System und lassen sich dadurch leichter orten. Dies hilft natürlich auch im Falle eines Diebstahls. Aus diesem Grund nutzen manche Diebe heutzutage Jamming als Methode, um das GPS des Autos nach dem Diebstahl zu stören.

Wie häufig kommt Jamming vor?

Jamming ist bei weitem noch kein Massenphänomen. Zwar gibt es bekannte Fälle bei denen mit Hilfe von dieser Funk-Störung Einbrüche durchgeführt wurden. Aber es ist dennoch nicht so häufig wie beispielsweise Phishing oder einfache ganz „analoge“ Einbrüche. Etwas stärker gefährdet sind Besitzer von hochwertigen Immobilien und Unternehmen. Aber auch hier ist die Anzahl an realistischen Jamming-Versuchen überschaubar.

Sollte sich mein Unternehmen gegen Jamming schützen?

Zwar ist Jamming nicht zwingend die Hauptgefahr im Unternehmen, aber es schadet nicht dieses mitzudenken. Wir empfehlen hier eine Sicherheitsarchitektur, die vielschichtig ist und sich nicht nur auf einen Faktor verlässt. Beispielsweise könnten Überwachungskameras einen lokalen Speicher nutzen oder es gibt zusätzlich physische Zugriffskontrollen. Man kann mehrere Kommunikationswege schaffen. Beispielsweise durch eine LAN- und WLAN Verbindung. Als Backup könnte man zusätzlich zu einem Cloud-Backup auch ein lokales anlegen.

Wie kann ich mich als Privatperson schützen?

Für Privatpersonen gelten ähnliche Regeln, um sich gegen Jamming zu schützen. Beispielsweise sollten kritische Komponenten wie Sensoren für die Haustür verkabelt sein und nicht nur über Funk laufen. Auch die Kameras sollten ohne Internet weiterhin Inhalte, zumindest über einen gewissen Zeitraum, speichern können. Manche Sicherheitssystem haben bereits eine integrierte Erkennung für Jamming und bieten dadurch zusätzliche Sicherheit. Reine mechanische Sicherheit sollte auch nicht vernachlässigt werden. Beispielsweise zusätzliche Schlösser an Türen und Fenster.

Fazit

Jamming wird zwar bereits betrieben, es ist jedoch eher eine Nischen-Bedrohung für Privatpersonen und Unternehmen. Die Wahrscheinlichkeit, dass wir eine absichtliche Störung des Funkverkehrs in einem Hollywood-Blockbuster sehen, ist deutlich höher als die, es real zu erleben. Allerdings streift Jamming einen anderen Bereich, der wichtig für die Sicherheit ist: Einbruchschutz, Backupsysteme und Abhängigkeit von WLAN. Um alle drei Bereiche sollte man sich kümmern. Dabei kann Jamming einfach mitgedacht werden. Für den Einbruchschutz lassen sich zusätzlich mechanische Schlösser anbringen, bei Backups ist es ohnehin besser, diese an verschiedenen Standorten zu lagern und wenn ein Unternehmen stark von Internet oder der eigenen Netzwerkstruktur abhängt, sollten hier auch entsprechende Sicherheitsmaßnahmen implementiert werden.

(Bild KI generiert – Text nicht)
Kaum eine Zertifizierung begegnet uns im IT-Sicherheitsalltag so oft wie die ISO/IEC 27001 Zertifizierung. Sie gilt als anerkannter Standard, der Kunden, Partnern und Behörden signalisiert, dass im Unternehmen ein hohes Maß an Sicherheit existiert.
Für viele Unternehmen ist es entsprechend wünschenswert, diese Zertifizierung zu erreichen. Allerdings ist sie häufig mit viel Aufwand verbunden. Es entsteht eine paradox wirkende Situation: Gewünscht wird eine ISO/IEC 27001 Zertifizierung, um die eigene IT-Sicherheit zu stärken. Allerdings ist es durch den Umfang oft aber nicht möglich diese direkt aktiv anzugehen und das Thema wird verschoben bis man mehr Zeit dafür hat. Viele Unternehmen sehen sich dann nicht nach Alternativen um, da die ISO 27001 Zertifizierung angestrebt wird und man nicht „unnötig“ Zeit für etwas anderes opfern möchte. Die Folgen einer solchen Herangehensweise sind in so fern fatal, dass viele Unternehmen teilweise jahrelang auf ihrem derzeitigen Sicherheitsniveau verbleiben und das Thema immer wieder verschieben, anstatt schnelle kleinere Maßnahmen durchzuführen, die schon viel bewirken würden.
In unserem heutigen Blog-Beitrag schauen wir uns an, was das ISO 27001 Zertifikat beinhaltet, warum es vielleicht nicht für jedes Unternehmen das Mittel zur Wahl ist und welche Alternativen es gibt.

Was beinhaltet das ISO 27001 Zertifikat?

ISO/IEC 27001 ist bereits seit 2005 ein international anerkannter Stand für Informationssicherheitssysteme (ISMS). Ziel ist es Verantwortlichkeiten, Prozesse und auch technische Maßnahmen sinnvoll zu strukturieren, um die Informationssicherheit im Unternehmen zu erhöhen. Um die Zertifizierung zu erreichen, prüft ein Auditor vorgegebenen Bereiche. Das Zertifikat selbst muss regelmäßig erneuert werden. In manchen Bereichen ist die ISO 27001 Zertifizierung sogar verpflichtend.
Was zunächst erstrebenswert klingt, hat jedoch einen Haken, vor allem, wenn das primäre Ziel des Unternehmens IT-Sicherheit bedeutet. ISO 27001 beschäftigt sich vor allem mit dem Management der Informationssicherheit und nicht zwingend mit konkreten Maßnahmen. Das bedeutet, es geht vorrangig um Risiko- und Notfallmanagement, Dokumentation, Lieferantenmanagement und Zugriffskontrollen. Die konkreten IT-Sicherheitsmaßnahmen werden durch das Risikomanagement bestimmt. Hier wird eine Risikoanalyse durchgeführt und Sicherheitsmaßnahmen festgelegt. Das Ergebnis der Analyse kann jedoch für jedes Unternehmen unterschiedlich ausfallen. Aus diesem Grund können auch die Sicherheitsmaßnahmen für jedes Unternehmen unterschiedlich sein. ISO 27001 sollte damit garantieren, dass die Sicherheitsmaßnahmen dem Unternehmen angepasst sind, welche das jedoch genau sind ist nicht eindeutig definiert. Das bedeutet der eigentliche Weg zu mehr IT-Sicherheit ist etwas länger, da die eigentlichen Maßnahmen erst definiert werden müssen.Welche vorbereitenden Maßnahmen sind für Incident Response sinnvoll?

Wird der Aufwand einer ISO 27001 Zertifizierung häufig unterschätzt?

Ja, nicht immer ist Unternehmen die Tragweite einer solche Zertifizierung bewusst. Oft wird der Wunsch nach dem Zertifikat daraus geboren, dass die IT-Sicherheit verstärkt werden soll. Allerdings dient ISO 27001 auch stark der Organisation und ist eine entsprechend starke Management-Strategie. Wer an reiner IT-Sicherheit interessiert ist, für den ist diese Zertifizierung vielleicht ein wenig an der Sache vorbei. Hinzu kommt das Risikomanagement und die damit verbundene Risikoanalyse. Natürlich ergibt es erst einmal Sinn, das persönliche Risiko einer Firma zu erfassen und wichtige Bereiche abzustecken. Aber erfahrungsgemäß fehlen gerade bei Kleinen und mittelständischen Unternehmen (KMU) oft einige Basis-Maßnahmen, die schon einmal umgesetzt werden können, auch wenn keine Kapazitäten für eine ISO 27001 Zertifizierung vorhanden sind. Tatsächlich bedeutet dies nicht, dass nun der doppelte Aufwand getätigt werden muss. Die Umsetzung gängiger Sicherheitsmaßnahmen und die entsprechende Dokumentation dazu wird bei einer Zertifizierung ohnehin abgefragt und wenn diese bereits vollzogen wurde, kann dieser Punkt schneller abgehakt werden.

Welche vorbereitenden Maßnahmen sind für Incident Response sinnvoll?

Es gibt mehrere Möglichkeiten sich auf einen erfolgreichen Cyberangriff vorzubereiten. Die erste, unserer Meinung nach, sinnvollste Maßnahme, ist die Erstellung eines Notfallplans. Darin sind alle Schritte und Zuständigkeiten bei einem Angriff geregelt. Ziel ist es, das Unternehmen möglichst schnell wieder handlungsfähig zu machen. Vergleichen lässt sich dies mit einem Erste-Hilfe-Notfall. Wer erst bei einem akuten Notfall notwendige Handlungen recherchiert, wird deutlich langsamer in der Durchführung. Es ist sinnvoll, wenn alle Beteiligten vorher wissen, was zu tun ist.
Neben einem Notfallplan gibt es auch die Möglichkeit sich technisch zu wappnen. Sicherheitsfirmen wie Sophos bieten Incident Response Services an. Mit diesen können verdächtige Aktivitäten frühzeitig erkannt werden. Dadurch kann viel früher agiert werden und größerer Schaden wird verhindert.

In welchem Verhältnis stehen ISO 27001 und der BSI-Grundschutz?

Im Gegensatz zu einem reinen ISO 27001 ist der BSI-Grundschutz keine Organisations- oder Management-Leitlinie, sondern ein konkreter Maßnahmenkatalog, der Sicherheitsmaßnahmen für Unternehmen festlegt. Damit entfällt eine zeitaufwendige Risikoanalyse und man kann sich direkt auf die Umsetzung von den Basis-Maßnahmen konzentrieren, die ohnehin jedes Unternehmen (auch KMU) zur Absicherung haben sollte. Dabei gilt wieder: es entsteht kein doppelter Aufwand, denn die Wahrscheinlichkeit ist sehr hoch, dass während eines ISO 27001 Audits genau diese Maßnahmen ohnehin gefordert werden. Wichtig sind an der Stelle, neben der korrekten Umsetzung, auch die entsprechende Dokumentation, um später nachweisen zu können, welche Maßnahmen implementiert wurden. Wie im Bereich der IT-Sicherheit üblich, sollten diese Maßnahmen regelmäßig auf ihre Aktualität geprüft werden. Wurde beispielsweise eine Multi-Faktor-Authentifizierung für das ganze Unternehmen umgesetzt, sollte ein Prozess entstehen, wie diese auch für neue Mitarbeiter verpflichtend wird.
Es gibt auch die Möglichkeit eine ISO 27001 Zertifizierung nach BSI-Grundschutz zu bestehen. Hierbei wird der Maßnahmenkatalog mit in die Zertifizierung aufgenommen und ebenfalls bedacht. Dadurch wird aber die eigentliche ISO 27001 Zertifizierung nicht weniger zeitaufwendig. Der Vorteil daran ist, dass sie dann nicht ausschließlich auf Ihre Risikoanalyse angewiesen sind, sondern auch einige generelle Vorschläge des BSI im Bereich der IT-Sicherheit auf Ihr Unternehmen anwenden.

Welche Alternativen zu ISO 27001 gibt es?

Vor allem für kleine und mittelständische Unternehmen ist es sinnvoll erst einmal mit IT-Sicherheit anzufangen und diesen großen Bereich nicht vollständig zu ignorieren. Auch ist es sinnvoll hier strukturiert vorzugehen und immer wieder die Dokumentation zu prüfen und nachzuarbeiten. Wir empfehlen für den Einstieg zwei verschiedene Herangehensweise je nach Unternehmensgröße und bereits etablierten Standards:

1. Der CyberRisikoCheck für IT-Sicherheitsbeginner

Der CyberRisikoCheck wurde vom BSI speziell für KMU entwickelt, die gerade erst starten, sich um IT-Sicherheit zu kümmern. Wir möchten betonen, dass dies durchaus auch Unternehmen betreffen kann, die seit über zehn Jahren am Markt sind und über 20 Mitarbeitende haben. Manchmal wird das Thema etwas verschleppt. Das ist erstmal nicht schlimm. Schlimm und vor allem grob fahrlässig wäre allerdings, es dabei zu belassen. Der CyberRisikoCheck besteht in einem 1-2 stündigen Interview, bei dem in über 27 Fragen mit Unterfragen alle Bereiche der IT-Sicherheit abgefragt werden. Am Ende entsteht eine Übersicht mit allen Bereichen sowie konkrete Handlungsanweisungen, wie Sie mit beginnen können, IT-Sicherheitsmaßnahmen zu implementieren. Genauere Informationen zum CyberRisikoCheck finden Sie hier.

2. Das Cert+ Audit für IT-Sicherheitsfortgeschrittene

Die deutsche IT-Sicherheitsfirma Securepoint hat ein Sicherheitsaudit entwickelt, das zum BSI-Grundschutz kompatibel ist und alle wichtigen Bereiche der IT-Sicherheit abdeckt. Im Gegensatz zum CyberRisikoCheck ist dies noch einmal viel präziser und geht die Dokumentation Ihrer technischen Maßnahmen durch. Vor allem eignet sich dies für Unternehmen, die bereits an einiges gedacht haben, aber sicher gehen möchten, dass nichts wichtiges vergessen wurde. Auch hier entsteht im Anschluss eine Übersicht über alle Maßnahmen und welche fehlen. Wenn genügend Punkte bei dem Audit erreicht wurden, wird Ihnen auch ein Zertifikat ausgestellt. Für ein solches Audit müssen nicht nur 1-2 Stunden, sondern, je nach Unternehmensgröße, ein paar Tage eingeplant werden. Genauere Informationen zu diesem Security-Audit finden Sie hier.

In beiden Fällen helfen die Informationen auf dem Weg zur ISO 27001 Zertifizierung. Sie decken damit schon einen großen Bereich ab und können im Anschluss die fehlenden Bereiche Prozess und Management ergänzen.

Wer braucht eine ISO 27001 Zertifizierung?

Natürlich gibt es Situationen, in denen eine Zertifizierung absolut sinnvoll oder notwendig ist. In manchen Bereichen wird explizit die ISO 27002 Zertifizierung gefordert, um Sicherheitsstandards nachweisen zu können. Oft ist dies beispielsweise der Fall bei Ausschreibungen. Manche Kunden möchten auch explizit nur Partner, die diese Zertifizierung vorweisen können. Dann wird es notwendig diese Zertifizierung zu erreichen und sie sollte entsprechend angegangen werden.

Unsere Meinung zur ISO 27001 Zertifizierung

Prinzipiell finden wir es gut, wenn Unternehmen höhere Sicherheitsstandards an den Tag legen wollen. Dazu gehört natürlich auch die ISO 27001 Zertifizierung. Leider haben wir öfter erlebt, dass diese Zertifizierung wie der heilige Gral der IT-Sicherheit wirkt. Oft bekommt man den Eindruck, dass es entweder ISO/IEC 27001 sein soll oder gar nichts. Das empfinden wir als etwas zu kurz gedacht, denn die wesentliche Frage sollte nicht sein: „Welches Zertifikat braucht unser Unternehmen?“, sondern viel mehr „Was sichert uns bestmöglich gegen Cyberangriffe ab?“ Geht man dieser Frage nach, gibt es bereits viele Dinge, die leicht umzusetzen sind und nicht den monatelangen Prozess brauchen, bis die ISO 27001 Zertifizierung erreicht wird. Darauf aufbauend kann das eigentliche Zertifikat immer noch erreicht werden und es ist keinesfalls verschwendete Zeit jetzt damit anzufangen.