IT-Sicherheitstipps für kleine und mittlere Unternehmen
Fast jedes zweite Unternehmen in Deutschland hat schon einen Hacker-Angriff erlebt. Dabei entsteht jährlich ein Schaden in Höhe von etwa 100 Milliarden Euro. Manche Firmen bemerken den Angriff gar nicht sofort. „Es kann teilweise bis zu 200 Tage dauern, bis der Angriff auffällt“, sagt Heiko Oberlies, ITK-Referent der IHK Bonn/Rhein-Sieg und Projektkoordinator des Cyber Security Clusters Bonn.
Das Mittelstand 4.0-Kompetenzzentrum Siegen und die Firma dokuworks haben im Frühjahr eine IT-Sicherheitsaktion für kleinere und mittlere Unternehmen angeboten. Es ging darum, die Mitarbeiter für IT-Sicherheit zu sensibilisieren. „Der Nutzer kann der beste Schutz gegen Cyber-Angriffe sein, eben dann, wenn er ein gutes Bewusstsein für IT-Sicherheit hat. Da kann der Nutzer die Instanz sein, die einen Cyber-Angriff verhindert“, sagt Nico Vitt, IT-Sicherheitsexperte im Kompetenzzentrum.
Fragen zur Datensicherung
Bei den Schulungen in den Unternehmen haben die Teilnehmer viele Fragen zur Infrastruktur gestellt. „Sie wollten zum Beispiel wissen, wie sie mit der Datensicherung umgehen sollen“, erzählt Sven Berger, externer Datenschutzberater bei dokuworks. Er empfiehlt, regelmäßig eine Sicherung auf externen Datenträgern zu machen. „Es muss nicht immer die Bandsicherung sein, im Zweifel reichen auch externe Festplatten, die man regelmäßig durchtauscht. Und die Daten sollten mindestens bis zu einem halben Jahr rückwirkend gesichert werden“, erklärt er.
Denn durch verloren gegangene Daten kann bei einem Hacker-Angriff schnell ein hoher Schaden entstehen. Wenn zum Beispiel ein Trojaner in das Firmennetzwerk eingeschleust wird und nicht genau herausgefunden werden kann, auf welchem Computer er sein Unwesen treibt, müssen alle Rechner neu aufgesetzt werden. „Außerdem müssen Mitarbeiter, Kunden sowie sämtliche betroffenen Geschäftspartner informiert werden“, sagt Sven Berger.
Angreifer geben sich als Geschäftspartner:innen aus
Wenn Daten verschlüsselt wurden, die nicht über eine Sicherungskopie zurück geholt werden können, wird oft versucht, sie entschlüsseln zu lassen. Das machen so genannte Datenforensiker. Doch das ist nicht günstig. Für ein Gigabyte Daten werden schnell bis zu 2000 Euro fällig, weiß Berger. Und es kann etwas länger dauern, bis die Daten wieder zur Verfügung stehen. „Es kann sein, dass nach so einem Angriff die gesamte Fertigung still steht. Ich habe schon Fertigungsausfälle von bis zu vier Wochen bei Unternehmen erlebt“, erinnert Berger sich.
Eine weitere Betrugsmasche: Der CEO-Fraud. Das bedeutet, dass sich die Angreifer als Geschäftspartner oder sogar als Geschäftsführung ausgeben und die Mitarbeiter der Firma per Telefon oder Mail dazu auffordern, Geld auf ein bestimmtes Konto zu überweisen. „Wenn es bisher nie vorgekommen ist, dass der Chef angerufen hat und gesagt hat: ‚Überweisen Sie 10 Millionen Euro‘, sollte man misstrauisch werden, wenn er das auf einmal tut“, rät Heiko Oberlies. Die Qualität dieser Angriffe habe deutlich zugenommen. Das liegt auch an der immer besser funktionierenden künstlichen Intelligenz, die es möglich macht, Stimmen nachzuahmen.
Mitarbeiter für IT-Sicherheit sensibilisieren
Eine IT-Sicherheitsstrategie kann dabei helfen, sich vor Angriffen zu schützen. Dabei muss eine Firma entscheiden, ob sie sich selbst darum kümmert oder das lieber einen Dienstleister machen lässt. „In sehr kleinen Unternehmen macht das oft jemand in Personalunion. Da ist es vielleicht besser, einen Dienstleister zu nehmen, der auch eine Dokumentenfilterung nach Viren anbietet und die Dinge auf dem neuesten Stand hält“, sagt Heiko Oberlies.
Die meisten Angriffe sind gar nicht gegen ein bestimmtes Unternehmen gerichtet, sondern Zufallsprodukte, weiß Sven Berger von dokuworks. „E-Mails mit Viren im Anhang werden an viele Unternehmen gleichzeitig verschickt und erst, wenn das Virus aktiv ist, schauen sich die Hacker die Firma genauer an“, erklärt er.
Wenn dann aber doch einmal ein Hacker in das eigene Unternehmen reinkommt, rät Nico Vitt vom Kompetenzzentrum davon ab, nach einem Schuldigen zu suchen. „Es geht darum, den Schaden zu minimieren. Und da hilft es nicht, wenn man mit dem Finger auf einen Mitarbeiter zeigt. Jedem Mitarbeiter muss einfach bewusst sein, wenn man sowas verschweigt, dass dabei ein größerer Schaden entstehen kann“, erklärt er. Deshalb ist es so wichtig, die Mitarbeiter regelmäßig für IT-Sicherheit zu sensibilisieren.
Weitere Informationen zum Thema IT-Sicherheit gibt es hier bei uns auf der Themenseite.
Dieser Artikel ist Anfang April 2021 hier im Wirtschaftsreport der IHK Siegen erschienen.
