Sicherer Betrieb ohne eigenes Security-Team

Ein Betrieb mit einer Handvoll Beschäftigten hat keine Sicherheitsabteilung. Er hat eine Person, die sich zusätzlich um Rechner, Router und Backups kümmert, meistens weil sie sich am besten damit auskennt. Dort entscheidet sich, ob ein Sicherheitsvorhaben trägt: nicht bei der Frage, welche Software angeschafft wird, sondern bei der Frage, wer ein Gerät austauscht, wer ein Konto sperrt und wer am Sonntagabend ans Telefon geht.

Der 30-Tage-Plan in diesem Beitrag ist ein redaktioneller Vorschlag, keine Norm. Wo ein Betrieb als Beispiel erscheint, ist er als fiktives Beispiel gekennzeichnet, und es werden keine Kennzahlen eines realen Unternehmens genannt.

Was muss auf die erste Sicherheitsliste?

Die erste Sicherheitsliste ist ein Inventar, keine Einkaufsliste. Sie beantwortet für jede Position vier Fragen: Was ist das, wem gehört es, was hängt davon ab, und wer pflegt es. Wer diese Tabelle einmal ausfüllt, findet dabei meistens zwei Dinge, die niemand mehr verantwortet.

Ein brauchbarer Umfang für den Anfang: der Internetanschluss samt Router, der Rechner oder das Speichergerät, auf dem die Dateien liegen, das Programm, in dem Rechnungen und Aufträge entstehen, die E-Mail-Konten, die Fernzugänge, die Geräte, die außer Haus gehen, und jede externe Stelle mit Zugriff, vom Steuerbüro bis zur Softwarewartung.

Danach kommt die Schutzbedarfsfrage, und sie ist unangenehmer als das Inventar. Was passiert, wenn diese Sache einen Tag ausfällt, was passiert nach einer Woche, und wer merkt es überhaupt? Ein Betrieb, der diese drei Fragen für zwanzig Positionen beantwortet, hat mehr gewonnen als mit jedem Werkzeugkauf.

Die folgende Checkliste ordnet den Basisschutz in vier Ebenen. Die ersten beiden lassen sich ohne Einkauf und ohne Dienstleister erledigen.

Das Bundesamt für Sicherheit in der Informationstechnik bündelt seine Empfehlungen für Unternehmen ohne eigene Sicherheitsabteilung (öffnet in einem neuen Tab) nach Angriffszielen. Die Seite ist ein vernünftiger Einstieg in die Reihenfolge der Maßnahmen. Sie ersetzt nicht die Prüfung der eigenen Lage: Welche der dort genannten Punkte bereits erledigt sind, weiß nur der Betrieb selbst.

Technische Maßnahmen und Organisation lassen sich trennen, aber nicht gegeneinander ausspielen. Ein Update ist Technik. Ein Wiederherstellungstest ist Organisation, denn er braucht einen Termin, eine Person und ein freigegebenes Zeitfenster. Wer nur das erste tut, hat aktuelle Geräte und im Ernstfall keine Daten.

Welche Konten sind kritisch?

Kritisch ist nicht das Konto mit dem längsten Passwort, sondern das Konto, das mehr ändern kann, als die Rolle verlangt. Vier Stellen lohnen den genaueren Blick: die Verwaltung des Routers, das Konto, dem das Backup gehört, der Zugang zum Online-Banking und das E-Mail-Postfach, an dem alle Zurücksetzungen ankommen.

Das Postfach ist der unterschätzte Punkt. Wer es kontrolliert, fordert über die Funktion „Passwort vergessen“ fast jeden anderen Zugang an. Deshalb beginnt die Mehrfaktor-Anmeldung, also ein zweiter Nachweis neben dem Passwort, genau dort und nicht bei der Anwendung, die am selben Tag eingerichtet wurde.

Im fiktiven Beispiel hängt an einem einzigen Postfach der Buchhaltung zugleich der Zugang zur Zeiterfassung und der Versand von Rechnungen. Wer dieses Postfach übernimmt, kann Arbeitszeiten ändern und im Namen des Betriebs schreiben, ohne dass jemand einen zweiten Zugang braucht. Solche Bündelungen entstehen über Jahre und fallen erst auf, wenn jemand die Konten auflistet.

Geteilte Konten sind ein zweites Thema. Ein gemeinsames Postfach für Anfragen ist in Ordnung. Ein gemeinsames Administratorkennwort ist es nicht, weil sich damit keine Handlung einer Person zuordnen lässt. Wer wann welches Konto geöffnet hat, ist selbst ein Beschäftigtendatum, und der Umgang damit folgt eigenen Regeln, wie der Beitrag darüber beschreibt, wann aus Anlagendaten Beschäftigtendaten werden.

Ein Passwortmanager hilft, solange jemand die Verantwortung für den Tresor übernimmt. Welche Fragen vor der Auswahl zu klären sind, steht in der Auswahlhilfe dazu, wie ein Team seine Passwörter verwaltet. Die unangenehmste Frage lautet: Was passiert, wenn die Person mit dem Notfallzugang am Montag kündigt?

Ein Punkt gehört vor allem anderen geklärt: Welche Geräte hängen am Anschluss, und wie lange bekommen sie noch Updates? Die Kriterien für einen Router im kleinen Büro sind ein eigener Beitrag, weil an diesem Gerät der Übergang zwischen Büro und Internet hängt.

Wie sieht ein kleiner Notfallplan aus?

Der Notfallplan passt auf zwei Seiten. Er beantwortet vier Fragen: Wer entscheidet, wer wird angerufen, welche Daten dürfen nicht verloren gehen, und wie läuft der Betrieb weiter, solange die Systeme stehen.

Die dritte Frage führt zum Backup und zu einer unbequemen Wahrheit: Ein Backup ohne Wiederherstellungstest ist eine Annahme. Die verbreitete Regel mit drei Kopien auf zwei Medien und einer Kopie außer Haus ist ein Anfang. Sie sagt aber nichts darüber, ob sich die Daten tatsächlich zurückspielen lassen. Ein Test besteht aus einer einzigen Handlung: eine Datei, einen Ordner oder ein System in einer abgetrennten Umgebung zurückholen und die Uhr mitlaufen lassen. Wer diese Zeit kennt, kann entscheiden, ob sie im Ernstfall reicht.

Zur vierten Frage gehört Papier. Wenn das Postfach ausfällt, ist eine Telefonliste im Postfach wertlos. Wer entscheidet, wenn die Geschäftsführung nicht erreichbar ist? Wie erfahren Kunden von der Störung, und wer schreibt diesen Text vorher? Wo liegt die Kopie der wichtigsten Stammdaten für die Buchhaltung, falls die Software zwei Wochen ausfällt?

Für den Einstieg reicht ein Plan, der an einem Nachmittag entsteht und einmal geübt wird. Der 30-Tage-Plan in diesem Beitrag ist ein Vorschlag, keine Norm: erste Woche Inventar, zweite Woche Konten und Mehrfaktor-Anmeldung, dritte Woche Backup und ein Wiederherstellungstest, vierte Woche Notfallplan und eine Übung mit einer Person, die nicht im Plan steht. Ein solcher Rahmen ist im Kern ein Versuch mit Enddatum, wie ihn der Beitrag über den Versuch mit klarer Abbruchbedingung beschreibt.

Wann reicht das eigene Team nicht mehr?

Es gibt erkennbare Auslöser. Niemand im Betrieb kann ein Protokoll lesen. Ein Vorfall trifft die Nacht oder das Wochenende. Ein Kunde schickt einen Sicherheitsfragebogen. Eine Versicherung oder ein Auftraggeber verlangt Nachweise. Oder es greift eine Anforderung aus der Lieferkette, weil ein Auftraggeber sie weitergibt; wie das mit NIS2 zusammenhängt, ordnet der Beitrag darüber ein, ob der kleinere Betrieb überhaupt betroffen ist.

Vor dem Anruf beim Dienstleister sollte der Ordner stehen. Inventarliste, Netzplan mit den wichtigsten Geräten, Liste der Konten mit Administratorrechten, Stand des Backups und eine erreichbare Person. Externe Unterstützung wird nach Stunden abgerechnet; jede Stunde, die mit Suchen beginnt, ist teuer.

Bei der Zusammenarbeit lohnen drei Vertragspunkte: Wer ist außerhalb der Geschäftszeiten erreichbar, welche Reaktionszeit ist zugesagt, und wie kommt der Betrieb an seine Daten, wenn die Zusammenarbeit endet. Reaktionszeit heißt nicht Wiederherstellungszeit. Diese Unterscheidung gehört in den Vertrag.

Was ein Team selbst tragen kann, ist mehr, als viele annehmen. Inventar, Konten, Mehrfaktor-Anmeldung, Backup samt Test und ein Notfallplan sind ohne Spezialwissen erreichbar. Keine dieser Maßnahmen verhindert einen Vorfall, und keine macht einen Betrieb sicher. Sie verkürzen den Weg zurück in den Betrieb. Die offene Grenze bleibt die Reaktion außerhalb der Arbeitszeit. Sie lässt sich mit einem Vertrag regeln, aber nicht mit einer Checkliste, und sie bleibt die Stelle, an der ein kleiner Betrieb am verletzlichsten ist.