Grundlagen IT-Sicherheit

In diesem Artikel werden einfache Maßnahmen zur Verbesserung der IT-Sicherheit in kleinen Unternehmen zusammengefasst.

IT-Sicherheit ist Chefsache! Der Unternehmer muss das Themenfeld IT-Sicherheit als besonders wichtig erklären und allen Mitarbeitern diese Wichtigkeit vermitteln

Eine vollständige Abhandlung des Themas finden Sie im Artikel IT Sicherheit.

Aktualisierungen

Die wichtigste Regel lautet: Halten Sie das Betriebssystem aktuell. Microsoft veröffentlicht am sogenannten Patchday jeden zweiten Dienstag im Monat Aktualisierungen für Windows-Betriebssystem.

Sicherheitsupdates und Qualitätsupdates für das Betriebssystem sollten immer kurz nach Erscheinen installiert werden. Es müssen immer alle Computer auf den aktuellsten Stand gebracht werden

Auch Aktualisierungen von Anwendungssoftware sollten kurz nach Erscheinen installiert werden, also auch Aktualisierungen für Office-Pakete, Grafiksoftware, Browser und Mailclients immer einspielen.

Sicherheitslücken entstehen, wenn nicht jeder Computer und nicht jede Anwendung jederzeit auf dem neuesten Softwarestand ist

Sicherheitssoftware

Windows enthält alle notwendigen Sicherheitsfunktionen (Virenscanner mit Echtzeitschutz, Software-Firewall, Malware und Ausführungsschutz). Die Erkennungsleistung, Schutzumfang und Aktualität sind vollkommen ausreichen.

Prüfen Sie regelmäßig, ob die Schutzkomponenten eingeschaltet sind und ordnungsgemäß arbeiten

Ein zusätzlicher Schutz ist in der Regel nicht notwendig, oftmals sind Virenscanner von Fremdanbietern nicht leistungsfähiger, nerven aber mit vielen sinnlosen Meldungen. Teilweise entstehen durch vermeintliche "Sicherheitsprodukte" sogar unnötige Bedrohungen.

Kostenlose Virenscanner sind in der Regel nicht für gewerbliche Einsätze lizenziert. Dadurch entstehen Lücken im Schutz, die bei Verwendung der originalen Windowskomponenten gar nicht erst aufgetreten wären. Bei kostenpflichtiger Schutzsoftware sollten Sie nach dem Ende der kostenpflichtigen Nutzung darauf achten, dass der Schutz weiter sichergestellt wird oder zum Originalschutz zurückkehren

Datensicherung

Eine Datensicherung muss:

• täglich angefertigt werden
• vollständig sein
• auf externen Datenträgern gespeichert werden
• nach der Sicherung nicht von Anwendern oder Software löschbar sein

Es muss regelmäßig geprüft werden, ob die Sicherung einwandfrei funktioniert

Es sollten mehrere Datensicherungen auf mehreren Datenträgern angefertigt werden. Es muss auch regelmäßig geprüft werden, ob Sicherungen im Notfall wiederhergestellt werden können

Extern gespeicherte und offline gelagerte Datensicherungen sind die letzte Bastion im Kampf gegen Datenverlust

Verhaltensregeln

Ein großes Risikopotential geht von Anwendern aus, nicht von Computern oder Software. Daher sollten die folgenden Grundsätze immer befolgt werden.

E-Mail Anhänge

• Öffnen Sie E-Mail-Anhänge nur, wenn die Herkunft und der Inhalt eindeutig bekannt sind
• Öffnen Sie E-Mail-Anhänge nicht, wenn es sich um ausführbare Dateien (*.exe, *.pif, etc.), Archive (*.zip, *.rar, etc.) handelt
• Seien Sie bei Office-Dokumenten misstrauisch.

Wenn Sie sich nicht absolut über Herkunft und Inhalt im Klaren sind, öffnen Sie externe Dateien nicht

Wenn Sie eine externe Datei öffnen möchten,

Speichern Sie die Datei zunächst auf dem Computer. Sie können dann mit dem Virenscanner prüfen, ob die Datei Bedrohungen enthält.

Einzelne Dateien können zusätzlich auf Virus Total überprüft werden

Öffnen Sie dann die Anwendung, mit der Sie den Dateityp normalerweise bearbeiten und öffnen Sie die Datei aus der Anwendung.

Viren aus E-Mailanhängen stellen eine hohe Gefahr dar

Passwörter

Passwörter müssen grundsätzlichen Vorgaben entsprechen:

• Mindestens neunstellig
• Aus Zahlen, Groß- und Kleinbuchstaben und Sonderzeichen bestehend
• Für unterschiedliche Dienste müssen unterschiedliche Passwörter verwendet werden.

Mehr Informationen dazu finden Sie auf der Seite Passwörter

• Nutzen Sie einen Passwortmanager
• Nutzen Sie möglichst Zwei-Faktor-Authentifikation
• Passwörter müssen nicht regelmäßig geändert werden, es sei denn, sie wurden bei Datendiebstählen entwendet.

Kurze oder einfach zu erratende Passwörter stellen eine hohe Gefahr dar

Externe Software

Nutzen Sie keine Software aus externen Quellen und installieren Sie niemals Software "zum Ausprobieren".

• Laden Sie Gerätetreiber (Drucker, Kameras, etc.) ausschließlich über die Hersteller-Websites, niemals von alternativen Treiberseiten oder externen Anbietern
• Installieren Sie niemals Hilfsprogramme (TuneUp, CCleaner, etc.), die Windows "aufräumen", "beschleunigen" oder "Probleme lösen". Gleiches gilt für kostenlose Virenscanner, Malware-Schutz oder Software-Firewalls

Tuning-Software stellt eine hohe Gefahr dar

• Laden Sie Anwendungen (Libre-Office, Firefox, Adobe, etc.) ausschließlich über die Hersteller-Website, niemals von alternativen Anbietern
• Nutzen Sie keine kostenpflichtigen Anwendungen mit gestohlenen, gefälschten Lizenzen oder "gecrackte" Software.

Amateur-Administratoren

IT-Administration ist ein Vollzeitberuf. Das Wissen aus dem letzten Jahr ist heute bereits obsolet, da sich in der Informationstechnik ständig alles ändert. Der Administrator eines Rechenzentrums kennt sich nicht zwangsläufig mit einem profanen Arbeitsplatzcomputer aus und wird dazu dann auch keine Empfehlungen geben.

Gute IT-Profis kennen ihre Grenzen und halten sich von Themen, mit denen sie sich nicht auskennen, fern

Lassen Sie also keine Möchtegern-Fachleute an ihren gewerblichen Systemen herumbasteln. Das gilt insbesondere für Systeme, die bereits von qualifizierten Fachleuten betreut werden.

Wenn also der "gute Kumpel, der sich sonst immer mit seinem Wissen brüstet" seine Hilfe anbietet, fragen Sie ihn:

• Bist Du hauptberuflich in der Informationstechnik? Wenn nein: Abbruch
• Kennst Du dich mit dieser Problemstellung aus? Wenn nein: Abbruch
• Wie aktuell ist dein Wissen zu dem Thema? Wenn älter als sechs Monate: Abbruch

Aber auch wenn der Hobby-Administrator diese Fragen mit "ja" beantwortet, sollten Sie misstrauisch bleiben:

• Wenn Du einen Fehler machst und das Unternehmen pleite geht, kommst Du für den Schaden auf? Wenn nein: Abbruch
• Wenn Du einen Fehler machst und eine andere Firma diesen dann kostenpflichtig beseitigen muss, kommst Du für die Kosten auf? Wenn nein: Abbruch

Wenn Sie einen "guten Kumpel haben, der in seiner Freizeit Kraftfahrzeuge repariert", also vor dreißig Jahren erfolgreich das Vorderrad einer Mofa getauscht hat, lassen Sie ihn dann an Ihrem nagelneuen LKW herumbasteln?

Offline-Codewort

Um die Echtheit einer E-Mail oder den Anruf eines Vorgesetzten überprüfen zu können, ist es empfehlenswert, ein monatlich wechselndes Codewort zu vereinbaren.

Dieses Codewort wird mündlich vereinbart, also nicht per E-Mail, Messenger o.ä. mitgeteilt

Wenn ein Vorgesetzter in einer E-Mail oder einer Sprachnachricht dieses Codewort nicht angibt, werden seine Anweisungen (Überweisungen hoher Geldbeträge, etc.) nicht ausgeführt.

Selbst dann nicht, wenn er private Details zu erzählen weiß und Stimme, Ausdruck, Wortwahl und persönliche Detailkenntnisse authentisch scheinen

Notfallplan

Im Notfall ist schnelles, überlegtes Handeln wichtig.

Bei Gefahr für Leib und Leben ist die Eigen- und Fremdrettung in jedem Falle das Wichtigste! Begeben Sie sich niemals in Gefahr, Systeme oder Daten zu retten

Bei unmittelbarer Gefahr (Virus verschlüsselt oder löscht Dateien, Feuer bricht aus, etc.) muss folgende Reihenfolge eingehalten werden:

1. Sofort alle Systeme, insbesondere Server, von der Stromversorgung trennen, also nicht herunterfahren, sondern sofort stromlos machen. Keine Verzögerung durch fotografieren oder "Speichern von Dateien" riskieren. Im Zweifelsfall Haupt- oder Notschalter betätigen
2. Danach alles Ausgeschaltet lassen
3. Alle Datensicherungen abziehen, beschriften. Keinesfalls an einen Computer anschließen
4. Notfallkontakt informieren
5. Alle Eindrücke, insbesondere Meldungen kurz vor oder beim Eintreten des Notfalls aufschreiben, aber keinesfalls dafür Geräte erneut einschalten, um Meldungen zu überprüfen
6. Fachpersonen Vorgesetzte und Unternehmensleitung informieren
7. Aufzeichnungen, Notizen und Datensicherungen übergeben

Die Fachperson wird über weitere Maßnahmen entscheiden.

Notfallkarte

Erstellen Sie eine Notfallkarte mit folgenden Inhalten:

• Angaben des Notfallplans
• Genaue Angabe zu Standorten Sicherungskasten, Hauptschalter, Notfallschalter (Wo befinden sich diese? Wie sehen sie aus? Welchen Schalter muss man umlegen, um die Systeme stromlos zu machen?). Hier sind Fotos und Bildanleitungen nützlich!
• Genaue Angabe zum Standort des Servers (Wo befindet sich dieser? Wie sieht er aus? Wie kann man ihn vom Strom trennen?) Hier sind Fotos und Bildanleitungen nützlich!
• Genaue Angabe zu allen Systemen, die notabgeschaltet werden müssen (Wo befindet sich diese? Wie sehen sie aus? Wie kann man sie vom Strom trennen?) Hier sind Fotos und Bildanleitungen nützlich!
• Beschreibung der Online-Datensicherung (Wo befindet sich diese? Wie sieht sie aus? Wie kann man sie vom System trennen?) Hier sind Fotos und Bildanleitungen nützlich!
• Beschreibung der Offline-Datensicherung (Wo befindet sich diese? Wie sieht sie aus? Wie viele Exemplare?) Hier sind Fotos und Bildanleitungen nützlich!
• Angaben zum Notfallmanager im Unternehmen, dieser hat Zugang zu den Systemen, kann diese abschalten und informiert dann Fachpersonen und Unternehmensleitung (Wer ist Ansprechpartner? Wer ist die Vertretung? Wie lauten die Telefonnummern)

Notfallpläne müssen einmal pro Quartal geprüft und aktualisiert werden. Danach sollten die Pläne mit den Mitarbeitern besprochen werden. Regelmäßige Wiederholungen schärfen das Bewusstsein