Bei Sophie B., geschaeftsfuehrende Partnerin eines Schweizer Treuhandbueros, ist das Passwort der Buchhaltungssoftware lang, kompliziert — und dem ganzen Team bekannt, weil Teilen bequemer ist, als fuer jede Person ein eigenes anzulegen. Wenn eine Kundin fragt, wie ihre Steuerdaten geschuetzt sind, beruhigt Sophie sie: „Das regelt unser IT-Dienstleister, und ohnehin liegt alles in der Cloud." Zwei beruhigende Antworten, zwei Cybersicherheits-Mythen, die sie weit staerker angreifbar machen, als sie denkt.
Zwei Cybersicherheits-Mythen, in die KMU tappen
Ein Treuhandbuero verarbeitet mit das Sensibelste, was ein KMU besitzen kann: Buchhaltung, Loehne, Steuer- und Bankdaten von Dutzenden Kundinnen und Kunden. Das Berufsgeheimnis ist hier keine Option, sondern der Kern der Arbeit. Dennoch beruht die Sicherheit oft auf zwei Gewissheiten aus den 2000er-Jahren, die heutige Angreifer genau zu umgehen wissen. Hier sind sie, ohne Fachjargon erklaert.
„Ein kompliziertes Passwort reicht"
Die Idee klingt solide: Ein langes Passwort mit Grossbuchstaben, Ziffern und Sonderzeichen laesst sich schwer erraten. Stimmt. Das Problem ist, dass die meisten modernen Angriffe es gar nicht mehr erraten wollen — sie umgehen es.
Phishing — eine gefaelschte E-Mail, die Ihre Bank, Ihre Buchhaltungssoftware oder Microsoft nachahmt und Sie bittet, „Ihren Zugang zu bestaetigen" — greift Ihr Passwort in dem Moment ab, in dem Sie es eintippen, so kompliziert es auch sei. Credential Stuffing (das massenhafte Ausprobieren von Passwoertern, die bereits auf anderen Seiten gestohlen wurden) nutzt eine verbreitete Gewohnheit: dasselbe Passwort ueberall wiederzuverwenden. Wenn das Passwort der Mailbox auch die Buchhaltungssoftware oeffnet, oeffnet ein einziges Datenleck beide Tueren. Und ein Passwort auf einem Notizzettel oder in einer internen E-Mail ist per Definition kein Geheimnis mehr.
Es gibt sogar einen Bumerang-Effekt: Je komplizierter und haeufiger gewechselt die Passwoerter sein muessen, desto eher schreiben die Leute sie irgendwo auf, um sie nicht zu vergessen. Die Regel, die schuetzen soll, schwaecht am Ende.
Ein gutes Passwort bleibt nuetzlich. Allein ist es aber nur ein Schloss an einer Tuer — wirksam, bis jemand an den Schluessel kommt. Echter Schutz heisst, einen zweiten Nachweis hinzuzufuegen: Das ist die Aufgabe der Zwei-Faktor-Authentifizierung (MFA, fuer Multi-Faktor-Authentifizierung) — zusaetzlich zum Passwort ein Code auf Ihrem Telefon oder eine Bestaetigung in einer App. Selbst gestohlen reicht das Passwort dann nicht mehr, um hineinzukommen. Das ist kein Luxus fuer Experten: Es ist einer der allerersten Schritte, die das BACS (NCSC), das Bundesamt fuer Cybersicherheit, KMU empfiehlt.
„Die Cloud ist zwangslaeufig riskanter als mein Server"
Der umgekehrte Reflex ist ebenso verbreitet: „Meine Daten waeren auf einem Server bei mir im Buero sicherer als in der Cloud." Die Cloud — Dienste und Dateien, die bei einem Anbieter statt auf einer Maschine in Ihren Raeumen liegen — beunruhigt gerade deshalb, weil man sie nicht sieht; sie ist „irgendwo anders".
Die Erfahrung der Branche ist jedoch eindeutig: Trifft ein Vorfall eine Cloud-Umgebung, kommt er sehr selten aus einer Luecke in der Infrastruktur des Anbieters. Fast immer kommt er daher, wie die Kundin sie konfiguriert und verwaltet hat — ein offen gelassener Zugang, eine nie deaktivierte ehemalige Mitarbeiterin, ein versehentlich oeffentlich geteilter Ordner, eine fehlende Zwei-Faktor-Authentifizierung. Das ist das Prinzip der geteilten Verantwortung: Der Anbieter sichert das Fundament (die Server, die Gebaeude, das Netz), und Sie bleiben verantwortlich fuer Ihre Zugaenge, Ihre Einstellungen und dafuer, wer was sehen darf.
Klar gesagt, wie es Camille, unsere Beraterin, formuliert: Die richtige Frage ist nicht „Cloud oder nicht Cloud", sondern „wer macht was, und ist es gut gemacht?". Der Server „bei sich zu Hause" hat seine eigenen blinden Flecken: Jemand muss ihn sichern, patchen und ueberwachen — drei Aufgaben, die in einem Treuhandbuero ohne interne IT schnell liegen bleiben. Eine defekte Festplatte oder ein ueberschwemmter Raum, und die gesamte Buchhaltung der Kundschaft ist weg.
Fuer ein Buero mit einer Online-Bueroumgebung schuetzt eine richtig konfigurierte Cloud — mit kontrollierten Zugaengen und Zwei-Faktor-Authentifizierung — in der Regel besser als ein alter Server unter dem Schreibtisch, den niemand mehr aktualisiert. Vorausgesetzt, Sie wissen, wo Ihre Daten liegen: Mehrere Anbieter ermoeglichen, dass Ihre Geschaeftsdaten in der Schweiz liegen — ein nuetzliches Argument gegenueber einer Kundin, die auf das revDSG achtet, das Schweizer Datenschutzgesetz.
Was Sie sich merken sollten
- Das Passwort ist nicht die letzte Verteidigungslinie, sondern die erste. So komplex es auch ist, es kann abgephisht, wiederverwendet oder geteilt werden. Den Unterschied machen die Zwei-Faktor-Authentifizierung und der Verzicht darauf, dasselbe Passwort erneut zu verwenden.
- Die Cloud ist nicht das schwache Glied; oft ist es Ihre Konfiguration. Die Sicherheit haengt davon ab, wie Sie Zugaenge verwalten, nicht allein davon, ob Sie Ihre Daten bei einem Anbieter oder in den eigenen Waenden ablegen.
- Beide Ueberzeugungen teilen einen Fehler: Sie stuetzen die gesamte Sicherheit auf ein einziges Element — ein Passwort oder einen Speicherort —, obwohl sie stets an einer Kombination einfacher, sich ergaenzender Handgriffe haengt.
Schritte fuer diese Woche
1. Zwei-Faktor-Authentifizierung fuer kritische Zugaenge aktivieren
Beginnen Sie mit der Mailbox und der Buchhaltungssoftware — den beiden Tresoren des Bueros. Die Zwei-Faktor-Authentifizierung ist in den Einstellungen der meisten professionellen Dienste in wenigen Minuten aktiviert. Allein neutralisiert sie die grosse Mehrheit der Passwortdiebstaehle.
2. Schluss mit geteilten Passwoertern
Ein Passwort, das das ganze Team kennt, ist kein Geheimnis mehr. Jede Person sollte eigene Zugangsdaten haben; damit der Notizzettel nicht zurueckkehrt, ermoeglicht ein Passwort-Manager (ein digitaler Tresor, der Passwoerter fuer Sie merkt und ausfuellt) jeder Person einzigartige Passwoerter, ohne sich etwas merken zu muessen. Bonus: Verlaesst jemand das Buero, sperren Sie dessen Zugang, nicht „das" Passwort aller.
3. Ihre Cloud-Zugaenge durchgehen
Nehmen Sie sich dreissig Minuten, um aufzulisten, wer in Ihren Online-Werkzeugen worauf Zugriff hat: Gibt es alte, noch aktive Konten? Ordner, die mit „allen" geteilt sind? Konten ohne Zwei-Faktor-Authentifizierung? Diese einfache, kostenlose Durchsicht behebt die meisten Konfigurationsfehler, die hinter Vorfaellen stecken. Notieren Sie, was Sie finden: Diese kurze Liste wird zum Ausgangspunkt Ihrer Verbesserung — und zum Nachweis, an dem Tag, an dem eine Kundin fragt, dass Sie genau wissen, wer auf ihre Daten zugreift.
Wo stehen Sie wirklich?
Diese drei Schritte sind weder eine Frage des Budgets noch der Technik: Sie verlangen vor allem einen ehrlichen Blick auf Ihre Gewohnheiten. Das Schwierige ist nicht, sie zu verstehen, sondern zu wissen, wo man anfaengt und was fuer ein KMU wie Ihres wirklich zaehlt.
Genau das bietet die Selbsteinschaetzung Cyber Passport. Sie zertifiziert nichts und erklaert Sie nie fuer „konform": Sie zeigt Ihnen Frage fuer Frage, wo Ihre Organisation solide ist und wo sie noch auf einem Cybersicherheits-Mythos beruht, und weist Sie dann auf die Prioritaeten hin. Genug, um aus zwei Irrtuemern einen klaren Plan zu machen.
