Erkennen und reagieren: fortgeschrittene Cybersicherheit für ein KMU

An einem Montagmorgen kann eine Mitarbeiterin von Sophie B. ihre Buchhaltungsdateien nicht mehr oeffnen: Die Namen sind zu einer Folge unlesbarer Zeichen geworden. Im Treuhandbuero ist niemand damit betraut, Sicherheitswarnungen zu ueberwachen – alle machen ihre eigene Arbeit. Die eigentliche Frage lautet dann nicht, wie man jeden Angriff verhindert, sondern wie man ihn erkennen und darauf reagieren kann, bevor er sich auf das ganze Buero ausbreitet.

Erkennen und reagieren: warum ein KMU ohne SOC betroffen ist

Grosse Unternehmen betreiben ein SOC – ein Security Operations Center, also ein Sicherheitsteam, das laufend, oft rund um die Uhr, Warnungen ueberwacht. Ein Dienstleistungsbetrieb wie jener von Sophie B. hat naturgemaess keines und wird auch nie eines haben: Das ist weder sein Metier noch sein Budget. Viele Verantwortliche schliessen daraus faelschlicherweise, dass ein „echter“ Schutz fuer sie unerreichbar sei.

Das ist ein Irrtum, denn moderne Angriffe funktionieren nicht so, wie man sie sich vorstellt. Ein Angreifer tritt die Tuer selten ein. Meist schleicht er sich lautlos ein – etwa mit einem Passwort, das ueber eine praeparierte E-Mail gestohlen wurde – und bleibt dann tagelang, manchmal wochenlang unbemerkt. Er beobachtet, findet heraus, wo die sensiblen Daten liegen, und erst am Ende dieser Zeitspanne schlaegt er zu: verschluesselte Dateien, eine umgeleitete Zahlung, exfiltrierte Kundendossiers.

Diese Zeitspanne – die Zeit, in der der Angreifer bereits im Haus ist, ohne dass jemand davon weiss – ist die eigentliche Gefahr. Je laenger sie dauert, desto tiefer der Schaden: ebenfalls verseuchte Backups, kopierte Kundendaten, sich vermehrende Zugaenge. Umgekehrt bleibt ein am selben Tag entdeckter Einbruch meist ein harmloser Vorfall. Alles haengt davon ab, wie schnell man etwas bemerkt – nicht davon, wie hoch die Mauer ist.

Praevention – gute Passwoerter, die Zwei-Faktor-Authentifizierung (MFA: zusaetzlich zum Passwort ein zweiter Nachweis, etwa ein Code auf Ihrem Telefon) – senkt das Eintrittsrisiko deutlich. Doch keine Barriere ist perfekt, und ein Dienstleistungs-KMU ist ein umso attraktiveres Ziel, als es sensible Daten zahlreicher Dritter verwahrt. Deshalb darf man nicht beim „Verhindern“ stehen bleiben. Man muss auch erkennen – die Anzeichen dafuer bemerken, dass etwas Unnormales geschieht – und reagieren – wissen, was in der folgenden Stunde zu tun ist, ruhig und ohne zu improvisieren. Keiner dieser beiden Reflexe verlangt ein SOC. Was sie verlangen, ist vor allem Organisation – und das ist eine gute Nachricht fuer einen kleinen Betrieb: Organisation kauft man nicht, man beschliesst sie.

Was Sie sich merken sollten

Praevention allein ist eine verlorene Wette. Gehen Sie davon aus, dass eines Tages trotz aller Vorsicht etwas durchkommt. Eine widerstandsfaehige Organisation ist nicht jene, die nie angegriffen wird – es ist jene, die schnell bemerkt und weiss, was zu tun ist. Genau diese Haltung legen Rahmenwerke wie das NIST CSF 2.0 dar, das die Funktionen identifizieren, schuetzen, erkennen, reagieren, wiederherstellen unterscheidet: Die Haelfte der Arbeit spielt sich nach dem Einbruch ab.

Erkennen beginnt nicht mit einem Kauf. Man meint, es brauche teure Software, um einen Angriff zu sehen. In Wahrheit ist das erste Erkennungswerkzeug das Wissen, wie ein normaler Tag aussieht – und damit das Bemerken dessen, was nicht normal ist. Die meisten Werkzeuge, die Sie bereits nutzen (etwa Ihre berufliche E-Mail), erzeugen Warnungen, die niemand liest. Sie zu aktivieren und festzulegen, wer sie erhaelt, kostet null Franken.

Schnell zu reagieren ist zudem eine Pflicht, nicht nur eine gute Idee. In der Schweiz erwartet das revDSG – das revidierte Datenschutzgesetz, in Kraft seit September 2023 – von einem Unternehmen „angemessene“ Massnahmen und die Meldung einer Datenschutzverletzung an den Eidgenoessischen Datenschutz- und Oeffentlichkeitsbeauftragten (EDOEB) so rasch als moeglich, wenn das Risiko fuer die betroffenen Personen hoch ist. Bearbeiten Sie zudem Daten von Kundinnen und Kontakten in der Europaeischen Union, kommt die DSGVO mit eigenen Fristen hinzu. Fuer ein Treuhandbuero, das die Daten Hunderter Kunden verwahrt, ist die Faehigkeit zu reagieren daher kein Komfort: Sie ist eine Verantwortung – und eine gute Reaktion beginnt stets mit einer schnellen Erkennung.

Schritte fuer diese Woche

1. Halten Sie Ihre fuenf Warnsignale fest

Erkennen beginnt fuer eine kleine Struktur mit einem einzigen Blatt Papier. Versammeln Sie die Personen, die mit den IT-Werkzeugen umgehen, und listen Sie gemeinsam fuenf Anzeichen auf, die sofort beunruhigen muessen. Zum Beispiel: eine Datei, die unlesbar wird oder sich von selbst umbenennt; eine Anmeldung am Postfach aus einem Land, in dem niemand arbeitet; eine Kollegin, die eine wirklich seltsame E-Mail im Namen eines Partners meldet; eine Software, die am selben Tag auf mehreren Rechnern ungewoehnlich langsam laeuft; eine Kundin, die Ihnen sagt, sie habe eine Nachricht erhalten, die Sie nie gesendet haben.

Ziel ist nicht Vollstaendigkeit, sondern ein vages Gefuehl („das ist seltsam“) in einen geteilten Reflex zu verwandeln („das ist ein Signal, ich melde es sofort“). Haengen Sie die Liste aus und legen Sie klar fest, an wen gemeldet wird.

2. Aktivieren Sie die Warnungen – und die Zwei-Faktor-Authentifizierung –, die Sie bereits haben

Die meisten KMU arbeiten mit einer Online-Buerosuite, die auffaelliges Verhalten bereits erkennen kann: eine Anmeldung von einem ungewoehnlichen Ort, das Anlegen einer Regel, die Ihre E-Mails automatisch nach aussen weiterleitet, mehrere fehlgeschlagene Anmeldeversuche. Diese Warnungen existieren oft, ohne dass jemand sie erhaelt. Bitten Sie Ihren IT-Dienstleister, sie zu aktivieren und an eine namentlich bestimmte Person zu leiten – nicht an ein allgemeines Postfach, das niemand prueft.

Fuehren Sie im selben Zug die Zwei-Faktor-Authentifizierung (MFA) fuer sensible Zugaenge ein, beginnend bei der E-Mail. Sie ist die Massnahme, die die groesste Zahl von Einbruechen an der Wurzel kappt, und sie kostet nichts weiter als ein paar Minuten pro Person.

3. Halten Sie Ihren Reflex fuer die ersten Stunden fest

Der schlechteste Moment, um zu ueberlegen, wen man anruft, ist mitten in der Krise. Bereiten Sie deshalb in ruhigen Zeiten ein einseitiges Blatt vor, das drei einfache Fragen beantwortet: Wer tut was in den ersten Stunden (wer isoliert den betroffenen Rechner, indem er ihn von Netzwerk und WLAN trennt, wer informiert die Geschaeftsleitung, wer haelt fest, was beobachtet wird); wen man anruft (Ihren IT-Dienstleister und die Anlaufstelle des Bundesamts fuer Cybersicherheit – das BACS, auch unter dem Kuerzel NCSC bekannt, das Vorfaelle entgegennimmt); und was man auf keinen Fall tut (ein Loesegeld ohne Beratung zahlen oder Rechner abrupt ausschalten und damit nuetzliche Spuren loeschen).

Dieses Blatt ersetzt keinen vollstaendigen Krisenplan, aber es verschafft Ihnen die wertvollsten Stunden: jene, in denen eine ruhige Reaktion den Unterschied zwischen einem beherrschten Vorfall und einer Katastrophe ausmacht.

Wo stehen Sie wirklich?

Diese drei Schritte fuehren Sie von einer abwartenden zu einer aktiven Haltung: Sie akzeptieren, dass ein Angriff geschehen kann, und organisieren sich, um zu erkennen und zu reagieren. Die ehrliche Anschlussfrage lautet: Bei diesen Themen – Erkennung, Protokollierung, Incident Response, revDSG-Pflichten – wo sind Sie solide und wo verlassen Sie sich vor allem auf das Glueck?

Genau das legt die Cyber-Passport-Selbsteinschaetzung offen. Sie zertifiziert nichts und erklaert Sie nicht fuer „sicher“: Sie zeigt Ihnen Frage fuer Frage Ihre tatsaechliche Reife und was vorrangig gestaerkt werden sollte. Um weiterzugehen und diese Schritte in eine echte Erkennungs- und Reaktionsfaehigkeit zu verwandeln, entfaltet unser eigener Blueprint den vollstaendigen Plan, Schritt fuer Schritt.