Die meisten Sicherheitsvorfälle in KMU beginnen nicht mit einem raffinierten Angriff. Sie beginnen damit, dass jemand das tat, was er für normal hielt: Er hat dasselbe Passwort für die E-Mail und die Website des Versanddienstleisters verwendet, den angehängten “Rechnung”-Anhang geöffnet, den von zu Hause mitgebrachten USB-Stick angeschlossen, dem neuen Kollegen das Passwort “nur für heute” gegeben. Keine dieser Personen hat gegen die Unternehmensregeln verstoßen – denn das Unternehmen hatte keine schriftlichen Regeln. Eine Sicherheitsrichtlinie ist kein dreißigseitiges juristisches Dokument; es ist ein Blatt, das besagt, was getan wird und was nicht, und das jeder gelesen hat. Dies sind die sieben, die wir als das Minimum erachten.
1. Passwort- und Authentifizierungsrichtlinie
Das Wesentliche: lange Passwörter (Sätze mit 14 oder mehr Zeichen statt kurzer Kombinationen mit Symbolen), für jeden Dienst unterschiedlich, in einem Firmen-Passwortmanager gespeichert und niemals per E-Mail oder Nachricht geteilt. Multifaktor-Authentifizierung ist Pflicht für E-Mails, Dateien und jeden Fernzugriff – ohne Ausnahmen für das Management, das das bevorzugte Ziel ist. Passwörter für geteilte Konten werden jedes Mal geändert, wenn jemand das Unternehmen verlässt. Wir haben das Warum und Wie im Artikel über erklärt Passwort-Manager im Unternehmen.
2. Ausstattungsrichtlinie
Welche Geräte auf Firmendaten zugreifen dürfen und unter welchen Bedingungen. Einfache Regel: Firmenhardware verfügt über installierten Schutz, automatische Updates und verschlüsselte Festplatten; Privatgeräte greifen über den Browser auf E-Mails und Dateien zu, ohne diese auf die Festplatte herunterzuladen. Laptops bleiben nicht im Auto; Verlust und Diebstahl werden noch am selben Tag gemeldet, um den Zugriff aus der Ferne zu sperren. Niemand installiert Software außerhalb der genehmigten Liste – und diese Liste existiert.
3. E-Mail- und Kommunikationsrichtlinie
Wie man eine verdächtige E-Mail erkennt und was man mit ihr tun sollte (an die IT weiterleiten, nicht antworten, nicht klicken). Aufforderungen zur Änderung von Bankdaten von Lieferanten werden immer telefonisch bestätigt, und zwar unter einer bereits bekannten Nummer – niemals unter der in der E-Mail angegebenen. Dies ist die wirksamste Verteidigung gegen den Betrug mit gefälschten Rechnungen, den wir in beschrieben haben Leitfaden zum E-Mail-Betrug in Unternehmen. Kundendaten werden weder per persönlicher E-Mail noch über Messaging-Anwendungen versendet.
Zugangsrichtlinie
Jede Person erhält nur Zugriff auf das, was sie für ihre Funktion benötigt. Die Berechtigungen für freigegebene Ordner und SharePoint werden zweimal jährlich überprüft. Administratorenrechte auf den Computern hat nur das IT-Team. Zugriffe externer Dienstleister sind individuell, temporär und werden protokolliert. Wenn jemand die Funktion wechselt, werden die alten Zugriffe entzogen und nicht nur die neuen hinzugefügt. Das ist die praktische Umsetzung des Prinzips der geringsten Privilegien der Zero Trust für KMU.
5. Richtlinie für Sicherheitskopien
Was kopiert wird, wie oft, wohin und wie lange es gespeichert wird. Mindestens eine Kopie außerhalb des Gebäudes und unveränderbar, um Ransomware standzuhalten. Wiederherstellungstests mit festem Datum und dokumentiertem Ergebnis. Wer die Fehlermeldungen erhält und wie schnell sie bearbeitet werden. Wenn Ihr Unternehmen über eine solche schriftliche und eingehaltene Richtlinie verfügt, sind Sie den meisten voraus – sehen Sie, wie das funktioniert verwaltetes Backup und was ändert sich mit einem Tarif Notfallwiederherstellung.
Richtlinie zur Vorfallreaktion
Eine Seite mit der Antwort auf die Frage “Was wäre, wenn?”. Wer wen benachrichtigt, in welcher Reihenfolge. Was als Erstes abgeschaltet wird (die betroffene Station des Netzwerks, nicht der gesamte Server). Wer mit Kunden und Lieferanten spricht und wer nicht. In welchen Fällen eine Meldepflicht gegenüber der CNPD (72 Stunden bei personenbezogenen Daten) oder, für unter die NIS2-Richtlinie fallende Einrichtungen, dem Nationalen Zentrum für Cybersicherheit besteht. Die Kontaktdaten des IT-Dienstleisters und der Versicherung, ausgedruckt, da am Tag des Vorfalls die E-Mail ausgefallen sein kann. Die Vier Phasen eines Cyberangriffs helfen zu verstehen, wo jede Aktion hingehört.
7. Richtlinie für den Ein- und Austritt von Mitarbeitern
Eingang: Konto mit den Berechtigungen der Rolle erstellt, MFA am ersten Tag eingerichtet, Gerät mit Protokoll übergeben, 30-minütige Sitzung zu diesen Richtlinien. Ausgang: Konto am letzten Tag deaktiviert (nicht in der folgenden Woche), E-Mail-Weiterleitung eingerichtet, Gerät zurückgegeben und überprüft, geteilte Passwörter geändert, Lieferantenzugriffe im Namen dieser Person widerrufen. Aktive Konten ehemaliger Mitarbeiter gehören zu den häufigsten Mängeln, die wir bei Audits feststellen.
Wie man schreibt und in die Praxis umsetzt
Jede Richtlinie passt auf eine halbe Seite. Schreiben Sie auf, was das Unternehmen heute schon gut macht, ergänzen Sie, was fehlt, und vermeiden Sie Verbote, die niemand einhalten wird – eine von allen ignorierte Regel schwächt die anderen. Lassen Sie sie von der Geschäftsführung absegnen, stellen Sie sie in einer kurzen Sitzung vor und bitten Sie um eine Unterschrift. Überprüfen Sie sie einmal im Jahr. In unseren Verträgen Geführte Cybersicherheit Wir stellen unternehmensangepasste Vorlagen für diese sieben Richtlinien zur Verfügung und überprüfen im Monatsbericht, was technisch eingehalten wird: aktives MFA, deaktivierte Konten, getestete Backups.
Häufig gestellte Fragen
Braucht ein KMU mit 12 Mitarbeitern schriftliche Richtlinien?
Es braucht dieselben sieben, nur kürzer. Die Dimension ändert nicht die Risiken – sie ändert die Zahl der Leute, die sie lesen müssen. Und in einem kleinen Unternehmen hat das Ausscheiden einer Person ohne Deaktivierung des Kontos mehr Impact, nicht weniger.
Gelten diese Richtlinien für die DSGVO und für NIS2?
Sie sind Teil der “technischen und organisatorischen Maßnahmen”, die beide fordern. Sie ersetzen weder das Verzeichnis von Verarbeitungstätigkeiten der DSGVO noch die Risikoanalyse der NIS2, aber sie bilden das Fundament, auf dem diese Dokumente ruhen.
Wer muss die Richtlinien unterzeichnen?
Alle Mitarbeitenden mit Systemzugang, einschließlich Praktikanten, Leiharbeiter und das Management. Die Unterschrift ist keine Bürokratie: Sie ist das, was die Durchsetzung ermöglicht.
Wie oft sehen Sie sich?
Einmal im Jahr und immer dann, wenn es eine relevante Änderung gibt: neue Verwaltungssoftware, flächendeckende Telearbeit, Sicherheitsvorfall, Gesetzesänderung.
Möchten Sie die sieben Richtlinien an Ihr Unternehmen anpassen?
Wir liefern die Modelle, passen sie an Ihre Realität an und konfigurieren den technischen Teil – MFA, Zugriffe, Kopien –, damit die Theorie der Praxis entspricht. Sehen Sie sich unsere Managed Cybersecurity für Unternehmen Oder rufen Sie 211 459 950 an.
