So funktioniert es mit Sicherheit

Im Visier von Hackern und Datendieben sind dabei längst nicht mehr nur die großen Betriebe: Auch kleine und mittlere Unternehmen müssen sich zunehmend um die Sicherheit ihres Systems sorgen. Wer dabei einige Grundsätze beachtet, kann sich viel Mühe und Kosten ersparen.

Kenne den Feind

Der erste Schritt auf die sichere Seite ist, sich klarzumachen, welchen Bedrohungen das Unternehmen ausgesetzt ist. Wieland Alge, Generalmanager bei Barracuda Networks, nennt zunächst die Gefahr der ungezielten Attacke: "Lassen Sie das Auto unversperrt stehen, wird jemand vorbei kommen und etwas kaputt machen. Gibt man sich im Internet eine vergleichbare Blöße, etwa indem man auf Virenscanner verzichtet, wird man auch hier bestraft - und findet plötzlich Würmer oder Viren auf dem Rechner", so Alge.

Weitaus bedrohlicher sind jedoch planmäßige Attacken. Alge unterscheidet zwischen den kriminellen, den organisierten und den staatlichen Angreifern. Während kriminelle Hacker häufig ohne Auftraggeber arbeiten und auf den schnellen Gewinn etwa in Form von Kreditkartendaten aus sind, haben organisierte und staatliche Angreifer meist einen Auftraggeber - und ein strategisches Interesse. Alge unterstreicht: "Hier geht es um den Schutz des geistigen Eigentums, der Erfindungen oder sonstigen Lösungen des Unternehmens."

Da diese Angreifer mehr Zeit und Ausdauer haben, mit ausgefeilteren Methoden und professioneller agieren, ist dieses Bedrohungsszenario deutlich gefährlicher.

Auch wenn die Ziele solcher Angriffe typischerweise in der Großindustrie zu verorten sind, finden strategische Attacken auch auf der Ebene kleinerer Betriebe statt. "Kleinunternehmen sind genauso gefährdet", warnt Hans-Jürgen Pollirer von der Wirtschaftskammer Österreich (WKO). Und verdeutlicht: "Das ist wie bei einer Kleinwohnung - wenn dort Wertgegenstände vorhanden sind, da können sie auch von dort gestohlen werden." Produktionsgeheimnisse, Details zu Ausschreibungen oder besondere Verträge können das Interesse der Konkurrenz wecken - und Kleinunternehmen auf die Auftragsliste von Datendieben bringen.

Firewall und Schulung

Wie aber sollen sich Unternehmen angesichts dieser Bedrohungen schützen? Alge schwört diesbezüglich auf Firewalls: "Für Klein- und Mittelbetriebe sind Multifunktionsfirewalls eine gute Lösung, weil sie viel abdecken und oft keiner weiteren Systeme bedürfen."

Etwas differenzierter sieht das Peter Böhret, Geschäftsführer beim Datenrettungs-Marktführer Kroll Ontrack: "Man hat viel zu viel Aufwand in das Thema Firewall gesetzt. Datenschutz fängt beim Mitarbeiter an." Eine aktuelle Firewall sei zwar unerlässlich, ohne eine entsprechende Sensibilisierung der Mitarbeiter bleiben aber Sicherheitslücken.

Eine angemessene Schulung ist auch für Pollirer Teil eines zuverlässigen Sicherheitkonzeptes: "Technische Lösungen alleine sind zu wenig. Der größte Unsicherheitsfaktor ist immer noch der Mensch", so der WKO-Experte. Folglich sollten Mitarbeiter auch in kleinen Unternehmen gezielt über die Risiken beim Öffnen von E-Mails unbekannter Absender oder bei der Installation von Programmen und Apps auf Firmenhandys aufgeklärt werden.

Für eine größtmögliche Sicherheit empfehlen sich zudem folgende Maßnahmen: Es sei jedenfalls eine genau abgestimmte Verwaltung der Zugriffsrechte von Mitarbeitern erforderlich.

Bündel an Maßnahmen

Diese sollte jährlich überprüft werden - "und zwar vom Chef", wie Böhret betont. Doch man muss auch bei großem Sicherheits-Aufwand darauf gefasst sein, seine Daten zu verlieren. Aus diesem Grund rät Böhrt, grundsätzlich zwei Backupmedien anzulegen. "Bei sensiblen Daten sollte man zudem überlegen, Verschlüsselungssysteme einzusetzen", ergänzt Pollirer.

Und was bleibt einem übrig, wenn der Angriff bereits erfolgt ist und sensible Daten auf dem Spiel stehen? "Als Erstes muss man die Systeme sofort vom Netz trennen. Dann schaut man, ob die Daten noch irgendwo gesichert sind und entfernt diese physisch vom System", meint Böhret. Wenn sich die Hinweise auf Datenraub erhärten, bleiben nur mehr zwei Optionen: die Heranziehung von Computerforensikern, die feststellen, um welche Angriffe es sich handelt. Und letztlich der Gang zur Strafverfolgungsbehörde.