Fünf typische Cybersecurity-Risiken in KMU

KMU sind für Cyberbetrüger ein attraktives Ziel. Die Gefahren von Cyberbedrohungen sind meistens bekannt, doch nicht jedes Unternehmen weiss um die Sicherheitslücken in der eigenen IT.

Check Point Research (CPR), die Sicherheitsforscher des Cybersecurity-Spezialisten Check Point Software Technologies, hat in 2022 rund 61 Prozent mehr Cyberattacken auf Schweizer Unternehmen registriert als noch im Jahr zuvor.

KMU sind für Cyberbetrüger ein attraktives Ziel. Ihre Abwehrsysteme sind in der Regel weniger umfangreich als bei Grossunternehmen und somit einfacher zu umgehen. Gleichzeitig sind die Betriebsgeheimnisse und Daten von KMU häufig überlebenswichtig und damit besonders wertvoll.

Herausforderung IT-Security

KMU wissen in der Regel um die Gefahren von Cyberbedrohungen. Doch in der Praxis zeigt sich, dass Sicherheitslücken in der eigenen Unternehmens-IT häufig unbekannt sind. Wir haben fünf Security-Schwachstellen zusammengestellt, die wir bei kleinen und mittleren Unternehmen häufig antreffen:

1. Die Sicherung der Unternehmensdaten ist unzureichend.

Bei der Sicherung der Unternehmensdaten gilt die Faustregel der 3-2-1-Backup-Strategie. Diese besagt: Es sollten mindestens drei Kopien der Daten vorhanden sein. Diese sind auf zwei verschiedenen Speichermedien zu sichern. Davon ist eine Backup-Kopie an einem externen Standort aufzubewahren.

Das externe Backup wird vielerorts vernachlässigt. Das Problem: Cyberangriffe, aber auch Stromausfälle oder Elementarereignisse, können auch lokale Daten-Backups zerstören. Die einfachste Art für die Auslagerung einer Backup-Kopie ist ein automatisiertes Backup zu einem Service Provider. So bietet z.B. T&N mit Managed Veeam Cloud Connect ein externes Datenbackup in der eigenen Cloud an.

Besonders wichtig dabei ist: Das externe Backup muss von der eigenen Infrastruktur getrennt und die Verbindung Ende-zu-Ende verschlüsselt sein.

2. Die Mitarbeitenden sind nicht auf drohende Cybersecurity­Gefahren sensibilisiert.

Ein Klick auf den falschen Link und schon ist Malware aktiviert ... Eines der grössten Sicherheitsrisiken im Unternehmen sind die Benutzer der IT-Systeme, also die eigenen Mitarbeitenden. Die Mitarbeitenden gegenüber Cyberbedrohungen zu sensibilisieren und sie auf den Ernstfall vorzubereiten gehört heute zum Pflichtprogramm.

Wer auf klassische Schulungen verzichten möchte, kann auf eine Security Awareness Software, wie z.B. KnowBe4, zurückgreifen. Moderne Lösungen bieten nebst einer E-Learning-Plattform die Möglichkeit, Angriffe zu simulieren und die Infrastruktur auf Sicherheitslücken zu prüfen (Penetration Testing).

3. Es existiert kein Wiederherstellungsplan.

Die IT-Systeme fallen aus. Und jetzt? Ein Wiederherstellungsplan dokumentiert, wie eine Organisation auf einen Notfall in organisatorischer und technischer Hinsicht reagieren kann. Ziel eines Disaster-Recovery-Plans ist es, den Schaden zu begrenzen und die Unterbrechungen des normalen Betriebs zu minimieren.

4. Die Zugänge zum IT-Netzwerk und die Internetschnittstellen sind nicht geschützt.

Eine Firewall gehört heute zur Standardausstattung einer Organisation. Doch Firewall ist nicht gleich Firewall. Besonders wichtig hinsichtlich Gefahren aus dem Netz ist ein integriertes Intrusion-Detection- resp. Intrusion-Prevention-System (IDS/IPS). Dieses überwacht das Netzwerk auf Anomalien und kann Regelverletzungen und schädliche Vorfälle wie Hackerangriffe rechtzeitig erkennen.

5. Betriebssysteme, Virenscanner und Firewalls sind nicht auf dem neuesten Stand.

Wartungsarbeiten sind meistens nicht sehr beliebt. Sie werden gerne zugunsten anderer Prioritäten verschoben oder nur unzureichend erledigt. Das seriöse und regelmässige Durchführen der Wartung und Updates ist jedoch die Grundlage für sichere Systeme und heute wichtiger denn je. Dabei werden zum Beispiel Patches eingespielt, die neue Sicherheitslücken schliessen.

IT-Security-Check deckt Schwachstellen auf

Kleineren Unternehmen ist es kaum noch möglich, mit der Dynamik im Security-Bereich Schritt zu halten. Gleichzeitig wächst der Druck auf die Sicherheit der Unternehmensdaten. Heute reicht eine Ansammlung von Sicherheitsprodukten nicht mehr aus, um rundum geschützt zu sein. Eine ganzheitliche Betrachtung ist nötig.

Ein externes IT-Security-Audit hilft KMU, Schwachstellen aufzudecken und den Schutzbedarf der IT-Assets zu definieren. Darüber hinaus zeigt ein ganzheitlicher Security-Check die Massnahmen zur Behebung der Sicherheitslücken auf.

Es lohnt sich allemal, externe Experten für die Überprüfung der eigenen IT Sicherheit beizuziehen: Durch ihr Fachwissen und den Blick von aussen schaffen sie Mehrwerte und schliessen die Lücken, die im Unternehmen vorhanden sind.