Mit einer Mischung aus technischen und organisatorischen Massnahmen können Sie das Risiko eines Cyberangriffs drastisch reduzieren. Ein kontinuierlicher und strukturierter Ansatz zur Aktualisierung von Software ist daher entscheidend, um Schwachstellen zu vermeiden und die IT-Sicherheit des Unternehmens zu gewährleisten.
Eine gute IT-Sicherheit kann, ähnlich wie ein Immunsystem, viele Angriffe abwehren und so die Geschäftstätigkeit des Unternehmens schützen. Dazu gehören regelmässige Updates, die Installation von Virenschutzprogrammen, starke Passwörter und Zwei-Faktor- oder Mehrfach-Authentifizierung sowie natürlich die Datensicherung.
Mit sechs wichtigen Massnahmen schützen Sie Ihr Unternehmen vor Cyberangriffen und den damit verbundenen Konsequenzen.
Massnahme Nr. 1: sicheres Backup
- Sorgen Sie für einen automatisierten und geschützten Backup-Prozess inklusive Verschlüsselung.
- Stellen Sie die externe Speicherung des Backups sicher.
- wenn obiges nicht möglich ist: Trennen Sie das Backup-Medium vom Netzwerk und lagern Sie es offline an einem sicheren Ort.
Massnahme Nr. 2: umfassender und aktueller Schutz vor Schadsoftware
- Sensibilisieren Sie Mitarbeitende im Umgang mit E-Mails, Webseiten, Passwörtern und so weiter.
- Stellen Sie einen umfassenden, flächendeckenden Malwareschutz von Endgeräten, Servern, Cloud- und E-Mail-Services sicher.
- Blockieren Sie den Empfang gefährlicher E-Mail-Anhänge auf Ihrem E-Mail-Gateway.
- Schränken Sie die Makroausführung ein und installieren Sie Internet- und Spamfilter.
Massnahme Nr. 3: Netzwerke und Fernzugriffe absichern
- Schulen Sie Mitarbeitende und Lieferanten für den sicheren Fernzugriff.
- Teilen Sie Netzwerke mittels Firewall in Zonen auf, damit wichtige Geschäftsbereiche voneinander abgetrennt sind.
- Sichern Sie den Fernzugriff mittels Zwei-Faktor-Authentifizierung zusätzlich ab (zum Beispiel mit einem SMS-Code).
- Stellen Sie sicher, dass nur unbedingt notwendige Systeme vom Internet her erreichbar sind.
- Zugriffe auf das Firmennetzwerk sollten nur von firmeneigenen Computern mit VPN-Zugang gestattet werden.
- Achten Sie zudem unbedingt darauf, dass die VPN-Verbindung mit einem zweiten Faktor geschützt ist.
Massnahme Nr. 4: Hardware und Software aktuell halten
- Halten Sie die Software und Hardware immer auf dem neuesten Stand.
- Setzen Sie nur aktuelle Betriebssysteme und Applikationen ein.
- Schützen Sie bestehende Systeme nicht nur online, sondern auch physisch (zum Beispiel durch eingeschränkten Zutritt zum Server).
- Lösen Sie veraltete Systeme ab.
- Erkennen Sie alte oder nicht verwendete Systeme und entfernen oder isolieren Sie diese vom Netzwerk.
Massnahme Nr. 5: Mitarbeitende und deren Rollen
- Definieren Sie in einem Rollenkonzept, welche Rechte pro Person notwendig sind.
- Prüfen Sie auch die Zugriffsrechte der Geschäftsleitung und schränken Sie diese gegebenenfalls ein.
- Erstellen Sie Passwortregeln für Mitarbeitende.
Massnahme Nr. 6: Notfallprozesse definieren
- Definieren Sie eine Notfallorganisation sowie Notfallprozesse und informieren Sie alle Mitarbeitenden darüber.
- Überprüfen Sie die Rollen und Abläufe des Notfallplans und testen Sie die Datenrückführung von Backups regelmässig.
- Nutzen Sie analoge oder von Ihrem Netzwerk unabhängige Möglichkeiten, um auch im Notfall auf Notfallpläne und andere Dokumente zugreifen zu können (zum Beispiel Notfallzettel, Ordner, Cloud- oder Mobile-Lösung).
Weiterführende Informationen:
Swiss Cyber Defence DANN: Leitfaden für KMU
Merkblatt «Informationssicherheit für KMUs» des Bundesamts für Cybersicherheit BACS
KMU-Portal des Bundes: Informationen zu Cybersicherheit
Zertifizierungen und Siegel für Cybersicherheit
In der Schweiz und international gibt es verschiedene Labels, die einem Unternehmen oder IT-Dienstleistern einen gewissen Sicherheitsstandard attestieren.
Cyber-Safe: Dieses Label wurde vom Verband Cyber-Safe eigens für KMU geschaffen. Der Zertifizierungsprozess umfasst eine Diagnose/Roadmap und ein Cybersicherheits-Audit.
CyberSeal: Das Gütesiegel «CyberSeal» bestätigt, dass ein IT-Dienstleister seinen Kundinnen und Kunden durch technische und organisatorische Massnahmen einen angemessenen Schutz vor Cyberrisiken bietet.
ISO 27001: Die ISO 27001 beschreibt den Standard für das Informationssicherheitsmanagement in Unternehmen. Mit der Zertifizierung erbringen Unternehmen den Nachweis, dass sie wichtige Anforderungen der Informationssicherheit und Datensicherheit erfüllen. Dadurch werden nicht nur Risiken reduziert, sondern auch Vertrauen geschaffen.
ISO 27032: Bei diesem Zusatz-Standard zu ISO 27032 handelt sich um einen auf Cybersicherheit spezialisierten Massnahme- beziehungsweise Richtlinienkatalog. Diese Norm ist nicht zertifizierbar.
