Meine zehn Sicherheitsmaßnahmen für fast jedes Unternehmen

Zehn Empfehlungen für den IT-Alltag

Die Empfehlungen betreffen Passwörter, sichere Anmeldungen, Updates und die Arbeit mit administrativen Konten. Einige lassen sich unmittelbar umsetzen, andere müssen mit der IT abgestimmt werden.

• Nutzen Sie für alle Dienste unterschiedliche Kennwörter.
• Nutzen Sie einen Passwort-Manager – und geben Sie auch Ihren Beschäftigten einen verwalteten Passwort-Manager.
• Nutzen Sie Mehrfaktor-Authentisierung, wo immer sie verfügbar ist.
• Prüfen Sie das tatsächliche Ziel von Links in E-Mails, bevor Sie klicken.
• Löschen oder melden Sie Phishing-Mails sofort, damit später niemand versehentlich darauf reagiert.
• Installieren Sie Updates zeitnah – auch auf privaten Geräten, die geschäftlich genutzt werden.
• Trennen Sie administrative und nichtadministrative Konten.
• Arbeiten Sie beim Troubleshooting zunächst mit möglichst niedrigen Privilegien.
• Verwenden Sie für lokale Administratorkonten auf Endgeräten unterschiedliche Kennwörter.
• Benutzen Sie personalisierte Konten statt gemeinsam verwendeter Sammelzugänge.

Warum diese Liste noch immer aktuell ist

Viele erfolgreiche Angriffe beginnen nicht mit einer exotischen technischen Lücke. Sie beginnen mit einem wiederverwendeten Kennwort, einer überzeugenden Phishing-Mail, einem ungepatchten Gerät oder einem Konto mit zu vielen Rechten.

Mehrfaktor-Authentisierung erschwert die Kontoübernahme erheblich, ist aber kein vollständiger Schutz. Moderne Phishing-Angriffe können Anmeldedaten und Einmalcodes in Echtzeit abgreifen. Wo möglich, sind phishing-resistente Verfahren wie Passkeys oder Sicherheitsschlüssel die bessere Wahl.

Auch personalisierte Konten sind mehr als eine Formalität. Nur dann lässt sich nachvollziehen, wer eine Änderung vorgenommen hat, und nur dann kann beim Austritt einer Person gezielt gesperrt werden.

Was in einer Top-Ten-Liste zwangsläufig fehlt

Die Liste ersetzt kein Sicherheitskonzept. Datensicherungen, Wiederanlauf, Netzwerksegmentierung, Protokollierung, Endgeräteschutz und Dienstleistersteuerung bleiben ebenso wichtig. Welche Maßnahme zuerst kommt, hängt vom Geschäftsmodell und von der vorhandenen Umgebung ab.

Ein produzierendes Unternehmen mit vernetzten Anlagen hat andere Schwerpunkte als eine Kanzlei oder ein Softwareanbieter. Die Grundlagen bleiben ähnlich; Ausgestaltung und Priorität unterscheiden sich.

Aus zehn Empfehlungen werden zehn überprüfbare Zustände

Die häufigste Schwäche ist nicht, dass eine Maßnahme unbekannt wäre. Sie ist beschlossen, aber nur teilweise umgesetzt. Mehrfaktor-Authentisierung gilt dann für Microsoft 365, nicht aber für VPN oder Administrationsoberflächen. Updates funktionieren auf Notebooks, aber nicht auf Netzwerkgeräten.

Für jeden Punkt sollte deshalb feststehen, wer verantwortlich ist, welche Systeme er umfasst und wie die Wirksamkeit geprüft wird. Eine Stichprobe ist oft aufschlussreicher als eine weitere Richtlinie.

Eine Arbeitsliste kann für jede der zehn Maßnahmen dieselben Spalten nutzen: betroffene Systeme, verantwortliche Person, aktueller Stand, offener Schritt, Termin und Nachweis. Bei Mehrfaktor-Authentisierung genügt als Stand beispielsweise nicht „eingeführt“. Hilfreich wäre „für die erfassten Cloud-Konten aktiv; zwei technische Konten noch in Prüfung“. Zum Nachweis gehören die geprüfte Kontenübersicht, das Datum und der Umgang mit Ausnahmen. Vertrauliche Konfigurationsdetails bleiben in den geschützten internen Unterlagen.

• Geltungsbereich benennen
• verantwortliche Person festlegen
• Umsetzungsstand nachweisen
• Ausnahmen dokumentieren und befristen
• Wirksamkeit regelmäßig testen