Meine zehn Sicherheitsmaßnahmen für fast jedes Unternehmen

Die ursprünglichen zehn Empfehlungen

Die Liste entstand aus wiederkehrenden Fehlern, die ich privat und in Unternehmen gesehen habe. Sie beginnt bei Passwörtern und reicht bis zur Arbeit mit administrativen Konten.

• Nutzen Sie für alle Dienste unterschiedliche Kennwörter.
• Nutzen Sie einen Passwort-Manager – und geben Sie auch Ihren Beschäftigten einen verwalteten Passwort-Manager.
• Nutzen Sie Mehrfaktor-Authentisierung, wo immer sie verfügbar ist.
• Prüfen Sie das tatsächliche Ziel von Links in E-Mails, bevor Sie klicken.
• Löschen oder melden Sie Phishing-Mails sofort, damit später niemand versehentlich darauf reagiert.
• Installieren Sie Updates zeitnah – auch auf privaten Geräten, die geschäftlich genutzt werden.
• Trennen Sie administrative und nichtadministrative Konten.
• Arbeiten Sie beim Troubleshooting zunächst mit möglichst niedrigen Privilegien.
• Verwenden Sie für lokale Administratorkonten auf Endgeräten unterschiedliche Kennwörter.
• Benutzen Sie personalisierte Konten statt gemeinsam verwendeter Sammelzugänge.

Warum diese Liste noch immer aktuell ist

Viele erfolgreiche Angriffe beginnen nicht mit einer exotischen technischen Lücke. Sie beginnen mit einem wiederverwendeten Kennwort, einer überzeugenden Phishing-Mail, einem ungepatchten Gerät oder einem Konto mit zu vielen Rechten.

Mehrfaktor-Authentisierung erschwert die Kontoübernahme erheblich, ist aber kein vollständiger Schutz. Moderne Phishing-Angriffe können Anmeldedaten und Einmalcodes in Echtzeit abgreifen. Wo möglich, sind phishing-resistente Verfahren wie Passkeys oder Sicherheitsschlüssel die bessere Wahl.

Auch personalisierte Konten sind mehr als eine Formalität. Nur dann lässt sich nachvollziehen, wer eine Änderung vorgenommen hat, und nur dann kann beim Austritt einer Person gezielt gesperrt werden.

Was in einer Top-Ten-Liste zwangsläufig fehlt

Die Liste ersetzt kein Sicherheitskonzept. Datensicherungen, Wiederanlauf, Netzwerksegmentierung, Protokollierung, Endgeräteschutz und Dienstleistersteuerung bleiben ebenso wichtig. Welche Maßnahme zuerst kommt, hängt vom Geschäftsmodell und von der vorhandenen Umgebung ab.

Ein produzierendes Unternehmen mit vernetzten Anlagen hat andere Schwerpunkte als eine Kanzlei oder ein Softwareanbieter. Die Grundlagen bleiben ähnlich; Ausgestaltung und Priorität unterscheiden sich.

Aus zehn Empfehlungen werden zehn überprüfbare Zustände

Die häufigste Schwäche ist nicht, dass eine Maßnahme unbekannt wäre. Sie ist beschlossen, aber nur teilweise umgesetzt. Mehrfaktor-Authentisierung gilt dann für Microsoft 365, nicht aber für VPN oder Administrationsoberflächen. Updates funktionieren auf Notebooks, aber nicht auf Netzwerkgeräten.

Für jeden Punkt sollte deshalb feststehen, wer verantwortlich ist, welche Systeme er umfasst und wie die Wirksamkeit geprüft wird. Eine Stichprobe ist oft aufschlussreicher als eine weitere Richtlinie.

• Geltungsbereich benennen
• verantwortliche Person festlegen
• Umsetzungsstand nachweisen
• Ausnahmen dokumentieren und befristen
• Wirksamkeit regelmäßig testen