IHK Darmstadt

Technische Sicherheit und Datenmanagement

Schutzschirm in einer digitalen Welt – eine Checkliste

Die Digitalisierung eröffnet enorme Chancen – gleichzeitig wächst jedoch die Angriffsfläche für Cyberkriminalität. Digitale Sabotage, Cyberangriffe und einhergehende Datenverluste sind längst Alltag – auch für kleine und mittlere Unternehmen. Oft reichen bereits strukturierte Basismaßnahmen, um das Risiko deutlich zu reduzieren.

1. Basis: Technische Mindeststandards der IT-Sicherheit

Die Grundlage jeder Sicherheitsstrategie sind funktionierende technische Schutzmaßnahmen. Sie bilden die erste Verteidigungslinie gegen Angriffe.
Wichtige Prüffragen für Unternehmen:
  • Virenschutzprogramme:
    Sind auf allen Endgeräten (PCs, Laptops, Servern) aktuelle Virenschutzprogramme installiert – auch im Homeoffice? Werden diese regelmäßig aktualisiert?
  • Firewalls:
    Existieren sowohl Netzwerk-Firewalls als auch Endgeräte-Firewalls? Sind diese korrekt konfiguriert und auf dem neuesten Stand?
  • Passwortschutz:
    Werden sichere Passwörter genutzt (Mindestlänge, Komplexität)? Ist die Wiederverwendung ausgeschlossen? Gibt es Richtlinien für Passwortwechsel?
  • Zwei-Faktor-Authentifizierung (2FA):
    Gerade für E-Mail-Konten, Cloud-Dienste (z. B. Microsoft 365, DATEV) und kritische Systeme heute unverzichtbar - auch für VPN-Zugänge nutzen.
  • Regelmäßige Software-Updates:
    Sicherheitslücken entstehen häufig durch veraltete Software. Automatische Updates sollten Standard sein.
Praxis-Tipp:
Erstellen Sie eine einfache IT-Checkliste und prüfen Sie diese mindestens quartalsweise.

2. Interne Datenarchitektur: Ordnung schafft Sicherheit

Die Art und Weise, wie Daten im Unternehmen organisiert sind, entscheidet mit über die Risikohöhe.

Zentrale Aspekte:

  • Klare Berechtigungsstrukturen, Zugriffe sauber definieren
    • Mitarbeiter sollten nur Zugriff auf die Daten erhalten, die sie wirklich benötigen („Need-to-know-Prinzip“). Die Buchhaltung sieht Finanzdaten, der Vertrieb sieht Kundendaten und die Produktion sieht Fertigungsdaten.
    • Regelmäßige Überprüfung von Zugriffsrechten, beispielsweise bei Rollenwechseln oder einem ausgeschiedenen Mitarbeiter.
  • Sensible Daten besonders schützen
    • Finanzdaten, Kundendaten oder Betriebsgeheimnisse besonders absichern, beispielsweise durch eine verschlüsselte Speicherung oder einen separaten Zugriff auf geschützte Serverbereiche.
    • Trennung von kritischen und unkritischen Daten
  • Backup-Strategie
    • Regelmäßige Sicherungskopien (automatisiert!)
    • Speicherung an mindestens zwei Orten, beispielsweise verschlüsselt in der Cloud und ein lokales Backup.
    • Test der Wiederherstellbarkeit, dies wird häufig vergessen.
Analoge Notfallfähigkeit – was wird sofort benötigt, wenn die IT ausfällt?
Denken Sie in Szenarien: Was passiert, wenn morgen alle Systeme ausfallen? Wie kann der Betrieb fortgesetzt werden? Welche Informationen müssen offline verfügbar sein, wenn Systeme ausfallen?
  • Notfallkontakte (IT-Dienstleister, Banken, wichtige Kunden)
  • Lieferantenlisten
  • Produktionspläne (bei kritischen Prozessen)
  • Notfallhandbuch bzw. Krisenpläne – in Papierform
  • Zugangsdaten (gesichert!)

3. Interne Sicherheitsmechanismen und Prozesse

Sicherheit ist Organisation, nicht nur Technik.
Proaktive Bedrohungsanalyse
  • Beobachtung des Marktumfelds:
  • Gibt es vermehrt Angriffe auf Ihre Branche?
  • Sind Lieferanten oder Geschäftspartner bereits betroffen und wurden gehackt?
  • Nutzung von Informationsquellen, beispielsweise die BSI-Sicherheitswarnungen abonnieren und der Austausch in Netzwerken / Arbeitskreisen.
Schulung der Mitarbeiterinnen und Mitarbeiter
Der Mensch ist häufig das „schwächste Glied“ in der Sicherheitskette, die meisten Angriffe beginnen mit einer „harmlosen“ E-Mail.
Wichtige Schulungsinhalte:
  • Erkennen von Phishing-Mails, verdächtigen Absendern und unbekannten Mailanhängen
  • Sicherer Umgang mit Passwörtern
  • Verhalten bei Verdachtsfällen
Jährliche Kurzschulungen sowie regelmäßige, kurze Erinnerungen – etwa per E-Mail oder im Intranet – tragen wesentlich dazu bei, Sicherheitsrisiken frühzeitig zu erkennen und größere Schäden zu vermeiden.

4. Bewusster Umgang mit Datenveröffentlichung

Viele Risiken entstehen nicht durch Hacker, sondern durch unbedachte Veröffentlichungen. Angreifer nutzen öffentlich zugängliche Informationen gezielt.
Was ist öffentlich sichtbar? Ein kritischer Blick auf Online-Auftritte
  • Website, Social Media, Pressemitteilungen
  • Fotos aus dem Unternehmen (Produktionsanlagen, Bildschirme im Hintergrund oder Whiteboards)
  • Organigramme oder detaillierte Mitarbeiterprofile
Angreifer nutzen diese Informationen gezielt für Social Engineering. Ein unbedachtes Foto aus der Produktion, beispielsweise im Rahmen einer Unternehmensführung, zeigt unabsichtlich verwendete Software oder eine Maschinensteuerung.
Klare Grenze: Diese Daten bleiben intern
  • Geschäftsgeheimnisse
  • vertrauliche Kundeninformationen
  • interne Strategien oder Kalkulationen
  • technische Details
Definieren Sie klare Regeln:
  • Was darf veröffentlicht werden?
  • Wer darf Inhalte freigeben?
Was wäre schlimm, wenn es morgen öffentlich wäre?“ Dann schützen!

Fazit: Sicherheit ist Chefsache – und ein kontinuierlicher Prozess

Cybersicherheit ist kein einmaliges Projekt, sondern ein fortlaufender Prozess. Es braucht keine komplexe High-End-Sicherheitsstrategie – sondern klare Strukturen und Disziplin.
Wer die folgenden Prinzipien beherzigt, ist bereits gut aufgestellt:
  • Technische Schutzmaßnahmen konsequent umsetzen
  • Daten strukturiert und bewusst verwalten
  • Mitarbeitende sensibilisieren
  • Risiken im Umfeld aktiv beobachten