Freitag, 15 Uhr. Eine Mitarbeiterin öffnet eine Rechnung, die aussieht wie hundert andere. Zwei Stunden später lässt sich keine Datei mehr öffnen: Angebote, Kalkulationen, die Buchhaltung, die Fotos von jeder Baustelle der letzten sechs Jahre. Auf dem Bildschirm steht eine Forderung in Kryptowährung.
Das ist kein Schreckensszenario aus einer Werbebroschüre, sondern der Alltagsfall. Und die unangenehme Wahrheit dabei: Die meisten kleinen Betriebe sind nicht deshalb betroffen, weil jemand es auf sie abgesehen hätte.
Warum es gerade kleine Betriebe trifft
„Wer will schon was von uns?“ ist der häufigste Satz zu diesem Thema, und er beruht auf einem Missverständnis. Es sitzt niemand da und sucht sich Ihren Betrieb aus. Diese Angriffe laufen automatisch: Programme klappern millionenfach Mailadressen und Server ab und nehmen mit, wo eine Tür offen steht. Sie sind kein Ziel, Sie sind eine Zufallsnummer.
Genau deshalb funktioniert der Schutz auch anders, als viele denken. Sie müssen keinen Konzern-Sicherheitsapparat aufbauen. Sie müssen nur die offenen Türen schließen, an denen die automatische Suche vorbeikommt. Das sind erstaunlich wenige, und die meisten schließen Sie selbst.
1. Eine Datensicherung, die im Ernstfall wirklich funktioniert
Das ist die wichtigste Maßnahme, und zwar mit deutlichem Abstand. Wer eine funktionierende Sicherung hat, für den ist der Freitagnachmittag oben ein ärgerlicher, aber überstehbarer Tag. Wer keine hat, verhandelt mit Erpressern.
Drei Punkte machen den Unterschied zwischen einer Sicherung und einer, die im Ernstfall hilft:
- Mehr als eine Kopie, und nicht alle am selben Ort. Ein Brand oder ein Einbruch nimmt sonst Original und Sicherung gleichzeitig mit.
- Eine Kopie, die nicht dauerhaft am Netz hängt. Das ist der Punkt, den fast alle übersehen. Eine Festplatte, die immer angesteckt ist, oder ein Netzlaufwerk, auf das jeder Rechner zugreifen kann, wird bei einem Verschlüsselungsangriff einfach mitverschlüsselt. Eine getrennte oder gegen Überschreiben geschützte Kopie überlebt.
- Eine Sicherung, die Sie getestet haben. Der häufigste Fehler ist nicht die fehlende Sicherung, sondern die, die seit anderthalb Jahren stillschweigend nichts mehr tut. Niemand merkt das, bis er sie braucht.
Was Sie diese Woche tun können: Holen Sie eine Datei aus Ihrer Sicherung zurück. Irgendeine. Wenn das in zehn Minuten klappt, haben Sie eine Sicherung. Wenn nicht, wissen Sie jetzt Bescheid, und zwar zum bestmöglichen Zeitpunkt.
2. Zwei-Faktor, zuerst fürs E-Mail-Postfach
Ihr Postfach ist der Generalschlüssel zum Betrieb. Wer hineinkommt, kann bei fast jedem anderen Dienst „Passwort vergessen“ anklicken und sich den Zugang schicken lassen: Onlinebanking-Portal, Steuerprogramm, Website, Google-Profil, Warenwirtschaft. Ein einzelnes abgegriffenes Passwort wird so zum Schlüsselbund.
Zwei-Faktor-Anmeldung heißt: Neben dem Passwort braucht es noch eine zweite Bestätigung, meist eine Zahl aus einer App auf dem Handy. Ein gestohlenes Passwort allein ist damit wertlos.
Was Sie heute tun können: Zwei-Faktor für das geschäftliche E-Mail-Konto einschalten, für Ihres und für alle Mitarbeiterkonten. Das dauert pro Konto ein paar Minuten. Danach dasselbe für Bank, Buchhaltung und alles, wo Geld oder Kundendaten dranhängen. Nutzen Sie dafür eine App, nicht die SMS, wenn Sie die Wahl haben.
3. Schluss mit dem einen Passwort für alles
Das typische Muster im kleinen Betrieb: ein gutes Passwort, das überall verwendet wird, plus ein Zettel unter der Tastatur für den Rest. Das Problem ist nicht Ihre Nachlässigkeit, sondern dass sich niemand vierzig verschiedene Passwörter merken kann.
Deshalb braucht es kein besseres Gedächtnis, sondern ein Werkzeug: einen Passwort-Manager. Sie merken sich ein einziges gutes Passwort, das Programm merkt sich den Rest und füllt ihn aus. Nebenbei löst das ein Problem, an das kaum jemand denkt: Wenn ein Mitarbeiter geht, wissen Sie, welche Zugänge er hatte, und können sie gezielt ändern.
Was Sie tun können: Einen Passwort-Manager für den Betrieb einführen und die wichtigsten Zugänge dort hinterlegen. Wenn irgendwo dasselbe Passwort doppelt auftaucht, fangen Sie dort an.
4. Updates, die von allein passieren
Ein großer Teil der automatischen Angriffe nutzt Lücken, die längst geschlossen sind, nur eben nicht bei Ihnen. Das „später erinnern“ beim Update-Hinweis ist eine der teuersten Gewohnheiten im Büro.
Denken Sie dabei nicht nur an die Rechner. Vergessen werden meistens: der Router, das Netzlaufwerk in der Ecke, die Firmenhandys, der Rechner in der Werkstatt, den nur einer benutzt, und die Website. Alles, was am Netz hängt, ist eine Tür.
Wie teuer das bei der Website werden kann, zeigt ein Fall aus unserer Praxis: Der vergessene Ordner, der zur Spam-Schleuder wurde.
Was Sie tun können: Automatische Updates einschalten, wo es geht. Und einmal aufschreiben, welche Geräte Sie überhaupt haben. Diese Liste ist unspektakulär und im Ernstfall Gold wert.
5. Die Rechnung, die keine ist
Die meisten Schäden fangen nicht mit einem technischen Einbruch an, sondern mit einer Mail, die echt aussieht. Zwei Maschen sind besonders verbreitet:
- Die geänderte Bankverbindung. Ein bekannter Lieferant schreibt, das Konto habe sich geändert, künftig bitte auf die neue Nummer überweisen. Die Mail ist gefälscht, das Geld ist weg.
- Die Anweisung von oben. Eine Mail scheinbar vom Chef, dringend, unterwegs, keine Zeit für Rückfragen, bitte diese Überweisung sofort ausführen. Die Eile ist der Trick.
Dagegen hilft keine Technik, sondern eine Regel, die jeder im Betrieb kennt: Bei jeder Zahlungsanweisung und jeder geänderten Bankverbindung wird zurückgerufen. Nicht unter der Nummer aus der Mail, sondern unter der bekannten. Ein Anruf von dreißig Sekunden.
Wichtig ist dabei die Haltung im Betrieb: Wer einmal auf etwas geklickt hat, muss das sofort sagen können, ohne Ärger zu befürchten. Ein Fehler, der in der ersten Stunde gemeldet wird, ist meist beherrschbar. Einer, der aus Angst drei Tage verschwiegen wird, selten.
Falls es doch passiert: der Notfallzettel
Drucken Sie das aus und hängen Sie es dorthin, wo im Ernstfall jemand steht. Bei einem Verschlüsselungsangriff zählen die ersten Stunden, und niemand denkt dann klar.
- Betroffene Geräte vom Netz trennen, Netzwerkkabel ziehen, WLAN aus. Nicht ausschalten, das vernichtet unter Umständen Spuren.
- Nicht zahlen, jedenfalls nicht als erste Reaktion. Es gibt keine Garantie, dass Sie Ihre Daten zurückbekommen, und Sie sind danach ein bekannt zahlungsbereites Ziel.
- Jemanden anrufen, der das kennt, bevor Sie selbst herumprobieren.
- Anzeige erstatten. Jedes Bundesland hat eine Zentrale Ansprechstelle Cybercrime der Polizei für Unternehmen.
- An die Meldepflicht denken. Wenn personenbezogene Daten betroffen sind, verlangt die DSGVO in der Regel eine Meldung an die Datenschutzbehörde innerhalb von 72 Stunden. Diese Frist läuft, ob Sie an sie denken oder nicht.
- Erst wiederherstellen, wenn klar ist, dass die Lücke zu ist. Sonst spielen Sie die Daten zurück und der Angreifer ist noch im Haus.
Was Sie nicht brauchen
Weil Ihnen das früher oder später jemand verkaufen will, hier die ehrliche Gegenrichtung: Solange die fünf Punkte oben nicht sitzen, bringt Ihnen kein teures Sicherheitsgerät und kein monatliches Überwachungspaket etwas. Das ist wie eine Alarmanlage für ein Haus, dessen Hintertür offen steht.
Auch eine Cyber-Versicherung ersetzt keine Sicherung. Sie verlangt inzwischen meist selbst, dass die Grundlagen vorhanden sind, und fragt im Schadensfall genau danach.
Fangen Sie bei der Datensicherung an. Wenn Sie danach noch Budget haben, kommt der Rest.
Wenn Sie es nicht selbst machen wollen
Das Meiste hier können Sie ohne uns erledigen, und das ist ernst gemeint: Sicherung testen, Zwei-Faktor einschalten, Updates automatisieren. Dafür brauchen Sie keinen Dienstleister.
Sinnvoll wird Hilfe an drei Stellen: wenn Sie einmal jemanden draufschauen lassen wollen, der weiß, wonach er sucht; wenn die Sicherung sauber eingerichtet und regelmäßig geprüft werden soll; oder wenn im Betrieb schlicht niemand die Zeit dafür hat. Unsere IT-Beratung kostet 89 € pro Stunde oder 690 € am Tag, und für einen kleinen Betrieb ist so ein Durchgang meist an einem halben bis ganzen Tag erledigt. Wenn Sie dauerhaft einen Ansprechpartner wollen, gibt es die feste Sprechstunde ab 149 € im Monat.
Wir sagen Ihnen dabei auch, was Sie nicht brauchen. Das ist bei diesem Thema oft der wertvollere Teil.
Weiterlesen
- Wenn Kundendaten automatisch durch fremde Server wandern: Automatisierung und Datenschutz.
- Was Sie in ein KI-Chatfenster tippen dürfen und was nicht: KI im Büroalltag.
- Auch Ihre Website ist eine Tür, die gepflegt werden will: Website selbst bauen mit Baukasten oder KI?