System- und Softwaresicherheit - Grundlegende Prinzipien

Ihre Systeme sind Ihre erste Verteidigungslinie

Die Software, die Sie nutzen, die Geräte, auf denen Sie arbeiten, und das Netzwerk, mit dem Sie verbunden sind - zusammen bilden sie das Fundament Ihrer Datensicherheit. Wenn dieses Fundament schwach ist, helfen schriftliche Richtlinien wenig.

Die DSGVO verlangt “angemessene technische Maßnahmen”. Die folgenden Prinzipien decken ab, was Sie auf Ihre Systeme und Software anwenden sollten.

Prinzip 1: Alles aktuell halten

Die Mehrheit erfolgreicher Cyberangriffe nutzt bekannte Schwachstellen aus, für die bereits ein Patch verfügbar war. Das Installieren von Updates ist die wirksamste Sicherheitsmaßnahme, die Sie ergreifen können.

• Betriebssystem - aktivieren Sie automatische Updates auf allen Arbeitsplätzen und Servern
• Browser - verwenden Sie immer die neueste Version
• Geschäftssoftware - planen Sie regelmäßige Updates für Ihr CRM, Ihre Buchhaltung und andere Tools
• Firmware - vergessen Sie nicht Ihren Router, Drucker und andere Netzwerkgeräte
• Plugins und Erweiterungen - veraltete WordPress-Plugins oder Browser-Erweiterungen sind ein häufiger Angriffsvektor

Prinzip 2: Least Privilege

Geben Sie Nutzern nur den Zugang, den sie für ihre Arbeit benötigen, nicht mehr. Dies begrenzt den Schaden, falls ein Konto kompromittiert wird.

• Nicht jeder muss Administrator sein
• Erstellen Sie separate Konten für den täglichen Gebrauch und die Verwaltung
• Entfernen Sie Rechte, sobald sie nicht mehr benötigt werden
• Verwenden Sie Gruppen oder Rollen, um Rechte konsistent zuzuweisen

Prinzip 3: Netzwerk segmentieren

Halten Sie verschiedene Arten von Datenverkehr getrennt:

• Gästenetzwerk getrennt vom Unternehmensnetzwerk - Besucher und Kunden brauchen keinen Zugriff auf Ihre internen Systeme
• IoT-Geräte in einem separaten Netzwerk - smarte Geräte sind oft schlecht gesichert
• Sensible Systeme extra abgeschirmt - Ihr HR-System oder Ihre Finanzbuchhaltung muss nicht von jedem Gerät aus erreichbar sein

Prinzip 4: Verschlüsselung

Verschlüsseln Sie Daten sowohl im Ruhezustand als auch bei der Übertragung:

• Bei der Übertragung - verwenden Sie HTTPS für Ihre Website, VPN für Homeoffice, TLS für E-Mail
• Im Ruhezustand - aktivieren Sie Festplattenverschlüsselung auf Laptops und externen Speichermedien (BitLocker unter Windows, FileVault unter macOS)
• Backups - verschlüsseln Sie auch Ihre Backups, besonders wenn sie außerhalb des Unternehmens aufbewahrt werden

Prinzip 5: Protokollierung und Überwachung

Wenn etwas schiefgeht, müssen Sie nachvollziehen können, was passiert ist:

• Aktivieren Sie Protokolle auf Ihren wichtigsten Systemen
• Bewahren Sie Protokolle ausreichend lange auf, um Vorfälle untersuchen zu können (mindestens 3 Monate)
• Prüfen Sie regelmäßig auf ungewöhnliche Aktivitäten
• Stellen Sie sicher, dass Protokolle nicht von einem Angreifer gelöscht werden können

Prinzip 6: Backup und Wiederherstellung

Ein Backup, das Sie nicht wiederherstellen können, ist kein Backup:

• Erstellen Sie tägliche Backups geschäftskritischer Daten
• Bewahren Sie mindestens ein Backup offline oder an einem anderen Standort auf
• Testen Sie regelmäßig, ob Ihre Backups tatsächlich wiederhergestellt werden können
• Dokumentieren Sie Ihr Wiederherstellungsverfahren, damit Sie in einer Krisensituation nicht improvisieren müssen

Wenden Sie an, was zu Ihnen passt

Nicht jedes Unternehmen hat die gleichen Sicherheitsanforderungen. Ein Onlineshop mit Kundendaten hat andere Prioritäten als ein Beratungsunternehmen. Aber die oben genannten Prinzipien gelten universell. Beginnen Sie mit den Grundlagen und bauen Sie darauf auf.