Cyber Security für KMU: Die häufigsten Sicherheitslücken

Die meisten Angriffe, die bei kleineren Betrieben ankommen, sind nicht ausgeklügelt. Sie treffen eine Lücke, die seit Monaten bekannt ist — und sie treffen sie automatisiert: ein Scanner findet ein offenes System, ein Bot probiert ein Passwort, das bei einem fremden Dienst abgeflossen ist.

Die Frage lautet deshalb selten «Wer hat es auf uns abgesehen?», sondern «Welche der bekannten Lücken steht bei uns noch offen?». Die folgenden Punkte sind nach der zweiten Frage sortiert — nicht nach Dramatik, sondern danach, wie oft sie in Umgebungen, die wir übernehmen, tatsächlich offen stehen.

Warum es kleinere Betriebe trifft

Wer angreift, sucht nicht das lohnendste Ziel, sondern das günstigste. Ein Betrieb mit dreissig Mitarbeitenden führt dieselben Daten wie ein Konzern — Kundenadressen, Offerten, Zahlungsinformationen, Verträge —, hat aber selten jemanden, dessen Aufgabe der Schutz dieser Daten ist.

Dazu kommt eine Asymmetrie beim Schaden. Ein Konzern übersteht drei Tage Stillstand. Für einen Betrieb, dessen Aufträge über ein einziges System laufen, entscheiden drei Tage darüber, ob im nächsten Monat abgerechnet werden kann.

Und der Vorfall bleibt nicht intern: Seit dem revidierten Datenschutzgesetz musst du eine Verletzung der Datensicherheit dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten melden, sobald daraus ein hohes Risiko für die betroffenen Personen entsteht.

Passwörter, die anderswo schon gelesen wurden

Die häufigste Lücke ist keine Software, sondern ein Passwort, das für mehrere Dienste dasselbe ist. Fällt irgendwo eine fremde Datenbank, wird die Kombination aus Adresse und Passwort automatisiert bei anderen Diensten durchprobiert — auch bei deinem.

Was dagegen hilft, ist unspektakulär: ein Passwortmanager, damit jedes System ein eigenes langes Passwort bekommt, und ein Ende der Praxis, Zugangsdaten per Chat oder Mail weiterzugeben.

Wichtiger als jede Komplexitätsregel ist aber der zweite Faktor. Eine mehrstufige Anmeldung entwertet ein gestohlenes Passwort — der Angreifer hat es, kommt damit aber nicht hinein. Das gilt für Geschäftsführung und Buchhaltung genauso wie für alle anderen; die Ausnahme «bei mir nicht» ist der Grund, warum es an dieser Stelle regelmässig scheitert.

Phishing: der Weg, der am zuverlässigsten funktioniert

Phishing bleibt der meistgenutzte Einstieg, weil es keine technische Lücke braucht. Eine Mail, die aussieht wie die Rechnung eines bekannten Lieferanten, genügt.

Technisch lässt sich viel abfangen: eine Mail-Sicherheitslösung, die Anhänge und Links prüft, korrekt gesetzte Absender-Prüfverfahren für die eigene Domain, damit fremde nicht in deinem Namen schreiben.

Der Rest ist Übung. Nicht eine Schulung im Jahr, sondern eine kurze, wiederkehrende: Wie sieht eine echte Rechnung von uns aus, an wen meldest du einen Verdacht, und was passiert, wenn jemand doch geklickt hat. Der letzte Punkt entscheidet mehr als die ersten beiden — in Betrieben, in denen ein Fehlklick peinlich ist, wird er verschwiegen, und aus zehn Minuten werden zehn Tage.

Software, die nicht aktuell ist

Nicht installierte Updates sind die Lücke mit der kürzesten Halbwertszeit. Sobald eine Schwachstelle veröffentlicht ist, suchen automatisierte Scanner nach Systemen, die sie noch tragen.

Betroffen ist mehr als das Betriebssystem: Browser, Server, Firewalls, die Branchensoftware und alles, was aus dem Internet erreichbar ist — insbesondere Fernzugänge, die während einer Homeoffice-Phase geöffnet und danach nie geschlossen wurden.

Entscheidend ist nicht, ob jemand Updates einspielt, sondern ob nachvollziehbar ist, welche Geräte es gibt und welchen Stand sie haben. Genau das ist der Kern von Managed IT: eine Übersicht, die nicht im Kopf einer Person liegt.

Geräte ausserhalb des Büros

Laptops, Telefone und Tablets greifen täglich auf Firmendaten zu, und sie tun das an Orten, an denen kein Netzwerk unter deiner Kontrolle steht. Ein verlorenes Gerät ist deshalb nicht in erster Linie ein Sachschaden.

Vier Dinge machen den Unterschied zwischen Ärgernis und Vorfall:

• Verschlüsselung der Festplatte, damit die Daten ohne Anmeldung wertlos sind
• Zentrale Geräteverwaltung, die weiss, welches Gerät wem gehört
• Fernlöschung, wenn ein Gerät nicht wieder auftaucht
• Aktueller Schutz vor Schadsoftware auf jedem Gerät, auch auf privaten

Der letzte Punkt ist der unbequeme: Wer Mail auf dem privaten Telefon liest, hat Firmendaten auf einem Gerät, für das keine Regel gilt. Das ist regelbar, aber nur, wenn es jemand ausspricht.

Backups, die nie zurückgespielt wurden

Fast jeder Betrieb hat ein Backup. Deutlich weniger haben es je zurückgespielt. Der Unterschied zeigt sich am schlechtesten Tag: Ein Backup, dessen Wiederherstellung niemand geübt hat, ist eine Annahme, keine Absicherung.

Bewährt hat sich die 3-2-1-Regel — drei Kopien der Daten, auf zwei verschiedenen Medien, eine davon ausserhalb des Betriebs. Wichtig ist der Zusatz, den Ransomware nötig gemacht hat: Mindestens eine Kopie muss so liegen, dass sie von einem befallenen System aus nicht gelöscht werden kann.

Dazu gehören zwei Fragen, die vor dem Ernstfall beantwortet sein sollten: Wie viele Stunden Arbeit dürfen verloren gehen, und wie lange darf die Wiederherstellung dauern. Aus diesen beiden Zahlen ergibt sich das Konzept — nicht umgekehrt. Wie wir das aufsetzen, steht bei Backup und Cloud.

Cloud-Dienste und Berechtigungen, die mitgewachsen sind

Cloud-Dienste verschieben die Verantwortung, sie nehmen sie nicht ab. Der Anbieter sichert die Plattform; wer darin auf welche Daten zugreifen darf, bleibt deine Aufgabe.

Der häufigste Befund sind Berechtigungen, die über Jahre gewachsen sind: Ordner, die «alle im Unternehmen» lesen dürfen, Zugänge ehemaliger Mitarbeitender, geteilte Links ohne Ablaufdatum.

Das war lange ein theoretisches Risiko. Mit KI-Assistenten im Arbeitsalltag ist es ein praktisches geworden, denn ein Assistent sieht alles, worauf die angemeldete Person Zugriff hat, und macht es auffindbar. Berechtigungen aufzuräumen kommt deshalb vor der Einführung, nicht danach — dieselbe Reihenfolge, die auch für Microsoft 365 gilt.

Das Netzwerk als flache Fläche

In vielen Betrieben liegt alles im selben Netz: Arbeitsplätze, Server, Drucker, Kassensystem, das Tablet im Sitzungszimmer und das Gäste-WLAN. Wer irgendwo hineinkommt, erreicht damit alles.

Eine Trennung in Bereiche begrenzt den Schaden auf den Bereich, in dem der Angriff begonnen hat. Dazu kommen die Punkte, die selten fehlen, aber oft veraltet sind: eine gepflegte Firewall, ein VPN statt offener Fernzugänge, und eine Protokollierung, die auffällige Zugriffe sichtbar macht.

Der letzte Punkt wird am häufigsten übersprungen. Ohne ihn merkst du einen Einbruch dann, wenn er Wirkung zeigt — und das ist bei Ransomware der Moment, in dem alles schon verschlüsselt ist.

Menschen, die nicht wissen, was von ihnen erwartet wird

Technik hält vieles auf, aber nicht die Mail, in der ein vermeintlicher Chef um eine dringende Zahlung bittet. Was hier wirkt, ist keine Schulung über Bedrohungslagen, sondern eine Handvoll klarer Abläufe.

Drei genügen für den Anfang: Zahlungsänderungen werden über einen zweiten Kanal bestätigt, nie per Mail. Verdächtige Nachrichten gehen an eine bekannte Adresse, nicht in den Papierkorb. Und wer geklickt hat, meldet es sofort, ohne Konsequenzen zu befürchten.

Diese drei Sätze kosten nichts und schliessen die Lücke, an der die teuersten Vorfälle beginnen.

Von einzelnen Massnahmen zu einer Reihenfolge

Der zehnte und letzte Befund ist der, der die neun anderen erklärt: Es fehlt keine Massnahme, es fehlt die Reihenfolge. Betriebe kaufen eine Firewall, bevor die Berechtigungen stimmen, und führen einen KI-Assistenten ein, bevor jemand weiss, wer welche Ablage sieht.

Eine tragfähige Reihenfolge sieht fast immer gleich aus:

1. Mehrstufige Anmeldung auf allen Konten, ohne Ausnahme
2. Berechtigungen und Ablagestruktur aufräumen
3. Backup ausserhalb der Plattform, mit einer geübten Wiederherstellung
4. Geräte erfassen, verschlüsseln, aktuell halten
5. Netzwerk trennen und Zugriffe protokollieren
6. Abläufe für Verdachtsfälle festlegen und einüben

Erst danach lohnen sich die weitergehenden Konzepte, über die viel geschrieben wird: Zero Trust als Prinzip, jeden Zugriff einzeln zu prüfen statt einem Netz zu vertrauen, ein sauberes Identitäts- und Zugriffsmanagement, oder eine Zertifizierung nach ISO 27001, wo Kunden sie verlangen. Sie sind gute Ziele — und schlechte Startpunkte.

Sicherheit ist ein Zustand, kein Projekt

Eine Umgebung, die heute sauber ist, ist es in sechs Monaten nicht mehr von allein. Es kommen Geräte dazu, Mitarbeitende gehen, ein Dienst wird eingeführt, eine Schwachstelle wird bekannt.

Was das im Betrieb heisst, ist überschaubar: Berechtigungen periodisch durchsehen, Wiederherstellung testen statt nur das Backup-Protokoll lesen, Konten ausgetretener Mitarbeitender konsequent schliessen, und einmal im Jahr von aussen prüfen lassen, was von deinen Systemen sichtbar ist.

Das ist der Teil, der laufend Aufwand macht — und der Grund, warum die meisten Betriebe ihn auslagern. Was dazugehört, steht auf der Seite zu IT-Security.

Fazit

Cyber Security für KMU ist selten eine Frage der Technik, die fehlt. Sie ist eine Frage der Lücken, die bekannt sind und offen stehen: dasselbe Passwort an mehreren Stellen, keine zweite Anmeldestufe, ein Backup, das niemand getestet hat, Berechtigungen aus einer anderen Zeit.

Diese Lücken zu schliessen ist keine Investition in ein Ereignis, das vielleicht eintritt. Es ist die Voraussetzung dafür, dass ein Vorfall ein Tag Arbeit bleibt statt einer Frage ans Geschäftsmodell.

Wenn du wissen willst, welche dieser Punkte bei dir offen sind und in welcher Reihenfolge sie sinnvollerweise drankommen, schauen wir das gemeinsam an. Wie wir Sicherheit aufsetzen und betreiben, steht bei der Division ALPENIQ IT — besprechen lässt es sich am einfachsten in einem kostenlosen Strategiegespräch.

Häufig gestellte Fragen (FAQ)

Warum sind KMU überhaupt ein Ziel?

Weil die meisten Angriffe kein Ziel auswählen. Sie suchen automatisiert nach bekannten Schwachstellen und nach Passwörtern, die anderswo abgeflossen sind. Ein kleinerer Betrieb ist dabei nicht weniger interessant, sondern nur weniger gut geschützt — und der Schaden trifft ihn härter, weil oft ein einziges System den gesamten Betrieb trägt.

Welche Massnahme bringt am meisten, wenn ich nur eine umsetzen kann?

Die mehrstufige Anmeldung auf allen Konten. Sie entwertet gestohlene Passwörter und schliesst damit genau den Weg, den automatisierte Angriffe am häufigsten nehmen. Sie kostet in Microsoft 365 oder Google Workspace keine zusätzliche Lizenz, sondern nur die Entscheidung, dass es keine Ausnahmen gibt.

Reicht ein Backup als Schutz vor Ransomware?

Nur, wenn es zwei Bedingungen erfüllt. Es muss so liegen, dass ein befallenes System es nicht mit verschlüsseln oder löschen kann, und die Wiederherstellung muss geübt sein. Ein Backup, das noch nie zurückgespielt wurde, ist eine Annahme — und der schlechteste Tag ist ein schlechter Zeitpunkt, sie zu prüfen.

Was bedeutet Zero Trust in der Praxis?

Dass kein Zugriff allein deshalb erlaubt ist, weil er aus dem Firmennetz kommt. Jeder Zugriff wird geprüft: wer, mit welchem Gerät, auf welche Daten. Für kleinere Betriebe ist das kein Produkt, das man kauft, sondern eine Richtung — sie beginnt bei Anmeldung und Berechtigungen, nicht bei einer neuen Software.

Was übernimmt ALPENIQ bei der IT-Sicherheit?

Wir sehen die bestehende Umgebung durch, räumen Berechtigungen und Ablage auf, setzen Anmeldung, Geräteschutz und Backup auf und trennen das Netzwerk, wo es nötig ist. Danach betreiben wir die Umgebung weiter — inklusive Updates, Überwachung und der periodischen Prüfung, ohne die der aufgeräumte Zustand nicht hält.