IT-Sicherheit für den Mittelstand: angemessen statt maximal

Warum die Frage so schwer zu beantworten ist

„Sind wir sicher?“ lässt sich nicht mit Ja oder Nein beantworten – und jeder, der es versucht, verkauft Ihnen etwas. Sinnvoll beantwortbar ist eine andere Frage: Welche Ereignisse würden Ihr Geschäft ernsthaft treffen, und wie wahrscheinlich sind sie? Erst daraus ergibt sich, welche Maßnahmen ihr Geld wert sind.

In der Praxis stoße ich meistens auf eine von zwei Situationen. Entweder wurde über Jahre punktuell investiert – hier eine Firewall, dort ein Backup-System, dazu ein Werkzeug, das ein früherer Dienstleister empfohlen hat –, ohne dass jemand das Gesamtbild kennt. Oder es wurde bewusst wenig getan, weil unklar war, wo man anfangen soll, und die Frage seit Jahren vertagt wird.

Beides ist nachvollziehbar. Sicherheitsentscheidungen sind unangenehm, weil ihr Nutzen unsichtbar bleibt, solange nichts passiert. Genau deshalb braucht es eine nüchterne Grundlage statt eines Bauchgefühls.

„Wo fangen wir an?“

Am Anfang steht keine Technikliste, sondern ein Gespräch über Ihr Geschäft: Welche Prozesse dürfen nicht stillstehen? Welche Daten wären ein echtes Problem, wenn sie abfließen oder verschlüsselt würden? Welche gesetzlichen oder vertraglichen Anforderungen gelten für Sie – etwa durch Kunden, Auftraggeber oder Ihre Cyber-Versicherung?

Aus den Antworten entsteht ein Bild davon, was schützenswert ist. Erst danach schaue ich mir die Technik an: Netzwerkstruktur, Zugänge von außen, Endgeräte, E-Mail, Backups, Cloud-Dienste, Administrationswege. Nicht, um eine möglichst lange Mängelliste zu erzeugen, sondern um die Lücken zu finden, die im Verhältnis zu Ihrem Risiko wirklich ins Gewicht fallen.

Was Sie am Ende in der Hand halten

• Eine verständliche Einschätzung Ihrer Lage – in einer Sprache, die Sie in der Geschäftsführung vertreten können, nicht als Werkzeug-Report.
• Eine priorisierte Liste von Maßnahmen, jeweils mit Aufwand, Nutzen und dem Risiko, das damit tatsächlich sinkt.
• Eine klare Trennung zwischen dem, was kurzfristig wichtig ist, was mittelfristig ansteht und was Sie bewusst nicht tun sollten.
• Eine Entscheidungsgrundlage, mit der auch Ihr IT-Dienstleister arbeiten kann – Sie bleiben handlungsfähig, auch ohne mich.

„Wer hat bei uns Zugriff worauf?“

Diese Frage kann in den meisten Unternehmen niemand vollständig beantworten – und das ist keine Nachlässigkeit, sondern eine natürliche Folge von Wachstum. Berechtigungen werden vergeben, wenn jemand sie braucht. Zurückgenommen werden sie fast nie. Wer die Abteilung wechselt, nimmt die alten Rechte mit. Nach einigen Jahren haben langjährige Mitarbeitende Zugriff auf Bereiche, mit denen sie längst nichts mehr zu tun haben.

Das Problem daran ist selten böse Absicht. Es ist die Schadensausbreitung: Wird ein einzelnes Konto übernommen – durch Phishing, ein wiederverwendetes Passwort, einen kompromittierten Dienstleisterzugang –, entscheidet allein der Rechteumfang dieses Kontos darüber, ob daraus ein Ärgernis oder ein Betriebsstillstand wird.

Womit ich hier konkret unterstütze

Identity & Access Management ist mein fachlicher Schwerpunkt aus der Arbeit mit großen Organisationen. Dort ist der Aufwand enorm – Governance-Gremien, Rezertifizierungskampagnen, spezialisierte Softwareplattformen. Der überwiegende Teil davon ergibt für ein Unternehmen mit 80 oder 200 Mitarbeitenden keinen Sinn. Der Kerngedanke aber schon, und der lässt sich mit überschaubarem Aufwand übertragen:

• Transparenz herstellen: Wer hat heute Zugriff worauf – über alle relevanten Systeme hinweg, nicht nur im Dateiserver.
• Administrative Rechte trennen: Alltagskonten und Konten mit weitreichenden Rechten sauber auseinanderhalten. Das ist einer der wirksamsten Einzelschritte überhaupt.
• Rollen statt Einzelfälle: Zugriffe an Funktionen im Unternehmen binden, damit ein Abteilungswechsel automatisch das Richtige auslöst.
• Ein- und Austritt als Prozess: Damit das Konto einer ausgeschiedenen Person nicht ein halbes Jahr später noch aktiv ist – ein Befund, der erstaunlich häufig auftritt.
• Regelmäßige Überprüfung: Ein leichtgewichtiger Rhythmus, in dem Führungskräfte die Zugriffe ihres Bereichs bestätigen. Einmal jährlich reicht in vielen Fällen aus.

Ob es dafür eine eigene Software braucht, ist eine Frage der Größe und Komplexität – und keine, die man vorab beantworten sollte. In vielen mittelständischen Umgebungen kommt man mit den Bordmitteln vorhandener Systeme und klaren Prozessen erstaunlich weit.

„Wie bekommen wir das Team mit ins Boot?“

Über Mitarbeitende als „schwächstes Glied“ zu sprechen, ist verbreitet – und wenig hilfreich. Menschen fallen nicht auf Phishing herein, weil sie unaufmerksam sind, sondern weil moderne Angriffe darauf ausgelegt sind, in einem normalen Arbeitstag unauffällig zu wirken. Wer das Team behandelt, als sei es das Problem, bekommt weniger Meldungen – nicht weniger Vorfälle.

Sinnvoller ist ein anderes Ziel: Auffälligkeiten sollen früh gemeldet werden, ohne dass jemand Sorge haben muss, sich zu blamieren. Dafür braucht es zwei Dinge – einen leicht erreichbaren Meldeweg und die glaubwürdige Zusage, dass eine Meldung nie zum Nachteil wird, auch wenn tatsächlich geklickt wurde.

In Schulungen arbeite ich deshalb mit echten Beispielen aus Ihrem Umfeld statt mit allgemeinen Aufzählungen: Wie sieht eine Rechnungsmail aus, die zu Ihren Abläufen passt? Welche Anfrage in der Buchhaltung sollte stutzig machen? Ziel ist nicht, dass niemand mehr klickt – das wäre unrealistisch –, sondern dass ein Klick schnell bemerkt und gemeldet wird.

„Und wenn doch etwas passiert?“

Diese Frage wird häufig übersprungen, weil sie unangenehm ist. Dabei ist sie die ehrlichste: Vollständigen Schutz gibt es nicht, also entscheidet die Vorbereitung darüber, ob ein Vorfall eine Störung von zwei Tagen oder eine Existenzfrage wird.

Der praktisch wichtigste Punkt ist dabei fast immer das Backup – nicht seine Existenz, sondern seine Wiederherstellbarkeit. Ein Backup, das nie zurückgespielt wurde, ist eine Annahme, keine Absicherung. Ebenso relevant: Ist die Sicherung so abgelegt, dass ein Angreifer mit Administrationsrechten sie nicht gleich mit verschlüsseln kann?

Dazu kommen ein paar Festlegungen, die im Ernstfall Zeit sparen – wer entscheidet, wer informiert wird, welche Systeme in welcher Reihenfolge wieder anlaufen und wie Sie handlungsfähig bleiben, wenn E-Mail und Telefonanlage gerade nicht verfügbar sind. Das muss kein umfangreiches Handbuch sein. Wenige belastbare Seiten sind mehr wert als ein ungelesenes Konzept.

Wovon ich regelmäßig abrate

Zur Beratung gehört, Maßnahmen auch abzulehnen. Diese Empfehlungen gebe ich häufiger, als man es von jemandem erwartet, der von IT-Sicherheit lebt:

• Werkzeuge ohne Betreuung. Eine Software, die Alarme erzeugt, die niemand auswertet, erhöht die Sicherheit nicht – sie erzeugt Kosten und ein trügerisches Gefühl von Kontrolle.
• Zertifizierungen als Selbstzweck. Ein Managementsystem nach ISO 27001 ist sinnvoll, wenn Kunden es verlangen oder Sie die Struktur wirklich brauchen. Als reine Marketingmaßnahme ist es teuer und bindet Kapazität, die anderswo mehr bewirkt.
• Alles auf einmal. Programme mit zwanzig parallelen Maßnahmen scheitern im Mittelstand zuverlässig am Tagesgeschäft. Drei Dinge, die tatsächlich fertig werden, sind mehr wert als zwanzig begonnene.
• Regeln, die den Betrieb blockieren. Sicherheitsvorgaben, die die Arbeit spürbar behindern, werden umgangen – und dann ist die Lage schlechter als vorher.

Nächste Schritte