Angreifer suchen sich nicht die größten Unternehmen aus – sondern die am schlechtesten geschützten. Genau deshalb trifft es so oft den Mittelstand.

Das Erstgespräch mit einer ersten Sicherheitseinschätzung ist bei Staufenberg Advisory kostenlos. Grundlegender Schutz (Endpoint Security, Backup, Multifaktor-Authentifizierung, Patch-Management) ist bereits im Managed-Service-Paket ab 19 € pro Nutzer und Monat enthalten; zubuchbare Themenpakete wie Penetrationstests oder BSI-Grundschutz-Beratung kalkulieren wir nach Umfang zum Festpreis. Diese Aufteilung ist bewusst gewählt und lohnt beim Vergleich von Angeboten: Wo Grundschutz als Aufpreisliste verkauft wird, zahlen Sie für Selbstverständlichkeiten wie Virenschutz, geprüfte Sicherungen und Zwei-Faktor-Anmeldung einzeln, und die Jahressumme liegt am Ende höher. Fragen Sie deshalb nicht nach dem Preis der Beratung, sondern danach, welche Schutzmaßnahmen im monatlichen Betrag bereits enthalten sind. Ein Konzept, dessen Umsetzung anschließend gesondert beauftragt werden muss, ist ein Dokument und keine Sicherheit. Für die Budgetplanung heißt das: Rechnen Sie Beratung und Umsetzung immer zusammen, und fragen Sie nach den laufenden Kosten der Folgejahre.

Angriffe laufen heute automatisiert und treffen bevorzugt Unternehmen mit schwachem Schutz; die Größe spielt für die Angreifer-Software keine Rolle. Für kleine Unternehmen ist ein Vorfall sogar gefährlicher, weil Rücklagen und IT-Reserven fehlen. Solider Grundschutz ist deshalb keine Konzern-Kür, sondern Betriebsvoraussetzung. Es gibt außerdem einen Grund, der nichts mit dem eigenen Risiko zu tun hat und für kleine Betriebe zunehmend entscheidend wird: die Lieferkette. Wer größere Unternehmen beliefert, bekommt vermehrt Sicherheitsfragebögen und vertragliche Anforderungen vorgelegt, und wer sie nicht beantworten kann, verliert Aufträge, ohne je angegriffen worden zu sein. Dasselbe gilt für Cyber-Versicherungen. Der Aufwand für den Grundschutz ist damit nicht nur Risikovorsorge, sondern eine Voraussetzung für Geschäft – und in dieser Rechnung sieht er deutlich günstiger aus. Die wirksamsten Maßnahmen sind dabei ausgerechnet die günstigsten: Zwei-Faktor-Anmeldung und ein getrennt aufbewahrtes Backup.

Ja. Die Versicherung ersetzt den Schutz nicht, sie setzt ihn voraus. Versicherer verlangen zunehmend Nachweise über Multifaktor-Authentifizierung, Backups und Notfallpläne; fehlen sie, drohen höhere Prämien oder Leistungskürzungen im Schadensfall. Ein sauberes Sicherheitskonzept senkt also Ihr Risiko doppelt. Prüfen Sie in diesem Zusammenhang den eigenen Vertrag auf zwei Punkte, die im Schadensfall regelmäßig zu Streit führen: die zugesagten Obliegenheiten, also welche Schutzmaßnahmen Sie zusichern, und die Frage, ob Betriebsunterbrechung und Wiederherstellungskosten mitversichert sind oder nur Schäden Dritter. Wer Maßnahmen zusichert, die im Haus nicht umgesetzt sind, hat eine Police ohne Wirkung. Wir gleichen diese Anforderungen auf Wunsch mit dem tatsächlichen Zustand Ihrer Umgebung ab, weil beides selten von denselben Personen betrachtet wird. Erfahrungsgemäß fällt dabei mindestens eine zugesicherte Maßnahme auf, die im Haus nicht oder nicht vollständig umgesetzt ist – am häufigsten die Zwei-Faktor-Anmeldung an einzelnen Administratorkonten. Das ist schnell behoben, solange niemand einen Schaden meldet.

Staufenberg Advisory arbeitet orientiert an ISO 27001 und BSI-Grundschutz. Das heißt: Unsere Konzepte und Maßnahmen folgen diesen Standards, ohne dass wir Ihnen den Formalismus einer Zertifizierung aufbürden. Wenn Ihre Kunden Nachweise verlangen, bereiten wir die relevanten Unterlagen so auf, dass Sie auskunftsfähig sind. Wir sagen dabei offen, was diese Unterscheidung bedeutet: Eine Zertifizierung ist ein von einer akkreditierten Stelle geprüfter Nachweis, unsere Arbeitsweise ist es nicht. Wenn ein Auftraggeber ausdrücklich ein Zertifikat verlangt, können wir das nicht ersetzen, und wir behaupten es auch nicht. Was wir liefern, sind dieselben Maßnahmen und eine Dokumentation, die einer Prüfung standhält. Für den weit überwiegenden Teil des Mittelstands ist das der wirtschaftlichere Weg, weil der Formalismus einer Zertifizierung erhebliche interne Kapazität bindet, die im Mittelstand meist nicht frei ist. Wächst diese Anforderung aus Ihrem Kundenkreis, sprechen wir früh darüber statt am Tag des Audits.

Die wirksamste Einzelmaßnahme ist Multifaktor-Authentifizierung für alle E-Mail-, Cloud- und Administratorzugänge; sie macht gestohlene Passwörter für Angreifer weitgehend wertlos. Direkt danach kommen geprüfte, getrennt aufbewahrte Backups, denn sie entscheiden darüber, ob ein Angriff ein Ärgernis bleibt oder ein Erpressungshebel wird. Beides lässt sich in wenigen Wochen einführen, ohne den Betrieb zu stören. Beim Backup entscheidet allerdings ein Detail, das häufig fehlt: Es muss so aufbewahrt werden, dass ein Angreifer mit Administratorrechten es nicht mitlöschen kann. Eine Sicherung im gleichen Netz mit denselben Zugangsdaten ist im Erpressungsfall wertlos, und genau darauf zielen die Angriffe. Der dritte Punkt in dieser Reihenfolge ist die Rücksicherung: Wir prüfen nicht, ob eine Sicherung läuft, sondern ob sie sich zurückspielen lässt. Ein Backup, das nie zurückgespielt wurde, ist eine Annahme und keine Sicherung; wir prüfen das regelmäßig statt einmalig.

Achten Sie darauf, ob der Anbieter nur Berichte schreibt oder die Maßnahmen auch selbst umsetzt und dauerhaft betreibt. Der zweite Typ ist für den Mittelstand fast immer die bessere Wahl, weil die Lücke zwischen Konzept und Alltag entfällt. Prüfen Sie außerdem, ob Sicherheit im Grundpaket enthalten ist oder als Aufpreisliste verkauft wird. Bei Staufenberg Advisory ist der Grundschutz fester Bestandteil jeder IT-Betreuung; spezialisierte Pakete kommen nur dazu, wenn sie wirklich gebraucht werden. Zwei Fragen bringen im Auswahlgespräch mehr Klarheit als jede Zertifikatsliste. Erstens: Was passiert am Tag eines Vorfalls, und wer ist dann erreichbar? Ein Sicherheitskonzept ohne benannte Rufnummer und ohne Zuständigkeit außerhalb der Bürozeiten hilft nachts nicht. Zweitens: Wird der Zustand regelmäßig überprüft und berichtet? Sicherheit ist kein Zustand, sondern eine Tätigkeit, und ein Anbieter, der über Monate keinen Bericht liefert, führt sie erfahrungsgemäß nicht aus.

Trennen Sie betroffene Systeme vom Netzwerk, schalten Sie sie aber möglichst nicht aus, und ändern Sie zentrale Passwörter über ein sauberes Gerät. Rufen Sie dann sofort Hilfe: Unsere Hotline nimmt Notfälle rund um die Uhr entgegen, auch von Unternehmen, die noch keine Kunden sind. Drei Dinge sollten Sie dabei unbedingt vermeiden, weil sie die Aufklärung erschweren oder Schaden vergrößern. Löschen Sie nichts und formatieren Sie nichts – die Spuren im System entscheiden darüber, ob der Weg des Angriffs nachvollziehbar bleibt. Zahlen Sie nicht vorschnell, denn eine Zahlung garantiert keine Entschlüsselung. Und spielen Sie keine Sicherung zurück, solange die Ursache unklar ist: Andernfalls stellen Sie die Umgebung mitsamt der Lücke wieder her, über die der Angriff lief. Dokumentieren Sie außerdem von Anfang an, was Sie wann getan haben: Diese Aufzeichnung brauchen Sie später für Versicherung und Meldepflichten, und im Nachhinein lässt sie sich nicht rekonstruieren.