Cybersicherheit für Vereine und kleine Unternehmen: die Prioritäten, die zählen

Ein kleiner Verein oder ein Unternehmen mit fünf Beschäftigten braucht kein Sicherheitszentrum, das rund um die Uhr läuft. Es muss aber viel einfachere Fragen beantworten können: Wo sind die Sicherungen, wer hat welche Zugänge, was muss zuerst wieder laufen und wen ruft man an, wenn etwas schiefgeht?

Cybersicherheit wird beherrschbar, wenn man sie auf diese konkreten Entscheidungen zurückführt. Ziel ist nicht, alles gleich zu schützen, sondern zu verhindern, dass ein gewöhnlicher Vorfall den Betrieb wochenlang lahmlegt.

Mit dem beginnen, was unbedingt weiterlaufen muss

Gehen Sie einen normalen Arbeitstag durch. Wie gehen Anfragen ein? Wo liegen die Akten? Wie bezahlen Sie Lieferanten? Wer kann auf der Website veröffentlichen? Welche Daten ließen sich unmöglich wiederherstellen?

Ordnen Sie die Dienste anschließend ein:

• in den ersten Stunden unverzichtbar;
• innerhalb von zwei Tagen nötig;
• kann eine Woche warten.

Diese Liste steuert Sicherungen, Rechte und den Wiederanlaufplan. Ohne sie gibt man mitunter viel aus, um ein nebensächliches Werkzeug zu schützen, und stellt zu spät fest, dass niemand weiß, wie die Buchhaltung wiederhergestellt wird.

Datensicherungen: die einzige Maßnahme, die mehrere Pannen behebt

Eine Sicherung hilft nach einem Defekt, einem versehentlichen Löschen, einem Diebstahl oder Ransomware. Sie gehört daher an die erste Stelle.

Die `3-2-1`-Regel ist ein guter Richtwert:

• drei Kopien der Daten, einschließlich des Originals;
• zwei verschiedene Speichermedien oder Umgebungen;
• eine Kopie außer Haus.

Ergänzen Sie einen wesentlichen Schutz: Mindestens eine Kopie muss offline oder mit den üblichen Konten nicht veränderbar sein. Eine ständig mit denselben Rechten verbundene Sicherung kann zusammen mit den Daten verschlüsselt werden.

Der Wiederherstellungstest zählt mehr als die Meldung „Sicherung erfolgreich“. Wählen Sie zweimal im Jahr einen Ordner, stellen Sie ihn an einem separaten Ort wieder her und prüfen Sie, ob er sich öffnen lässt. Testen Sie einmal im Jahr einen wichtigen Dienst vollständig.

Notieren Sie die tatsächliche Dauer. Sie zeigt, ob das Wiederanlaufversprechen dem Bedarf des Betriebs entspricht.

Personenbezogene Konten, auch im Dreierteam

Ein gemeinsames Konto wirkt praktisch: Alle kennen das Passwort, und die Arbeit geht weiter. Es schafft jedoch drei Probleme. Man weiß nicht, wer eine Aktion ausgeführt hat, das Passwort macht die Runde, und wenn jemand geht, muss das Geheimnis überall geändert werden.

Jedes Mitglied braucht ein eigenes Konto. Administratorrechte bleiben den Aufgaben vorbehalten, die sie erfordern. Das Konto, mit dem täglich E-Mails gelesen werden, sollte nicht die gesamte Infrastruktur verändern können.

Aktivieren Sie einen zweiten Faktor vorrangig für:

• E-Mail;
• Bank;
• Domain und Hosting;
• Buchhaltung;
• gemeinsamen Speicher;
• die Social-Media-Konten der Organisation.

Für die sensibelsten Konten schützt ein Passkey oder ein physischer Sicherheitsschlüssel besser vor Phishing.

Eintritte, Wechsel und Austritte vorbereiten

Zugänge sammeln sich über die Jahre an: ehemalige Ehrenamtliche, Dienstleister, Praktikanten, Testkonten. Niemand entfernt sie, weil niemand eine vollständige Liste hat.

Ein einfaches Verfahren passt in eine Tabelle:

• Person;
• Dienst;
• Berechtigungsstufe;
• verantwortliche Person, die zugestimmt hat;
• Datum der letzten Prüfung.

Beim Eintritt werden Zugänge entsprechend der Rolle vergeben. Bei einem Wechsel werden sie angepasst. Beim Austritt sorgt eine Checkliste dafür, dass Konten gelöscht, Geräte zurückgegeben, Dokumente übergeben und tatsächlich geteilte Geheimnisse geändert werden.

Prüfen Sie diese Tabelle alle sechs Monate. Das ist wenig spektakulär und äußerst wirksam.

Nicht alle Updates sind gleich

Aktivieren Sie automatische Updates für Computer, Telefone, Browser und gängige Anwendungen. Benennen Sie für Website, Router, NAS oder Fachsoftware eine Person und einen Zeitplan.

Führen Sie ein kurzes Verzeichnis:

• Produktname;
• Version oder Modell;
• verantwortliche Person oder Dienstleister;
• Ende des Supports;
• zuletzt geprüftes Update.

Ein Gerät, das keine Sicherheitsupdates mehr erhält, ist nicht einfach „alt“. Es stellt ein akzeptiertes Risiko dar. Diese Entscheidung muss bekannt, budgetiert und zeitlich begrenzt sein.

Kritische Patches für aus dem Internet erreichbare Dienste dürfen nicht bis zur nächsten Monatsbesprechung warten. Vereinbaren Sie mit dem Dienstleister eine Frist und einen Weg, Sie zu benachrichtigen.

E-Mail und Zahlungen durch ein Verfahren schützen

Kleine Organisationen sind häufig Ziel von gefälschten Rechnungen und CEO-Betrug. Technik allein kennt die übliche Beziehung zum Lieferanten nicht.

Halten Sie zwei Regeln schriftlich fest:

1. jede Änderung der Bankverbindung wird telefonisch bei einem bereits bekannten Kontakt bestätigt;
2. jede ungewöhnliche oder dringende Zahlung erhält eine zweite Freigabe.

Die Regel gilt auch dann, wenn die E-Mail von der richtigen Adresse kommt: Das Postfach des Lieferanten könnte kompromittiert sein.

Geben Sie den Mitarbeitenden auch das Recht, das Tempo zu drosseln. Niemand sollte Angst haben, die Leitung zu stören, weil er eine Anfrage überprüft.

Sensibilisierung, die niemanden bloßstellt

Einmal im Jahr eine Präsentation über Phishing zu verschicken, verändert das Verhalten kaum. Nutzen Sie kurze Situationen aus dem echten Arbeitsalltag: eine geänderte Lieferantenverbindung, eine dringende Anfrage über WhatsApp, eine gefälschte Dokumentfreigabe.

Erklären Sie vor allem, was nach einem Fehler zu tun ist. Der Meldeweg muss bekannt sein, und es muss ausdrücklich klar sein, dass keine Sanktion folgt. Wer innerhalb von zehn Minuten Bescheid gibt, gibt dem Team die Chance, das Konto zu sperren oder die Zahlung zu stoppen.

Veröffentlichen Sie nach einer Übung nicht die Liste derjenigen, die geklickt haben. Suchen Sie nach dem Grund, warum das Szenario glaubwürdig war, und danach, was das Verfahren hätte verhindern müssen.

Der Krisenplan muss auf eine Seite passen

Bewahren Sie eine ausgedruckte oder Offline-Kopie auf mit:

• den Verantwortlichen und ihren Vertretungen;
• den Kontaktdaten von Dienstleister, Bank und Versicherung;
• dem Ort der Sicherungen;
• den drei Diensten, die zuerst wiederhergestellt werden;
• den ersten Schritten: isolieren, sichern, anrufen, kommunizieren;
• der Person, die über eine Abschaltung entscheiden darf.

Der Plan darf keine Passwörter enthalten. Er muss angeben, wo die Notfallzugänge aufbewahrt werden.

Testen Sie ihn mit einem dreißigminütigen Szenario: „E-Mail und gemeinsame Dateien sind am Montag um 8 Uhr nicht verfügbar.“ Sie entdecken schnell fehlende Telefonnummern und unsichtbare Abhängigkeiten.

Website und Cloud-Dienste

Hosting „in der Cloud“ heißt nicht, dass alles nach Ihren Bedürfnissen gesichert wird. Prüfen Sie, wer sichert, wie lange, wie man eine Wiederherstellung beantragt und ob frühere Versionen vor dem Löschen durch einen kompromittierten Administrator geschützt sind.

Bewahren Sie für die Website getrennt auf:

• die Dateien;
• die Datenbank;
• die DNS- und Domaineinstellungen;
• die benötigten Zertifikate und Geheimnisse;
• eine Liste der Versionen und Abhängigkeiten;
• ein getestetes Wiederherstellungsverfahren.

Der Dienstleister muss Ihre Daten exportieren können. Wenn der einzige Weg, Ihren Betrieb wiederherzustellen, darin besteht, Kunde zu bleiben, gehört Ihnen Ihr Kontinuitätsplan nicht wirklich.

Personenbezogene Daten und Pflichten

Betrifft eine Datenschutzverletzung personenbezogene Daten, kann die DSGVO eine Meldung an die Datenschutzbehörde innerhalb von 72 Stunden vorschreiben, wenn der Vorfall ein Risiko für die Betroffenen darstellt. Bei hohem Risiko müssen unter Umständen auch die betroffenen Personen informiert werden.

Entscheiden Sie nicht allein unter Zeitdruck. Halten Sie die Kontaktdaten des Datenschutzbeauftragten, der Rechtsberatung oder des zuständigen Dienstleisters bereit. Führen Sie eine Chronologie der Fakten und Entscheidungen.

Organisationen, die unter NIS2 fallen, haben zusätzliche Sicherheits- und Meldepflichten. Prüfen Sie Ihre Lage vor einem Vorfall, insbesondere wenn Sie in einem wesentlichen Sektor tätig sind oder eine betroffene Organisation beliefern.

Ein realistisches Dreißig-Tage-Programm

### Woche 1

Listen Sie die wesentlichen Dienste und die Personen mit Administratorzugang auf. Aktivieren Sie den zweiten Faktor für E-Mail und Hosting.

### Woche 2

Prüfen Sie die Sicherungen und stellen Sie einen Ordner wieder her. Erstellen Sie eine Offline- oder unveränderbare Kopie.

### Woche 3

Aktualisieren Sie die aus dem Internet erreichbaren Geräte, löschen Sie alte Konten und bestätigen Sie die Kontaktdaten des Dienstleisters.

### Woche 4

Drucken Sie die Krisenseite aus und führen Sie eine dreißigminütige Übung durch. Machen Sie aus den gefundenen Problemen drei Maßnahmen mit jeweils einer verantwortlichen Person und einem Termin.

Dieses Programm löst nicht alles. Es verringert jedoch die häufigsten Ursachen längerer Ausfälle, ohne spektakuläre Anschaffung.

Offizielle Quellen

• Safeonweb@work — Ratschläge für Organisationen
• Zentrum für Cybersicherheit Belgien
• Datenschutzbehörde
• Europäische Kommission — NIS2-Richtlinie