Mitarbeiter haben die verschiedensten Funktionen und Aufgaben und benötigen dazu die entsprechende Software, so ergibt es sich sehr wohl, dass unterschiedliche Anforderungen an einen Arbeitsplatzrechner gestellt werden. Die Installation spezieller Software sollte nur durch den IT-Verantwortlichen erfolgen. So lässt sich verhindern, dass Mitarbeiter Programme installieren, die unter Umständen bereits mit einer Schadsoftware infisziert sind.

Um den Überblick zu behalten, ist es zwingend notwendig ein Inventar über die Hardware und Software zu führen. Dazu gehören Arbeitsplatzgeräte mitsamt Anwendungen, Server, Smartphones, wie auch Drucker und andere Netzwerkgeräte. Aufgrund der eingesetzten Hardware und Software-Versionen lässt sich schnell entscheiden, ob das Unternehmen bei einem Cyberangriff betroffen sein könnte. Zudem haben sie einen guten Überblick über den aktuellen Stand der Versionen.

Private Notebooks oder auch Smartphones und Geräte von Gästen können ein Sicherheitsrisiko sein, zumal Ihnen nicht bekannt ist, welche Applikationen und Software Versionen auf diesen Geräten laufen und in wie weit diese Viren auf sich tragen. Wenn private Geräte in Ihrem Betrieb erlaubt sind, dann sollten diese in einem eigenständigen Netzwerk laufen. Zudem sollte der Umgang mit USB-Sticks und die Downloadpolicy geregelt sein, um das Einschleusen von Viren zu verhindern.

Nach der Grundinstallation sollten die Systeme in ihrem Unternehmen nochmals überprüft und abgesichert werden. Anforderungen an die Passwortlänge klar definiert und die Zugriffsrechte eingeschränkt werden. Sind Dienste deaktiviert, die nicht benötigt werden.

Überprüfen Sie Ihr Firmennetz regelmässig auf Schwachstellen?  Regelmässige Scans helfen, das Unternehmen auf aktuelle Gefährdungen hin zu prüfen und den Stand der Sicherheit überprüfen.

Es gibt verschiedene kommerzielle und kostenfreie Software-Scanner-Lösungen. Verbreitet ist zum Beispiel Greenbone Community Edition. Um sich über den aktuellsten Stand zu informiern, bietet die NON-PROFIT-Organisation “The Open Web Application Security Project” (OWASP) einen guten Überblick. Ein wichtiges Element ist die regelmässige Sensibilisierung der Mitarbeiter in Ihrem Unternehmen. Die IT-Sicherheit im Unternehmen steht und fällt mit den Mitarbeitern. Mit den technischen Massnahmen können viele Cyberangriffe abgewehrt werden, sie können jedoch damit nicht ausschliessen, dass es trotzdem noch Sicherheitslücken gibt. Das wissen die Cyberkriminellen und fokussieren sich deshalb vermehrt auf die Mitarbeiter, zum Beispiel mit Phishing-Mails.

Passwörter sind das Sicherheitsproblem Nummer eins. Immer wieder kommt es vor, dass Hacker die Datenbanken von Unternehmen knacken und Zugangsdaten von Nutzern entwenden. Oft wissen das die Nutzer eigentlich gar nicht! Die kostenlose Web-App “Have I Been Pwned” findet heraus, ob Ihre Zugangsdaten gestohlen wurden. Unter dieser Domain bietet der australische Sicherheitsforscher Troy Hunt Nutzern eine Möglichkeit an, zu prüfen, ob ihre E-Mail-Adresse Teil bekannter grosser Daten-Leaks ist. Das Bundesamt für Sicherheit in der Informationstechnik in Deutschland (BSI) hält den Betreiber des Dienstes für vertrauenswürdig. Zu den Leaks, die Hunt berücksichtigt, kam es oft durch Datenlecks bei Unternehmen, nicht durch ein Fehlverhalten der Nutzer. Um ein Ergebnis angezeigt zu bekommen, tippt man seine Adresse ins Eingabefeld und klickt auf “pwned? Das Passwort “123456” taucht gemäss der Plattform 23’5 Millionen Mal als gestohlen auf.

Aktuell befinden sich 428 Webseiten mit 9 Milliarden Accounts in der Datenbank, darunter Plattformen wie europajobs, Adobe, Yahoo und Snapchat . Darüber hinaus verfügt die Web-App über eine Benachrichtigungs-Funktion, die Sie automatisch informiert, wenn Ihre E-Mail gehackt worden ist.

Was ist bei einem Passwort zu beachten:
Benutzerpasswörter sollten mindestens 12 Zeichen lang sein, Administratorenpasswörter für die Systemverwaltung 16 Zeichen.
Passwörter sollten mindestens Gross- und Kleinbuchstaben sowie Zahlen enthalten.
Jedes Konto – Anmeldung am Computer, am Cloud-Speicher, am ERP, CRM etc. – benötigt ein eigenes Passwort.

Sensibilisieren Sie Ihre Mitarbeiter darauf, dass insbesondere die Passwortregeln aus Gründen der IT-Sicherheit und dem Datenschutz erforderlich sind und damit die Betriebssicherheit sicher gestellt werden kann. Erklären und unterstützen Sie, insbesondere diejenigen Mitarbeiter, die sich damit schwertun.

Phishing-Mails, die Zugangsdaten ergaunern, gehören leider zum Alltag. Das Wort setzt sich zusammen aus „password“ und „fishing“. Der Angreifer versucht dabei, über gefälschte Webseiten, E-Mails oder Kurznachrichten an persönliche Daten eines Internetnutzers zu gelangen und diese für seine Zwecke, meist zulasten des Opfers, zu missbrauchen.

Eine der gemeinsten Varianten ist Ransomware. Ein Schadprogramm, dass sich auf Ihrem Rechner oder System einnistet und all Ihre Dateien verschlüsselt und den Zugriff auf Daten und Systeme einschränken oder verhindern. Der Zugang wird nur gegen Zahlung eines Lösegeldes (engl. „ransom“) wieder freigegeben. Es handelt sich dabei um eine Form digitaler Erpressung.

Sensibilisieren Sie die Mitarbeitend darauf, kritisch zu sein –  Schulen Sie die Mitarbeiter darin, die Schadsoftware zu erkennen.

In der täglichen Arbeit sollten alle Mitarbeiter mit einem Standard-Benutzerkonto arbeiten und nie mit Administrator-Rechten. Damit sorgen Sie für eine zusätzliche Schutzstufe, falls ein Rechner plötzlich einen Virus haben sollte.

Arbeiten Sie mit Gruppen und legen Sie Verzeichnisse für Produktion, Verkauf, Marketing, Administration, Buchhaltung etc. an. Schränken Sie den Zugriff der Gruppen auf die jeweiligen Ordner ein und legen Sie Backup- und Archivdaten an einem separaten Ort ab. Machen Sie regelmässig ein Backup. Prüfen Sie die Rückspielung der Backups. Im Idealfall verhindern Sie damit auch, dass nach einem Cyberangriff Ransomware sämtliche Daten verschlüsseln kann.