Ein Mitarbeiter klickt am Freitag um 17 Uhr auf einen gefälschten Link zur Passwortzurücksetzung. Am Montagmorgen wird der Dateiserver von einem Ransomware-Virus verschlüsselt, die E-Mail-Kommunikation ist außer Betrieb und niemand weiß, ob das letzte Backup funktioniert.
Dieses Szenario betrifft Unternehmen jeder Größe, und die Antwort beschränkt sich nicht auf die Installation eines Antivirenprogramms. Die digitale Sicherheit Ihres Unternehmens im Jahr 2024 zu stärken, erfordert präzise technische Entscheidungen, eine erprobte Organisation und echte Disziplin bei den Zugängen.
Passkeys und phishing-resistente Authentifizierung
Phishing bleibt der Hauptvektor für bedeutende Angriffe auf französische Unternehmen. Die Kampagnen beschränken sich nicht mehr auf E-Mails: SMS, Sprachansagen und gefälschte Anmeldeseiten auf Mobilgeräten vervielfachen die Angriffsflächen. Angesichts dieser Tatsache reicht die einfache Kombination aus Benutzername und Passwort nicht mehr aus, selbst nicht mit einem zweiten Faktor per SMS.
Passkeys verändern die Spielregeln. Basierend auf asymmetrischer Kryptographie beseitigen sie das übertragbare Passwort und machen klassisches Phishing wirkungslos. Man unterscheidet zwei Kategorien je nach dem gewünschten Sicherheitsniveau.
- Die synkronisierten Passkeys replizieren sich zwischen den Geräten eines gleichen Ökosystems (Apple, Google, Passwortmanager). Praktisch für den täglichen Gebrauch, sind sie für Standardanwendungen geeignet.
- Die gerätegebundenen Passkeys (device-bound) werden auf einem Hardware-Token oder einem integrierten Sicherheitsmodul gespeichert. Sie bieten ein höheres Sicherheitsniveau für kritische Zugänge: Administrationskonsolen, VPN, sensible Datenbanken.
- Die Wahl zwischen beiden hängt vom Risiko ab, das mit jeder Ressource verbunden ist. Beide in einer Organisation zu mischen, ist nicht nur möglich, sondern auch empfehlenswert.
Beim Deployment beginnt man mit privilegierten Konten (Systemadministratoren, Finanzverantwortliche) und erweitert dann schrittweise. Die Rückmeldungen zur Benutzerfreundlichkeit variieren je nach Altersgruppen und digitalen Gewohnheiten, aber die Lernkurve bleibt kurz, sobald eine interne Unterstützung vorhanden ist.
Um die Herausforderungen des Schutzes von Informationssystemen zu vertiefen, bieten die verfügbaren Ressourcen in dem Sicherheitsbereich von Open Syd ein besseres Verständnis der für KMU geeigneten Lösungen.
Protokollierung und Nachweis: Was die Behörden nach einem Vorfall erwarten
Viele Unternehmen investieren in die Prävention und vernachlässigen völlig die Nachverfolgbarkeit. Die französischen Behörden, allen voran die CNIL, bestehen nun auf der Kombination aus MFA, Protokollierung und Kontrolle des Fernzugriffs als Nachweis im Falle eines Vorfalls. Ohne diese Elemente riskiert ein Unternehmen, das Opfer eines Cyberangriffs wird, nicht nur operationale Schäden, sondern auch eine Strafe wegen unzureichender Sicherheitsmaßnahmen.
Konkrete Protokollierung bedeutet, Verbindungen, fehlgeschlagene Zugriffsversuche, Änderungen von Rechten und große Dateiübertragungen aufzuzeichnen. Diese Protokolle müssen zeitgestempelt, über einen Zeitraum aufbewahrt werden, der mit der Gesetzgebung übereinstimmt, und an einem separaten Ort vom überwachten System gespeichert werden.
Eine nutzbare Protokollierung einrichten
Ein Verbindungsprotokoll, das Tausende von Zeilen generiert, ohne dass man sie lesen kann, ist nutzlos. Zuerst definiert man die Ereignisse, die erfasst werden sollen: Authentifizierungen, Privilegieneskalationen, Zugriff auf persönliche Daten. Dann konfiguriert man Alarme für anormale Verhaltensweisen (Zugriff aus einem ungewöhnlichen Land, Zugriff um 3 Uhr morgens auf einem Arbeitsplatz, der normalerweise tagsüber genutzt wird).
Die Dimensionierung des Speichers und die Aufbewahrungsdauer hängen vom Sektor und dem Volumen der verarbeiteten Daten ab. Die Zentralisierung der Protokolle auf einem dedizierten Server oder einem externen Dienst verhindert, dass ein Angreifer seine Spuren verwischt, indem er die Zielmaschine kompromittiert.
Getestete Backups und Notfallreaktionsplan
Die Mehrheit der Unternehmen gibt an, Backups zu machen. Sehr wenige testen regelmäßig die Wiederherstellung. Der Unterschied zwischen beiden zeigt sich am Tag, an dem ein Ransomware-Virus den Hauptserver verschlüsselt.
Die CNIL empfiehlt ausdrücklich Backups, die außerhalb des Unternehmensnetzwerks gespeichert sind, mit regelmäßigen Wiederherstellungstests. Eine externe Festplatte, die ständig mit dem Server verbunden ist, ist kein nutzbares Backup: Sie wird gleichzeitig mit dem Rest verschlüsselt.
Die Reaktion vor der Krise organisieren
Ein Notfallreaktionsplan wird nicht während des Angriffs verfasst. Man bereitet im Voraus ein Reflexblatt vor, das vier Fragen abdeckt.
- Wer trifft die Entscheidung, einen Server zu isolieren oder einen VPN-Zugang zu sperren? Die Entscheidungsstruktur muss klar sein, auch in Abwesenheit des Leiters.
- Wie kommuniziert man, wenn die E-Mail-Kommunikation kompromittiert ist? Ein Notfallkanal (verschlüsselte Nachrichten auf persönlichem Telefon, Notfallnummer) muss definiert werden.
- Welche Dienstleister sollen in welcher Reihenfolge kontaktiert werden? Hosting-Anbieter, Softwareanbieter, Cyber-Versicherer, Behörden (ANSSI für die betroffenen Betreiber, CNIL, wenn persönliche Daten exponiert sind).
- Wo befinden sich die Backups und wer hat die Zugangsdaten dafür? Dieser Punkt scheint trivial, bis die einzige informierte Person im Urlaub ist.
Verwaltung des Fernzugriffs und Netzwerksegmentierung
Das Homeoffice hat die Zugangspunkte zu den Informationssystemen vervielfacht. Ein schlecht konfiguriertes VPN oder ein offener RDP-Zugang im Internet stellt ein direktes Einfallstor für einen Angreifer dar, der Zugangsdaten durch Phishing erlangt hat.
Jeder Fernzugang muss über einen verschlüsselten Tunnel mit aktiver Multi-Faktor-Authentifizierung erfolgen. Generische Zugänge, die von mehreren Personen geteilt werden (ein einziges “Admin”-Konto für das gesamte Team), sind zu vermeiden: Sie machen die Protokollierung nutzlos, da man eine Aktion nicht mehr einer Person zuordnen kann.
Segmentieren, um die Ausbreitung zu begrenzen
In einem flachen Netzwerk ermöglicht ein kompromittierter Arbeitsplatz den Zugriff auf alle Ressourcen. Die Segmentierung des Netzwerks in Zonen (Arbeitsplätze, Fachserver, Backups, IoT-Geräte) begrenzt die laterale Ausbreitung eines Angriffs. Man wendet Firewall-Regeln zwischen jedem Segment an, um nur die unbedingt notwendigen Datenströme zuzulassen.
Dieser Ansatz entspricht den Prinzipien des Zero-Trust-Modells: Kein Gerät oder Benutzer wird standardmäßig als vertrauenswürdig angesehen, selbst innerhalb des Netzwerks. Vertrauen wird bei jeder Anfrage überprüft, nicht einmalig beim VPN-Zugang.
Der europäische Rechtsrahmen hat sich kürzlich in Bezug auf Vorfälle und die Resilienz digitaler Produkte verschärft. Auf den nächsten Angriff zu warten, um die digitale Sicherheit zu strukturieren, ist wie eine Versicherung nach dem Brand abzuschließen. Die hier beschriebenen Maßnahmen erfordern kein erhebliches Budget, aber sie erfordern Zeit, Disziplin und vor allem regelmäßige Tests, um sicherzustellen, dass sie am Tag X funktionieren, wenn man sie braucht.
