Europäischer Monat der Cybersicherheit: Praktische Schritte zum Schutz Ihres KMU

Cybersicherheit wird oft als technisches Problem behandelt, aber für KMU kann ein Vorfall schnell zu einem geschäftlichen Problem werden. Eine Phishing-E-Mail kann ein Konto kompromittieren. Ein Ransomware-Angriff kann die Abläufe unterbrechen. Ein ungetestetes Backup kann die Wiederherstellung verzögern. Selbst eine kurze Unterbrechung kann Kunden, Lieferanten, Umsatz und Ruf beeinträchtigen.

Anlässlich des Europäischen Monats der Cybersicherheit bat das Luxemburger Digital Innovation Hub (L-DIH) Anitha Arulrajakumar, Expertin vom Luxemburger Haus für Cybersicherheit (LHC), praktische Fragen zu den Risiken zu beantworten, denen KMU ausgesetzt sind, und zu den Schritten, die sie unternehmen können, um ihre Widerstandsfähigkeit zu verbessern.

Der Europäische Monat der Cybersicherheit findet jedes Jahr im Oktober statt. Koordiniert von der Europäischen Agentur für Cybersicherheit (ENISA) mit den teilnehmenden europäischen Ländern bietet er die Möglichkeit, Cybersicherheit zu einer unternehmensweiten Verantwortung zu machen, statt zu einem Thema zu werden, das nur IT-Teams vorbehalten ist. Schon eine fokussierte Aktivität kann helfen, das Bewusstsein im Laufe des Jahres in eine wiederholbare Praxis zu verwandeln.

Mehrere Organisationen veranstalten auch während des Cybermonth Veranstaltungen. KMU können diese Seite konsultieren, um eine Aktivität zu finden, die zu ihren Bedürfnissen passt.

Drei häufige Fehler, die KMU bei Cyberbedrohungen machen

• Vorausgesetzt, sie sind zu klein, um gezielt angegangen zu werden: Cyberangriffe sind oft opportunistisch. Phishing, Angriffe auf Zugangsdaten und Ransomware können Organisationen jeder Größe betreffen. KMU können auch einen Einstieg in größere Kunden oder Lieferketten bieten. Künstliche Intelligenz (KI) hat die Geschwindigkeit und das Ausmaß von Angriffen weiter erhöht und Phishing sowie Social Engineering überzeugender gemacht.
• Die Abhängigkeit von Technologie ohne Prozesse: Antivirensoftware, Firewalls und Backups machen eine Organisation nicht automatisch widerstandsfähig. Oft bestehen Lücken bei sicheren Konfigurationen, Mitarbeiterbewusstsein, Multi-Faktor-Authentifizierung, Passwortmanagement, Patching, Backup-Tests und Vorfallreaktion.
• Je nach einer Person: Cybersicherheit kann stark von einem einzelnen Mitarbeiter oder externen Anbieter abhängen. Wenn Verfahren nicht dokumentiert sind, kann es für die Organisation schwierig sein, zu reagieren oder sich zu erholen, wenn diese Person nicht verfügbar ist oder ein Vorfall eintritt.

Drei einfache Schritte zur Stärkung der Datensicherheit

• Aktivieren Sie Mehrfaktor-Authentifizierung: Priorisieren Sie E-Mail, Cloud-Anwendungen, Administratorkonten und Fernzugriff. Ein gestohlenes Passwort sollte nicht ausreichen, um auf Unternehmensinformationen zuzugreifen.
• Identifizieren Sie, was am wichtigsten ist: Führen Sie ein einfaches Inventar von Geräten, Anwendungen und wichtigen Informationen. Identifizieren Sie die Daten, deren Verlust, Offenlegung oder Nichtverfügbarkeit die größten betrieblichen, finanziellen, vertraglichen oder reputationsbezogenen Auswirkungen haben würde.
• Backup und Testwiederherstellung: Führen Sie mehrere, separate Backups kritischer Informationen durch. Überprüfen Sie regelmäßig, ob sie wiederhergestellt werden können, da ein ungetestetes Backup nicht automatisch als wiederherstellbar gilt.

Den richtigen Cybersicherheitspartner finden

Ein KMU sollte zunächst seine Bedürfnisse verstehen, anstatt mit dem Kauf eines Sicherheitsprodukts zu beginnen. Ein geeigneter Cybersicherheitspartner sollte das Geschäft, kritische Informationen, das IT-Umfeld und die Risiken des Unternehmens kennen, bevor er Lösungen empfiehlt.

KMU sollten einen Partner suchen, der:

• Bewertung der Umwelt, bevor Lösungen empfohlen werden
• versteht die sektor- und regulatorischen Verpflichtungen des Unternehmens
• definiert die Verantwortlichkeiten zwischen dem KMU und dem Anbieter
• bietet transparente Serviceniveaus und Eskalationsverfahren
• unterstützt sowohl Prävention als auch Vorfallreaktion

Das Outsourcing von IT oder Cybersicherheit birgt das Risiko des Unternehmens nicht aus. Das Management sollte die Transparenz darüber behalten, was geschützt wird und wie. Die Richtlinie zur Netzwerk- und Informationssicherheit (NIS2) und der Digital Operational Resilience Act (DORA) unterstreichen die Bedeutung von Managementverantwortlichkeit und Aufsicht für Organisationen innerhalb ihres Zuständigkeitsbereichs.

Cyberresilienz über die Prävention hinaus aufbauen

Gute Cybersicherheit beginnt mit Grundlagen wie Multi-Faktor-Authentifizierung, starken Passwörtern, Endpunktschutz, Netzwerksegmentierung und zuverlässigen Backups. Resilienz bedeutet auch, sich auf den Moment vorzubereiten, in dem präventive Kontrollen versagen.

Jeder Fachexperte sollte in der Lage sein, ein paar grundlegende Fragen zu beantworten:

• Wen rufen wir an, wenn morgen ein Ransomware-Angriff passiert?
• Wie melden Mitarbeiter einen Vorfall?
• Können wir auch ohne unseren Hauptserver weiterlaufen?
• Wie schnell können wir unsere Daten wiederherstellen?
• Wer kontaktiert Kunden oder Lieferanten, falls nötig?

Wenn die Antworten unklar sind, hat die Organisation weiterhin Resilienzarbeit zu erledigen. Cyberresilienz bedeutet nicht, jeden Angriff zu verhindern. Sie bedeutet, die Wahrscheinlichkeit eines Vorfalls zu verringern, ihn schnell zu erkennen, seine Auswirkungen zu begrenzen und das Geschäft wiederherzustellen.

Wie L-DIH KMU helfen kann

Das L-DIH und das LHC bieten drei Dienstleistungen an, die KMU dabei helfen, ihre aktuelle Position einzuschätzen, Prioritäten zu identifizieren und sich auf einen Vorfall vorzubereiten.

• Light Cybersecurity Assessment: Eine 30-minütige Online-Bewertung, die einen ersten Einblick in die Reife einer Organisation im Bereich Cybersicherheit und Verbesserungsempfehlungen bietet.
• Deep Cybersecurity Assessment: ein vierstündiger Workshop, der die Risiken der Organisation detaillierter untersucht und die Entwicklung eines maßgeschneiderten Aktionsplans unterstützt.
• Krisenmanagement-Bereitschaftsbewertung: Eine vierstündige Übung mit Raum #42, einem simulierten Cyberattack-Szenario für Managementteams. Die Teilnehmer reagieren auf eine Krise und erhalten ein Debriefing, das Verbesserungsbereiche hervorhebt.

KMU, die zusätzliche Unterstützung suchen, können das gesamte Angebot der verfügbaren Dienstleistungen im L-DIH-Marktplatz erkunden oder L-DIH direkt kontaktieren, um ihre Cybersicherheitsbedürfnisse zu besprechen.