Unternehmenssicherheit: die komplette Landkarte

Die komplette Landkarte in sechs Fragen

• Steuern: Wer entscheidet über Risiken, Budget, Ausnahmen und Krisen?
• Verstehen: Welche Prozesse, Daten, Geräte, Dienste und Lieferanten sind wirklich kritisch?
• Schützen: Welche Kontrollen verhindern oder begrenzen einen Angriff?
• Erkennen: Woran merken wir früh, dass etwas nicht stimmt?
• Reagieren: Wer tut in der ersten Stunde konkret was?
• Wiederherstellen: Wie kommen Betrieb und Vertrauen kontrolliert zurück?

1. Verantwortung und Risikosteuerung

Geschäftsleitung bleibt für das Unternehmensrisiko verantwortlich, auch wenn ein Dienstleister die Technik betreibt. Rollen, Entscheidungswege, akzeptierte Risiken und Ausnahmen gehören schriftlich festgehalten.

BSI-Grundschutz, ISO 27001, CIS Controls und NIST CSF sind Orientierungssysteme, keine Pokalsammlung. Ich würde ein passendes Zielbild wählen, Lücken priorisieren und Nachweise aus dem echten Betrieb sammeln.

2. Wissen, was geschützt werden muss

• Kritische Geschäftsprozesse und maximal tolerierbare Ausfallzeiten bestimmen.
• Geräte, Server, Cloud-Dienste, Domains, Software, Schnittstellen und technische Konten inventarisieren.
• Daten nach Schutzbedarf und gesetzlicher Relevanz klassifizieren.
• Verantwortliche und Hersteller-Supportende für jedes kritische System erfassen.
• Schatten-IT und unbekannte SaaS-Nutzung nicht bestrafen, sondern sichtbar und beherrschbar machen.

3. Identitäten und Berechtigungen

• Zentrales Identitätsmanagement und Single Sign-on nutzen, wo es sinnvoll ist.
• Phishing-resistente MFA mit Passkeys oder FIDO2 für Admins und kritische Anwendungen priorisieren.
• Admin- und Alltagskonten trennen; Rechte nur so lange und so weit wie nötig vergeben.
• Eintritt, Rollenwechsel und Austritt mit verbindlichem Prozess abdecken.
• Dienstkonten, API-Schlüssel, Zertifikate und Secrets genauso streng verwalten wie menschliche Konten.
• Regelmäßig prüfen, wer tatsächlich noch worauf zugreifen darf.

4. Arbeitsplätze und mobile Geräte

• Unterstützte Betriebssysteme, automatische Sicherheitsupdates und zentrale Gerätekonfiguration durchsetzen.
• Festplattenverschlüsselung, Bildschirmsperre und sichere Wiederherstellungsschlüssel verwalten.
• Endpoint-Schutz und Erkennung so konfigurieren, dass Warnungen auch bearbeitet werden.
• Lokale Administratorrechte begrenzen und Softwareinstallation kontrollieren.
• Verlust, Diebstahl, private Geräte und mobiles Arbeiten mit realistischen Regeln abdecken.

5. E-Mail, Zusammenarbeit und Social Engineering

SPF, DKIM, DMARC, Schutz vor Identitätsimitation und phishing-resistente Anmeldung reduzieren die technische Angriffsfläche. Zahlungs- und Datenfreigaben brauchen zusätzlich einen zweiten unabhängigen Bestätigungsweg.

Schulungen müssen konkrete Situationen abdecken: falsche Geschäftsführung, geänderte Bankverbindung, OAuth-Freigabe, QR-Code, Telefonanruf und Deepfake-Stimme. Der ausführliche Social-Engineering-Ratgeber ergänzt diesen Bereich.

6. Netzwerk, WLAN und Fernzugriff

• Internetdienste minimieren, sicher konfigurieren und fortlaufend inventarisieren.
• Produktions-, Büro-, Gast-, IoT- und Administrationsbereiche sinnvoll segmentieren.
• Fernzugriff stark authentisieren; alte VPN- oder Gateway-Systeme schnell patchen.
• DNS-, Proxy-, Firewall- und Netzwerkprotokolle für Erkennung nutzbar machen.
• Zero Trust nicht als Produkt kaufen: jede Verbindung anhand von Identität, Gerät und Kontext prüfen.

7. Server, Cloud und SaaS

• Sichere Basiskonfigurationen versionieren und Abweichungen erkennen.
• Cloud-Verantwortung verstehen: Der Anbieter schützt nicht automatisch Konten, Datenfreigaben und eigene Konfiguration.
• Öffentliche Speicher, überbreite Rollen, langlebige Schlüssel und ungeschützte Admin-Schnittstellen vermeiden.
• Mehrere Cloud-Konten oder Mandanten mit zentraler Sicht auf Identitäten, Logs und Kosten verwalten.
• Ausstiegs-, Export- und Wiederherstellungswege vor dem Ausfall eines Anbieters testen.

8. Anwendungen, Websites und APIs

• Sicherheitsanforderungen bereits bei Planung und Einkauf festlegen.
• Abhängigkeiten, Container und Build-Pipelines prüfen und aktuell halten.
• Code-Reviews, automatisierte Tests und unabhängige Penetrationstests risikobasiert kombinieren.
• Secrets nie in Quellcode, Tickets oder öffentliche Repositories legen.
• APIs authentisieren, begrenzen, protokollieren und gegen Missbrauch testen.
• Schwachstellenmeldung mit security.txt und fairer Responsible-Disclosure-Regel ermöglichen.

9. Daten schützen – und Daten vermeiden

• Nur Daten erheben, die einen klaren Zweck haben.
• Aufbewahrungs- und Löschfristen technisch umsetzen statt nur dokumentieren.
• Transport und Speicherung verschlüsseln; Schlüssel getrennt und kontrolliert verwalten.
• Exporte, Freigabelinks, Testdaten und lokale Kopien in die Schutzbetrachtung einbeziehen.
• Besonders sensible Daten zusätzlich pseudonymisieren oder segmentieren.
• Datenabfluss überwachen, ohne Beschäftigte heimlich und grenzenlos zu überwachen.

10. Backups und Erpressungstrojaner

• 3-2-1 als Ausgangspunkt: mehrere Kopien, unterschiedliche Medien, eine Kopie getrennt oder unveränderbar.
• Backups mit eigenständigen Konten schützen, damit ein kompromittierter Admin sie nicht mitlöscht.
• Wiederherstellung regelmäßig mit realen Systemen und gemessener Dauer testen.
• Abhängigkeiten wie Identitätsdienst, DNS, Lizenzen, Schlüssel und Dokumentation mitdenken.
• Reihenfolge für den Wiederanlauf vor dem Notfall festlegen.

11. Protokollierung und Erkennung

Logs sind nur wertvoll, wenn Uhren stimmen, wichtige Quellen angeschlossen sind, Speicherfristen passen und jemand relevante Alarme bearbeitet. Mehr Daten sind nicht automatisch mehr Sicherheit.

Mindestens ungewöhnliche Anmeldungen, Rechteänderungen, neue Admins, Abschaltung von Schutzfunktionen, Weiterleitungsregeln, große Datenabflüsse und Änderungen an Backups sollten nachvollziehbar sein. Enterprise-Umgebungen brauchen abgestimmte Erkennungsregeln und geübte Untersuchung.

12. Schwachstellen und Updates

• Exponierte und aktiv ausgenutzte Schwachstellen zuerst behandeln.
• Verantwortliche, Fristen und dokumentierte Ausnahmen nach Kritikalität festlegen.
• Firmware, Netzwerkgeräte, Appliances, Browser-Erweiterungen und SaaS-Konfiguration nicht vergessen.
• Externe Angriffsfläche regelmäßig aus Sicht des Internets inventarisieren.
• Scans durch Priorisierung, sichere Konfiguration und tatsächliche Behebung ergänzen.

13. Lieferanten und Dienstleister

• Vor Vertragsabschluss Zugriff, Datenstandort, Unterauftragnehmer, Updateversorgung und Vorfallmeldung klären.
• Sicherheitsanforderungen und Nachweise passend zum Risiko vereinbaren.
• Fernwartungszugänge zeitlich begrenzen, überwachen und stark authentisieren.
• Abhängigkeiten und Konzentrationsrisiken bis zu wichtigen Unterauftragnehmern verstehen.
• Exit, Datenexport, Schlüsselübergabe und Löschbestätigung vertraglich und praktisch vorbereiten.

14. Physische Sicherheit und Betriebstechnik

• Zutritt zu Server-, Technik- und Aktenbereichen regeln und nachvollziehen.
• Besucher, Schlüssel, Ausweise, Entsorgung und Lieferzonen berücksichtigen.
• USV, Kühlung, Brand, Wasser, Strom und Kommunikationsausfall in die Notfallplanung aufnehmen.
• Produktions- und Gebäudetechnik nicht wie gewöhnliche Büro-IT behandeln; Verfügbarkeit und sichere Wartung haben eigene Anforderungen.

15. Mitarbeitende und Sicherheitskultur

Menschen sind keine austauschbare Schwachstelle. Gute Sicherheit macht die sichere Handlung zur einfachen Handlung, bietet erreichbare Hilfe und belohnt frühe Meldungen.

Rollenbezogen lernen: Buchhaltung braucht andere Übungen als Entwicklung, Vorstand oder Empfang. Phishing-Simulationen dürfen nicht täuschen, beschämen oder als Leistungskennzahl missbraucht werden.

16. Vorfälle: die erste Stunde vorbereiten

• Notfallkontakte offline verfügbar halten und Stellvertretungen benennen.
• Kriterien für Krise, Datenschutzverletzung, Erpressung und Betriebsunterbrechung definieren.
• Systeme isolieren können, ohne vorschnell Beweise zu zerstören.
• Rechtsberatung, Forensik, Versicherung, Behörden und Kommunikation vorab einordnen.
• Entscheidungen, Zeitpunkte und Beweiskette sauber dokumentieren.
• Mindestens jährlich einen realistischen Tabletop-Test mit Geschäftsleitung durchführen.

17. Wiederanlauf und Geschäftskontinuität

• Recovery-Ziele aus Geschäftsbedarf statt aus Bauchgefühl ableiten.
• Manuelle Ersatzverfahren für wirklich kritische Abläufe vorbereiten.
• Saubere Systeme, Konten und Schlüssel kontrolliert wiederherstellen.
• Kunden, Beschäftigte und Partner ehrlich und abgestimmt informieren.
• Nach dem Vorfall Ursachen und systemische Lücken beheben – nicht nur das sichtbare Symptom.

18. Datenschutz, NIS2, DORA und weitere Pflichten

Welche Pflichten gelten, hängt von Branche, Größe, Rolle, Daten und Verträgen ab. DSGVO, BDSG, NIS2-Umsetzung, DORA, KRITIS-Regeln, Geschäftsgeheimnisse und branchenspezifische Aufsicht können sich überschneiden.

Diese Seite ersetzt keine Rechtsberatung. Ein Unternehmen sollte seine Betroffenheit und Meldewege mit Datenschutz, Recht, Informationssicherheit und zuständigen Behörden aktuell prüfen. Sicherheitsmaßnahmen müssen außerdem Beschäftigtendatenschutz und Mitbestimmung respektieren.

19. KI im Unternehmen

• Zulässige Daten, Modelle und Anwendungsfälle verbindlich festlegen.
• Keine Geheimnisse oder personenbezogenen Daten ungeprüft in öffentliche KI-Dienste kopieren.
• Ausgaben fachlich prüfen; Halluzinationen, Prompt Injection und manipulierte Quellen einkalkulieren.
• Berechtigungen von KI-Agenten klein halten und kritische Aktionen von Menschen freigeben lassen.
• Protokollierung, Anbieterbindung, Modelländerungen und Löschung in Risiko- und Datenschutzprüfung aufnehmen.

20. Messbar besser werden

• Aktuellen Zustand und konkretes Zielprofil dokumentieren.
• Wenige aussagekräftige Kennzahlen nutzen: MFA-Abdeckung, kritische Patchdauer, getestete Wiederherstellung, offene Hochrisiken und Reaktionszeit.
• Kontrollen durch Übungen, Stichproben, technische Tests und unabhängige Audits verifizieren.
• Budget nach Geschäftsrisiko priorisieren – nicht nach der lautesten Produktdemo.
• Jeden Vorfall und Beinahe-Vorfall als Lernquelle nutzen.

Startplan für die nächsten 30 Tage

• Geschäftsleitung benennt Verantwortung und die fünf kritischsten Prozesse.
• Alle wichtigen Konten, Geräte, Cloud-Dienste und externen Zugänge erfassen.
• MFA für Admin, E-Mail, Cloud und Fernzugriff erzwingen.
• Kritische Updates und öffentlich erreichbare Systeme prüfen.
• Eine vollständige Wiederherstellung testen und Zeit messen.
• Notfallkontakte, Meldeweg und eine einstündige Krisenübung durchführen.
• Danach ein priorisiertes 90-Tage-Programm mit Verantwortlichen und Terminen beschließen.