Ein Guide über Cybersicherheit für Firmengründer und Kleinunternehmen

Ein jährlicher Bericht zur Internetkriminalität, der vom FBI veröffentlicht wird, zeigt, dass alleine im Jahr 2020 die Kosten, die durch Cyberkriminalität verursacht wurden, über 4,2 Milliarden Dollar betrugen. Es ist wichtig sich daran zu erinnern, dass Kleinunternehmen keineswegs immun sind gegen Bedrohungen aus dem Netz. Daher ist es wichtig für Unternehmen jeder Größe, dass sie ihre sensiblen Daten, bezogen auf Klienten, Mitarbeiter und Unternehmensgeheimnisse, schützen.

Bewertung der Cyber Risiken

Bei der Bewertung von Cyber Risiken für kleine Unternehmen können die folgenden Maßnahmen wesentlich sein:

• Feststellen, welche Informationen das Unternehmen speichert und verwaltet
• Bewertung des Sicherheitsgrades den unterschiedliche Arten von Informationen brauchen
• Recherche welche Cyberbedrohungen für das Unternehmen gefährlich werden können
• Identifikation von potenziellen Konsequenzen einer erfolgreichen Cyberattacke
• Bewertung der Wahrscheinlichkeit, dass ein Data Breach gelingt
• Bestandsaufnahme vorhandener Ressourcen für Cybersicherheit
• Review der aktuellen Prozesse in Bezug auf Cybersicherheit
• Review der aktuellen Software, Hardware und Services in Bezug auf Cybersicherheit

Sobald Sie alle Ihre Cyber Risiken bewertet haben, können Sie Prozesse entwickeln, um diese Risiken zu reduzieren.

Potenzielle Auswirkungen von Cyberangriffen

Potenzielle negative Konsequenzen von Cyberangriffen für kleine Unternehmen sind:

• Zerstörung des guten Rufes in der Geschäftswelt
• Zerstörung von IT Ressourcen
• Unterbrechung der IT Prozesse
• Unterbrechung des operativen Geschäfts
• Finanzielle Verluste durch Verluste von Vermögenswerten, legaler Konsequenzen und Behebung der Störungen

Diese Auswirkungen sind ganz ohne Frage viel schlimmer für kleine Unternehmen, da sie häufig weniger Ressourcen haben um die Wiederherstellung von Daten zu gewährleisten.

Cyber Risiken für Kleinunternehmen

Cyber Risiken und Risikofaktoren sind für große und Kleinunternehmen sehr ähnlich. Allerdings haben kleinere Unternehmen weniger Ressourcen um Cyber Bedrohungen zu identifizieren, verhindern, verwalten oder Daten wiederherzustellen nach einem erfolgreichen Angriff.

Arten von Cyber Risiken

Zu den größten Cyber Risiko Faktoren für kleine Unternehmen zählen:

• Phishing: Ist ein Angriff, wo Kriminelle vorgeben eine wichtige Person im Unternehmen zu sein um wichtige Informationen aus Angestellten herauszukitzeln, oder sie zu Aktionen zu verleiten, wie Weitergabe wichtiger Passwörter
• Malware: Malware beschreibt schädliche Software, wie Ransomware, Spyware, Adware, Keylogger und Trojaner.
• Schwache Passwörter: Manche Passwörter können leichter erraten werden als andere, wie solche mit persönlichen Informationen, beispielsweise Namen oder Geburtsdaten.
• Insider Threats: Insider Threats sind Personen mit Zugang zum Unternehmen und seinen Ressourcen, den sie nutzen können um einen Cyberangriff zu starten.
• DDOS Angriff: Eine DDoS (Distributed Denial of Service) Attacke zielt darauf ab, eine Website mit so vielen Anfragen zu überhäufen, das sie schlicht abstürzt.
• MitM Angriff: Ein MitM (Man in the Middle) Angriff ist wenn eine kriminelle Energie versucht sich in Kommunikationswegen oder Datenübertragungen zwischenzuschalten.
• Zero Day Exploit: Das ist ein Angriff wo ein Krimineller eine Lücke im System findet und ausnützt, bevor das Unternehmen die Schwachstelle erkennt.

Es ist wichtig zu wissen, dass dies nur die Sammlung einiger weniger, aber häufig vorkommender Cyber Angriffe ist. Es gibt eine große Bandbreite an Strategien um Cyber Angriffe auszuführen und diese Strategien und Vorgehensweisen entwickeln sich ständig weiter.

Risiko Faktoren und Hoch-Risiko Events

Potenzielle Faktoren, die das Risiko einer Cyber Attacke auf kleine Unternehmen erhöhen sind:

• Zu wenige Ressourcen: Wenn zu wenige Ressourcen wie Geld, Mitarbeiter und Computer für Sicherheit eingesetzt werden, macht es das dem Unternehmen schwerer Cyber Angriffe zu verhindern, damit umzugehen und darauf zu reagieren.
• Zu wenige Informationen: Wenn Geschäftsführer und Mitarbeiter keine Ahnung von Cyber Angriffen haben und wie damit umgegangen werden muss, werden sie Schwierigkeiten haben bestmöglich darauf zu reagieren.
• Keine Vorgaben zur Cyber Sicherheit: Ohne klare Prozesse wie im Falle einer Cyber Attacke vorgegangen werden soll, wird es schwerer sein die Sicherheit zu gewährleisten, als mit funktionierenden Vorgaben
• Kein Training: Selbst die besten Vorgaben und ausreichende Ressourcen reichen nicht, wenn die Mitarbeiter nicht darin geschult werden und regelmäßig angehalten werden, sich an die Vorgaben zu halten.
• Keine automatisierten Prozesse: Automatisierung von IT Funktionalitäten können die Wahrscheinlichkeit menschlichen Versagens drastisch reduzieren.
• Kein Recovery Plan: Unternehmen brauchen einen Plan um die Daten nach einem erfolgreichen Angriff wiederherstellen zu können.
• Insider Threats: Insider Threats wie unzufriedene oder wütende Mitarbeiter haben häufig einfachen Zugang zu sensiblen daten.
• Menschengemachte Katastrophen: Dazu zählen groß angelegte Terrorangriffe oder große Unfälle die Kraftwerke lahmlegen, Hardware zerstören oder Zutritt zu gesperrten Bereichen ermöglichen.
• Natürliche Katastrophen: Dazu zählen Flutwellen oder Erdbeben, die ebenfalls Kraftwerke lahmlegen, Hardware zerstören oder Zutritt zu gesperrten Bereichen ermöglichen können.

Wenn Ihr Unternehmen mit einem dieser Probleme zu kämpfen hat, oder es wahrscheinlich ist, dass einer dieser Fälle eintritt, ist es wichtig diese Information bei der Erstellung einer Cyber Sicherheitsstrategie zu berücksichtigen.

Abschwächen der Cyber Risiken für kleine Unternehmen

Es gibt einige Möglichkeiten um das Risiko einer Cyber Attacke für kleine Unternehmen zu reduzieren, wie beispielsweise:

• Ausreichendes Training für Mitarbeiter: Stellen Sie sicher, dass die Mitarbeiter über potenzielle Gefahren Bescheid wissen und darüber, wie sie im Fall eines Angriffes handeln sollen, sodass das Unternehmen die Bedrohung rasch identifizieren und unschädlich machen kann.
• Regelmäßige Software Updates: Software Updates haben häufig Patches für die Cyber Sicherheit im Gepäck. Sie helfen neue erkannte Bedrohungen zu eliminieren.
• Regelmäßige Hardware Updates: Cybersicherheitssoftware braucht ein kompatibles System mit ausreichend Energie und Speicherplatz um sie auszuführen.
• Backup Files: Backup Files verhindern, dass Informationen vollständig verloren gehen. Sie können vor Ort oder mittels RMM verwaltet werden. Diese Strategien werden effektiver, je automatisierter sie ablaufen.
• Verwendung hoch qualitativer Cybersicherheitsservices: Für manche Unternehmen ist es besser diese Services auszulagern, anstatt sie in house zu verwalten. Das kann die internen Ressourcen schonen, die sonst nicht für das Kerngeschäft verfügbar wären
• Verwendung hoch qualitativer Informationsspeicherungsservices: Outsourcing von Informationsspeicherung kann hilfreich sein für alle Unternehmen, die Daten nicht vor Ort abspeichern möchten. Cloud Computing ist eine häufige Alternative, da Daten verschlüsselt sind und von einem Drittanbieter gespeichert werden, sodass Kriminelle es deutlich schwerer haben sich Zugang zu den Daten zu verschaffen
• Einrichtung eines Warnsystems: Je früher Sie über eine Sicherheitslücke Bescheid wissen, desto besser. Daher kann ein automatisiertes Warnsystem hilfreich sein um Sicherheitslücken rasch aufzudecken.

Diese Strategien sind insbesondere dann relevant, wenn Sie persönliche Daten wie Kunden oder Mitarbeiter Daten speichern.

Wie werden Persönliche Daten geschützt

Schritte um sensible Kunden und Mitarbeiter Daten zu schützen können sein:

• Entwicklung klarer Prozesse in Bezug auf Cybersicherheit
• Mitarbeiter erhalten klare Informationen
• Daten sind bestens organisiert
• Abhaltung von Cybersicherheitstrainings
• Verwendung sicherer Plattformen zum Speichern und Verwalten von Daten
• Regelmäßige Softwareupdates
• Regelmäßige Hardwareupdates
• Überwachung von Zugriffen und Aktivitäten im Netzwerk
• Zugangsbeschränkungen für sensible Daten
• Zugriffslogs erstellen
• Klare Richtlinien in Bezug auf Bring your own device
• Limitierung der dokumentierten Informationen
• Sicheres Löschen von Daten
• Verwendung sicherer Passwörter
• Verwendung von Multifaktor Authentifikation
• Verwendung von Cybersicherheitstools
• Sofortiges Melden von möglichen Cyber Angriffen

Es ist auch wichtig zu wissen, dass es je nach Industrie unterschiedliche Regelungen zum Speichern und Versenden von Daten geben kann.

Cybersicherheitstraining und Zertifizierungen für Unternehmer und Manager

Training und Zertifizierungen in Bezug auf Cybersicherheit können wertvolle Ressourcen für kleine Unternehmen sein, die ihre Vorgehensweisen bezüglich Cybersicherheit verbessern möchten. Solche Trainingsprogramme können verwendet werden, um das Wissen bereits vorhandener Mitarbeiter zu verfeinern oder neue Mitarbeiter gezielt nach diesen Zertifizierungen auszuwählen.

Was ist das Cybersicherheitsawareness Training?

Cybersicherheits Awareness Training bedeutet ein Training zur Erhöhung des Verständnisses von Mitarbeitern in Bezug auf Cybersicherheitsrisiken und wie sie damit umgehen können. Solche Programme sind ein wertvoller Vermögenswert für die Cybersicherheit innerhalb eines Unternehmens, da untrainierte Mitarbeiter eine Sicherheitslücke darstellen können. Trainingsprogramme werden sowohl von den Regierungen als auch von Privatanbietern angeboten.

Plattformen für Cybersicherheitstrainings

Hilfreiche Plattformen sind:

• Cybrary: Eine Aggregation von Crowd-Sourced Karriere Entwicklungsressourcen bezüglich Cybersicherheit
• EC-Council: bietet Training und Zertifizierungen im Bereich Cybersicherheit an
• IBM: Obwohl IBM vor allem für Hard- und Software bekannt ist, bieten sie auch Beratungen und Trainings für Cybersicherheit an
• ICS2: bietet Trainings und Zertifizierungen im Bereich Cybersicherheit an
• Khan Academy: Ist eine Crowd-Sourced Online Learning Plattform
• Open Security Training: ist eine Crowd Sourced Trainingsplattform für Cybersicherheit
• SANS Institute: bietet Trainings und Zertifizierungen im Bereich Cybersicherheit an
• Skillshare: Ist eine Crowd-Sourced Online Learning Plattform
• Udemy: Ist eine Crowd-Sourced Online Learning Plattform

Unterschiedliche Bildungseinrichtungen bieten ebenfalls Trainings für Cybersicherheit an.

Cyber-Sicherheitszertifikate

Wertvolle Zertifizierungen sind:

• Certified Ethical Hacker: wird vom EC-Council ausgegeben durch unterschiedlichste Bildungseinrichtungen wie Universitäten. Ethical Hackers erhalten die Erlaubnis unterschiedlichste Teile einer Umgebung zu infiltrieren um Schwachstellen zu identifizieren und zu beheben.
• GIAC Security Essentials: Dieses Zertifikat wurde von der Global Information Assurance Certification entwickelt und bestätigt Wissen in Bezug auf Informationssicherheit. Prüfungen finden online statt
• Certified Information Security Manager: Das Zertifikat wurde entwickelt von der ISACA um die Fähigkeiten einer Person in Bezug auf Informationssicherheit in Unternehmen zu bestätigen. Sie können die Prüfung online oder über PSI durchführen.
• CompTIA Security+: Dieses Zertifikat wurde entwickelt um Basiswissen im Bereich Informationssicherheit nachzuweisen. Es wird von der CompTIA online verliehen oder über Pearson VUE.
• Certified Information Systems Security Professional: Dieses Zertifikat wird vom International Information System Security Certification Consortium verliehen und testet das Wissen bezüglich Informationssicherheit. Die PRüfung wird von Pearson VUE durchgeführt.

Das sind nur einige wenige Beispiele für Zertifizierungen. Es ist immer wichtig die Aussagekraft dieser Zertifikate zu überprüfen, ebenso die Ausgabestellen und ihre Integrität.

Cyberressourcen für Unternehmer und kleine Unternehmen

Ressourcen die kleinen Unternehmen helfen sensible Daten zu schützen sind:

• Antivirus Software: sie identifiziert Viren und macht sie unschädlich
• Verschlüsselung: Daten werden verschlüsselt gespeichert und können nur von Berechtigten gelesen werden
• Backup Dateien: Kopien der Daten um sie rasch wiederherstellen zu können
• VPNs: verstecken die IP Adresse und verschlüsseln Daten um dem User mehr Privatsphäre zu geben.
• DaaS: Data as a Service bezieht sich auf Cloud Services die Daten verwalten können
• Firewalls: kontrollieren den Traffic des Netzwerks
• Authenticator Apps: generieren Codes für einmalige Verwendung um Userzugriff zu bestätigen
• Password Manager: generieren und speichern Passwörter

Welche der Optionen Sie implementieren sollten und wie hängt von einer Reihe Faktoren ab, wie Unternehmensstruktur und persönliche Vorlieben.