Laptop Handwerker
bernardbodo / Fotolia

Innovation und TechnologieIT-Sicherheit: Maßnahmen für Handwerksbetriebe

Cyber-Angriffe treffen längst nicht mehr nur große Unternehmen, sondern auch kleine Betriebe – zum Beispiel von Handwerkern. Obwohl die Spam-Ordner täglich mit Phishing-Mails geflutet werden, ist das Thema IT-Sicherheit bei vielen noch nicht angekommen.

Was bedeutet IT-Sicherheit?

IT-Sicherheit ist so etwas wie eine digitale Alarmanlage: Sie schützt Computer, Smartphones, Tablets und letztlich alle digitalen Systeme im Betrieb vor Angreifern, also davor, dass jemand unbefugt auf Daten zugreift oder das System beschädigt, zum Beispiel durch Viren oder Hacker.

Warum sollten Handwerker auf IT-Sicherheit achten?

Alle Unternehmen, die mit Computern arbeiten und auf das Internet (E-Mails, Steuerung von Maschinen und Anlagen) angewiesen sind, können Opfer von Cyber-Angriffen werden. Sich um IT-Sicherheit zu kümmern, ist demnach wichtig, um unter anderem

  • Kundendaten zu schützen
  • Arbeitsabläufe zu sichern
  • Geräte und Maschinen zu schützen
  • Betrüger (Spam, Phishing) abzuwehren

Welche Cyber-Angriffsformen gibt es?

Die drei bekanntesten Formen, in denen Cyber-Angriffe stattfinden, sind:

Beim sogenannten „Social Engineering“ werden menschliche Eigenschaften wie Hilfsbereitschaft, Vertrauen, Angst oder Respekt vor Autorität ausgenutzt, um Personen geschickt zu manipulieren. Cyber-Kriminelle verleiten das Opfer auf diese Weise beispielsweise dazu, vertrauliche Informationen wie Passwörter preiszugeben, Sicherheitsfunktionen auszuhebeln, Überweisungen zu tätigen oder Schadsoftware („Ransomware“) auf dem privaten Gerät oder einem Computer im Firmennetzwerk zu installieren.
„Phishing“ ist ein Kunstwort, das sich aus „Passwort“ und „Fishing“ (Angeln) zusammensetzt. Phishing-E-Mails sind nicht nur nervig, weil sie E-Mail-Postfächer verstopfen und Betrugsversuche anbahnen. Oft infizieren sie auch das Empfängersystem mit einem Schadprogramm zum Ausspionieren persönlicher Daten. Etwa jede Dritte unerwünschte E-Mail (Werbung, vermeintliche Gewinnbenachrichtigungen oder ein Newsletter, der sich nicht abbestellen lässt) beinhaltet einen Phishing-Versuch und 62 % haben schon einmal wissentlich eine Phishing-E-Mail erhalten.
Eine Spam-E-Mail sieht oft harmlos aus, und nicht immer stecken böse Absichten dahinter, die den Empfängern persönlich oder finanziell schaden. Den Absendern geht es vor allem darum, die Empfänger mit Werbung zu bombardieren. Natürlich ist auch hier Vorsicht geboten. Sobald man das Gefühl hat, hier wird hemmungslos geworben und die E-Mail wird zur E-Mail-Flut, dann sollte man die E-Mails als Spam markieren.
 

Was passiert bei einem Cyber-Angriff?

Die Möglichkeiten, was eingeschleuste Schadsoftware so alles anrichten kann, sind vielfältig. Zu den häufigsten zählen:

  • Das System wird verschlüsselt und es wird Lösegeld erpresst.
  • Daten werden abgegriffen, was einen Verstoß gegen die DSGVO bedeutet.
  • Aufträge können nicht mehr bearbeitet werden (Ausfallkosten).
  • Kunden und Lieferanten verlieren das Vertrauen (Folgekosten).

Die 5 wichtigsten Maßnahmen zur Verbesserung der IT-Sicherheit

Die Mitarbeiter-Schulung ist die wichtigste Maßnahme, die Sie ergreifen können, denn 85 Prozent der erfolgreichen Cyber-Angriffe sind auf menschliches Versagen zurückzuführen. Am effektivsten sind solche Schulungen, wenn sie kontinuierlich stattfinden und Stresstests enthalten, also der Schulungserfolg direkt überprüft werden kann, indem zum Beispiel vermeintliche Spam-E-Mails versendet werden.
Ihre Daten sollten dreifach gesichert werden: Zwei Back-Ups sollten auf unterschiedlichen Medien gespeichert werden (zum Beispiel Festplatte und Cloud), das dritte sollte extern aufbewahrt werden.
Für verschiedene Konten müssen einzigartige Passwörter vergeben werden. Wichtig ist eine Kombination von Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen. Verwenden Sie keine naheliegenden Informationen wie Geburtstag oder Namen. Auch die Länge des Passworts ist relevant: Es sollte mindestens zwölf Zeichen haben. Zur Speicherung von Passwörtern kann ein Passwortmanager verwendet werden, das heißt Sie müssen sich damit nur ein Passwort merken.
Im Angriffsfall ist es sehr wichtig, dass alle wissen, was zu tun ist. Halten Sie unbedingt fest, wer wen informiert, welche Systeme zuerst zu schützen sind und wie man auf einen Angriff mit Schadsoftware („Ransomware“) reagiert. Isolieren Sie Ihr IT-System, indem Sie die Netzwerkverbindung trennen.
Vorlagen für Notfallkarten, auf denen alles Wichtige notiert wird, gibt es im Internet. Der gesamte Notfallplan muss als Ausdruck vorliegen.

Notfall-Nummern für Unternehmen
Zuständig für Cybercrime-Ermittlungen: Zentrale Ansprechstelle Cybercrime (ZAC) BW, Kontakt: 0711 / 5401-2444; cybercrime@polizei.bwl.de
Meldung von IT-Sicherheitsvorfällen: Bundesamt für Sicherheit in der Informationstechnik (BSI), Notfallmeldestelle: +49 228 9582 4444
Beratung und Unterstützung bei Cyberangriffen: Cyberagentur BW, Kontakt: 0711-137-99999; cyberersthilfe@cybersicherheit.bwl.de
Notfallkoordination bei Cyberangriffen: CERT-Bund (Computer Emergency Response Team), Kontakt: certbund@bsi.bund.de

Bei Verdacht auf Datendiebstahl muss dies bei der Datenschutz-Aufsichtsbehörde gemeldet werden. In Baden-Württemberg kann der Vorfall direkt online beim Landesdatenschutzbeauftragten gemeldet werden unter: www.baden-wuerttemberg.datenschutz.de/datenpanne-melden
Um Ihre digitalen Systeme zu schützen, können Sie eine Firewall oder Schutzsoftware einsetzen. Außerdem sollten Sie regelmäßig Virenscans durchführen und Updates für Hard- und Software rasch einspielen. Regeln Sie Zugriffsrechte und nutzen Sie eine Zwei-Faktor-Authentifizierung für Geräte und Daten.
 

Wie hilft die Handwerkskammer?

Jan Benz, Berater für Innovation und Technologie bei der Handwerkskammer Konstanz, berät Unternehmen in Sachen IT-Sicherheit. Er empfiehlt die folgenden drei Sicherheits-Checks, die er gemeinsam mit dem Betrieb durchführt:

Diesen IT-Test hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) speziell für kleine und mittlere Unternehmen entwickelt hat. Wer ihn durchführen lassen will, sollte schon ein bisschen Erfahrung haben und mehr als zehn Mitarbeitende beschäftigen. Für die Mitgliedsbetriebe der Handwerkskammer Konstanz ist der Check dank der Qualifizierung von Jan Benz kostenfrei.
Durchgeführt wird der Check in Form eines strukturierten Interviews, am Ende gibt es klare Handlungsempfehlungen für den Betrieb. Das dauert etwa zwei bis drei Stunden.
Diesen Test hat das Land Baden-Württemberg entworfen, und er eignet sich vor allem als Einstieg und für Betriebe mit bis zu zehn Mitarbeitenden.
Ein drittes empfehlenswertes Tool für einen Sicherheits-Check stammt von CYBERsicher. Es ist ebenfalls für Betriebe mit weniger als 10 Mitarbeitenden konzipiert.
 

Für alle IT-Sicherheits-Checks gilt: Jan Benz, der seit 2021 auch IT-Sicherheitsbotschafter ist, gibt nur eine Orientierungshilfe zum Stand der IT-Sicherheit im Unternehmen und die bereits genannten Handlungsempfehlungen. Um die Umsetzung kümmern sich die Geschäftsführer selbst und beauftragen gegebenenfalls einen externen IT-Dienstleister.

 

Weitere Informationen

Cybersicherheitsagentur Baden-Württemberg (CSBW)

Initiative Cybersicherheit im Handwerk

BSI-Empfehlung für Passwort-Manager

BSI-Empfehlung für Zwei-Faktor-Authentifizierung

BSI-IT-Notfallkarte

Checkliste: IT-Sicherheitsrisiko Mensch (Mittelstand Digital)




Kontakt

Jan Benz

Unternehmensservice

Team Betriebsführung, Innovation, Umwelt
Teamleitung

Tel. 07531 205-428

Fax 07531 205-6428

jan.benz--at--hwk-konstanz.de

Förderhinweis mit Logos von Bundeswirtschaftsministerium und BIT