IT-Sicherheit im kleinen Büro und zu Hause: Die Grundmaßnahmen, die zählen

Ohne eigene IT-Abteilung hilft eine feste Reihenfolge: erst die Maßnahmen, die ohne Fachwissen umsetzbar sind, dann die Notfallvorsorge. Die folgenden Abschnitte fassen zusammen, was Behörden und Verbraucherschützer dafür empfehlen, und verweisen auf die ausführlichen Artikel.

Updates: Was muss aktuell gehalten werden?

Betriebssystem und alle installierten Programme sollten aktuell sein, am besten mit automatischen Updates. Das BSI nennt regelmäßiges, möglichst automatisiertes Einspielen als Grundregel (Quelle: bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Broschueren/Leit…). Die Polizei nennt als Schwerpunkte Betriebssystem, Browser und PDF-Reader (Quelle: polizei-beratung.de/themen-und-tipps/gefahren-im-internet/sicherheitsk…). Auch Router und vernetzte Geräte brauchen Updates; was keine Sicherheitsupdates mehr erhält, sollte ersetzt oder aus dem kritischen Netzwerk ausgeschlossen werden (Quelle: verbraucherzentrale.de/wissen/digitale-welt/mobilfunk-und-festnetz/so…). Zum Router: Router absichern.

Benutzerkonten: Warum nicht als Administrator arbeiten?

Schadprogramme erhalten zunächst dieselben Rechte wie das Konto, über das sie auf den Rechner gelangt sind. Das BSI rät deshalb, möglichst nicht mit Administratorrechten zu arbeiten und diese nur bei Bedarf zu nutzen (Quelle: bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Broschueren/Leit…).

Passwörter und zweiter Faktor

Jedes Konto braucht ein eigenes Passwort, damit ein Datenleck bei einem Dienst nicht weitere Konten öffnet. Starke Passwörter müssen nicht routinemäßig gewechselt werden; ein Wechsel ist nach einem möglichen Datenabfluss nötig (Quelle: verbraucherzentrale.de/wissen/digitale-welt/datenschutz/starke-passwoe…). Zuerst das E-Mail-Postfach mit einem zweiten Faktor schützen, weil darüber Passwörter anderer Konten zurückgesetzt werden können (Quelle: verbraucherzentrale.de/wissen/digitale-welt/datenschutz/zweifaktorauth…). Details, Passwortmanager und Einführung im Team: Passwortmanager und Zwei-Faktor-Authentisierung.

Backups: Was schützt vor Datenverlust?

Backups sichern Daten nach Defekt, Verlust oder Schadsoftware nur, wenn sie nicht ebenfalls betroffen sind. Das BSI rät, externe Sicherungsmedien außerhalb des Sicherungsvorgangs vom Rechner zu trennen (Quelle: bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Broschueren/Wegw…). Die IHK München beschreibt die 3-2-1-Regel und empfiehlt, Datensicherungen vom gesicherten System zu isolieren (Quelle: ihk-muenchen.de/ratgeber/digitalisierung/informationssicherheit/daten…). Ausführlich: Datensicherung.

Phishing: Woran scheitern Angriffe?

Phishing-Nachrichten bauen Druck auf, etwa mit angeblich drohender Kontosperre. Die Polizei rät, Links unbekannter Absender nicht anzuklicken, Websites direkt aufzurufen und nie angeforderte Anhänge nicht zu öffnen (Quelle: polizei-beratung.de/themen-und-tipps/sicher-handeln/onlinebetrug-masch…). Mehr dazu: Phishing erkennen.

In welcher Reihenfolge anfangen?

Unsere Empfehlung: Wer wenig Zeit hat, beginnt mit den Maßnahmen, die einmal eingerichtet dauerhaft wirken: automatische Updates einschalten, ein Alltagskonto ohne Administratorrechte anlegen, für das E-Mail-Postfach ein eigenes Passwort und einen zweiten Faktor einrichten und ein Backup einrichten, das nicht dauerhaft am Rechner hängt. Danach folgen Regeln für das Team, etwa für Zahlungsfreigaben, und schließlich ein Notfallplan, der ausgedruckt vorliegt.

Wenn doch etwas passiert

Für den Ernstfall im Betrieb gibt es einen eigenen Artikel: Ransomware: Notfallplan für kleine Büros.