Sicherheitspflicht für Entscheider in KMU — Schritt für Schritt

Kernaussage: Entscheider in KMU tragen die Verantwortung für die Informationssicherheit. Mit klaren Prioritäten, einfachen Massnahmen und regelmässiger Kontrolle reduzieren Sie Risiken schnell und nachhaltig.

Risikoorientierte Priorisierung statt Technikgläubigkeit

Entscheider müssen Risiken nach konkretem Schadenpotenzial priorisieren. Nicht jede technische Lösung ist sinnvoll. Beginnen Sie mit Schutz für Kunden- und Finanzdaten, Zugangskontrolle und Backup. Beispiel: Ein Handwerksbetrieb sichert vertrauliche Offerten und Kundendaten zuerst, statt sofort in teure Netzwerk-Appliances zu investieren. Ermitteln Sie Geschäftsprozesse, die bei einem Ausfall den grössten Umsatz- oder Reputationsverlust verursachen, und setzen Sie dort Ressourcen ein.

Zugriffs- und Identitätsmanagement praktisch umsetzen

Standardmassnahme: eindeutige Konten, Passwortrichtlinie, Mehrfaktor-Authentifizierung (MFA) für administrative Zugänge. Praxisbeispiel: Im Architekturbüro bekommen alle Mitarbeitenden individuelle Konten; die CAD-Lizenzen sind an klare Nutzergruppen gebunden; Administratorkonten werden nur für Updates genutzt. Führen Sie ein Verzeichnis aller privilegierten Konten und prüfen Sie monatlich, ob alle Zugänge noch erforderlich sind.

Backups, Wiederherstellung und Wiederanlauf testen

Ein Backup ohne Test ist nutzlos. Legen Sie Backup-Ziele fest (Zielzeitpunkt und Wiederherstellungszeit). KMU-Beispiel: Ein Einzelhändler automatisiert tägliche Datensicherungen der Kassendaten, lagert Kopien extern und testet monatlich die Wiederherstellung auf einem Ersatzgerät. Notieren Sie Routinen: Verantwortlicher, Häufigkeit, Aufbewahrungsort, Testdatum.

Lieferanten- und Partnerkontrolle

Entscheider müssen Lieferantenrisiken minimieren. Fragen Sie nach Sicherheitszertifikaten, Datenverarbeitungsvereinbarungen und Nachweisen zu Patch-Management. Beispiel: Ein Dienstleister für Lohnsoftware erhält nur Zugriff auf Minimaldaten; die Verbindung ist verschlüsselt; es besteht eine Vereinbarung über Incident-Mitteilung innerhalb von 24 Stunden.

Sensibilisierung statt einmaliger Schulung

Sicherheit lebt vom Verhalten. Kurze, wiederkehrende Trainings sind effizienter als lange Einführungen. Praxis: Wöchliche 10‑Minuten‑Updates in Mitarbeitendenrunden zu Phishing, Datenklassierung und Meldewegen. Führen Sie klare Meldeprozesse für Vorfälle und belohnen Sie korrekte Meldungen.

Kontrolle und Metriken für Entscheider

Messen Sie, was Sie steuern wollen: Anzahl bestätigter Vorfälle, Zeit bis Wiederherstellung, Anteil Systeme mit aktuellem Patchstand. Entscheider sollten monatlich die wichtigsten Kennzahlen sehen. Beispiel: Ein KMU erstellt ein einfaches Dashboard mit Backup-Erfolgsraten, offenen Sicherheitslücken und MFA-Abdeckung.

Typische Fehler und Korrekturen:

Fehler: Alles dem IT‑Dienstleister überlassen ohne Governance. Korrektur: Definieren Sie Verantwortlichkeiten schriftlich, prüfen Sie Lieferantenleistung quartalsweise und behalten Sie Entscheidbefugnisse.

Fehler: Backup nur lokal und nie getestet. Korrektur: Implementieren Sie 3‑2‑1‑Prinzip (3 Kopien, 2 Medientypen, 1 extern) und testen Sie Wiederherstellung mindestens monatlich.

Fehler: Einmalige Sensibilisierung, keine Auffrischung. Korrektur: Führen Sie kurze, regelmässige Lernsequenzen ein und dokumentieren Sie Teilnahme und Ergebnisse.

14–30‑Tage-Handlungsanleitung (konkret, nummeriert)

Tag 1–3: Erfassen Sie kritische Daten und Prozesse. Schreiben Sie die Top‑5 Geschäftsprozesse mit potenziellem Schaden bei Ausfall auf.

Tag 4–7: Erstellen Sie eine einfache Zugangsübersicht. Listen Sie alle privilegierten Konten und setzen Sie MFA für Admin- und Remotezugänge um.

Tag 8–10: Prüfen Sie vorhandene Backups. Stellen Sie sicher, dass mindestens eine Kopie extern liegt; planen Sie einen Wiederherstellungstest.

Tag 11–14: Vereinbaren Sie mit Ihrem IT‑Dienstleister schriftliche Verantwortlichkeiten und SLAs für Sicherheitsthemen.

Tag 15–18: Führen Sie eine 15‑minütige Mitarbeitendenrunde zur Erkennung von Phishing durch und kommunizieren Sie Meldewege.

Tag 19–22: Sammeln Sie Nachweise von kritischen Lieferanten (Vereinbarungen, Patch‑Rhythmus) und beschränken Sie Zugriffe auf das Notwendige.

Tag 23–26: Messen Sie erste Kennzahlen: Backup‑Erfolg, MFA‑Abdeckung, offene kritische Patches; erstellen Sie ein kurzes Dashboard.

Tag 27–30: Führen Sie den geplanten Wiederherstellungstest durch, bewerten Sie Ergebnisse und passen Sie die Prioritätenliste an.

Diese Schritte setzen keine High‑End‑Technik voraus. Entscheidend ist klare Priorisierung, Umsetzung einfacher Kontrollen und regelmässige Überprüfung. Entscheider sollten aktive Verantwortung übernehmen und Sicherheitsfragen in den Geschäftsalltag integrieren.