IHK Ratgeber

Informationssicherheit

Rear view of young man typing and looking at computer monitor while sitting at the table in dark room
© g-stockstudio

Phishing E-Mails, Hackerangriffe, etc.– Digitale Angriffe nehmen rasant zu. Schützen Sie Ihr Unternehmen vor Cyberattacken und sorgen Sie dafür, dass Ihre Geschäftsgeheimnisse und IT-Systeme sicher sind.

Inhalt

Aktuelles

Bin ich betroffen? Welcher Hacker oder welche Hackerin interessiert sich schon für mich?

Möglicherweise sagen Sie sich: Bei mir gibt es nichts zu holen! Ich bin für Hackerinnen und Hacker völlig uninteressant! Mich wird schon kein Hacker oder keine Hackerin angreifen.

Das stimmt insofern, als dass Hackerinnen und Hacker sich gut überlegen, wen sie wie angreifen: Bei großen Unternehmen ist ein digitaler Einbruch nicht so einfach. Dort muss man als Angreiferin und Angreifer gezielt und mit viel Aufwand arbeiten. Dafür erscheint der „kriminelle Lohn“ vielversprechend.

Bei kleinen Unternehmen gehen Hackerinnen und Hacker nach dem Prinzip „die Masse macht‘s“ vor und nutzen vollautomatische Werkzeuge, mit denen sie unter hunderttausenden Angriffen jene Ziele identifizieren, die nicht gut gesichert sind.

Mitarbeiterinnen und Mitarbeiter sensibilisieren

Entscheidend für eine sichere IT ist nicht nur die Technik, sondern auch die Anwender und Anwenderinnen.

Aus Sicht von Mitarbeitern und Mitarbeiterinnen ist die IT ein unverzichtbares Werkzeug um arbeiten zu können. Dabei wird große Flexibilität und hohe Sicherheit erwartet. Diese beiden Ziele gleichzeitig zu erreichen ist eine große Herausforderung an die IT.

Nur im Zusammenspiel von Technik und Anwender kann die notwendige Verfügbarkeit, Vertraulichkeit und Integrität von IT erreicht werden.

Daher ist es nötig, Mitarbeiterinnen und Mitarbeiter zum Thema IT- und Informationssicherheit zu sensibilisieren und Wissen aufzubauen. Damit bekannt ist, was in welchen Situationen zu tun ist.

Hier finden Sie Tipps, um Mitarbeiter und Mitarbeiterinnen beim Thema Informationssicherheit mit ins Boot zu holen:

Seminare findet man z. B. auf https://wis.ihk.de mit dem Stichwort "awareness".

Beispiele für Awareness-Kampagnen und -Materialien:

Zurück zur Übersicht

Phishing-E-Mails: Besonders zu Krisen sehr häufig

phishing_e_mails_erkennen
Quelle: Bundesamt für Sicherheit in der Informationstechnik

Zuverlässig mit jeder größeren Krise bekommen Sie Mails mit der Aufforderung zu helfen. Viele davon sind seriös, aber leider nutzen auch Kriminelle Krisenzeiten für eigene Zwecke: Sie verschicken Mails angeblich im Namen seriöser Einrichtungen und fordern z. B. auf, Mailanhänge zu öffnen.

Tipps für den Umgang mit E-Mails und Messenger-Nachrichten:

E-Mails oder Messenger-Nachrichten mit Schadsoftware oder Links zu gefährlichen Websites sind ein gängiges Angriffsmittel von Cyberkriminellen.

Bleiben Sie misstrauisch: Gerade E-Mails sind sehr leicht zu fälschen und sehen authentisch aus, sind es aber nicht. Wenn dann auch noch das Thema "Corona" oder "Ukraine" dazukommt, ist man leicht versucht, schnell zu klicken.

Die BSI-Drei Sekunden für mehr E-Mail-Sicherheit hilft bei der schnellen Einschätzung:

  • Ist der Absender oder die Absenderin bekannt?
  • Ist der Betreff sinnvoll?
  • Wird ein Anhang von diesem Absender oder dieser Absenderin erwartet?

Das sollte Anhaltspunkte geben, ob die E-Mail als vertrauenswürdig einzustufen ist.

Dabei gilt:

  • Nicht unter Druck setzen lassen!
  • Namen sind Schall und Rauch: Selbst wenn der Absender oder die Absenderin einer E-Mail die Weltgesundheitsorganisation ist, muss die E-Mail noch lange nicht von der WHO kommen.

So erkennen Sie Phishing-E-Mails

Poster „Neue Phishing-Taktiken durch Corona“

Zurück zur Übersicht

Fake-Angebote erkennen

Gefälschte Internet-Verkaufsplattformen, kurz Fake-Shops, sind auch ohne brisanten Anlass ein großes Ärgernis. So beklagte ein Münchner Einzelhändler, dass ein Fake Shop seine exklusiven Waren extrem günstig anbot, dafür aber gar nicht lieferte. Es dauerte einige Zeit, bis zumindest dieser Onlineshop abgestellt werden konnte.

In Zeiten rarer Antivirus-Schutzausrüstung erscheinen Fake-Shops umso verlockender. Entweder um für Bestellungen Geld einzunehmen - ohne zu liefern. Oder Surfer und Surferinnen auf gefährliche Websites zu locken.

Allerdings sind gefälschte Angebote auch auf den großen Verkaufsplattformen zu finden. Dort sind selbst durchgehend sehr gute Bewertungen kein verläßliches Merkmal für die Seriosität des Angebotes.

Wie erkennt man Fake-Shops?

  • Impressum: Ein unvollständiges Impressum ist ein deutliches Indiz für genaueres Hinsehen. Verdächtig sind z. B. fehlende Angaben zu Geschäftsführer oder Geschäftsführerin, Straße und Ort. In der weiteren Onlinerecherche sollten die Angaben im Impressum weitere Indizien für die Seriosität des Angebotes liefern - oder eben nicht.
    Suche im Handelregister
    mehr zu den Impressumspflichten auf Websites
  • Preis: Vorsicht ist geboten bei unwirklich tiefen Preisen oder der Verfügbarkeit von sehr raren Produkten. Zwar wäre es schön, etwas eigentlich sehr wertvolles sehr billig zu bekommen. In der Praxis ist aber meist ein wichtiger Haken dabei.
  • Ist die Internet-Adresse des Onlineshops plausibel? Eine Adresse .../schuhe/ passt nicht zum Verkauf von elektronikartikeln
  • Bezahlmethoden: Wenn nur auf Vorkasse geliefert wird, könnte es sein dass keine ware kommt. Im Zweifel gilt: "Erst die Ware, dann das Geld"
  • weitere Infos finden Sie unter www.bsi-fuer-buerger.de


Zurück zur Übersicht

Die eigene Website sichern

Websites werden ständig nach Schwachstellen gescannt. Schauen Sie nach, aus welchen Ländern Ihre Website „kontaktiert“ wird. Vollautomatisiert werden Ihre, und alle anderen im Internet verfügbaren Websites durchleuchtet und Versuche unternommen, sich dort einzuloggen.

Woran erkenne ich, ob meine Website angegriffen wird?

Wenn Sie eine Website betreiben, setzen Sie möglicherweise Tracking-Software wie Piwik oder Google Analytics ein. Dort sehen Sie die Statistik der Seitenabrufe: Welche Seite wird wie oft abgerufen? Aus welchen Ländern kommen die Nutzer? Neben den Seiten mit Ihren Inhalten gibt es üblicherweise auch Seiten, die der Pflege Ihrer Website dienen, z.B. die Seite, die Sie nutzen, um sich einzuloggen und Ihre Seiten zu aktualisieren. Es wäre nicht überraschend, wenn solche Seiten aufgerufen werden, ein nicht erfolgreicher Login ausprobiert wurde und sich dieses Muster oft wiederholt.

Wenn das über die Analytics Tools nicht zu sehen ist, können Sie auch die Logfiles Ihrer Webseite prüfen, in denen viel mehr protokolliert wird. Fragen Sie im Zweifelsfall bei Ihrem Webdienstleister (Webserver-Hoster, Web-Agentur, o.ä.) nach.

Sich um die Sicherheit der eigenen Website zu kümmern, sollte übrigens nicht nur zum eigenen Schutz erfolgen, sondern auch aus der rechtlichen Pflicht (z.B. im Zusammenhang mit der Datenschutzgrundverordnung §32). Das Grundprinzip ist, die Website immer auf dem Stand der Technik zu halten. Was genau der Stand der Technik bedeutet, können Sie › hier nachlesen. In der Praxis stellt sich die Frage: Was muss ich selbst machen? Was regelt mein Dienstleister (z.B. Hosting-Dienste Ihrer Website)? Unabhängig davon sind am Ende immer Sie verantwortlich als Betreiber der Website.

Das können Sie tun, um die Sicherheit Ihrer Website zu garantieren:

  • Achten Sie darauf, regelmäßig Updates auszuführen, oder ausführen zu lassen.
  • Legen Sie regelmäßig Backups der Website inklusive der Datenbanken an.
  • Stellen Sie sicher, dass die Übertragung zu Ihrer Website verschlüsselt ist. Dies erkennen Sie am Kürzel „https“ (Hypertext Transfer Protocol Secure) vor der Adresse Ihrer Website (https://). Oft ist dies im Service des Hosting-Dienstleisters enthalten und sollte keine oder geringe zusätzliche Kosten für Sie bedeuten. Auf Seiten wie z.B. SSL-Check können Sie Ihre Website dazu testen.
  • Schützen Sie den Zugang zum Pflegebereich Ihrer Website durch sichere Passwörter, 2-Faktor-Authentifizierung und eine klare Regelung, wer welchen Zugriff erhält.

Zurück zur Übersicht

Sichere Passwörter

Passwörter sind die Schlüssel zu Ihren persönlichen Daten. Die Folgen unerlaubter Zugriffe reichen von Diebstahl der privaten wie geschäftlichen Geheimnisse, über Missbrauch von Kunden- und Kundinnendaten wie z.B. Zahlungsinformationen bis hin zur Beschädigung von Systemen. Sie wollen wissen, ob Ihre Daten bereits einmal in fremde Hände geraten sind? Mit dem Identity Leak Checker des Hasso-Plattner-Instituts oder unter haveibeenpwned können Sie anhand Ihrer E-Mail-Adresse prüfen, ob Ihre persönlichen Identitätsdaten bereits im Internet veröffentlicht wurden. Per Datenabgleich wird kontrolliert, ob Ihre E-Mail-Adresse in Verbindung mit anderen persönlichen Daten (z.B. Telefonnummer, Geburtsdatum oder Adresse) im Internet offengelegt wurde und missbraucht werden könnte. Wenn Ihre E-Mail-Adresse dort gefunden wird, sollten Sie die Passwörter bei den betreffenden Websites ändern.

Wie sieht ein sicheres Passwort aus?

Ein sicheres Passwort ist gar nicht schwer zu erstellen. In manchen Fällen wird bei der Erstellung eines Passwortes im Internet sogar ein sicherer Vorschlag gemacht.

Nach diesen Regeln erstellen Sie ein sicheres Passwort

  • Verwenden Sie eine Mischung aus Klein- und Großbuchstaben, Zahlen und Sonderzeichen.
  • Verwenden Sie mehr als 8 Zeichen.Keine Passwörter mit persönlichem Bezug (Namen, Geburtsdaten, etc.).
  • Keine Wiederholungs- oder Tastaturmuster („12345“, „qwertzui“).
  • Nutzen Sie bei mehreren Passwörtern keine Schemata („101010A“, „101010B“).
  • Für jede Website, jedes Programm ein eigenes Passwort wählen.
  • Speichern Sie die Passwörter nicht unverschlüsselt auf Ihrem PC.

Wissen Sie, wie lange braucht ein Hacker oder eine Hackerin, um folgende Passwörter zu knacken?

ihkMünchen25 Sekunden
ihkMünchen14 Minuten
ihkMünchen1!17 Stunden
ihkMünchen1!!!5 Jahre
Ih3K+1H.WlieHidS!Jahrhunderte

Nicht den Überblick verlieren: Wie speichere ich meine Passwörter?

Für jede Website ein eigenes Passwort? Das ist sehr zu empfehlen!

Allerdings zugegeben: Das wird schnell unübersichtlich und so viele Eselsbrücken kann man gar nicht bauen. Der Ausweg: ein Passwortmanager!

Das sind digitale Passwortsafes, die auch sehr gute Passwörter erzeugen und abspeichern. Man kann zwischen einem eigenständigen Passwort-Manager-Programm und einem Browser-integrierten Passwort-Manager unterscheiden. Die sicherste Variante ist der eigenständige Passwort-Manager. Hier werden alle Passwörter gespeichert. Sobald ein Online-Dienst genutzt wird und Zugangsdaten erforderlich werden, meldet sich dieses Programm automatisch. Über ein zentrales Masterpasswort wird dann die Eintragung der passenden Informationen erledigt.

Anbieter von Passwortmanagern finden Sie zum Beispiel hier:

Weitere Informationen zum Thema Passwortmanager finden Sie unter BSI - Passwortmanager.

Darüber hinaus ist es empfehlenswert, wo immer möglich, eine Zwei-Faktor-Authentisierung einzurichten.

Zurück zur Übersicht

Zwei-Faktor-Authentisierung (2FA)

Vom Onlinebanking kennen Sie vermutlich die Zwei-Faktor-Authentisierung: Für einen Login müssen Sie etwas wissen und etwas haben.

Wissen“ ist zumeist ein Nutzername und ein Passwort. „Haben“ ist ein Gerät (oft das Handy), an das ein zusätzlicher Code geschickt wird. Dieser Code gilt nur für kurze Zeit und muss zusätzlich zum „Wissen“ eingegeben werden. Genau das Gleiche können Sie für andere Logins einstellen: z.B. für den Login zur Pflege Ihrer Website oder Ihrer Social-Media Präsenz. Das ist zwar etwas aufwändiger, aber sich nur auf Nutzername und Passwort zu verlassen, ist leider viel riskanter.

Weitere Informationen hierzu finden Sie unter bsi.bund.de.

Zurück zur Übersicht

Updates richtig durchführen

Leider ist keine Software perfekt. Daher stellen die Software-Hersteller immer wieder neue Software zur Verfügung. Entweder als Gesamtpaket ("Update") oder als Teilpaket ("Patches").
Als Anwenderin oder Anwender kann es sein, dass solche Aktualisierungsaufforderungen recht häufig auftreten. Unmittelbar beobachten können Sie das z. B. auf Ihrem Smartphone, wo manche App immer wieder eine neue Version bekommt.
Verdächtig ist hier eher, wenn einige Wochen keine Update zu erkennen ist.

Prüfen Sie bitte Ihre Smartphones, Tablets, Rechner, Router etc., ob diese auf dem aktuellen Stand sind.
Das gilt übrigens auch für Betriebssysteme: Über 3 Millionen Rechner in Deutschland werden noch mit veralteten und unsicheren Windows-Versionen (insbes. Windows 7) betrieben, was tickende Zeitbomben sind.

Worauf muss ich bei Updates achten?

Im einfachsten Fall erfolgt die Aktualisierung der Software im Hintergrund automatisch ohne Ihr zutun. Das ist bequem und klappt in den meisten Fällen auch problemlos. Wenn das mit einem Backup verbunden ist, kann notfalls auch der alte Zustand wieder hergestellt werden.
Allerdings: Wenn Sie sicherer sein wollen, müssen Sie das genauer im Auge behalten. Updates können andere Fehler enthalten, Features ändern, Prozesse umstellen...
D. h. Sie sollten für sich besonders wichtige Software identifizieren und diese auch besonders wichtig behandeln. Also z. B. in einer Testumgebung Änderungen prüfen und erst dann allgemein einsetzen, wenn der Test ok ist.

Zurück zur Übersicht

Daten sichern - So gehen Sie vor

Die sichere Speicherung von Daten ist zum einen für Ihre eigenen Betriebsabläufe wichtig und zum anderen auch rechtlich notwendig. Vorschriften wie die Datenschutzgrundverordnung oder die Pflicht, Daten langfristig zu archivieren (Beispiel Aufbewahrungsfristen für Steuerunterlagen) machen es nötig, sich zu überlegen, wie man Daten aufbewahrt.

Daten können aus unterschiedlichsten Gründen verloren gehen: Vom Absturz bis zur Zerstörung des Rechners reicht die Bandbreite.

Wenn Sie Ihren PC rechtzeitig und regelmäßig sichern, ist eine Schadensbegrenzung viel leichter möglich. Im IHK-Merkblatt "Datensicherung" erfahren Sie, wie sie dabei vorgehen und worauf Sie achten sollten.

Zum IHK-Merkblatt "Datensicherung"

Zurück zur Übersicht

Diese drei Faktoren entscheiden über eine sichere Ablage:

  • Verfügbarkeit: Sie müssen jederzeit Zugriff auf Ihre Daten haben. Dies beginnt mit der Frage, wo und wie man seine Dateien am besten ablegt.
  • Speicherort: Sie haben die Möglichkeit, Ihre Daten lokal auf der Festplatte Ihres Rechners, auf einem Netzwerkspeicher oder online in einer Cloud abzulegen. Wichtig ist, dass die Speicherkapazität großzügig zur Verfügung steht und zuverlässig Backups gemacht werden.
  • Vertraulichkeit: Trennen Sie Wichtiges wie kundenbezogene Dokumente (z.B. Rechnungen und Angebote) von eher weniger wichtigem (z.B. externe Informationsmaterialien), um den Überblick nicht zu verlieren. Überlegen Sie sich, wer auf welche Daten zugreifen darf - insbesondere auch für Geräte, die sie vielleicht nicht alleine nutzen.
  • Integrität: Ihre Daten müssen vor (zufälliger oder absichtlicher) Manipulation oder technischen Defekten geschützt werden. Eine Verfälschung von Daten kann unberechenbare Folgen haben. Eine Veränderung von Kontoverbindungsdaten würde zum Beispiel dazu führen, dass Zahlungen nicht erhalten oder an den falschen Empfänger versandt werden.

Speicherung - Lokal oder in der Cloud?
Die Sicherung in der Cloud setzt schnelles und zuverlässiges Internet voraus, sowie einen sehr gut ausgewählten Cloud-Dienstleister mit transparentem Kostenmodell. Wenn diese Voraussetzungen gegeben sind, ist die Cloudsicherung sinnvoller als die lokale Sicherung, oder eine doppelte Sicherung.

Vorteile einer Cloud-Speicherung:

  • Datensicherheit: Cloudbetreiber verfügen über breites IT-Sicherheits-Know-how.
  • Kosten: Sie sparen wertvolle Zeit, jemand anderes kümmert sich um die Sicherung Ihrer Daten.
  • Ortsunabhängigkeit: Sie können von Überall und jedem Gerät auf Ihre Daten zugreifen.
  • Skalierbarkeit: Cloudlösungen können mit steigendem Speicherbedarf einfach mitwachsen.

Dateien sicher mit anderen austauschen

Ob Rechnungsversand, Meldungen an den Steuerberater oder Kommunikation mit den Behörden - wir kommen heute häufig nicht mehr am Austausch von digitalen Daten vorbei. Viele Informationen sind sensitiv und dürfen nicht in falsche Hände geraten. Sie müssen sich also Gedanken darüber machen, auf welchem Weg, in welchem Format und mit welchem Schutz Sie Ihre Informationen mit Anderen teilen.

Austausch von verschlüsselten Dateien:
Über Verschlüsselungen kann der E-Mail-Verkehr oder die dabei versendeten Daten geschützt werden. Wenn Sie eine Datei mit einem sicheren Passwort verschlüsseln, kann sie nur mit diesem und dem passenden Verschlüsselungsprogramm wieder "entziffert" werden. Gut verschlüsselt werden können zum Beispiel pdf oder zip Dateien.
Die Verschlüsselung des E-Mail-Verkehrs setzt Verfahren ein, die nicht so leicht zugänglich sind und es wird mitunter vorausgesetzt, dass sich die Kommunikationspartner und Kommunikationspartnerinnen genauer absprechen (z. B. Austausch von kryptographischen Schlüsseln).

Informationen über sichere Wege weitergeben:
Sie nutzen eine Datenaustauschplattform. Die von Ihnen abgelegten Dateien können Sie für ausgewählte Nutzer und Nutzerinnen freischalten (dies erfolgt meist über das Hinzufügen von Berechtigten). Ein zusätzlicher Passwortschutz einzelner Dateien ist darüber hinaus häufig möglich. Für den Austausch mit Behörden benötigt man meist ein spezielles Zertifikat (z.B. Elster).

Zurück zur Übersicht

Die eigenen Rechner schützen: Viren & Co. auf meinem Rechner?

Neben dem Backup des Rechners sollte geprüft werden, wie man seine IT noch besser schützen kann. Tests der verschiedenen Anbieter zu Antiviren-Software dazu finden Sie z. B. unter folgenden Links:

Hinweis: Das Bundesamt für Sicherheit in der Informationstechnik warnt vor dem Einsatz von Kaspersky Produkten.

Was ist das eigentlich "Schadsoftware"?

Schon 1971 gab es mit "Creeper" den ersten Computerwurm. 2000 befiel der "I love you-Virus" Millionen von Rechner. 2017 war dann der "Wannacry Virus" einer der ersten Verschlüsselungs-Schadprogramme.
Aktuell ist besonders "Emotet" eine echte Gefahr: Denn Emotet verbreitet sich selbstständig an Kontakte von Nutzern infizierter Systeme mithilfe sehr authentisch wirkender E-Mails. Mehr dazu beim Bundesamt für Sicherheit in der Informationstechnik.

Schadsoftware, auf englisch "Malware", ist also schon lange ein Thema und leider nach wie vor ein Ärgernis.
Um schädliche Software auf Computern etwas greifbarer zu beschreiben, zieht man Vergleiche aus dem Tierreich oder der Geschichte: So kommt es zu Namensgebungen wie Viren, Würmern oder Trojanern.
Dabei handelt es sich immer Software-Programme, die versuchen, sich zu verbreiten und zu reproduzieren. Je nachdem, wie diese Software das macht, kann man sie in unterschiedliche Kategorien einordnen:

  • Viren benötigen ein "Wirtsprogramm", so wie die biologischen Viren. Das sind Dateien oder andere Software, in die sich der digitale Virus einnistet. Die Verbreitung erfolgt über das Kopieren der Wirtsdatei, z. B. über Mail oder Downloads auf Websites.
  • Trojanische Pferde hingegen kommen sozusagen Huckepack mit "normaler" Software auf einen Rechner und wirken oft unbemerkt im Hintergrund.
  • Digitale Würmer dagegen sind selbst aktiv und versuchen Schwachstellen zu finden und diese auszunutzen. Ein Wurm speichert sich dann selbst irgendwo unauffällig ab und klinkt sich ins System ein (z. B. beim Start von Windows).
  • Darüber hinaus gibt es noch weitere "Schädlingskategorien", die Namen tragen wie Rootkit, Spyware, Ransomware...

Computervirus im Detail

Wie sieht so ein Virus aus?

Das EICAR (European Institute for Computer Anti-Virus Research e.V.) stellt ein ungefährliches Testvirus zur Verfügung.
Das ist eine ganz normale Textdatei, deren Inhalt aber Software-Code enthält.
So sieht das Testvirus aus:
X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*

Wenn man nun diese Textdatei als Programm ausführt, wird der darin enthaltene Code ausgeführt. Sie können auf o. g. Website auf den Link zum Download der Datei klicken: Das sollte von Ihrem Antivirenprogramm unterbunden werden!

Denn das Antivirenprogramm schaut in die Textdatei hinein und vergleicht die Zeichen darin mit einer eigenen Datenbank (der so genannten Signaturdatenbank).
Wenn das Antivirenprogramm etwas findet, gibt es Alarm und blockiert die Ausführung. Das bedeutet auch: Bitte sorgen Sie dafür, dass Sie ein Antivirenprogramm einsetzen und dessen Signaturdatenbank ständig aktuell ist.

Monatlich beobachtet das BSI um die 15 Millionen neue Varianten von Schadprogrammen. Das liegt auch daran, dass Angreifer einfach die Zeichenfolge in den Virendateien leicht variieren, um an den Antivirenprogrammen vorbeizukommen.

Wie fängt man sich diese Viren & Co ein?

Ziel eines Schadsoftware-Angriffes ist es, eine Datei auf Ihren Rechner zu bekommen und diese mit möglichst umfangreichen Berechtigungen auszuführen.

Der Weg auf den Rechner: Ein klassischer Weg ist es, Schadsoftware per Mail zugeschickt zu bekommen. Wenn Sie eine Mail mit sehr auf Sie zugeschnittenen persönlichen Informationen bekommen, ist die Wahrscheinlichkeit, dass sie auf eine Datei im Anhang klicken leider hoch.
Andere Wege sind auf dem Rücken von (ggf. dubiosen) Downloads aus dem Internet.
Also: Schauen Sie genau hin! Lassen Sie nur vertrauenswürdige Dateien auf Ihren Rechner!
Machen sie einen Phishing-Test: Erkennen Sie die gefährlichen Mails?

Zurück zur Übersicht

Selbstcheck: Testen Sie mit wenigen Clicks Ihre IT auf Sicherheitsprobleme

Zwei von drei Unternehmen in Deutschland verzeichnen Cyberangriffe auf Ihre IT. Die Angriffsszenarien reichen von Spam bis hin zu gezielten Angriffen auf die Produktion. Testen Sie mit wenigen Clicks, ob Ihre Systeme infiziert sind.

IT-Sicherheitsvorfall - Und jetzt?

Es ist passiert - Schadsoftware hat alle Abwehrhürden genommen und wurde ausgeführt!

Nun liegt es ganz an der Schadsoftware: Das reicht von "ich warte, bis weitere Kommandos kommen" über "verschlüssele alles und schreibe Erpresserbrief" bis zu "zerstöre alles Greifbare". Besonderes das letztgenannte Szenario ist im Zusammenhang mit dem Ukraine-Krieg häufiger zu beobachten.

Speziell "Randsomware-Angriffen", also die Verschlüsselung der Dateien mit nachfolgender Geldforderung, sind immer wieder erfolgreich. Hierzu hat das BSI diverse Handreichungen für die erste Hilfe und Einschätzung herausgegeben. Hier hilft es auch sehr, wenn man sich schon vorab mit Notfallszenarien und Übungen dazu befasst hat.

Video zu den Erfahrungen bei einem bayerischen Mittelständler im Gesundheitswesen: https://youtu.be/cFw-Zfniw00

Bei einem ungewöhnlichen IT-Sicherheitsvorfall können Sie sich an die Polizei (Zentrale Ansprechstelle Cybercrime für die Wirtschaft – ZAC) oder den Verfassungsschutz (Cyber Allianz Zentrum Bayern) wenden.

Notfallkontakte

LKA: Zentrale Ansprechstelle Cybercrime (ZAC)

Die Staatsanwaltschaft und Polizei ist gemäß der Strafprozessordnung grundsätzlich verpflichtet, bei Verdacht einer Straftat einzuschreiten (Legalitätsprinzip). Die „Zentrale Ansprechstelle Cybercrime (ZAC)“ der Polizei berät Wirtschaftsunternehmen rund um Cybersicherheit.

Nach einem strafrechtlich relevanten Sicherheitsvorfall in Ihrer Organisation können Sie als bayerisches Unternehmen zunächst telefonisch Kontakt mit dem ZAC Kontakt aufnehmen:

Cyber Allianz Zentrum Bayern (CAZ)

Für die Verfassungsschutzbehörden gilt das Opportunitätsprinzip: Dieses überläßt dem Verfassungsschutz die Entscheidung, ob wegen einer Straftat eingeschritten wird. Wenn z. B. ein Erkenntnisgewinn zu erwarten ist, muss der Verfassungsschutz nicht unmittelbar einzugreifen.
Ohne Strafverfolgungszwang hat der Verfassungsschutz Raum für umfassende Analysen und Methodik. Im Gegensatz zur Polizei kann er „flächendeckende“ Strukturerkenntnisse sammeln.
Allerdings ist das Tätigkeitsfeld des Verfassungsschutz auf die Wirtschaftsspionage begrenzt: Damit ist die staatlich gelenkte Ausforschung von Wirtschaftsunternehmen durch fremde Nachrichtendienste gemeint.

Kontakt zum CAZ:

Bundesamt für Verfassungsschutz

Das Bundesamt für Verfassungsschutz (BfV) informiert in seinen Publikationen über die Themen Geheim-, Sabotage-, Wirtschafts- und Spionageschutz. Hier können Sie den aktuellen Verfassungsschutzbericht abrufen.

Kontakt zu den Expertinnen und Experten der Cyberabwehr des Bundesamtes für Verfassungsschutz:

Förderprogramme IT-Sicherheit

Der Bund und der Freistaat Bayern haben Förderprogramme, die bei der Verbesserung der eigenen IT-Sicherheit unterstützen.

Digitalbonus (Bayern)

Der Digitalbonus ermöglicht den Unternehmen, sich durch Hard- und Software zu digitalisieren und die IT-Sicherheit zu verbessern.
Beim Digitalbonus Standard erhalten Sie einen Zuschuss von bis zu 10.000 Euro. Der Fördersatz beträgt bei kleinen Unternehmen bis zu 50 Prozent und bei mittleren Unternehmen bis zu 30 Prozent der förderfähigen Ausgaben.

Zum IHK Ratgeber "Digitalbonus Bayern"



Digital Jetzt (Bund)

Am 07.09.2020 statet das Bundesministerium für Wirtschaft und Energie mit „Digital Jetzt – Investitionsförderung für KMU“ eine Förderung für die Digitalisierung des Mittelstands. Das Programm bietet finanzielle Zuschüsse und soll Firmen dazu anregen, mehr in digitale Technologien sowie in die Qualifizierung ihrer Beschäftigten zu investieren. Insbesondere ein Ziel des Programmes ist "höhere IT-Sicherheit in Unternehmen".
Anträge können mittelständische Unternehmen aus allen Branchen mit 3 bis 499 Beschäftigten einreichen, die entsprechende Digitalisierungsvorhaben planen, zum Beispiel Investitionen in Soft- / Hardware und / oder in die Qualifizierung von Mitarbeitern und Mitarbeiterinnen.
Die maximale Fördersumme beträgt 50.000 Euro pro Unternehmen, bei Investitionen von Wertschöpfungsketten und/oder -netzwerken kann sie bis zu 100.000 Euro pro Unternehmen betragen. Die minimale Fördersumme beträgt 17.000 Euro in Modul 1 und 3.000 Euro in Modul 2.
Der jeweilige Förderzuschuss bemisst sich anteilig an den Investitionskosten des Unternehmens. Die Förderquote (in % der Investitionskosten) ist nach Unternehmensgröße gestaffelt (30 bis 50%).

go-digital (Bund)

Mit seinen drei Modulen „Digitalisierte Geschäftsprozesse“, „Digitale Markterschließung“ und „IT-Sicherheit“ richtet sich go-digital gezielt an kleine und mittlere Unternehmen der gewerblichen Wirtschaft und an das Handwerk.
Hier finden Sie die vom BMWi autorisierten Beratungsunternehmen.
Diese Unternehmen werden gefördert:

  • Aus der gewerblichen Wirtschaft einschließlich des Handwerks mit technologischem Potenzial
  • Beschäftigung von weniger als 100 Mitarbeitern
  • Jahresumsatz oder eine Jahresbilanzsumme des Vorjahres von höchstens 20 Millionen Euro
  • Betriebsstätte oder Niederlassung in Deutschland
  • Förderfähigkeit nach der De-minimis-Verordnung



Staat­li­che Ein­rich­tun­gen & In­itia­ti­ven

Transferstelle IT-Sicherheit in der Wirtschaft

Kleine und mittlere Unternehmen (KMU), Handwerksbetriebe, Selbstständige und Freiberufler stehen in besonderer Weise vor der Herausforderung, aus einer Vielzahl von bestehenden Angeboten die passenden zu finden und umzusetzen. Das Bundesministerium für Wirtschaft und Energie hat daher die Einrichtung einer Transferstelle IT-Sicherheit im Mittelstand beschlossen. Sie schafft ein bundesweites Angebot für kleinere und mittlere Unternehmen, das passgenaue Aktionen für mehr IT-Sicherheit im Betrieb zielgruppengerecht bereitstellt.

www.tisim.de

www.bsi.bund.de bietet zahlreiche Informationen zur IT-Sicherheit.

Mit der 2012 gegründeten Allianz für Cyber-Sicherheit verfolgt das Bundesamt für Sicherheit in der Informationstechnik (BSI) das Ziel, die Widerstandsfähigkeit des Standortes Deutschland gegenüber Cyber-Angriffen zu stärken.

www.bsi-fuer-buerger.de informiert und warnt Bürger, Bürgerinnen und Unternehmen schnell, kompetent und kostenfrei vor Viren, Würmern und Sicherheitslücken in Computeranwendungen. Auf der Website finden Sie außerdem den Newsletter „Sicher • Informiert“ sowie die aktuellsten technischen Warnmeldungen.‎

Das Bundeskriminalamt (BKA) informiert Bürger und Bürgerinnen über aktuelle Gefahren und Schutzmaßnahmen im Internet und im Umgang mit täglichen Gefahren (z.B. Links in E-Mails etc.).

Das vom Bundesministerium für Wirtschaft und Energie geförderte Netzwerk ‎„Mittelstand Digital“‎ hat für kleine und mittlere Unternehmen zahlreiche Publikationen zur IT-Sicherheit veröffentlicht.

Suche nach Dienstleistern zur IT-Sicherheit

Möchten Sie einen Dienstleister beauftragen, sollten Sie Vereinbarungen beispielsweise zur Geheimhaltung treffen. Dafür können Sie Musterverträge der IHK nutzen.

Die folgenden Netzwerk-Einrichtungen unterstützen Sie bei der Suche nach einem passenden Dienstleister und bieten Kontakte in die IT-Sicherheitsbranche.

Bei der Auswahl eines Dienstleisters hilft der DIHK-Katalog IT-Sicherheitskriterien.

IT-Si­cher­heits­bran­che: Netz­wer­ke, Kontakte...

Die Initiative Deutschland sicher im Netz will KMU, Behörden/ Institutionen, Privatnutzer, Privatnutzerinnen sowie Kinder und Jugendliche für die vielfältigen Gefahren im Internet sensibilisieren und informieren. Insbesondere für kleine und mittelständische Unternehmen ist das ‎„IT-Sicherheitspaket Mittelstand“‎ hilfreich.

Das Sicherheitsnetzwerk München ist ein Verbund von Unternehmen und Forschungseinrichtungen der IT- und Cyber-Sicherheit zielt auf Kooperationen ab.

Im IT-Sicherheitscluster e.V. arbeiten IT-Unternehmen, Unternehmen, die IT-Sicherheitstechnologien nutzen, Hochschulen und weitere Forschungs-/ Weiterbildungseinrichtungen sowie Juristinnen wie Juristen zusammen.

Auf dem Portal www.it-sicherheit.de finden Sie Anbieter, Anbieterinnen und Produkte der IT-Sicherheit. Anwender- und Anwenderinnenberichte zeigen, wie Sicherheit in der Praxis umgesetzt wird.

Das BSI hat gemäß § 3 BSIG die Aufgabe, Betreiber Kritischer Infrastrukturen auf deren Ersuchen bei der Sicherung ihrer Informationstechnik zu beraten und zu unterstützen. Hierzu kann auch auf qualifizierte Sicherheitsdienstleister verwiesen werden.

Mit der Benennung von themenspezifischen Qualitätskriterien und der Identifikation geeigneter Dienstleister möchte das BSI betroffenen Unternehmen eine Hilfestellung bei der Suche und Auswahl geeigneter Dienstleister bieten, um die Unternehmen im Ernstfall von einem eigenen zeitintensiven Rechercheaufwand zu entlasten. Gleichzeitig soll auf diese Weise ein gewisses Qualitätsniveau in der jeweiligen Branche etabliert werden.

Dazu führt das BSI die Liste "Qualifizierte APT-Response Dienstleister". APT steht für "Advanced Persistent Threat", was für gezielte und umfangreiche Angriffe steht.

Aufgabe der Digitalen Ersthelfer und Ersthelferinnen ist es, Betroffene bei der Behebung von kleineren IT-Störungen- und IT-Sicherheitsvorfällen mit Ersthilfe zu unterstützen.

Registrierte Digitaler Ersthelfer und Ersthelferinnen finden Sie hier.

Weitere Infos: So kann man über den "Basiskurs für die Qualifikation als Digitaler Ersthelfer" selbst aktiv werden.

Hilfreiche Leitfäden, Merkblätter und Broschüren