Im Webinar hat Bernhard Degen, Geschäftsführer der Degen Technology GmbH aus Cloppenburg, einen umfassenden Überblick zum Thema Cybersicherheit in Unternehmen gegeben. Sein Ziel: Teilnehmenden ein grundlegendes Verständnis vermitteln, worauf sie achten müssen, welche gesetzliche Pflicht sie haben und wie sie praxisnah ihre IT-Sicherheit erhöhen können. Nachfolgend die wichtigsten Punkte:

1. Bedeutung und gesetzliche Verpflichtungen

• Nicht freiwillig, sondern Pflicht: Cybersicherheit ist in Deutschland rechtlich verankert, u. a. durch DSGVO, Bundesdatenschutzgesetz und branchenspezifische Vorgaben (z. B. für Steuerberater, Anwälte, Ärzt:innen).
• NIS2 und andere Vorschriften: Gerade größere Unternehmen oder Betreiber kritischer Infrastrukturen unterliegen zusätzlichen Pflichten. Doch auch kleine und mittlere Unternehmen spüren zunehmend die Anforderungen über Lieferketten und Auftragsverhältnisse mit größeren Konzernen.

2. Aktuelle Lage der Cybersicherheit

• Zunahme von Angriffen: Laut BSI und eigener Erfahrung von Degen Technology steigt die Zahl und Komplexität der Cyberangriffe stetig – durch zunehmende Professionalisierung und den Einsatz Künstlicher Intelligenz.
• Neue Formen von Bedrohungen: Hacker agieren wie professionelle Unternehmen: Sie teilen sich in spezialisierte Teams auf, setzen auf Erpressung und nutzen ausgeklügelte Tools und Infrastrukturen.

3. Mensch als beste Firewall – Schulungen und Awareness

• Mitarbeiterschulungen: Der wichtigste Sicherheitsfaktor im Unternehmen ist und bleibt der Mensch. Phishing-Tests und regelmäßige Kurz-Schulungen (z. B. via E-Mail, Online-Trainings) stärken das Bewusstsein.
• Mail Security: Da die meisten Angriffe über E-Mails kommen, empfiehlt sich ein professioneller Spam- und Phishingschutz. Kombiniert mit Sensibilisierungskampagnen reduziert sich das Risiko erheblich.

4. Technische Maßnahmen – Sechs zentrale Tipps aus der Praxis

1. Updates (Patch-Management)

   • Alle Systeme und Anwendungen (Server, Clients, Netzwerkgeräte, Telefonanlagen etc.) benötigen regelmäßige Updates.
   • Prozess oder Tool für automatisierte Updates einführen und Berichte prüfen.

2. Virenschutz (Endpoint Security)

   • Ein reines Standard-Programm (z. B. kostenloser Windows Defender) reicht für Unternehmen oft nicht aus.
   • Moderne Lösungen bieten URL-Filter, integrierte Firewalls und zentralisiertes Management.

3. Mail Security

   • Eingehende und ausgehende E-Mails filtern und scannen.
   • Zusätzlich auf Schulungen setzen und verdächtige E-Mails konsequent melden.

4. Kennwörter & Passwort-Tresor

   • Für alle Accounts sichere, individuelle Passwörter.
   • Passwort-Manager nutzen, Zwei-Faktor-Authentifizierung (2FA) aktivieren.

5. Berechtigungsmanagement

   • Rechtevergabe so einschränken, dass nur benötigte Daten zugänglich sind („Need-to-know“-Prinzip).
   • Minimiert Folgeschäden, falls Angreifer in einen Teilbereich gelangen.

6. Zwei-Faktor-Authentifizierung

   • Überall, wo möglich, 2FA aktivieren – sei es für E-Mail, Cloud-Anwendungen oder interne Services.

5. Backup-Strategie

• Mehrere Speicherorte: Mindestens zwei physisch oder logisch getrennte Speicherorte (z. B. lokale Sicherung plus Cloud).
• Unveränderbare Backups: Systeme oder Verfahren wählen, die ein nachträgliches Löschen oder Überschreiben verhindern.
• Verschlüsselung: Sicherungskopien unbedingt verschlüsseln, um Datenmissbrauch zu verhindern.
• Regelmäßige Tests: Mindestens einmal jährlich komplette Datenrücksicherung testen.
• Cloud-Dienste einbeziehen: Auch Microsoft 365, Google Workspace & Co. brauchen separate Backups, da der Anbieter keine Datenintegrität garantiert.

6. Cloud-Sicherheit

• Anbieterwahl: Zertifizierungen, Datenschutzstandards und Standorte prüfen.
• Single Sign-On (SSO): Statt vieler Passwörter ermöglichen zentrale Anmeldedienste (z. B. Microsoft 365) mehr Komfort und zusätzliche Sicherheit.
• Zwei-Faktor-Authentifizierung: Auch bei Cloud-Anwendungen nie auf 2FA verzichten.

7. Organisationsfragen und Notfallplanung

• IT-Notfallplan: Dieser definiert klare Handlungsanweisungen:
  1. Wer muss informiert werden? (Geschäftsführung, IT-Dienstleister, Datenschutzbeauftragte, Cyberversicherung, Polizei).
  2. Meldefristen kennen (z. B. bei Datenschutzvorfällen nach DSGVO).
  3. Prozesse und Zuständigkeiten klar regeln, insbesondere Kommunikation im Krisenfall.
  4. Erpressungsszenarien: Zuständige Verhandlungsführer im Vorfeld benennen.
• On-/Offboarding: Besonders das schnelle Deaktivieren von Zugängen beim Ausscheiden von Mitarbeitenden ist oft eine Schwachstelle.
• Logging: Wenn zentrale Protokolle (Logs) gesammelt und ausgewertet werden, lassen sich Angriffe schneller nachvollziehen und Schadensausmaß besser bestimmen.

8. Cyberversicherung

• Sinnvoll, aber an Bedingungen geknüpft: Versicherer verlangen Sicherheitsmaßnahmen (Patch-Management, 2FA, Backup-Konzepte etc.).
• Wahrheitsgemäße Angaben: Nur wer die Anforderungen real erfüllt, erhält im Schadensfall auch Leistungen.

Fazit

Die Cybersicherheitslage ist ernster denn je. Unternehmen sind gesetzlich verpflichtet, Daten zu schützen, wobei neben technischen Lösungen vor allem geschulte Mitarbeitende entscheidend sind. Wer präventiv vorgeht, profitiert von reduzierten Risiken, vermeidet hohe Folgekosten und stärkt das Vertrauen von Kunden und Geschäftspartnern. Ein professionelles Sicherheitskonzept, regelmäßige Audits und ein klarer Notfallplan bilden das Fundament für nachhaltige IT-Sicherheit.

Für weiterführende Unterstützung bietet Degen Technology GmbH Beratungsleistungen an – von Schwachstellenanalysen und IT-Security-Konzepten bis hin zur ISO 27001-Zertifizierungsbegleitung und Notfallplanung. Bei Fragen steht das Team um Bernhard Degen gerne zur Verfügung.