Handlungsempfehlungen IT-Sicherheit

Solider Grundschutz mit kleinem Budget

Wie Unternehmen auch ohne großes IT-Budget einen soliden Grundschutz ihrer IT erreichen können, zeigt der praxisnahe “BSI-Standard 200-1 Managementsysteme für Informationssicherheit (ISMS)” des Bundesamts für Sicherheit in der Informationstechnik (BSI). Der Leitfaden liefert einen kompakten und übersichtlichen Einstieg zum Aufbau eines Informationssicherheitsmanagementsystems (ISMS). Er ist besonders für kleine und mittelständische Unternehmen und Behörden geeignet, die sich zum ersten Mal mit grundlegenden Fragen zur Informationssicherheit befassen wollen.

Das Standardwerk für Informationssicherheit

Das BSI hat eine Übersichtsseite zum IT-Grundschutz erarbeitet. Im Fokus stehen die sogenannten IT-Grundschutz-Bausteine. In diesen Texten wird jeweils ein Thema zu allen relevanten Sicherheitsaspekten beleuchtet. Im ersten Teil der IT-Grundschutz-Bausteine werden mögliche Gefährdungen erläutert, im Anschluss wichtige Sicherheitsanforderungen. Anwender aus Unternehmen und Behörden können mit den praxisnahen Bausteintexten in ihren Institutionen daran arbeiten, das Sicherheitsniveau anzuheben.
Zum kostenfreien “CYBER.sicher-Check” der Transferstelle gelangen Sie hier (Klick).
Einen relativ leicht verständlichen Einstieg in die Thematik "IT-Sicherheit" bietet der Verein "Deutschland sicher im Netz e.V." mit seinem DsiN- Sicherheitscheck.

Wie erhöhe Ich mein IT-Sicherheits-Niveau?

Einen hundertprozentigen Schutz gegen Cyberangriffe gibt es nicht. Allerdings können Sie das Risiko durch die Umsetzung der folgenden Maßnahmen deutlich verringern und die Sicherheit Ihrer IT-Infrastruktur erhöhen (vor einem Angriff):
Technische Maßnahmen:
  • Sicherheitsupdates zeitnah installieren
  • Virenschutzprogramm einsetzen und aktuell halten
  • Verwenden Sie eine Firewall
  • Nutzen Sie für den Zugriff auf das Internet ausschließlich ein Benutzerkonto mit eingeschränkten Rechten
  • Verwenden Sie sichere und komplexe Passwörter, möglichst unter Verwendung einer Zwei-Faktor-Authentifizierung
  • Erstellen Sie regelmäßig Backups, auch Offline und prüfen Sie die Verfügbarkeit und Rückspielbarkeit
Sensibilisierung der Mitarbeiter
  • IT-Sicherheitsvorschriften aufstellen, vermitteln und die Einhaltung prüfen
  • Seien Sie zurückhaltend mit der Weitergabe von vertraulichen und persönlichen Informationen.
  • Haben Sie ein gesundes Misstrauen und scheuen Sie sich nicht vor persönlichen Rückfragen, wenn Ihnen etwas ungewöhnlich vorkommt.
  • Überprüfen Sie E-Mails auf die richtige Absenderadresse sowie die korrekte Schreibweise der E-Mail-Domain.
  • Öffnen Sie keine verdächtigen Mails.
  • Seien Sie misstrauisch bei Links oder Anlagen in E-Mails unbekannter Absender.
Ablauforganisatorische Maßnahmen
  • Wie muss bei einem IT-Sicherheitsvorfall Schritt für Schritt und differenziert nach unterschiedlichen Szenarien vorgegangen werden?
  • Wer hat im Unternehmen welche Verantwortung für die interne Reaktion auf einen Schadensfall?
  • Wer ist die Ansprechstelle für interne und externe Kontakte?
  • Wer sollte innerhalb und außerhalb der Firma unmittelbar verständigt werden?
  • Festlegung treffen zu einer Kommunikationsmöglichkeit bei Kompromittierung oder bei Ausfall der Firmen-IT
  • An welchem Punkt sollten die Strafverfolgungsbehörden informiert werden?

security.txt: Eine kleine Textdatei zum Schutz Ihres Unternehmens

  • Schwachstellen in digitalen Produkten und Diensten werden häufig von externen Sicherheitsforschenden entdeckt. Damit diese Hinweise schnell die richtigen Ansprechpartner im Unternehmen erreichen, empfiehlt das Bundesamt für Sicherheit in der Informationstechnik (BSI) den Einsatz einer security.txt.
  • Die security.txt ist eine standardisierte Textdatei, die Unternehmen auf ihrer Website unter dem festen Pfad https://[ihre-domain]/.well-known/security.txt hinterlegen. Sie enthält Kontaktinformationen für Schwachstellenmeldungen – etwa eine E-Mail-Adresse oder einen Link zu einer Richtlinie für den Umgang mit solchen Meldungen. Das Format folgt dem internationalen Standard RFC 9116 und ist sowohl für Menschen als auch für automatisierte Systeme lesbar.
  • Die security.txt ersetzt keine bestehenden Kommunikationskanäle oder Sicherheitsprozesse, sondern sie ergänzt sie sinnvoll.
  • Pflichtangaben sind lediglich zwei Felder: ein Kontakt und ein Ablaufdatum der Datei. Optional lassen sich weitere Informationen ergänzen, etwa Hinweise auf öffentliche Verschlüsselungsschlüssel für eine vertrauliche Kommunikation. Kostenlose Unterstützung beim Erstellen der Datei bietet der Generator unter securitytxt.org.
  • Die Textdatei hilft auch bei der Umsetzung regulatorischer Entwicklungen: Der Cyber Resilience Act (CRA) stellt ab dem 11. Dezember 2027 verbindliche Anforderungen an die Cybersicherheit vernetzter Produkte. Für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle gelten bereits ab dem 11. September 2026 Meldepflichten für Hersteller vernetzter Produkte. Die security.txt hilft Unternehmen, externe Informationen dazu einfacher zu erhalten.
  • Das BSI empfiehlt die security.txt ausdrücklich und stellt über die Allianz für Cyber-Sicherheit (ACS) einen kompakten Überblick über Zweck, Nutzen und Umsetzung zur Verfügung.

Transferstelle CYBER.sicher im Mittelstand

Die Transferstelle Cybersicherheit im Mittelstand unterstützt Sie kostenfrei bei der Prävention, Detektion und Reaktion auf Cyberangriffe. Über Informations- und Qualifikationsformate, zahlreiche Veranstaltungen bundesweit, eine Detektions- und Reaktionsplattform für Cyberangriffe und ein breites Netzwerk an Partnern will die Transferstelle das Cybersicherheitsniveau im Mittelstand erhöhen und den deutschen Mittelstand so resilienter machen. Weitere Informationen finden Sie unter: Projekt Transferstelle Cybersicherheit · CYBERsicher (transferstelle-cybersicherheit.de)

Quelle: Vgl. Cybercrime - Handlungsempfehlungen für die Wirtschaft, BKA, Stand 2019