Weltweit nimmt die Cyberkriminalität schon seit Jahren zu, aber ganz besonders seit dem Ausbruch der Corona-Pandemie. Das Nationale Zentrum für Cybersicherheit (NCSC) registrierte dreimal mehr Cyberattacken in der Schweiz als vor der Krise. Denn je mehr Geräte über das Internet verknüpft sind und Betriebsabläufe digitalisiert werden, desto mehr Gelegenheit bekommen Hacker, ihr Unwesen zu treiben. Dabei ist das Erpressen von Unternehmen besonders lukrativ – und wegen ungenügender Abwehrmassnahmen haben Hacker oft leichtes Spiel.

Wie laufen Cyberattacken ab? 

Die Trickkiste der Cyberkriminellen ist riesig. So nützen Sie zum Beispiel eine der vielen Schwachstellen in der IT-Infrastruktur aus. Besonders gefährdet sind Webdienste wie Online-Shops oder die Verbindung zwischen dem internen Firmennetzwerk und dem Internet. Noch häufiger aber versuchen sie Mitarbeitende mit betrügerischen E-Mails zum falschen Klick zu verleiten und sich so Zugang zum Firmennetzwerk zu verschaffen. Häufig lassen Firmen auch einzelne Zugänge zu ihren Systemen (sog. Ports) unbedacht offen, damit Mitarbeitende auf die Infrastruktur zugreifen können. Kriminelle suchen systematisch das Netz nach offenen Ports ab und haben dann leichtes Spiel.  

Zwei typische Beispiele:

• Hacker greifen über ein Fernwartungstool das System einer Architekturfirma an und verschlüsseln das aktuelle Backup mit einem Krypto-Trojaner. Arbeit und Daten mehrerer Wochen sind weg. 
• Der Mitarbeiter einer Schreinerei öffnet ein Mail, das vermeintlich von einem Lieferanten stammt. Er klickt auf das angehängte Dokument, eine Schadsoftware installiert sich und plötzlich steht das ganze Unternehmen still. Auch hier gehen Arbeit und Daten verloren.  

Cybergefahr unbedingt ernst nehmen 

«Cybersicherheit ist Chefsache», sagt Patric Deflorin, Mitglied der Geschäftsleitung und Leiter Versicherungen der Mobiliar. Er kennt die Schadenzahlen und -fälle aus der Cyberschutz-Versicherung der Mobiliar und weiss, dass gerade KMU immer beliebtere Ziele von Hackern sind. Eine Cyberschutz-Versicherung mindert zwar die Folgen einer Cyberattacke. Trotzdem ist es gerade im Hinblick auf Daten- und Imageverluste für jedes Unternehmen wichtig, sich als permanente, prioritäre Aufgabe um Cyberschutz zu kümmern.

10 Massnahmen, um den Cyberschutz Ihres Unternehmens zu erhöhen 

1. E-Mail und Internet: Sensibilisieren Sie Ihre Mitarbeitenden für den richtigen Umgang mit Internet und E-Mails. Die gängigen Hacker-Methoden sollten bekannt sein: zum Beispiel CEO-Fraud (Mail des Chefs mit der Aufforderung, einen Geldbetrag zu überweisen wird simuliert) und Pishing (Mail mit Link auf eine Website, auf der sensible Daten abgefragt werden). Ausserdem müssen die E-Mail-Adresse des Absenders kritisch geprüft und im Verdachtsfall mit einer Meldung an die IT-Verantwortlichen und/oder an die Meldestelle des Bundes reagiert werden. 
2. Vorgaben: Regeln Sie klar, was Mitarbeitende beim Internetgebrauch auf Geräten des Unternehmens oder mit privaten Geräten, die für die Firma verwendet werden, dürfen und nicht dürfen.  
3. Passwortmanagement: Achten Sie darauf, dass Sie und Ihre Mitarbeitenden sichere Passwörter verwenden, ihre Zugangsdaten geschützt aufbewahren und Passwörter regelmässig ändern. 
4. Backup: Die Daten des Unternehmens sollten mindestens einmal pro Woche in einem Backup gesichert werden. Die Backups müssen an einem externen Ort und vom System getrennt aufbewahrt werden. Testen Sie regelmässig, ob Sie die Daten zurückspeichern können, damit im Notfall alles richtig funktioniert. Bestimmen Sie jemanden, der dafür verantwortlich ist. Denken Sie auch an die Stellvertretung. 
5. Redundanz: Speichern Sie alle Daten redundant, das heisst doppelt. Die beiden Speicherserver sollten nicht im selben Raum stehen, besser noch: an einem anderen Ort als die restliche IT-Infrastruktur. 
6. Homeoffice: Falls Mitarbeitende auch von daheim arbeiten, muss das Unternehmen eine aktuelle, sichere VPN-Lösung – VPN steht für virtuelles privates Netzwerk – zur Verfügung stellen. Damit wird ein digitaler Tunnel vom Homeoffice direkt ins Unternehmens-Netzwerk aufgebaut. Wichtig ist, dass auch die Anmeldung ans Netzwerk sicher ist, zum Beispiel mit der 2-Faktor-Authentifizierung: Benutzername, Passwort plus zusätzlich generierter Code, der an das Handy des Mitarbeitenden gesandt wird. 
7. Automatisierte Abwehr: Alle Computer im Unternehmen wie auch die privaten Geräte, mit denen Mitarbeitende auf das Firmennetzwerk zugreifen, sollten mit regelmässig aktualisierter Schutzsoftware ausgerüstet sein, die Schadprogramme erkennt und automatisch eliminiert. Wählen Sie einen Mail-Dienstleister aus, der selber schon eine hohe Sicherheit bietet, indem er bereits einen grossen Teil von Schadmails aussortiert.  
8. Updates: Die im Unternehmen eingesetzte Software sollte immer auf dem neusten Stand sein. 
9. Selektiver Zugriff: Geben Sie nur denjenigen Mitarbeitenden Zugriff auf ein System, die damit arbeiten.  
10. Zoom & Co.: Konferenz-Tools sind sehr nützlich, aber nicht alle sind gleich sicher. Für geschäftliche Online-Meetings sollten nur Plattformen eingesetzt werden, die von IT-Experten des Unternehmens als sicher bewertet wurden.  

Wenn Sie diese Massnahmen konsequent umsetzen, reduzieren Sie die Wahrscheinlichkeit einer Cyberattacke erheblich.