Drei Personen prüfen im Besprechungsraum die Sicherheitslage eines Unternehmens

Ihr KMU hat einen IT-Partner, aber wissen Sie, wie sicher Ihr Unternehmen wirklich ist?

Backup, Zugänge, Bankverbindungen: Im Alltag verlässt sich jeder darauf, dass jemand anderes es geprüft hat. Ob das stimmt, zeigt sich meist erst im Ernstfall, wenn ein Klick den Betrieb stilllegt oder eine Zahlung beim Falschen landet. Wo stehen Sie heute?

31 Fragen, rund 10 Minuten. Unabhängig von Herstellern. Kein Ersatz für Ihren IT-Partner. Vertraulich.

Problem

Die meisten KMU erfahren erst im Ernstfall, wie sicher ihr Unternehmen wirklich war.

Montagmorgen, die Buchhaltung meldet: Der Server startet nicht, alle Dateien haben eine fremde Endung. Oder ein langjähriger Lieferant schreibt, seine Bankverbindung habe sich geändert, und die nächste Zahlung über CHF 30'000 geht auf ein fremdes Konto. Oder ein Mitarbeiter, der vor einem halben Jahr gegangen ist, kann sich immer noch ins Firmenpostfach einloggen. In kleineren Unternehmen ist es selten ein raffinierter Angriff. Es ist fast immer eine Lücke, von der alle dachten, jemand anderes kümmere sich darum.

Bis dahin fühlt sich alles sicher an, weil nichts passiert. Und wenn es passiert, steht der Betrieb tagelang still, Kunden warten, und die Frage, wer dafür verantwortlich war, hat niemand je beantwortet.

Hypothese

Naheliegend ist: «Dafür haben wir unseren IT-Partner.»

Das klingt vernünftig, und lange scheint es auch zu stimmen. Es gibt Virenschutz, eine Firewall und jede Nacht ein Backup. Der IT-Partner schickt einmal im Jahr eine Rechnung für Wartung, und solange die Bildschirme laufen, scheint alles in Ordnung.

Wenn etwas fehlt, kauft man ein weiteres Werkzeug: einen besseren Spamfilter, eine teurere Firewall, vielleicht eine Cyberversicherung. Sicherheit gilt als technisches Thema, das man an Fachleute abgibt. Die Frage, ob all das im Ernstfall wirklich trägt, stellt sich dabei kaum jemand, weil niemand sie stellen muss.

Anti-These

Tatsächlich fehlt selten Technik. Es fehlen Prüfung und Verantwortung.

Die meisten Vorfälle in KMU entstehen nicht, weil ein Werkzeug fehlt, sondern aus ungeprüften Annahmen. Ein Backup, das jede Nacht läuft, aber nie zurückgespielt wurde, und im Ernstfall stellt sich heraus, dass die Buchhaltung gar nicht dabei war. Ein ehemaliger Mitarbeiter, der noch Zugang hat, weil niemand eine Liste führt. Eine Bankverbindung, die per E-Mail geändert wurde, weil es keine Regel für Rückfragen gibt.

Ihr IT-Partner setzt um, was vereinbart ist, und meistens macht er das gut. Ob das Vereinbarte genügt, prüft aber niemand. Und welche Risiken Ihr Unternehmen tragen will, kann nur die Geschäftsleitung entscheiden, nicht die Technik.

Diagnose

Drei Fragen, die zeigen, wo Sie stehen.

Können Sie eine dieser Fragen nicht sicher beantworten, lohnen sich die zehn Minuten für den Check. Aus einem diffusen Gefühl wird ein schriftliches Bild, wo Ihr Unternehmen heute steht.

«Wann wurde Ihr Backup zuletzt vollständig zurückgespielt?»

Wenn Sie es nicht wissen, ist Ihr Backup eine Annahme.

«Wer hat heute Zugang zu Ihren Systemen, auch von aussen?»

Wenn niemand eine Liste hat, sind alte Türen offen.

«Was passiert, wenn ein Lieferant per E-Mail eine neue Bankverbindung schickt?»

Wenn sie einfach geändert wird, entscheidet der Zufall über Ihr Geld.

Mechanismus

Wie wir arbeiten: prüfen, priorisieren, nachprüfen.

Wir verkaufen keine Hard- oder Software und sind an keinen Hersteller gebunden. Deshalb haben wir kein Interesse daran, Ihnen ein weiteres Werkzeug anzubieten. Unsere Arbeit ist dann gut, wenn Sie wissen, wo Sie stehen, Ihr IT-Partner weiss, was zu tun ist, und beides schriftlich festgehalten ist.

Prüfen

Wir schauen Ihr Unternehmen an wie ein Prüfer, nicht wie ein Verkäufer: Konfiguration, Zugänge, Backups, Lieferanten, Abläufe.

Priorisieren

Sie erhalten eine klare Reihenfolge in verständlicher Sprache, getrennt nach dem, was Sie als Führung entscheiden, und dem, was Ihr IT-Partner umsetzt.

Umsetzen lassen

Ihr IT-Partner setzt um. Wir ersetzen ihn nicht, wir geben ihm klare Aufträge.

Nachprüfen

Wir kontrollieren, ob umgesetzt ist, was vereinbart wurde, und halten es so fest, dass Sie es Kunden, Prüfern und Ihrer Versicherung zeigen können.

Beispiele

Wie das im Alltag aussieht

Das Backup lief jede Nacht. Zurückgespielt hatte es nie jemand.

Beispielhafter Fall: ein Maschinenbauer mit 60 Mitarbeitenden. Name und Details sind erfunden, der Ablauf ist typisch.

Der Geschäftsführer war sich sicher: Der IT-Partner sichert jede Nacht alle Daten. Das stimmte auch. Im Check zeigte sich aber, dass seit drei Jahren niemand ein vollständiges Zurückspielen getestet hatte, und dass die Sicherung im selben Netzwerk lag wie die Server. Ein Verschlüsselungstrojaner hätte beides gleichzeitig getroffen.

Im Ergebnisgespräch haben wir das in Geschäftssprache übersetzt: Wie viele Tage steht die Produktion, wenn Auftragsdaten und Zeichnungen weg sind? Die ehrliche Antwort war: mindestens zwei Wochen. Daraus wurde ein klarer Auftrag an den IT-Partner, eine getrennte Sicherung und ein Wiederherstellungstest pro Quartal.

Beim ersten Test fehlte ein Laufwerk mit Konstruktionsdaten in der Sicherung. Gefunden im Test, nicht im Ernstfall. Heute liegt nach jedem Quartal ein kurzer Nachweis vor, den der Geschäftsführer auch seiner Versicherung zeigen kann.

Eine neue Bankverbindung per E-Mail. Fast wären 48'000 Franken weg gewesen.

Beispielhafter Fall: ein Handelsunternehmen mit 25 Mitarbeitenden. Name und Details sind erfunden, der Ablauf ist typisch.

Ein langjähriger Lieferant schrieb, seine Bank habe gewechselt, die nächste Rechnung bitte auf das neue Konto. Absender, Logo und Ton stimmten. Die Buchhaltung hatte die Zahlung schon vorbereitet. Nur weil die Freigabe zufällig beim Inhaber lag und er den Lieferanten kannte, rief er an. Die E-Mail war gefälscht.

Im Check fiel genau diese Lücke auf: Es gab keine Regel, wer Bankänderungen prüft und wie. Alles hing am Bauchgefühl einzelner Personen. Technisch war das Postfach gut geschützt, das Problem lag im Ablauf.

Die Lösung kostete fast nichts: Jede Änderung einer Bankverbindung wird telefonisch über eine bekannte Nummer bestätigt, Zahlungen über einem Betrag brauchen zwei Freigaben. Das Team wurde in einer Stunde geschult. Seitdem wurden zwei weitere gefälschte Anfragen erkannt, beide von Mitarbeitenden, nicht vom Inhaber.

Der ehemalige Mitarbeiter hatte noch Zugang. Sieben Monate lang.

Beispielhafter Fall: ein Treuhandbüro mit 15 Mitarbeitenden. Name und Details sind erfunden, der Ablauf ist typisch.

Auf die Frage, wer heute Zugang zu den Systemen hat, kam im Check eine ehrliche Antwort: Das weiss niemand genau. Eine Liste ergab, dass ein Mitarbeiter, der vor sieben Monaten gegangen war, noch Zugriff auf das Kundenportal und die Cloud-Ablage hatte. Dazu kamen zwei externe Dienstleister mit Administratorrechten, deren Auftrag längst abgeschlossen war.

Passiert war nichts. Aber bei einem Büro, das Steuerdaten von Kunden verwaltet, ist das genau die Lücke, nach der Kunden, Aufsicht und Versicherung fragen. Das Problem war nicht die Technik, sondern dass beim Austritt niemand für die Zugänge zuständig war.

Heute gibt es eine Austrittsliste mit klarer Verantwortung, alle Zugänge sind mit zweitem Faktor gesichert, und einmal im Quartal prüft die Geschäftsleitung eine Übersicht aller Berechtigungen. Das dauert zehn Minuten. Der IT-Partner setzt um, wir prüfen nach, ob es auch so bleibt.

Nächster Schritt

Wenn Sie sich in diesem Bild wiedererkennen, schauen wir es uns gemeinsam an.

Starten Sie mit dem kostenlosen Cyber-Security-Check. Sie erhalten einen persönlichen Bericht mit Ihren wichtigsten Befunden, und wir gehen ihn in 60 Minuten gemeinsam mit Ihnen durch.

Danach haben Sie eine schriftliche Grundlage statt eines Bauchgefühls: welche Punkte in Ihrem Unternehmen zuerst zu klären sind, was ein Vorfall Sie kosten kann, und was Ihr IT-Partner konkret umsetzen kann. Ob Sie danach mit uns arbeiten, ist eine separate Entscheidung.

Senad Džananović

Cyber Security Director

Wahre Cybersicherheitsexzellenz besteht nicht nur darin, die neuesten Technologien einzuführen. Es geht darum, eine Kultur aufzubauen, in der Sicherheit zum selbstverständlichen Bestandteil jeder unternehmerischen Entscheidung wird und Organisationen befähigt, in einer zunehmend digitalen Welt mit Zuversicht zu wachsen.

Wo stehen Sie heute?

Der Cyber-Security-Check

Der Check setzt genau dort an. Ihre Antworten beschreiben Ihren Alltag: Backups, Zugänge, Zahlungen, Notfallplan. Daran sehen wir, wo Ihr Unternehmen heute verwundbar ist.

31 kurze Fragen, rund 10 Minuten. Sie erhalten einen persönlichen Bericht per E-Mail mit Ihren wichtigsten Befunden. Im kostenlosen Ergebnisgespräch ordnen wir Ihre Antworten dann gemeinsam ein.