Der größ­te Feh­ler ist zu glau­ben, man sei kein Ziel. Vie­le KMU in Ber­lin wie­gen sich in fal­scher Sicher­heit (“Bei uns ist nichts zu holen”). Doch Angrei­fer agie­ren oft auto­ma­ti­siert und suchen gezielt nach unge­schütz­ten Sys­te­men, unab­hän­gig von der Unter­neh­mens­grö­ße. Ein wei­te­rer Feh­ler ist, Cyber­si­cher­heit als rei­nes IT-The­ma zu betrach­ten. Es ist ein stra­te­gi­sches Geschäfts­ri­si­ko, das auf Manage­ment-Ebe­ne ver­stan­den und gesteu­ert wer­den muss.

Der “Fak­tor Mensch” ist oft das schwächs­te Glied in der Sicher­heits­ket­te. Tech­no­lo­gien kön­nen noch so gut sein – wenn ein Mit­ar­bei­ter auf einen Phis­hing-Link klickt und sein Pass­wort preis­gibt, sind vie­le Schutz­maß­nah­men aus­ge­he­belt. Des­halb ist ein inte­gra­ler Bestand­teil jeder Cyber­si­cher­heits-Stra­te­gie die regel­mä­ßi­ge Schu­lung und Sen­si­bi­li­sie­rung der Mit­ar­bei­ter (Secu­ri­ty Awa­re­ness Trai­nings), um sie zu einer mensch­li­chen Fire­wall zu machen.

Ein effek­ti­ver Schutz vor Ran­som­wa­re ist immer mehr­schich­tig. Tech­nisch gehö­ren dazu eine moder­ne End­point-Secu­ri­ty-Lösung (EDR), eine gut kon­fi­gu­rier­te Fire­wall und E‑Mail-Sicher­heits­fil­ter. Orga­ni­sa­to­risch sind regel­mä­ßi­ge Mit­ar­bei­ter­schu­lun­gen ent­schei­dend. Die wich­tigs­te Ver­tei­di­gungs­li­nie ist jedoch ein exzel­len­tes Back­up-Kon­zept: Sie benö­ti­gen unver­än­der­li­che, off­line ver­füg­ba­re Back­ups Ihrer kri­ti­schen Daten, die regel­mä­ßig auf ihre Wie­der­her­stell­bar­keit getes­tet wer­den. Nur so kön­nen Sie im Ernst­fall auf die For­de­run­gen der Erpres­ser nicht ein­ge­hen und Ihre Sys­te­me selbst wie­der­her­stel­len.