Modul 9 · 9.3
Deutsch
Ihr eigener Sicherheitscheck und Plan
Modul 9: Regeln und Organisation · Lesezeit: 12 Minuten
Lernziel: Nach dieser Lektion können Sie Ihren eigenen Sicherheitscheck anhand einer festen Liste durchführen und daraus einen Prioritätenplan erstellen.
Kernbegriffe: Basismassnahmen, Nullmessung, Priorisierung (Wahrscheinlichkeit x Auswirkung, schnell und günstig zuerst), Eigentümer und Datum, jährliche Wiederholung
Vom Wissen zum Handeln
Sie haben in diesem Kurs viel gesehen: Passwörter, Phishing, E-Mail und Domain, Geräte, Backups, Rechte, Vorfälle und Regeln. Das Risiko besteht nun darin, dass Sie überall ein bisschen anfangen und nirgends fertig werden. Diese Lektion fasst alles in zwei Dinge zusammen, die Sie selbst erstellen:
- eine Nullmessung: eine ehrliche Momentaufnahme, wie es aktuell um Ihre Sicherheit steht;
- einen Plan: was Sie zuerst tun, wer es tut und wann es fertig ist.
Die Liste unten enthält die Basismassnahmen: die Massnahmen, die die meisten opportunistischen Angriffe abwehren (Lektion 1.1) und die ein Kunde meistens auch verlangt, wenn er Anforderungen an seine Dienstleister stellt (Lektion 9.1). Es ist kein vollständiger Standard wie ISO 27001, und das muss es auch nicht sein. Es ist die Grundlage, die bei einem kleinen Unternehmen den Unterschied macht.
Der Sicherheitscheck: zwanzig Punkte
Beantworten Sie jeden Punkt mit ja, teilweise oder nein. Seien Sie streng: „Ich denke schon" ist „teilweise". Hinter jedem Punkt steht die Lektion, in der Sie es gelernt haben.
Konten und Anmeldung
| Nr. | Punkt | Lektion |
|---|---|---|
| 1 | Es gibt eine Übersicht aller Konten, Geräte, Websites, Domains und Dienstleister, mit jeweils einem Eigentümer pro Bestandteil. Was nicht mehr genutzt wird, ist aufgeräumt. | 1.1, 7.2 |
| 2 | Jeder nutzt einen Passwort-Manager und hat pro Dienst ein einzigartiges, langes Passwort. Es werden keine Passwörter per E-Mail oder Chat geteilt. | 2.1, 2.2 |
| 3 | Zwei-Faktor-Authentifizierung ist aktiviert für E-Mail, Bank, Buchhaltung, Hosting, Registrar und soziale Medien; für Administratoren vorzugsweise eine phishingresistente Form wie ein Passkey oder Sicherheitsschlüssel. | 2.3, 2.4 |
| 4 | Wiederherstellungscodes und Ersatzschlüssel sind sicher aufbewahrt, und Sie wissen, was zu tun ist, wenn ein Telefon verloren geht. | 2.3, 2.4 |
| 5 | Sie haben geprüft, ob geschäftliche Adressen in bekannten Datenpannen vorkommen, und Sie wissen, wie man Sitzungen widerruft und Weiterleitungsregeln kontrolliert. | 1.4, 2.5 |
Menschen und Prozesse
| Nr. | Punkt | Lektion |
|---|---|---|
| 6 | Es gibt ein Zahlungsverfahren: Rückruf unter einer bekannten Nummer bei geänderten Kontonummern und eine zweite Person bei grossen oder abweichenden Zahlungen. | 1.2 |
| 7 | Jeder kann Phishing an der echten Domain eines Links erkennen und weiss, was nach einem Klick zu tun ist. | 3.1 bis 3.5 |
| 8 | Es gibt eine Meldestelle mit Vertretung, Meldungen erfolgen ohne Schuldzuweisung, und es gibt mindestens einige Male pro Jahr eine kurze Auffrischung. | 9.2 |
E-Mail, Website und Domain
| Nr. | Punkt | Lektion |
|---|---|---|
| 9 | Ihre Domain hat SPF, DKIM und DMARC, und DMARC steht mindestens auf p=none mit einem Plan, auf quarantine oder reject zu wechseln. | 4.1 |
| 10 | Ihre Website funktioniert überall über https mit einem gültigen Zertifikat, leitet http weiter, und das CMS mit Plugins wird aktualisiert. HSTS und Sicherheits-Header sind aktiviert oder bewusst abgewogen. | 4.2 |
| 11 | Die Inhaberdaten Ihrer Domain stimmen, die automatische Verlängerung ist aktiviert, der Registrar hat 2FA, es gibt keine verwaisten DNS-Einträge, und DNSSEC ist aktiviert, wo es möglich ist. | 4.3 |
Geräte und Netzwerk
| Nr. | Punkt | Lektion |
|---|---|---|
| 12 | Updates sind automatisch aktiviert für Betriebssysteme, Apps und Plugins; Router, NAS und Drucker werden ebenfalls aktualisiert; es läuft nichts mehr, das keine Updates mehr erhält. | 5.1 |
| 13 | Laptops und Telefone haben eine Bildschirmsperre und Festplattenverschlüsselung, können aus der Ferne gelöscht werden, und niemand arbeitet täglich mit einem Administratorkonto. | 5.2 |
| 14 | Das WLAN nutzt WPA2 oder WPA3, das Standardpasswort des Routers wurde geändert, und Besucher und smarte Geräte befinden sich in einem Gastnetzwerk. | 5.3 |
Backups
| Nr. | Punkt | Lektion |
|---|---|---|
| 15 | Es gibt ein Backup von allem Wichtigen, auch von E-Mail und Clouddiensten, nach dem 3-2-1-Schema. | 6.1 |
| 16 | Mindestens eine Kopie ist offline oder unveränderlich und hat einen eigenen Zugang, der nicht auf den Arbeitsrechnern verwendet wird. | 6.2 |
| 17 | Im vergangenen Jahr wurde ein Wiederherstellungstest durchgeführt, und Sie wissen, wie viel Arbeit Sie verlieren dürfen und wie schnell alles wieder verfügbar sein muss. | 6.3 |
Zugang, Dienstleister und Vorfälle
| Nr. | Punkt | Lektion |
|---|---|---|
| 18 | Jeder hat ein eigenes Konto mit nur den benötigten Rechten, Administratorkonten sind getrennt, und bei Ausscheiden werden alle Zugänge noch am selben Tag entzogen. | 7.1 |
| 19 | Wichtige Dienstleister und Clouddienste wurden bewertet, es gibt Auftragsverarbeitungsverträge, wo nötig, und Dateien werden mit Links mit Ablaufdatum geteilt. | 7.2, 7.3 |
| 20 | Es hängt eine Notfallkarte auf Papier, es gibt ein internes Verzeichnis der Datenpannen, und Sie wissen, wann Sie bei der zuständigen Datenschutzaufsichtsbehörde, der Polizei und, falls zutreffend, dem BSI melden. | 8.1, 8.2, 8.3, 9.1 |
Zählen Sie Ihre Antworten. Viele „nein" sind kein Grund zu erschrecken: Es ist Ihr Startpunkt. Deshalb heisst es Nullmessung.
Einen Teil können Sie automatisch prüfen lassen
Ein paar Punkte können Sie von aussen messen, weil sie öffentliche Daten Ihrer Domain betreffen: Punkt 9 (SPF, DKIM, DMARC), Punkt 10 (https, Zertifikat, HSTS, Header) und Punkt 11 (DNSSEC, Nameserver, Ablaufdatum). In Aufgabe A9.3 tun Sie das in einem Durchgang für Ihre eigene Domain, mit denselben Prüfungen wie in den Aufgaben von Modul 4. Unabhängige Tests wie https://internet.nl und die öffentlichen Prüfungen auf https://www.weboke.ch/domein-gezondheid und https://www.weboke.ch/emailcheck betrachten vergleichbare Punkte.
Achtung: Ein grünes Ergebnis bei diesen Punkten sagt nichts über die anderen siebzehn aus. Ihre Domain kann perfekt eingerichtet sein, während Ihr Postfach ein Passwort aus einer Datenpanne verwendet. Der automatische Check ist ein Teil der Nullmessung, kein Ersatz dafür.
Vom Check zum Plan: Priorisieren
Sie haben jetzt vielleicht acht oder zehn Punkte mit „nein" oder „teilweise". Nicht alles geht gleichzeitig. Sie wählen die Reihenfolge mit zwei Fragen.
1. Wie gross ist das Risiko? Nutzen Sie Wahrscheinlichkeit x Auswirkung (Lektion 1.1). Ein Punkt, auf den ein opportunistischer Angriff abzielt, wie wiederverwendete Passwörter ohne 2FA oder eine Website ohne Updates, hat eine hohe Wahrscheinlichkeit. Ein Punkt, der im Ernstfall Ihr gesamtes Unternehmen lahmlegt, wie ein nicht funktionierendes Backup, hat eine grosse Auswirkung.
2. Wie viel Aufwand kostet es? Manche Massnahmen kosten eine Stunde und nichts, wie das Aktivieren der Zwei-Faktor-Authentifizierung oder das Vereinbaren eines Zahlungsverfahrens. Andere kosten Wochen, wie das Austauschen aller Laptops.
Ordnen Sie die Punkte in ein einfaches Schema ein:
| Wenig Aufwand | Viel Aufwand | |
|---|---|---|
| Grosses Risiko | Jetzt erledigen (diese Woche) | Planen (dieses Quartal) |
| Kleines Risiko | Mitnehmen, wenn es passt | Später oder bewusst akzeptieren |
Die Regel lautet: schnell und günstig zuerst, sofern das Risiko gross ist. Bei den meisten kleinen Unternehmen landen im Feld „jetzt erledigen": Zwei-Faktor-Authentifizierung für E-Mail und Bank (3), das Zahlungsverfahren (6), das Aktivieren automatischer Updates (12) und die Kontrolle, ob eine Kopie des Backups ausser Reichweite liegt (16).
Bewusst akzeptieren
Ein Risiko dürfen Sie auch akzeptieren: Sie entscheiden, es nicht zu lösen, weil das Risiko klein ist oder die Kosten zu hoch sind. Das ist eine gültige Wahl, solange Sie sie bewusst treffen und aufschreiben. „Vergessen" ist keine Akzeptanz.
Ein Eigentümer und ein Datum pro Punkt
Ein Plan ohne Namen bleibt liegen. Geben Sie jedem Punkt:
- einen Eigentümer: eine Person, die dafür sorgt, dass es geschieht. Das muss nicht derjenige sein, der es ausführt; das IT-Unternehmen kann die Arbeit erledigen, aber jemand in Ihrem eigenen Unternehmen kontrolliert, dass es erledigt ist;
- ein Datum: bis wann es fertig sein muss;
- eine Definition von fertig: Woran erkennen Sie, dass es erledigt ist? Nicht „2FA einrichten", sondern „2FA ist für die fünf Konten aus der Liste aktiviert, Wiederherstellungscodes liegen im Tresor".
Ein Beispiel für drei Zeilen aus dem Plan der Bäckerei Example:
| Punkt | Aktion | Eigentümer | Fertig am | Fertig wenn |
|---|---|---|---|---|
| 3 | 2FA für E-Mail, Bank, Buchhaltung und Registrar | Petra | in 1 Woche | Bei allen vier aktiviert, Wiederherstellungscodes im Passwort-Manager und auf Papier im Tresor |
| 6 | Zahlungsverfahren auf A4, besprochen mit Joost und Sanne | Petra | in 2 Wochen | A4 hängt im Büro, beide haben es gelesen |
| 16 | Wöchentliche Kopie auf einer Festplatte, die danach getrennt in den Tresor kommt | Joost | in 1 Monat | Erste drei Wochen erledigt, eine Datei als Test wiederhergestellt |
Wiederholen
Sicherheit ist nie fertig. Es kommen neue Mitarbeiter, neue Dienste, neue Geräte und neue Tricks hinzu. Vereinbaren Sie deshalb:
- jedes Jahr den vollständigen Check erneut, in einem festen Monat, und aktualisieren Sie den Plan;
- zwischendurch den Check bei grossen Veränderungen durchführen: ein neuer Webentwickler, ein Umzug Ihres Hostings, eine neue Buchhaltung, ein Wachstumsschub;
- nach einem Vorfall die damit zusammenhängenden Punkte durchgehen (Lektion 8.3).
Bewahren Sie das Ergebnis jedes Checks auf. Dann sehen Sie nach einem Jahr schwarz auf weiss, was sich verbessert hat, und haben eine Antwort, wenn ein Kunde fragt, wie es um Ihre Sicherheit steht. Das BSI bietet ausserdem eigene Angebote für Unternehmen, https://www.bsi.bund.de/, die Sie zusätzlich zu dieser Liste nutzen können; daraus ergibt sich ebenfalls eine Aktionsliste.
Zusammenfassung
- Eine Nullmessung mit zwanzig festen Punkten liefert eine ehrliche Momentaufnahme; jeder Punkt verweist auf die Lektion, in der Sie ihn gelernt haben.
- Einen Teil (E-Mail, Website, Domain) können Sie automatisch prüfen lassen, aber das sagt nichts über die anderen Punkte aus.
- Priorisieren Sie nach Wahrscheinlichkeit x Auswirkung und Aufwand: grosses Risiko mit wenig Aufwand zuerst.
- Jeder Punkt im Plan erhält einen Eigentümer, ein Datum und eine Definition von fertig; Akzeptieren ist erlaubt, aber bewusst und schriftlich.
- Wiederholen Sie den Check jedes Jahr und bei grossen Veränderungen, und bewahren Sie die Ergebnisse auf.
Quiz
Aufgabe
Aufgabe A9.3: Die automatische Prüfung Ihrer Domain. Geben Sie Ihre eigene Domain ein. Das Programm prüft in einem Durchgang E-Mail (SPF, DKIM, DMARC), Website (https, Zertifikat, Weiterleitung, HSTS, Header) und Domain (Nameserver, DNSSEC, Ablaufdatum) und zeigt, welche Punkte des Sicherheitschecks grün, orange oder rot sind.
Aufgabe D9.3: Ihr Sicherheitscheck und Plan. Führen Sie den Check mit zwanzig Punkten für Ihr eigenes Unternehmen durch. Wählen Sie danach mindestens fünf Punkte aus, ordnen Sie sie in das Schema von Risiko und Aufwand ein, und erstellen Sie einen Plan mit pro Punkt einem Eigentümer, einem Datum und einer Definition von fertig. Tragen Sie in Ihrem Kalender ein, wann Sie den Check erneut durchführen.
Aufgabe D9.3: Ihr Sicherheitscheck und Plan
So gehen Sie vor: (1) Gehen Sie die zwanzig Punkte aus der Lektion durch und tragen Sie pro Punkt ein: ja, teilweise oder nein. Verwenden Sie für die Punkte 9, 10 und 11 das Ergebnis von A9.3 (die Schaltfläche übernimmt rote und orangefarbene Punkte). (2) Ordnen Sie jeden Punkt mit "teilweise" oder "nein" im Schema aus Risiko (gross/klein) und Aufwand (wenig/viel) ein. (3) Wählen Sie mindestens fünf Punkte aus. Beginnen Sie mit den Feldern "grosses Risiko, wenig Aufwand". (4) Geben Sie jedem gewählten Punkt eine Massnahme, einen Verantwortlichen, ein Datum und eine Definition von erledigt. (5) Schreiben Sie auf, welche Punkte Sie bewusst akzeptieren, mit Begründung. (6) Tragen Sie in Ihrem Kalender einen festen Monat für den nächsten vollständigen Check ein, und notieren Sie, bei welchen Veränderungen Sie zwischendurch erneut prüfen. (7) Bewahren Sie das Ergebnis auf (der Kurs speichert den ausgefüllten Check, wenn Sie das möchten; nur ja/teilweise/nein pro Punkt und Ihr Plan, keine weiteren Daten).
Ihre Haken und Notizen bleiben nur in diesem Browser; wir senden sie nirgendwohin. Sind Sie angemeldet, speichern wir in Meine Kurse nur, dass Sie die Aufgabe erledigt haben.
Weiterführende Informationen
Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es ähnlich.
- WebOké Anleitung 5.17: Domain- und E-Mail-Gesundheit: prüfen und beheben
- WebOké, Domain- / E-Mail-Gesundheit (öffentliche Prüfung): https://www.weboke.ch/domein-gezondheid
- WebOké, E-Mail-Check: https://www.weboke.ch/emailcheck
- Internet.nl, testen Sie Ihre Website und E-Mail: https://internet.nl
- BSI, Angebote für Selbstständige und kleine und mittlere Unternehmen: https://www.bsi.bund.de/