Informationssicherheit ist ein zentraler Erfolgsfaktor für jedes moderne Unternehmen. Sie schützt nicht nur sensible Daten, sondern auch Geschäftsprozesse, Reputation und die Wettbewerbsfähigkeit.

Informationssicherheit ruht auf drei Schutzzielen – der CIA-Triade: Vertraulichkeit, Integrität und Verfügbarkeit. Sie schützt Informationen digital wie auf Papier.

Informationssicherheit umfasst alle Maßnahmen zum Schutz von Informationen vor unbefugtem Zugriff, Verlust, Manipulation oder Zerstörung - unabhängig davon, ob diese digital oder in Papierform vorliegen.

Die drei Schutzziele der Informationssicherheit (CIA-Triade):

Vertraulichkeit (Confidentiality)

Nur befugte Personen haben Zugriff auf Informationen. Schutz vor unbefugter Offenlegung. Beispiel: Verschlüsselte E-Mails, Zugriffskontrollen.

Integrität (Integrity)

Informationen sind korrekt und vollständig. Schutz vor unbefugter Veränderung. Beispiel: Digitale Signaturen, Checksummen.

Verfügbarkeit (Availability)

Informationen sind bei Bedarf zugänglich. Schutz vor Ausfällen und Störungen. Beispiel: Backup-Systeme, Redundanz.

Praxisfall: Ransomware-Angriff Ein Unternehmen wird Opfer eines Ransomware-Angriffs. Alle Dateien werden verschlüsselt und die Erpresser fordern Lösegeld.

Betroffene Schutzziele: ✗ Vertraulichkeit: Daten wurden möglicherweise kopiert ✗ Integrität: Dateien wurden verschlüsselt/manipuliert ✗ Verfügbarkeit: Mitarbeiter können nicht mehr arbeiten

Folgen: • Produktionsausfall (durchschnittlich 21 Tage) • Kosten: 200.000 € - 5 Mio. € (je nach Unternehmensgröße) • Reputationsverlust bei Kunden • Rechtliche Konsequenzen (DSGVO-Meldepflicht)[/EXAMPLE]

Warum ist Informationssicherheit so wichtig?

Risiken ohne Informationssicherheit: • Cyberangriffe: Täglich über 380.000 neue Schadprogramme weltweit • Datenverlust: 60% der kleinen Unternehmen geben nach einem Cyberangriff innerhalb von 6 Monaten auf • Bußgelder: DSGVO-Verstöße können Millionen kosten • Betriebsunterbrechung: Durchschnittliche Downtime-Kosten: 5.600 € pro Minute • Reputationsschaden: Vertrauensverlust bei Kunden und Partnern

Alarmierende Statistiken (2024): • 75% aller deutschen Unternehmen waren in den letzten 2 Jahren von Cyberangriffen betroffen • Durchschnittlicher Schaden pro Angriff: 203.000 € (Bitkom 2024) • Nur 30% der deutschen Mittelständler haben ein Informationssicherheitsmanagement • Phishing ist mit 36% die häufigste Angriffsform

Gesetzliche Anforderungen:

Verschiedene Gesetze und Verordnungen verpflichten Unternehmen zu Informationssicherheit:

1. DSGVO: Schutz personenbezogener Daten 2. NIS-2-Richtlinie: Cybersicherheit für kritische Infrastrukturen (ab 2024) 3. IT-Sicherheitsgesetz: Schutz kritischer Infrastrukturen in Deutschland 4. Handelsgesetzbuch (HGB): Ordnungsgemäße Buchführung und Datensicherung 5. Betriebsverfassungsgesetz: Mitarbeiterdatenschutz

Informationssicherheit ist Chefsache! Die Geschäftsführung trägt die Gesamtverantwortung für die Informationssicherheit im Unternehmen. Fahrlässigkeit kann zu persönlicher Haftung führen!

Für Mitarbeiter bedeutet das: • Passwörter schützen und sichere Passwörter verwenden • Phishing-E-Mails erkennen und melden • Clean-Desk-Policy beachten (aufgeräumter Arbeitsplatz) • Bildschirmsperre bei Verlassen des Arbeitsplatzes • Keine Firmendaten auf privaten Geräten • Verdächtige Vorfälle sofort melden

ISO 27001 ist der weltweit führende Standard für Informationssicherheitsmanagement-Systeme (ISMS). Er bietet einen systematischen Ansatz zum Schutz sensibler Unternehmensinformationen.

ISO 27001 beschreibt, wie ein Informationssicherheitsmanagement-System (ISMS) aufgebaut wird – nach dem PDCA-Zyklus und mit 93 Sicherheitsmaßnahmen im Annex A.

ISO/IEC 27001 ist eine internationale Norm, die Anforderungen für die Einrichtung, Umsetzung, Aufrechterhaltung und fortlaufende Verbesserung eines Informationssicherheitsmanagementsystems (ISMS) festlegt. Die aktuelle Version ist ISO 27001:2022.

Was ist ein ISMS (Information Security Management System)?

Ein ISMS ist ein systematischer Ansatz zum Management von Informationssicherheit mit folgenden Komponenten:

• Richtlinien: Festlegung von Sicherheitszielen und -regeln
• Prozesse: Definierte Abläufe für Sicherheitsmaßnahmen
• Verantwortlichkeiten: Klare Zuweisung von Aufgaben
• Ressourcen: Budget, Personal, Technologie
• Risikoanalyse: Systematische Bewertung von Bedrohungen
• Kontrollen: Technische und organisatorische Maßnahmen

Der PDCA-Zyklus in ISO 27001:

ISO 27001 basiert auf dem kontinuierlichen Verbesserungsprozess (PDCA):

1. Plan (Planen) – Risikoanalyse durchführen, Sicherheitsziele festlegen, Maßnahmen planen.
2. Do (Umsetzen) – Maßnahmen implementieren, Mitarbeiter schulen, Prozesse etablieren.
3. Check (Überprüfen) – Audits durchführen, Kennzahlen messen, Wirksamkeit prüfen.
4. Act (Handeln) – Verbesserungen umsetzen, Anpassungen vornehmen, kontinuierlich optimieren.

PDCA in der Praxis: Passwort-Management Plan: Analyse zeigt, dass 60% der Mitarbeiter unsichere Passwörter verwenden Do: Einführung einer Passwort-Policy (min. 12 Zeichen, Komplexität) + Schulung Check: Nach 3 Monaten Überprüfung - noch 20% nutzen schwache Passwörter Act: Implementierung eines Passwort-Managers + technische Durchsetzung

Struktur von ISO 27001:2022:

Kapitel 4-10: Anforderungen an das ISMS • Kontext der Organisation verstehen • Führung und Verpflichtung der Geschäftsleitung • Planung (Risiken und Chancen) • Unterstützung (Ressourcen, Kompetenz, Bewusstsein) • Betrieb (Risikobehandlung, Kontrollen) • Bewertung der Leistung (Überwachung, Audits) • Verbesserung (Nichtkonformitäten, kontinuierliche Verbesserung)

Annex A: 93 Sicherheitsmaßnahmen (Controls) Die Annex A enthält 93 Kontrollen in 4 Kategorien:

Organisatorische Kontrollen (37)

Informationssicherheitsrichtlinien, Rollen und Verantwortlichkeiten, Lieferantenbeziehungen, Incident Management.

Personelle Kontrollen (8)

Screening von Mitarbeitern, Schulung und Sensibilisierung, Vertraulichkeitsvereinbarungen.

Physische Kontrollen (14)

Zutrittskontrollen, Schutz vor physischen Bedrohungen, sichere Entsorgung von Geräten.

Technische Kontrollen (34)

Zugriffskontrollen, Kryptographie, sichere Softwareentwicklung, Schwachstellenmanagement.

Nicht alle 93 Kontrollen sind für jedes Unternehmen erforderlich! Im Rahmen der Risikoanalyse wird festgelegt, welche Kontrollen anwendbar sind. Ein kleines Unternehmen benötigt weniger Kontrollen als ein Konzern oder eine kritische Infrastruktur.

Wichtige Kontrollen für den Mitarbeiteralltag:

A.5.10 - Akzeptable Nutzung von Informationen • Keine private Nutzung von Firmendaten • Keine Installation von Privatsoftware • Einhaltung der IT-Richtlinien

A.5.15 - Zugangssteuerung • Persönliche Benutzerkonten • Keine Weitergabe von Passwörtern • Sofortige Meldung bei Verdacht auf Kompromittierung

A.6.8 - Management von technischen Schwachstellen • Software-Updates installieren • Sicherheitswarnungen beachten • Veraltete Systeme melden

A.7.7 - Clear Desk und Clear Screen • Aufgeräumter Schreibtisch • Bildschirmsperre aktivieren • Keine vertraulichen Dokumente offen liegen lassen

A.8.16 - Überwachungsaktivitäten • Systemprotokolle werden überwacht • Verdächtige Aktivitäten werden erkannt • Compliance wird überprüft

ISO 27001 Zertifizierung - Vorteile: ✓ Wettbewerbsvorteil bei Ausschreibungen ✓ Vertrauen bei Kunden und Partnern ✓ Strukturiertes Risikomanagement ✓ Erfüllung gesetzlicher Anforderungen ✓ Reduzierung von Sicherheitsvorfällen um bis zu 60% ✓ Internationale Anerkennung

Der Weg zur Zertifizierung:

1. Gap-Analyse: Wo stehen wir heute? 2. Projektplanung: Ressourcen, Budget, Zeitplan 3. Risikoanalyse: Welche Risiken gibt es? 4. Maßnahmenplan: Was müssen wir tun? 5. Implementierung: Umsetzung der Kontrollen 6. Internes Audit: Selbstprüfung 7. Zertifizierungsaudit: Externe Prüfung durch akkreditierte Stelle 8. Überwachungsaudits: Jährliche Überprüfung 9. Rezertifizierung: Alle 3 Jahre

Typische Dauer für ISO 27001 Zertifizierung: • Kleine Unternehmen (< 50 MA): 6-9 Monate • Mittelständische Unternehmen (50-250 MA): 9-12 Monate • Große Unternehmen (> 250 MA): 12-18 Monate

Kosten: 15.000 € - 100.000 € (je nach Größe und Komplexität)[/EXAMPLE]

Die NIS-2-Richtlinie (Network and Information Security Directive 2) ist eine EU-weite Verordnung zur Stärkung der Cybersicherheit. Sie tritt 2024 in Kraft und erweitert die Anforderungen erheblich.

NIS-2 verpflichtet in Deutschland künftig rund 30.000 Unternehmen zu Cybersicherheitsmaßnahmen – mit strengen Meldepflichten und persönlicher Haftung der Geschäftsführung.

NIS-2 ersetzt die alte NIS-Richtlinie von 2016 und verpflichtet deutlich mehr Unternehmen zu Cybersicherheitsmaßnahmen. In Deutschland müssen schätzungsweise 30.000 Unternehmen (statt bisher 2.000) die Anforderungen erfüllen.

Was ist NIS-2?

NIS-2 ist eine EU-Richtlinie zur: • Stärkung der Cybersicherheit in Europa • Schutz kritischer Infrastrukturen • Harmonisierung der Sicherheitsanforderungen in der EU • Verbesserung der Meldepflichten bei Sicherheitsvorfällen • Erhöhung der Resilienz gegen Cyberangriffe

Wer ist von NIS-2 betroffen?

NIS-2 unterscheidet zwischen zwei Kategorien:

Wesentliche Einrichtungen (Essential Entities)

Höhere Anforderungen und strengere Aufsicht: Energie (Strom, Öl, Gas), Verkehr (Luft, Schiene, Straße, Wasser), Banken und Finanzmarktinfrastrukturen, Gesundheitswesen (Krankenhäuser, Labore), Trinkwasser- und Abwasserversorgung, digitale Infrastruktur (DNS, TLD-Register, Cloud), öffentliche Verwaltung, Weltraum.

Wichtige Einrichtungen (Important Entities)

Standardanforderungen und Überwachung: Post- und Kurierdienste, Abfallwirtschaft, Chemikalien, Lebensmittel, verarbeitendes Gewerbe (Medizinprodukte, Computer, Maschinen, Fahrzeuge), digitale Dienste (Online-Marktplätze, Suchmaschinen, Social Media), Forschungsorganisationen.

Schwellenwerte - Sind Sie betroffen? NIS-2 gilt für mittlere und große Unternehmen in den betroffenen Sektoren:

✓ Mehr als 50 Mitarbeiter UND ✓ Mehr als 10 Millionen € Jahresumsatz oder 10 Millionen € Bilanzsumme

ODER

✓ Als kritische Infrastruktur eingestuft (unabhängig von Größe)

Schätzung: ca. 30.000 Unternehmen in Deutschland![/WARNING]

Die 10 Mindestanforderungen von NIS-2:

1. Risikoanalyse und Sicherheitskonzept • Systematische Bewertung von Cyber-Risiken • Dokumentiertes Sicherheitskonzept • Regelmäßige Aktualisierung

2. Incident Management • Prozess zur Behandlung von Sicherheitsvorfällen • Meldepflicht bei erheblichen Vorfällen • Frühwarnsystem

3. Business Continuity Management (BCM) • Notfallpläne für Cyberangriffe • Backup-Strategie • Wiederherstellungspläne • Regelmäßige Tests

4. Sicherheit der Lieferkette • Bewertung von Lieferanten und Dienstleistern • Sicherheitsanforderungen in Verträgen • Überwachung der Lieferkette

5. Sicherheit bei Erwerb, Entwicklung und Wartung • Security by Design • Sichere Softwareentwicklung • Patch-Management • Schwachstellenmanagement

6. Policies und Verfahren zur Bewertung der Wirksamkeit • Dokumentierte Sicherheitsrichtlinien • Regelmäßige Überprüfung • KPIs zur Messung

7. Schulung und Sensibilisierung • Regelmäßige Cybersecurity-Schulungen • Awareness-Kampagnen • Phishing-Simulationen

8. Kryptographie und Verschlüsselung • Verschlüsselung sensibler Daten • Sichere Kommunikation • Kryptographische Standards

9. Personalsicherheit & Zugangskontrollen • Überprüfung von Mitarbeitern • Zugriffskontrollsystem • Privileged Access Management

10. Multi-Faktor-Authentifizierung (MFA) • MFA für kritische Systeme verpflichtend • Sichere Authentifizierung • Schutz vor unbefugtem Zugriff

NIS-2 Meldepflichten im Detail:

1. Frühwarnung (innerhalb 24 Stunden) – Erstmeldung bei erheblichem Vorfall, grundlegende Informationen über den Vorfall, an das CERT (Computer Emergency Response Team).
2. Zwischenmeldung (innerhalb 72 Stunden) – Detailliertere Informationen, erste Einschätzung der Auswirkungen, ergriffene Sofortmaßnahmen.
3. Abschlussbericht (innerhalb 1 Monat) – Vollständige Analyse, Ursachen und Auswirkungen, Lessons Learned, Präventionsmaßnahmen.

Sanktionen bei Verstößen:

NIS-2 sieht empfindliche Strafen vor:

Wesentliche Einrichtungen: • Bußgelder bis zu 10 Millionen € oder • 2% des weltweiten Jahresumsatzes (je nachdem, was höher ist)

Wichtige Einrichtungen: • Bußgelder bis zu 7 Millionen € oder • 1,4% des weltweiten Jahresumsatzes (je nachdem, was höher ist)

Persönliche Haftung der Geschäftsführung! NEU in NIS-2: Die Geschäftsführung trägt persönliche Verantwortung für Cybersicherheit und kann bei grober Fahrlässigkeit persönlich haftbar gemacht werden!

Verantwortung der Geschäftsleitung:

Die Geschäftsführung muss: • Cybersicherheitsmaßnahmen genehmigen und überwachen • Ausreichende Ressourcen bereitstellen • Regelmäßige Schulungen absolvieren • Bei Verstößen persönlich haften

NIS-2 Umsetzung - Erste Schritte: 1. Prüfen: Bin ich betroffen? 2. Gap-Analyse: Wo fehlt was? 3. Maßnahmenplan erstellen 4. Verantwortlichkeiten festlegen 5. Budget sicherstellen 6. Schulungen durchführen 7. Incident-Response-Plan erstellen 8. Dokumentation aufbauen

Zusammenspiel ISO 27001 und NIS-2:

Die gute Nachricht: ISO 27001 deckt einen Großteil der NIS-2-Anforderungen ab!

• Risikoanalyse ✓
• Incident Management ✓
• Schulung und Sensibilisierung ✓
• Zugriffskontrollen ✓
• Kryptographie ✓
• Business Continuity ✓
• Lieferkettenmanagement ✓

ISO 27001 als Basis für NIS-2: Eine ISO 27001-Zertifizierung ist zwar nicht verpflichtend für NIS-2, aber sie erleichtert die Umsetzung erheblich. Viele Unternehmen nutzen ISO 27001 als Framework für die NIS-2-Compliance.

Deadline: Die Umsetzungsfrist läuft in Deutschland bis Oktober 2024!

Cyberangriffe werden immer raffinierter. Als Mitarbeiter sind Sie oft die erste Verteidigungslinie. Lernen Sie die häufigsten Angriffsformen kennen und wie Sie sich schützen können.

Sie sind die erste Verteidigungslinie: Phishing ist mit 36% die häufigste Angriffsform. Wachsam sein und verdächtige Vorfälle sofort melden ist Ihr wichtigster Beitrag.

Die Top 10 Cyber-Bedrohungen 2024:

1. Phishing & Spear-Phishing

Phishing ist mit 36% die häufigste Angriffsform. Angreifer geben sich als vertrauenswürdige Absender aus, um Login-Daten oder Zahlungen zu ergaunern.

Typische Phishing-E-Mail: Von: service@paypa1.com (Achtung: 1 statt l!) Betreff: Ihr Konto wurde gesperrt! Handeln Sie jetzt!

"Sehr geehrter Kunde, Ihr PayPal-Konto wurde aus Sicherheitsgründen gesperrt. Klicken Sie hier, um es zu entsperren: [bösartiger Link]

Wenn Sie nicht binnen 24 Stunden handeln, wird Ihr Konto dauerhaft gelöscht!"

Warnsignale: ✗ Dringlichkeit ("sofort handeln!") ✗ Drohungen ("Konto wird gelöscht") ✗ Rechtschreibfehler ✗ Verdächtige E-Mail-Adresse ✗ Unpersönliche Anrede ✗ Link führt zu falscher Domain[/EXAMPLE]

So erkennen Sie Phishing: • Überprüfen Sie die Absender-Adresse genau • Fahren Sie mit der Maus über Links (ohne zu klicken) • Keine persönlichen Daten in E-Mails eingeben • Im Zweifel: Anrufen beim vermeintlichen Absender • Phishing-Mails an IT-Abteilung weiterleiten

2. Ransomware

Verschlüsselungs-Trojaner, die Dateien sperren und Lösegeld fordern.

Verbreitung: • Phishing-E-Mails mit infizierten Anhängen • Drive-by-Downloads auf kompromittierten Websites • Sicherheitslücken in Software • Infizierte USB-Sticks

Ransomware-Angriff - Was tun? 1. Sofort PC vom Netzwerk trennen (LAN-Kabel ziehen, WLAN aus) 2. IT-Abteilung / Vorgesetzten informieren 3. NICHT zahlen! (Keine Garantie, dass Daten entschlüsselt werden) 4. PC nicht herunterfahren (Forensik!) 5. Polizei informieren

Schutz vor Ransomware: • Regelmäßige Backups (3-2-1-Regel) • Software-Updates installieren • Keine verdächtigen E-Mail-Anhänge öffnen • Antivirensoftware aktiviert lassen • Segmentierung des Netzwerks

3. Social Engineering

Manipulation von Menschen, um an vertrauliche Informationen zu gelangen.

Typische Szenarien: • Telefon: "Ich bin vom IT-Support, ich brauche Ihr Passwort..." • Vor Ort: Fremde Person in Anzug gibt sich als Prüfer aus • E-Mail: "Der CEO braucht dringend eine Überweisung..." • Dumpster Diving: Durchsuchen von Mülltonnen nach Dokumenten

CEO-Fraud (Geschäftsführer-Trick): Ein Mitarbeiter der Buchhaltung erhält eine E-Mail, die scheinbar vom Geschäftsführer kommt:

"Guten Morgen, ich bin in einer dringenden Besprechung mit einem Investor. Bitte überweisen Sie sofort 50.000 € an folgendes Konto für die Vertragsanzahlung. Es eilt sehr! Absolute Verschwiegenheit! [Unterschrift des GF]"

Die E-Mail kam von einer gefälschten Adresse: geschaeftsfuehrer@firma-de.com (statt .de)

Schaden: 50.000 € wurden überwiesen, bevor der Betrug auffiel.[/EXAMPLE]

Schutz vor Social Engineering: • Gesundes Misstrauen entwickeln • Vier-Augen-Prinzip bei kritischen Vorgängen • Rückfragen bei ungewöhnlichen Anfragen • Keine sensiblen Infos am Telefon preisgeben • Clear-Desk-Policy (keine vertraulichen Dokumente offen liegen lassen)

4. Malware & Trojaner

Schadsoftware, die unbemerkt auf Ihrem Computer läuft.

Typen: • Viren: Verbreiten sich selbst, infizieren Dateien • Würmer: Verbreiten sich über Netzwerke • Trojaner: Tarnen sich als nützliche Software • Spyware: Späht Daten aus (Passwörter, Banking) • Keylogger: Zeichnen Tastatureingaben auf • Backdoors: Ermöglichen Fernzugriff für Angreifer

Anzeichen für Malware-Infektion: ✗ Computer ist ungewöhnlich langsam ✗ Programme starten von selbst ✗ Pop-ups erscheinen ständig ✗ Hohe Netzwerk-Aktivität ohne Grund ✗ Antivirusprogramm lässt sich nicht starten ✗ Unbekannte Programme im Autostart

5. Man-in-the-Middle (MITM) Angriffe

Angreifer fangen die Kommunikation zwischen zwei Parteien ab.

Szenarien: • Öffentliches WLAN ohne Verschlüsselung • Gefälschte WLAN-Hotspots ("Free_WiFi_Airport") • ARP-Spoofing im Firmennetzwerk • DNS-Hijacking

Schutz: • Keine sensiblen Daten über öffentliches WLAN • VPN nutzen • HTTPS-Verbindungen prüfen • Keine automatische WLAN-Verbindung

6. Passwort-Angriffe

Verschiedene Methoden, um Passwörter zu knacken:

• Brute-Force: Ausprobieren aller Kombinationen
• Dictionary-Attack: Wörterbuch-basiert
• Credential Stuffing: Gestohlene Passwörter aus Leaks
• Phishing: Direkte Abfrage
• Keylogging: Aufzeichnung der Eingaben

Sichere Passwörter erstellen: ✓ Mindestens 12 Zeichen (besser 16+) ✓ Groß- und Kleinbuchstaben ✓ Zahlen und Sonderzeichen ✓ Keine Wörter aus dem Wörterbuch ✓ Keine persönlichen Infos (Geburtsdatum, Namen) ✓ Für jeden Dienst ein anderes Passwort ✓ Passwort-Manager verwenden

Beispiel: "M3in$H@us1stBl@u&Gr0ß!" (besser als "Passwort123")[/TIP]

7. DDoS-Angriffe (Distributed Denial of Service)

Überlastung von Servern durch massenhafte Anfragen.

Auswirkungen: • Website nicht erreichbar • Dienste nicht verfügbar • Umsatzverluste • Reputationsschaden

Schutz (für IT-Abteilung): • DDoS-Protection-Services • Load Balancing • Rate Limiting • Incident Response Plan

8. Insider-Bedrohungen

Nicht alle Bedrohungen kommen von außen!

Typen: • Böswillige Insider: Absichtliche Sabotage, Datendiebstahl • Fahrlässige Insider: Unabsichtliche Sicherheitsverletzungen • Kompromittierte Insider: Konto wurde gehackt

Insider-Fall: Ein verärgerter Mitarbeiter kurz vor der Kündigung: • Kopiert Kundendatenbank auf USB-Stick • Löscht wichtige Projektdateien • Ändert Passwörter von Systemen • Nimmt Dokumentation mit

Schaden: 250.000 € durch Datenrekonstruktion und Rechtsstreit[/EXAMPLE]

Schutz: • Prinzip der minimalen Rechte • Logging und Monitoring • Offboarding-Prozess (sofortige Sperrung bei Kündigung) • Regelmäßige Überprüfung von Zugriffsrechten

9. Zero-Day-Exploits

Ausnutzung von Sicherheitslücken, für die noch kein Patch existiert.

Schutz: • Schnelles Patch-Management • Intrusion Detection Systems (IDS) • Netzwerksegmentierung • Least-Privilege-Prinzip

10. Supply-Chain-Angriffe

Angriffe über kompromittierte Zulieferer oder Software.

Beispiele: • SolarWinds-Hack (2020): 18.000 Unternehmen betroffen • Log4Shell (2021): Kritische Lücke in weit verbreiteter Java-Bibliothek • Kompromittierte Browser-Extensions

Supply Chain Risks: • 62% der Unternehmen wurden über Drittanbieter kompromittiert • Durchschnittliche Zeit bis zur Erkennung: 206 Tage • Prüfung von Lieferanten ist Pflicht nach NIS-2 und ISO 27001!

Zusammenfassung - Ihre Verantwortung: • Seien Sie wachsam und skeptisch • Melden Sie verdächtige Vorfälle sofort • Halten Sie sich an Sicherheitsrichtlinien • Bilden Sie sich regelmäßig weiter • Sie sind Teil der Sicherheitsstrategie!

Informationssicherheit beginnt bei jedem einzelnen Mitarbeiter. Diese praktischen Maßnahmen können Sie sofort umsetzen.

Informationssicherheit beginnt bei jedem Einzelnen: starke Passwörter, MFA, Updates, Clean Desk und schnelles Melden von Vorfällen. Kleine Schritte mit großer Wirkung.

1. Passwort-Hygiene

Die 10 Gebote sicherer Passwörter: 1. Mindestens 12 Zeichen Länge 2. Mix aus Groß-/Kleinbuchstaben, Zahlen, Sonderzeichen 3. Keine Wörter aus dem Wörterbuch 4. Keine persönlichen Informationen 5. Für jeden Dienst ein anderes Passwort 6. Passwort-Manager nutzen 7. Regelmäßig ändern bei Verdacht 8. Niemals teilen oder aufschreiben 9. Multi-Faktor-Authentifizierung aktivieren 10. Passwort-Leaks überprüfen (haveibeenpwned.com)

Gute Passwort-Methoden:

Satz-Methode: "Mein Hund Max ist 5 Jahre alt & liebt Bälle!" → Passwort: "MHMi5Ja&lB!"

Würfel-Methode (Diceware): Zufällige Wörter kombinieren: "Korrekt-Pferd-Batterie-Klammer-45"

Diese Passwörter NIEMALS verwenden: ✗ Passwort123 ✗ Firmenname2024 ✗ qwertz123 ✗ 123456789 ✗ IhreVorname.Nachname ✗ Geburtsdatum Diese werden in Sekunden geknackt!

2. Multi-Faktor-Authentifizierung (MFA/2FA)

MFA fügt eine zusätzliche Sicherheitsebene hinzu:

Die drei Faktoren: • Wissen: Passwort, PIN • Besitz: Smartphone, Token, Smartcard • Biometrie: Fingerabdruck, Gesichtserkennung

MFA reduziert das Risiko von Account-Übernahmen um 99,9%! Selbst wenn das Passwort gestohlen wird, ist der Account geschützt.

MFA-Methoden: • SMS-Code (schwächste Form, aber besser als nichts) • Authenticator-App (Google Authenticator, Microsoft Authenticator) • Hardware-Token (YubiKey) • Biometrische Verfahren (TouchID, FaceID) • Push-Benachrichtigungen

3. E-Mail-Sicherheit

Phishing-Check-Checkliste: □ Absenderadresse genau prüfen □ Über Links hovern (nicht klicken!) □ Rechtschreibung und Grammatik prüfen □ Persönliche Anrede vorhanden? □ Ungewöhnliche Dringlichkeit? □ Verdächtige Anhänge? □ Zu gut um wahr zu sein?

Gute vs. schlechte E-Mail-Praxis:

Schlecht: ✗ "An alle: Hier die Liste mit allen Kundenpasswörtern..." ✗ Anhang: passwortliste.xlsx (unverschlüsselt) ✗ CC: 50 externe E-Mail-Adressen sichtbar

Gut: ✓ "An: IT-Team" (begrenzte Empfänger) ✓ "Siehe verschlüsselte Datei im SharePoint" ✓ Link zum geschützten Bereich ✓ BCC bei Massen-E-Mails[/EXAMPLE]

E-Mail-Verschlüsselung: • S/MIME oder PGP für sensible Inhalte • Transportverschlüsselung (TLS) ist Standard • Bei sehr sensiblen Daten: Alternative Kommunikationswege

4. Clean Desk & Clear Screen Policy

Clean Desk: • Vertrauliche Dokumente wegsperren • Keine Passwort-Zettel • Besucher können nicht mitlesen • Am Abend: Schreibtisch aufräumen

Clear Screen: • Bildschirmsperre bei Abwesenheit • Windows: Win + L • macOS: Control + Command + Q • Automatische Sperre nach 5 Minuten

Bildschirmsperre - Warum? Ein unbeaufsichtigter PC ist ein offenes Einfallstor! • E-Mails können gelesen werden • Dateien können kopiert werden • Geschäfte können im Namen des Nutzers getätigt werden • 5 Minuten reichen für einen Angriff!

5. Mobile Geräte & Homeoffice

Laptop-Sicherheit: • Festplattenverschlüsselung aktivieren • Automatische Bildschirmsperre • Kein unbeaufsichtigtes Laden in öffentlichen Räumen • VPN für Firmenzugriffe • Keine sensiblen Daten lokal speichern

Smartphone-Sicherheit: • Bildschirmsperre mit PIN/Biometrie • Automatische Updates aktivieren • Nur Apps aus offiziellem Store • Keine Root/Jailbreak • Mobile Device Management (MDM) nutzen

Homeoffice: • Separates WLAN für Arbeit • Firewall aktiviert • Keine Firmengeräte für private Zwecke • Privatsphäre bei Video-Calls (Hintergrund) • Physische Sicherheit (Laptop wegsperren)

Öffentliches WLAN - Höchste Vorsicht! ✗ Kein Online-Banking ✗ Keine Firmen-E-Mails ohne VPN ✗ Keine sensiblen Daten übertragen ✗ Nicht auf gefälschte Hotspots reinfallen ✓ VPN immer aktivieren ✓ HTTPS-Websites bevorzugen

6. Sichere Datenvernichtung

Digitale Daten: • Dateien löschen + Papierkorb leeren reicht NICHT • Sichere Löschtools verwenden (z.B. Eraser, DBAN) • Festplatten vor Entsorgung mehrfach überschreiben • SSD: Verschlüsselung + Secure Erase

Papier: • Aktenvernichter (Sicherheitsstufe P-4 oder höher) • Keine sensiblen Dokumente in Altpapier • Auch Entwürfe und Notizen vernichten

Sicherheitsstufen für Aktenvernichter: • P-1/P-2: Normale Dokumente • P-3/P-4: Vertrauliche Dokumente (empfohlen) • P-5/P-6/P-7: Hochsensible Dokumente (z.B. Patientenakten)

Je höher die Stufe, desto kleiner die Schnipsel![/INFO]

7. USB-Sticks & externe Medien

Risiken: • Malware-Verbreitung • Datenverlust bei Verlust des Sticks • Unbefugte Datenweitergabe

Sicherheitsmaßnahmen: • Verschlüsselte USB-Sticks verwenden • Keine fremden USB-Sticks einstecken! • USB-Ports ggf. deaktivieren (in kritischen Bereichen) • Cloud-Speicher statt USB-Stick bevorzugen

USB-Drop-Angriff: Angreifer lassen präparierte USB-Sticks mit Aufschrift "Gehaltsabrechnung 2024" auf dem Firmenparkplatz liegen. Ein neugieriger Mitarbeiter steckt den Stick ein → Computer wird mit Malware infiziert.

Prävention: NIEMALS fremde USB-Sticks verwenden![/EXAMPLE]

8. Software-Updates & Patch-Management

Warum Updates so wichtig sind: • Schließen Sicherheitslücken • 60% aller Angriffe nutzen bekannte, ungepatchte Lücken • Viele Ransomware-Angriffe wären vermeidbar gewesen

Kritische Updates sofort installieren! Wenn die IT-Abteilung zur Installation auffordert: → NICHT auf "Später erinnern" klicken! → NICHT tagelang ignorieren! → Spätestens am nächsten Tag installieren!

Update-Checkliste: ✓ Automatische Updates aktivieren (Windows, Office, Browser) ✓ Wöchentlich manuell nach Updates suchen ✓ Auch Drittanbieter-Software updaten (Adobe, Java, etc.) ✓ Mobile Apps regelmäßig aktualisieren ✓ Router-Firmware nicht vergessen

9. Backup-Strategie

3-2-1-Regel: • 3 Kopien der Daten (Original + 2 Backups) • 2 verschiedene Medien (z.B. NAS + Cloud) • 1 Kopie off-site (extern, nicht im gleichen Gebäude)

Backup-Test nicht vergessen! Ein Backup ist nur so gut wie seine Wiederherstellung! • Regelmäßig Restore-Tests durchführen • Prüfen, ob alle Daten lesbar sind • Wiederherstellungszeit messen

10. Incident Reporting

Was melden? • Verdächtige E-Mails • Verlorene Geräte • Ungewöhnliche System-Aktivitäten • Versehentliche Datenweitergabe • Phishing-Versuche • Malware-Warnungen

Besser einmal zu viel melden als einmal zu wenig! Keine Angst vor "falschen Alarmen" - die IT-Sicherheit wird es Ihnen danken. Schnelles Handeln kann größeren Schaden verhindern!

Sofortmaßnahmen bei Sicherheitsvorfall:

1. Ruhe bewahren – Nicht in Panik geraten – überlegtes Handeln verhindert Folgefehler.
2. Gerät vom Netzwerk trennen – Bei Verdacht auf Malware sofort LAN-Kabel ziehen und WLAN ausschalten.
3. IT-Abteilung informieren – Den Vorfall unverzüglich der IT-Abteilung melden.
4. Vorgesetzten informieren – Auch die Führungskraft über den Vorfall in Kenntnis setzen.
5. Nichts selbst "reparieren" – Keine eigenen Bereinigungsversuche – wichtige Spuren (Forensik) könnten zerstört werden.
6. Dokumentieren – Festhalten, was wann und wie passiert ist.

Zusammenfassung: Informationssicherheit ist KEIN Hexenwerk - aber sie erfordert Aufmerksamkeit und Disziplin. Jeder kleine Schritt zählt!