IT-Wissen · IT-Sicherheit

ISX IT-Security Digital Conference: Welche Resilienzmaßnahmen lassen sich auf kleine Betriebe übertragen?

Kurz zusammengefasst: Die ISX IT-Security Digital Conference ordnet Cyberresilienz als Zusammenspiel aus Notfallmanagement, technischer Absicherung, geschulten Menschen, Lieferkettensicherheit und klaren Verantwortlichkeiten ein. Für kleine Unternehmen und den Mittelstand ist dabei nicht jedes Konzept unverändert übertragbar. Sinnvoll ist eine priorisierte Umsetzung: zuerst die wichtigsten Geschäftsprozesse und Abhängigkeiten erfassen, anschließend Zugänge absichern, Wiederherstellungsmöglichkeiten prüfen, Vorfälle vorbereiten und Dienstleister verbindlich einbinden. So entsteht kein überdimensioniertes Sicherheitsprogramm, sondern ein Schutzrahmen, der zum Betrieb passt.

Nutzen und Einordnung: Was Cyberresilienz für kleine Betriebe bedeutet

Cyberresilienz beschreibt die Fähigkeit eines Unternehmens, digitale Störungen und Angriffe vorzubeugen, ihre Auswirkungen zu begrenzen und den Betrieb kontrolliert wieder aufzunehmen. Für kleine Betriebe ist das keine abstrakte Managementaufgabe. Wenn E-Mail, Warenwirtschaft, Dateiablage, Telefonanlage oder Onlinebanking ausfallen, stehen häufig unmittelbar Aufträge, Kommunikation und Zahlungsverkehr still.

Die ISX IT-Security Conference stellt Resilienz, Krisenmanagement, Notfallplanung, Krisenkommunikation, menschliche Faktoren, Lieferkettensicherheit und die Priorisierung von Sicherheitsmaßnahmen in einen gemeinsamen Zusammenhang. Übertragbar ist vor allem die Denkweise: Nicht möglichst viele Werkzeuge entscheiden über Widerstandsfähigkeit, sondern vorbereitete Abläufe, nachvollziehbare Zuständigkeiten und realistisch geprüfte Wiederanlaufmöglichkeiten.

Kleine Unternehmen müssen dafür nicht automatisch ein umfangreiches Informationssicherheitsmanagementsystem nach dem Vorbild eines Konzerns aufbauen. Der angemessene Einstieg ist eine risikoorientierte Bestandsaufnahme. Sie beantwortet drei Fragen: Welche Prozesse sind für den Betrieb unverzichtbar? Welche Systeme und Dienstleister hängen daran? Welche Entscheidung muss im Störungsfall innerhalb der ersten Stunden getroffen werden?

• Geschäftskritische Prozesse und Abhängigkeiten sichtbar machen
• Schutzmaßnahmen nach Auswirkung und Eintrittswahrscheinlichkeit priorisieren
• Verantwortlichkeiten für Prävention, Entscheidung, Kommunikation und Wiederherstellung festlegen

1. Mit einer kleinen, belastbaren Risikoübersicht beginnen

Der erste übertragbare Resilienzbaustein ist eine überschaubare Risikoanalyse. Sie muss nicht mit einer vollständigen technischen Inventarisierung beginnen. Für den Einstieg genügt eine Liste der wichtigsten Arbeitsabläufe, etwa Auftragsannahme, Produktion, Kundenservice, Rechnungsstellung und Lohnabrechnung. Zu jedem Prozess gehören die benötigten Anwendungen, Daten, Geräte, Benutzerkonten, Internetverbindungen und externen Anbieter.

Anschließend wird festgelegt, wie lange ein Prozess höchstens ausfallen darf und welche Daten im Notfall verfügbar sein müssen. Diese Festlegung schafft eine sachliche Reihenfolge für Investitionen. Ein System, dessen Ausfall die Auftragsabwicklung sofort stoppt, verdient eine andere Wiederherstellungsstrategie als eine Anwendung, die nur gelegentlich benötigt wird.

Der CyberRisikoCheck nach DIN SPEC 27076 ist hierfür ein sinnvoller Orientierungsrahmen. Er ist auf kleine und Kleinstunternehmen zugeschnitten und ermöglicht eine standardisierte Beratung durch IT-Dienstleister mit konkreten Handlungsempfehlungen. Er ersetzt keine individuelle Entscheidung und keine technische Prüfung der gesamten Umgebung, kann aber helfen, blinde Flecken und priorisierte Verbesserungen zu erkennen.

• Prozess, System, Verantwortlicher und maximale Ausfallzeit dokumentieren
• Ein zentrales Notfallblatt mit aktuellen Kontaktdaten und Prioritäten führen
• Risiken mindestens jährlich und nach größeren Änderungen überprüfen

2. Wiederherstellung nicht nur versprechen, sondern praktisch prüfen

Backups sind ein wichtiger Resilienzbaustein, aber ein vorhandenes Backup ist noch kein belastbarer Wiederanlauf. Für den jeweiligen Betrieb sollte festgelegt werden, welche Daten gesichert werden, wie lange sie benötigt werden und wer eine Wiederherstellung veranlassen darf. Ob Sicherungen ausreichend gegen Manipulation, Löschung oder Verschlüsselung geschützt sind, muss anhand der konkreten technischen Umsetzung geprüft werden.

Für kleine Betriebe ist ein abgestufter Test ein möglicher Ansatz. Zunächst können einzelne Dateien wiederhergestellt werden. Danach kann ein geschäftskritischer Dienst oder ein vollständiger Arbeitsablauf testweise rekonstruiert werden. Ein Protokoll hält fest, was funktioniert hat, welche Abhängigkeit fehlte und welche Entscheidung noch offen ist. Aus einem solchen Test lassen sich konkrete nächste Maßnahmen ableiten; ein allgemeiner Nachweis für die Wirksamkeit aller Schutzmaßnahmen ist damit nicht verbunden.

Die Wiederanlaufplanung kann außerdem berücksichtigen, wie der Betrieb kommuniziert und Entscheidungen trifft, wenn die normale IT-Umgebung nicht verfügbar ist. Je nach Organisation können dafür alternative Kommunikationswege, aktuelle Kontaktinformationen, klar zugewiesene Zugriffs- und Entscheidungsrollen sowie vorab geklärte Verfahren für dringende Zahlungen oder Aufträge sinnvoll sein. Diese Elemente müssen an die tatsächlichen Prozesse und rechtlichen Vorgaben des Unternehmens angepasst werden.

• Sicherungen gegen Manipulation und Löschung absichern
• Wiederherstellung mit realistischen Szenarien prüfen und protokollieren
• Wiederanlaufreihenfolge und Ersatzverfahren schriftlich festlegen

3. Zugänge, Endgeräte und Menschen gemeinsam absichern

Technische Resilienz beginnt mit einer sauberen Identitäts- und Rechteverwaltung. Individuelle Benutzerkonten, Mehrfaktor-Authentisierung für besonders wichtige Zugänge, aktuelle Systeme und eine zeitnahe Sperrung ausgeschiedener Benutzer reduzieren typische Angriffswege. Administratorrechte sollten nur dort eingesetzt werden, wo sie tatsächlich erforderlich sind.

Ebenso wichtig ist die menschliche Seite. Beschäftigte brauchen kurze, konkrete Regeln für verdächtige E-Mails, Zahlungsänderungen, externe Datenträger, private Geräte und die Meldung von Auffälligkeiten. Eine Schulung ist erst dann wirksam, wenn klar ist, an wen sich eine Person ohne Verzögerung wenden darf. Schuldzuweisungen verschlechtern die Meldekultur und damit die Reaktionsfähigkeit.

Die ISX-Einordnung von Human Resilience lässt sich deshalb in einen einfachen Betriebsprozess übersetzen: erkennen, melden, isolieren, eskalieren. Niemand muss selbst eine forensische Analyse durchführen. Die Organisation muss aber wissen, wer eine betroffene Sitzung oder ein Gerät vom Netz nehmen darf und wann der externe IT-Dienstleister eingeschaltet wird.

• Mehrfaktor-Authentisierung und individuelle Konten priorisieren
• Patch- und Gerätestatus nachvollziehbar überwachen
• Meldewege mit kurzen Szenarien üben, nicht nur Richtlinien verteilen

4. Notfallmanagement, Lieferkette und digitale Souveränität pragmatisch verbinden

Ein Notfallplan sollte nicht aus allgemeinen Absichtserklärungen bestehen. Er braucht konkrete Auslöser, Rollen und Entscheidungen: Wer bestätigt den Vorfall? Wer trennt Systeme? Wer informiert Geschäftsführung, Beschäftigte, Kunden und gegebenenfalls Behörden? Wer dokumentiert die Ereignisse? Diese Fragen müssen auch beantwortet werden, wenn die zuständige IT-Person selbst nicht erreichbar ist.

Zur Resilienz gehört außerdem die Abhängigkeit von Cloud-, Hosting-, Telekommunikations-, Software- und Wartungsanbietern. Kleine Unternehmen sollten prüfen, welche Leistungen vertraglich zugesichert sind, wie Support erreichbar ist, welche Daten exportiert werden können und wie ein Anbieterwechsel oder Ausfall praktisch funktionieren würde. Ein Dienstleister ist nicht automatisch ein Notfallplan.

Digitale Souveränität bedeutet dabei nicht, jede Cloud oder jeden internationalen Anbieter auszuschließen. Gemeint ist vielmehr, Abhängigkeiten zu kennen und handlungsfähig zu bleiben. Dazu gehören dokumentierte Datenstandorte, ein geregelter Administrationszugriff, Exportmöglichkeiten, klare Verantwortlichkeiten und eine realistische Exit- oder Ersatzstrategie. Bei Produkten mit digitalen Elementen können zusätzlich regulatorische Anforderungen aus dem Cyber Resilience Act relevant werden. Die konkrete Betroffenheit richtet sich unter anderem nach Produkt, Rolle und gesetzlichen Tatbeständen und muss im Einzelfall geprüft werden.

• Dienstleisterabhängigkeiten und Eskalationswege dokumentieren
• Verträge auf Support, Datenexport, Ausfall und Beendigung prüfen
• Notfallübungen mit mindestens einem externen Anbieter oder kritischen Dienst simulieren

Beispiel aus der Praxis

Beispiel: Ein regionaler Handwerksbetrieb mit 22 Beschäftigten nutzt eine Cloud-Buchhaltung, eine Branchenlösung, Microsoft-365-E-Mail und einen externen IT-Dienstleister. Statt sofort ein umfassendes Zertifizierungsprojekt zu starten, erfasst die Geschäftsführung zunächst die drei kritischsten Abläufe: Aufträge disponieren, Material bestellen und Rechnungen stellen. Dabei stellt sie fest, dass mehrere wichtige Konten über wenige Administratorzugänge erreichbar sind und die Wiederherstellung der Branchenlösung noch nicht praktisch geprüft wurde. Der Betrieb kann daraufhin individuelle Konten und Mehrfaktor-Authentisierung einführen, Administratorrechte überprüfen, eine Wiederherstellung beauftragen und ein einseitiges Notfallblatt anlegen. Darauf können die Reihenfolge der Abschaltung, die Kontakte des IT-Dienstleisters, ein alternativer Kommunikationsweg und ein Verfahren für manuelle Rechnungen festgehalten werden. Zusätzlich kann mit dem Anbieter der Branchenlösung geklärt werden, welche Daten exportierbar sind und wie im Ausfall gearbeitet werden kann. Diese Schritte sind keine Garantie gegen einen Angriff und belegen für sich genommen keine messbare Verbesserung der gesamten Sicherheitslage. Sie schaffen jedoch eine konkrete Grundlage, um Entscheidungs- und Wiederanlauffähigkeit im eigenen Betrieb gezielt zu prüfen und weiterzuentwickeln.

Chancen für Unternehmen

• Die Themen der ISX lassen sich in ein priorisiertes Jahresprogramm übersetzen: Risikoübersicht, Zugangsschutz, Backup-Test, Notfallübung und Dienstleisterprüfung.
• Ein standardisierter CyberRisikoCheck kann als strukturierter Einstieg dienen und Gespräche zwischen Geschäftsführung, Beschäftigten und IT-Dienstleister versachlichen.
• Kurze, wiederholte Übungen schaffen schneller belastbare Routine als umfangreiche Richtlinien, die im Störungsfall niemand kennt.
• Managed Security Services oder externe Bereitschaft können fehlende interne Kapazitäten ergänzen, wenn Leistungsumfang, Reaktionszeit und Verantwortungsgrenzen sauber vereinbart sind.

Grenzen und Prüfpunkte

• Eine Konferenz liefert Orientierung, aber keine individuelle Risikoanalyse, keine Prüfung der konkreten Systeme und keinen Nachweis gesetzlicher Konformität.
• Backups, Mehrfaktor-Authentisierung und aktuelle Software verhindern nicht jeden Angriff. Sie müssen technisch korrekt konfiguriert, überwacht und regelmäßig getestet werden.
• Ein CyberRisikoCheck ersetzt weder eine vollständige Notfallorganisation noch eine rechtliche Prüfung von Datenschutz-, Vertrags- oder branchenspezifischen Pflichten.
• NIS2- oder Cyber-Resilience-Act-Betroffenheit lässt sich nicht allein aus der Unternehmensgröße ableiten. Branche, Rolle in der Lieferkette, angebotene Produkte und konkrete gesetzliche Tatbestände müssen einzeln geprüft werden.
• Externe IT-Dienstleister können Aufgaben übernehmen, aber die unternehmerische Verantwortung für Prioritäten, Freigaben und Geschäftsentscheidungen bleibt im Betrieb.