Best Practices für IT-Sicherheit: Ein pragmatischer Leitfaden

1. Grundlagen: Was IT-Sicherheit wirklich bedeutet

IT-Sicherheit ist nicht nur ein Virenscanner und eine Firewall. Praktisch geht es um drei Dinge:

• Vertraulichkeit: Nur die richtigen Personen sehen Daten.

• Integrität: Daten bleiben unverändert und verlässlich.

• Verfügbarkeit: Systeme laufen, wenn sie gebraucht werden.

Alles, was du tust – Technik, Prozesse, Schulung – sollte einem dieser drei Ziele dienen. Wenn nicht, ist es wahrscheinlich unnötige Komplexität.

---

2. Identitäten & Passwörter: Erst Nutzer, dann Technik

2.1 Starke Authentifizierung

• Nutze Multi-Faktor-Authentifizierung (MFA) überall, wo es möglich ist (Mail, VPN, Admin-Konten, Cloud-Dienste).

• Verbiete einfache Passwörter („Firma2024!“, Namen, Geburtsdaten).

• Setze lieber auf lange Passphrasen als auf extrem komplexe, kurze Passwörter.

Beispiel für Passphrase: `gelbe_Bahn_fährt_langsam` – leicht zu merken, schwer zu knacken.

2.2 Passwort-Manager

• Setze auf einen vertrauenswürdigen Passwort-Manager (unternehmensweit oder privat).

• Keine Passwörter in Excel, auf Zetteln oder im Browser im Klartext speichern.

• Schulung: Wie man sichere Master-Passwörter wählt und Phishing erkennt.

2.3 Admin-Konten trennen

• Admin-Rechte nur mit eigenen Admin-Konten, nicht mit Alltagskonten.

• „Run as“-Prinzip: Nur für die Dauer der Aufgabe hochstufen.

• Wo möglich: Just-in-Time-Adminrechte statt Dauer-Admin.

---

3. Updates & Patching: Die wichtigste Basisaufgabe

Die meisten erfolgreichen Angriffe nutzen bekannte Schwachstellen, für die es längst Updates gibt.

3.1 Betriebssysteme und Software

• Aktive Patch-Strategie: Windows, Linux, macOS, Browser, Office, Java, Reader etc.

• Automatische Updates aktivieren, wo es sinnvoll ist.

• Kritische Systeme in Wellen patchen: Testgruppe → Pilotgruppe → breite Ausrollung.

3.2 Firmware und Netzwerkgeräte

• Router, Switches, Firewalls, WLAN-APs regelmäßig aktualisieren.

• BIOS/UEFI und Firmware von Servern und Storage-Systemen im Blick behalten.

3.3 Altlasten abbauen

• Altsysteme mit End-of-Life (z.B. Windows Server 2012, alte Linux-Distros) gezielt ablösen.

• Wenn Abschalten nicht möglich: Segmentieren, isolieren, nur noch minimal zugänglich machen.

---

4. Endgeräte-Schutz: Schutz da, wo Nutzer arbeiten

4.1 Basis-Schutz

• Endpoint-Security statt nur klassischem Virenscanner (Signaturen + Verhaltenserkennung).

• Vollständige Festplattenverschlüsselung (BitLocker, FileVault, LUKS) auf Laptops und Mobilgeräten.

• Automatische Bildschirmsperre nach kurzer Inaktivität.

4.2 Härtung der Systeme

• Entferne unnötige Software („Toolbars“, Tuning-Tools, alte Java-Versionen).

• Deaktiviere nicht benötigte Dienste (Remote-Desktop, wenn nicht gebraucht; unsichere Protokolle).

• Nutze Standard-User für den Alltag, nicht lokale Administratoren.

4.3 Mobile Geräte

• Mobile-Device-Management (MDM) für Firmen-Smartphones und -Tablets.

• Geräte- und App-Verschlüsselung, Remote-Löschung bei Verlust.

• Trennung von privaten und geschäftlichen Daten (Container, getrennte Profile).

---

5. Netzwerk-Sicherheit: Angriffsfläche verkleinern

5.1 Segmentierung statt Flachnetz

• Trenne Netzwerke logisch: Server, Clients, Gäste, OT/Produktion, Verwaltung.

• Kritische Systeme in eigenen VLANs mit restriktiven Firewall-Regeln.

• Kein Vollzugriff von überall auf alles.

5.2 Firewalls & VPN

• Keine RDP- oder SSH-Zugänge direkt ins Internet.

• Remote-Zugriff nur über VPN mit MFA.

• Firewall-Regeln regelmäßig überprüfen und aufräumen (alte Ausnahmen entfernen).

5.3 WLAN-Sicherheit

• WPA2-Enterprise oder WPA3 nutzen, keine offenen WLANs für interne Systeme.

• Gäste-WLAN strikt vom Firmennetz trennen.

• Standard-Passwörter auf Access Points ändern.

---

6. Daten-Schutz: Was wirklich wichtig ist

6.1 Daten klassifizieren

• Daten in Kategorien einteilen: öffentlich, intern, vertraulich, streng vertraulich.

• Für jede Klasse klare Regeln festlegen (Speicherort, Zugriff, Versand).

6.2 Backup & Wiederherstellung

• 3-2-1-Regel nutzen: 3 Kopien, 2 verschiedene Medien, 1 Kopie extern/offline.

• Backups regelmäßig testen, nicht nur einrichten.

• Wiederherstellungszeiten (RTO) und Datenverlusttoleranz (RPO) definieren.

6.3 Verschlüsselung & Transport

• Sensible Daten verschlüsselt speichern (Datenbanken, Fileshares mit Rechten).

• Verschlüsselte Übertragung (HTTPS, SFTP, VPN) als Standard.

• Keine sensiblen Inhalte unverschlüsselt per E-Mail verschicken.

---

7. Cloud-Sicherheit: Gleiche Prinzipien, andere Oberfläche

Viele Dienste liegen heute in der Cloud (M365, Google Workspace, AWS, Azure, SaaS). Die Verantwortung teilt sich:

• Provider: physische Sicherheit, Plattform-Basis

• Du: Konten, Rechte, Konfiguration, Daten

7.1 Identitäten & Zugriffe

• Single Sign-On (SSO) und zentrale Identität (z.B. Azure AD / Entra ID).

• MFA für alle Cloud-Dienste Pflicht.

• Rechte nach dem Need-to-know-Prinzip vergeben.

7.2 Konfiguration & Logging

• Security-Baselines der jeweiligen Plattform nutzen (Secure Score, Best Practices).

• Protokollierung aktivieren (Audit-Logs, Anmeldeprotokolle, Admin-Aktivitäten).

• Regelmäßig prüfen: geteilte Links, öffentliche Buckets, Freigaben.

7.3 Schatten-IT minimieren

• Erlaubte Cloud-Dienste klar definieren.

• Mitarbeitende informieren, welche Tools genutzt werden dürfen.

• Verdächtige Dienste (z.B. unbekannte File-Sharing-Tools) nach Möglichkeit blocken.

---

8. Menschen & Schulung: Nutzer als stärkster Schutzfaktor

Die meisten Angriffe starten mit Phishing oder Social Engineering.

8.1 Sensibilisierung

• Regelmäßige kurze Schulungen (15–30 Minuten, nicht 3 Stunden Theorie).

• Praxisnahe Beispiele: echte Phishing-Mails, gefälschte Login-Seiten.

• Klare Regeln: Was tun bei Verdacht? Wen ansprechen?

8.2 Simulierte Phishing-Tests

• Kontrollierte Phishing-Kampagnen, um das Bewusstsein zu schärfen.

• Kein „Bloßstellen“, sondern Lernen fördern.

• Auswerten: Wo gibt es Muster? Wer braucht zusätzliche Unterstützung?

8.3 Kultur der Meldung

• Mitarbeitende dürfen lieber einmal zu viel melden als einmal zu wenig.

• Keine Schuldzuweisungen, wenn jemand auf eine gute Phishing-Mail hereinfällt.

• Klare, einfache Meldewege (z.B. „Verdächtige Mail melden“-Button).

---

9. Monitoring & Incident Response: Erkennen und reagieren

9.1 Protokolle ernst nehmen

• Zentrale Log-Sammlung (SIEM oder zumindest syslog/zentraler Logserver).

• Wichtige Quellen: Firewalls, VPN, AD/Identität, Server, Cloud-Logs.

• Alarme für verdächtige Aktivitäten (fehlgeschlagene Logins, neue Admins, Datenexporte).

9.2 Klare Notfallpläne

• Incident-Response-Plan erstellen: Wer macht was, wenn etwas passiert?

• Szenarien durchspielen: Ransomware, kompromittiertes Konto, Datenleck.

• Kontaktliste aktuell halten (intern, Dienstleister, ggf. Behörden).

9.3 Üben statt nur schreiben

• Mindestens einmal im Jahr eine Notfallübung (Tabletop-Exercise) durchführen.

• Schritte dokumentieren: Was hat funktioniert, was nicht?

• Plan nach jeder Übung anpassen.

---

10. Prioritäten setzen: Was du zuerst tun solltest

Wenn du noch keine strukturierte IT-Sicherheit hast, fang pragmatisch an. Eine mögliche Reihenfolge:

Damit beseitigst du einen Großteil der häufigsten Einfallstore.

---

11. Typische Anti-Patterns: Was du vermeiden solltest

• Sicherheit nur als „IT-Thema“ sehen – Führungsebene muss mitziehen.

• Alles gleichzeitig „perfekt“ machen wollen – besser iterativ verbessern.

• Blind Tools kaufen, ohne Prozesse und Verantwortliche.

• Policies schreiben, die niemand liest oder versteht.

• Keine Budgets für Schulung und Zeit einplanen.

---

12. Fazit

Gute IT-Sicherheit ist weniger eine Frage teurer Produkte als von klaren Grundlagen, einfachen Regeln und konsequenter Umsetzung.

Wenn du:

• Identitäten sauber absicherst (MFA, Passwörter, Rechte),

• Systeme und Geräte aktuell hältst,

• Daten strukturierst und zuverlässig sicherst,

• Menschen schulst und ernst nimmst,

• und Notfälle planst statt hoffst,

hast du bereits mehr erreicht als viele Organisationen. Danach kannst du gezielt nachschärfen: Zero Trust, erweiterte Überwachung, automatisierte Reaktionen – aber das Fundament sind immer dieselben simplen, konsequent umgesetzten Best Practices.