Die meisten kleinen Büros werden nicht von genialen Angreifern gehackt. Sie sind auf ein wiederverwendetes Passwort, ein Update, das niemand installiert hat, oder ein Backup, das niemand getestet hat, zurückzuführen. Dies ist die kurze Liste der wesentlichen Maßnahmen, die tatsächlich auftretende Angriffe blockieren, in der Reihenfolge, in der ein IT-Ingenieur sie anwenden würde.
Bei Sicherheitsratschlägen handelt es sich meist um eine erschreckende Liste von fünfzig Produkten. Die Wahrheit ist ruhiger. Die große Mehrheit der echten Vorfälle in kleinen Büros, die jedes Jahr untersucht werden, geht auf eine Handvoll grundlegender Fehler zurück: überall ein Passwort verwendet, kein zweiter Faktor, ausstehende Aktualisierungen, Backups, die nie auf Wiederherstellung getestet wurden und jeder, der als Administrator arbeitet. Wenn Sie diese fünf Punkte richtig beheben, haben Sie mehr für die Sicherheit Ihres Büros getan als jedes teure Tool, das Sie zuvor gekauft haben. In diesem Leitfaden werden die wichtigsten Dinge in der Reihenfolge ihrer Priorität behandelt, mit ehrlichen Anmerkungen dazu, was kostenlos ist, wofür sich die Bezahlung lohnt und was hauptsächlich Marketingzweck ist. Die vollständige Anleitung finden Sie oben im Video „IT Security Essentials“.
Die schädlichste Angewohnheit in kleinen Büros ist die gemeinsame Nutzung eines Passworts für E-Mail, Buchhaltung und Banking. Wenn eine Website ein Leck hat, probieren Angreifer innerhalb weniger Stunden überall dasselbe Passwort aus. Bei der Lösung handelt es sich nicht um Gedächtnistricks, sondern um einen Passwort-Manager auf jedem Schreibtisch und Telefon, sodass jedes Konto ein langes, einzigartiges Passwort erhält, an das sich niemand erinnern muss.
Beginnen Sie mit den Konten, die alles andere zurücksetzen können: zuerst E-Mail, dann Banking und das Buchhaltungspaket. Der spezielle Leitfaden zu Passwörtern und MFA in dieser Serie behandelt die Einführung im Detail.
Durch die Multi-Faktor-Authentifizierung reicht ein gestohlenes Passwort allein nicht mehr aus. Ein Angreifer in einem anderen Land mit Ihrem Passwort kann ohne den Code von Ihrem Telefon trotzdem nicht eindringen. Sowohl Microsoft als auch Google berichten seit Jahren, dass MFA die überwiegende Mehrheit der automatisierten Kontoübernahmeangriffe blockiert.
Seien Sie ehrlich zu Ihren Mitarbeitern: MFA verlängert die Anmeldung um zehn Sekunden. Das ist die günstigste Sicherheit, die Ihr Büro jemals kaufen wird. Bevorzugen Sie eine Authentifizierungs-App gegenüber SMS-Codes, da SMS abgefangen und SIMs ausgetauscht werden können.
Die meisten Ransomware- und Wurmausbrüche verbreiten sich über Schwachstellen, die Wochen zuvor behoben wurden. Betroffen sind vor allem die Büros, in denen Windows Update monatelang eine rote Warnung anzeigt. Legen Sie eine einfache Disziplin fest: Updates werden automatisch installiert, Computer werden mindestens einmal pro Woche neu gestartet und eine benannte Person überprüft monatlich den Update-Status.
Die gleiche Regelung gilt für den Router, das NAS, Browser und die Buchhaltungssoftware. Die Firmware auf dem Büro-Router ist das am häufigsten vergessene Element im gesamten Gebäude.
Ein Backup, das Sie nie wiederhergestellt haben, ist eine Hoffnung, kein Backup. Laufwerke fallen stillschweigend aus, Jobs werden nicht mehr ausgeführt und Ransomware macht gezielt Jagd auf Backup-Kopien. Halten Sie mindestens eine Kopie offline oder extern, die eine Netzwerkinfektion nicht erreichen kann, und stellen Sie einmal im Quartal einige echte Dateien wieder her, um zu beweisen, dass die gesamte Kette funktioniert.
Der Wiederherstellungstest ist die Kontrolle. Wenn Sie eine Idee aus diesem gesamten Leitfaden übernehmen, dann übernehmen Sie diese: Meldungen über den Erfolg eines Backups beweisen nichts, eine wiederhergestellte Datei beweist alles.
Geringste Privilegien klingen technisch; Es ist wirklich nur eine ordentliche Haushaltsführung. Der Empfangs-PC benötigt kein Server-Admin-Passwort. Ein Mitarbeiter, der im März ausgeschieden ist, sollte im Oktober noch kein funktionierendes Login haben. Die tägliche Arbeit sollte über Standardkonten erfolgen, wobei die Administratorrechte in einem separaten Konto verbleiben, das nur für die Installation oder Änderung verwendet wird.
Wenn jemand geht, deaktivieren Sie noch am selben Tag seine Konten – E-Mail, PC-Anmeldung, Buchhaltung, alles. Ein Widerruf, der auf einen passenden Zeitpunkt wartet, dauert normalerweise ewig.
Ehrliche Bewertung: Der Großteil dieser Liste kostet nichts. Windows Defender, die Windows-Firewall, automatische Updates, BitLocker für unterstützte Editionen und MFA für Ihre bestehenden Konten sind bereits im Bau. Geben Sie Geld nur dort aus, wo die kostenlose Nutzung aufhört: ein Passwort-Manager-Abonnement für das Team, eine externe Sicherungskopie und – nur wenn die Grundlagen erfüllt sind – kostenpflichtiger Endpoint-Schutz, wenn Ihr Risiko oder ein Kundenvertrag dies erfordert.
Jeder Anbieter, der Ihnen eine fortschrittliche Bedrohungsplattform verkaufen möchte, bevor Ihre Passwörter und Backups sortiert sind, verkauft in der falschen Reihenfolge.
Jedes Wesentliche in diesem Handbuch wird mit umfassendem Wissen und der Installation im IT Security Essentials-Video erklärt.
Watch Full VideoSichern Sie die E-Mail-Konten. E-Mail setzt jedes zweite Passwort zurück, sodass ein übernommenes Postfach stillschweigend zu jedem Konto wird. Geben Sie der E-Mail ein eindeutiges Passwort, das in einem Passwort-Manager gespeichert ist, und aktivieren Sie MFA. Dieser einzige Schritt schließt die Tür, die bei den meisten Übernahmen kleiner Büros genutzt wird.
Für die meisten kleinen Büros ist ein vollständig aktualisierter Defender auf einem vollständig aktualisierten Windows eine vernünftige Basis. Kostenpflichtige Endpunkt-Tools bieten zentrale Verwaltung, Berichterstellung und zusätzliche Ebenen, die wichtig sind, wenn Ihr Unternehmen wächst oder wenn Kunden dies verlangen. Was nie funktioniert, ist ein Antivirenprogramm auf einem nicht gepatchten Rechner mit gemeinsamen Passwörtern – reparieren Sie zuerst das Wesentliche.
Beginnen Sie bei Null: Updates, Firewall, Defender, BitLocker und MFA sind integriert. Die ersten echten Ausgaben sind normalerweise ein Team-Passwort-Manager und eine externe oder Offline-Sicherungskopie – bescheidene monatliche Beträge. Größere Werkzeuge verdienen ihren Platz, sobald diese Grundlagen vorhanden und überprüft sind.