IT-Security

Ist mein KMU von Cyberattacken bedroht?

KMU sind beliebte Ziele von Hackern, denn sie stehen der Cyberkriminalität oft unvorbereitet gegenüber und verfügen nicht über die notwendigen Prozesse, um die Risiken frühzeitig zu erkennen. Die beliebtesten Angriffsziele befinden sich dort, wo Kunden- und Patientendaten gesammelt und verarbeitet werden. 

Als Inhaber oder Inhaberin eines KMU dürfen Sie sich nie zu sicher fühlen. Auch Ihre Branche kann Opfer einer Cyberattacke werden. In bestimmte Geschäftszweiges aber sollten Sie Ihre IT-Infrastruktur und Ihre Daten besonders schützen. Dazu gehören vor allem Betriebe der Gesundheitsbranche, Energieversorger, Telekommunikationsunternehmen, Online-Shops, Versicherungen und Unternehmen im Finanzwesen.

Was sollte die IT- und die Cybersecurity in einem Unternehmen umfassen?

• An erster Stelle steht die grösste Schwachstelle in Sachen Datensicherheit in Unternehmen: der Mensch selbst. Ihre Mitarbeitenden müssen auf Cyberrisiken sensibilisiert und für IT-Security und Cybersecurity geschult werden.
• Eine technische IT-Security-Strategie umfasst insbesondere den Schutz Ihrer IT-Infrastruktur, unter anderem durch Backup-Lösungen, Verschlüsselungen, Ausfallsicherung und mehr.
• Cybersecurity bezieht sich auf die Gefahren aus dem Netz, die von Datenklau und Malware bis zum Angriff auf den Server weitreichende Folgen haben können.

Welches sind die Auswahlkriterien für IT-Security in einem KMU?

Damit Sie einen passenden Anbieter für Ihr Unternehmen finden können, sind diese Fragen wichtig:

• Gab es bereits kritische Vorkommnisse in Ihrer IT wie Datendiebstahl, DDoS-Attacken, Erpressungen für Lösegeldzahlungen oder andere?
• Gegen welche Vorkommnisse möchten Sie Ihre IT schützen?
• Welche Art der Unterstützung benötigen Sie (IT-Security-Beratung, Durchführung von IT-Security-Audit, Erstellung eines Sicherheitskonzepts, Implementierung etc.)?
• Wie viele Mitarbeitende nutzen Ihre IT-Infrastruktur?
• Unter welchen Betriebssystemen ist Ihre IT-Infrastruktur aufgesetzt?
• Wer ist bei Ihnen für sicherheitstechnische Belange zuständig?

Geben Sie im Bedarfs-Check Ihre Kriterien für IT-Security in Ihrem KMU ein.

Was kostet IT-Security für ein KMU? 

Die Stundensätze für allgemeinen IT-Support (Einrichten und Konfigurieren von Firewall, Antivirus-Software und Backup) liegen bei ca. CHF 120 pro Stunde (Junior) bis ca. CHF 150 pro Stunde (Senior). Dabei handelt es sich um unverbindliche Richtpreise. Hinzu kommen Kosten für Software, allfällige Hardware oder auch Cloud-Speicher.

Die Kosten eines IT-Security-Assessments für eine GmbH mit 35 Mitarbeitenden beginnen bei ca. CHF 2'500 und belaufen sich laut einer Gryps-Befragung von IT-Security-Anbietern in der Deutschschweiz im Schnitt auf ca. CHF 10'750.

Geben Sie im Bedarfs-Check Ihr Budget für IT-Security ein. Ausführlichere Informationen zu den Kosten von IT-Security finden Sie auf unserer Kostenseite.

Welches sind die gängigsten Massnahmen für IT-Security?

Möchten Sie in Ihrem Unternehmen Massnahmen zur IT-Sicherheit festlegen und umsetzen, ist es immer wichtig, Aufwand und Nutzen abzuwägen. Ein IT-Security-Anbieter kann Sie dazu beraten, damit die Massnahmen auch zu Ihrem Betrieb passen. Das sind die gängigsten IT-Security-Massnahmen in KMU:

• Datensicherung (Backup)
• Ausfallsicherung
• Systemüberwachung, Monitoring
• Zugriffskontrollen, Benutzerverwaltung und Verschlüsselung
• Regelmässige Software-Updates
• Antiviren-Software
• Firewall-Protokollierung
• Sicherheitschecks

Wie sicher die IT in Ihrem Unternehmen tatsächlich ist, verrät ein Sicherheitscheck. Sollte jedoch eine ISO-Zertifizierung anstehen, wird ein Security-Audit durchgeführt.

Anzeige

Welche Daten müssen besonders geschützt werden?

Grundsätzlich besteht für sämtliche Daten in einem Unternehmen ein hoher Schutzbedarf. Höchste Priorität aber erfordert der Schutz personenbezogener Daten. Mit dem neuen Datenschutzgesetz, das am 1. September 2023 in Kraft tritt, gelten erhöhte Compliance-Anforderungen für Unternehmen, die grosse Mengen an Personendaten bearbeiten, etwa für Online-Händler. Auch Unternehmen, die besonders schützenswerte Personendaten bearbeiten, müssen höhere Anforderungen erfüllen. Darunter fallen etwa personenbezogene Daten aus dem Gesundheitsbereich.

Der Bundesrat hat im Dezember 2022 seine Botschaft zur Änderung des Bundesgesetzes über die Informationssicherheit vorgelegt. Betreiber kritischer Infrastrukturen wie Energie- oder Telekommunikationsunternehmen sollen künftig dazu verpflichtet werden, Vorfälle im Zusammenhang mit Cybersicherheit der Melde- und Analysestelle Informationssicherung NCSC zu melden.

Welches sind die Anforderungen an IT- und Cybersecurity-Spezialisten?

Die IT-Sicherheit in Ihrem Unternehmen ist vielerlei Bedrohungen ausgesetzt. Ihre IT-Spezialisten sollten sich deshalb mit diesen Themen auskennen:

IT-Risiken

• Technische Systemausfälle
• Höhere Gewalt wie Erdbeben, Blitzschlag, Feuer, Überschwemmung

Cyberrisiken

• Malware wie Viren, Trojaner oder Würmer
• Datendiebstahl, Betrug, Hacker, Phishing und Spionage
• DDOS-Attacken und Erpressung

Wie läuft ein IT-Security-Projekt für ein KMU ab?

1. Prozesse, Systeme und Daten identifizieren
Anhand einer vereinfachten Risikoanalyse können Sie beurteilen, welche Prozesse, Systeme und Daten für Ihren Betrieb oberste Priorität haben. Ein Cyber-Security-Spezialist begleitet Sie während dieser Evaluierung.

2. Technische und organisatorische Massnahmen
Eine technische IT-Security-Strategie umfasst unter anderem:

• Datenschutz: Schutz personenbezogener Daten vor Missbrauch
• Datensicherheit: Vertraulichkeit, Integrität und Verfügbarkeit
• Netzwerksicherheit: Schutz des Netzwerks vor schädlichen Angriffen

Die Implementierung technischer Massnahmen reicht allein nicht aus. Damit die IT-Sicherheit im Unternehmen funktioniert, müssen Ihre Mitarbeitenden gut geschult und für die Sicherheitsmassnahmen sensibilisiert werden. Die Etablierung einer strengen Passwort-Policy ist dabei äusserst wichtig, denn das beste Sicherheitskonzept nützt nichts, wenn es von den Mitarbeitenden nicht ausgeführt wird.

3. Zuständigkeiten und Verantwortliche definieren
Damit die festgelegten Massnahmen umgesetzt werden, brauchen Sie innerhalb des Unternehmens eine zuständige Person oder eine Abteilung, die für Fragen oder Probleme der Mitarbeitenden verantwortlich ist. So reduzieren sich die Antwortzeiten bei Vorfällen und die Meldequote steigt, was wiederum die IT-Sicherheit erhöht.

Wo erhalte ich zusätzliche Informationen?

Die Melde- und Analysestelle Informationssicherung des nationalen Zentrums für Cybersicherheit (NCSC) ist eine staatliche Organisation der Schweiz. Ihre Aufgabe besteht darin, KMU und private Internetnutzende über die Gefahren und aktuellen Trends im Bereich Sicherheit im Internet zu informieren.

Unsere KMU-Einkaufsexperten arbeiten mit diversen Anbietern zusammen, die sich unter anderem mit Backup, Risikoanalyse, Sicherheitschecks und Systemüberwachung auskennen.

Geben Sie im Bedarfs-Check Ihre Wünsche für einen Sicherheitscheck ein.

Autor: Peter Stöferle