⛨Sicherheit im Alltag

Diese drei, in dieser Reihenfolge:

1. Zwei-Faktor-Anmeldung überall aktivieren, wo es sie gibt — zuerst beim Postfach. Sie verhindert den mit Abstand häufigsten Vorfall: den Zugang, der über ein abgefangenes Kennwort übernommen wird.
2. Kennwortspeicher einführen. Damit hört das Wiederverwenden von Kennwörtern auf, und das ist die zweithäufigste Ursache.
3. Sicherungen prüfen — nicht ob sie laufen, sondern ob eine Wiederherstellung funktioniert. Eine ungetestete Sicherung ist eine Hoffnung.

Alles andere ist wichtig, aber nachrangig. Diese drei decken den größten Teil der Fälle ab, die kleine Betriebe tatsächlich treffen.

Zeitaufwand zusammen: ein Nachmittag.

Lang und einzigartig — mehr braucht es nicht, und das Übrige ist überholt.

Was gilt:

• Länge schlägt Komplexität. Vier zufällige Wörter sind besser als „P@ssw0rt!“.
• Für jeden Dienst ein eigenes. Das ist die einzige Regel, die wirklich zählt: Wird ein Dienst gehackt, ist sonst alles andere mit dabei.
• Kein regelmäßiger Wechsel ohne Anlass. Das ist seit Jahren widerlegt — es führt dazu, dass aus „Sommer2024“ „Sommer2025“ wird.

Was Sie nicht tun sollten: Kennwörter im Browser speichern, ohne ihn abzusichern. Und keine Zettel am Bildschirm.

Der einzige praktikable Weg, sich das zu merken: Sie merken sich keines. Dafür gibt es den Kennwortspeicher — ein Kennwort für ihn, alle anderen darin.

Ein Programm, das alle Kennwörter verschlüsselt aufbewahrt. Sie merken sich eines, es merkt sich den Rest, und erzeugt neue, die niemand raten kann.

Ja, Sie brauchen einen. Ohne ihn passiert unweigerlich eines von drei Dingen: dieselben Kennwörter überall, Kennwörter auf Zetteln, oder Kennwörter in einer Datei namens „Passwörter.xlsx“.

Worauf Sie achten:

• Für den Betrieb, nicht nur privat. Es muss geteilte Bereiche geben — die Zugangsdaten zur Domain sollten nicht nur einer Person gehören.
• Notfallzugang. Wenn die Person mit dem Hauptkennwort ausfällt, muss jemand herankommen.
• Zwei-Faktor für den Speicher selbst.

Was Sie hineinlegen: alles. Besonders die Dinge, die selten gebraucht werden — Domainverwaltung, Registrar, Hostinganbieter. Genau die sucht man im Ernstfall.

Ein zweiter Nachweis zusätzlich zum Kennwort — meist ein Zahlencode aus einer App auf dem Handy.

Warum sie so wirksam ist: Ein gestohlenes Kennwort allein nützt dem Angreifer nichts. Das entschärft Phishing, Datenlecks bei anderen Diensten und geratene Kennwörter auf einen Schlag.

Wo zuerst:

1. Postfach. Der wichtigste Zugang überhaupt — über ihn lassen sich alle anderen zurücksetzen.
2. Domainverwaltung.
3. Kennwortspeicher.
4. Bank und Zahlungsdienste.
5. Alles Übrige.

Womit: eine App auf dem Handy. SMS ist besser als nichts, aber angreifbar.

Und richten Sie Wiederherstellungscodes ein und legen Sie sie ab. Ein verlorenes Handy ohne Codes sperrt Sie aus Ihrem eigenen Postfach aus.

An einer Kombination — ein einzelnes Merkmal genügt selten:

• Druck und Frist. „Ihr Konto wird in 24 Stunden gesperrt.“ Echte Anbieter setzen selten so kurze Fristen.
• Ein Link, dessen Ziel nicht passt. Mit der Maus darüberfahren, ohne zu klicken — die tatsächliche Adresse erscheint unten.
• Eine Absenderadresse, die fast stimmt. Ein Buchstabe getauscht, eine andere Endung.
• Unerwarteter Anhang, besonders mit Endungen wie .zip, .exe, .html.
• Anrede ohne Namen, wo sonst einer steht.
• Ungewöhnlicher Vorgang: eine Rechnung, die Sie nicht erwarten; eine Zahlungsänderung eines bekannten Lieferanten.

Der letzte Punkt ist der gefährlichste: Rechnungsbetrug mit geänderter Bankverbindung. Bei jeder Änderung einer Kontonummer: anrufen — unter der Nummer, die Sie kennen, nicht der aus der Mail.

Mit einer einfachen Regel: Nur öffnen, was Sie erwartet haben.

Und wenn Sie unsicher sind:

• Nicht im Vorschaufenster öffnen, sondern beim Absender nachfragen — telefonisch.
• Auf die Endung achten. Gefährlich sind ausführbare Dateien und Archive: .exe, .scr, .js, .zip, .iso. Auch ein Dokument mit Makros.
• Makros nicht aktivieren. Wenn ein Dokument darum bittet, ist es fast immer Schadsoftware.

Was Sie nicht tun sollten: einen verdächtigen Anhang „zur Sicherheit“ an einen Kollegen weiterleiten, damit er mal schaut. Damit verbreiten Sie ihn.

Wenn etwas passiert ist: Gerät vom Netz trennen, melden, nicht weiterarbeiten. Und nicht warten, bis es „von selbst wieder geht“.

Vier Dinge, alle einmalig einzurichten:

1. Festplattenverschlüsselung. Bei aktuellen Systemen eingebaut und in zehn Minuten aktiviert. Sie entscheidet, ob ein verlorenes Gerät eine Datenpanne ist oder nur ein Ärgernis.
2. Bildschirmsperre mit kurzer Zeit — auch im eigenen Büro.
3. Aktuelle Aktualisierungen. Automatisch, nicht „wenn Zeit ist“.
4. Fernsperrung einrichten, wo es sie gibt.

Bei privaten Geräten für dienstliche Zwecke kommt eine Regelung hinzu: Was passiert beim Ausscheiden, wer darf was löschen? Das gehört schriftlich geklärt, bevor der Fall eintritt.

Und der praktische Klassiker: kein ungeschütztes Gerät im Auto lassen. Die meisten verlorenen Notebooks sind gestohlene aus Fahrzeugen.

Dasselbe wie im Büro, plus drei Punkte:

• Kein fremdes WLAN ohne Not. Im Zweifel das Handy als Zugangspunkt. Öffentliche Netze in Cafés und Hotels sind für Vertrauliches nicht geeignet.
• Bildschirm nicht einsehbar — auch nicht für Familienmitglieder. Kundendaten gehen niemanden im Haushalt etwas an.
• Papier. Ausdrucke mit Kundendaten gehören nicht in den Hausmüll.

Was nicht nötig ist: ein besonderes Sicherheitsprodukt. Die Verbindung zu Aurora ist verschlüsselt; das reicht für den normalen Fall.

Und das Organisatorische, das oft fehlt: Wer im Homeoffice arbeitet, sollte wissen, wen er bei einem Vorfall anruft. Zu Hause ist niemand im Nebenzimmer, den man fragen kann.

Drei Eigenschaften — und die dritte fehlt fast immer:

1. Regelmäßig. Automatisch, nicht von Hand.
2. Getrennt. Eine Sicherung, die am selben Netz hängt, wird bei einem Verschlüsselungsangriff mitverschlüsselt. Mindestens eine Kopie muss offline oder an einem anderen Ort liegen.
3. Getestet. Eine Sicherung, aus der noch nie etwas zurückgeholt wurde, ist eine Vermutung.

Der Test ist einfacher, als er klingt: Einmal im Jahr eine Datei oder einen Datensatz zurückholen und ansehen. Zwanzig Minuten.

Und was oft vergessen wird: Auch Cloud-Dienste brauchen Sicherungen. Ein versehentlich gelöschter Ordner ist auch dort weg — synchronisiert wird das Löschen mit.

So wenige wie möglich, mindestens zwei.

Der Grund für „mindestens zwei“ ist nicht Sicherheit, sondern Verfügbarkeit: Wer nur einen Verwalter hat, hat bei dessen Urlaub oder Kündigung ein Problem.

Der Grund für „so wenige wie möglich“: Jeder zusätzliche Vollzugriff ist ein weiterer Weg, versehentlich etwas Großes zu tun, und ein weiterer Zugang, der übernommen werden kann.

Praktisch heißt das für einen Betrieb mit zehn Personen: zwei Verwalter, der Rest mit der Rolle, die zur Arbeit passt.

Eine Regel noch, die am häufigsten gebrochen wird: Ein Zugang gehört einer Person. Geteilte Zugänge machen jede Nachvollziehbarkeit unmöglich, und im Streitfall ist das genau die Information, die zählt.

Maßnahmen, die Aufwand kosten und nichts bringen — oder schaden:

• Regelmäßiger Kennwortwechsel ohne Anlass. Führt zu vorhersehbaren Mustern. Wechseln bei Verdacht, sonst nicht.
• Komplexitätsregeln („mindestens ein Sonderzeichen“). Erzeugen „P@ssw0rt!“ statt Länge.
• Kennwortlisten in verschlüsselten Excel-Dateien. Der Schutz ist schwach, die Handhabung schlecht.
• Sicherheitsfragen wie der Mädchenname der Mutter. Meist öffentlich recherchierbar.
• Umfangreiche Richtlinien, die niemand liest. Eine Seite, die gelesen wird, schlägt zwanzig, die abgeheftet werden.

Was stattdessen wirkt, sind die drei Punkte vom Anfang: Zwei-Faktor, Kennwortspeicher, getestete Sicherungen. Der Rest ist Feinschliff.

Nicht mit einer Jahresschulung, sondern mit drei Gewohnheiten:

• Melden ist erwünscht und folgenlos. Wer auf einen falschen Link geklickt hat und sich meldet, hat richtig gehandelt. Wer dafür Ärger bekommt, meldet es beim nächsten Mal nicht — und das ist der teure Fall.
• Echte Beispiele zeigen. Eine tatsächlich eingegangene Phishing-Mail, gemeinsam angesehen, wirkt mehr als jede Präsentation.
• Eine Regel je Quartal. Nicht zwölf auf einmal. Diesmal: Bankverbindungsänderungen immer telefonisch prüfen. Nächstes Mal: etwas anderes.

Was nicht funktioniert: Angst. Wer glaubt, jeder Klick sei gefährlich, klickt entweder gar nichts mehr oder gewöhnt sich daran, die Warnung zu ignorieren.

Und das Wichtigste: Vormachen. Wer sein eigenes Kennwort weitergibt, kann keine Regel durchsetzen.

Auf vier Dinge, und zwar vor der Zusammenarbeit:

1. Eigener Zugang, befristet, mit der kleinsten passenden Rolle.
2. Auftragsverarbeitungsvertrag, wenn personenbezogene Daten im Spiel sind.
3. Wer beim Dienstleister hat Zugriff? Ein Vertrag mit einer Agentur heißt nicht, dass nur der Ansprechpartner hineinsieht.
4. Was passiert am Ende? Zugänge abschalten, Daten löschen, Zugangsdaten zurückgeben — das gehört in den Vertrag, nicht in die Abschlussmail.

Bleibt der Punkt, der am meisten Ärger erspart: Die Domain gehört Ihnen. Prüfen Sie, auf wen sie eingetragen ist. Eine Domain, die auf den Dienstleister läuft, ist im Streitfall seine.

Kündigen Sie Zugänge am Tag des Vertragsendes, nicht wenn Sie wieder daran denken.