# vetosec: IT-Sicherheit für den Mittelstand in Österreich > Vollständige Wissensdatenbank. Quelle: https://vetosec.at/it-sicherheit/ ## Der IT-Check in Fakten - Leistung: IT-Check, ein unabhängiges IT-Audit für kleine und mittlere Betriebe. Die Begriffe IT-Check, IT-Audit, IT-Sicherheitscheck und IT-Sicherheitsaudit bezeichnen bei vetosec dieselbe Leistung. - Prüfumfang: 8 Prüfbereiche mit über 100 Prüfpunkten. - Enthalten: Ein leichter Penetrationstest, also eine aktive Prüfung gängiger Angriffswege und Konfigurationen. Kritische Systeme wie der Domaincontroller werden dabei nicht angetastet. - Datenerhebung: Vor Ort, an einem Termin erledigt. Read-only: Systeme werden gelesen und dokumentiert, nicht verändert. Der Betrieb läuft unterbrechungsfrei weiter. - Ergebnis: Dokumentierter Befund mit priorisiertem Maßnahmenplan, persönlich präsentiert, innerhalb von zwei Wochen. - Preis: Ab 1.299 € exkl. USt. Der Endpreis richtet sich nach Größe und Umfang der IT. - Vertraulichkeit: Eine Geheimhaltungsvereinbarung wird vor Beginn unterzeichnet. - Erstgespräch: 20 Minuten, online, ohne Kosten und unverbindlich. - Anbieter: vetosec, Einzelunternehmen, UID ATU83405913, Standort Berndorf, Niederösterreich, Österreich. Kontakt: office@vetosec.at # Grundlagen # IT-Sicherheit im KMU **Was bedeutet IT-Sicherheit für ein KMU?** IT-Sicherheit im KMU bedeutet, die wenigen Maßnahmen zuverlässig umzusetzen, die den größten Teil der realen Angriffe abfangen: aktuelle Systeme, getestete Backups, Zwei-Faktor-Anmeldung, saubere Berechtigungen und Mitarbeiter, die Phishing erkennen. Kleine und mittlere Betriebe stehen vor derselben Bedrohungslage wie Konzerne, verfügen aber selten über eine eigene Sicherheitsabteilung. Der Großteil der Angriffe läuft automatisiert ab. Sie suchen nach bekannten Schwachstellen und schwachen Zugängen und fragen dabei nicht nach der Größe des Ziels. Die Wirtschaftskammer Österreich und die Initiative Onlinesicherheit des Bundes veröffentlichen Leitfäden, die sich ausdrücklich an Betriebe ohne eigene IT-Abteilung richten. Beide sind frei zugänglich und ein guter Startpunkt, bevor Sie Geld in die Hand nehmen. ## Verwandte Begriffe - [Schutzziele: Vertraulichkeit, Integrität, Verfügbarkeit](https://vetosec.at/it-sicherheit/schutzziele/) - [Angriffsfläche](https://vetosec.at/it-sicherheit/angriffsflaeche/) - [Mitarbeiterschulung (Awareness)](https://vetosec.at/it-sicherheit/awareness-schulung/) - [Backup und Wiederherstellung](https://vetosec.at/it-sicherheit/backup-wiederherstellung/) ## Quelle https://vetosec.at/it-sicherheit/it-sicherheit-kmu/ (vetosec, grundlagen) --- # Schwachstelle und Schwachstellenanalyse **Was ist eine Schwachstelle?** Eine Schwachstelle ist ein Fehler oder eine Fehlkonfiguration in Software, Hardware oder Einstellungen, über die ein Angreifer in ein System gelangen kann. Eine Schwachstellenanalyse sucht diese Punkte systematisch und bewertet ihr Risiko. Öffentlich bekannte Schwachstellen erhalten eine weltweit eindeutige Kennung, die CVE-Nummer, und eine Bewertung ihrer Schwere nach dem CVSS-Verfahren. Beides ist frei einsehbar. Angreifer arbeiten mit denselben öffentlichen Quellen wie Prüfer. Der praktische Hebel liegt beim Einspielen der Sicherheitsupdates. Genauso wichtig ist die Dokumentation der Systeme, die aus dem Update-Prozess herausfallen, etwa Maschinensteuerungen oder alte Fachsoftware. Für diese Systeme braucht es eine bewusste Entscheidung und eine Absicherung im Netzwerk. ## Verwandte Begriffe - [Schwachstellenscan](https://vetosec.at/it-sicherheit/schwachstellenscan/) - [Patch-Management und Updates](https://vetosec.at/it-sicherheit/patch-management/) - [Zero-Day-Lücke](https://vetosec.at/it-sicherheit/zero-day/) ## Quelle https://vetosec.at/it-sicherheit/schwachstelle/ (vetosec, grundlagen) --- # Angriffsfläche **Was ist die Angriffsfläche in der IT-Sicherheit?** Die Angriffsfläche ist die Summe aller Punkte, über die jemand in Ihre IT eindringen kann: erreichbare Geräte, Zugänge, Programme und Schnittstellen. Jeder dieser Punkte muss gewartet und überwacht werden. Wer die Angriffsfläche klein hält, hat weniger Stellen zu verteidigen. In einem kleinen Betrieb besteht die Angriffsfläche aus mehr Teilen, als auf den ersten Blick sichtbar ist. Dazu gehören der Internetanschluss mit allen Freigaben, also den Öffnungen, über die Datenverkehr aus dem Internet ein Gerät im Haus erreicht, der Fernzugang ins Büro, die Firmenwebseite und ein möglicher Webshop, das E-Mail-Konto jeder Mitarbeiterin und jedes Mitarbeiters, jeder Cloud-Dienst mit Anmeldung aus dem Internet, das Netzwerkspeichergerät im Serverraum, Drucker und Kameras mit eigener Weboberfläche sowie private Geräte im Firmennetz. Jedes dieser Teile besteht aus Software, und Software enthält Fehler, die früher oder später bekannt werden. Die Angriffsfläche wächst im Alltag, ohne dass jemand eine Entscheidung darüber trifft. Ein Techniker richtet für eine Wartung einen Fernzugang ein, und dieser bleibt nach dem Einsatz bestehen. Eine Abteilung meldet sich bei einem Cloud-Dienst an, von dem sonst niemand weiß. Ein Testsystem läuft weiter, obwohl das Projekt abgeschlossen ist. Das Konto einer ausgeschiedenen Mitarbeiterin bleibt aktiv. Zugänge dieser Art werden selten gewartet und stehen einem Angreifer offen. Ob Sie ein Problem haben, klärt eine einzige Frage: Kann jemand in Ihrem Betrieb innerhalb weniger Minuten sagen, welche Systeme aus dem Internet erreichbar sind und wer darauf zugreifen darf? Bleibt die Antwort unklar, ist die Angriffsfläche unbekannt. Der erste sinnvolle Schritt ist eine Liste aller Geräte, Dienste und Zugänge. Danach folgt der Blick von außen: Welche Dienste antworten auf Ihrer öffentlichen Internetadresse? Was niemand mehr braucht, wird abgeschaltet. Was gebraucht wird, erhält aktuelle Updates und eine Anmeldung mit zweitem Faktor, also einer zweiten Bestätigung zusätzlich zum Passwort. Eine Prüfung von innen und von außen macht die Angriffsfläche sichtbar. Der IT-Check von vetosec erhebt die vorhandenen Systeme, Zugänge und Freigaben in 8 Prüfbereichen mit über 100 Prüfpunkten und enthält einen leichten Penetrationstest, der zeigt, was von außen erreichbar ist. Die Datenerhebung vor Ort ist read-only, es wird also ausschließlich gelesen und dokumentiert, und sie läuft unterbrechungsfrei. Den dokumentierten Befund mit einem nach Dringlichkeit geordneten Maßnahmenplan erhalten Sie innerhalb von zwei Wochen. ## Verwandte Begriffe - [IT-Inventar](https://vetosec.at/it-sicherheit/it-inventar/) - [Schwachstelle und Schwachstellenanalyse](https://vetosec.at/it-sicherheit/schwachstelle/) - [Penetrationstest](https://vetosec.at/it-sicherheit/penetrationstest/) - [Zero Trust](https://vetosec.at/it-sicherheit/zero-trust/) ## Quelle https://vetosec.at/it-sicherheit/angriffsflaeche/ (vetosec, grundlagen) --- # Schutzziele: Vertraulichkeit, Integrität, Verfügbarkeit **Was sind die Schutzziele der Informationssicherheit?** Die Schutzziele der Informationssicherheit sind Vertraulichkeit, Integrität und Verfügbarkeit. Vertraulichkeit bedeutet, dass nur befugte Personen Daten sehen. Integrität bedeutet, dass Daten unverfälscht bleiben. Verfügbarkeit bedeutet, dass Daten und Systeme bereitstehen, wenn Sie sie brauchen. Die drei Ziele geben Ihnen eine Ordnung für Entscheidungen. Jede Schutzmaßnahme lässt sich einem oder mehreren Zielen zuordnen, und jeder Vorfall verletzt eines oder mehrere davon. Ein Angriff mit Erpressungssoftware, die Daten verschlüsselt und für die Freigabe Geld verlangt, trifft zuerst die Verfügbarkeit, weil niemand mehr arbeiten kann. Werden dabei Daten kopiert und veröffentlicht, ist zusätzlich die Vertraulichkeit verletzt. Im Alltag sehen die drei Ziele so aus. Die Vertraulichkeit ist verletzt, wenn der Ordner mit der Lohnverrechnung für alle Beschäftigten lesbar im Netzwerk liegt. Die Integrität ist verletzt, wenn in einer Rechnung die Bankverbindung verändert wird und die Zahlung auf ein fremdes Konto geht. Die Verfügbarkeit ist verletzt, wenn der Server ausfällt und die Aufträge des Tages liegen bleiben. Die Gewichtung der drei Ziele hängt von Ihrem Geschäft ab. Ein Produktionsbetrieb, der ohne laufende Maschinen keinen Umsatz macht, stellt die Verfügbarkeit voran. Eine Kanzlei oder eine Ordination, die Berufsgeheimnisse verwaltet, stellt die Vertraulichkeit voran. Der erste sinnvolle Schritt ist eine kurze Liste: Welche drei bis fünf Datenbestände und Abläufe braucht Ihr Betrieb, um arbeiten zu können? Fragen Sie zu jedem Punkt, was ein Diebstahl, eine unbemerkte Veränderung und ein Ausfall für Sie bedeuten würden. Aus den Antworten ergibt sich, welche Maßnahmen zuerst wirken. Die Schutzziele stehen auch im Gesetz. Artikel 32 der Datenschutz-Grundverordnung verlangt, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste auf Dauer sicherzustellen und die Wirksamkeit der getroffenen Maßnahmen regelmäßig zu überprüfen. Wer personenbezogene Daten verarbeitet, etwa Kunden- oder Personaldaten, muss sich also mit allen drei Zielen befassen. Eine externe Prüfung zeigt, an welchen Stellen eines der Ziele ungeschützt bleibt. Der IT-Check von vetosec prüft in 8 Prüfbereichen über 100 Prüfpunkte, darunter Zugriffsrechte, Datensicherungen und die Erreichbarkeit von Systemen aus dem Internet. Der Befund ordnet die Feststellungen nach Dringlichkeit und beschreibt zu jeder Feststellung die empfohlene Maßnahme. ## Verwandte Begriffe - [Angriffsfläche](https://vetosec.at/it-sicherheit/angriffsflaeche/) - [Technische und organisatorische Maßnahmen (TOM)](https://vetosec.at/it-sicherheit/tom-dsgvo/) - [Backup und Wiederherstellung](https://vetosec.at/it-sicherheit/backup-wiederherstellung/) - [DSGVO](https://vetosec.at/it-sicherheit/dsgvo/) ## Quelle https://vetosec.at/it-sicherheit/schutzziele/ (vetosec, grundlagen) --- # Zero Trust **Was ist Zero Trust?** Zero Trust ist ein Sicherheitsmodell, bei dem jeder Zugriff einzeln geprüft wird, auch wenn er aus dem eigenen Netzwerk kommt. Geprüft wird, wer zugreift, mit welchem Gerät und auf welche Daten. Berechtigungen werden auf das für die Aufgabe Notwendige begrenzt. Lange folgten Firmennetze dem Bild einer Burg. Die Firewall bewachte den Rand, und im Inneren durften Geräte und Benutzer weitgehend frei aufeinander zugreifen. Mit Homeoffice, Cloud-Diensten, Diensthandys und Fernwartungszugängen verliert dieser Rand seine Bedeutung, weil Zugriffe von überall kommen. Zero Trust zieht daraus die Folgerung, jeden Zugriff einzeln zu prüfen, gleich ob er aus dem Büro, aus dem Homeoffice oder aus dem Internet stammt. Drei Grundsätze tragen das Modell. Der erste ist die Identität: Jeder Zugang wird durch eine starke Anmeldung abgesichert, in der Regel mit Zwei-Faktor-Authentifizierung, also einer zweiten Bestätigung zusätzlich zum Passwort. Der zweite ist die minimale Berechtigung: Jede Person und jedes System erhält genau die Rechte, die für die Aufgabe nötig sind. Der dritte ist die Trennung: Das Netzwerk wird in Bereiche unterteilt, damit ein übernommenes Gerät nur einen kleinen Ausschnitt erreicht. Für einen Betrieb ohne eigene IT-Abteilung ist Zero Trust eine Richtung, an der sich einzelne Entscheidungen ausrichten lassen. Der Kauf eines Produkts allein stellt das Modell nicht her. Die ersten Schritte bleiben überschaubar: Zwei-Faktor-Authentifizierung für alle Zugänge, die aus dem Internet erreichbar sind, also E-Mail, Fernzugang und Cloud-Konten. Getrennte Konten für die tägliche Arbeit und für Administratoraufgaben. Ein eigenes Netz für Gäste, Kameras und Maschinen. Einmal im Jahr eine Durchsicht, wer auf welche Ordner zugreifen darf. Den Handlungsbedarf erkennen Sie an wiederkehrenden Situationen. Ein einziger Fernzugang bringt einen Dienstleister ins gesamte Netzwerk. Alle Beschäftigten können jeden Ordner öffnen, weil die Rechtevergabe nie eingerichtet wurde. Der Wartungszugang eines Lieferanten besteht dauerhaft und mit vollen Rechten. In solchen Fällen genügt ein gestohlenes Passwort, damit ein Angreifer den ganzen Betrieb erreicht. Der IT-Check von vetosec erhebt, welche Zugänge bestehen, wie sie abgesichert sind, wie Berechtigungen vergeben wurden und ob das Netzwerk in Bereiche getrennt ist. Aus dem Befund ergibt sich ein Maßnahmenplan nach Dringlichkeit, den Sie Schritt für Schritt abarbeiten können. Für das Erstgespräch von 20 Minuten entstehen keine Kosten. ## Verwandte Begriffe - [Berechtigungskonzept und minimale Rechte](https://vetosec.at/it-sicherheit/berechtigungskonzept/) - [Zwei-Faktor-Authentifizierung (2FA)](https://vetosec.at/it-sicherheit/zwei-faktor-authentifizierung/) - [Netzwerksegmentierung](https://vetosec.at/it-sicherheit/netzwerksegmentierung/) - [Angriffsfläche](https://vetosec.at/it-sicherheit/angriffsflaeche/) ## Quelle https://vetosec.at/it-sicherheit/zero-trust/ (vetosec, grundlagen) --- # IT-Inventar **Was ist ein IT-Inventar?** Ein IT-Inventar ist eine aktuelle Liste aller Geräte, Programme, Konten und Dienste, die Ihr Betrieb nutzt. Sie hält fest, was vorhanden ist, wo es läuft und wer dafür zuständig ist. Das Inventar ist die Grundlage für Updates, Datensicherung und die Reaktion auf einen Vorfall. Was in der IT unbekannt ist, wird nicht gewartet und nicht gesichert. Der alte Rechner im Lager, der eine Maschine steuert, das Netzwerkspeichergerät im Serverraum, der Router in der Zweigstelle: Solche Geräte laufen oft jahrelang ohne Update, weil sie auf keiner Liste stehen. Ein Angreifer findet sie dennoch, weil automatische Suchprogramme das Internet laufend nach erreichbaren Geräten absuchen. In ein Inventar gehören alle Geräte mit Netzwerkanschluss, also Server, Arbeitsplatzrechner, Notebooks, Diensthandys, Netzwerkspeicher, Router, Firewalls, Drucker, Kameras und Maschinen mit Steuerung. Dazu kommen die eingesetzten Programme mit ihrer Version, die Cloud-Dienste und Abonnements, die Benutzer- und Administratorkonten, die Zugänge externer Dienstleister, Ihre Internet-Domains und die Datensicherungen. Zu jedem Eintrag halten Sie fest, wer zuständig ist und wie lange der Hersteller noch Sicherheitsupdates liefert. Der Anfang gelingt mit einer einfachen Tabelle und wenigen Spalten: Bezeichnung, Standort, Betriebssystem samt Version, zuständige Person, Ende des Herstellersupports und die Frage, ob das Gerät gesichert wird. Zwei Quellen helfen beim Befüllen: die Geräteliste Ihres Routers, die alle verbundenen Geräte zeigt, und die Buchhaltung, in der die Rechnungen für Software-Abonnements und Cloud-Dienste liegen. Danach genügt ein fixer Termin einmal im Quartal, um die Liste zu pflegen. Ob Ihr Inventar ausreicht, klären drei Fragen. Können Sie in wenigen Minuten sagen, wie viele Server und wie viele Arbeitsplätze in Betrieb sind? Wissen Sie beim Austritt einer Mitarbeiterin oder eines Mitarbeiters, welche Konten und Zugänge zu sperren sind? Können Sie nach einem Sicherheitsvorfall benennen, welche Geräte betroffen sein könnten? Das Inventar hilft zusätzlich beim Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 der Datenschutz-Grundverordnung, also der Übersicht darüber, welche personenbezogenen Daten zu welchem Zweck verarbeitet werden, weil es zeigt, wo diese Daten liegen. Die Bestandsaufnahme vor Ort ist Teil des IT-Checks von vetosec. Die Datenerhebung ist read-only, es wird also ausschließlich gelesen und dokumentiert, und sie läuft unterbrechungsfrei, während Ihr Betrieb weiterarbeitet. Innerhalb von zwei Wochen erhalten Sie den dokumentierten Befund, der Ihnen zugleich als Ausgangspunkt für ein eigenes, laufend gepflegtes Inventar dient. ## Verwandte Begriffe - [Angriffsfläche](https://vetosec.at/it-sicherheit/angriffsflaeche/) - [Patch-Management und Updates](https://vetosec.at/it-sicherheit/patch-management/) - [Schwachstellenscan](https://vetosec.at/it-sicherheit/schwachstellenscan/) - [Berechtigungskonzept und minimale Rechte](https://vetosec.at/it-sicherheit/berechtigungskonzept/) ## Quelle https://vetosec.at/it-sicherheit/it-inventar/ (vetosec, grundlagen) --- # Cloud-Sicherheit **Wer ist für die Sicherheit in der Cloud verantwortlich?** In der Cloud ist die Verantwortung geteilt. Der Anbieter sichert die Technik, auf der Ihr Dienst läuft. Sie sichern, was Sie hineinstellen und wer darauf zugreifen darf. Der zweite Teil wird häufig übersehen. Der Anbieter kümmert sich um Rechenzentrum, Hardware und die Verfügbarkeit der Plattform. Ihre Konten, Ihre Berechtigungen, Ihre Freigaben und Ihre Daten bleiben Ihre Sache. Ein öffentlich freigegebener Ordner ist kein Fehler des Anbieters. Die häufigsten Vorfälle in der Cloud sind unspektakulär. Ein übernommenes Konto ohne zweiten Faktor. Eine Freigabe, die für einen Kunden gedacht war und für alle offen steht. Ein ausgeschiedener Mitarbeiter, dessen Zugang niemand entzogen hat. Ein Administratorkonto, das im Alltag mitbenutzt wird. Prüfen Sie daher regelmäßig, wer Zugang hat, welche Daten geteilt sind und ob die Zwei-Faktor-Authentifizierung überall greift. Klären Sie außerdem die Sicherung. Viele Anbieter sichern die Plattform, nicht jedoch Ihre Inhalte gegen Ihr eigenes Versehen oder gegen eine Verschlüsselung durch Angreifer. ## Verwandte Begriffe - [Microsoft 365 absichern](https://vetosec.at/it-sicherheit/microsoft-365-sicherheit/) - [Auftragsverarbeitung (AVV)](https://vetosec.at/it-sicherheit/auftragsverarbeitung/) - [Berechtigungskonzept und minimale Rechte](https://vetosec.at/it-sicherheit/berechtigungskonzept/) - [Backup und Wiederherstellung](https://vetosec.at/it-sicherheit/backup-wiederherstellung/) ## Quelle https://vetosec.at/it-sicherheit/cloud-sicherheit/ (vetosec, grundlagen) --- # Schatten-IT **Was ist Schatten-IT?** Schatten-IT sind Programme, Geräte und Dienste, die im Betrieb verwendet werden, ohne dass die IT davon weiß. Sie entsteht selten aus böser Absicht. Sie entsteht, weil jemand seine Arbeit erledigen will. Typische Beispiele sind ein privater Cloud-Speicher für eine große Datei, ein Übersetzungsdienst im Browser, in den Vertragstexte eingefügt werden, ein privates Mobiltelefon mit Firmen-E-Mail oder ein Werkzeug, das eine Abteilung selbst gekauft hat. Das Problem ist nicht die Software an sich. Das Problem ist, dass niemand sie kennt. Sie wird nicht aktualisiert, sie taucht in keiner Sicherung auf, sie wird beim Ausscheiden eines Mitarbeiters nicht entzogen, und im Fall eines Datenlecks weiß niemand, welche Daten überhaupt betroffen sind. Verbote helfen wenig, weil der Bedarf bestehen bleibt. Fragen Sie stattdessen offen, womit tatsächlich gearbeitet wird, und stellen Sie für die häufigsten Fälle einen geprüften Weg bereit. Ein aktuelles Verzeichnis der eingesetzten Dienste ist die Grundlage dafür. ## Verwandte Begriffe - [IT-Inventar](https://vetosec.at/it-sicherheit/it-inventar/) - [Angriffsfläche](https://vetosec.at/it-sicherheit/angriffsflaeche/) - [Cloud-Sicherheit](https://vetosec.at/it-sicherheit/cloud-sicherheit/) - [Datenleck](https://vetosec.at/it-sicherheit/datenleck/) ## Quelle https://vetosec.at/it-sicherheit/schatten-it/ (vetosec, grundlagen) --- # Risikoanalyse **Wie führt man eine Risikoanalyse durch?** Eine Risikoanalyse beantwortet drei Fragen. Was kann passieren, wie wahrscheinlich ist es, und was kostet es. Daraus ergibt sich, wo Sie zuerst investieren. Der Ausgangspunkt ist eine Liste dessen, was Sie schützen. Kundendaten, die Buchhaltung, die Produktion, die Erreichbarkeit per E-Mail. Ohne diese Liste bewerten Sie ins Leere, weil Sie nicht wissen, worum es geht. Danach wird je Punkt überlegt, was schiefgehen kann und was das bedeuten würde. Ein Ausfall der Warenwirtschaft für drei Tage lässt sich in Geld beziffern. Der Verlust von Patientendaten oder Mandantenakten trifft zusätzlich Ihre Berufspflichten und Ihren Ruf. Das Ergebnis ist eine Reihenfolge. Ein hohes Risiko mit geringen Kosten der Behebung wird zuerst angegangen. Halten Sie die Analyse schriftlich fest. Nach § 32 NISG 2026 gehört die Risikoanalyse zu den Anforderungen, und auch Art. 32 DSGVO verlangt Maßnahmen, die zum Risiko passen. ## Verwandte Begriffe - [Schutzziele: Vertraulichkeit, Integrität, Verfügbarkeit](https://vetosec.at/it-sicherheit/schutzziele/) - [IT-Inventar](https://vetosec.at/it-sicherheit/it-inventar/) - [Gap-Analyse](https://vetosec.at/it-sicherheit/gap-analyse/) - [NIS2](https://vetosec.at/it-sicherheit/nis2/) ## Quelle https://vetosec.at/it-sicherheit/risikoanalyse/ (vetosec, grundlagen) --- # Prüfung und Audit # IT-Sicherheitscheck **Was ist ein IT-Sicherheitscheck?** Ein IT-Sicherheitscheck ist eine strukturierte Prüfung der IT eines Betriebs. Er erhebt den Ist-Zustand von Netzwerk, Servern, Arbeitsplätzen und Zugängen, bewertet die gefundenen Risiken und ordnet sie nach Dringlichkeit. Der Begriff wird in Österreich für sehr unterschiedliche Leistungen verwendet. Die Bandbreite reicht vom automatisierten Online-Scan bis zur mehrtägigen Prüfung durch ein ganzes Team. Für die Aussagekraft entscheidend sind drei Punkte: der Prüfumfang, die Frage, ob jemand vor Ort in den Serverraum und in die Systeme schaut, und die Form, in der Sie das Ergebnis erhalten. Beim IT-Check von vetosec umfasst der Prüfumfang 8 Prüfbereiche mit über 100 Prüfpunkten. Die Datenerhebung vor Ort ist an einem Termin erledigt. Sie ist read-only, das heißt, es wird ausschließlich gelesen und dokumentiert, und sie läuft unterbrechungsfrei, während Ihr Betrieb normal weiterarbeitet. Den dokumentierten Befund mit priorisiertem Maßnahmenplan erhalten Sie innerhalb von zwei Wochen. ## Verwandte Begriffe - [IT-Sicherheitsaudit](https://vetosec.at/it-sicherheit/it-sicherheitsaudit/) - [IT-Audit](https://vetosec.at/it-sicherheit/it-audit/) - [Befund und Maßnahmenplan](https://vetosec.at/it-sicherheit/befund-massnahmenplan/) - [Penetrationstest](https://vetosec.at/it-sicherheit/penetrationstest/) ## Quelle https://vetosec.at/it-sicherheit/it-sicherheitscheck/ (vetosec, pruefung) --- # IT-Sicherheitsaudit **Was ist ein IT-Sicherheitsaudit?** Ein IT-Sicherheitsaudit ist die Prüfung der IT-Sicherheit eines Unternehmens gegen einen vorher festgelegten Maßstab. Dieser Maßstab kann ein anerkannter Standard sein, ein gesetzlicher Anforderungskatalog oder die Prüfliste des Auditors. Der Unterschied zum Sicherheitscheck liegt im Maßstab und in der Nachweisbarkeit. Ein Audit hält für jede Anforderung fest, ob sie erfüllt, teilweise erfüllt oder offen ist. Das Ergebnis ist ein Auditbericht, den Sie Dritten vorlegen können, etwa einer Versicherung, einem Auftraggeber oder einer Behörde. Unterschieden werden interne Audits, die ein Unternehmen selbst durchführt, und externe Audits durch eine unabhängige Stelle. Ein Zertifizierungsaudit nach ISO/IEC 27001 ist davon noch einmal abzugrenzen: Es darf ausschließlich eine akkreditierte Zertifizierungsstelle durchführen. ## Verwandte Begriffe - [IT-Sicherheitscheck](https://vetosec.at/it-sicherheit/it-sicherheitscheck/) - [IT-Audit](https://vetosec.at/it-sicherheit/it-audit/) - [Gap-Analyse](https://vetosec.at/it-sicherheit/gap-analyse/) - [ISO/IEC 27001](https://vetosec.at/it-sicherheit/iso-27001/) ## Quelle https://vetosec.at/it-sicherheit/it-sicherheitsaudit/ (vetosec, pruefung) --- # IT-Audit **Was ist ein IT-Audit?** Ein IT-Audit ist die systematische Prüfung der Informationstechnik einer Organisation, also der Systeme, der Abläufe und der Nachweise dahinter. Der Begriff stammt aus der Wirtschaftsprüfung und ist breiter gefasst als das IT-Sicherheitsaudit. Ein IT-Audit kann neben der Sicherheit auch die Verfügbarkeit der Systeme, die Lizenzlage, die Kosten und die Frage betrachten, ob die vorhandene IT die Ziele des Betriebs überhaupt trägt. Im Sprachgebrauch kleiner und mittlerer Betriebe meinen IT-Audit, IT-Check und IT-Sicherheitsaudit meist dieselbe Leistung: eine unabhängige Bestandsaufnahme mit schriftlichem Ergebnis. Fragen Sie im Zweifel nach zwei Dingen: nach dem Prüfumfang in Bereichen und Prüfpunkten und nach der Form des Berichts, den Sie am Ende in der Hand halten. ## Verwandte Begriffe - [IT-Sicherheitscheck](https://vetosec.at/it-sicherheit/it-sicherheitscheck/) - [IT-Sicherheitsaudit](https://vetosec.at/it-sicherheit/it-sicherheitsaudit/) - [Befund und Maßnahmenplan](https://vetosec.at/it-sicherheit/befund-massnahmenplan/) ## Quelle https://vetosec.at/it-sicherheit/it-audit/ (vetosec, pruefung) --- # Penetrationstest **Was ist ein Penetrationstest?** Ein Penetrationstest ist ein beauftragter, kontrollierter Angriffsversuch auf die eigenen Systeme. Er weist nach, ob eine gefundene Schwachstelle tatsächlich ausnutzbar ist. Der Aufwand reicht von einem eintägigen Test einzelner Systeme bis zu mehrwöchigen Projekten mit mehreren Testern. Ein vollständiger Penetrationstest ist eine eigenständige Beauftragung mit eigenem Umfang, eigener schriftlicher Rechtsgrundlage und eigenem Budget. Im IT-Check von vetosec ist ein leichter Penetrationstest enthalten. Er prüft aus der Sicht eines Angreifers, was von außen erreichbar ist, und bleibt im Umfang bewusst schlank. Wer eine vollständige Prüfung mit mehreren Angriffspfaden benötigt, beauftragt dafür einen eigenständigen Penetrationstest. ## Verwandte Begriffe - [Schwachstellenscan](https://vetosec.at/it-sicherheit/schwachstellenscan/) - [Schwachstelle und Schwachstellenanalyse](https://vetosec.at/it-sicherheit/schwachstelle/) - [IT-Sicherheitsaudit](https://vetosec.at/it-sicherheit/it-sicherheitsaudit/) ## Quelle https://vetosec.at/it-sicherheit/penetrationstest/ (vetosec, pruefung) --- # Schwachstellenscan **Was ist ein Schwachstellenscan?** Ein Schwachstellenscan ist eine automatisierte Prüfung von Systemen auf bekannte Sicherheitslücken und Fehlkonfigurationen. Eine Software vergleicht dabei Versionsstände und Einstellungen mit öffentlichen Schwachstellendatenbanken und meldet jeden Treffer mit einer Risikobewertung. Im Alltag läuft ein Schwachstellenscan als Programm, das die Geräte im Netzwerk anspricht und feststellt, welches Betriebssystem, welche Dienste und welche Versionsstände dort in Betrieb sind. Diese Angaben vergleicht es mit öffentlichen Verzeichnissen bekannter Sicherheitslücken. Jede öffentlich bekannte Lücke trägt eine CVE-Nummer, also eine weltweit eindeutige Kennung, und eine Bewertung ihrer Schwere nach dem CVSS-Verfahren auf einer Skala von 0 bis 10. Zwei Blickwinkel sind zu unterscheiden. Der externe Scan betrachtet Ihren Betrieb von außen, so wie ihn ein Angreifer aus dem Internet sieht: Firewall, Fernwartungszugänge, Webseite und Mailserver. Der interne Scan läuft im eigenen Netzwerk und zeigt, was ein Angreifer nach einem ersten erfolgreichen Schritt vor sich hätte. Ein authentifizierter Scan meldet sich zusätzlich mit einem Benutzerkonto an und erkennt dadurch auch fehlende Updates in installierter Software. Ein Scan findet das, was öffentlich bekannt ist. Ob eine gemeldete Lücke in Ihrem konkreten Aufbau tatsächlich ausnutzbar ist, klärt ein Penetrationstest, also ein kontrollierter Angriffsversuch, der mit Ihrer schriftlichen Zustimmung durchgeführt wird. Dazu kommen Fehlalarme, sogenannte False Positives: Der Scanner meldet eine Lücke, die durch eine andere Einstellung bereits abgefangen wird. Zu jedem Scan gehört deshalb die Nachbearbeitung durch einen Menschen, der die Treffer prüft, einordnet und die Liste auf die Punkte kürzt, die für Ihren Betrieb zählen. Der erste sinnvolle Schritt liegt vor dem Scan: eine Liste Ihrer Systeme. Prüfen lässt sich nur, was bekannt ist. Zu einem über Jahre gewachsenen Netzwerk gehören auch Geräte mit eigener Weboberfläche wie Drucker, Netzwerkspeicher, Kameras oder Maschinensteuerungen, und diese Geräte gehören ebenfalls auf die Liste. Klären Sie außerdem vorab die Zuständigkeiten: Systeme, die bei einem Hoster oder in der Cloud betrieben werden, dürfen Sie nur nach den Regeln des Anbieters prüfen lassen, und Ihr IT-Dienstleister sollte den Termin kennen. Artikel 32 Absatz 1 lit. d DSGVO verlangt ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen. Ein wiederkehrender Scan mit dokumentiertem Ergebnis ist eine Möglichkeit, diese Überprüfung nachzuweisen. Im IT-Check ist die Prüfung auf Schwachstellen Teil von 8 Prüfbereichen mit über 100 Prüfpunkten. Die Datenerhebung vor Ort ist read-only, es wird also ausschließlich gelesen und dokumentiert, und sie läuft unterbrechungsfrei, während Ihr Betrieb weiterarbeitet. ## Verwandte Begriffe - [Schwachstelle und Schwachstellenanalyse](https://vetosec.at/it-sicherheit/schwachstelle/) - [Penetrationstest](https://vetosec.at/it-sicherheit/penetrationstest/) - [IT-Sicherheitsaudit](https://vetosec.at/it-sicherheit/it-sicherheitsaudit/) - [Befund und Maßnahmenplan](https://vetosec.at/it-sicherheit/befund-massnahmenplan/) ## Quelle https://vetosec.at/it-sicherheit/schwachstellenscan/ (vetosec, pruefung) --- # Gap-Analyse **Was ist eine Gap-Analyse in der IT-Sicherheit?** Eine Gap-Analyse vergleicht den Ist-Zustand der IT-Sicherheit mit einem Soll-Zustand und hält jede Lücke dazwischen fest. Der Soll-Zustand stammt aus einem Anforderungskatalog, etwa aus der DSGVO oder aus den Vorgaben eines Auftraggebers. Das Ergebnis ist eine priorisierte Liste der offenen Punkte. Eine Gap-Analyse hat fast immer einen konkreten Anlass. Ein Auftraggeber schickt einen Fragebogen zur IT-Sicherheit, eine Versicherung fragt vor dem Abschluss das Sicherheitsniveau ab, eine Zertifizierung nach ISO/IEC 27001 ist geplant, also nach der internationalen Norm für Managementsysteme der Informationssicherheit, oder es ist offen, ob Ihr Betrieb unter die NIS2-Richtlinie fällt, die EU-Vorgaben zur Cybersicherheit für bestimmte Branchen und Betriebsgrößen. In allen Fällen lautet die Frage gleich: Was verlangt der Katalog, und wo steht der Betrieb heute? Der erste Schritt ist die Festlegung des Maßstabs. Eine Lücke lässt sich erst benennen, wenn feststeht, wogegen gemessen wird. Danach werden Nachweise gesammelt: Dokumente, Konfigurationen der Systeme, Stichproben im laufenden Betrieb und Gespräche mit den Personen, die die Abläufe kennen. Jede Anforderung erhält am Ende einen Status, üblicherweise erfüllt, teilweise erfüllt oder offen, jeweils mit Begründung und Nachweis. Für einen Betrieb ohne eigene IT-Abteilung darf der Maßstab schlank bleiben. Als Katalog eignen sich die Anforderungen des Artikels 32 DSGVO an die technischen und organisatorischen Maßnahmen, die Sicherheitsfragen Ihrer wichtigsten Auftraggeber und die Punkte, die eine Cyberversicherung im Antragsformular abfragt. Diese drei Quellen decken die Themen ab, die im Alltag zuerst zählen: Zugänge, Backups, Updates, Schulung und Notfallvorsorge. Der Wert der Analyse entsteht in der Umsetzung. Zu jeder Lücke gehören eine Maßnahme, ein Termin und eine verantwortliche Person. Ohne diese drei Angaben bleibt die Liste eine reine Beschreibung des Zustands. Eine Gap-Analyse geht deshalb in einen Maßnahmenplan über, der die offenen Punkte nach Risiko und Aufwand ordnet und Ihnen die Grundlage für Budget und Reihenfolge gibt. Die Datenbasis für diesen Abgleich liefert eine Bestandsaufnahme vor Ort. Der IT-Check erhebt den Ist-Zustand in 8 Prüfbereichen mit über 100 Prüfpunkten, ist vor Ort an einem Termin erledigt und liefert den Befund innerhalb von zwei Wochen. Vor Beginn wird eine Geheimhaltungsvereinbarung unterzeichnet. Ein Erstgespräch von 20 Minuten verursacht keine Kosten und klärt, welcher Maßstab für Ihren Betrieb der richtige ist. ## Verwandte Begriffe - [IT-Sicherheitsaudit](https://vetosec.at/it-sicherheit/it-sicherheitsaudit/) - [ISO/IEC 27001](https://vetosec.at/it-sicherheit/iso-27001/) - [NIS2](https://vetosec.at/it-sicherheit/nis2/) - [Befund und Maßnahmenplan](https://vetosec.at/it-sicherheit/befund-massnahmenplan/) ## Quelle https://vetosec.at/it-sicherheit/gap-analyse/ (vetosec, pruefung) --- # Befund und Maßnahmenplan **Was ist ein Befund mit Maßnahmenplan?** Ein Befund ist der schriftliche Bericht einer IT-Prüfung. Er hält fest, was geprüft wurde, was gefunden wurde und wie hoch das Risiko jedes einzelnen Fundes ist. Der Maßnahmenplan ordnet diese Funde nach Dringlichkeit und benennt zu jedem Fund die konkrete Abhilfe. Ein brauchbarer Befund nennt zuerst den Prüfumfang und den Prüfzeitpunkt, damit später nachvollziehbar bleibt, für welche Systeme und für welchen Stand der Bericht gilt. Danach folgt zu jedem Fund dieselbe Struktur: die Beobachtung, das betroffene System, das Risiko in verständlichen Worten und die empfohlene Maßnahme. Eine Zusammenfassung auf einer Seite richtet sich an die Geschäftsführung und kommt ohne Fachbegriffe aus. Der Maßnahmenplan ordnet die Funde nach Dringlichkeit. Sofort zu behandeln ist alles, was einem Angreifer heute den Weg ins Netzwerk öffnet, etwa ein Fernzugang ohne zweiten Faktor oder das noch aktive Konto einer ausgeschiedenen Mitarbeiterin. Kurzfristig folgen fehlende Sicherheitsupdates und ungetestete Backups. Mittelfristig stehen die Punkte, die Zeit und Abstimmung brauchen, etwa ein Berechtigungskonzept, also eine schriftliche Regel, wer auf welche Daten zugreifen darf, die Trennung des Netzwerks in Bereiche oder Schulungen. Aus einem Bericht wird Sicherheit, sobald jede Maßnahme eine verantwortliche Person, einen Termin und eine Wiedervorlage hat. Nehmen Sie den Maßnahmenplan in Ihre regelmäßigen Besprechungen auf und haken Sie die Punkte nachweislich ab. Bei Maßnahmen, die Ihr IT-Dienstleister umsetzt, dient der Befund als gemeinsame Grundlage: Er beschreibt den Zustand, die Begründung und das Ziel, und beide Seiten arbeiten mit demselben Text. Der Befund hat auch nach außen einen Wert. Artikel 32 Absatz 1 lit. d DSGVO verlangt ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit Ihrer Sicherheitsmaßnahmen, und ein datierter Prüfbericht mit nachverfolgten Maßnahmen dokumentiert eine solche Überprüfung. Versicherungen und größere Auftraggeber fragen vergleichbare Nachweise ab. Gleichzeitig enthält ein Befund eine genaue Beschreibung Ihrer Schwachstellen. Bewahren Sie ihn verschlüsselt auf, übermitteln Sie ihn verschlüsselt und begrenzen Sie den Kreis der Personen mit Zugriff. Beim IT-Check erhalten Sie den dokumentierten Befund mit priorisiertem Maßnahmenplan innerhalb von zwei Wochen nach der Erhebung vor Ort. Vor Beginn der Prüfung wird eine Geheimhaltungsvereinbarung unterzeichnet. Ein Erstgespräch von 20 Minuten verursacht keine Kosten und klärt vorab, welche Systeme in den Prüfumfang gehören. ## Verwandte Begriffe - [IT-Sicherheitscheck](https://vetosec.at/it-sicherheit/it-sicherheitscheck/) - [Gap-Analyse](https://vetosec.at/it-sicherheit/gap-analyse/) - [Schwachstellenscan](https://vetosec.at/it-sicherheit/schwachstellenscan/) - [Technische und organisatorische Maßnahmen (TOM)](https://vetosec.at/it-sicherheit/tom-dsgvo/) ## Quelle https://vetosec.at/it-sicherheit/befund-massnahmenplan/ (vetosec, pruefung) --- # CVE und CVSS **Was bedeuten CVE und CVSS?** Eine CVE-Nummer ist der eindeutige Name einer öffentlich bekannten Schwachstelle. Der CVSS-Wert ist eine Kennzahl für deren Schweregrad auf einer Skala von 0 bis 10. Der Name sorgt dafür, dass alle über dieselbe Lücke sprechen. Hersteller, Prüfwerkzeuge und Berichte verwenden dieselbe Nummer, etwa in der Form CVE-2024-12345. Ohne diesen gemeinsamen Namen wäre nicht feststellbar, ob zwei Meldungen dieselbe Schwachstelle meinen. Der Wert ordnet den Schweregrad ein. Er berücksichtigt unter anderem, ob die Lücke aus der Ferne ausgenutzt werden kann, ob dafür ein Konto nötig ist und welchen Schaden sie anrichtet. Die Skala reicht von 0 bis 10. Üblich ist die Einteilung in niedrig (0,1 bis 3,9), mittel (4,0 bis 6,9), hoch (7,0 bis 8,9) und kritisch (9,0 bis 10,0). Der Wert allein sagt jedoch nichts über Ihr Risiko. Entscheidend ist, ob das betroffene System bei Ihnen überhaupt läuft, ob es aus dem Internet erreichbar ist und ob die Lücke bereits ausgenutzt wird. Ein Befund ohne diese Einordnung ist eine Liste, kein Ergebnis. ## Verwandte Begriffe - [Schwachstelle und Schwachstellenanalyse](https://vetosec.at/it-sicherheit/schwachstelle/) - [Schwachstellenscan](https://vetosec.at/it-sicherheit/schwachstellenscan/) - [Patch-Management und Updates](https://vetosec.at/it-sicherheit/patch-management/) - [Exploit](https://vetosec.at/it-sicherheit/exploit/) ## Quelle https://vetosec.at/it-sicherheit/cve-cvss/ (vetosec, pruefung) --- # Phishing-Simulation **Was bringt eine Phishing-Simulation?** Bei einer Phishing-Simulation versenden Sie mit Ankündigung an die Belegschaft, aber ohne Nennung des Zeitpunkts, harmlose Testmails. Sie sehen dadurch, wie Ihr Betrieb tatsächlich reagiert. Die wichtigste Zahl ist dabei nicht, wie viele Personen geklickt haben. Die wichtigste Zahl ist, wie viele die Nachricht gemeldet haben und wie schnell. Ein Klick ist menschlich. Eine Meldung innerhalb von Minuten gibt Ihnen die Chance, den Schaden zu begrenzen. Eine Simulation ist ein Lernmittel. Sie eignet sich nicht dazu, einzelne Mitarbeiter vorzuführen. Wer Angst vor Konsequenzen hat, meldet einen echten Vorfall später oder gar nicht, und genau das verschlechtert Ihre Lage. Beachten Sie den rechtlichen Rahmen. Eine Auswertung, die auf einzelne Personen zurückführt, ist eine Verhaltenskontrolle. Werten Sie in aggregierter Form aus und binden Sie eine allfällige Mitarbeitervertretung vorab ein. ## Verwandte Begriffe - [Phishing](https://vetosec.at/it-sicherheit/phishing/) - [Mitarbeiterschulung (Awareness)](https://vetosec.at/it-sicherheit/awareness-schulung/) - [Social Engineering](https://vetosec.at/it-sicherheit/social-engineering/) - [CEO-Fraud und Rechnungsbetrug](https://vetosec.at/it-sicherheit/ceo-fraud/) ## Quelle https://vetosec.at/it-sicherheit/phishing-simulation/ (vetosec, pruefung) --- # Angriffe # Ransomware **Was ist Ransomware?** Ransomware ist Schadsoftware, die Ihre Daten verschlüsselt und für die Freigabe Lösegeld fordert. Häufig werden die Daten vor der Verschlüsselung zusätzlich kopiert, um mit einer Veröffentlichung zu drohen. Der Weg ins Netz führt typischerweise über eine E-Mail mit Anhang oder Link, über einen schlecht abgesicherten Fernzugriff oder über eine bekannte Schwachstelle, für die das Update fehlt. Über die Folgen entscheidet die Wiederherstellungsfähigkeit. Ein Betrieb mit getesteten, unveränderbaren Sicherungen ist in Stunden bis Tagen wieder arbeitsfähig. Öffentliche Stellen wie ENISA und die Initiative Onlinesicherheit empfehlen, Vorfälle zu melden und eine Lösegeldzahlung sehr kritisch zu prüfen, weil sie die Rückgabe der Daten nicht garantiert. ## Verwandte Begriffe - [Backup und Wiederherstellung](https://vetosec.at/it-sicherheit/backup-wiederherstellung/) - [Schadsoftware (Malware)](https://vetosec.at/it-sicherheit/malware/) - [Notfallplan](https://vetosec.at/it-sicherheit/notfallplan/) - [Phishing](https://vetosec.at/it-sicherheit/phishing/) ## Quelle https://vetosec.at/it-sicherheit/ransomware/ (vetosec, angriffe) --- # Phishing **Was ist Phishing?** Phishing ist der Versuch, über gefälschte Nachrichten an Zugangsdaten oder Geld zu kommen. Die Nachricht gibt sich als bekannter Absender aus und erzeugt Zeitdruck. Beim Spear-Phishing zielt die Nachricht auf eine bestimmte Person und verwendet echte Details aus deren Umfeld. Beim Chef-Betrug gibt sich der Absender als Geschäftsführung aus und ordnet eine eilige Überweisung an, oft während einer Reise oder kurz vor Feierabend. Technische Filter fangen einen Teil der Nachrichten ab. Der Rest hängt an zwei Dingen: an der Zwei-Faktor-Anmeldung, die ein gestohlenes Passwort weitgehend entwertet, und an einem festen Ablauf, der jede Zahlungsfreigabe an eine zweite Person und einen zweiten Kanal bindet. ## Verwandte Begriffe - [Social Engineering](https://vetosec.at/it-sicherheit/social-engineering/) - [CEO-Fraud und Rechnungsbetrug](https://vetosec.at/it-sicherheit/ceo-fraud/) - [Mitarbeiterschulung (Awareness)](https://vetosec.at/it-sicherheit/awareness-schulung/) - [SPF, DKIM und DMARC](https://vetosec.at/it-sicherheit/spf-dkim-dmarc/) ## Quelle https://vetosec.at/it-sicherheit/phishing/ (vetosec, angriffe) --- # Social Engineering **Was ist Social Engineering?** Social Engineering ist die gezielte Manipulation von Menschen, um an Zugangsdaten, Informationen oder Geld zu gelangen. Die Täter geben sich als vertrauenswürdige Person aus, etwa als Vorgesetzter, Lieferant oder Techniker, und nutzen Hilfsbereitschaft, Zeitdruck und Autorität aus. Im Alltag eines Betriebs wirkt das unspektakulär. Das Telefon läutet und jemand meldet sich als Mitarbeiter Ihres IT-Dienstleisters, der wegen einer Störung kurz Fernzugriff braucht. Eine E-Mail bittet um die rasche Freigabe einer Rechnung. Eine Nachricht am Mobiltelefon kommt scheinbar von der Geschäftsführung. Auch der Weg durch die Eingangstür kommt vor, wenn sich eine Person als Servicetechniker vorstellt und in den Serverraum gelassen wird. Die Warnzeichen ähneln sich über alle Kanäle hinweg. Es wird Druck aufgebaut, die Sache eilt, und der übliche Ablauf soll aus einem plausiblen Grund einmal übersprungen werden. Vertraulichkeit wird verlangt, damit die angesprochene Person niemanden fragt. Die Anfrage kommt über einen ungewohnten Kanal, etwa von einer privaten Mobilnummer oder einer Adresse, die der gewohnten sehr ähnlich sieht. Wer dieses Muster erkennt, kann die Anfrage anhalten, bevor Schaden entsteht. Der erste sinnvolle Schritt ist ein fester Ablauf für die drei Vorgänge, die für einen Betrieb besonders heikel sind: Zahlungsfreigaben, Änderungen von Bankverbindungen und das Zurücksetzen von Passwörtern. Für jeden dieser Vorgänge gilt eine Rückfrage über einen zweiten Kanal, also ein Rückruf an die im eigenen System hinterlegte Nummer. Ebenso wichtig ist die ausdrückliche Erlaubnis für Ihre Mitarbeiterinnen und Mitarbeiter, eine eilige Anweisung zu verzögern, bis sie geprüft ist. Diese Erlaubnis muss von der Geschäftsführung kommen, weil der Druck sonst schwerer wiegt als die Regel. Technik begrenzt den Schaden, wenn eine Täuschung gelingt. Die Zwei-Faktor-Authentifizierung, also ein zweiter Nachweis zusätzlich zum Passwort, entwertet ein herausgegebenes Passwort weitgehend. Knappe Berechtigungen begrenzen die Reichweite eines übernommenen Kontos. Protokolle zeigen im Nachhinein, was tatsächlich passiert ist. Ein IT-Check sieht sich genau diese Punkte an: Zugänge, Berechtigungen, E-Mail-Absicherung und die Frage, wer von außen auf Ihre Systeme kommt. ## Verwandte Begriffe - [Phishing](https://vetosec.at/it-sicherheit/phishing/) - [CEO-Fraud und Rechnungsbetrug](https://vetosec.at/it-sicherheit/ceo-fraud/) - [Mitarbeiterschulung (Awareness)](https://vetosec.at/it-sicherheit/awareness-schulung/) - [Zwei-Faktor-Authentifizierung (2FA)](https://vetosec.at/it-sicherheit/zwei-faktor-authentifizierung/) ## Quelle https://vetosec.at/it-sicherheit/social-engineering/ (vetosec, angriffe) --- # CEO-Fraud und Rechnungsbetrug **Was ist CEO-Fraud?** CEO-Fraud ist ein Betrug, bei dem sich Täter als Geschäftsführung ausgeben und eine eilige Überweisung anordnen. Beim verwandten Rechnungsbetrug wird eine echte Rechnung abgefangen oder nachgebaut und die Bankverbindung ausgetauscht, sodass die Zahlung bei den Tätern landet. Die Vorbereitung läuft über öffentlich zugängliche Quellen. Website, Impressum, Firmenbuch und berufliche Netzwerke verraten, wer die Geschäftsführung ist, wer die Buchhaltung führt und mit welchen Lieferanten gearbeitet wird. Mitunter ist zusätzlich das Postfach eines Geschäftspartners übernommen worden. Der Angreifer liest den echten Schriftverkehr mit und schreibt an der passenden Stelle weiter, weshalb die Nachricht sich richtig liest und auf eine tatsächlich laufende Bestellung Bezug nimmt. Woran erkennt man den Versuch? Eine bekannte Rechnung kommt mit geänderter Bankverbindung, oft mit dem Hinweis auf eine Kontoumstellung. Die Absenderadresse weicht um ein Zeichen ab, oder die Antwortadresse zeigt auf eine fremde Domain. Die Anweisung eilt, wird vertraulich behandelt und kommt zu einem Zeitpunkt, an dem die Führungskraft nachweislich unterwegs ist. Auch eine vertraute Stimme am Telefon beweist wenig, weil sich Stimmen technisch nachbilden lassen. Der wirksamste erste Schritt ist eine schriftliche Zahlungsregel. Jede Änderung einer Bankverbindung und jede Zahlung ab einem im Betrieb festgelegten Betrag wird durch einen Rückruf an die im Stammsatz hinterlegte Telefonnummer bestätigt, und eine zweite Person gibt frei. Die Regel gilt auch für Anweisungen, die scheinbar von der Geschäftsführung selbst kommen. Genau diese Ausnahme suchen die Täter. Ist Geld abgeflossen, zählt jede Stunde. Kontaktieren Sie sofort Ihre Bank, weil eine Rückholung bei sehr schneller Meldung möglich sein kann, und erstatten Sie Anzeige bei der Polizei. Prüfen Sie parallel, ob ein E-Mail-Postfach übernommen wurde: unbekannte Weiterleitungsregeln, Anmeldungen zu ungewöhnlichen Zeiten und geänderte Signaturen sind Hinweise darauf. Ändern Sie die betroffenen Passwörter, schalten Sie die Zwei-Faktor-Anmeldung ein, also einen zweiten Nachweis zusätzlich zum Passwort, und informieren Sie den Geschäftspartner, dessen Rechnungen missbraucht wurden. Technisch lässt sich der Missbrauch der eigenen Domain erschweren. SPF, DKIM und DMARC sind Einträge im Namenssystem Ihrer Domain, die empfangenden Servern sagen, welche Server in Ihrem Namen senden dürfen. Sind sie korrekt gesetzt, wird eine Fälschung mit Ihrer Absenderadresse abgewiesen. Der IT-Check prüft diese Einträge und sieht sich an, wie Zahlungsfreigaben in Ihrem Betrieb tatsächlich ablaufen. ## Verwandte Begriffe - [Phishing](https://vetosec.at/it-sicherheit/phishing/) - [Social Engineering](https://vetosec.at/it-sicherheit/social-engineering/) - [SPF, DKIM und DMARC](https://vetosec.at/it-sicherheit/spf-dkim-dmarc/) - [Mitarbeiterschulung (Awareness)](https://vetosec.at/it-sicherheit/awareness-schulung/) ## Quelle https://vetosec.at/it-sicherheit/ceo-fraud/ (vetosec, angriffe) --- # Schadsoftware (Malware) **Was ist Schadsoftware (Malware)?** Schadsoftware, englisch Malware, ist Software, die ein System schädigen, ausspähen oder fernsteuern soll. Dazu zählen Viren, Trojaner, Ransomware, Spionageprogramme und Ladeprogramme, deren einzige Aufgabe darin besteht, weitere Schadsoftware nachzuholen. Auf die Geräte gelangt Schadsoftware über wenige, immer wiederkehrende Wege. Ein Anhang oder ein Link in einer E-Mail, ein Makro in einem Office-Dokument, also ein kleines Programm innerhalb einer Datei, eine gefälschte Downloadseite für ein bekanntes Programm, ein USB-Stick unklarer Herkunft, ein aus dem Internet erreichbarer Dienst mit fehlendem Update oder gestohlene Zugangsdaten für einen Fernwartungszugang. In allen Fällen genügt ein einziges Gerät als Ausgangspunkt, von dem aus sich der Angreifer im Netzwerk weiterbewegt. Anzeichen im Alltag sind unauffällig. Der Virenschutz ist auf einem Rechner deaktiviert oder meldet wiederholt Funde, Programme starten mit, die niemand installiert hat, Kollegen erhalten E-Mails aus Ihrem Haus, die niemand geschickt hat, Konten werden gesperrt, oder ein Rechner arbeitet nachts. Aktuelle Schadsoftware ist darauf ausgelegt, möglichst lange unbemerkt zu bleiben. Ruhe auf den Bildschirmen ist deshalb kein Beleg für ein sauberes Netzwerk. Bei Verdacht gilt eine einfache Reihenfolge. Trennen Sie das betroffene Gerät vom Netzwerk, ziehen Sie also das Netzwerkkabel und schalten Sie das WLAN ab, damit sich die Schadsoftware nicht weiter ausbreitet. Ändern Sie Passwörter von einem anderen, unbeteiligten Gerät aus. Versuchen Sie keine Bereinigung im laufenden Betrieb, weil dabei Spuren verloren gehen, die für die Aufklärung und für eine mögliche Meldepflicht gebraucht werden. Ein befallenes System wird neu aufgesetzt und aus einer geprüften Sicherung wiederhergestellt. Die Vorbeugung besteht aus wenigen Bausteinen, die zusammenwirken. Aktuelle Updates schließen die Lücken, über die Schadsoftware ohne Zutun eines Menschen hereinkommt. Ein Virenschutz mit Verhaltenserkennung und zentraler Auswertung, oft als EDR bezeichnet, meldet auffälliges Verhalten auch bei unbekannten Schädlingen. Ein Alltagskonto ohne Administratorrechte begrenzt, was ein Schadprogramm anrichten kann. Makros aus dem Internet werden blockiert, und Sicherungen liegen getrennt vom Netzwerk. Der IT-Check sieht sich Updatestand, Virenschutz, Rechtevergabe und Sicherungen gemeinsam an, weil eine einzelne dieser Maßnahmen wenig trägt. ## Verwandte Begriffe - [Ransomware](https://vetosec.at/it-sicherheit/ransomware/) - [Virenschutz und EDR](https://vetosec.at/it-sicherheit/edr-virenschutz/) - [Patch-Management und Updates](https://vetosec.at/it-sicherheit/patch-management/) - [Backup und Wiederherstellung](https://vetosec.at/it-sicherheit/backup-wiederherstellung/) ## Quelle https://vetosec.at/it-sicherheit/malware/ (vetosec, angriffe) --- # Passwortangriff **Was ist ein Passwortangriff?** Ein Passwortangriff ist der Versuch, sich mit einem erratenen, gestohlenen oder anderswo geleakten Passwort an einem Konto anzumelden. Angriffsziele sind vor allem Zugänge, die aus dem Internet erreichbar sind, etwa Webmail, Fernwartung, VPN-Zugänge und Cloud-Dienste. Die Formen unterscheiden sich in der Methode. Beim automatisierten Durchprobieren, dem Brute-Force-Angriff, testet ein Programm sehr viele Zeichenkombinationen. Beim Wörterbuchangriff werden bekannte Passwörter und Namen verwendet. Beim Credential Stuffing probieren die Täter Zugangsdaten, die beim Datenleck eines anderen Anbieters erbeutet wurden, bei Ihnen aus, was funktioniert, sobald ein Passwort mehrfach verwendet wurde. Beim Passwort-Sprühen wird ein einziges, sehr verbreitetes Passwort gegen viele Konten gleichzeitig geprüft, wodurch die Sperre nach mehreren Fehlversuchen auf einem einzelnen Konto umgangen wird. Betroffen sind zuerst die Zugänge von außen. Dazu zählt auch das VPN, also eine verschlüsselte Verbindung, über die Mitarbeiterinnen und Mitarbeiter von unterwegs ins Firmennetz gelangen. Im Betrieb zeigt sich ein Angriff an wiederkehrenden Spuren. Anmeldeprotokolle enthalten viele fehlgeschlagene Versuche, Konten sind morgens gesperrt, es gibt Anmeldungen aus Ländern ohne Bezug zu Ihrem Geschäft, oder es treffen Bestätigungsanfragen der Zwei-Faktor-App ein, obwohl sich niemand angemeldet hat. Der letzte Punkt ist ein deutliches Alarmsignal: Der Angreifer besitzt bereits das Passwort und wartet darauf, dass jemand die Anfrage aus Bequemlichkeit bestätigt. Solche Anfragen werden abgelehnt und das Passwort wird sofort geändert. Der erste sinnvolle Schritt ist die Zwei-Faktor-Authentifizierung für alle von außen erreichbaren Zugänge, also ein zweiter Nachweis zusätzlich zum Passwort, weil ein gestohlenes Passwort damit weitgehend wertlos wird. Danach folgt die Passworthygiene: für jeden Dienst ein eigenes, langes Passwort, verwaltet in einem Passwortmanager, damit sich niemand etwas merken muss. Werkseitig gesetzte Standardpasswörter an Routern, Netzwerkspeichern, Kameras und Druckern werden geändert. Konten ausgeschiedener Personen werden deaktiviert, weil sie unbeobachtet weiterlaufen. Beobachten Sie die Anmeldungen. In den gängigen Cloud-Diensten lässt sich die Protokollierung einschalten und eine Benachrichtigung bei ungewöhnlichen Anmeldungen aktivieren. Der IT-Check prüft, welche Zugänge aus dem Internet erreichbar sind, ob dort ein zweiter Faktor verlangt wird, ob Standardpasswörter noch gesetzt sind und ob alte Konten aktiv geblieben sind. ## Verwandte Begriffe - [Zwei-Faktor-Authentifizierung (2FA)](https://vetosec.at/it-sicherheit/zwei-faktor-authentifizierung/) - [Passwortmanager](https://vetosec.at/it-sicherheit/passwortmanager/) - [Datenleck](https://vetosec.at/it-sicherheit/datenleck/) - [Monitoring und Protokollierung](https://vetosec.at/it-sicherheit/monitoring-logging/) ## Quelle https://vetosec.at/it-sicherheit/passwortangriff/ (vetosec, angriffe) --- # Angriff über die Lieferkette **Was ist ein Angriff über die Lieferkette?** Ein Angriff über die Lieferkette nutzt einen Dritten als Weg in Ihren Betrieb, etwa einen IT-Dienstleister mit Fernzugriff, einen Softwarehersteller oder ein manipuliertes Update. Der Angreifer bricht bei einem Partner ein und gelangt über dessen Zugang oder Programm zu Ihren Systemen. Für kleine und mittlere Betriebe ist die naheliegendste Erscheinungsform der Zugang von außen. Der IT-Betreuer hat eine Fernwartungsverbindung, das Softwarehaus einen Wartungszugang zur Warenwirtschaft, die Steuerberatung einen Datenaustausch, ein Cloud-Anbieter hält Ihre Daten. Wird eines dieser Unternehmen angegriffen, sieht der Zugriff auf Ihre Systeme aus wie ein ganz normaler Arbeitsvorgang, weil er über einen legitimen Zugang läuft. Eine zweite Erscheinungsform ist das übernommene Postfach eines Lieferanten, aus dem echte Rechnungen mit geänderter Bankverbindung kommen. Eine dritte ist das manipulierte Update eines Herstellers, das über den regulären Verteilweg auf Ihre Geräte gelangt. Der erste Schritt ist unspektakulär und wirkt sofort: eine Liste aller Zugänge von außen. Wer hat Zugriff, worauf, aus welchem Grund, seit wann und wie abgesichert? Ohne diese Liste lässt sich die Frage nicht beantworten, wer heute Nacht auf Ihren Server könnte. Eine solche Aufstellung kann auch Zugänge aus beendeten Projekten enthalten, die niemand abgeschaltet hat. Danach werden die Bedingungen für diese Zugänge festgelegt. Jede Person des Dienstleisters bekommt ein eigenes Konto mit Zwei-Faktor-Anmeldung, also einem zweiten Nachweis zusätzlich zum Passwort, damit nachvollziehbar bleibt, wer gearbeitet hat. Der Fernzugang wird bei Bedarf freigeschaltet und danach wieder geschlossen. Die Zugriffe werden protokolliert. Verarbeitet der Dienstleister personenbezogene Daten für Sie, ist nach Artikel 28 DSGVO ein Vertrag zur Auftragsverarbeitung erforderlich, der auch die Sicherheitsmaßnahmen benennt. Die Sicherheit der Lieferkette ist auch rechtlich verankert. Die NIS2-Richtlinie, Richtlinie (EU) 2022/2555, verlangt von den erfassten Einrichtungen ausdrücklich Maßnahmen zur Sicherheit der Lieferkette und der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. Für kleine Betriebe wirkt das mittelbar: Als Zulieferer eines erfassten Unternehmens erhalten Sie diese Anforderungen über Verträge, Fragebögen und Nachweise weitergereicht. Wer die eigenen Zugänge, Berechtigungen und Sicherungen dokumentiert hat, kann solche Fragebögen belegen. Der IT-Check erhebt genau diese Punkte und hält die Fernwartungswege fest. ## Verwandte Begriffe - [IT-Inventar](https://vetosec.at/it-sicherheit/it-inventar/) - [Auftragsverarbeitung (AVV)](https://vetosec.at/it-sicherheit/auftragsverarbeitung/) - [NIS2](https://vetosec.at/it-sicherheit/nis2/) - [CEO-Fraud und Rechnungsbetrug](https://vetosec.at/it-sicherheit/ceo-fraud/) ## Quelle https://vetosec.at/it-sicherheit/supply-chain-angriff/ (vetosec, angriffe) --- # DDoS-Angriff **Was ist ein DDoS-Angriff?** Ein DDoS-Angriff überlastet einen Dienst mit einer Flut gleichzeitiger Anfragen aus vielen Quellen, bis er für echte Nutzer nicht mehr erreichbar ist. DDoS steht für Distributed Denial of Service, also eine von vielen Rechnern gleichzeitig ausgeführte Blockade eines Dienstes. Die Anfragen stammen üblicherweise aus einem Botnetz, einem Verbund gekaperter Geräte, der aus der Ferne gesteuert wird. Getroffen wird das, was aus dem Internet erreichbar ist: die Website, der Onlineshop, der Mailserver, das Buchungsportal. Richtet sich die Last gegen Ihren Internetanschluss selbst, steht auch alles andere still, was über diese Leitung läuft, also Cloud-Software, Telefonie über Internet und E-Mail. Die Daten bleiben dabei unverändert. Der Schaden entsteht durch den Stillstand und durch die Erpressung, die mit der Androhung einer Wiederholung verbunden werden kann. Ein Ausfall sieht zunächst aus wie jeder andere Ausfall. Klarheit bringt der Anruf beim Hoster oder beim Internetanbieter, weil dort der ankommende Verkehr sichtbar ist. Damit dieser Anruf im Ernstfall schnell geht, gehört die Liste der Ansprechpartner mit Vertragsnummern und Notfallnummern an einen Ort, der ohne Internetzugang erreichbar ist, etwa auf Papier und zusätzlich am Mobiltelefon. Klären Sie vorab, welche Reaktionszeiten Ihr Vertrag vorsieht und wer bei Ihrem Anbieter für Angriffe zuständig ist. Vorbereiten lässt sich einiges. Hoster bieten Schutzdienste an, die den Verkehr vorab filtern und die Last abfangen, häufig als Zusatzoption zum bestehenden Paket. Website und E-Mail bei getrennten Anbietern zu betreiben sorgt dafür, dass ein Ausfall den gesamten Geschäftsbetrieb verschont. Ein Mobilfunkzugang als Ersatzverbindung hält die wichtigsten Anwendungen am Laufen. Für Bestellungen und Anfragen hilft ein vereinbarter Ersatzweg, etwa telefonisch, damit der Umsatz weiterläuft. Erhalten Sie ein Erpressungsschreiben mit der Androhung eines Angriffs, informieren Sie Ihren Provider und erstatten Sie Anzeige. Eine Zahlung verschafft keine Sicherheit, weil sie die Angreifer bestätigt und weitere Forderungen wahrscheinlich macht. Bereiten Sie die Kommunikation vor: ein kurzer Text für Kunden, ein Hinweis auf den Ersatzweg und eine benannte Person, die im Ernstfall entscheidet. Genau diese Vorüberlegungen gehören in Ihren Notfallplan. ## Verwandte Begriffe - [Notfallplan](https://vetosec.at/it-sicherheit/notfallplan/) - [Monitoring und Protokollierung](https://vetosec.at/it-sicherheit/monitoring-logging/) - [Angriffsfläche](https://vetosec.at/it-sicherheit/angriffsflaeche/) - [Ransomware](https://vetosec.at/it-sicherheit/ransomware/) ## Quelle https://vetosec.at/it-sicherheit/ddos/ (vetosec, angriffe) --- # Zero-Day-Lücke **Was ist eine Zero-Day-Lücke?** Eine Zero-Day-Lücke ist eine Sicherheitslücke in Software, für die es noch kein Update des Herstellers gibt. Wird sie ausgenutzt, bevor eine Korrektur bereitsteht, spricht man von einem Zero-Day-Angriff. Der Name beschreibt die null Tage, die dem Hersteller zur Behebung blieben. Für einen Betrieb ohne eigene IT-Abteilung ist vor allem der Zeitverlauf wichtig. Solange die Lücke unbekannt ist, lässt sich wenig gezielt tun. Sobald der Hersteller ein Update veröffentlicht, ist die Lücke öffentlich beschrieben und wird von vielen Angreifern gesucht, weil sie nun wissen, wonach sie suchen müssen. Das gefährlichste Zeitfenster für Ihren Betrieb liegt deshalb zwischen der Veröffentlichung des Updates und dem Tag, an dem Sie es einspielen. Genau dieses Fenster können Sie selbst verkürzen. Trifft eine Warnung ein, vom Hersteller, von CERT.at, von der Initiative Onlinesicherheit oder aus der Presse, stellt sich zuerst eine schlichte Frage: Betrifft das Software, die wir einsetzen? Diese Frage beantwortet nur ein IT-Inventar, also eine Liste der eingesetzten Systeme, Programme und Versionsstände samt der Angabe, welche Dienste aus dem Internet erreichbar sind. Ohne diese Liste bleibt jede Warnmeldung folgenlos, weil niemand sie auf den eigenen Betrieb übersetzen kann. Solange kein Update verfügbar ist, veröffentlichen Hersteller häufig eine Umgehungsmaßnahme, im Fachjargon Workaround. Typische Schritte sind das Abschalten der betroffenen Funktion, die Beschränkung des Zugriffs auf das interne Netz oder auf den VPN-Zugang, also die verschlüsselte Verbindung ins Firmennetz, und eine verstärkte Protokollierung. Sobald das Update erscheint, wird es zügig eingespielt. Danach folgt eine Kontrolle, ob das System bereits vor dem Update angegriffen wurde. Anhaltspunkte sind neue Benutzerkonten, veränderte Dateien und ausgehende Verbindungen zu unbekannten Zielen. Die Schadensbegrenzung stützt sich auf Maßnahmen, die unabhängig von der einzelnen Lücke wirken. Ein segmentiertes Netz, also ein in getrennte Bereiche unterteiltes Netzwerk, verhindert, dass ein übernommener Server den Weg zu Buchhaltung und Produktion öffnet. Knappe Berechtigungen begrenzen die Reichweite. Eine Verhaltenserkennung auf den Geräten meldet ungewöhnliche Vorgänge auch dann, wenn der Angriffsweg neu ist. Geprüfte Sicherungen stellen den Betrieb wieder her. Der IT-Check erhebt, welche Systeme aus dem Internet erreichbar sind, wie aktuell der Updatestand ist und ob es einen festen Ablauf für den Umgang mit Warnmeldungen gibt. ## Verwandte Begriffe - [Schwachstelle und Schwachstellenanalyse](https://vetosec.at/it-sicherheit/schwachstelle/) - [Patch-Management und Updates](https://vetosec.at/it-sicherheit/patch-management/) - [IT-Inventar](https://vetosec.at/it-sicherheit/it-inventar/) - [Virenschutz und EDR](https://vetosec.at/it-sicherheit/edr-virenschutz/) ## Quelle https://vetosec.at/it-sicherheit/zero-day/ (vetosec, angriffe) --- # Datenleck **Was ist ein Datenleck?** Ein Datenleck ist ein Vorfall, bei dem Daten in die Hände Unbefugter gelangen, sei es durch einen Angriff, eine Fehlkonfiguration oder ein Versehen. Sind personenbezogene Daten betroffen, handelt es sich um eine Verletzung des Schutzes personenbezogener Daten im Sinne der DSGVO. Die Auslöser im Alltag sind unspektakulär. Eine Cloud-Ablage wird versehentlich für alle freigegeben, eine E-Mail mit Kundendaten geht an den falschen Empfänger, ein Notebook ohne Festplattenverschlüsselung verschwindet, Zugangsdaten zu einem Postfach werden gestohlen, ein Server steht ohne Passwortschutz im Internet, oder bei einem Dienstleister fließen Daten ab. Rechtlich zählt auch der Verlust von Daten dazu, etwa wenn Ransomware die einzigen Kopien unwiederbringlich verschlüsselt, weil die DSGVO neben der unbefugten Offenlegung auch die Vernichtung und den Verlust personenbezogener Daten erfasst. Aus einem Datenleck folgen konkrete Pflichten. Nach Artikel 33 DSGVO ist eine Verletzung des Schutzes personenbezogener Daten der Aufsichtsbehörde zu melden, in Österreich der Datenschutzbehörde, und zwar unverzüglich und möglichst binnen 72 Stunden, nachdem sie Ihnen bekannt geworden ist. Eine Meldung entfällt, wenn die Verletzung voraussichtlich zu keinem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Besteht voraussichtlich ein hohes Risiko, sind nach Artikel 34 DSGVO zusätzlich die betroffenen Personen zu benachrichtigen. Unabhängig davon verlangt Artikel 33 Absatz 5 DSGVO, jede Verletzung intern zu dokumentieren. Die Frist von 72 Stunden beginnt mit dem Zeitpunkt, an dem Ihnen die Verletzung bekannt wird. In dieser Zeit müssen Sie beurteilen, welche Daten betroffen sind, wie viele Personen es ungefähr sind und welche Folgen drohen. Diese Fragen lassen sich unter Druck schwer klären, weshalb sie in ruhigen Zeiten vorbereitet gehören: Wer stellt fest, ob personenbezogene Daten betroffen sind, wer entscheidet über die Meldung, wer verfasst sie, und wer wird rechtlich beraten? Diese Meldekette gehört in den Notfallplan. Erkennen lässt sich ein Datenleck an Spuren, die man sehen muss, um sie zu bemerken. Anmeldeprotokolle zeigen Zugriffe zu ungewöhnlichen Zeiten, im Postfach tauchen unbekannte Weiterleitungsregeln auf, Kunden melden auffällige Nachrichten nach dem Kontakt mit Ihrem Haus, oder Zugangsdaten Ihrer Domain erscheinen in veröffentlichten Sammlungen. Ohne Protokollierung lässt sich später weder der Umfang noch der Zeitraum bestimmen, was die Meldung erschwert und die Beurteilung des Risikos unmöglich macht. Vorbeugen heißt hier, die Wege zu schließen, über die Daten abfließen können. Notebooks und Datenträger werden verschlüsselt, Berechtigungen werden auf das Notwendige begrenzt, Cloud-Freigaben werden regelmäßig kontrolliert, Zugänge erhalten einen zweiten Faktor, und die Protokollierung wird eingeschaltet. Das sind technische und organisatorische Maßnahmen im Sinne von Artikel 32 DSGVO. Der IT-Check prüft diese Punkte und hält im Befund fest, wo Daten Ihren Betrieb unbemerkt verlassen könnten. ## Verwandte Begriffe - [Meldepflicht bei einer Datenpanne](https://vetosec.at/it-sicherheit/meldepflicht-datenpanne/) - [DSGVO](https://vetosec.at/it-sicherheit/dsgvo/) - [Verschlüsselung](https://vetosec.at/it-sicherheit/verschluesselung/) - [Passwortangriff](https://vetosec.at/it-sicherheit/passwortangriff/) ## Quelle https://vetosec.at/it-sicherheit/datenleck/ (vetosec, angriffe) --- # Innentäter **Was ist eine Bedrohung von innen?** Eine Bedrohung von innen geht von Personen aus, die bereits Zugang haben: Mitarbeiter, ehemalige Mitarbeiter, Dienstleister. Der Zugang muss nicht erst erschlichen werden, er ist bereits da. Der häufigste Fall ist kein Verrat, sondern ein Versehen. Eine Datei landet im falschen Anhang. Ein Ordner wird zu weit freigegeben. Ein Mitarbeiter fällt auf eine Betrugsmail herein. Der Schaden entsteht ohne jede Absicht. Der zweite Fall ist der scheidende Mitarbeiter, der Kundendaten oder Angebote mitnimmt, oft in dem Glauben, es handle sich um seine eigene Arbeit. Der dritte und seltenste Fall ist die vorsätzliche Schädigung. Gegen alle drei hilft dieselbe Grundlage. Jedes Konto erhält nur die Rechte, die seine Aufgabe verlangt. Zugänge werden beim Ausscheiden am selben Tag entzogen. Zugriffe auf besonders schützenswerte Daten werden protokolliert. Der Zweck der Protokollierung und die Aufbewahrungsdauer gehören vorab festgelegt und die Mitarbeitervertretung eingebunden. ## Verwandte Begriffe - [Berechtigungskonzept und minimale Rechte](https://vetosec.at/it-sicherheit/berechtigungskonzept/) - [Datenleck](https://vetosec.at/it-sicherheit/datenleck/) - [Monitoring und Protokollierung](https://vetosec.at/it-sicherheit/monitoring-logging/) - [Schatten-IT](https://vetosec.at/it-sicherheit/schatten-it/) ## Quelle https://vetosec.at/it-sicherheit/insider-bedrohung/ (vetosec, angriffe) --- # KI-gestützte Angriffe **Wie verändert KI die Angriffe auf Unternehmen?** Künstliche Intelligenz verändert vor allem die Qualität und die Menge. Betrugsmails sind in fehlerfreiem Deutsch verfasst, sie nehmen Bezug auf Ihre Branche, und Stimmen lassen sich nachbilden. Die alten Erkennungsmerkmale verlieren damit an Wert. Die holprige Anrede und der Rechtschreibfehler waren lange die Hinweise, an denen eine Betrugsmail erkannt wurde. Darauf können sich Ihre Mitarbeiter nicht mehr verlassen. Ernst zu nehmen ist die Nachbildung von Stimmen. Ein Anruf, der wie der Geschäftsführer klingt und eine dringende Überweisung verlangt, ist keine Fantasie mehr. Dasselbe gilt für Videokonferenzen. Die Abwehr ist deshalb organisatorisch. Zahlungen und Änderungen von Bankverbindungen brauchen eine Rückbestätigung über einen zweiten, selbst gewählten Kanal, etwa einen Rückruf auf die bekannte Nummer. Dieser Grundsatz gilt unabhängig davon, wie überzeugend die Nachricht klingt. ## Verwandte Begriffe - [Phishing](https://vetosec.at/it-sicherheit/phishing/) - [CEO-Fraud und Rechnungsbetrug](https://vetosec.at/it-sicherheit/ceo-fraud/) - [Social Engineering](https://vetosec.at/it-sicherheit/social-engineering/) - [Mitarbeiterschulung (Awareness)](https://vetosec.at/it-sicherheit/awareness-schulung/) ## Quelle https://vetosec.at/it-sicherheit/ki-gestuetzte-angriffe/ (vetosec, angriffe) --- # Exploit **Was ist ein Exploit?** Ein Exploit ist der Code, der eine Schwachstelle tatsächlich ausnutzt. Die Schwachstelle ist der Fehler im Programm. Der Exploit ist das Werkzeug, das daraus einen Zugang macht. Die Unterscheidung ist für die Einschätzung des Risikos wichtig. Eine bekannte Schwachstelle, für die kein Exploit im Umlauf ist, wird selten angegriffen. Sobald ein funktionierender Exploit öffentlich verfügbar ist, ändert sich die Lage, weil dann auch Angreifer ohne eigene Kenntnisse damit arbeiten können. Aus diesem Grund reicht es nicht, Schwachstellen nur nach ihrem Schweregrad zu sortieren. Eine mittelschwere Lücke, die aktiv ausgenutzt wird, ist dringender als eine kritische Lücke, für die es kein Werkzeug gibt. Praktisch bedeutet das: Systeme, die aus dem Internet erreichbar sind, brauchen ihre Updates zuerst. Dort liegt der kürzeste Weg zwischen einem veröffentlichten Exploit und Ihrem Betrieb. ## Verwandte Begriffe - [Schwachstelle und Schwachstellenanalyse](https://vetosec.at/it-sicherheit/schwachstelle/) - [Zero-Day-Lücke](https://vetosec.at/it-sicherheit/zero-day/) - [Patch-Management und Updates](https://vetosec.at/it-sicherheit/patch-management/) - [Schwachstellenscan](https://vetosec.at/it-sicherheit/schwachstellenscan/) ## Quelle https://vetosec.at/it-sicherheit/exploit/ (vetosec, angriffe) --- # Man-in-the-Middle **Was ist ein Man-in-the-Middle-Angriff?** Bei einem Man-in-the-Middle-Angriff schaltet sich ein Angreifer unbemerkt zwischen zwei Teilnehmer. Er liest mit und kann verändern, was übertragen wird, während beide Seiten glauben, direkt miteinander zu sprechen. Der klassische Ort dafür ist ein offenes WLAN. Der Angreifer stellt einen Zugangspunkt bereit, der aussieht wie das Netz des Hotels oder des Flughafens. Wer sich damit verbindet, schickt seinen gesamten Verkehr über dessen Gerät. Der wirksamste Schutz ist Verschlüsselung. Bei einer verschlüsselten Verbindung, erkennbar am https in der Adresszeile, kann der Angreifer den Inhalt nicht lesen. Warnungen des Browsers zu einem Zertifikat sind an dieser Stelle ernst zu nehmen, weil genau sie auf einen solchen Versuch hindeuten. Für Ihren Betrieb heißt das: Zugriffe von unterwegs laufen über eine verschlüsselte Verbindung ins Firmennetz, und die Konten sind mit einem zweiten Faktor abgesichert. Damit ist ein mitgelesenes Passwort allein noch kein Zugang. ## Verwandte Begriffe - [Verschlüsselung](https://vetosec.at/it-sicherheit/verschluesselung/) - [VPN](https://vetosec.at/it-sicherheit/vpn/) - [WLAN-Sicherheit](https://vetosec.at/it-sicherheit/wlan-sicherheit/) - [Phishing](https://vetosec.at/it-sicherheit/phishing/) ## Quelle https://vetosec.at/it-sicherheit/man-in-the-middle/ (vetosec, angriffe) --- # Schutzmaßnahmen # Backup und Wiederherstellung **Was ist ein Backup und warum muss es getestet werden?** Ein Backup ist eine Sicherungskopie Ihrer Daten. Den Wert eines Backups bestimmt die Wiederherstellung: Erst ein getesteter Rücksicherungslauf beweist, dass die Kopie im Ernstfall trägt. Als Faustregel gilt die 3-2-1-Regel: drei Kopien der Daten, auf zwei verschiedenen Medien, davon eine Kopie außer Haus. Für den Schutz vor Erpressungssoftware kommt eine Eigenschaft dazu. Mindestens eine Kopie muss so abgelegt sein, dass sie sich nachträglich weder verändern noch löschen lässt, auch nicht von einem Konto mit Administratorrechten. Zwei Kennzahlen helfen beim Planen. Der Wiederherstellungspunkt beschreibt, wie viel Arbeit Sie im Ernstfall verlieren dürfen. Die Wiederherstellungszeit beschreibt, wie lange der Betrieb stillstehen darf. Aus beiden ergibt sich, wie oft gesichert wird und wie die Sicherung aufgebaut sein muss. ## Verwandte Begriffe - [Die 3-2-1-Regel für Backups](https://vetosec.at/it-sicherheit/drei-zwei-eins-regel/) - [Ransomware](https://vetosec.at/it-sicherheit/ransomware/) - [Notfallplan](https://vetosec.at/it-sicherheit/notfallplan/) ## Quelle https://vetosec.at/it-sicherheit/backup-wiederherstellung/ (vetosec, schutz) --- # Zwei-Faktor-Authentifizierung (2FA) **Was ist Zwei-Faktor-Authentifizierung?** Die Zwei-Faktor-Authentifizierung verlangt beim Anmelden neben dem Passwort einen zweiten Nachweis, etwa einen Code aus einer App oder einen Sicherheitsschlüssel zum Anstecken. Ein gestohlenes Passwort allein reicht damit für den Zugriff nicht mehr aus. Öffentliche Stellen wie das BSI führen die Zwei-Faktor-Anmeldung als eine der wirksamsten Einzelmaßnahmen gegen den Missbrauch gestohlener Zugangsdaten. In Microsoft 365, Google Workspace, den gängigen VPN-Lösungen und vielen Fachanwendungen ist sie bereits enthalten und muss nur aktiviert werden. Zwischen den Verfahren gibt es Unterschiede. Ein Code per SMS ist schwächer abgesichert als eine App oder ein Sicherheitsschlüssel, weil eine Rufnummer übernommen werden kann. Für Konten mit Administratorrechten ist der Sicherheitsschlüssel die belastbarste Variante. ## Verwandte Begriffe - [Passwortmanager](https://vetosec.at/it-sicherheit/passwortmanager/) - [Passwortangriff](https://vetosec.at/it-sicherheit/passwortangriff/) - [Berechtigungskonzept und minimale Rechte](https://vetosec.at/it-sicherheit/berechtigungskonzept/) ## Quelle https://vetosec.at/it-sicherheit/zwei-faktor-authentifizierung/ (vetosec, schutz) --- # Berechtigungskonzept und minimale Rechte **Was ist ein Berechtigungskonzept?** Ein Berechtigungskonzept legt fest, wer auf welche Daten zugreifen darf. Das Prinzip der minimalen Rechte gibt jedem Konto genau die Rechte, die für seine Aufgabe nötig sind. In gewachsenen Netzen finden sich immer wieder dieselben Befunde: Konten ausgeschiedener Mitarbeiter sind noch aktiv, Administratorrechte liegen auf Konten für die tägliche Arbeit, und Freigaben stehen dem gesamten Haus offen, obwohl sie nur eine Abteilung betreffen. Dauerhaft hält ein Berechtigungskonzept nur mit einem festen Ablauf für Eintritt, Wechsel und Austritt von Mitarbeitern. Wer diesen Ablauf schriftlich hat, kann im Prüfungsfall auch belegen, dass Zugriffe geregelt sind. ## Verwandte Begriffe - [Zero Trust](https://vetosec.at/it-sicherheit/zero-trust/) - [Zwei-Faktor-Authentifizierung (2FA)](https://vetosec.at/it-sicherheit/zwei-faktor-authentifizierung/) - [IT-Inventar](https://vetosec.at/it-sicherheit/it-inventar/) ## Quelle https://vetosec.at/it-sicherheit/berechtigungskonzept/ (vetosec, schutz) --- # SPF, DKIM und DMARC **Was sind SPF, DKIM und DMARC?** SPF, DKIM und DMARC sind drei Einträge in der Verwaltung Ihrer Internet-Domain. Gemeinsam verhindern sie, dass Fremde E-Mails im Namen Ihrer Domain versenden. SPF legt fest, welche Server für Ihre Domain versenden dürfen. DKIM versieht jede ausgehende Nachricht mit einer Signatur, an der der Empfänger die Echtheit erkennt. DMARC verbindet beide und sagt dem empfangenden Mailserver, was mit Nachrichten geschehen soll, die durchfallen. Zusätzlich liefert DMARC Berichte über Versuche, Ihre Domain zu missbrauchen. Ohne diese drei Einträge kann eine gefälschte Rechnung im Namen Ihres Betriebs verschickt werden, obwohl Ihre eigenen Systeme völlig unversehrt sind. Der Schaden entsteht dann bei Ihren Kunden und fällt auf Ihren Namen zurück. ## Verwandte Begriffe - [Phishing](https://vetosec.at/it-sicherheit/phishing/) - [CEO-Fraud und Rechnungsbetrug](https://vetosec.at/it-sicherheit/ceo-fraud/) - [Schadsoftware (Malware)](https://vetosec.at/it-sicherheit/malware/) ## Quelle https://vetosec.at/it-sicherheit/spf-dkim-dmarc/ (vetosec, schutz) --- # Die 3-2-1-Regel für Backups **Was ist die 3-2-1-Regel bei Backups?** Die 3-2-1-Regel ist eine Faustregel für die Datensicherung: drei Kopien Ihrer wichtigen Daten, gespeichert auf zwei verschiedenen Medienarten, davon eine Kopie außer Haus. So trifft ein einzelnes Ereignis wie ein Brand oder ein Verschlüsselungsangriff alle Kopien gleichzeitig nur in seltenen Ausnahmen. Die drei Zahlen sind schnell erklärt. Drei Kopien bedeutet: das Original, mit dem Sie täglich arbeiten, und zwei Sicherungen davon. Zwei Medienarten bedeutet, dass diese Sicherungen auf unterschiedlicher Technik liegen, etwa auf einem Netzwerkspeicher im Haus und zusätzlich in einem Cloud-Speicher oder auf einer externen Festplatte. Eine Kopie außer Haus bedeutet, dass eine Sicherung an einem anderen Ort liegt, damit ein Brand, ein Wasserschaden oder ein Einbruch im Betriebsgebäude sie nicht erreicht. Diese Regel findet sich in den Empfehlungen des deutschen Bundesamts für Sicherheit in der Informationstechnik zum Datensicherungskonzept (Baustein CON.3 des IT-Grundschutz). Stellen Sie sich folgenden Aufbau vor: Ein Netzwerkspeicher steht im Serverraum, jede Nacht läuft eine Sicherung darauf, und damit gilt die Datensicherung als erledigt. Diese Sicherung hängt am selben Strom, im selben Raum und im selben Netz wie die Server. Ransomware, also Schadsoftware, die Daten verschlüsselt und Lösegeld fordert, sucht gezielt nach erreichbaren Netzlaufwerken und verschlüsselt die Sicherung mit. Deshalb wird die dritte Kopie offline gehalten, also nach dem Sicherungslauf physisch getrennt, oder unveränderbar gespeichert, also so, dass der Speicher ein Löschen und Überschreiben für eine festgelegte Zeit verweigert. Woran erkennen Sie, dass es bei Ihrer Sicherung klemmt? Stellen Sie drei Fragen. Wo liegt die zweite Kopie körperlich, und wer war zuletzt dort? Wann wurde zuletzt eine Datei aus der Sicherung tatsächlich zurückgeholt? Wie lange würde es dauern, den wichtigsten Server vollständig wiederherzustellen? Wenn diese Fragen im Haus niemand beantworten kann, ist die Datensicherung eine Annahme. Eine Sicherung gilt erst dann als vorhanden, wenn eine Wiederherstellung nachweislich funktioniert hat. Der erste sinnvolle Schritt ist eine Liste jener Systeme und Daten, ohne die der Betrieb steht: Warenwirtschaft, Buchhaltung, Mailpostfächer, Dateiablage, Konstruktions- oder Planungsdaten, Kassensystem. Notieren Sie zu jedem Eintrag, wie viele Kopien es gibt, auf welcher Technik sie liegen, wo sie liegen und wann zuletzt eine Wiederherstellung geprüft wurde. Diese Liste legt die Lücken in wenigen Minuten offen. Setzen Sie danach einen festen Termin für einen Wiederherstellungstest an und halten Sie das Ergebnis schriftlich fest. Der IT-Check prüft in acht Prüfbereichen und über 100 Prüfpunkten, wie Ihre IT aufgestellt ist. Die Datensicherung gehört dazu: welche Systeme gesichert werden, wohin, in welchem Abstand, wie lange die Sicherungen aufbewahrt werden und ob eine Kopie außerhalb der Reichweite eines Angriffs liegt. Die Datenerhebung vor Ort erfolgt read-only, also rein lesend und ohne Eingriff in laufende Systeme. ## Verwandte Begriffe - [Backup und Wiederherstellung](https://vetosec.at/it-sicherheit/backup-wiederherstellung/) - [Ransomware](https://vetosec.at/it-sicherheit/ransomware/) - [Notfallplan](https://vetosec.at/it-sicherheit/notfallplan/) ## Quelle https://vetosec.at/it-sicherheit/drei-zwei-eins-regel/ (vetosec, schutz) --- # Passwortmanager **Was ist ein Passwortmanager?** Ein Passwortmanager ist ein Programm, das die Zugangsdaten eines Betriebs verschlüsselt in einem digitalen Tresor speichert und beim Anmelden einträgt. Sie merken sich ein einziges starkes Hauptpasswort, der Manager erzeugt für jeden Dienst ein eigenes langes Passwort und bewahrt es auf. Der Grund für einen Passwortmanager liegt in einer schlichten menschlichen Grenze: Viele unterschiedliche starke Passwörter lassen sich nicht merken. Also wird dasselbe Passwort mehrfach verwendet, oft mit einer kleinen Abwandlung am Ende. Wird ein Anbieter angegriffen und werden dort Zugangsdaten erbeutet, probieren Angreifer dieselbe Kombination automatisiert bei anderen Diensten aus. Dieses Vorgehen heißt Credential Stuffing, also das automatisierte Durchprobieren erbeuteter Zugangsdaten bei fremden Diensten. Ein eigenes zufälliges Passwort je Dienst begrenzt den Schaden auf genau diesen einen Dienst. Im Betrieb geht es um mehr als das eigene Windows-Kennwort. Es gibt Zugänge, die mehrere Personen brauchen: das Firmenpostfach, das Onlinebanking, das Portal der Steuerberatung, die Verwaltung der Internet-Domain, den Zugang zum Router, die Konten in sozialen Netzwerken. Solche Zugangsdaten landen leicht in einer Tabelle, in einer Notiz am Bildschirm oder auf einem Zettel in der Schublade. Ein Passwortmanager mit Team-Funktion legt sie in gemeinsame Ordner, gibt sie gezielt für einzelne Rollen frei und macht nachvollziehbar, wer worauf Zugriff hat. Verlässt jemand den Betrieb, entziehen Sie den Zugriff und wechseln die geteilten Passwörter, ohne raten zu müssen, welche das waren. Ein naheliegender Einwand lautet, dass damit alle Passwörter an einem Ort liegen. Der Tresor ist verschlüsselt und ausschließlich mit dem Hauptpasswort lesbar. Drei Dinge sind dafür wichtig. Das Hauptpasswort ist lang, am besten ein Satz aus mehreren Wörtern, den nur Sie kennen. Der Zugang zum Manager wird zusätzlich mit Zwei-Faktor-Authentifizierung geschützt, also mit einem zweiten Nachweis neben dem Passwort, etwa einer Bestätigung am Mobiltelefon. Und es gibt einen Notfallzugang, etwa ein versiegeltes Kuvert im Safe, damit der Betrieb weiterarbeiten kann, wenn die verantwortliche Person längere Zeit ausfällt. Der erste sinnvolle Schritt ist eine Liste der Zugänge, sortiert nach dem Schaden bei Missbrauch: Onlinebanking, Firmen-Mail, Domain-Verwaltung, Fernwartung, Buchhaltung, Kundendatenbank. Diese kommen zuerst in den Passwortmanager, jeweils mit einem neu erzeugten langen Passwort und, wo der Anbieter es anbietet, mit einem zweiten Faktor. Alles Übrige folgt nach und nach im Arbeitsalltag, wann immer ein Passwort ohnehin einmal eingegeben wird. Wie Zugangsdaten im Betrieb verwaltet werden, ob Konten ausgeschiedener Mitarbeiter noch aktiv sind und ob die wichtigen Zugänge einen zweiten Faktor haben, gehört zu den Punkten, die der IT-Check erhebt. Ein Erstgespräch von 20 Minuten verursacht keine Kosten und klärt, ob eine Prüfung für Ihren Betrieb passt. ## Verwandte Begriffe - [Zwei-Faktor-Authentifizierung (2FA)](https://vetosec.at/it-sicherheit/zwei-faktor-authentifizierung/) - [Passwortangriff](https://vetosec.at/it-sicherheit/passwortangriff/) - [Berechtigungskonzept und minimale Rechte](https://vetosec.at/it-sicherheit/berechtigungskonzept/) ## Quelle https://vetosec.at/it-sicherheit/passwortmanager/ (vetosec, schutz) --- # Patch-Management und Updates **Was ist Patch-Management?** Patch-Management ist der geregelte Umgang mit Sicherheitsupdates. Ein Patch ist die Korrektur, mit der ein Hersteller eine bekannt gewordene Sicherheitslücke schließt. Geregelt heißt: Sie wissen, welche Systeme laufen, erfahren von neuen Updates und spielen sie in einer festgelegten Frist ein. Sicherheitslücken werden häufig in dem Moment öffentlich, in dem der Hersteller den Patch bereitstellt. Ab diesem Zeitpunkt wissen auch Angreifer, wo die Lücke sitzt, und automatisierte Suchprogramme durchkämmen das Internet nach Systemen, die das Update noch nicht erhalten haben. Die Zeitspanne zwischen der Veröffentlichung eines Updates und dem Einspielen im Betrieb ist damit ein offen stehendes Fenster. Wer diese Spanne kurz hält, nimmt einem großen Teil der automatisierten Angriffe die Grundlage. Windows und Office aktualisieren sich meist von selbst. Die Aufmerksamkeit gehört den Geräten, an die im Alltag niemand denkt: die Firmware, also die fest im Gerät verbaute Steuersoftware, von Firewall und Router, der Netzwerkspeicher, die Netzwerkdrucker, die Kameras der Videoüberwachung, die Zeiterfassung, das Kassensystem, die Steuerungsrechner an Maschinen, die Fernwartungssoftware, die Erweiterungen der Firmenwebsite. Besonders dringlich sind Systeme, die aus dem Internet erreichbar sind, weil sie ununterbrochen gefunden und abgeklopft werden. Ein eigener Fall ist Software am Ende ihres Lebenszyklus, also Programme und Geräte, für die der Hersteller keine Sicherheitsupdates mehr liefert. Eine Lücke, die danach bekannt wird, bleibt dauerhaft offen. Das betrifft alte Betriebssystemversionen, ältere Netzwerkspeicher und Telefonanlagen ebenso wie Fachsoftware, deren Anbieter den Betrieb eingestellt hat. Für solche Systeme brauchen Sie einen Plan mit Termin und Budget. Ist eine Ablöse kurzfristig unmöglich, wird das Gerät in einen abgetrennten Netzbereich gestellt und vom Internet ferngehalten. Der erste sinnvolle Schritt ist ein Verzeichnis: Welche Geräte, Betriebssysteme und Programme laufen im Betrieb, in welcher Version, wer ist dafür zuständig, und bis wann liefert der Hersteller Updates? Auf dieser Grundlage legen Sie je Kategorie eine Regel fest. Wer prüft in welchem Abstand auf Updates, in welcher Frist werden sie eingespielt, welche Systeme werden vorher in einem Wartungsfenster getestet, und wer hält das Ergebnis fest? Automatische Updates sind dort die einfachste Lösung, wo ein Neustart keinen Produktionsausfall auslöst. Der IT-Check erhebt vor Ort den Versions- und Updatestand der eingesetzten Systeme und sucht in einem leichten Penetrationstest, also einem bewusst zurückhaltend geführten Angriffsversuch von außen, nach Diensten mit veralteten Versionen. Den Befund mit Maßnahmenplan erhalten Sie innerhalb von zwei Wochen. ## Verwandte Begriffe - [Schwachstelle und Schwachstellenanalyse](https://vetosec.at/it-sicherheit/schwachstelle/) - [Schwachstellenscan](https://vetosec.at/it-sicherheit/schwachstellenscan/) - [IT-Inventar](https://vetosec.at/it-sicherheit/it-inventar/) - [Zero-Day-Lücke](https://vetosec.at/it-sicherheit/zero-day/) ## Quelle https://vetosec.at/it-sicherheit/patch-management/ (vetosec, schutz) --- # Firewall **Was ist eine Firewall?** Eine Firewall ist ein Kontrollpunkt zwischen Ihrem Firmennetz und dem Internet, der jede Verbindung nach festen Regeln erlaubt oder blockiert. Sie entscheidet, welche Dienste aus dem Internet erreichbar sind und welche Verbindungen aus dem Betrieb hinausgehen dürfen. Im Betrieb steckt die Firewall meist im Router des Internetanbieters oder in einem eigenen Gerät im Serverschrank. Ab Werk gilt eine einfache Grundregel: Von außen kommt nichts herein, von innen darf alles hinaus. Schwierig wird es bei den Ausnahmen, die im Lauf der Jahre eingerichtet werden, damit die Geschäftsführung von zu Hause auf den Server kommt, damit eine Servicefirma auf eine Maschine zugreifen kann oder damit die Videoüberwachung vom Mobiltelefon aus sichtbar ist. Solche Ausnahmen heißen Portfreigaben. Eine Portfreigabe ist eine Tür in der Außenwand, die jeder im Internet sehen kann. Dienste zur Fernwartung, Kameras und die Bedienoberflächen von Netzwerkspeichern hinter einer solchen Tür werden laufend von automatisierten Suchprogrammen gefunden. Liegt dahinter ein schwaches Passwort oder eine veraltete Software, steht der Zugang offen. Für den Fernzugriff auf das Firmennetz eignet sich ein VPN, also eine verschlüsselte Verbindung in das Firmennetz, die den Weg erst nach einer erfolgreichen Anmeldung mit einem zweiten Nachweis neben dem Passwort öffnet. Eine Firewall prüft Verbindungen. Eine Phishing-Mail mit gefälschter Rechnung passiert sie als gewöhnliche E-Mail, und eine Mitarbeiterin, die auf einer nachgebauten Anmeldeseite ihr Kennwort eingibt, wird von ihr nicht aufgehalten. Die Firewall bildet die äußere Schale eines Gebäudes. Innerhalb dieser Schale wirken der Schutz auf den Endgeräten, die Zwei-Faktor-Authentifizierung bei der Anmeldung, also die Bestätigung mit einem zweiten Nachweis wie einem Code am Mobiltelefon, und die geschulte Aufmerksamkeit der Belegschaft. Anzeichen für eine Firewall, die Aufmerksamkeit braucht, sind schnell benannt. Niemand im Haus kann sagen, welche Freigaben aktiv sind. Die Firmware, also die Steuersoftware des Geräts, wurde seit Jahren nicht aktualisiert. Die Verwaltungsoberfläche der Firewall ist aus dem Internet erreichbar. Das Zugangspasswort stammt noch aus der Erstinstallation. Im Regelwerk stehen Einträge für Server, die längst abgebaut wurden. Der erste sinnvolle Schritt ist eine ausgedruckte Liste aller Regeln und Freigaben, zu der Sie Zeile für Zeile eine Begründung suchen. Jede Zeile ohne Begründung wird abgeschaltet und das Verhalten beobachtet. Der IT-Check prüft von außen, welche Dienste Ihres Anschlusses im Internet sichtbar sind, und sieht vor Ort das Regelwerk durch. Die Datenerhebung erfolgt read-only und unterbrechungsfrei, der laufende Betrieb wird dabei nicht angehalten. ## Verwandte Begriffe - [Netzwerksegmentierung](https://vetosec.at/it-sicherheit/netzwerksegmentierung/) - [VPN](https://vetosec.at/it-sicherheit/vpn/) - [Angriffsfläche](https://vetosec.at/it-sicherheit/angriffsflaeche/) - [Penetrationstest](https://vetosec.at/it-sicherheit/penetrationstest/) ## Quelle https://vetosec.at/it-sicherheit/firewall/ (vetosec, schutz) --- # VPN **Was ist ein VPN?** Ein VPN (virtuelles privates Netzwerk) ist eine verschlüsselte Verbindung, mit der sich Mitarbeiter von außerhalb in das Firmennetz einwählen. Der Datenverkehr läuft durch einen geschützten Kanal und bleibt unterwegs für Dritte unlesbar. Der Zugang öffnet sich erst nach erfolgreicher Anmeldung. Der Anlass für ein VPN ist der Arbeitsalltag: Homeoffice, Außendienst, Baustelle, Hotel-WLAN, ein Blick auf die Auftragsliste vom Notebook am Küchentisch. Wird ein Dienst für diesen Zweck direkt aus dem Internet erreichbar gemacht, steht die Tür für jeden offen, der sie findet. Ein VPN hält den Server für das Internet unsichtbar, und nur wer sich am VPN anmeldet, gelangt in das Firmennetz. Das Wort VPN wird für zwei verschiedene Dinge verwendet. Für einen Betrieb geht es um das Firmen-VPN, also den gesicherten Zugang der eigenen Leute in das eigene Netz. Die beworbenen VPN-Dienste für Privatpersonen verbergen die eigene IP-Adresse beim Surfen und erfüllen damit eine andere Aufgabe. Wer über den Fernzugriff auf die Buchhaltung spricht, meint das Firmen-VPN. Ein VPN-Zugang ist ein Generalschlüssel in Ihr Netz und wird entsprechend behandelt. Jeder Zugang gehört einer namentlich benannten Person, denn Sammelkonten für mehrere Mitarbeiter machen jede spätere Nachvollziehbarkeit unmöglich. Jeder Zugang wird mit Zwei-Faktor-Authentifizierung geschützt, also mit einem zweiten Nachweis neben dem Passwort, etwa einer Bestätigung am Mobiltelefon. Zugänge ausgeschiedener Personen werden am Tag des Austritts gesperrt. Und das VPN-Gerät selbst ist aus dem Internet erreichbar, weshalb seine Sicherheitsupdates zügig eingespielt gehören. Ein angemeldeter VPN-Nutzer sollte genau jene Systeme erreichen, die er für seine Arbeit braucht. Ein Zugang, der das gesamte Netz öffnet, macht aus einem befallenen privaten Notebook im Wohnzimmer ein Problem für die Buchhaltung. Netzwerksegmentierung, also die Aufteilung des Netzes in getrennte Bereiche, und ein Berechtigungskonzept, also die schriftliche Festlegung, wer auf welche Daten und Systeme zugreifen darf, begrenzen die Reichweite eines übernommenen Zugangs. Der erste sinnvolle Schritt ist eine Liste aller VPN-Konten mit der Frage, wem jedes Konto gehört und ob die Person noch im Betrieb tätig ist. Danach folgen der zweite Faktor und die Protokollierung, damit nachvollziehbar bleibt, wer wann von wo verbunden war. Der IT-Check erhebt, wie der Fernzugriff auf Ihr Netz eingerichtet ist und welche Wege von außen offenstehen. ## Verwandte Begriffe - [Firewall](https://vetosec.at/it-sicherheit/firewall/) - [Zwei-Faktor-Authentifizierung (2FA)](https://vetosec.at/it-sicherheit/zwei-faktor-authentifizierung/) - [Netzwerksegmentierung](https://vetosec.at/it-sicherheit/netzwerksegmentierung/) - [Zero Trust](https://vetosec.at/it-sicherheit/zero-trust/) ## Quelle https://vetosec.at/it-sicherheit/vpn/ (vetosec, schutz) --- # Verschlüsselung **Was ist Verschlüsselung?** Verschlüsselung wandelt lesbare Daten mit einem geheimen Schlüssel in eine unlesbare Form um, die nur mit diesem Schlüssel wieder lesbar wird. Im Betrieb schützt sie Daten auf Notebooks, Mobiltelefonen und externen Festplatten sowie den Datenverkehr auf dem Weg durch das Internet. Verschlüsselung wirkt an zwei Stellen, die für einen Betrieb zählen. Erstens bei gespeicherten Daten, also auf der Festplatte des Notebooks, auf dem Diensthandy, auf dem USB-Stick, auf der externen Sicherungsplatte. Zweitens bei übertragenen Daten, also auf dem Weg durch das Internet, erkennbar am https in der Adresszeile des Browsers, an einer VPN-Verbindung, also einer verschlüsselten Verbindung in das Firmennetz, oder an der gesicherten Übertragung zwischen Mailservern. Der greifbarste Fall ist das verlorene Notebook. Ohne Festplattenverschlüsselung lässt sich die Festplatte ausbauen und an einem anderen Rechner auslesen. Das Windows-Kennwort hält davon niemanden ab, weil es allein die Anmeldung am Betriebssystem schützt. Ist die Festplattenverschlüsselung aktiv, bleiben die Daten für den Finder unlesbar. Unter Windows heißt die Funktion in den Pro-Versionen BitLocker, unter macOS FileVault. Auf aktuellen Mobiltelefonen ist die Verschlüsselung ab Werk aktiv, sobald ein Gerätecode gesetzt ist. Die Datenschutz-Grundverordnung nennt die Verschlüsselung personenbezogener Daten in Artikel 32 ausdrücklich als eine mögliche technische Maßnahme. Sie hat außerdem eine sehr praktische Folge. Nach Artikel 34 Absatz 3 lit. a DSGVO kann die Benachrichtigung der betroffenen Personen bei einer Verletzung des Schutzes personenbezogener Daten entfallen, wenn die Daten durch geeignete Maßnahmen wie Verschlüsselung für Unbefugte unzugänglich gemacht wurden. Die Meldung an die Datenschutzbehörde nach Artikel 33 DSGVO bleibt davon unberührt. Verschlüsselung steht und fällt mit dem Umgang mit den Schlüsseln. Der Wiederherstellungsschlüssel einer Festplattenverschlüsselung gehört an einen sicheren Ort außerhalb des verschlüsselten Geräts, etwa in den Passwortmanager der Geschäftsführung oder in den Safe. Geht er verloren, sind die Daten auch für Sie dauerhaft unlesbar. Bei verschlüsselten Sicherungen gilt dasselbe: Der Schlüssel muss auch dann verfügbar sein, wenn genau der Server ausgefallen ist, auf dem er gelegen hat. Der erste sinnvolle Schritt ist eine Liste aller Geräte, die das Betriebsgelände verlassen: Notebooks, Diensthandys, Tablets, externe Festplatten, USB-Sticks. Auf jedem davon wird die Verschlüsselung aktiviert und der Status festgehalten. Der IT-Check erhebt, welche Geräte verschlüsselt sind, wo die Wiederherstellungsschlüssel liegen und ob die Übertragungswege abgesichert sind. Diese Erhebung hilft zugleich bei der Dokumentation der technischen und organisatorischen Maßnahmen nach der DSGVO. ## Verwandte Begriffe - [Technische und organisatorische Maßnahmen (TOM)](https://vetosec.at/it-sicherheit/tom-dsgvo/) - [DSGVO](https://vetosec.at/it-sicherheit/dsgvo/) - [Meldepflicht bei einer Datenpanne](https://vetosec.at/it-sicherheit/meldepflicht-datenpanne/) - [Backup und Wiederherstellung](https://vetosec.at/it-sicherheit/backup-wiederherstellung/) ## Quelle https://vetosec.at/it-sicherheit/verschluesselung/ (vetosec, schutz) --- # Virenschutz und EDR **Was ist EDR?** EDR (Endpoint Detection and Response) ist eine Schutzsoftware für Arbeitsplätze und Server, die verdächtige Abläufe erkennt, Alarm schlägt und ein betroffenes Gerät vom Netz trennen kann. Klassischer Virenschutz erkennt Schadprogramme an bekannten Mustern, EDR beobachtet zusätzlich das Verhalten der Programme. Angriffe laufen häufig ohne auffällige Schaddatei ab. Angreifer verwenden Werkzeuge, die auf jedem Windows-Rechner ohnehin vorhanden sind, etwa die Kommandozeile, oder Fernwartungsprogramme, wie sie auch Ihr Dienstleister nutzt. Eine Erkennung, die Dateien mit bekannten Mustern vergleicht, sieht dabei wenig. EDR beobachtet die Abläufe: Ein Word-Dokument startet ein Skript, das Skript lädt etwas aus dem Internet nach, kurz darauf werden im Sekundentakt Dateien auf dem Netzlaufwerk umgeschrieben. Diese Kette löst den Alarm aus. Das R in EDR steht für die Reaktion. Die Software kann den auffälligen Vorgang beenden, das Gerät vom Netz nehmen, sodass es die übrigen Rechner nicht mehr erreicht, und den Ablauf für die spätere Analyse festhalten. Diese Reaktion hilft nur, wenn jemand den Alarm bemerkt. Ein Alarm um drei Uhr früh in einem Betrieb ohne eigene IT-Abteilung läuft ins Leere. Deshalb wird EDR sinnvollerweise als betreuter Dienst geführt, bei dem ein Dienstleister die Meldungen überwacht und im Ernstfall handelt. Für einen KMU-Betrieb ergibt sich daraus eine kurze Anforderungsliste. Auf jedem Gerät läuft ein aktueller Schutz, auch auf den Servern und auf den Rechnern in der Werkstatt. Es gibt eine zentrale Übersicht, in der sichtbar wird, welches Gerät sich seit Wochen nicht mehr gemeldet hat. Die Alarme laufen an einer Stelle auf, für die eine Zuständigkeit und eine Erreichbarkeit vereinbart sind. Ein Schutzprogramm, dessen Meldungen niemand liest, verhindert wenig. Kein Endgeräteschutz erkennt jeden Angriff. Das Fundament bleibt daher bestehen: getestete Datensicherungen, ein zweiter Faktor bei der Anmeldung, getrennte Netzbereiche und Mitarbeiter, die eine verdächtige E-Mail melden. EDR verkürzt die Zeit zwischen dem Beginn eines Angriffs und seiner Entdeckung, und genau diese Zeit entscheidet darüber, ob ein einzelner Rechner betroffen ist oder der gesamte Serverraum. Der erste sinnvolle Schritt ist ein Abgleich. Legen Sie die Liste Ihrer Geräte neben die Geräteliste in der Verwaltungsoberfläche Ihres Schutzprogramms. Jedes Gerät, das dort fehlt, ist unbeobachtet. Der IT-Check erhebt, welche Systeme geschützt sind, wohin die Alarme gehen und wer sie liest. ## Verwandte Begriffe - [Schadsoftware (Malware)](https://vetosec.at/it-sicherheit/malware/) - [Ransomware](https://vetosec.at/it-sicherheit/ransomware/) - [Monitoring und Protokollierung](https://vetosec.at/it-sicherheit/monitoring-logging/) - [Zero-Day-Lücke](https://vetosec.at/it-sicherheit/zero-day/) ## Quelle https://vetosec.at/it-sicherheit/edr-virenschutz/ (vetosec, schutz) --- # Netzwerksegmentierung **Was ist Netzwerksegmentierung?** Netzwerksegmentierung teilt ein Firmennetz in getrennte Bereiche, zwischen denen nur ausdrücklich erlaubte Verbindungen möglich sind. Wird ein Gerät übernommen, bleibt der Schaden auf seinen Bereich begrenzt. Übliche Bereiche sind Büro, Server, Produktion und Gäste-WLAN. Der Ausgangszustand ist das flache Netz: Alle Geräte hängen im selben Netz und können einander erreichen. Der Rechner am Empfang erreicht dann den Buchhaltungsserver, den Netzwerkspeicher, die Kasse, die Maschinensteuerung und die Kameras. Übernimmt ein Angreifer einen einzigen Arbeitsplatz, steht ihm dieses gesamte Netz offen. Genau diesen Weg nutzt Ransomware, also Schadsoftware, die Daten verschlüsselt und Lösegeld fordert, um sich von einem infizierten Rechner auf die Server auszubreiten. Die erste Trennlinie ist das Gäste-WLAN. Besucher, Handwerker und private Mobiltelefone gehören in ein eigenes Netz, das ausschließlich ins Internet führt. Viele Router bieten diese Funktion als Gastzugang bereits an, sie muss nur eingeschaltet werden. Die zweite Trennlinie verläuft zwischen Büro und Produktion, weil Maschinensteuerungen oft an ein Betriebssystem gebunden sind, für das es keine Updates mehr gibt. Die dritte Trennlinie umgibt Geräte wie Drucker, Kameras und Gebäudetechnik, die selten gewartet werden. Technisch werden solche Bereiche als VLAN eingerichtet, also als logisch getrennte Netze auf derselben Verkabelung, und die Firewall entscheidet, welche Verbindungen zwischen ihnen erlaubt sind. Der Aufwand bleibt überschaubar, wenn verwaltbare Switches vorhanden sind, also Netzwerkverteiler, deren Anschlüsse einzeln konfiguriert werden können. Die Regel zwischen den Bereichen ist einfach zu merken: Erlaubt wird, was für die Arbeit gebraucht wird, alles Übrige bleibt geschlossen. Ein einfacher Test zeigt den Zustand Ihres Netzes. Verbinden Sie ein Mobiltelefon mit dem Gäste-WLAN und sehen Sie nach, ob Sie darüber den Netzwerkdrucker oder den Netzwerkspeicher erreichen. Gelingt das, ist das Netz flach. Ebenso aufschlussreich ist die Frage, ob eine Maschinensteuerung im selben Netz erreichbar ist wie der Rechner der Buchhaltung. Der erste sinnvolle Schritt ist ein Netzplan, der festhält, welche Geräte es gibt, wo sie angeschlossen sind und welche Verbindungen sie für ihre Aufgabe wirklich brauchen. Auf dieser Grundlage lassen sich die Bereiche schrittweise trennen, beginnend beim Gäste-WLAN. Der IT-Check erhebt den Aufbau Ihres Netzes vor Ort, rein lesend und ohne Unterbrechung des Betriebs, und zeigt im Befund, welche Trennungen fehlen. ## Verwandte Begriffe - [Firewall](https://vetosec.at/it-sicherheit/firewall/) - [Zero Trust](https://vetosec.at/it-sicherheit/zero-trust/) - [Ransomware](https://vetosec.at/it-sicherheit/ransomware/) - [Angriffsfläche](https://vetosec.at/it-sicherheit/angriffsflaeche/) ## Quelle https://vetosec.at/it-sicherheit/netzwerksegmentierung/ (vetosec, schutz) --- # Notfallplan **Was gehört in einen IT-Notfallplan?** Ein IT-Notfallplan ist eine kurze schriftliche Anleitung dafür, wer bei einem IT-Ausfall oder Cyberangriff was tut, wen er verständigt und in welcher Reihenfolge der Betrieb wieder anläuft. Er liegt ausgedruckt vor, weil im Ernstfall die IT selbst betroffen ist. Ein Notfallplan beantwortet die Fragen, die im Ernstfall alle gleichzeitig auftreten. Wer wird verständigt, unter welcher Telefonnummer, und wer entscheidet, ob die Produktion angehalten wird? Welche Sofortmaßnahmen gelten, etwa das Trennen betroffener Rechner vom Netz, während die Geräte für die Spurensicherung eingeschaltet bleiben? Welche Systeme laufen in welcher Reihenfolge wieder an? Und wie arbeitet der Betrieb in der Zwischenzeit weiter, also mit welchen Formularen auf Papier werden Aufträge, Lieferscheine und Kassenbelege erfasst? Zwei Vorgaben legt die Geschäftsführung fest, und sie bestimmen alles Weitere. Erstens: Wie lange darf ein System stehen, bevor es wirtschaftlich weh tut, eine Stunde, ein Tag, eine Woche? Zweitens: Wie viele Daten darf ein Zwischenfall vernichten, wie alt darf also der letzte brauchbare Sicherungsstand sein? Aus diesen beiden Antworten ergibt sich, in welchem Abstand gesichert wird, welche Ersatzgeräte bereitliegen und ob ein Wartungsvertrag mit zugesagter Reaktionszeit nötig ist. Der Plan hat eine rechtliche Seite. Sind personenbezogene Daten betroffen, ist die Verletzung nach Artikel 33 DSGVO binnen 72 Stunden nach Bekanntwerden an die Datenschutzbehörde zu melden, sofern ein Risiko für die betroffenen Personen besteht. Diese Frist läuft, während Ihr Betrieb still steht, und deshalb gehören der Meldeweg, die Zuständigkeit und ein vorbereitetes Formular in den Plan. Unternehmen, die vom österreichischen NISG 2026 erfasst sind, das die NIS2-Richtlinie umsetzt und am 1. Oktober 2026 in Kraft tritt, trifft ein eigener Pflichtenkatalog; Geschäftskontinuität und Krisenmanagement zählen dort ausdrücklich zu den geforderten Maßnahmen. Ein Plan, der nur im Ordner liegt, hilft im Ernstfall wenig. Spielen Sie ihn einmal am Tisch durch, mit jenen Personen, die tatsächlich betroffen wären. Wer hat den Schlüssel zum Serverraum, wenn die Geschäftsführung auf Urlaub ist? Wo liegt die Sicherung außer Haus, und wer darf sie holen? Über welche Nummer erreichen Sie Ihren IT-Dienstleister an einem Sonntag? Solche Übungen brauchen wenig Zeit und decken die Lücken auf, die im Ernstfall Stunden kosten. Der erste sinnvolle Schritt passt auf ein Blatt Papier: die wichtigsten Kontakte, die drei ersten Handgriffe, der Ort der Sicherung. Ausgedruckt im Serverraum und ein zweites Mal zu Hause bei der Geschäftsführung. Alles Weitere wächst daran. Der IT-Check erhebt, welche Systeme für Ihren Betrieb kritisch sind, wie lange ihre Wiederherstellung dauern würde und welche Vorbereitungen dafür bestehen. Den Befund mit Maßnahmenplan erhalten Sie innerhalb von zwei Wochen. ## Verwandte Begriffe - [Backup und Wiederherstellung](https://vetosec.at/it-sicherheit/backup-wiederherstellung/) - [Ransomware](https://vetosec.at/it-sicherheit/ransomware/) - [Meldepflicht bei einer Datenpanne](https://vetosec.at/it-sicherheit/meldepflicht-datenpanne/) - [Die 3-2-1-Regel für Backups](https://vetosec.at/it-sicherheit/drei-zwei-eins-regel/) ## Quelle https://vetosec.at/it-sicherheit/notfallplan/ (vetosec, schutz) --- # Mitarbeiterschulung (Awareness) **Was ist eine Awareness-Schulung?** Eine Awareness-Schulung ist eine kurze, regelmäßige Unterweisung der Belegschaft, die typische Angriffe auf Menschen erkennbar macht, etwa gefälschte Rechnungen, Anrufe im Namen der Geschäftsführung oder nachgebaute Anmeldeseiten. Sie legt außerdem fest, wo ein Verdacht gemeldet wird. Angriffe zielen regelmäßig auf Menschen. Eine E-Mail, die aussieht wie die Rechnung eines bekannten Lieferanten. Ein Anruf, der angeblich aus der Geschäftsführung kommt und eine eilige Überweisung verlangt. Eine Nachricht der vermeintlichen IT mit der Bitte um das Kennwort. Technische Filter fangen einen Teil davon ab. Die letzte Entscheidung trifft die Person vor dem Bildschirm, und genau dort setzt eine Awareness-Schulung an. Eine wirksame Schulung ist kurz, wiederholt sich und arbeitet mit Beispielen aus dem eigenen Arbeitsalltag. Zeigen Sie echte E-Mails, die im Betrieb angekommen sind, samt den Merkmalen, an denen man sie erkennt: der Absender, der auf den zweiten Blick anders lautet, der aufgebaute Zeitdruck, die geänderte Kontonummer auf einer bekannten Rechnung, das Ziel eines Links, das beim Darüberfahren mit der Maus sichtbar wird. Arbeiten Sie mit konkreten Fällen aus Ihrer eigenen Branche, weil die Belegschaft sie im Alltag wiedererkennt. Der wichtigste Satz einer Schulung lautet: Melden ist erwünscht, und wer meldet, bekommt keine Schwierigkeiten. Eine Mitarbeiterin, die fürchtet, für einen Klick gerügt zu werden, meldet den Vorfall Stunden später, und diese Stunden entscheiden über den Schaden. Legen Sie deshalb einen einfachen Meldeweg fest, eine Adresse oder eine Telefonnummer, hängen Sie ihn sichtbar aus und sagen Sie zu, was nach einer Meldung geschieht. Phishing-Simulationen, also gefälschte Test-E-Mails an die eigene Belegschaft, sind ein nützliches Übungsmittel unter Bedingungen. Kündigen Sie das Übungsprogramm vorher an, werten Sie die Ergebnisse anonym aus, binden Sie eine allfällige Mitarbeitervertretung ein und verzichten Sie auf personenbezogene Auswertungen. Das Ziel der Übung ist eine höhere Meldebereitschaft im Betrieb. Die NIS2-Richtlinie führt Cyberhygiene und Schulungen ausdrücklich in ihrem Katalog der Risikomanagementmaßnahmen an und verpflichtet die Leitungsorgane erfasster Einrichtungen, selbst an Schulungen teilzunehmen. In Österreich setzt das NISG 2026 diese Vorgaben um. Für Betriebe außerhalb des Anwendungsbereichs bleibt die Schulung eine Maßnahme mit geringem Aufwand und unmittelbarer Wirkung. Ob es einen bekannten Meldeweg gibt und wie im Haus mit verdächtigen E-Mails umgegangen wird, gehört zu den organisatorischen Punkten, die der IT-Check erhebt. ## Verwandte Begriffe - [Phishing](https://vetosec.at/it-sicherheit/phishing/) - [Social Engineering](https://vetosec.at/it-sicherheit/social-engineering/) - [CEO-Fraud und Rechnungsbetrug](https://vetosec.at/it-sicherheit/ceo-fraud/) - [Zwei-Faktor-Authentifizierung (2FA)](https://vetosec.at/it-sicherheit/zwei-faktor-authentifizierung/) ## Quelle https://vetosec.at/it-sicherheit/awareness-schulung/ (vetosec, schutz) --- # Monitoring und Protokollierung **Was ist Monitoring und Protokollierung in der IT?** Monitoring und Protokollierung bedeuten, dass IT-Systeme laufend beobachtet und wichtige Ereignisse mitgeschrieben werden, etwa Anmeldungen, Fehler und Änderungen an Berechtigungen. Diese Protokolle zeigen im Ernstfall, was wann geschehen ist und über welchen Zugang jemand hereinkam. Zwischen dem ersten Zugriff eines Angreifers und dem sichtbaren Schaden liegt Zeit. In dieser Zeit hinterlässt er Spuren: eine Serie fehlgeschlagener Anmeldungen an der Fernwartung, eine erfolgreiche Anmeldung um drei Uhr früh aus einem anderen Land, ein neu angelegtes Administratorkonto, ein Virenschutz, der auf einem Rechner plötzlich abgeschaltet ist, ein Sicherungslauf, der seit Tagen fehlschlägt. Ohne Protokolle bleiben diese Spuren unsichtbar, und der Angriff wird erst am Tag der Verschlüsselung bemerkt. Für einen KMU-Betrieb genügt eine überschaubare Auswahl. Protokolliert gehören die Anmeldungen an den Servern, an Microsoft 365 oder einem vergleichbaren Cloud-Dienst, am VPN, also am verschlüsselten Fernzugang in das Firmennetz, an der Fernwartung und an der Firewall. Dazu kommen Änderungen an Berechtigungen, das Anlegen und Löschen von Konten, das Abschalten von Schutzsoftware und das Ergebnis der Sicherungsläufe. Diese Protokolle werden an einer zentralen Stelle gesammelt, damit ein Angreifer sie auf dem befallenen Rechner nicht einfach löschen kann, und für eine festgelegte Dauer aufbewahrt. Die Protokollierung schreibt mit. Monitoring bedeutet, dass jemand hinsieht. Ein Alarm, der in einem Postfach landet, das niemand öffnet, bleibt wirkungslos. Für Betriebe ohne eigene IT gibt es zwei gangbare Wege. Die Alarme gehen mit vereinbarter Reaktionszeit an den IT-Dienstleister. Oder die Überwachung wird als Dienst eingekauft, etwa über ein SOC (Security Operations Center), also eine Stelle, die eingehende Alarme rund um die Uhr auswertet und im Ernstfall verständigt. Protokolle enthalten personenbezogene Daten, weil sie festhalten, wer sich wann angemeldet hat. Legen Sie deshalb vorab schriftlich fest, zu welchem Zweck protokolliert wird, wie lange die Einträge aufbewahrt werden und wer Einsicht nehmen darf, und binden Sie eine allfällige Mitarbeitervertretung ein. Eine saubere Regelung dient zugleich der Dokumentation der technischen und organisatorischen Maßnahmen nach der DSGVO. Der Aufbau einer zentralen Überwachung ist eine Aufgabe von einiger Tragweite. Jedes System meldet in einer eigenen Form, die Meldungen müssen eingesammelt, in eine einheitliche Struktur gebracht und mit einer gemeinsamen Uhrzeit versehen werden. Danach ist festzulegen, welcher Zustand als normal gilt, denn nur davon lässt sich eine Abweichung unterscheiden. Ein Betrieb mit Nachtschicht, mit Zugriffen aus dem Urlaub und mit automatisierten Dienstkonten hat einen anderen Normalzustand als ein Büro mit festen Arbeitszeiten. Diese Feinabstimmung ist der eigentliche Aufwand und endet nicht mit der Inbetriebnahme. Der erste sinnvolle Schritt ist eine Liste jener Systeme, die von außen erreichbar sind oder besonders wertvolle Daten enthalten. Prüfen Sie für jedes einzelne: Ist die Protokollierung eingeschaltet? Wie lange bleiben die Einträge erhalten? Wer sieht sie an, und in welchem Abstand? Der IT-Check erhebt, welche Protokolle geführt werden, wohin Alarme laufen und wer sie tatsächlich liest. ## Verwandte Begriffe - [SIEM](https://vetosec.at/it-sicherheit/siem/) - [Virenschutz und EDR](https://vetosec.at/it-sicherheit/edr-virenschutz/) - [Notfallplan](https://vetosec.at/it-sicherheit/notfallplan/) - [Datenleck](https://vetosec.at/it-sicherheit/datenleck/) ## Quelle https://vetosec.at/it-sicherheit/monitoring-logging/ (vetosec, schutz) --- # SIEM **Was ist ein SIEM?** Ein SIEM (Security Information and Event Management) ist ein System, das die Protokolle vieler einzelner IT-Systeme an einer Stelle sammelt, in eine einheitliche Form bringt und nach Mustern durchsucht, die auf einen Angriff hindeuten. Es verbindet Ereignisse aus verschiedenen Quellen zu einem gemeinsamen Bild. Der Nutzen liegt in der Verbindung. Ein einzelnes Ereignis sagt für sich genommen wenig. Fehlgeschlagene Anmeldungen kommen täglich vor, weil sich jemand vertippt. Eine Anmeldung um drei Uhr früh kann die Nachtschicht sein. Ein neu angelegtes Administratorkonto kann eine geplante Änderung sein. Treten diese drei Ereignisse jedoch innerhalb einer Stunde hintereinander auf, und wird kurz darauf auf einem Rechner der Virenschutz abgeschaltet, dann ergibt sich daraus ein Muster, das jede einzelne Meldung für sich nicht zeigt. Genau diese Verknüpfung leistet ein SIEM. Der Aufbau ist aufwendiger, als es von außen wirkt. Zunächst sind die Quellen anzubinden: Firewall, Server, Microsoft 365 oder ein vergleichbarer Cloud-Dienst, der verschlüsselte Fernzugang in das Firmennetz, die Fernwartung, die Schutzsoftware auf den Arbeitsplätzen und die Sicherungsläufe. Jedes dieser Systeme meldet in einer eigenen Sprache, mit eigenen Feldern und eigenen Bezeichnungen für denselben Vorgang. Diese Meldungen müssen in eine einheitliche Struktur übersetzt werden, damit die Frage, wer sich wann von wo aus angemeldet hat, über alle Systeme hinweg dieselbe Antwortform hat. Zusätzlich müssen die Uhren aller Systeme auf dieselbe Zeit gestellt sein, denn eine Verknüpfung von Ereignissen über mehrere Systeme hinweg ist nur so genau wie deren gemeinsame Zeitbasis. Danach beginnt die eigentliche Arbeit. Ein SIEM erkennt eine Abweichung nur, wenn es weiß, was in diesem Betrieb normal ist. Nachtschichten, Zugriffe aus dem Urlaub, Dienstkonten, die automatisiert und rund um die Uhr arbeiten, Wartungsfenster des Dienstleisters: All das ist unauffällig und muss als unauffällig hinterlegt werden. Geschieht das nicht, meldet das System täglich Hunderte von Fehlalarmen. Die Folge ist bekannt und gefährlich, weil die Alarme dann nicht mehr gelesen werden und der eine echte Alarm in der Menge untergeht. Diese Feinabstimmung ist keine einmalige Einstellung, sie läuft im Betrieb weiter, weil sich der Betrieb selbst laufend verändert. Dazu kommen die Fragen der Aufbewahrung. Protokolle brauchen Speicherplatz, und die Kosten richten sich in der Regel nach der Datenmenge. Es ist festzulegen, welche Quellen wie lange aufbewahrt werden. Die gesammelten Protokolle sind selbst schützenswert, weil sie zeigen, wie der Betrieb von innen aussieht, und weil ein Angreifer sie im Ernstfall als Erstes löschen würde. Sie enthalten außerdem personenbezogene Daten, denn sie halten fest, wer sich wann angemeldet hat. Zweck, Aufbewahrungsdauer und Einsichtsrechte gehören daher vorab schriftlich festgelegt und eine allfällige Mitarbeitervertretung eingebunden. Ein SIEM ersetzt keine Schutzmaßnahme. Es verhindert keinen Angriff, es macht ihn sichtbar. Seinen Wert entfaltet es erst, wenn die Alarme bei jemandem ankommen, der sie bewertet und darauf reagiert, etwa bei Ihrem IT-Dienstleister mit vereinbarter Reaktionszeit oder bei einem SOC (Security Operations Center), also einer Stelle, die eingehende Alarme rund um die Uhr auswertet. Für Betriebe ohne eigene IT-Abteilung ist ein SIEM daher immer eine Frage des laufenden Betriebs und nicht der einmaligen Anschaffung. ## Verwandte Begriffe - [Monitoring und Protokollierung](https://vetosec.at/it-sicherheit/monitoring-logging/) - [Notfallplan](https://vetosec.at/it-sicherheit/notfallplan/) - [Virenschutz und EDR](https://vetosec.at/it-sicherheit/edr-virenschutz/) - [NIS2](https://vetosec.at/it-sicherheit/nis2/) ## Quelle https://vetosec.at/it-sicherheit/siem/ (vetosec, schutz) --- # SOC **Was ist ein SOC?** Ein SOC (Security Operations Center) ist die Stelle, die eingehende Sicherheitsalarme rund um die Uhr entgegennimmt, bewertet und darauf reagiert. Es ist die Mannschaft hinter der Technik. Wir betreiben keines. Gleich vorweg, damit Sie nicht weiterlesen müssen: vetosec betreibt kein SOC und bietet keinen Bereitschaftsdienst rund um die Uhr an. Wir bauen die Überwachung auf, die ein SOC braucht, und werten sie für kleinere Betriebe zu unseren Geschäftszeiten mit aus. Brauchen Sie eine zugesicherte Reaktion um drei Uhr früh, führt der Weg zu einem darauf spezialisierten Anbieter. Werkzeuge wie ein SIEM oder eine Schutzsoftware auf den Arbeitsplätzen erzeugen Alarme. Ein Alarm allein bewirkt nichts. Jemand muss ihn lesen, einschätzen, ob er echt ist, und im Ernstfall handeln, etwa ein Gerät vom Netz nehmen oder ein Konto sperren. Genau das leistet ein SOC. Angriffe halten sich nicht an Bürozeiten. Verschlüsselt wird häufig am Wochenende oder in der Nacht, weil dann niemand hinsieht. Der Wert eines SOC liegt daher in der Erreichbarkeit und in einer vereinbarten Reaktionszeit. Klären Sie vorab, wer wann erreichbar ist, wie schnell reagiert wird und welche Handlungen die Stelle ohne Rückfrage setzen darf. Ein eigenes SOC lohnt sich für die wenigsten Betriebe. Üblich ist die Auslagerung an einen Anbieter, der darauf spezialisiert ist. Achten Sie darauf, dass die Alarme dort auch bewertet werden. Eine Weiterleitung ohne Bewertung verlagert die Arbeit lediglich zu Ihnen zurück. ## Verwandte Begriffe - [SIEM](https://vetosec.at/it-sicherheit/siem/) - [Monitoring und Protokollierung](https://vetosec.at/it-sicherheit/monitoring-logging/) - [Notfallplan](https://vetosec.at/it-sicherheit/notfallplan/) - [Virenschutz und EDR](https://vetosec.at/it-sicherheit/edr-virenschutz/) ## Quelle https://vetosec.at/it-sicherheit/soc/ (vetosec, schutz) --- # Härtung **Was bedeutet Härtung eines Systems?** Härtung bedeutet, ein System auf das zu reduzieren, was es wirklich braucht. Alles, was nicht gebraucht wird, wird abgeschaltet: nicht benötigte Dienste, offene Zugänge, Standardkonten und Beispieldateien. Systeme kommen ab Werk auf Bedienbarkeit eingestellt, nicht auf Sicherheit. Ein frisch installierter Server bringt Dienste mit, die in Ihrem Betrieb niemand nutzt. Jeder dieser Dienste ist eine Tür. Jede Tür kann eine Schwachstelle haben. Was abgeschaltet ist, kann nicht angegriffen werden. Die üblichen Schritte sind schnell benannt. Standardpasswörter ändern, Standardkonten deaktivieren, nicht benötigte Dienste und Ports schließen, Fernzugänge einschränken, Protokollierung einschalten und die Rechte so vergeben, dass jedes Konto nur das darf, was seine Aufgabe verlangt. Härtung ist kein einmaliger Vorgang. Mit jedem Update, jeder neuen Software und jeder Änderung am Betrieb kommen neue Dienste dazu. Halten Sie fest, wie ein System bei Ihnen auszusehen hat, und prüfen Sie in Abständen, ob es noch so aussieht. ## Verwandte Begriffe - [Patch-Management und Updates](https://vetosec.at/it-sicherheit/patch-management/) - [Berechtigungskonzept und minimale Rechte](https://vetosec.at/it-sicherheit/berechtigungskonzept/) - [Angriffsfläche](https://vetosec.at/it-sicherheit/angriffsflaeche/) - [IT-Inventar](https://vetosec.at/it-sicherheit/it-inventar/) ## Quelle https://vetosec.at/it-sicherheit/haertung/ (vetosec, schutz) --- # Passkeys **Was sind Passkeys?** Ein Passkey ist ein Anmeldeverfahren ohne Passwort. Statt eines Geheimnisses, das Sie eintippen, beweist Ihr Gerät der Website mit einem kryptografischen Schlüssel, dass Sie es sind. Entsperrt wird das mit Fingerabdruck, Gesicht oder Geräte-PIN. Der wesentliche Vorteil betrifft Phishing. Ein Passkey ist fest an die Adresse der echten Website gebunden. Landen Sie auf einer nachgebauten Anmeldeseite, funktioniert der Passkey dort schlicht nicht. Ein Passwort hingegen tippen Sie auch auf der gefälschten Seite ein, und ein Einmalcode per SMS lässt sich in Echtzeit mit abfragen. Der geheime Teil des Schlüssels verlässt Ihr Gerät nicht. Die Website speichert nur den öffentlichen Teil. Wird die Website später erfolgreich angegriffen, ist mit den erbeuteten Daten kein Zugang möglich, weil sich damit nichts unterschreiben lässt. In der Praxis stellt sich die Frage der Wiederherstellung. Was passiert, wenn das Gerät verloren geht? Passkeys lassen sich über das Konto von Apple, Google oder Microsoft oder über einen Passwortmanager auf mehrere Geräte bringen. Legen Sie vorher fest, welchen Weg Ihr Betrieb geht und wie ein Mitarbeiter wieder Zugang erhält. ## Verwandte Begriffe - [Zwei-Faktor-Authentifizierung (2FA)](https://vetosec.at/it-sicherheit/zwei-faktor-authentifizierung/) - [Passwortmanager](https://vetosec.at/it-sicherheit/passwortmanager/) - [Phishing](https://vetosec.at/it-sicherheit/phishing/) - [Passwortangriff](https://vetosec.at/it-sicherheit/passwortangriff/) ## Quelle https://vetosec.at/it-sicherheit/passkeys/ (vetosec, schutz) --- # RTO und RPO **Was bedeuten RTO und RPO?** RTO und RPO sind die zwei Zahlen, die eine Wiederherstellung planbar machen. Das RPO (Recovery Point Objective) sagt, wie viele Daten Sie im Ernstfall verlieren dürfen. Das RTO (Recovery Time Objective) sagt, wie lange der Betrieb stillstehen darf. Ein Beispiel. Wird täglich um 22 Uhr gesichert und fällt der Server am nächsten Tag um 16 Uhr aus, sind 18 Stunden Arbeit verloren. Das ist Ihr tatsächliches RPO. Wollen Sie höchstens eine Stunde verlieren, muss stündlich gesichert werden. Die Frage ist damit keine technische mehr, sondern eine betriebswirtschaftliche. Das RTO wird regelmäßig unterschätzt. Es umfasst nicht das Zurückspielen der Daten allein. Es umfasst das Bemerken des Ausfalls, die Entscheidung, das Beschaffen von Ersatz-Hardware, das Einspielen, das Prüfen und das Freigeben. Wer die Wiederherstellung nie geprobt hat, kennt sein RTO nicht, er schätzt es. Legen Sie beide Zahlen je Anwendung fest. Die Buchhaltung, die Warenwirtschaft und das Archiv haben selten dieselbe Dringlichkeit. Aus den Zahlen ergibt sich, wie oft gesichert wird und was an Ersatzsystemen bereitstehen muss. ## Verwandte Begriffe - [Backup und Wiederherstellung](https://vetosec.at/it-sicherheit/backup-wiederherstellung/) - [Notfallplan](https://vetosec.at/it-sicherheit/notfallplan/) - [Die 3-2-1-Regel für Backups](https://vetosec.at/it-sicherheit/drei-zwei-eins-regel/) - [Ransomware](https://vetosec.at/it-sicherheit/ransomware/) ## Quelle https://vetosec.at/it-sicherheit/disaster-recovery/ (vetosec, schutz) --- # Unveränderliche Sicherung **Was ist eine unveränderliche Sicherung?** Eine unveränderliche Sicherung ist ein Backup, das für einen festgelegten Zeitraum weder verändert noch gelöscht werden kann. Auch nicht von einem Administrator, und auch nicht von einem Angreifer, der dessen Zugang übernommen hat. Verschlüsselungsangriffe zielen zuerst auf die Sicherungen. Wer die Backups löscht, nimmt dem Opfer die einzige Alternative zur Zahlung. Angreifer verschaffen sich dafür in aller Regel zunächst Administratorrechte und arbeiten dann mit den regulären Werkzeugen des Betriebs. Genau hier setzt die Unveränderlichkeit an. Der Speicher nimmt den Löschbefehl schlicht nicht an, solange die festgelegte Frist läuft. Die Rechte des Angreifers helfen ihm dabei nicht, weil die Sperre im Speicher selbst sitzt und nicht in der Software des Betriebs. Achten Sie auf zwei Punkte. Die Frist muss lang genug sein, denn Angreifer sind oft Wochen im Netz, bevor sie zuschlagen. Und die Wiederherstellung ist zu prüfen, weil ein unveränderliches Backup nur dann etwas wert ist, wenn sich die Daten daraus zurückholen lassen. ## Verwandte Begriffe - [Backup und Wiederherstellung](https://vetosec.at/it-sicherheit/backup-wiederherstellung/) - [Die 3-2-1-Regel für Backups](https://vetosec.at/it-sicherheit/drei-zwei-eins-regel/) - [Ransomware](https://vetosec.at/it-sicherheit/ransomware/) - [RTO und RPO](https://vetosec.at/it-sicherheit/disaster-recovery/) ## Quelle https://vetosec.at/it-sicherheit/unveraenderliche-sicherung/ (vetosec, schutz) --- # Microsoft 365 absichern **Wie sichere ich Microsoft 365 ab?** Microsoft 365 ist für viele Betriebe der wichtigste Zugang zu E-Mail und Dateien. Wer dieses Konto übernimmt, liest mit, schreibt in Ihrem Namen und kommt an Ihre Dokumente. Die Absicherung beginnt daher bei den Konten. Der erste Schritt ist die Zwei-Faktor-Authentifizierung für alle Konten, ohne Ausnahme. Gerade Konten der Geschäftsführung werden gern ausgenommen, weil es lästig ist. Genau diese Konten sind das Ziel. Der zweite Schritt betrifft die Administratorrechte. Ein Konto, mit dem täglich E-Mails gelesen werden, sollte keine Administratorrechte tragen. Trennen Sie das Verwaltungskonto vom Arbeitskonto. Der dritte Schritt ist die Nachvollziehbarkeit. Schalten Sie die Protokollierung ein und prüfen Sie, ob Weiterleitungsregeln im Postfach eingerichtet wurden. Eine unauffällige Regel, die eingehende Rechnungen an eine fremde Adresse kopiert, ist ein verbreiteter Weg, um Zahlungen umzuleiten. ## Verwandte Begriffe - [Cloud-Sicherheit](https://vetosec.at/it-sicherheit/cloud-sicherheit/) - [Zwei-Faktor-Authentifizierung (2FA)](https://vetosec.at/it-sicherheit/zwei-faktor-authentifizierung/) - [Phishing](https://vetosec.at/it-sicherheit/phishing/) - [SPF, DKIM und DMARC](https://vetosec.at/it-sicherheit/spf-dkim-dmarc/) ## Quelle https://vetosec.at/it-sicherheit/microsoft-365-sicherheit/ (vetosec, schutz) --- # Mobile Device Management **Was ist Mobile Device Management?** Mobile Device Management (MDM) ist die zentrale Verwaltung von Mobiltelefonen, Tablets und Notebooks. Damit lassen sich Einstellungen vorgeben, Updates verteilen und ein verlorenes Gerät aus der Ferne sperren oder löschen. Der Anlass ist meist ein einfacher. Ein Mobiltelefon mit Firmen-E-Mail bleibt im Zug liegen. Ohne Verwaltung bleibt Ihnen nur die Hoffnung auf einen ehrlichen Finder. Mit Verwaltung sperren Sie das Gerät und löschen die Firmendaten. Ebenso wichtig ist der Alltag. Über die Verwaltung stellen Sie sicher, dass die Geräte verschlüsselt sind, eine Bildschirmsperre haben und Updates auch dann bekommen, wenn sich niemand darum kümmert. Bei privaten Geräten ist die Trennung zu klären. Beschränken Sie den Zugriff auf den geschäftlichen Bereich des Geräts und halten Sie schriftlich fest, was gelöscht werden darf und was nicht. Ein vollständiges Löschen des Privatgeräts eines Mitarbeiters ist ohne klare Vereinbarung heikel. ## Verwandte Begriffe - [Sicheres Arbeiten von zu Hause](https://vetosec.at/it-sicherheit/homeoffice-sicherheit/) - [Verschlüsselung](https://vetosec.at/it-sicherheit/verschluesselung/) - [Berechtigungskonzept und minimale Rechte](https://vetosec.at/it-sicherheit/berechtigungskonzept/) - [IT-Inventar](https://vetosec.at/it-sicherheit/it-inventar/) ## Quelle https://vetosec.at/it-sicherheit/mobile-device-management/ (vetosec, schutz) --- # Sicheres Arbeiten von zu Hause **Wie arbeiten Mitarbeiter sicher von zu Hause?** Beim Arbeiten von zu Hause verlässt die Arbeit das Firmennetz. Abzusichern sind drei Dinge: das Gerät, der Weg ins Firmennetz und der Zugang zu den Konten. Beim Gerät gilt dasselbe wie im Büro. Es ist verschlüsselt, es bekommt Updates, es trägt einen Schutz gegen Schadsoftware, und es ist ein Firmengerät oder zumindest ein klar abgegrenzter Bereich auf einem privaten Gerät. Der Weg ins Firmennetz führt über eine verschlüsselte Verbindung, ein VPN, oder über Dienste, die von vornherein für den Zugriff von außen gebaut sind. In beiden Fällen gehört der Zugang mit einem zweiten Faktor abgesichert, weil ein Passwort allein hier zu wenig ist. Der dritte Punkt ist der Mensch. Zu Hause fehlt die kurze Rückfrage beim Kollegen nebenan. Legen Sie einen einfachen, bekannten Weg fest, über den ein Verdacht gemeldet werden kann, und stellen Sie sicher, dass eine Meldung auch dann willkommen ist, wenn sie sich als harmlos erweist. ## Verwandte Begriffe - [VPN](https://vetosec.at/it-sicherheit/vpn/) - [Mobile Device Management](https://vetosec.at/it-sicherheit/mobile-device-management/) - [Zwei-Faktor-Authentifizierung (2FA)](https://vetosec.at/it-sicherheit/zwei-faktor-authentifizierung/) - [Phishing](https://vetosec.at/it-sicherheit/phishing/) ## Quelle https://vetosec.at/it-sicherheit/homeoffice-sicherheit/ (vetosec, schutz) --- # Privilegierte Zugänge **Wie sichert man Administratorkonten ab?** Privilegierte Zugänge sind die Konten, die alles dürfen: Administratoren, Dienstkonten, die Zugänge Ihres IT-Dienstleisters. Wer eines davon übernimmt, hat den Betrieb in der Hand. Der erste Grundsatz ist die Trennung. Wer täglich E-Mails liest und im Internet unterwegs ist, sollte das nicht mit einem Konto tun, das Administratorrechte trägt. Ein eigenes Konto für die Verwaltung, das nur dafür verwendet wird, verhindert, dass ein Klick auf einen Anhang gleich das gesamte Netz öffnet. Der zweite Grundsatz ist die Begrenzung. Rechte werden nur für die Dauer der Aufgabe vergeben und danach wieder entzogen. Dauerhafte Administratorrechte für alle Fälle sind bequem und teuer. Der dritte Grundsatz betrifft die Fernwartung. Der Zugang Ihres Dienstleisters ist ein privilegierter Zugang. Er gehört auf einen zweiten Faktor abgesichert, protokolliert und beendet, sobald die Zusammenarbeit endet. ## Verwandte Begriffe - [Berechtigungskonzept und minimale Rechte](https://vetosec.at/it-sicherheit/berechtigungskonzept/) - [Zero Trust](https://vetosec.at/it-sicherheit/zero-trust/) - [Innentäter](https://vetosec.at/it-sicherheit/insider-bedrohung/) - [Monitoring und Protokollierung](https://vetosec.at/it-sicherheit/monitoring-logging/) ## Quelle https://vetosec.at/it-sicherheit/privilegierte-zugaenge/ (vetosec, schutz) --- # WLAN-Sicherheit **Wie sichert man das Firmen-WLAN ab?** Ein WLAN reicht weiter als Ihre Wände. Wer in Reichweite steht, kann es sehen. Die Absicherung ruht auf drei Punkten: aktuelle Verschlüsselung, ein getrenntes Gästenetz und ein Zugang, der nicht auf einem geteilten Passwort beruht. Verwenden Sie ein aktuelles Verschlüsselungsverfahren. Alte Verfahren lassen sich mit frei verfügbaren Werkzeugen brechen. Ein WLAN ohne Verschlüsselung ist ein offenes Netz, unabhängig davon, ob der Name des Netzes verborgen ist. Trennen Sie Gäste vom Firmennetz. Ein Gast braucht Internet, er braucht keinen Zugriff auf Ihre Server oder Drucker. Dasselbe gilt für Geräte wie Kameras, Kassensysteme oder die Heizungssteuerung. Diese gehören in ein eigenes Netz, weil sie selten Updates bekommen. Ein gemeinsames WLAN-Passwort, das jeder kennt und das seit Jahren gilt, ist in der Praxis kein Zugangsschutz mehr. Ausgeschiedene Mitarbeiter und ehemalige Dienstleister kennen es weiterhin. Für das Firmennetz ist eine Anmeldung mit persönlichem Konto der bessere Weg. ## Verwandte Begriffe - [Netzwerksegmentierung](https://vetosec.at/it-sicherheit/netzwerksegmentierung/) - [Man-in-the-Middle](https://vetosec.at/it-sicherheit/man-in-the-middle/) - [Firewall](https://vetosec.at/it-sicherheit/firewall/) - [Härtung](https://vetosec.at/it-sicherheit/haertung/) ## Quelle https://vetosec.at/it-sicherheit/wlan-sicherheit/ (vetosec, schutz) --- # Recht und Normen # Technische und organisatorische Maßnahmen (TOM) **Was sind technische und organisatorische Maßnahmen?** Technische und organisatorische Maßnahmen sind die Schutzvorkehrungen, die die Datenschutz-Grundverordnung für die Verarbeitung personenbezogener Daten verlangt. Artikel 32 DSGVO fordert dafür ein Schutzniveau, das dem Risiko angemessen ist. Artikel 32 nennt beispielhaft die Verschlüsselung, die Vertraulichkeit, die Integrität, die Verfügbarkeit und die Belastbarkeit der Systeme sowie ein Verfahren, mit dem die Wirksamkeit der Maßnahmen regelmäßig überprüft wird. Den Gesetzestext finden Sie im Rechtsinformationssystem des Bundes, Auslegungshilfen bei der Datenschutzbehörde. Für die Praxis bedeutet das zweierlei. Die Maßnahmen müssen im Alltag tatsächlich wirken, und sie müssen im Prüfungsfall nachweisbar sein. Der IT-Check dokumentiert, welche der technischen Maßnahmen in Ihrem Betrieb im Einsatz sind. ## Verwandte Begriffe - [DSGVO](https://vetosec.at/it-sicherheit/dsgvo/) - [Auftragsverarbeitung (AVV)](https://vetosec.at/it-sicherheit/auftragsverarbeitung/) - [Meldepflicht bei einer Datenpanne](https://vetosec.at/it-sicherheit/meldepflicht-datenpanne/) - [Verschlüsselung](https://vetosec.at/it-sicherheit/verschluesselung/) ## Quelle https://vetosec.at/it-sicherheit/tom-dsgvo/ (vetosec, recht) --- # NIS2 **Was ist NIS2?** NIS2 ist die EU-Richtlinie 2022/2555 zur Netz- und Informationssicherheit. Sie verpflichtet Unternehmen in bestimmten Sektoren zu Risikomanagement, zur Meldung von Sicherheitsvorfällen und nimmt die Geschäftsleitung ausdrücklich in die Verantwortung. Betroffen sind wesentliche und wichtige Einrichtungen in den Sektoren, die die Richtlinie aufzählt, abhängig von Größe und Tätigkeit des Unternehmens. Die Umsetzung in österreichisches Recht und den jeweils aktuellen Stand veröffentlicht die zuständige Behörde auf nis.gv.at. Prüfen Sie den Stand dort, bevor Sie Entscheidungen darauf aufbauen. Auch Betriebe, die selbst nicht unter NIS2 fallen, bekommen die Richtlinie zu spüren. Betroffene Auftraggeber geben ihre Sicherheitsanforderungen an die Lieferkette weiter, häufig in Form von Fragebögen oder Nachweisen zur IT-Sicherheit. ## Verwandte Begriffe - [DORA](https://vetosec.at/it-sicherheit/dora/) - [ISO/IEC 27001](https://vetosec.at/it-sicherheit/iso-27001/) - [Gap-Analyse](https://vetosec.at/it-sicherheit/gap-analyse/) - [Meldepflicht bei einer Datenpanne](https://vetosec.at/it-sicherheit/meldepflicht-datenpanne/) ## Quelle https://vetosec.at/it-sicherheit/nis2/ (vetosec, recht) --- # ISO/IEC 27001 **Was ist ISO 27001?** ISO/IEC 27001 ist der internationale Standard für ein Managementsystem der Informationssicherheit. Er beschreibt, wie eine Organisation ihre Sicherheitsrisiken erfasst, behandelt und laufend überprüft. Der Standard schreibt kein bestimmtes technisches Produkt vor. Er verlangt einen nachvollziehbaren Ablauf: den Anwendungsbereich festlegen, die Risiken bewerten, Maßnahmen auswählen, ihre Wirksamkeit messen und nachbessern. Eine Zertifizierung erfolgt durch eine akkreditierte Zertifizierungsstelle und ist für viele mittelständische Betriebe ein größeres Projekt. Eine Gap-Analyse zeigt vorab, wie weit der Weg dorthin ist und welche Lücken zuerst zu schließen sind. ## Verwandte Begriffe - [NIS2](https://vetosec.at/it-sicherheit/nis2/) - [Gap-Analyse](https://vetosec.at/it-sicherheit/gap-analyse/) - [Technische und organisatorische Maßnahmen (TOM)](https://vetosec.at/it-sicherheit/tom-dsgvo/) ## Quelle https://vetosec.at/it-sicherheit/iso-27001/ (vetosec, recht) --- # DSGVO **Was ist die DSGVO?** Die DSGVO ist die Datenschutz-Grundverordnung der Europäischen Union (Verordnung (EU) 2016/679). Sie gilt seit 25. Mai 2018 und regelt, wie Unternehmen personenbezogene Daten verarbeiten dürfen. Dazu gehört die Pflicht, diese Daten technisch angemessen zu schützen. Personenbezogene Daten sind alle Angaben, die sich auf eine bestimmbare natürliche Person beziehen. Dazu zählen Name, Adresse, E-Mail-Adresse, Fotos, Gehaltsdaten, Gesundheitsdaten und auch IP-Adressen, also die Kennungen, unter denen ein Gerät im Internet erreichbar ist. Jeder Betrieb verarbeitet solche Daten, sobald er Mitarbeiterinnen und Mitarbeiter beschäftigt oder Kundinnen und Kunden betreut. Eine Mindestgröße, ab der die DSGVO erst zu beachten wäre, gibt es nicht. Für die IT-Sicherheit sind vor allem zwei Stellen der Verordnung wichtig. Artikel 5 verlangt, dass personenbezogene Daten vertraulich und unversehrt bleiben. Artikel 32 verlangt technische und organisatorische Maßnahmen, die dem Risiko angemessen sind, und nennt dabei ausdrücklich Verschlüsselung, die Fähigkeit zur raschen Wiederherstellung der Daten nach einem Zwischenfall sowie ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit dieser Maßnahmen. Aus Artikel 5 Absatz 2 folgt die Rechenschaftspflicht. Der Betrieb muss also nachweisen können, dass er die Vorgaben einhält. Im Alltag zeigen sich Lücken an einfachen Beobachtungen. Alle Beschäftigten können auf sämtliche Ordner am Server zugreifen. Konten ausgeschiedener Personen sind Monate später noch aktiv. Kundendaten liegen unverschlüsselt auf privaten Notebooks oder auf USB-Sticks. Die Sicherung läuft jede Nacht und wurde noch nie testweise zurückgespielt. Jede dieser Beobachtungen wirft eine Frage nach Artikel 32 auf. Ein sinnvoller erster Schritt ist eine Bestandsaufnahme. Welche personenbezogenen Daten verarbeitet der Betrieb, in welchen Systemen liegen sie, wer greift darauf zu und welche Dienstleister sind eingebunden. Artikel 30 verlangt dafür ohnehin ein Verzeichnis der Verarbeitungstätigkeiten, also eine schriftliche Übersicht aller Verarbeitungen. Auf dieser Grundlage lassen sich Zugriffsrechte, Sicherungen und Verschlüsselung in einer sinnvollen Reihenfolge ordnen. Artikel 83 der DSGVO sieht Geldbußen von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Der IT-Check prüft die technische Seite dieser Pflichten in acht Bereichen mit über 100 Prüfpunkten und hält den Stand in einem Befund fest, den Sie innerhalb von zwei Wochen erhalten. Die rechtliche Bewertung bleibt Aufgabe einer Juristin oder eines Juristen. Der Befund liefert dafür die technische Grundlage. ## Verwandte Begriffe - [Technische und organisatorische Maßnahmen (TOM)](https://vetosec.at/it-sicherheit/tom-dsgvo/) - [Meldepflicht bei einer Datenpanne](https://vetosec.at/it-sicherheit/meldepflicht-datenpanne/) - [Auftragsverarbeitung (AVV)](https://vetosec.at/it-sicherheit/auftragsverarbeitung/) - [Datenleck](https://vetosec.at/it-sicherheit/datenleck/) ## Quelle https://vetosec.at/it-sicherheit/dsgvo/ (vetosec, recht) --- # DORA **Was ist DORA?** DORA ist die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor. Sie gilt seit 17. Jänner 2025 und verpflichtet Finanzunternehmen, ihre IT gegen Ausfälle und Angriffe abzusichern. Auch deren IT-Dienstleister sind davon betroffen. DORA richtet sich an Finanzunternehmen. Dazu zählen unter anderem Banken, Versicherungen, Wertpapierfirmen, Zahlungsdienstleister und Anbieter von Kryptowerte-Dienstleistungen. Als Verordnung gilt DORA unmittelbar in allen Mitgliedstaaten. Die Aufsicht liegt bei den zuständigen Finanzmarktaufsichtsbehörden. Die Anforderungen betreffen fünf Bereiche. Erstens das Management der IKT-Risiken, wobei IKT für Informations- und Kommunikationstechnologie steht. Zweitens die Behandlung und Meldung schwerwiegender IKT-Vorfälle. Drittens das regelmäßige Testen der digitalen Widerstandsfähigkeit. Viertens den Umgang mit Risiken aus der Zusammenarbeit mit IKT-Drittdienstleistern. Fünftens den Austausch von Informationen über Bedrohungen. DORA folgt dabei dem Grundsatz der Verhältnismäßigkeit. Für Kleinstunternehmen mit weniger als zehn Beschäftigten und einem Jahresumsatz oder einer Jahresbilanzsumme von höchstens zwei Millionen Euro sieht die Verordnung vereinfachte Anforderungen vor. Für einen KMU-Betrieb außerhalb des Finanzsektors wird DORA über die Lieferkette spürbar. Wer Software, Wartung, Hosting oder Support für ein Finanzunternehmen erbringt, gilt als IKT-Drittdienstleister. Der Kunde muss den Vertrag dann um bestimmte Inhalte ergänzen, etwa um Regelungen zu Zugriffs- und Prüfrechten, zur Meldung von Vorfällen und zu Ausstiegsstrategien. Die Wirtschaftskammer informiert IT-Dienstleister über die Anforderungen, die aus solchen Verträgen entstehen. Erkennbar wird der Handlungsbedarf daran, dass ein Kunde aus dem Finanzsektor einen mehrseitigen Fragebogen zur Informationssicherheit schickt. Beantworten lässt sich ein solcher Fragebogen, wenn der eigene Stand dokumentiert ist. Dazu gehören ein aktuelles Inventar der Systeme, geregelte Zugriffsrechte, geprüfte Sicherungen, ein festgelegtes Verfahren für Sicherheitsvorfälle und Nachweise darüber, dass Updates eingespielt werden. Für Finanzunternehmen geht DORA der NIS2-Richtlinie als speziellere Regelung vor. Ein Betrieb, der Kunden aus dem Finanzsektor und aus anderen Branchen betreut, sieht sich daher am besten beide Regelwerke an. Eine strukturierte Prüfung der eigenen IT schafft die Faktenbasis, mit der sich Fragebögen belegt beantworten und Vertragszusagen einhalten lassen. ## Verwandte Begriffe - [NIS2](https://vetosec.at/it-sicherheit/nis2/) - [DSGVO](https://vetosec.at/it-sicherheit/dsgvo/) - [Angriff über die Lieferkette](https://vetosec.at/it-sicherheit/supply-chain-angriff/) - [Notfallplan](https://vetosec.at/it-sicherheit/notfallplan/) ## Quelle https://vetosec.at/it-sicherheit/dora/ (vetosec, recht) --- # Meldepflicht bei einer Datenpanne **Wann muss ich eine Datenpanne melden?** Die Meldepflicht bei einer Datenpanne verlangt, eine Verletzung des Schutzes personenbezogener Daten binnen 72 Stunden nach Bekanntwerden an die Datenschutzbehörde zu melden (Artikel 33 DSGVO). Bei voraussichtlich hohem Risiko sind auch die betroffenen Personen zu verständigen (Artikel 34). Eine Datenpanne ist im Gesetz die Verletzung des Schutzes personenbezogener Daten. Darunter fallen die Vernichtung, der Verlust und die Veränderung solcher Daten sowie die unbefugte Offenlegung von oder der unbefugte Zugang zu ihnen. Im Alltag sind das der verlorene Firmenlaptop, der Rundmail-Verteiler mit sichtbaren Adressen aller Empfänger, das übernommene E-Mail-Postfach, ein Angriff mit Ransomware, also mit Schadsoftware, die Kundendaten verschlüsselt, oder die Rechnung an den falschen Empfänger. Die Frist von 72 Stunden läuft ab dem Zeitpunkt, zu dem der Betrieb von der Verletzung Kenntnis erlangt. Sie läuft auch über Wochenenden und Feiertage. Eine spätere Meldung ist möglich, die Verzögerung muss dann begründet werden. Liegen noch nicht alle Fakten vor, darf die Meldung in Etappen erfolgen. Die Datenschutzbehörde stellt für die Meldung Formulare bereit. Eine Meldung entfällt, wenn die Verletzung voraussichtlich zu keinem Risiko für die Rechte und Freiheiten der betroffenen Personen führt. Diese Einschätzung ist zu dokumentieren. Artikel 33 Absatz 5 verlangt, dass der Betrieb jede Verletzung intern festhält, mit den Fakten, den Auswirkungen und den ergriffenen Abhilfemaßnahmen. Ist ein hohes Risiko wahrscheinlich, etwa weil Gesundheits- oder Zahlungsdaten abgeflossen sind, sind die Betroffenen unverzüglich zu verständigen. Arbeitet ein Dienstleister als Auftragsverarbeiter, verarbeitet er also Daten im Auftrag des Betriebs, meldet er eine Verletzung unverzüglich an das beauftragende Unternehmen. Die Meldung an die Behörde bleibt Sache dieses Unternehmens. In jeden Vertrag mit einem IT-Dienstleister gehört daher eine klare Regelung, wie rasch und an welche Stelle er einen Vorfall meldet. Ob die 72 Stunden reichen, entscheidet sich vor dem Ereignis. Zwei Fragen sind zentral. Wer im Betrieb entscheidet über die Meldung, und lässt sich technisch feststellen, welche Daten betroffen sind. Ohne Protokolldaten aus Servern, Firewall und E-Mail-System bleibt der Umfang eines Vorfalls unklar, und die Meldung wird zur Schätzung. Der IT-Check prüft unter anderem, ob Protokollierung und Sicherungen so eingerichtet sind, dass sich ein Vorfall im Nachhinein nachvollziehen lässt. Für Einrichtungen im Anwendungsbereich von NIS2 gelten eigene Meldefristen zusätzlich zur DSGVO. ## Verwandte Begriffe - [DSGVO](https://vetosec.at/it-sicherheit/dsgvo/) - [Datenleck](https://vetosec.at/it-sicherheit/datenleck/) - [Notfallplan](https://vetosec.at/it-sicherheit/notfallplan/) - [Monitoring und Protokollierung](https://vetosec.at/it-sicherheit/monitoring-logging/) ## Quelle https://vetosec.at/it-sicherheit/meldepflicht-datenpanne/ (vetosec, recht) --- # Auftragsverarbeitung (AVV) **Was ist ein Auftragsverarbeitungsvertrag?** Ein Auftragsverarbeitungsvertrag (AVV) ist der von Artikel 28 DSGVO vorgeschriebene Vertrag mit einem Dienstleister, der personenbezogene Daten im Auftrag und nach Weisung eines Unternehmens verarbeitet. Typische Fälle sind ein Cloud-Anbieter oder ein externer IT-Betreuer mit Fernwartungszugang. Auftragsverarbeiter ist, wer personenbezogene Daten weisungsgebunden für ein anderes Unternehmen verarbeitet. Typische Beispiele sind der Cloud-Speicher mit Kundendaten, der externe IT-Betreuer mit Fernwartungszugang, der Webhoster, das Rechenzentrum mit den Sicherungen, der Versanddienst für Newsletter und die Personalverrechnung in einer Cloud-Anwendung. Die Verantwortung gegenüber den betroffenen Personen bleibt beim beauftragenden Unternehmen. Artikel 28 DSGVO nennt die Mindestinhalte des Vertrags. Dazu gehören Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Arten der Daten und die Kategorien betroffener Personen, die Bindung an dokumentierte Weisungen, die Vertraulichkeit der eingesetzten Personen, die Sicherheitsmaßnahmen nach Artikel 32, die Bedingungen für den Einsatz weiterer Unterauftragsverarbeiter, also von Dienstleistern des Dienstleisters, die Unterstützung bei Betroffenenrechten und bei Meldepflichten, die Löschung oder Rückgabe der Daten nach Ende der Leistung sowie Nachweise und Überprüfungen. Die Auswahl des Dienstleisters ist selbst eine Pflicht. Artikel 28 Absatz 1 verlangt hinreichende Garantien dafür, dass die Verarbeitung den Anforderungen der DSGVO entspricht. In der Praxis heißt das, sich die Beschreibung der technischen und organisatorischen Maßnahmen aushändigen zu lassen, nach Zertifikaten oder Prüfberichten zu fragen und zu klären, welche Unterauftragsverarbeiter beteiligt sind und wo die Daten liegen. Bei Servern außerhalb der EU und des EWR braucht es zusätzlich eine Grundlage nach Kapitel V der DSGVO, in der Regel die Standardvertragsklauseln, also von der Europäischen Kommission vorgegebene Vertragstexte. Erkennbar wird der Handlungsbedarf daran, dass eine vollständige Liste der eingesetzten Dienste fehlt. Ein sinnvoller erster Schritt ist eine Aufstellung aller Dienste und aller Personen mit Zugriff auf Daten des Betriebs, einschließlich Fernwartungssoftware, Buchhaltungs-Cloud, Terminbuchung, Backup-Anbieter und Website-Agentur. Zu jedem Eintrag gehört die Frage, ob ein Auftragsverarbeitungsvertrag vorliegt und ob er die Punkte aus Artikel 28 abdeckt. In einer solchen Aufstellung fehlen leicht jene Dienste, die niemand bewusst eingeführt hat, etwa ein Fernwartungswerkzeug auf einem Rechner in der Werkstatt oder ein privat angelegtes Cloud-Konto für den Datenaustausch mit einem Lieferanten. Der IT-Check macht solche Zugänge und Datenwege sichtbar und liefert damit die Grundlage für ein vollständiges Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30. ## Verwandte Begriffe - [DSGVO](https://vetosec.at/it-sicherheit/dsgvo/) - [Technische und organisatorische Maßnahmen (TOM)](https://vetosec.at/it-sicherheit/tom-dsgvo/) - [IT-Inventar](https://vetosec.at/it-sicherheit/it-inventar/) - [Angriff über die Lieferkette](https://vetosec.at/it-sicherheit/supply-chain-angriff/) ## Quelle https://vetosec.at/it-sicherheit/auftragsverarbeitung/ (vetosec, recht) --- # Cyberversicherung **Was deckt eine Cyberversicherung ab?** Eine Cyberversicherung deckt finanzielle Folgen von Angriffen auf die IT eines Betriebs ab. Sie besteht in der Regel aus einer Eigenschadendeckung, etwa für Betriebsunterbrechung und Wiederherstellung, und aus einer Haftpflichtdeckung für Ansprüche Dritter. Der genaue Umfang steht in der Polizze. Cyberpolizzen sind modular aufgebaut und werden auf den Betrieb abgestimmt. Zur Eigenschadendeckung zählen typischerweise die Kosten für die Wiederherstellung von Daten und Systemen, der Ertragsausfall durch eine Betriebsunterbrechung, die forensische Untersuchung des Vorfalls, also die technische Aufklärung des Hergangs, sowie Krisenkommunikation und Beratung. Manche Produkte umfassen zusätzlich Leistungen im Zusammenhang mit Erpressung. Die Haftpflichtdeckung greift bei Ansprüchen Dritter, etwa nachdem Kundendaten abgeflossen sind. Welche Bausteine tatsächlich gelten, ergibt sich aus der jeweiligen Polizze. Vor Abschluss stellt der Versicherer Risikofragen, etwa zu Datensicherung, Aktualität der Systeme, Virenschutz, Zwei-Faktor-Authentifizierung und Berechtigungen. Diese Fragen sind wahrheitsgemäß zu beantworten. Verträge enthalten zusätzlich Obliegenheiten, also Pflichten während der Laufzeit. Werden sie verletzt, kann der Versicherer die Leistung kürzen oder verweigern. Dieser Teil der Bedingungen verdient eine genaue Lektüre. Der Nutzen einer Polizze setzt ein, nachdem der Schaden eingetreten ist. Sie ersetzt Kosten und Ertragsausfall im vereinbarten Umfang. Wie lange der Betrieb stillsteht, hängt von der eigenen Vorbereitung ab, also davon, ob eine geprüfte Sicherung vorliegt und ob festgelegt ist, in welcher Reihenfolge die Systeme wieder hochgefahren werden. Der erste sinnvolle Schritt ist daher, den eigenen Stand zu kennen, bevor der Antrag ausgefüllt wird. Dazu gehören eine Sicherung nach der Drei-zwei-eins-Regel, also drei Kopien der Daten auf zwei verschiedenen Medien und eine Kopie außer Haus, mit dokumentiertem Rückspieltest, Zwei-Faktor-Authentifizierung an allen von außen erreichbaren Zugängen, aktuelle Systeme und ein Überblick über die vergebenen Berechtigungen. Der IT-Check prüft acht Bereiche mit über 100 Prüfpunkten und hält Ergebnis und Maßnahmenplan in einem Befund fest, den Sie innerhalb von zwei Wochen erhalten. Damit lassen sich die Risikofragen belegt beantworten und offene Punkte vorab schließen. Für den Ernstfall gehören die Meldewege der Versicherung in den Notfallplan, gemeinsam mit den Kontaktdaten für die Schadenmeldung. Polizzen verlangen zum Teil, dass der Versicherer früh eingebunden wird, mitunter bevor externe Dienstleister beauftragt werden. Die Meldepflichten aus der DSGVO bestehen unabhängig davon weiter. ## Verwandte Begriffe - [Ransomware](https://vetosec.at/it-sicherheit/ransomware/) - [Backup und Wiederherstellung](https://vetosec.at/it-sicherheit/backup-wiederherstellung/) - [Notfallplan](https://vetosec.at/it-sicherheit/notfallplan/) - [Meldepflicht bei einer Datenpanne](https://vetosec.at/it-sicherheit/meldepflicht-datenpanne/) ## Quelle https://vetosec.at/it-sicherheit/cyberversicherung/ (vetosec, recht) --- # ISO/IEC 27002 **Was ist die ISO/IEC 27002?** Die ISO/IEC 27002:2022 ist der Katalog der Sicherheitsmaßnahmen. Sie beschreibt 93 einzelne Controls, also konkrete Maßnahmen, und erklärt zu jedem, was damit gemeint ist und worauf bei der Umsetzung zu achten ist. Die Abgrenzung zur ISO/IEC 27001 ist einfach. Die 27001 beschreibt das Managementsystem und ist die Norm, nach der zertifiziert wird. Die 27002 liefert die Anleitung zu den Maßnahmen selbst. Zertifiziert wird nach 27001, nachgeschlagen wird in der 27002. Die 93 Controls sind in vier Themen gegliedert: organisatorische Maßnahmen, personenbezogene Maßnahmen, physische Maßnahmen und technische Maßnahmen. Darunter fallen Punkte wie Zugriffskontrolle, Umgang mit Schwachstellen, Sicherung von Daten, Kryptografie, Sicherheit in der Lieferkette und Schulung der Mitarbeiter. Für Betriebe, die nicht zertifizieren wollen, ist die 27002 dennoch nützlich. Sie ist eine geprüfte Liste dessen, woran zu denken ist. Wir nutzen sie als Prüfgrundlage und ordnen die Anforderungen des NISG 2026 den zugehörigen Controls zu. ## Verwandte Begriffe - [ISO/IEC 27001](https://vetosec.at/it-sicherheit/iso-27001/) - [NIS2](https://vetosec.at/it-sicherheit/nis2/) - [Gap-Analyse](https://vetosec.at/it-sicherheit/gap-analyse/) - [Technische und organisatorische Maßnahmen (TOM)](https://vetosec.at/it-sicherheit/tom-dsgvo/) ## Quelle https://vetosec.at/it-sicherheit/iso-27002/ (vetosec, recht) --- # Cyber Resilience Act **Was ist der Cyber Resilience Act?** Der Cyber Resilience Act, Verordnung (EU) 2024/2847, stellt Sicherheitsanforderungen an Produkte mit digitalen Elementen. Er richtet sich an jene, die solche Produkte auf den Markt bringen: Hersteller, Importeure und Händler. Für die meisten Betriebe ist die wichtigste Aussage eine entlastende. Wer Software lediglich einsetzt, wird von der Verordnung nicht verpflichtet. Die Pflichten treffen die Wirtschaftsakteure, die ein Produkt bereitstellen. Achtung ist dort geboten, wo diese Grenze verschwimmt. Wer ein zugekauftes Produkt unter eigenem Namen oder eigener Marke vertreibt, gilt nach Art. 21 der Verordnung als Hersteller. Dasselbe gilt nach Art. 22, wenn ein Produkt wesentlich verändert und dann bereitgestellt wird. Betriebe, die Geräte oder Software mit eigenem Logo weitergeben, sollten das prüfen lassen. Zu den Fristen. Die Verordnung ist am 10. Dezember 2024 in Kraft getreten. Die Meldepflichten der Hersteller für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle nach Art. 14 gelten ab dem 11. September 2026. Die übrigen Pflichten gelten ab dem 11. Dezember 2027. Das ist unsere Interpretation der Verordnung und keine Rechtsberatung. ## Verwandte Begriffe - [NIS2](https://vetosec.at/it-sicherheit/nis2/) - [Schwachstelle und Schwachstellenanalyse](https://vetosec.at/it-sicherheit/schwachstelle/) - [Patch-Management und Updates](https://vetosec.at/it-sicherheit/patch-management/) - [Angriff über die Lieferkette](https://vetosec.at/it-sicherheit/supply-chain-angriff/) ## Quelle https://vetosec.at/it-sicherheit/cyber-resilience-act/ (vetosec, recht) --- # RKEG **Was ist das Resilienz kritischer Einrichtungen-Gesetz?** Das Resilienz kritischer Einrichtungen-Gesetz (RKEG), BGBl. I Nr. 60/2025, setzt die Richtlinie (EU) 2022/2557 in Österreich um. Es betrifft die Widerstandsfähigkeit kritischer Einrichtungen insgesamt, also auch gegenüber Naturereignissen, Sabotage und Ausfällen. Die Abgrenzung zum NISG 2026 ist einfach zu merken. Das NISG 2026 betrifft die Sicherheit der Netz- und Informationssysteme. Das RKEG betrifft die Widerstandsfähigkeit der Einrichtung als Ganzes, unabhängig davon, ob die Ursache eine digitale ist. Eine Einrichtung wird nicht durch Selbsteinschätzung zur kritischen Einrichtung. Sie wird nach § 11 RKEG mit Bescheid des Bundesministers für Inneres ermittelt. Ohne einen solchen Bescheid sind Sie nach diesem Gesetz keine kritische Einrichtung. Die Verbindung zu NIS2 ist für Betroffene bedeutsam. Wer als kritische Einrichtung nach der Richtlinie (EU) 2022/2557 ermittelt wurde, gilt nach § 24 Abs. 1 Z 1 lit. f NISG 2026 unabhängig von der Unternehmensgröße als wesentliche Einrichtung. Die Größenschwellen greifen dann nicht mehr. Das ist unsere Interpretation und keine Rechtsberatung. ## Verwandte Begriffe - [NIS2](https://vetosec.at/it-sicherheit/nis2/) - [Notfallplan](https://vetosec.at/it-sicherheit/notfallplan/) - [Risikoanalyse](https://vetosec.at/it-sicherheit/risikoanalyse/) - [ISO/IEC 27001](https://vetosec.at/it-sicherheit/iso-27001/) ## Quelle https://vetosec.at/it-sicherheit/rkeg/ (vetosec, recht) ---