Mehrschichtige IT-Sicherheit
In der kommenden Ausgabe der Zeitschrift Markt und Wirtschaft Westfalen mit dem Leitthema Cybersicherheit, wird ein Artikel unseres Geschäftsführers Markus Macherauch veröffentlich, in dem er auf die Wichtigkeit einer strategisch angelegten, mehrschichtigen IT-Sicherheitslösung hinweist. Aufgrund des dort nur beschränkt verfügbaren Platzangebotes, musste er sich in seinen Ausführungen stark einschränken und hat zur weiteren Erläuterung den folgenden Artikel für unsere Webseite geschrieben. Im Folgenden also, ganz ohne Werbefunnel und Abgabe ihrer E-Mailadresse, unser Whitepaper zur mehrschichtigen IT-Sicherheit.
Sollten Sie und ihr Unternehmen Hilfe bei der Planung und Umsetzung benötigen, sprechen Sie uns gerne an.
Mehrschichtige IT-Sicherheit im Mittelstand: Wie moderne Schutzkonzepte wirklich aussehen müssen
In vielen kleinen und mittelständischen Unternehmen ist IT-Sicherheit kein abstraktes Zukunftsthema mehr, sondern ein handfester Geschäftsfaktor. Cyberangriffe haben längst nicht mehr nur Konzerne im Visier – im Gegenteil: Mittelständische Unternehmen gelten als besonders attraktive Ziele. Sie verfügen häufig über wertvolle Daten, sensible Kundeninformationen und funktionierende Produktionsprozesse, aber nicht immer über die gleichen Schutzmaßnahmen wie Großunternehmen. Gleichzeitig steigen die gesetzlichen Anforderungen – von der DSGVO bis zu branchenspezifischen Vorgaben.
In dieser Situation reicht es nicht mehr aus, eine Firewall zu haben und regelmäßige Updates durchzuführen. Moderne IT-Sicherheit muss ganzheitlich gedacht werden. Der Schlüssel dafür ist ein mehrschichtiges Sicherheitskonzept, das verschiedene Schutzebenen intelligent miteinander verbindet. Dieses Konzept schützt nicht nur vor Angriffen, sondern sorgt auch für Stabilität, Verfügbarkeit und eine schnelle Wiederherstellung im Ernstfall.
In diesem Artikel möchte ich als Geschäftsführer eines IT-Systemhauses praxisnah erläutern, wie ein solches mehrschichtiges Sicherheitskonzept aufgebaut ist – runtergebrochen auf die Bedürfnisse mittelständischer Unternehmen. Keine Theorie, keine Werbung. Sondern ein verständlicher Leitfaden für Entscheider.
1. Warum Mehrschichtigkeit heute unverzichtbar ist
Viele Angriffe funktionieren nicht über eine einzige Schwachstelle. Cyberkriminelle suchen den einfachsten Einstiegspunkt – und das kann überall sein: ein präpariertes E-Mail-Attachment, ein unsicherer Fernzugriff, ein nicht aktualisiertes Gerät, ein unzureichend geschützter Cloud-Dienst oder ein fehlendes Backup.
Ein mehrschichtiges Sicherheitskonzept baut Hürden auf jeder dieser Ebenen auf. Es folgt einem einfachen Grundprinzip:
Wenn eine Schicht versagt, verhindert die nächste den Schaden oder reduziert ihn erheblich.
Diese Denkweise ist im Mittelstand wichtig, weil Ressourcen begrenzt sind. Es geht nicht darum, jeden potenziellen Angriff zu verhindern – das ist nicht realistisch. Es geht darum, Risiken zu minimieren und sicherzustellen, dass ein Vorfall nicht gleich das gesamte Unternehmen lahmlegt.
Das Konzept lässt sich in fünf zentrale Bereiche unterteilen:
-
Endgerätesicherheit
-
Netzwerkschutz
-
Zugriffskontrolle
-
Cloud-Absicherung
-
Backup & Wiederherstellung
Im Folgenden gehe ich auf jede dieser Ebenen ein und zeige, worauf Unternehmen achten sollten.
2. Endgerätesicherheit: Die erste Verteidigungslinie
Endgeräte – PCs, Laptops, Smartphones, Tablets – sind die häufigste Eintrittsstelle für Angriffe. Phishing-Mails, gefälschte Webseiten oder Schadsoftware treffen meistens zuerst auf diese Geräte.
Ein modernes Schutzkonzept umfasst hier mehrere Bausteine:
a) Antivirus und Endpoint Protection – aber richtig
Der klassische Virenscanner ist schon lange nicht mehr ausreichend. Heutige Lösungen – sogenannte „Endpoint Detection & Response“ (EDR) – überwachen das Verhalten eines Geräts in Echtzeit, erkennen Anomalien und können Angriffe automatisch stoppen. Daher sind Bordmittel, wie zum Beispiel der von Microsoft mitgelieferte Defender auch kein ausreichender Schutz. Stattdessen ist nach der Schutzbedarfsfeststellung eine maßgeschneiderte Konfiguration die richtige Lösung.
Wichtig sind:
-
Verhaltensanalyse statt reiner Signaturerkennung
-
Zentral verwaltete Richtlinien
-
Automatisierte Quarantänefunktionen
b) Regelmäßige Updates (Patch Management)
Veraltete Systeme sind einer der häufigsten Gründe für erfolgreiche Angriffe. Ein professionelles Patch-Management sorgt dafür, dass Sicherheitslücken schnell geschlossen werden – automatisiert und dokumentiert.
c) Verschlüsselung
Bei Diebstahl oder Verlust eines Laptops sollten die enthaltenen Daten geschützt sein.
Eine Festplattenverschlüsselung ist heute Pflicht – und sie ist technisch einfacher als früher.
d) Mobilgeräte richtig managen
Smartphones enthalten oft mehr Unternehmensdaten als viele denken: E-Mails, Kontakte, Dateien. Ein Mobile-Device-Management (MDM) ermöglicht:
-
sichere Passwortrichtlinien
-
Fernlöschung
-
Container-Lösungen für geschäftliche Daten
-
Kontrolle über App-Installationen
e) Schulungen und Sensibilisierung
Der wichtigste Faktor bleibt der Mensch. Regelmäßige Awareness-Trainings wirken nachweislich:
Wenn Mitarbeitende wissen, wie Phishing aussieht, sinkt das Risiko deutlich.
Endgerätesicherheit bedeutet also nicht nur Software, sondern auch Prozesse und Wissen.
3. Netzwerk: Der Schutz der Unternehmensbasis
Das Unternehmensnetzwerk ist das Rückgrat der digitalen Infrastruktur. Wer hier eindringt, hat oft umfangreiche Möglichkeiten, Schaden anzurichten. Ein befreundeter Pen-Testing-Spezialist kann in rund 80% der Prüffälle ein Netzwerk in weniger als einer Stunde übernehmen.
a) Moderne Firewalls statt einfacher Router
Firewalls sollten nicht einfach Daten durchlassen oder blockieren – sie sollten intelligent arbeiten. Eine moderne Firewall erkennt:
-
verdächtige Muster
-
unerlaubte Anwendungen
-
Verhaltensanomalien
-
Angriffsversuche
Wichtig ist auch die regelmäßige Pflege: Regeln müssen aktuell gehalten werden, Logs überwacht, und Updates eingespielt werden.
b) Netzwerksegmentierung
Ein weit verbreitetes Problem: Das gesamte Unternehmen befindet sich in einem einzigen, offenen Netz. Das bedeutet:
Gelangt ein Angreifer in dieses Netz, hat er Zugang zu allem. In kritischen Infrastrukturen (KRITIS) ist längst eine Einzelplatz-Segmentierung gelebte Praxis
Eine Segmentierung trennt Netzwerke sinnvoll:
-
Büro-Netz
-
Produktionsnetz
-
Gäste-WLAN
-
Servernetz
-
Administrationsnetz
So breitet sich ein Angriff nicht ungehindert aus.
c) Zero-Trust-Prinzip im Netzwerk
Statt Geräten „im Netz“ automatisch zu vertrauen, gilt:
Nichts wird vertraut – alles muss sich authentifizieren.
Dies wird zunehmend Standard und erhöht die Sicherheit erheblich.
d) Sichere Fernzugänge
VPN-Zugänge müssen stark abgesichert sein:
-
Multi-Faktor-Authentifizierung
-
eingeschränkte Rechte
-
moderne VPN-Technologie
-
keine „Any-to-Any“-Freigaben
Fernzugriff ist wichtig – aber auch häufig ein Einfallstor.
4. Zugriffskontrolle: Wer darf was – und warum?
Ein großer Teil der Sicherheitsarbeit besteht darin zu regeln, wer worauf zugreifen darf. Schwache Passwörter oder übergroße Berechtigungen sind ein häufig unterschätztes Risiko.
a) Multi-Faktor-Authentifizierung (MFA)
MFA ist heute eines der wirksamsten Mittel gegen unbefugten Zugriff. Selbst wenn ein Passwort gestohlen wird, bleibt das Konto geschützt.
Für besonders kritische Zugänge sollte MFA Pflicht sein:
-
E-Mail
-
Remote-Zugänge
-
Admin-Konten
-
Cloud-Dienste
b) Starke Passwortrichtlinien
Gute Passwörter sind nicht kompliziert – sie müssen nur zuverlässig sein.
Empfehlenswert sind:
-
Mindestlänge von 12–16 Zeichen
-
Passphrasen statt kryptischer Zeichenfolgen
-
Vermeidung wiederverwendeter Passwörter
c) Rechte nach dem Minimalprinzip
Nicht jeder Mitarbeitende braucht Zugang zu allen Daten.
Wichtig ist:
-
klare Rollen
-
regelmäßige Überprüfung von Berechtigungen
-
automatische Entzüge bei Mitarbeiterwechsel
d) Protokollierung und Monitoring
Transparenz hilft bei der Erkennung ungewöhnlicher Vorgänge.
Ein gutes Monitoring zeigt an:
-
fehlgeschlagene Anmeldeversuche
-
ungewöhnliche Zugriffszeiten
-
Aktivitäten auf kritischen Systemen
5. Cloud-Sicherheit: Chancen nutzen, Risiken kontrollieren
Viele Mittelständler setzen inzwischen auf Cloud-Dienste – von Microsoft 365 bis zu branchenspezifischen Lösungen. Die Cloud bietet enorme Vorteile, birgt aber auch eigene Risiken.
Wichtig ist:
Die Verantwortung für die Sicherheit ist geteilt.
Der Anbieter schützt die Infrastruktur, das Unternehmen ist für die Nutzung zuständig.
Daraus ergeben sich zentrale Aufgaben:
a) Richtige Konfiguration
Viele Angriffe entstehen, weil Cloud-Dienste falsch eingerichtet sind – z. B. offene Freigaben, fehlende MFA oder ungesicherte Admin-Konten.
b) Sicherer Umgang mit Daten
Daten sollten:
-
verschlüsselt übertragen und gespeichert werden
-
klar klassifiziert sein
-
nur mit entsprechenden Rechten geteilt werden
c) Überwachung von Cloud-Aktivitäten
Die meisten Plattformen bieten detaillierte Logs und Warnmeldungen. Unternehmen sollten diese aktiv nutzen, z. B. für:
-
ungewöhnliche Logins
-
Massen-Downloads
-
Konfigurationsänderungen
d) Backup auch in der Cloud
Viele Unternehmen glauben, Cloud-Daten seien automatisch gesichert. Die Realität:
Cloud-Anbieter sind nicht verpflichtet, gelöschte Daten langfristig wiederherzustellen.
Ein eigenes Backup der Cloud-Daten ist daher Pflicht.
6. Backup & Wiederherstellung: Die letzte Verteidigungslinie
Kein Sicherheitskonzept ist vollständig ohne ein robustes Backup. Sollte ein Angriff erfolgreich sein – besonders bei Ransomware – entscheidet das Backup darüber, ob das Unternehmen handlungsfähig bleibt.
Ein gutes Backup-Konzept besteht aus mehreren Elementen:
a) Die 3-2-1-Regel
Diese bewährte Regel lautet:
-
3 Kopien der Daten
-
2 unterschiedliche Speicherorte
-
1 Kopie außerhalb des Netzwerks (z. B. Cloud oder Offline-Backup)
b) Getrennte Backup-Infrastruktur
Backups dürfen nicht dauerhaft im gleichen Netz erreichbar sein wie die produktiven Daten.
Sonst verschlüsselt Ransomware sie gleich mit.
c) Regelmäßige Wiederherstellungstests
Ein Backup ist nur so gut wie seine Wiederherstellbarkeit.
Mindestens einmal pro Jahr – besser häufiger – sollten Unternehmen testen:
-
ob Daten vollständig wiederhergestellt werden können
-
wie lange die Wiederherstellung dauert
-
ob alle Systeme aufgenommen sind
d) Versionshistorie
Manchmal bleibt ein Angriff längere Zeit unentdeckt.
Eine gute Backup-Lösung speichert mehrere Versionen, damit auch ältere, saubere Stände wiederhergestellt werden können.
e) Notfallplan
Ein Notfallhandbuch ist genauso wichtig wie die Technik.
Es regelt:
-
wer im Ernstfall was zu tun hat
-
welche Systeme zuerst wiederhergestellt werden
-
wie der Geschäftsbetrieb priorisiert wird
7. Fazit: Sicherheit ist ein Prozess – kein Projekt
Ein mehrschichtiges Sicherheitskonzept ist kein Luxus, sondern ein pragmatischer und kosteneffizienter Weg, Risiken zu minimieren. Es schützt Unternehmen nicht nur vor Angriffen, sondern steigert Stabilität, Vertrauen und Professionalität.
Wesentlich ist dabei:
-
Sicherheit ist nicht einmalige Anschaffung, sondern kontinuierliche Aufgabe.
-
Technik allein reicht nicht – Prozesse und Menschen gehören dazu.
-
Mehrschichtigkeit schafft Sicherheit auch dann, wenn eine Ebene ausfällt.
Viele Mittelständler stehen heute vor der Herausforderung, die steigende Komplexität zu bewältigen. Doch mit einem strukturierten Ansatz – Endgeräte, Netzwerk, Zugriff, Cloud, Backup – lässt sich ein robustes, pragmatisches und finanzierbares Sicherheitskonzept aufbauen, das den modernen Anforderungen gerecht wird. Scheuen Sie sich nicht vor der Umsetzung, nur weil es ihnen als ein unüberwindbarer Berg erscheint. Wir planen mit unseren Kunden in der Regel über 5 Jahre, in denen zunächst die dringlichsten Maßnahmen etabliert werden und die weiteren nach akuter Situation oder Dringlichkeit.
-> Am Ende ist IT-Sicherheit nicht die Verhinderung aller Risiken.
Es ist die Fähigkeit, souverän und handlungsfähig zu bleiben – selbst wenn etwas passiert.