Datensicherheit – Definition und Massnahmen für Unternehmen

Ein Beispiel aus der Praxis

Die Angriffe werden nicht nur immer ausgeklügelter, sondern auch immer häufiger. So wurde zum Beispiel Anfang 2022 einer der grössten Autohändler Europas gehackt. Bei der Cyber-Attacke wurden personenbezogene Daten von Kunden, Partnern und Mitarbeitenden gestohlen. Die Systeme mussten vorübergehend heruntergefahren werden, um weiteren Diebstahl verhindern zu können. Das Unternehmen informierte seine Kunden umgehend nach Erkennen des Angriffs über den Vorfall und gab Tipps, damit man weiteren Datenklau (z. B. Passwörter) vorbeugen könnte. Die Gefahr besteht bei einem solchen Fall darin, dass die Kundendaten ins Darknet gelangen und anschliessend möglicherweise für Erpressungen missbraucht werden.

Dieses Beispiel aus der Praxis zeigt, wie Cyber-Attacken einem Unternehmen schaden können und wie viel Zeit, Geld und Energie es kostet, mit einem solchen Angriff umzugehen.

Was ist der Unterschied zwischen Datenschutz und Datensicherheit?

Oft werden die beiden Begriffe synonym verwendet. Doch dabei unterscheiden sie sich in einem Punkt. Der Begriff Datenschutz betrifft lediglich personenbezogene Daten, wie Name, Anschrift, E-Mail-Adresse etc. Datensicherheit fasst den Begriff noch weiter. Im Jahr 2018 wurde die neue Datenschutzgrundverordnung in der Europäischen Union (DSGVO) eingeführt, die die persönlichen Daten noch umfassender schützt und dem Besitzer mehr Kontrolle gibt.

Für Schweizer Unternehmen gilt die DSGVO dann, wenn dieses zum Beispiel mit einem Lieferanten oder Kunden aus dem EU-Raum zusammenarbeitet.

Im Gegensatz dazu umfasst der Begriff Datensicherheit den Schutz sämtlicher Daten – also nicht nur personenbezogene Daten.

Datensicherheit, bzw. Informationssicherheit gewährleistet dabei Vertraulichkeit, Integrität und Verfügbarkeit von Daten.

• Vertraulichkeit: Daten dürfen nur durch Befugte zugänglich sein.

• Integrität: Daten können nicht unerkannt verändert werden.

• Verfügbarkeit: Daten sollten für befugte Personen jederzeit verfügbar sein.

Als Kleinunternehmer betrifft Sie folglich beides – Datenschutz und Datensicherheit. Eine Auseinandersetzung mit den Themen ist ganz besonders relevant, da in den vergangenen Jahren die Anzahl von Hackerangriffen, Schadprogrammen und anderen digitale Gefahren weiter zugenommen hat. Das Problem dabei ist, dass es nicht nur immer mehr wird, sondern die Cyber-Attacken auch immer ausgeklügelter werden. Dies macht es schwer, solche zu erkennen und bereits vorab eingreifen zu können. Mit dem richtigen Schutz kann das jedoch nicht passieren.

Kennen Sie die häufigsten Cyber-Gefahren?

• Gefälschte E-Mails mit falschen Informationen oder Anfragen.

• Schadprogramme, die heruntergeladen werden (z.B. Viren).

• Hackerangriff, der Ihre Daten stiehlt.

• Ransomware-Angriff, der Ihre Geschäftsaktivitäten still legen kann.

• Unmengen von Fake-Anfragen, die Ihr System für «echte» Kunden blockiert.

Das Problem dabei ist, dass man Cyber-Gefahren oftmals gar nicht bemerkt und der Meinung ist, man sei ein «zu kleiner Fisch». Eher würden grosse Unternehmen gehackt werden, bei denen auch «etwas zu holen sei». Dies ist jedoch ein Trugschluss. Das Gefährliche bei einem Cyber-Angriff ist, dass es zu einem Imageverlust und/ oder Betriebsausfall mit finanziellen Einbussen kommen kann. Ungeplante Ausgaben, die für die meisten Kleinunternehmer nicht einfach zu stemmen sind.

Was sind die möglichen Folgen von Cyberattacken für KMU?

Wenn das eigene KMU von einem Cyber-Angriff betroffen ist, kann das wirtschaftliche Einbussen bedeuten. Die Auswirkungen auf ein Unternehmen können immens sein:

• Finanzielle Einbussen (z. B. Umsatzeinbrüche durch Produktionsstillstand, Zahlungsforderungen, Entlohnung von Experten zur Schadenbehebung etc.)

• Image- / Brandschaden

• Vertrauensverlust bei den Kunden

• Schadensersatzforderungen von Kunden, deren Daten gestohlen wurden

• Ungeplante Kosten für Behebung der Attacke

Um sich vor diesen Folgen abzusichern, gibt es speziell auf Cyber-Risiken abgestimmte Versicherungen.

Welche Massnahmen dienen der Datensicherheit?

Um sich vor den oben genannten, möglichen Folgen zu schützen, gibt es verschiedene Massnahmen. Die sogenannten TOM-Massnahmen (Technisch- und Organisatorische Massnahmen) betreffen die Hard- und Software eines Unternehmens sowie den Einbezug und die Sensibilisierung aller Mitarbeitenden.

Beispiele von Massnahmen, die helfen können, die sensiblen Unternehmensdaten zu schützen

• Sichern Sie Ihre Kunden- und Unternehmensdaten mindestens einmal pro Woche und tes­ten Sie re­gel­mäs­sig, ob die ge­si­cher­ten Da­ten im Ernst­fall wie­der­her­ge­stellt wer­den kön­nen. Be­wah­ren Sie Back­ups an ei­nem si­che­ren Ort auf.

• Schützen Sie Ihr Unternehmen, indem Sie Ihr Netzwerk in verschiedene Zonen segmentieren und die Er­reich­bar­keit sen­si­bler Da­ten so­wie Sys­te­me ein­schrän­ken.

• Schützen Sie den Zugriff auf Ihre Kunden- und Unternehmensdaten, las­sen Sie Mit­ar­bei­ten­de nur auf die be­nö­tig­ten Res­sour­cen zu­grei­fen, die Sie tat­säch­lich für Ihre täg­li­che Ar­beit be­nö­ti­gen.

• Sensibilisieren Sie Ihre Mitarbeitenden re­gel­mäs­sig für die wich­tigs­ten Ver­hal­tens­re­geln im Um­gang mit In­ter­net und E-Mail.

• Schützen Sie Ihre Systeme vor Schadsoftware: Stel­len Sie si­cher, dass auf je­dem Com­pu­ter eine Anti-Mal­wa­re-Soft­ware in­stal­liert ist. Be­ach­ten Sie da­bei fol­gen­de drei Punk­te:

  • Anti-Mal­wa­re-Soft­ware ak­tua­li­siert sich au­to­ma­tisch.

  • Anti-Mal­wa­re-Soft­ware ist stän­dig ak­ti­viert.

  • Füh­ren Sie re­gel­mäs­sig voll­stän­di­ge Sys­tem­scans oder auch Pen-Tests durch.

• Führen Sie regelmässige Updates Ihrer Software durch, ins­be­son­de­re Si­cher­heits­up­dates, um die Schutz­funk­tio­nen Ih­rer Sys­te­me zu ge­währ­leis­ten.

• Sensibler Umgang mit Passwörtern: Verwenden Sie nie nur ein Passwort für mehrere Webseiten und nutzen Sie Multi-Faktor-Authentifizierung wo möglich. (Schützen Sie beispielsweise Ihr bexio-Konto zusätzlich mit dem Google-Authentificator.)

Ihnen fällt es schwer, sich lange und komplizierte Passwörter zu merken? Da geht es uns wahrscheinlich allen ähnlich. Kein Problem: Es gibt zahlreiche Passwort-Manager, die Passwörter sicher und digital aufbewahren.

Wichtig ist, sich der Gefahren bewusst zu sein. Das ist der erste Schritt zur Datensicherheit. IT-Systeme können mit verschiedenen technischen Massnahmen geschützt werden. Der Mensch nicht. Deshalb ist es für ein KMU unumgänglich, dass Sie sich selbst und Ihre Mitarbeitenden regelmässig schulen und auf mögliche Phishing-Angriffe vorbereiten.

Welche Massnahmen setzt bexio für die Sicherung der Kundendaten ein?

• Speicherung der Daten in zertifizierten Schweizer Rechenzentren.

• Rechenzentren sind nach ISO27001 zertifiziert.

• Automatische und regelmässige Updates.

• Kundendaten werden auf verschiedenen Systemen und an verschiedenen Orten gespeichert, um gegen Ausfall gesichert zu sein.

• Im Notfall kommt ein «Disaster Recovery Plan» zum Einsatz.

• Hoher Verschlüsselungsstandard beim Datentransfer.

bexio arbeitet mit der Cloud – wie sicher ist das?

Was bedeutet es, wenn man mit oder in der Cloud arbeitet? Damit sind Cloud-Systeme gemeint. Auch bexio nutzt Cloud-Computing, um den Kunden die Software jederzeit und überall zur Verfügung zu stellen. Die Daten liegen nicht lokal auf einem Rechner, sondern werden in externen Datenzentren in der Schweiz gespeichert. Deswegen müssen Sie bexio weder herunterladen noch installieren. Sie können von jedem Gerät jederzeit auf Ihr bexio-Konto zugreifen.

Die Vorteile vom Arbeiten in der Cloud

• Jederzeit und mit jedem Gerät Zugriff auf die eigenen Daten.

• Automatische Datensicherung und Backups.

• Automatische Updates.

Mehr Details über bexio und Cloud-Computing erfahren Sie hier.