Die Cybersicherheit bezeichnet die Gesamtheit der technischen, organisatorischen und menschlichen Mittel, die eingesetzt werden, um die IT-Systeme, Netzwerke und Daten eines Unternehmens vor Eindringlingen und Angriffen zu schützen. In Frankreich konzentrieren sich die TPE, PME und ETI mittlerweile auf einen wachsenden Anteil der an die ANSSI gemeldeten Vorfälle, mit einem deutlichen Anstieg der Angriffe, die speziell auf diese oft unzureichend geschützten Strukturen abzielen.
Datenexfiltration ohne Ransomware: die Bedrohung, die die Firewall allein nicht blockiert
Die aktuellen Berichte über die Cyberbedrohung in Frankreich zeigen einen Strategiewechsel bei den Angreifern. Die Verschlüsselung von Systemen durch Ransomware nimmt leicht ab, aber die Vorfälle mit Datenexfiltration nehmen von Jahr zu Jahr deutlich zu.
Das Prinzip ist einfach: Anstatt den Zugriff auf die Dateien zu blockieren, kopieren die Angreifer die sensiblen Daten (Kundendateien, Verträge, Bankdaten) und drohen, diese zu veröffentlichen. Das Unternehmen kann weiterarbeiten, sieht sich jedoch einem Erpressungsversuch hinsichtlich seines Rufs und einer Meldepflicht gemäß der DSGVO gegenüber.
Diese Entwicklung verändert die Rahmenbedingungen für die IT-Lösungen, die implementiert werden müssen. Eine klassische Firewall und ein Antivirusprogramm schützen den Netzwerkperimeter, erkennen jedoch keinen diskreten Dateitransfer zu einem externen Server. Spezialisierte Dienstleister wie APWN unterstützen Unternehmen bei der Implementierung von Maßnahmen, die auf diese neuen Bedrohungsformen zugeschnitten sind, insbesondere bei der Überwachung des ausgehenden Datenverkehrs und der Segmentierung des Zugriffs auf Daten.
Konkret muss ein PME, das persönliche Daten von Kunden speichert, nicht nur die Versuche von Eindringlingen überwachen, sondern auch die abnormalen Datenmengen, die sein Netzwerk verlassen. Ohne diese Sichtbarkeit kann eine Exfiltration Wochen dauern, bevor sie entdeckt wird.
IT-Sicherheitsaudit: Wo anfangen, wenn die Mittel begrenzt sind
Der erste Schritt zu einer effektiven Cybersicherheitsstrategie ist das Sicherheitsaudit. Es handelt sich nicht um ein Diagnoseverfahren, das nur großen Unternehmen vorbehalten ist: Selbst eine Struktur mit zehn Arbeitsplätzen kann (und sollte) ihre Schwachstellen kartieren.
Ein Audit beginnt mit einer Bestandsaufnahme der digitalen Vermögenswerte: Arbeitsplätze, Server, Fachanwendungen, Remote-Zugriffe, Benutzerkonten. Jedes Element wird nach seinem Kritikalitätsgrad für die Geschäftstätigkeit und seinem Grad der Bedrohungsexposition bewertet.
Die drei Kontrollpunkte, die priorisiert werden sollten
- Passwort- und Zugangsverwaltung: Überprüfen, dass jeder Benutzer nur die für seine Funktion notwendigen Rechte hat und dass die Multi-Faktor-Authentifizierung bei kritischen Konten (E-Mail, Buchhaltung, VPN-Zugriff) aktiviert ist.
- Stand der Software-Updates: Ein nicht aktualisiertes Betriebssystem oder eine Fachanwendung weist bekannte und dokumentierte Schwachstellen auf, die von Angreifern bevorzugt ausgenutzt werden.
- Sicherungsrichtlinie: Überprüfen der Häufigkeit, der Verschlüsselung und vor allem der physischen Trennung der Sicherungen vom Hauptnetz, damit sie im Falle eines Eindringens nicht kompromittiert werden.
Das Audit erstellt eine Liste von Schwachstellen, die nach Risikoniveau eingestuft sind. Die dringendsten Korrekturen (ein Administratorkonto ohne Zwei-Faktor-Authentifizierung, zum Beispiel) können oft innerhalb weniger Stunden ohne materielle Investitionen umgesetzt werden.
NIS2 und regulatorische Konformität: Was die französische Umsetzung für PME bedeutet
Die europäische Richtlinie NIS2 erweitert den Umfang der Unternehmen, die Cybersicherheitsverpflichtungen unterliegen, erheblich. In Frankreich verzögert sich die Umsetzung von NIS2 erheblich, mit einem Stillstand, der laut mehreren Fachanalysen seit über einem Jahr anhält. Diese Frist entbindet die betroffenen Unternehmen jedoch nicht von der Notwendigkeit, sich vorzubereiten.
NIS2 betrifft weit größere Sektoren als die vorherige Version: industrielle Subunternehmer, Anbieter digitaler Dienstleistungen, Unternehmen der Lieferkette. Ein PME, das als Subunternehmer eines als “wichtige Einheit” eingestuften Auftraggebers arbeitet, kann ohne Vorwarnung in den Anwendungsbereich fallen.
Die konkreten Verpflichtungen, die jetzt vorbereitet werden müssen
Die Richtlinie verlangt eine formalisierte Risikomanagement, mit Dokumentation der Schutzmaßnahmen, der Verfahren zur Reaktion auf Vorfälle und der Pläne zur Geschäftskontinuität. Sie sieht auch eine Meldepflicht für signifikante Vorfälle innerhalb kurzer Fristen vor.
Für ein PME bedeutet dies, von einem informellen Ansatz (“wir haben ein Antivirus und Sicherungen”) zu einer dokumentierten und überprüfbaren Strategie überzugehen. Die Kosten für die Einhaltung hängen von der bestehenden Reife ab, aber Unternehmen, die bereits ein aktuelles Audit haben, haben einen echten Vorteil: Sie kennen ihre Schwächen und können gezielt investieren.
Schulung der Benutzer: das Glied, das die Technologie nicht ersetzen kann
Die Mehrheit der erfolgreichen Eindringlinge nutzt einen menschlichen Fehler aus: Klick auf einen Phishing-Link, Öffnen eines infizierten Anhangs, Übermittlung von Anmeldedaten per Telefon an einen falschen technischen Support. Keine IT-Lösung, so leistungsfähig sie auch sein mag, kann einen ungeschulten Benutzer kompensieren.
Die Sensibilisierung beschränkt sich nicht auf eine jährliche Präsentation über Risiken. Effektive Programme kombinieren Phishing-Simulationskampagnen (Versand von gefälschten, infizierten E-Mails zur Messung der Klickrate), kontextbezogene Erinnerungen und klare Verfahren zur Meldung verdächtiger Nachrichten.
Ein oft vernachlässigter Punkt: Die Schulung muss auch die Nutzung außerhalb des Büros abdecken. Homeoffice, öffentliche WLAN-Verbindungen und die Nutzung persönlicher Geräte für den Zugriff auf Unternehmenswerkzeuge schaffen Schwachstellen, die von den Netzwerksicherheitsrichtlinien nicht automatisch abgedeckt werden.
Der Schutz eines Unternehmens beruht auf der Verknüpfung von drei Säulen: aktuellen technischen Werkzeugen, vorausschauender regulatorischer Konformität und Benutzern, die in der Lage sind, einen Angriff zu erkennen. Die Vernachlässigung einer dieser Säulen bedeutet, eine Tür offen zu lassen, unabhängig vom Budget, das in die beiden anderen investiert wird.