IT-Sicherheit für Frankfurter Unternehmen.
Sicherheit ist in Frankfurt selten eine freiwillige Entscheidung. Entweder verlangt sie eine Vorschrift, oder sie steht im Vertrag mit einem Auftraggeber, der selbst beaufsichtigt wird.
Wer in Frankfurt Nachweise erbringen muss
Die Frage, ob ein Unternehmen Sicherheitsnachweise braucht, wird in Frankfurt selten vom Unternehmen selbst beantwortet. Sie kommt von außen: durch NIS-2, wenn Größe und Branche passen. Durch den Auftraggeber, wenn man für eine Bank, eine Versicherung oder einen Kritis-Betreiber arbeitet. Oder durch den Versicherer, der nach einem Cybervorfall wissen will, was vorher getan wurde.
Das Unangenehme daran ist die Reihenfolge. Die Anforderung steht fest, bevor jemand im Haus weiß, wie sie technisch umzusetzen ist. Und sie kommt mit einer Frist. Wir steigen meistens genau hier ein: Ein Fragebogen liegt auf dem Tisch, die Hälfte der Fragen ist unverständlich, und es ist unklar, was davon schon erfüllt ist.
Die gute Nachricht: Der überwiegende Teil dessen, was gefordert wird, ist technisch unspektakulär. Es sind selten exotische Werkzeuge, die fehlen, sondern Ordnung: getrennte Netze, benannte Konten, dokumentierte Zugriffe, geprüfte Sicherungen.
Was dazugehört
Netzsegmentierung
Ein flaches Netz, in dem jedes Gerät jedes andere erreicht, ist der häufigste Befund und der folgenreichste. Wir trennen nach Schutzbedarf (Arbeitsplätze, Server, Gebäudetechnik, Gäste) und machen die Übergänge kontrollierbar. Im Ernstfall begrenzt das den Schaden auf einen Bereich.
Zugriffe nach dem Prinzip der minimalen Rechte
Gewachsene Umgebungen sammeln Berechtigungen an, die niemand mehr begründen kann. Wir räumen auf, führen benannte Konten statt Sammelzugänge ein und sorgen dafür, dass administrative Rechte abgesichert sind.
Mehrfaktor-Anmeldung, wo sie zählt
Ein gestohlenes Passwort allein darf nicht reichen. Besonders bei Fernzugriffen, Postfächern und administrativen Konten ist das inzwischen Mindeststandard, und einer der wenigen Schritte mit einem sofort messbaren Effekt.
Erkennung statt nur Abwehr
Kein Schutz hält alles ab. Entscheidend ist, wie schnell etwas auffällt. Wir richten Protokollierung und Alarmierung so ein, dass ungewöhnliche Anmeldungen und Verschlüsselungsaktivität nicht erst nach Tagen bemerkt werden.
Geprüfte Datensicherung mit getrennter Kopie
Gegen Verschlüsselungsangriffe hilft am Ende nur eine Sicherung, die der Angreifer nicht erreicht. Wir halten mindestens eine Kopie getrennt und prüfen regelmäßig, ob sie sich zurückspielen lässt.
Die Unterlagen dazu
Jede Maßnahme ist nur so viel wert, wie sie belegbar ist. Wir dokumentieren Konzept, Umsetzung und Prüfungen so, dass Sie einen Fragebogen ausfüllen können, ohne vorher Rücksprache halten zu müssen.
Was Unternehmen in Frankfurt uns dazu fragen.
Fällt unser Unternehmen unter NIS-2?
Das hängt von Branche und Größe ab. Betroffen sind unter anderem Energie, Verkehr, Gesundheit, digitale Infrastruktur, Abfall, Post, Chemie und die verarbeitende Industrie ab bestimmten Schwellen: mittlere Unternehmen ab 50 Beschäftigten oder 10 Millionen Euro Umsatz, große ab 250 oder 50 Millionen. Die verbindliche Einordnung trifft nicht Ihr IT-Dienstleister. Wir helfen bei der technischen Umsetzung dessen, was daraus folgt.
Wir arbeiten für eine Bank. Was bedeutet das für uns?
Dass Sie einen Teil der Anforderungen Ihres Auftraggebers übernehmen. Institute müssen ihre Dienstleister nach DORA im Informationsregister führen und deren Sicherheitsniveau belegen. Praktisch heißt das: dokumentierte Zugriffe, benannte Konten, nachvollziehbare Änderungen und belastbare Wiederanlaufzeiten. Mehr dazu auf unserer Seite zu Banken und Finanzinstituten.
Was kostet eine Bestandsaufnahme?
Das erste Gespräch und eine grobe Einschätzung kosten nichts. Eine strukturierte Aufnahme mit Bericht ist ein abgegrenztes Projekt, dessen Umfang sich nach der Größe Ihrer Umgebung richtet. Wir nennen den Rahmen vorher.
Reicht eine Firewall nicht aus?
Nein, und zwar aus einem einfachen Grund: Die meisten erfolgreichen Angriffe kommen heute nicht durch die Firewall, sondern über eine Anmeldung. Ein abgefangenes Passwort, ein Klick in einer täuschend echten Mail. Eine Firewall sieht davon nichts, weil der Zugriff von innen und mit gültigen Daten kommt.
Wie lange dauert es, bis wir auf einem vertretbaren Stand sind?
Die wirksamsten Schritte (Mehrfaktor-Anmeldung, Aufräumen der Berechtigungen, getrennte Sicherungskopie) sind in wenigen Wochen umsetzbar. Netzsegmentierung und Protokollierung brauchen länger, weil sie den laufenden Betrieb berühren. Wir arbeiten die Liste nach Wirkung ab, nicht nach Aufwand.
Schulen Sie auch Mitarbeitende?
Ja, und wir halten es für den Baustein mit dem besten Verhältnis von Aufwand zu Wirkung. Keine Pflichtveranstaltung mit Zertifikat, sondern kurze, konkrete Einheiten an Beispielen aus Ihrem Haus.
Zum Weiterlesen
Alle Beiträge finden Sie im Blog.
Markus J. Rehberg
Vorstand (CEO): Schwerpunkt Compliance Recording, IT-Sicherheit und Nachweisführung.
Erst zuhören, dann vorschlagen.
Ein Gespräch über Ihren aktuellen Stand, ohne Verkaufsunterlagen und ohne Verpflichtung.