Basismassnahmen für Unternehmens-IT: Patchmanagement, Backups und Zugriffsrechte

Warum Basismassnahmen den Unterschied machen

Ein Anbieter für Cybersecurity-Beratung stellt fest: Unternehmen in der Schweiz werden zunehmend Ziel professioneller Cyberangriffe – genannt werden Phishing, Ransomware, Datendiebstahl, DDoS-Angriffe und die Manipulation von IT-Systemen. Ohne angemessene Massnahmen drohen nach derselben Einschätzung Ausfälle, Imageschäden und rechtliche Konsequenzen. Für Schweizer KMU ist ein angemessenes IT-Sicherheitsniveau entscheidend, um Geschäftsrisiken nachhaltig zu minimieren.

In vertraulichen Gesprächen mit KMU-Verantwortlichen begegnet itsecurityschweiz.ch regelmässig der Haltung: «Warum sollten ausgerechnet wir angegriffen werden? Wir sind doch kein lohnendes Ziel.» Psychologisch ist diese Reaktion verständlich, statistisch hochgradig riskant: Wer die eigene Angriffsfläche nicht kennt, kann auch nicht beurteilen, ob er ein Ziel ist.

Rechtlich hat sich der Rahmen verschärft: Das revidierte Datenschutzgesetz ist zusammen mit der neuen Datenschutzverordnung und der Verordnung über Datenschutzzertifizierungen am 1. September 2023 in Kraft getreten. itsecurityschweiz.ch verweist auf die Haftungsrisiken des nDSG und darauf, dass sich Gesetzestexte nicht getrennt von der Netzarchitektur betrachten lassen – ein Audit besteht demnach nicht aus Dokumenten, sondern aus dem technischen Nachweis der Systemresilienz.

Als pragmatischen Einstieg für Schweizer KMU nennt dieselbe Quelle den IKT-Minimalstandard des BACS. Im Fokus stehen die kritischen Basismassnahmen gemäss NIST.

Sicherheit ist laut it-s.ch kein Produkt, sondern ein Prozess, der technische, organisatorische und menschliche Aspekte verbindet. Patchmanagement, Backups und Zugriffsrechte bilden darin die Grundlage, auf die weitergehende Massnahmen wie Monitoring, Endpunktschutz oder Incident Response überhaupt erst aufsetzen können.

Kritische Basismassnahmen für Schweizer KMU

Patchmanagement: Bekannte Schwachstellen systematisch schliessen

Sicherheitslücken in Software und Systemen, die nicht zeitnah mit Patches und Updates geschlossen werden, sind nach Darstellung von S-U-P-E-R.ch ein einladendes Einfallstor für Cyberkriminelle. Viele Angriffe zielen auf bekannte Schwachstellen – genau diese beheben Patches und verhindern ihre Ausnutzung. Ohne effektives Patchmanagement drohen Ransomware-Angriffe oder Datenverlust; ungepatchte Systeme werden zudem instabil, was teure Ausfallzeiten verursacht.

Der Prozess ist wiederkehrend. Zu den zentralen Elementen gehören die Bestandsaufnahme der IT-Infrastruktur – also das Erfassen aller eingesetzten Systeme und Software, um zu wissen, was regelmässig gepatcht werden muss – sowie die Priorisierung: Nicht alle Patches sind gleich wichtig, kritische Sicherheitsupdates gehören schnellstmöglich ausgerollt.

Vor dem Ausrollen in der Produktion stehen Tests, um unerwartete Auswirkungen auf die bestehende Infrastruktur zu vermeiden. Ein automatisierter Rollout versorgt anschliessend alle relevanten Systeme regelmässig mit Updates.

Nach derselben Quelle gehört die Sensibilisierung der Mitarbeitenden für die Bedeutung von Updates dazu, damit IT-Systeme aktuell bleiben. Gutes Patchmanagement hilft überdies, rechtliche Anforderungen zu erfüllen.

In der Praxis heisst das: ein Patchkalender mit fixen Intervallen, eine Liste der Systeme mit kritischem Charakter, ein Testfenster vor dem Produktivrollout und eine Ausnahmeliste für Systeme, die nicht automatisch aktualisiert werden können. Ohne diese Dokumentation bleibt offen, welche Lücken nach einem Vorfall noch offen sind.

Effektives Patchmanagement im Detail

Drittanbieter-Software in den Patchprozess einbeziehen

Betriebssystem-Updates stehen für IT-Teams oft an erster Stelle; Anwendungen von Drittanbietern werden laut Splashtop dagegen häufig übersehen. Diese nicht-nativen Apps sind im Geschäftsbetrieb wesentlich, aber auch häufige Ziele für Cyberangriffe – typische Beispiele sind Adobe Reader, Google Chrome oder Zoom.

Der Unterschied liegt in der Kadenz: Betriebssystem-Patches erscheinen in der Regel regelmässig, Drittanbieter veröffentlichen Patches möglicherweise nur sporadisch – oft als Reaktion auf eine neu entdeckte Schwachstelle. Dadurch verlieren IT-Teams leichter den Überblick. Ohne angemessenes Patchmanagement drohen Angriffe, die zu Datenschutzverletzungen oder Systemausfällen führen können.

Das Patchmanagement von Drittanbietern umfasst den Prozess der Identifizierung, Bereitstellung und Verwaltung von Updates oder Patches für Software, die nicht vom Betriebssystem- oder Hardwarehersteller entwickelt wurde. Automatisierung gilt dabei als Schlüsselkomponente: Nur so lässt sich bei unregelmässig erscheinenden Updates zeitnah reagieren.

Für die Praxis bedeutet das, den Softwarebestand nicht auf das Betriebssystem zu beschränken, sondern alle installierten Anwendungen zu inventarisieren – inklusive Browser, PDF-Betrachter, Videokonferenz- und Fernzugriffsclients. Wo kein automatisches Update möglich ist, braucht es einen manuellen Prüfrhythmus und eine dokumentierte Zuständigkeit.

Vergleich: Automatisches vs. manuelles Patchmanagement für Drittanbieter-Software

Backups: Datensicherheit und Wiederherstellung absichern

Datensicherheit gilt als zentrales Element der IT-Sicherheit: Schweizer Unternehmen – auch KMU – müssen geeignete technische und organisatorische Massnahmen umsetzen. Backups gehören zu diesen technischen Massnahmen und sind die Voraussetzung dafür, dass ein Vorfall nicht in dauerhaftem Datenverlust endet. Datenverlust wird in der Fachliteratur neben Ransomware ausdrücklich als Risiko ungepatchter Systeme genannt.

Eine Sicherung nützt nur, wenn sie vom Produktivsystem getrennt ist. Eine Kopie, die im gleichen Netzwerk mit denselben Anmeldedaten erreichbar ist, kann bei einem Ransomware-Angriff mitverschlüsselt oder gelöscht werden. Deshalb gehören mehrere Kopien auf unterschiedlichen Trägern dazu, davon mindestens eine räumlich oder logisch getrennte, die im laufenden Betrieb nicht überschrieben werden kann.

Ebenso wichtig wie die Sicherung ist der Nachweis, dass sie sich zurückspielen lässt. Ein Wiederherstellungstest beantwortet drei Fragen: In welcher Reihenfolge werden Systeme und Daten zurückgeholt, wer führt die Wiederherstellung durch, und wie lange dauert sie? Ohne diesen Test bleibt die Wiederherstellbarkeit eine Annahme; wer die Wiederherstellungszeit kennt, kann beurteilen, wie lange ein Ausfall tragbar ist.

Zur Dokumentation gehören Sicherungsplan, Aufbewahrungsdauer, Speicherort der Kopien und die Ergebnisse der Tests. Bei personenbezogenen Daten empfiehlt es sich, Sicherungen mit derselben Sorgfalt zu behandeln wie das Produktivsystem, da sie ebenfalls personenbezogene Daten enthalten können.

Zugriffsrechte und Identitäten kontrollieren

Das Prinzip der minimalen Rechte besagt, dass jedes Konto nur die Berechtigungen erhält, die für die jeweilige Aufgabe tatsächlich nötig sind – nicht mehr. Administrationsrechte werden von normalen Benutzerkonten getrennt, Sammel- und Gemeinschaftskonten vermieden, weil sich bei ihnen keine Handlung einer Person zuordnen lässt. Wer Rechte nur auf Antrag und mit Begründung vergibt, kann später nachvollziehen, warum ein Zugriff besteht.

Zertifikate, Identitäten und Network Access Control bezeichnet itsecurityschweiz.ch als unsichtbare Achillesferse der IT-Compliance. Zertifikate haben Ablaufdaten; ein vergessenes Zertifikat kann Ausfälle verursachen und im schlimmsten Fall Verschlüsselung oder Vertrauensbeziehungen unkontrolliert ausser Betrieb setzen. Network Access Control lässt nur Geräte ins Netz, die einen definierten Zustand erfüllen – ein ungepatchter Laptop erhält damit keinen Zugang zu internen Systemen.

Organisatorisch braucht es Prozesse für Eintritt, Austritt und Rollenwechsel: Konten werden mit dem Stellenantritt angelegt, mit dem Austritt innert definierter Frist deaktiviert, bei Funktionswechseln angepasst. Ergänzend wirken Mehrfaktor-Authentifizierung für den Zugriff auf kritische Systeme, Protokollierung der Anmeldungen und eine periodische Überprüfung aller Berechtigungen durch die Fachverantwortlichen.

Zugriffsrechte reduzieren die Angriffsfläche unmittelbar. Ein Konto ohne Administrationsrechte kann bei einer Kompromittierung weniger Schaden anrichten, und der Weg vom ersten infizierten Arbeitsplatz zu den zentralen Systemen wird länger.

Vorteile und Risiken von gemeinsamen Benutzerkonten

Basismassnahmen im Zusammenspiel leben

Die drei Massnahmen greifen nur gemeinsam. Ein Patch schliesst eine Lücke, verhindert aber nicht, dass ein bereits eingeschleuster Schädling Daten verschlüsselt – dafür braucht es ein getrenntes, getestetes Backup. Umgekehrt kann eine Sicherung, die mit denselben weitreichenden Rechten erreichbar ist wie das Produktivsystem, im Angriffsfall mitkompromittiert werden. Und ein sauber gepatchtes System mit übermässigen Berechtigungen bleibt ein lohnendes Ziel.

it-s.ch beschreibt Cyber Security ausdrücklich nicht als Produkt, sondern als Prozess, der technische, organisatorische und menschliche Aspekte vereint und nur mit einem strukturierten Sicherheitsansatz Risiken frühzeitig erkennbar und nachhaltig reduzierbar macht. Daraus folgt, dass jede der drei Basismassnahmen eine benannte Verantwortlichkeit, ein Intervall und eine überprüfbare Dokumentation braucht: Wer patcht, wer testet die Wiederherstellung, wer prüft die Berechtigungen.

Die Sensibilisierung der Mitarbeitenden gehört zum Gesamtbild – bei S-U-P-E-R.ch als Teil des Patchmanagements, bei it-s.ch als eigenes Leistungsmodul mit Schulungen und Awareness-Trainings. Dieselbe Quelle nennt als modulare Bausteine eines Sicherheitskonzepts unter anderem Monitoring und Bedrohungserkennung, Endpunktschutz, Firewall- und Netzwerksicherheit sowie Reaktion auf Vorfälle (Incident Response), ausgerichtet an Standards wie ISO 27001 und dem NIST Framework und DSG-konform.

Für einen einfachen Incident-Response-Ablauf genügt in KMU ein schlanker Rahmen: erkennen und melden, betroffene Systeme eindämmen und vom Netz trennen, aus dem Backup wiederherstellen, Ursache und Lücken nachbereiten. Damit dieser Ablauf im Ernstfall funktioniert, müssen die Zuständigkeiten und Erreichbarkeiten vorher festgelegt sein und die Wiederherstellung – wie oben beschrieben – vorher getestet worden sein.

Ablauf eines Incident Response-Prozesses in KMU