Wie Sie das Risiko von Cyberangriffen verringern - 10 Tipps für Fertigungsunternehmen

Die Zahl der Cyberangriffe steigt Jahr für Jahr und Angreifer suchen ständig nach Schwachstellen in Systemen und Prozessen. Für Fertigungsunternehmen sind Störungen nicht nur ein IT-Problem - sie beeinträchtigen auch Produktion, Lieferzeiten, Qualität und letztlich die Kundenbeziehungen.

Was sind die größten Sicherheitsrisiken und was können Unternehmen tun, um widerstandsfähiger zu werden? Wir sprechen mit Max Dahlberg Sälldin, IT-Spezialist bei Monitor ERP, über dieses Thema.

Kurzfassung

Cyberangriffe bedrohen heute Produktion, Lieferkapazität und die langfristige Wettbewerbsfähigkeit von Unternehmen. Doch mit klaren Strukturen, Bewusstsein und gemeinsamer Verantwortung können sich Fertigungsunternehmen wirksam schützen.

Mit diesen 10 Tipps reduzieren Sie die Risiken:

1. Schulen Sie Ihre Mitarbeiter darin, Phishing-Versuche zu erkennen.
2. Halten Sie Betriebssysteme und Anwendungen konsequent auf dem neuesten Stand.
3. Setzen Sie wo immer möglich Multi-Faktor-Authentifizierung (MFA) für alle Benutzerkonten ein.
4. Installieren und pflegen Sie einen zuverlässigen Anti-Malware-Schutz (EDR/XDR)
5. Stellen Sie sicher, dass Ihre Backups isoliert und funktionsfähig sind.
6. Setzen Sie strikte Zugriffskontrollen durch.
7. Nutzen Sie ein Unternehmensportal, um alle genehmigten Anwendungen bereitzustellen.
8. Legen Sie eine klare IT-Richtlinie und Leitlinien für den KI-Einsatz fest.
9. Erstellen Sie Notfall- und Wiederherstellungspläne für den Ernstfall.
10. Schaffen Sie eine Unternehmenskultur, in der jeder Verantwortung für IT-Sicherheit übernehmen will – und sich auch traut.

Schulung der Mitarbeiter zum Thema Phishing

Phishing, bei dem sich Betrüger als vertrauenswürdige Absender ausgeben, um an sensible Informationen zu gelangen, ist die häufigste Form von Cyberangriffen. Die Methoden variieren zwischen E-Mail, SMS sowie Telefonanrufen und werden immer ausgefeilter. E-Mail-Phishing ist jedoch nach wie vor die häufigste Methode. Das Öffnen einer falschen E-Mail oder eines falschen Links kann weitaus größere Folgen haben als ein einziger Computerabsturz im Büro. Im schlimmsten Fall kann sich ein Angreifer Zugang zu gesamten Unternehmensnetzwerken verschaffen und Produktionssysteme beeinträchtigen. Der Faktor Mensch lässt sich schwieriger absichern als technische Schwachstellen.

"Stress oder mangelnde Erfahrung können das Risiko erhöhen, auf etwas zu klicken, was man nicht tun sollte. Leider kann das jedem passieren, selbst jemandem mit jahrelanger Erfahrung in der IT-Abteilung", sagt Max.

Zwar identifizieren Spam-Filter viele Phishing-Mails, aber auch nicht alle. Es ist wichtig, innezuhalten und die Warnzeichen zu erkennen.

"Nimmt diese Person normalerweise Kontakt zu mir auf? Was will sie, und ist es angemessen? Es gibt eine Reihe Warnsignale, die Sie erkennen können, wenn Sie wissen, worauf Sie achten müssen.

Um die Warnzeichen zu erkennen und die Risiken zu verstehen, sind Schulungen der Schlüssel. Die Schulung kann in verschiedenen Intensitäts- und Schwierigkeitsstufen erfolgen, z. B. mithilfe simulierter Phishing-E-Mails, die an alle Mitarbeiter verschickt werden.

Updates und Wartung konsequent managen

Phishing-E-Mails sind häufig der Einstiegspunkt für so genannte Ransomware-Angriffe. Bei diesen verschlüsselt und sperrt Malware die Dateien oder Systeme eines Benutzers. Der Angreifer fordert dann oft ein Lösegeld, damit das Unternehmen die Kontrolle über seine Dateien/Systeme wiedererlangt. Behörden und Experten raten, niemals ein solches Lösegeld zu zahlen. Dennoch können die Folgen für das einzelne Unternehmen erheblich sein. Neben dem Datenverlust, wenn das Lösegeld nicht gezahlt wird, kann Ransomware aufgrund von Ausfallzeiten und Produktionsunterbrechungen ernsthafte finanzielle Folgen haben. Darüber hinaus kann das Vertrauen der Kunden und der Öffentlichkeit schwer leiden. Angreifer suchen gezielt nach Unternehmen mit veralteten Systemen und daher bekannten Schwachstellen in ihrer Software.

Zum Schutz vor Ransomware-Angriffen ist es daher wichtig, dass Software und Betriebssysteme stets auf dem neuesten Stand sind. Zudem sollte ein zuverlässiger und aktueller Malware-Schutz (EDR/XDR) vorhanden sin. EDR (Endpoint Detection and Response) ist ein Sicherheitssystem, das Aktivitäten auf Clients und Servern überwacht und analysiert. XDR (Extended Detection and Response) baut auf EDR auf, sammelt und korreliert aber Daten aus mehreren Teilen der IT-Umgebung, wie z. B. Endpunkte, Identitäten, Netzwerke, E-Mail und Cloud-Dienste.

"Der Zweck dieser Systeme ist es, ein umfassendes Bild der Bedrohungen in der gesamten IT-Umgebung zu erhalten, Angriffe zu erkennen, die sonst nur schwer zu erkennen sind, und die Reaktionen auf mehrere Systeme gleichzeitig zu automatisieren.

Multi-Faktor-Authentifizierung für Benutzerkonten

Max nennt Multi-Faktor-Authentifizierung für alle Benutzerkonten als eine der wichtigsten Maßnahmen überhaupt für alle Unternehmen. Es stehen mehrere Authentifizierungsmethoden zur Auswahl. Die empfohlene Lösung ist eine Authentifizierungs-App, die zeitbasierte, einmalige Passwörter oder Genehmigungen über Echtzeit-Push-Benachrichtigungen generiert, anstatt Passwörter per SMS oder E-Mail zu versenden. Bei einer Authentifizierungs-App muss ein Angreifer die Kontrolle über ein vorkonfiguriertes Gerät erlangen, um auf ein bestimmtes Konto zuzugreifen. Angesichts der Rechenleistung moderner Computer reicht ein Passwort allein nicht mehr aus. Ein 10-Zeichen-Passwort ist für einen Angreifer in wenigen Minuten zu knacken.

"Angreifer arbeiten zudem mit vorgefertigten Listen mit häufig verwendeten Passwörtern, die sie zuerst ausprobieren. Passwörter müssen länger sein und sowohl Groß- als auch Kleinbuchstaben, Zahlen und Sonderzeichen enthalten, um sicher genug zu sein. Wenn man dann noch eine Multi-Faktor-Authentifizierung einsetzt, ist man schon ziemlich weit", erklärt Max.

Kontrolle über Backups

Auch die Kontrolle über Ihre Backups ist zentral. Es sollte mindestens ein Backup geben, das von der Produktionsumgebung isoliert ist. So können Angreifer die Backups nicht verschlüsseln und eine Wiederherstellung der Systeme nicht verhindern. An dieser Stelle stellt sich die Frage nach den Vorteilen einer Cloud-Lösung im Vergleich zu einer lokalen Installation (On-Premise). Bei Cloud-Anwendungen muss das Unternehmen keine eigenen Server, Updates und Backups verwalten. Ein zuverlässiger Cloud-Anbieter bietet ein hohes Maß an Verfügbarkeit, Bedrohungsüberwachung und Datenverschlüsselung.

Bei einer Vor-Ort-Installation trägt das Unternehmen diese Verantwortung selbst. Die volle Kontrolle über Ihre Hardware kann als Vorteil angesehen werden. Dies setzt aber voraus, dass Sie über alle erforderlichen IT-Kenntnisse und -Ressourcen im Unternehmen verfügen. Außerdem können unerwartete Kosten für Betrieb oder Wartung entstehen.

"Wenn es zu einer Unterbrechung der Dienste kommt, kann die Reparatur einige Zeit dauern. Eventuell müssen Sie Ersatzteile bestellen, deren Lieferung lange dauert, oder Fachleute einstellen, um die Probleme zu lösen. Das sind oft Kosten, die außerhalb des Budgets liegen und im Umfang unkalkulierbar sind.

ERP in der Cloud - zum monatlichen Festpreis

Mit unserer Cloud-Lösung erhalten Sie eine umfassende und sichere ERP-Lösung ohne teure Infrastruktur- und Wartungskosten.

Die Cloud-Lösung von Monitor ERP

Strikte Zugangskontrolle durchsetzen

Viele Unternehmen können laut Max mit einem konsequenten Berechtigungsmanagement (das Null-Vertrauens-Modell und das Prinzip der geringsten Berechtigung) deutlich sicherer werden. Zero Trust ist eine Sicherheitsstrategie, die auf dem Prinzip "never trust, always verify" basiert. Keinem Gerät, Benutzer oder Anwendung sollte vertraut werden - weder innerhalb noch außerhalb des Netzwerks. Jeder Zugang zu den IT-Ressourcen des Unternehmens sollte eine Identifizierung und starke Authentifizierung erfordern. Das Prinzip der geringsten Privilegien bedeutet, dass Benutzer, Systeme und Anwendungen nur über die Rechte verfügen sollten, die zur Erfüllung ihrer Aufgaben erforderlich sind. Das reduziert das Risiko von Fehlern, Missbrauch und Schäden im Falle eines Verstoßes.

"Generell vergeben viele Unternehmen zu weitreichende Berechtigungen. Sie wissen nur ungefähr, was die einzelnen Benutzer tun, und vergeben einfach die höchsten Berechtigungen, weil das am einfachsten ist", sagt Max.

Ein weiterer Tipp ist der Aufbau eines Unternehmensportals, in dem Sie alle Anwendungen sammeln, deren Installation von einem Mitarbeiter genehmigt wurde.

IT-Richtlinie aufsetzen

Laut Max ist die günstigste und zugleich effektivste Sicherheitsmaßnahme eindeutig eine gut ausgearbeitete IT-Richtlinie. Diese gibt allen Mitarbeitern die Kontrolle darüber, wie Geräte und Dienste des Unternehmens zu nutzen sind. Die Richtlinie sollte unter anderem die Passwortverwaltung, die Nutzung von Firmencomputern und die Installation von Software regeln. Gleichzeitig darf sie nicht so starr ausfallen, dass die Mitarbeiter anfangen, sie zu umgehen. Der Spagat zwischen Sicherheit und Benutzerfreundlichkeit muss gelingen, sonst riskiert man weitere Probleme.

"Versuchen Sie, auf die Bedürfnisse der Mitarbeiter einzugehen und gemeinsam Lösungen zu finden, anstatt alles pauschal zu verbieten. Letztendlich bestimmt aber die Risikoanalyse, was man reguliert und was nicht", sagt Max.

Business-Continuity-Plan für Produktion etablieren

Ein Plan für die Kontinuität und Wiederherstellung des Geschäftsbetriebs ist unverzichtbar. Dieser soll sicherstellen, dass die Produktion während einer Störung oder eines Angriffs stabil bleibt und alle Systeme nach einer Unterbrechung wiederherstellbar sind. Der Plan sollte beispielsweise beschreiben, welche Systeme kritisch sind, wie sie priorisiert werden sollen und wer wofür zuständig ist.

"Zeit ist das A und O, wenn es darum geht, den Schaden eines Angriffs zu begrenzen. Der Geschäftskontinuitätsplan stellt sicher, dass Sie vorbereitet sind und nicht im Stich gelassen werden, wenn etwas passiert."

Leitlinien für KI-Einsatz ausarbeiten

Mit dem rasanten Anstieg generativer KI-Nutzung entstehen neue Risiken für die Datensicherheit. Bei so vielen Diensten auf dem Markt ist es keine Seltenheit, dass Mitarbeiter KI-Tools ohne das Wissen oder die Zustimmung des Unternehmens bzw. der IT-Abteilung nutzen (sogenannte Schatten-KI). Das Problem dabei ist, dass öffentliche KI-Tools die eingegebenen Daten speichern und weiterverarbeiten. Dies kann schwerwiegende Folgen haben, wenn z. B. Quellcode oder andere vertrauliche Informationen hochgeladen werden.

"Man muss sich darüber im Klaren sein, was die Mitarbeiter tun dürfen und was nicht. Es braucht klare KI-Richtlinien und Schulungen dazu, welche Dienste verwendet und welche Informationen nicht weitergegeben werden dürfen".

Eine Kultur schaffen, in der jeder die Verantwortung für die IT-Sicherheit übernehmen will und sich traut

Laut Max kann es eine gewisse Distanz zwischen der IT-Abteilung und anderen Abteilungen in einem Unternehmen geben. Allzu leicht entsteht der Eindruck, die IT-Abteilung habe alles im Griff und sei für alle Sicherheitsaspekte zuständig. Die Mitarbeiter zögern vielleicht auch, Fehler zu melden, die ihnen im Zusammenhang mit der IT-Sicherheit unterlaufen sind, da sie Konsequenzen fürchten.

"Stellen Sie sicher, dass Sie jeden, der eine Abweichung oder einen Vorfall meldet, ermutigen und nicht tadeln. Wenn sich die Mitarbeiter sicher fühlen, werden mehr Vorfälle entdeckt und verhindert.

Der Prozess zur Meldung von Abweichungen und Vorfällen muss einfach sein. Denkbar wäre zum Beispiel eine Schaltfläche, um Phishing direkt im E-Mail-Client zu melden. Ein Mitarbeiter, der etwas meldet, sollte schnell mit einer ersten Rückmeldung zu seinem Fall rechnen können. Es muss daher klar sein, wer der Empfänger und Eigentümer des Problems ist.

Nutzen Sie die Meldungen aktiv, um Ihre IT-Sicherheit weiterzuentwickeln. Sie sind für Analysen nutzbar, anhand derer Sie Systeme und Prozesse verbessern können. Teilen Sie solche Verbesserungen mit allen im Unternehmen - als konkretes Beispiel dafür, wie eine Abweichung oder ein Vorfallsbericht das Unternehmen ein wenig sicherer gemacht hat.