Woraus besteht das Mindestniveau der IT-Sicherheit für KMU im Zeitalter der künstlichen Intelligenz? Künstliche Intelligenz hat das Feld der IT-Sicherheit bereits erheblich verändert, und ihr Einfluss nimmt weiter zu. Angriffe sind raffinierter, gezielter und einfacher durchzuführen als zuvor. In diesem Blogbeitrag untersuche ich, wie IT-Sicherheit heute aussieht und welche Herausforderungen das sich schnell verändernde Umfeld für Organisationen mit sich bringt. Im August werden wir zu diesem Thema auch ein Webinar veranstalten, in dem mein Kollege Matias Haapaniemi und ich das Thema vertiefen werden. Melden Sie sich hier für das Webinar an.
Wie KI das Bedrohungsbild der IT-Sicherheit verändert
Bedrohungen für Organisationen sind nicht mehr nur zufällige Schadsoftware oder generische Phishing-Nachrichten. Angreifer nutzen künstliche Intelligenz zur Recherche von Zielorganisationen, zur Anpassung von Nachrichten, für Audio- und Video-Täuschungen sowie zur Identifizierung von Schwachstellen.
Trotz des gesamten Hypes basiert die Mehrheit der Angriffe weiterhin auf bekannten Schwachstellen: nicht aktualisierte Systeme, schwache Authentifizierung, unüberwachte Protokolle sowie Mängel in den Praktiken der eigenen Organisation und ihrer Stakeholder. Wenn die Grundlagen der IT-Sicherheit in Ordnung sind, verfügt eine Organisation nach wie vor über gute Voraussetzungen für einen effektiven Schutz.
Cybersicherheitsgesetz und EU-Regulierung als Grundlage der IT-Sicherheit
Unternehmen sind unabhängig von ihrer Branche zunehmend auch Technologieunternehmen. Die Grundpfeiler des Geschäftsbetriebs stützen sich stark auf Informationstechnologie – wenn die IT versagt, ist häufig auch die Geschäftskontinuität gefährdet. Dennoch ist die IT-Branche selbst nach wie vor relativ schwach reguliert. Vergleichen wir dies beispielsweise mit der Pharmaindustrie, in der selbst einzelne kleine Prozesse streng überwacht werden.
Meiner Meinung nach sollte es in der IT-Branche Mindestanforderungen an die IT-Sicherheit geben, unabhängig von der Größe und Kritikalität der Organisation. Anforderungen wie NIS2 würden ein Grundniveau schaffen, auf dem jede Organisation ihren eigenen Schutz und ihre Vorbereitung auf verschiedene IT-Sicherheitsvorfälle aufbauen könnte.
Die EU-Regulierung wurde dafür kritisiert, dass sie die Wettbewerbsfähigkeit der Unternehmen in den Mitgliedstaaten schwächt. Ich sehe das Gegenteil: Gut strukturierte Regulierung stärkt die Geschäftskontinuität und erhöht die Resilienz von Organisationen in verschiedenen Störungssituationen, wodurch sie einen Wettbewerbsvorteil verschafft.
Mindestniveau der IT-Sicherheit für KMU
Das Mindestniveau der IT-Sicherheit für KMU bedeutet nicht zwangsläufig ein schwerfälliges Verwaltungsmodell oder umfangreiche Investitionen, sondern einige kritische Praktiken, die wirklich in Ordnung sein müssen. Zum Mindestniveau gehören aktuelle Updates, Multi-Faktor-Authentifizierung, ausreichende Protokollierung und Überwachung, verwaltete Zugriffsrechte, funktionierende Backups, grundlegendes Change Management sowie die Fähigkeit des Personals, die gängigsten Betrugsversuche zu erkennen und in verschiedenen Störungssituationen zu handeln.
Das Minimalziel muss kein vollständiger Schutz sein, sondern ein Grundniveau, das die wahrscheinlichsten Risiken erheblich reduziert und sicherstellt, dass die Organisation auch in Störungssituationen handlungsfähig bleibt. Sind Sie unsicher, ob Ihre Grundlagen in Ordnung sind? Lassen Sie uns 15 Minuten sprechen, dann schauen wir uns die Situation gemeinsam an. Buchen Sie einen Termin in unserem Kalender!
Update-Management als Teil der Prozesse
Die meisten ausgenutzten Schwachstellen waren bereits Monate vor den Angriffswellen behebbar. Für KMU reicht ein klarer Rhythmus: Workstations und Server auf einen automatischen Update-Zyklus setzen, externe Dienste und Netzwerkgeräte regelmäßig überprüfen sowie für kritische Schwachstellen einen eigenen separaten Behandlungsprozess etablieren. Wesentlich ist, dass für Updates ein funktionierender Prozess und eine klare Verantwortlichkeit vereinbart wurden.
Protokollierung und Überwachung für mehr Transparenz
Protokolle helfen nicht, wenn niemand sie überwacht. Für KMU bedeutet das Mindestniveau, dass die Protokolle zentraler Systeme wie Microsoft 365, Entra ID, Netzwerkgeräte und Endpoint-Schutz an einem Ort gesammelt werden. Bei Abweichungen werden Alarme generiert, auf die mit geeigneten Methoden reagiert werden muss.
Härtung der Microsoft 365-Umgebung
Microsoft 365 ist für die meisten Organisationen eines der wichtigsten Systeme und gleichzeitig ein häufiges Angriffsziel. Standardeinstellungen reichen nicht aus, um die Umgebung zu schützen, und das Lizenzniveau erhöht nicht automatisch die IT-Sicherheit. Zum Mindestniveau gehören Multi-Faktor-Authentifizierung für alle Benutzer ohne unnötige Ausnahmen, Konfigurationen für bedingten Zugriff zur Einschränkung nicht identifizierter oder riskanter Anmeldungen, Blockierung von Legacy-Authentifizierung usw.
Denken Sie auch an Change Management
Change Management in KMU bedeutet kein schwerfälliges ITIL-Modell, sondern dass bekannt ist, was sich in der Umgebung ändert, wer die Änderung vorgenommen hat und auf welcher Grundlage. Als Mindestanforderung genügt, dass wesentliche Änderungen wie Zugriffsrechte, Firewall-Regeln und Integrationen über einen vereinbarten Kanal laufen, sodass sie dokumentiert werden.
Bewertung von Partnern und Lieferanten
Angriffe über Partner und Lieferanten haben zugenommen. Wenn der Zugriff auf eine Umgebung gelingt, versucht der Angreifer häufig, von dort aus zu anderen Zielen vorzudringen. Daher sollte eine Organisation eine aktuelle Liste von Partnern führen, die Zugriff auf eigene Systeme oder Daten haben, und sicherstellen, dass in den Verträgen mindestens die wesentlichen IT-Sicherheitsanforderungen sowie die Verpflichtung zur unverzüglichen Meldung von Abweichungen definiert sind.
Kenntnis der eigenen IT-Umgebung und Daten
Sie können nicht schützen, was Sie nicht kennen. Aktuelle Transparenz über verwendete Systeme, Anwendungen, Benutzerkonten sowie Standort und Kritikalität von Daten ist eine Grundvoraussetzung für IT-Sicherheit. Besondere Aufmerksamkeit sollte darauf gerichtet werden, wo sich geschäftskritische Informationen befinden, wer darauf zugreifen kann und wie sie unabhängig von der Umgebung geschützt werden.
IT-Sicherheitsschulung für Mitarbeiter
Technische Kontrollen allein reichen nicht aus, wenn das Personal Risiken im eigenen Arbeitsalltag nicht erkennt. Zum Mindestniveau gehört eine regelmäßige und praxisnahe IT-Sicherheitsschulung, in der das Personal lernt, Phishing-Nachrichten, andere Betrugsversuche und Ausnahmesituationen besser zu erkennen und weiß, wie diese schnell gemeldet werden.
Zusammenfassung: Grundlagen der IT-Sicherheit im KI-Zeitalter
Ein gutes IT-Sicherheitsniveau bedeutet keine teuren Investitionen oder schwerfälligen Prozesse. Ein starkes Fundament wird aus verwalteten Zugriffsrechten, aktuellen Updates, funktionierender Überwachung und der Fähigkeit des Personals aufgebaut, Risiken im eigenen Arbeitsalltag zu erkennen. Im Zeitalter der künstlichen Intelligenz verändern sich Bedrohungen schneller als zuvor, aber die Grundlage der IT-Sicherheit bleibt dieselbe: Kennen Sie Ihre Umgebung, schützen Sie die kritischsten Bereiche und stellen Sie sicher, dass die Grundlagen tatsächlich in Ordnung sind.
Above IT ist eine Ressource für IT-Abteilungen und hilft auch den IT-Experten Ihrer Organisation, bei der Entwicklung und Wartung der IT-Sicherheit auf dem neuesten Stand zu bleiben! Folgen Sie uns!