- Zugänge absichern und Berechtigungen gezielt vergeben
Wer benötigt welche Informationen für welche Aufgabe? Diese Frage sollte sich in den Zugriffsrechten widerspiegeln. Nicht jede Person im Unternehmen braucht Zugriff auf jeden Vorgang.
Personenbezogene Benutzerkonten erleichtern die Zuordnung von Berechtigungen. Bei einem Aufgabenwechsel oder Ausscheiden sollten Zugriffe überprüft und angepasst werden. Für die Absicherung von Konten kann eine zusätzliche Authentisierungsebene einen wichtigen Beitrag leisten. Das BSI erläutert, wie die Zwei-Faktor-Authentisierung den Kontozugang zusätzlich schützt.
Auch Veränderungen gehören in die Planung: Wer ein neues Smartphone erhält, sollte die Einrichtung seiner Anmeldemethoden mit der IT abstimmen und den Zugang testen, bevor das bisherige Gerät außer Betrieb genommen wird.
- Kundendaten über geeignete Wege austauschen
Im Arbeitsalltag zählt oft jede Minute. Gerade deshalb sollten geeignete Übertragungswege eindeutig festgelegt und einfach nutzbar sein.
Für die Bereitstellung von Beratungsunterlagen bedeutet das beispielsweise: einen vom Unternehmen freigegebenen Dienst verwenden, den vorgesehenen Empfängerkreis prüfen und nur die erforderlichen Rechte vergeben. Eine zeitlich begrenzte Freigabe kann sinnvoll sein, wenn der Zugriff nur für einen bestimmten Vorgang benötigt wird.
Vor dem Teilen lohnt sich ein kurzer Check: Ist die richtige Datei ausgewählt? Passt der Empfänger? Werden tatsächlich alle enthaltenen Informationen benötigt?
Solche Prüfungen sollten sich möglichst natürlich in den Ablauf einfügen. Wenn der vorgesehene Weg verständlich und praktikabel ist, fällt es leichter, ihn konsequent zu nutzen.
- Ungewöhnliche Nachrichten bewusst prüfen
Eine vermeintliche Dokumentenfreigabe, eine dringende Rückfrage oder die Aufforderung zur erneuten Anmeldung: Nachrichten können genau an den Aufgaben ansetzen, die im Beratungsalltag ohnehin vorkommen.
Der entscheidende Prüfpunkt ist deshalb nicht allein die sprachliche Qualität. Wurde die Nachricht erwartet? Passt die Aufforderung zum bisherigen Vorgang? Führt der Link tatsächlich zum vorgesehenen Dienst?
Bei Zweifeln hilft eine Rückfrage über einen bereits bekannten Kontaktweg. Verdächtige Nachrichten sollten nach dem vorgesehenen internen Verfahren gemeldet werden. Die Phishing-Checkliste von BSI und Polizei bietet dazu weitere Orientierung.
- Zuständigkeiten und Störungsfälle mitdenken
Auch gut organisierte Prozesse können gestört werden. Deshalb sollte vorab klar sein, an wen sich Mitarbeitende wenden können, wenn eine verdächtige Anmeldung erscheint, ein Gerät verloren geht oder Unterlagen versehentlich falsch geteilt wurden.
Ein bekannter Meldeweg erleichtert eine schnelle Reaktion. Ebenso wichtig ist eine Arbeitskultur, in der Unsicherheiten früh angesprochen werden können.
Auf Unternehmensebene gehören dazu auch gepflegte Systeme, geregelte Updates und eine geeignete Datensicherung. Das BSI bündelt grundlegende organisatorische und technische Ansatzpunkte in seinen zehn Tipps zur Cyber-Sicherheit für Unternehmen.
