Viele Unternehmen stellen sich einen Angriff so vor, dass jemand die Absicherung des Servers durchbricht. In der Praxis beginnt er mit einer Nachricht, die ganz gewöhnlich aussieht: eine Rechnung des langjährigen Lieferanten mit neuer Kontonummer oder die Bitte, sich dringend anzumelden. CERT Polska registrierte 2025 genau 260 783 Vorfälle, 152 Prozent mehr als im Jahr davor, und 97 Prozent davon waren Betrugsfälle. Deshalb beginnt diese Seite bei den Menschen und nicht bei einer Produktliste.
Wir trennen das von den Nachbarseiten, damit nichts doppelt gesagt wird. Netzwerkrand, Firewall und das, was von außen sichtbar ist, beschreiben wir beim sicheren Firmennetz. Sicherungen und Wiederherstellung gehören zum Backup, der Schutz der Arbeitsplätze zu Sophos. Hier steht, was diese Schichten verbindet: Menschen, die Reihenfolge der Ausgaben und die Reaktion, wenn es passiert ist. In Kanzleien beginnen wir meist mit der Verschlüsselung der Laptops, weil die Technik zu Gericht fährt; ausführlicher unter IT für Anwaltskanzleien.
Drei Szenarien, die sich in polnischen Unternehmen am häufigsten wiederholen. Keines davon erfordert das Knacken einer Absicherung, alle brauchen eine Person, die gerade in Eile ist.
Sie kommt von einem Lieferanten, mit dem Sie seit Jahren arbeiten, in einem bereits laufenden Verlauf. Eines ändert sich: die Kontonummer, mit dem Hinweis auf einen Bankwechsel. Die Überweisung geht raus, weil alles andere stimmt, und das Geld ist weg, bevor es jemand bemerkt.
Eine Nachricht über ein ablaufendes Passwort oder eine zurückgehaltene Mail, der Link führt zu einer Kopie des Postfachs. Nach Eingabe des Passworts passiert scheinbar nichts, und genau deshalb meldet es niemand. Das Postfach wird übernommen und der Angreifer liest wochenlang mit.
Eine kurze Nachricht des Geschäftsführers oder Inhabers, meist freitagnachmittags: vertrauliche Sache, schnelle Überweisung nötig, Kontakt nur per Mail. Es wirken der Zeitdruck und der Umstand, dass in den meisten Firmen niemand bei einer Person auf dieser Ebene nachfragt.
Dagegen hilft keine Software, denn es geht nichts kaputt und es infiziert sich nichts. Es helfen drei einfache Dinge: die Regel, dass eine geänderte Kontonummer telefonisch unter einer vorher bekannten Nummer bestätigt wird und nicht unter der aus der Nachricht; ein zweiter Anmeldefaktor, am besten ein Hardwareschlüssel, damit ein erbeutetes Passwort nicht mehr ausreicht; und eine sichtbare Kennzeichnung externer Mails, damit man ein Vortäuschen des Kollegen vom Nachbartisch sofort erkennt.
Ein Unternehmen mit vierzig Arbeitsplätzen führt nicht alles auf einmal ein und muss es auch nicht. Die Reihenfolge zählt mehr als die Zahl der Werkzeuge, denn die ersten drei Punkte nehmen den größten Teil des Risikos weg.
Ein zweiter Anmeldefaktor bei Mail und Fernzugriff, Ordnung in den Berechtigungen und der Entzug lokaler Administratorrechte dort, wo sie nicht gebraucht werden. Das ist der günstigste Schritt und zugleich der, der den häufigsten Weg hinein schließt: das erbeutete Passwort.
Eine Sicherung am selben Netz und mit denselben Passwörtern wird mitverschlüsselt. Nötig ist eine zweite, vom Umfeld getrennte Kopie, und dazu das, was gern vergessen wird: die Prüfung, nach wie vielen Stunden man damit tatsächlich wieder arbeiten kann.
Endpunktschutz, Firewall, Mailfilter und Monitoring werden gebraucht, zuerst gekauft erzeugen sie aber Ruhe neben einer offenen Tür. Wir wählen sie nach den beiden ersten Schritten aus, wenn sichtbar ist, was tatsächlich noch abzusichern bleibt.
Diese Reihenfolge halten wir auch dann ein, wenn der Auftrag dadurch kleiner ausfällt, denn einer Firma ein komplettes Werkzeugpaket ohne geordnete Konten zu verkaufen ist der einfachste Weg, ein Jahr später festzustellen, dass das Geld nichts gebracht hat. Bestehen Vorgaben aus dem nationalen Cybersicherheitsgesetz oder aus einem Sicherheitsfragebogen eines Auftraggebers, beginnen wir dort, weil die Frist die Reihenfolge vorgibt. Dazu schreiben wir bei den neuen Vorschriften.
Der größte Schaden entsteht nicht im Moment des Angriffs, sondern in den ersten Stunden nach seiner Entdeckung, wenn jemand in bester Absicht etwas Unumkehrbares tut.
Verdächtige Dateien und Protokolle nicht löschen, sie sind die einzige Spur dessen, was geschehen ist und ob Daten abgeflossen sind. Keine Sicherung in eine infizierte Umgebung zurückspielen, sie kommt samt Problem zurück. In der ersten Panikstunde kein Lösegeld zahlen, eine Zahlung garantiert nichts.
Betroffene Rechner vom Netz trennen, aber nicht ausschalten. Passwörter ändern und aktive Sitzungen beenden, beginnend bei Konten mit Berechtigungen. Uhrzeiten und Symptome notieren, denn in zwei Tagen rekonstruiert das niemand aus dem Gedächtnis, und es wird für die Meldung und den Versicherer gebraucht.
Sind personenbezogene Daten abgeflossen, wird die Verletzung der Datenschutzbehörde ohne unangemessene Verzögerung gemeldet, möglichst binnen 72 Stunden nach Kenntniserlangung. Bei hohem Risiko sind auch die betroffenen Personen zu benachrichtigen. Die Frist läuft ab der Feststellung, nicht ab dem Abschluss der Analyse.
Ransomware ist in Polen kein Massenphänomen, CERT Polska verzeichnete 2025 genau 179 solcher Fälle, doch jeder einzelne legt ein Unternehmen für mehrere Tage lahm. Deshalb halten wir den Plan für diese ersten Stunden vorab fest, auf zwei Seiten, mit Telefonnummern und der Reihenfolge der Schritte. Ein Blatt aus der Schublade ist in so einer Lage mehr wert als das beste Werkzeug, dessen Passwort niemand mehr weiß. Gesundheitsdaten behandeln wir gesondert, denn sie sind eine besondere Kategorie, und ein Vorfall in einer medizinischen Einrichtung bedeutet meist zwei Meldungen statt einer.
Keine davon wirkt allein. Unter jeder Beschreibung steht ein Verweis auf die Seite, die diese Schicht im Detail behandelt.
Erkennen und Blockieren von Bedrohungen auf Rechnern und Servern, mit einer Konsole statt zwanzig einzelnen Installationen, bei denen niemand weiß, ob sie noch laufen.
Firewall, Aufteilung des Netzes in Zonen und Ordnung darin, was von außen sichtbar ist. Ein nach außen offener Remotedesktop bleibt einer der häufigsten Wege hinein.
Eine lokale Kopie und eine zweite außer Haus, mit Wiederherstellungstest. Wir prüfen nicht, ob die Sicherung lief, sondern nach wie vielen Stunden die Firma wieder arbeitet.
Hardwareschlüssel und Authenticator-Apps. Ein Passwort lässt sich in zwei Minuten abgreifen, ein Schlüssel liegt physisch nicht auf der anderen Seite der Nachricht.
Kontrolle darüber, wer administrativen Zugang hat und was er damit tut, einschließlich der Zugänge externer Firmen, oft die breiteste und am wenigsten beaufsichtigte Tür.
Die Prüfung, was tatsächlich eingeschaltet und nicht nur gekauft ist und wie die Umgebung von außen aussieht. Meist der günstigste Weg herauszufinden, wo man anfängt.
Was wir nicht tun: Wir betreiben weder ein eigenes nachts besetztes Überwachungszentrum noch IT-Forensik nach einem schweren Angriff, denn beides verlangt ein Team anderer Größe. Bei einem großen Vorfall helfen wir, die Lage in den Griff zu bekommen, und arbeiten mit einer auf Analyse nach Einbrüchen spezialisierten Firma zusammen. Das sagen wir von Anfang an, statt die Grenzen unserer Möglichkeiten im denkbar schlechtesten Moment zu entdecken.
Vier Schritte, der erste ist kostenlos und endet mit einer Liste, die unabhängig von allen weiteren Entscheidungen bei Ihnen bleibt.
Wir prüfen Konten und Berechtigungen, den Stand der Sicherungen, was von außen sichtbar ist und was gekauft, aber abgeschaltet ist. Ergebnis ist eine nach Schwere geordnete Risikoliste mit den Kosten neben jedem Punkt.
Wir beginnen mit dem, was keine Anschaffungen verlangt: zweiter Anmeldefaktor, Entzug überflüssiger Berechtigungen, Schließen dessen, was nicht aus dem Netz sichtbar sein muss. Hier fällt in der Regel der größte Teil des Risikos weg.
Wir ergänzen, was fehlt: Endpunktschutz, eine zweite Kopie außer Haus, Ordnung am Netzwerkrand. Wir teilen das in Etappen, damit sich auch die Kosten verteilen und das Team Zeit zur Gewöhnung hat.
Wir halten fest, wer in den ersten Stunden was tut und welche Nummern er wählt, und einmal im Jahr prüfen wir eine Wiederherstellung und die Berechtigungen. Sicherheit ist kein Projekt mit Enddatum, sondern etwas, das man aufrechterhält.
Seiten, die im Gespräch über Sicherheit immer wieder auftauchen.
Niemand Bestimmtes, und genau das ist das Problem. Das meiste, was polnische Firmen trifft, richtet sich nicht namentlich gegen jemanden: Es sind Massennachrichten und Automaten, die nach von außen erreichbaren Diensten suchen. Ein kleines Unternehmen ist kein Ziel, sondern ein Zufallstreffer, und die Folgen sind oft schwerer, weil seltener eine geprüfte Sicherung und jemand da ist, der die ersten Stunden kennt.
Bei den heute vorherrschenden Szenarien nein, denn es gibt nichts zu erkennen. Wenn ein Mitarbeiter sein Passwort selbst auf einer nachgebauten Seite eingibt oder auf eine ausgetauschte Kontonummer überweist, meldet keine Software eine Bedrohung, weil sich nichts installiert hat. Endpunktschutz wird gebraucht, aber als eine Schicht von mehreren und nicht als gesamte Absicherung.
Wir nennen keine einzelne Summe, denn die ersten und wirksamsten Schritte kosten meist nichts außer Arbeit: den zweiten Anmeldefaktor einschalten, überflüssige Administratorrechte entziehen, schließen, was unnötig aus dem Internet sichtbar ist. Ausgaben beginnen bei Schutzlizenzen und der zweiten Kopie außer Haus, und deren Größenordnung nennen wir nach der kostenlosen Überprüfung.
Sofort dieses Passwort ändern und alle aktiven Sitzungen beenden, denn das Passwort allein genügt nicht, wenn der Angreifer bereits eine offene Sitzung hat. Danach die Weiterleitungsregeln im Postfach prüfen, denn das Erste nach einer Übernahme ist oft das stille Kopieren der Korrespondenz an eine fremde Adresse. Und die Person, die sich gemeldet hat, nicht bestrafen, sonst tut es die nächste nicht mehr.
Nicht jeder. Die Meldepflicht bei der Datenschutzbehörde betrifft Verletzungen des Schutzes personenbezogener Daten und entfällt, wenn ein Risiko für die Betroffenen unwahrscheinlich ist, etwa bei wirksam verschlüsselten Daten. Die Bewertung muss dennoch erfolgen und dokumentiert werden, und für die Meldung gilt die Frist von 72 Stunden ab Kenntnis. Das ist eine rechtliche Entscheidung, bei ernsteren Fällen gehört daher ein Jurist mit an den Tisch.
Ja, sofern es nicht eine einstündige Präsentation einmal im Jahr ist. Besser wirkt eine kurze Regel, die man sich merkt, etwa dass eine geänderte Kontonummer immer telefonisch unter einer vorher bekannten Nummer bestätigt wird. Ebenso wichtig ist ein offener Weg, verdächtige Nachrichten zu melden, denn der schlimmste Fall ist ein Mitarbeiter, der etwas bemerkt hat und lieber schwieg.
Wir prüfen, was von außen sichtbar ist, und sehen die Konfiguration durch, vollständige Penetrationstests mit einem Bericht für den Auditor führen wir jedoch nicht selbst durch. Wird das verlangt, meist über einen Sicherheitsfragebogen eines Auftraggebers, arbeiten wir mit einem externen Team und helfen bei der Umsetzung der Funde. Einen Test zu kaufen, bevor Konten und Sicherungen geordnet sind, ist meist Geld zur falschen Zeit.
Nein. Ein Teil der Firmen bestellt bei uns nur die Überprüfung samt Empfehlungen, die anschließend das eigene Team oder der bisherige Dienstleister umsetzt. Zeigt das Ergebnis, dass einige Korrekturen genügen, sagen wir das offen, statt bei der Gelegenheit einen Dauervertrag zu verkaufen.
Das erste Treffen dauert 30 Minuten und verpflichtet zu nichts. Wir sagen Ihnen klar, ob wir helfen können und was wir vorschlagen würden.
2019 - 2024 Interactive Workspace Sp. z o.o. - Wszystkie prawa zastrzeżone.