Einbrüche in Firmen beginnen selten mit einem raffinierten Angriff. Sie beginnen mit einem Remotedesktop, der auf einem Port offen steht, einem Routerpanel mit Werkskennwort oder einem VPN Konto eines Mitarbeiters, der vor zwei Jahren gegangen ist. Diese Seite handelt vom Rand des Netzes, also davon, was aus dem Internet zu sehen ist und wer von außen hereinkommt. Das Innere, also Verkabelung, Switches und das Firmennetz samt WLAN, behandeln wir getrennt.
Wir beginnen meist mit einer Sache, die nichts kostet: Wir sehen von außen nach, was Ihre Firma der Welt zeigt, und legen es als Liste vor. Manchmal ist die Liste leer, dann sagen wir das offen, statt eine neue Firewall zu verkaufen. Häufiger stehen zwei oder drei Punkte darauf, von denen niemand in der Firma wusste, weil sie einmal kurz für eine einzige Einführung eingeschaltet wurden.
Drei Dinge, die wir am häufigsten finden und die in jeder Firma gleich aussehen. Keines davon entstand aus bösem Willen, alle aus Eile.
Der häufigste Weg, auf dem Ransomware in eine kleine Firma gelangt. Jemand brauchte einmal Zugriff von zu Hause, der Port wurde für einen Abend geöffnet und ist es bis heute. Automaten scannen solche Ports ununterbrochen und probieren Kennwörter, und der Server meldet das niemandem.
Ein Kamerarekorder, der freigegeben wurde, damit die Geschäftsführung die Halle vom Telefon aus sieht, trägt sehr oft noch das Standardkennwort und eine mehrere Jahre alte Firmware. Aus demselben Netzsegment ist dann auch der Dateiserver sichtbar, weil der Installateur keinen Grund hatte, das zu trennen.
Ein VPN ist die richtige Richtung, doch wenn dafür ein Kennwort genügt, entweicht es mit jedem Mitarbeiterkennwort. Dazu kommen aktive Konten von Personen, die nicht mehr da sind, weil beim Austritt niemand den Punkt Fernzugang entziehen auf der Liste hatte.
Eines lohnt sich zu verstehen: Diese drei Punkte kosten in der Behebung weit weniger als eine neue Firewall und nehmen den größeren Teil des Risikos weg. Deshalb gehen wir in dieser Reihenfolge vor. Ein Austausch der Hardware ist manchmal nötig, ist aber selten der erste Schritt und ersetzt nie das Aufräumen der Zugänge. Dasselbe Prinzip wenden wir außerhalb des Netzes an, bei der gesamten Reihenfolge der Sicherheitsausgaben. Der schärfste Fall für die Trennung ist ein Produktionswerk, wo auf der einen Seite Maschinensteuerungen stehen, die nicht aktualisiert werden dürfen; wir schlüsseln das unter IT für Produktionsbetriebe auf.
Die Novelle des polnischen Gesetzes über das nationale System der Cybersicherheit, die die EU Richtlinie NIS2 umsetzt, trat am 3. April 2026 in Kraft. Für einen Teil der Firmen ist das eine neue Pflicht, für viele andere sind es neue Fragen ihrer Kunden.
Der behördliche Bescheid, der betroffene Einrichtungen benannte, ist entfallen, an seine Stelle trat die Selbsteinstufung. Die Vorschriften erfassen achtzehn Sektoren, unterteilt in wesentliche und wichtige Einrichtungen, die Pflicht kann also eine Firma treffen, die damit nie zu tun hatte.
Der Antrag auf Eintrag in das KSC Register ist bis zum 3. Oktober 2026 zu stellen. Die Pflichten selbst, also ein Managementsystem für Informationssicherheit, die Behandlung von Vorfällen und die Fortführung des Betriebs, sind bis 3. April 2027 fällig, das erste Audit wesentlicher Einrichtungen bis 3. April 2028.
Betroffene Firmen müssen das Risiko ihrer Lieferanten berücksichtigen, die Anforderungen wandern also nach unten zu den Unterauftragnehmern. Wenn Sie an ein Krankenhaus, einen Energieversorger oder einen großen Hersteller liefern, kommt der Fragebogen zu Ihren Sicherungen auch dann, wenn das Gesetz Sie nicht erfasst.
Ein ehrlicher Vorbehalt: Wir sind keine Kanzlei und entscheiden nicht für Sie, ob Sie eine wesentliche Einrichtung sind, eine wichtige oder keine von beiden. Das ist eine Rechtsfrage und so behandeln wir sie. Wir machen dagegen den technischen Teil, nach dem ohnehin jeder Prüfer und jeder Kundenfragebogen fragt: wer Zugang von außen hat, wodurch er geschützt ist, was aufgezeichnet wird und nach welcher Zeit Sie Daten nach einem Ausfall wiederherstellen. Der Einsatz ist gestiegen, denn die Strafen reichen nun bis 10 Mio. Euro oder 2 Prozent des Umsatzes bei wesentlichen Einrichtungen, und die Verantwortung erfasst auch die Leitung. Ausdrücklich genannt ist auch das Gesundheitswesen, wo die Schwellen anders gezählt werden und sogar Unterauftragnehmer eines Krankenhauses erfassen, was wir unter IT für medizinische Einrichtungen aufschlüsseln. Der Kalender der Eintragung, der Unterschied zwischen wesentlicher und wichtiger Einrichtung und die Abgrenzung zur DORA-Verordnung stehen auf der Seite zur KSC-Novelle.
Sechs Dinge, mit denen wir beginnen. Jedes lässt sich einzeln beauftragen, doch die Reihenfolge zählt und ist meist genau diese.
Wir prüfen, welche Dienste Ihr Anschluss der Welt zeigt und welche davon dort nichts zu suchen haben. Das Ergebnis ist eine nach Dringlichkeit geordnete Liste und kein Bericht über hundert Seiten, den niemand liest.
Wir wählen das Gerät nach Größe der Firma, setzen die Regeln und achten auf die Abonnements, denn abgelaufener Schutz ist eine Firewall, die leuchtet, aber nicht mehr schützt. Bei vernünftiger Hardware bleiben wir dabei, statt sie zu tauschen.
Wir schließen offene Ports und ersetzen sie durch einen Tunnel mit persönlichen Konten, damit der Austritt eines Mitarbeiters ein Klick ist und nicht das Ändern eines Kennworts, das alle kannten.
Ein Kennwort genügt beim Zugang von außen und bei der Post nicht mehr. Wir führen die Bestätigung per App oder Sicherheitsschlüssel dort ein, wo der Einsatz am höchsten ist, also bei Leitung und Buchhaltung.
Der Rand hilft nicht, wenn die Gefahr im Anhang einer Rechnung kommt. Schutz für Arbeitsplätze und Server in einer Konsole gibt das, was am meisten fehlt: ein Signal, dass etwas geschieht, bevor der erste Benutzer anruft.
Kameras, Terminals und Gäste müssen den Dokumentenserver nicht sehen. Die Aufteilung in Zonen begrenzt einen Einbruch auf einen Teil der Firma, und da dies Arbeit im Inneren ist, beschreiben wir sie getrennt.
Was wir nicht versprechen: dass nach unserer Arbeit niemand mehr bei Ihnen einbricht. Diese Garantie gibt niemand, der ehrlich ist. Wir versprechen, dass die leichten Wege hinein geschlossen werden, dass Sie einen Versuch sehen, statt davon vom Kunden zu erfahren, und dass es nach dem schlimmsten Fall etwas gibt, woraus die Firma wieder entsteht, denn Sicherungen gehören für uns zum selben Bild.
Ohne großes Projekt zu Beginn. Zuerst das Dringende und Günstige, erst dann das Gespräch über Hardware.
Wir prüfen, was aus dem Internet sichtbar ist, und gehen die Liste der Konten mit Fernzugang durch. Das ist ein Termin, nach dem Sie wissen, wo Sie stehen, und damit zu wem auch immer gehen können.
Wir schalten unnötig freigegebene Dienste ab, entziehen ehemaligen Mitarbeitern den Zugang und ändern Werkskennwörter auf den Geräten. Das passt meist in einige Arbeitsstunden und verlangt keine Anschaffungen.
Wir richten ein VPN mit persönlichen Konten und Anmeldebestätigung ein, ordnen die Regeln der Firewall, und wenn das Gerät keine Herstellerunterstützung mehr hat, schlagen wir den Austausch mit Preis und Termin vor.
Updates, auslaufende Abonnements und die Durchsicht der Zugänge laufen im Turnus, denn die Liste der Zugänge verschiebt sich in jeder Firma nach einigen Monaten. Dieser Punkt geht ins Abo oder bleibt bei Ihnen, wenn Sie jemanden dafür haben.
Eine Halle mit Terminals, eine Praxis mit Patientendaten und eine Kanzlei mit Akten tragen andere Risiken und andere Anforderungen. Sehen Sie, wie es bei Ihnen aussieht.
Die Seiten, die sich am häufigsten mit der Netzsicherheit verbinden.
Ein Anbieterrouter genügt meist dafür, dass das Internet läuft, gibt Ihnen aber keinen Blick darauf, wer von außen hereinkommt, und keine Möglichkeit, das Netz in Zonen zu teilen. Wir prüfen zuerst, was durch ihn sichtbar ist, und sagen erst dann, ob er ersetzt werden muss. Manchmal genügt es, die Konfiguration des Vorhandenen zu berichtigen.
Die ersten zwei Schritte, Durchsicht und Schließen des Dringenden, passen meist in einige Arbeitsstunden und verlangen keine Anschaffungen. Kosten entstehen bei der Firewall und ihrem Abonnement, und das hängt von der Zahl der Personen und vom Anschluss ab. Den Preis nennen wir nach der Durchsicht, ohne sie wäre er geraten.
Das muss eine Firma heute selbst beurteilen, denn die Vorschriften brachten die Selbsteinstufung statt eines behördlichen Bescheids und erfassen achtzehn Sektoren. Die rechtliche Bewertung liegt nicht bei uns, der technische Teil schon. Vorbereiten lohnt sich ohnehin, denn die Anforderungen wandern die Lieferkette hinunter und kommen in Fragebögen größerer Kunden an.
Über einen Tunnel mit persönlichem Konto für jede Person und einer Anmeldung, die ein zweiter Faktor bestätigt, nicht über einen zum Remotedesktop offenen Port. Dann ist der Austritt eines Mitarbeiters ein Klick, und das Entweichen seines Kennworts bedeutet keinen Weg in die Firma. Die Einrichtung dauert meist einen Arbeitstag.
Meist nicht. Weichen muss Hardware, die vom Hersteller keine Updates mehr erhält, denn sie lässt sich nicht sicher betreiben. Der Rest braucht häufiger eine richtige Konfiguration und Pflege als einen Austausch, und wir verdienen nichts daran, Sie vom Gegenteil zu überzeugen.
Wir trennen den betroffenen Teil des Netzes ab, sichern die Spuren und stellen Daten aus der Sicherung wieder her, während wir klären, wodurch die Gefahr hereinkam, damit sie nicht denselben Weg zurücknimmt. Deshalb ist eine geprüfte Sicherung Teil dieser Leistung und kein eigenes Thema. Vom Gesetz erfasste Firmen haben für die erste Meldung 24 Stunden.
Hier geht es um den Rand, also Firewall, Zugang von außen und das, was aus dem Internet sichtbar ist. Auf der Seite zu Firmennetzen geht es um das Innere, also Verkabelung, Switches, WLAN und die Aufteilung in Zonen. In der Praxis machen wir oft beides im selben Projekt, beschreiben es aber getrennt, damit Sie nur bestellen können, was Sie brauchen.
Das erste Treffen dauert 30 Minuten und verpflichtet zu nichts. Wir sagen Ihnen klar, ob wir helfen können und was wir vorschlagen würden.
2019 - 2024 Interactive Workspace Sp. z o.o. - Wszystkie prawa zastrzeżone.