Fragen, die wir oft hören on SJT SOLUTIONS

Brauchen wir noch einen eigenen Server, oder geht alles in die Cloud?

Mon, 01 Jan 0001 00:00:00 +0000

Für reine Büroarbeit reicht heute oft die Cloud, meist in Form von Microsoft 365. Sobald Maschinen, ein Lager, Branchensoftware mit eigener Datenbank oder große Dateien im Spiel sind, bleibt häufig ein Teil im Haus. Die ehrliche Antwort ist fast immer eine Mischung. Und den Ausschlag gibt meist nicht der Preis, sondern die Frage, was bei euch noch geht, wenn das Internet für einen halben Tag weg ist.

Was mit „Cloud" gemeint ist

Drei Dinge, die gern in einen Topf geworfen werden:

Lohnt sich ein Sicherheitsschlüssel wie der YubiKey für unseren Betrieb?

Mon, 01 Jan 0001 00:00:00 +0000

Für die Konten, deren Verlust richtig weh täte: ja. Das sind Administratorzugänge, Microsoft 365, das Bankkonto, Werbekonten und die Verwaltung eurer Domain. Ein Sicherheitsschlüssel ist das einzige verbreitete Verfahren, das auf eine gefälschte Anmeldeseite gar nicht erst hereinfällt. Die Anschaffung ist kein großer Posten. Die Arbeit liegt darin, ihn sauber einzuführen.

Wie er funktioniert

Beim Einrichten erzeugt der Schlüssel für jeden Dienst ein eigenes Schlüsselpaar. Der geheime Teil bleibt im Gerät und lässt sich nicht auslesen. Bei der Anmeldung steckt man den Schlüssel an oder hält ihn an das Telefon und tippt kurz darauf.

Reicht ein Backup, oder müssen wir auch archivieren?

Mon, 01 Jan 0001 00:00:00 +0000

Ihr braucht beides, und zwar getrennt. Das Backup bringt euch nach einem Ausfall zurück an die Arbeit. Das Archiv belegt Jahre später, was damals vereinbart, geliefert und berechnet wurde. Wer das eine für das andere hält, hat im Ernstfall entweder keinen aktuellen Stand oder keinen Nachweis.

Zwei Aufgaben, die sich nur ähnlich anhören

	Backup	Archiv
Wozu	weiterarbeiten nach Defekt, Angriff, Versehen	nachweisen und wiederfinden
Was	der ganze Arbeitsstand: Server, Programme, Postfächer	abgeschlossene Unterlagen: Rechnungen, Verträge, Geschäftspost
Wie lange	Wochen bis Monate, dann laufen alte Stände aus	Jahre, oft gesetzlich vorgegeben
Was zählt	Tempo: Wie schnell läuft alles wieder?	Beweiskraft: Ist das Dokument unverändert und auffindbar?

Warum ein Backup kein Archiv ist

Sicherungen überschreiben sich planmäßig. Das ist so gewollt, sonst würde der Speicher nie reichen. Wer sich bei einer Prüfung darauf verlässt, dass „das doch im Backup ist", sucht eine Rechnung von vor fünf Jahren in Sicherungen, die längst gelöscht sind.

Was bringt Virtualisierung einem mittelständischen Betrieb?

Mon, 01 Jan 0001 00:00:00 +0000

Mehrere Server laufen als getrennte virtuelle Maschinen auf gemeinsamer Hardware. Das spart Geräte, Platz und Strom. Wichtiger ist aber, was im Ernstfall passiert: Eine virtuelle Maschine lässt sich sichern, auf andere Hardware verschieben und zurückholen wie eine große Datei. Bei den meisten Betrieben mit eigenem Server ist das heute der Normalfall. Die eigentliche Frage ist, ob die Umgebung gut gebaut ist.

Wie man es sich vorstellen kann

Früher hatte jede Aufgabe ihren eigenen Kasten: einen Server für die Warenwirtschaft, einen für die Dateien, einen für die Telefonanlage. Die meisten liefen die meiste Zeit fast im Leerlauf, und jeder alterte für sich.

Was gehört in ein Backup-Konzept?

Mon, 01 Jan 0001 00:00:00 +0000

Ein Backup-Konzept beantwortet fünf Fragen schriftlich: Was wird gesichert, wie lange darf ein Ausfall dauern, wo liegen die Kopien, wer schaut nach, und wann wurde zuletzt zurückgeholt. Fehlt die letzte Antwort, ist das Papier ein Plan, aber noch kein Nachweis, dass er funktioniert.

Die fünf Fragen

Was ist wichtig? Nicht nur Dateien. Dazu gehören Warenwirtschaft, Buchhaltung, Postfächer, Benutzerkonten und die Einstellungen, ohne die ein Programm nach dem Zurückspielen nicht startet. Und: Was davon braucht ihr am ersten Tag, was erst in der zweiten Woche?
Wie viel darf verloren gehen, und wie lange darf es dauern? Zwei Zahlen. Die erste sagt, ob der Stand von gestern Abend reicht oder ob es der von vor einer Stunde sein muss. Die zweite sagt, wie lange der Betrieb stillstehen darf. Fachleute nennen das RPO und RTO. Wichtig ist nur, dass jemand in eurem Betrieb die Zahlen einmal laut ausgesprochen hat, bevor es ernst wird.
Wo liegen die Kopien? Mindestens eine außerhalb des Gebäudes und außerhalb der Reichweite dessen, was sie schützen soll. Dazu gleich mehr.
Wer schaut nach? Namen, nicht Abteilungen. Und wer übernimmt, wenn diese Person im Urlaub ist?
Wann wurde zuletzt zurückgeholt? Datum, Umfang, Dauer, Ergebnis. Was ein solcher Test prüfen muss, beschreiben wir auf der Seite Backup und Wiederherstellung.

Die 3-2-1-1-0-Regel

Die gängige Faustregel für den dritten Punkt:

Was verlangt eine Cyberversicherung von unserer IT?

Mon, 01 Jan 0001 00:00:00 +0000

Vor allem Grundlagen, die ohnehin sinnvoll sind: Mehr-Faktor-Anmeldung, getrennt aufbewahrte und wiederherstellbare Backups, zeitnahe Updates, Virenschutz und Firewall, geregelte Zugriffsrechte und geschulte Mitarbeiter. Die eigentliche Falle ist nicht die Liste, sondern der Fragebogen: Eure Antworten müssen stimmen, und zwar auch noch an dem Tag, an dem der Schaden eintritt.

Was Versicherer typischerweise abfragen

Die folgende Liste haben wir mit einem Versicherungsfachmann zusammengestellt. Einzelne Anbieter weichen ab. Maßgeblich ist immer euer eigener Antrag.

Welche Passwortregeln sind heute noch sinnvoll?

Mon, 01 Jan 0001 00:00:00 +0000

Lang, für jedes Konto ein eigenes, und in einem Passwort-Manager statt im Kopf. Der Wechsel alle neunzig Tage gehört nicht mehr dazu: Das BSI hat diese Empfehlung 2020 aus seinem IT-Grundschutz gestrichen, weil sie in der Praxis zu schwächeren Kennwörtern führt. Gewechselt wird, wenn es einen Grund gibt.

Was Angreifer tatsächlich tun

Das Bild vom Hacker, der ein Kennwort errät, stimmt selten. In der Praxis kommen Kennwörter auf drei Wegen abhanden:

Wie kann ein Konto trotz Zwei-Faktor-Anmeldung gehackt werden?

Mon, 01 Jan 0001 00:00:00 +0000

Meistens über den zweiten Faktor selbst. Ein SMS-Code lässt sich abfangen oder umleiten. Und jeder Code, den ein Mensch abtippt, lässt sich auf einer gefälschten Anmeldeseite genauso abtippen wie auf der echten. Zwei-Faktor-Anmeldung ist deshalb nicht gleich Zwei-Faktor-Anmeldung. Wirklich schützt nur ein Verfahren, das selbst prüft, auf welcher Seite es gerade antwortet.

Ein Fall aus unserem eigenen Haus

Einer Kollegin aus unserem Marketing ist genau das passiert, mit eingeschalteter Zwei-Faktor-Anmeldung per SMS.

Wo kann ein Betrieb bei der IT sparen, und wo wird es gefährlich?

Mon, 01 Jan 0001 00:00:00 +0000

Sicher gespart wird bei dem, was bezahlt, aber nicht genutzt wird: Lizenzen, Abos, doppelte Werkzeuge, zu groß gebuchte Pakete. Gefährlich wird es bei Datensicherung, Updates und Überwachung. Dort fällt die Ersparnis erst auf, wenn sie teuer geworden ist.

Drei Stellen, die fast immer etwas hergeben

Lizenzen und Abos. Die Liste wächst leise. Ein Werkzeug für ein Projekt, das längst abgeschlossen ist. Eine Testversion, die still in ein Abo übergegangen ist. Und fast immer: Konten von Mitarbeitern, die den Betrieb verlassen haben, aber weiter eine volle Microsoft-365-Lizenz belegen.