Software zu aktualisieren ist die am häufigsten wiederholte Sicherheitsmassnahme, und wahrscheinlich die am schlechtesten umgesetzte. Nicht aus Nachlässigkeit: weil der einfache Teil, auf «Installieren» zu klicken, den schwierigen Teil verdeckt, nämlich zu wissen, was im Unternehmen tatsächlich läuft.
Ein KMU aktualisiert seine Computer. Fast immer vergisst es den vor sechs Jahren installierten Router, den Netzwerkdrucker, den NAS, auf dem die Baupläne liegen, und die Verwaltungssoftware, die eine alte Windows-Version voraussetzt.
Was ist eine Sicherheitslücke, einfach erklärt?
Software ist ein hergestelltes Produkt, und wie jedes hergestellte Produkt enthält sie Fehler. Eine Sicherheitslücke (oder Schwachstelle) ist ein besonderer Fehler: Sie erlaubt es jemandem, das Programm zu einem Verhalten zu bewegen, das dessen Entwickler nicht vorgesehen hatte. Eine Datei lesen, auf die er kein Recht hat, einen Befehl ausführen, eine Passwortabfrage umgehen.
Diese Fehler werden nicht von Angreifern hinzugefügt. Sie sind von Anfang an da, manchmal seit Jahren, und irgendjemand entdeckt sie schliesslich. In diesem Moment schreibt der Software-Hersteller eine Korrektur und veröffentlicht sie: das ist das Update. Es macht Ihr System nicht leistungsfähiger, es schliesst ein Loch.
Daher ein Punkt, der Unternehmensleiter oft überrascht: Es gibt keine Möglichkeit, sich vor einer Sicherheitslücke zu schützen, ohne den Patch zu installieren. Ein Antivirenprogramm, eine Firewall oder ein sicheres Passwort ersetzen die Reparatur nicht, sie erschweren nur den Zugang zum offen gebliebenen Loch.
Warum zählt die Zeit so sehr?
Wenn ein Hersteller einen Patch veröffentlicht, veröffentlicht er implizit auch die Existenz des Fehlers, den er behebt. Die Patches werden analysiert, auch von Personen mit schlechten Absichten, die daraus genau ableiten, was verwundbar war und wie man es ausnutzt.
Von diesem Moment an läuft das Rennen. Automatisierte Programme durchsuchen das Internet fortlaufend nach Geräten, die noch nicht aktualisiert wurden. Sie zielen auf niemanden Bestimmten: Sie testen alles, was antwortet, und ein KMU mit sechs Mitarbeitenden ist ein genauso gültiges Ziel wie ein Grosskonzern, manchmal sogar mehr, weil es länger braucht, um zu reagieren.
Bei den am stärksten exponierten Sicherheitslücken, jenen, die direkt aus dem Internet erreichbare Geräte betreffen, folgen die ersten grossangelegten Ausnutzungsversuche der Veröffentlichung des Patches sehr rasch. Ein Update, das auf «die nächste ruhige Phase» verschoben wird, wird oft über das nützliche Zeitfenster hinaus verschoben. Das ist das entscheidende Argument für die Automatisierung: Sie beseitigt die menschliche Verzögerung.
Automatische Updates auf Arbeitsplatzrechnern, Telefonen und Browsern zu aktivieren dauert wenige Minuten und löst einen Grossteil des Problems. Es ist die rentabelste Massnahme der gesamten Cybersicherheit eines KMU.
Die Geräte, die alle vergessen
Der Reflex «Update» gilt für Computer. Dort hört er auf, obwohl das Netzwerk eines KMU eine Menge an Geräten enthält, die ebenfalls Software ausführen, unter dem Namen Firmware.
| Gerät | Was es offenlegt | Was seine Aktualisierung verhindert |
|---|---|---|
| Internetbox oder Router | Eingangstor zum gesamten Netzwerk | Einmal installiert, nie wieder geöffnet |
| NAS, Dateiserver | Sämtliche Dokumente | Verwaltungsoberfläche wird kaum aufgerufen |
| Multifunktionsdrucker | Gescannte Dokumente, Adressbuch, manchmal weitreichender Netzwerkzugang | Niemand betrachtet ihn als Computer |
| Überwachungskameras | Interne Bilder, Fernzugriff | Vom Installateur eingerichtet und vergessen |
| Steuerungen, vernetzte Maschinen | Die Produktion selbst | Angst, ein laufendes Gerät zu beschädigen |
| Private Telefone | Geschäftliche E-Mails und Dokumente | Privates Material, ausserhalb der Kontrolle des Unternehmens |
Zwei Fälle verdienen besondere Aufmerksamkeit. Überwachungskameras und einfache Netzwerkgeräte werden regelmässig von automatisierten Angriffen ins Visier genommen, oft weil sie neben ihrer werkseitigen Firmware auch noch ihr werkseitiges Passwort behalten. Und private Telefone, die beruflich genutzt werden, entgehen der Inventarisierung komplett: Ein Gerät, das keine Patches mehr erhält und das Postfach der Geschäftsleitung liest, ist ein ernstzunehmender blinder Fleck.
Diese Geräte sind auch das klassische Einfallstor für eine umfassendere Kompromittierung, wie unsere Artikel zu Ransomware und zur Kompromittierung von E-Mail-Konten beschreiben.
Was tun, wenn ein Update nicht möglich ist?
Es gibt Situationen, in denen eine Aktualisierung keine Option ist. Eine Fachsoftware, die nur auf einer alten Windows-Version läuft. Eine Produktionsmaschine, die von einem System gesteuert wird, das der Hersteller nicht mehr betreut. Ein Buchhaltungsprogramm, dessen aktuelle Version eine vollständige Migration kosten würde.
In diesen Fällen ist die falsche Antwort, abzuwarten und zu hoffen. Die richtige Antwort trägt einen Namen: Isolierung. Das Prinzip ist einfach: Da man das Loch nicht schliessen kann, schränkt man alles ein, was es erreichen kann, und alles, was zu ihm gelangen kann.
Konkret bedeutet das, das Gerät vom Rest des Netzwerks zu trennen, damit ein anderswo infizierter Rechner es nicht erreichen kann. Ihm den Internetzugang zu kappen, wenn der Betrieb das zulässt. Die zur Verbindung berechtigten Konten einzuschränken. Wechseldatenträger zu verbieten. Und dieses Gerät mit der gleichen Sorgfalt zu sichern wie den Rest, nach der 3-2-1-Regel.
Illustratives Szenario. Eine zwanzigköpfige Werkstatt betreibt eine Schneidemaschine mit einem Rechner unter einer Windows-Version, die nicht mehr unterstützt wird. Der Hersteller zertifiziert seine Software nicht darüber hinaus. Der Rechner befindet sich im selben Netzwerk wie die Buchhaltung, weil das zum Drucken praktisch war. Eine manipulierte E-Mail, die im Büro geöffnet wird, verbreitet sich, und die Produktion steht gleichzeitig mit der Rechnungsstellung still. Der veraltete Rechner war nicht das Problem: das Problem war, dass er sich das Netzwerk mit allem anderen teilte.
Support-Ende: das Risiko, das man nicht sieht
Jedes Betriebssystem, jede Software hat ein Datum, ab dem der Hersteller keine Patches mehr veröffentlicht. Das ist das Support-Ende.
Was diesen Termin besonders macht: An dem Tag, an dem er eintritt, passiert nichts. Der Rechner startet normal, die Dateien öffnen sich, die Mitarbeitenden merken keinen Unterschied. Kein Warnsignal leuchtet auf. Die Veränderung liegt anderswo: Ab diesem Datum bleibt jede neu entdeckte Sicherheitslücke auf diesem Gerät endgültig offen.
Die Lücke wächst lautlos. Ein seit zwei Jahren aufgegebenes System sammelt zwei Jahre bekannter, öffentlich dokumentierter Schwachstellen an, die in automatisierte Angriffswerkzeuge eingebaut werden. Das ist genau das Gegenteil eines Ausfalls: Ein Ausfall ist sichtbar und wird repariert, das Support-Ende ist unsichtbar und wird nie repariert.
Daher eine einfache Verwaltungsregel: Support-Enddaten werden zum Zeitpunkt des Kaufs vermerkt, nicht erst, wenn das Problem auftritt. Ein vorausschauender Ersatz wird budgetiert, ein Ersatz im Notfall nach einem Vorfall wird erlitten.
Das Ganze ohne eigene IT-Abteilung organisieren
Die meisten Westschweizer KMU haben keine eigene IT-Abteilung. Hier ist eine realistische Organisation für diesen Kontext.
Automatisieren Sie alles, was automatisierbar ist. Arbeitsplatzrechner, Telefone, Browser, Büroprogramme: automatische Updates aktiviert, ohne Ausnahme. Dieser eine Punkt deckt den grössten Teil des Volumens ab.
Führen Sie eine schriftliche Liste Ihrer Geräte. Eine einfache Tabelle reicht: jedes vernetzte Gerät, wer es installiert hat, wie man auf seine Verwaltung zugreift, und sein Support-Enddatum, sofern bekannt. Dieses Dokument existiert in einem KMU fast nie, und genau es fehlt am Tag des Vorfalls.
Legen Sie einen vierteljährlichen Termin fest. Eine Stunde, einmal pro Quartal, um zu überprüfen, was nicht automatisiert ist: Router, NAS, Drucker, Kameras, Fachsoftware. Tragen Sie ihn in den Kalender ein, sonst findet er nicht statt.
Schreiben Sie das Update in Ihre Verträge. Wenn ein Dienstleister ein Gerät installiert oder betreut, muss die Frage «wer spielt die Patches ein, und wie oft?» eine schriftliche Antwort haben. Viele Geräte werden von niemandem aktualisiert, weil jede Seite denkt, es sei Aufgabe der anderen. Das Thema hängt mit dem der Angriffe über die Lieferkette zusammen.
Automatische Updates zu aktivieren, ist für jeden machbar. Zu wissen, was im Unternehmen tatsächlich läuft, ist es nicht. Welche Geräte vom Internet aus sichtbar sind, welche Versionen tatsächlich installiert sind, welche Systeme ihr Support-Ende überschritten haben, welche Software den Rest des Geräteparks blockiert: Das erfordert eine technische Bestandsaufnahme, die keine Unternehmensleitung aus dem Gedächtnis erstellen kann. Genau das bringt ein Audit ans Licht, und die Liste enthält fast immer Geräte, an deren Installation sich niemand mehr erinnerte.
Diese Massnahmen bilden eine solide Grundlage, sie ersetzen jedoch keine Bestandsaufnahme Ihrer eigenen Situation. Um Ihr aktuelles Niveau einzuordnen, enthält der Cyber-Check-up mehrere Fragen zu Updates und Support-Ende, und das Tool Öffentliche Angriffsfläche zeigt, was Ihre Geräte im Internet sichtbar machen. Die weiteren Prioritäten sind im Themenbereich Bewährte Praktiken zusammengefasst, insbesondere die 10 wichtigsten Massnahmen.