Die Unternehmenssoftware speichert alles, was Ihren Betrieb am Laufen hält: Kunden, Aufträge, Rechnungen, Lagerbestände, Mitarbeiter. Wenn diese Daten eines Tages verschwinden, durch einen Angriff verschlüsselt werden oder in die falschen Hände geraten, ist das nicht mehr nur ein IT-Problem, sondern ein Geschäftsproblem. Dieser Artikel zeigt die wichtigsten Maßnahmen zum Schutz dieser Daten und vor allem, wie Sie prüfen, ob Ihre Backups wirklich funktionieren.
Was schiefgehen kann
Es lohnt sich zu wissen, wovor Sie sich schützen, denn jedes Risiko erfordert eine andere Maßnahme:
| Risiko | Beispiel | Wichtigste Maßnahme |
|---|---|---|
| Defekt | Die Festplatte des Servers im Büro fällt aus | Backups auf einem anderen Gerät und an einem anderen Ort |
| Menschliches Versagen | Jemand löscht ein Geschäftsjahr oder überschreibt eine Preisliste | Backups mit mehreren früheren Versionen |
| Ransomware-Angriff | Ein Schadprogramm verschlüsselt die Dateien und fordert Lösegeld | Getrennte oder unveränderbare Backups |
| Diebstahl oder Verlust | Ein Laptop oder Handy mit Zugriff auf das Programm geht verloren | Passwörter, Verschlüsselung und Sperrung von Zugängen |
| Unbefugter Zugriff | Ein ehemaliger Mitarbeiter meldet sich weiterhin mit seinem Benutzerkonto an | Benutzer- und Rechteverwaltung |
| Katastrophe im Büro | Brand, Überschwemmung | Backup außerhalb der Geschäftsräume |
Backups, die sich wiederherstellen lassen
Ein Backup, dessen Wiederherstellung nie getestet wurde, ist eine Hoffnung, kein Backup. Diese Fragen sollten Sie beantworten können:
- Was wird gesichert? Die Datenbank des Programms, aber auch angehängte Dokumente, Vorlagen, die Konfiguration und alles, was für eine Neuinstallation nötig ist.
- Wie oft? Überlegen Sie, wie viel Arbeit Sie sich leisten können zu verlieren. Lautet die Antwort „nichts von einem Tag“, muss mindestens täglich gesichert werden.
- Wo? Weit verbreitet ist es, mehrere Kopien auf verschiedenen Medien aufzubewahren, mindestens eine davon außerhalb des Büros. So reißt ein Defekt, ein Diebstahl oder ein Brand nicht alles auf einmal mit.
- Wie viele Versionen? Wenn Sie nur das Backup von gestern Abend haben und der Fehler vor einer Woche passiert ist, enthält auch das Backup den Fehler.
- Ist es geschützt? Eine dauerhaft am Server angeschlossene Festplatte kann beim selben Angriff verschlüsselt werden. Mindestens ein Backup muss getrennt oder vor Änderungen geschützt sein.
- Wer kontrolliert es? Jemand muss prüfen, ob die Sicherung durchgeführt wurde und ohne Fehler lief.
- Wurde die Wiederherstellung getestet? Spielen Sie in regelmäßigen Abständen ein Backup auf einem Testrechner ein und prüfen Sie, ob das Programm startet und die Daten vorhanden sind.
Wenn das Programm in der Cloud läuft, gehen Sie nicht davon aus, dass Backups enthalten sind. Fragen Sie den Anbieter, welche er erstellt, wie lange er sie aufbewahrt, ob Sie eine Kopie Ihrer Daten anfordern können und wie schnell er sie wiederherstellen kann.
Wer hat Zugriff und was darf er tun
Viele Probleme kommen nicht von außen, sondern von schlecht verwalteten Zugängen:
- Ein Benutzer pro Person. Keine gemeinsamen Konten wie „Lager“ oder „Büro“. Wenn Sie nicht wissen, wer eine Änderung vorgenommen hat, können Sie die Ursache nicht beheben.
- Berechtigungen je nach Position. Wer Bestellungen erfasst, muss keine Gehaltsabrechnungen sehen; wer fakturiert, muss keine Kunden löschen können.
- Sichere Passwörter und, wenn das Programm es erlaubt, Zwei-Faktor-Authentifizierung, vor allem für Zugriffe von außerhalb des Büros.
- Aktuelle Zu- und Abgänge. Wenn jemand das Unternehmen verlässt, wird sein Zugang noch am selben Tag gesperrt, auch auf dem Handy.
- Regelmäßige Überprüfung. Gehen Sie die Benutzerliste von Zeit zu Zeit durch. Es gibt oft Überraschungen.
Updates und Geräte
Angriffe nutzen häufig bekannte Schwachstellen aus, für die es längst eine Lösung gibt. Halten Sie das Betriebssystem von Servern und Computern, die Unternehmenssoftware selbst, die Browser und die Handys, die darauf zugreifen, auf dem neuesten Stand. Ein Gerät, das keine Sicherheitsupdates mehr erhält, sollte keinen Zugriff auf die Unternehmensdaten haben. Das Instituto Nacional de Ciberseguridad (INCIBE, spanisches Nationales Institut für Cybersicherheit) veröffentlicht auf seiner Website kostenlose Leitfäden und Ressourcen zur Sicherheit für Unternehmen, die als Ausgangspunkt dienen können.
Was die Datenschutzvorschriften sagen
Wenn das Programm personenbezogene Daten von Kunden, Lieferanten oder Mitarbeitern speichert, was der Normalfall ist, gilt die Datenschutz-Grundverordnung (Reglamento (UE) 2016/679), die in Spanien durch das Ley Orgánica 3/2018 (spanisches Datenschutzgesetz) ergänzt wird. Zwei Artikel stehen in direktem Zusammenhang mit diesem Beitrag:
- Artikel 32, Sicherheit der Verarbeitung. Er verpflichtet zu technischen und organisatorischen Maßnahmen, die dem Risiko angemessen sind, und nennt ausdrücklich die Fähigkeit, die Verfügbarkeit der Daten und den Zugang zu ihnen bei einem Vorfall rasch wiederherzustellen, sowie die regelmäßige Überprüfung der Wirksamkeit der Maßnahmen. Das heißt: Backups, die funktionieren und getestet werden.
- Artikel 33, Meldung von Verletzungen der Datensicherheit. Wenn eine Datenpanne personenbezogene Daten betrifft und ein Risiko für die Betroffenen darstellt, muss sie der Aufsichtsbehörde (in Spanien die Agencia Española de Protección de Datos, spanische Datenschutzbehörde) unverzüglich und, wenn möglich, innerhalb von 72 Stunden nach Bekanntwerden gemeldet werden.
Die Agencia Española de Protección de Datos bietet auf ihrer Website Leitfäden und Tools für kleine und mittlere Unternehmen. Wenn Ihr Fall komplex ist, ziehen Sie einen Spezialisten hinzu.
Wenn etwas schiefgeht: ein einfacher Plan
Sie brauchen kein Dokument mit hundert Seiten. Ein Blatt genügt, das folgende Fragen beantwortet:
- Wer wird zuerst angerufen: der Softwareanbieter, der IT-Dienstleister, die Geschäftsleitung.
- Wo die Backups liegen und wer weiß, wie man sie wiederherstellt.
- Wie in der Zwischenzeit weitergearbeitet wird: notfalls ein paar Stunden lang auf Papier.
- Wer entscheidet, ob eine Verletzung des Schutzes personenbezogener Daten gemeldet werden muss.
- Wie Kunden oder Mitarbeiter informiert werden, wenn sie betroffen sind.
Bewahren Sie dieses Blatt auch außerhalb des Computers auf, denn wenn der Computer das Problem ist, können Sie es nicht öffnen.
So machen wir es bei Infonet
Infonet Consultores entwirft, entwickelt und wartet Unternehmenssoftware, und auch nach der Installation unterstützen wir Sie direkt mit demselben Team, das sie entwickelt hat. Unsere Anwendungen laufen in der Cloud, und wir übernehmen auch die Anpassung und Umsetzung der DSGVO sowie die IT-Wartung mit sofortiger Reaktion. Wenn Sie über eine neue Software nachdenken, lesen Sie, wie wir arbeiten, unter Entwicklung maßgeschneiderter Software, oder lernen Sie das Team unter Softwareunternehmen in Huelva kennen.
