IT-Sicherheit: Grundlagen für Mitarbeitende

Das Wichtigste in Kürze

• IT-Sicherheit soll gewährleisten, dass nur berechtigte Personen auf Daten zugreifen, Informationen unverfälscht bleiben und benötigte Systeme verfügbar sind. Auch versehentliche Änderungen oder defekte Geräte können diese Ziele gefährden.
• Die Geschäftsführung schafft die Voraussetzungen, die IT betreut technische Schutzmaßnahmen und Beschäftigte wenden die vereinbarten Regeln an. Dafür müssen geeignete Werkzeuge und erreichbare Ansprechpersonen vorhanden sein.
• Im Arbeitsalltag helfen persönliche Zugänge, sorgfältige Dateifreigaben und die unabhängige Prüfung ungewöhnlicher Anfragen. Wer einen möglichen Vorfall früh meldet, ermöglicht der zuständigen Stelle, den Verdacht zu prüfen und zu reagieren.

Was soll IT-Sicherheit schützen?

Wenn Sie mit Kundendaten arbeiten, müssen Sie sich auf unterschiedliche Dinge verlassen können. Unbefugte sollen die Daten nicht lesen können. Die Angaben müssen stimmen, und Sie brauchen Zugriff darauf, wenn Sie Ihre Aufgabe erledigen. In der IT-Sicherheit heißen diese grundlegenden Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Das Karlsruher Institut für Technologie erläutert sie als Grundwerte der Informationssicherheit.

Die Beispiele zeigen, weshalb IT-Sicherheit mehr umfasst als die Abwehr von Angriffen. Auch ein Versehen oder ein technischer Defekt kann die Arbeit unterbrechen. Welche Folgen besonders schwer wiegen, hängt davon ab, wofür Ihr Unternehmen die betroffenen Daten oder Systeme benötigt.

Wer übernimmt welche Aufgaben?

Damit der Schutz im Alltag funktioniert, braucht es klare Zuständigkeiten. Die Geschäftsführung muss festlegen, wer sich um IT-Sicherheit kümmert, und dafür Zeit und Mittel bereitstellen. Die IT oder ein beauftragter Dienstleister richtet beispielsweise Zugriffsrechte, Updates und Datensicherungen ein. Beschäftigte müssen wissen, welche Programme sie verwenden dürfen und wen sie bei Fragen erreichen.

Das österreichische Informationssicherheitsportal empfiehlt, Aufgaben und Verantwortlichkeiten zur Sicherheit ausdrücklich festzulegen. Für Sie als beschäftigte Person bedeutet das nicht, technische Probleme selbst lösen zu müssen. Wenn eine Schutzfunktion Ihre Arbeit blockiert, fragen Sie bei der zuständigen Stelle nach, statt die Funktion eigenständig abzuschalten.

Solche Absprachen werden besonders beim Einstieg in ein Unternehmen wichtig. Klären Sie, wo Arbeitsdateien gespeichert werden sollen, welche Zugänge Sie benötigen und wie Sie die IT auch dann erreichen, wenn Ihr E-Mail-Konto ausfällt.

Wie schützen Sie Ihre Zugänge?

Über Ihr Benutzerkonto können Sie auf die Daten und Programme zugreifen, die für Sie freigegeben sind. Wer Ihre Zugangsdaten erhält, kann unter Umständen dieselben Möglichkeiten nutzen. Verwenden Sie daher persönliche Konten und geben Sie Ihr Passwort nicht an andere Personen weiter. Für eine Vertretung sollte die zuständige Stelle passende Zugriffsrechte einrichten.

Für jedes Konto, bei dem Sie ein Passwort festlegen, wählen Sie eine eigene, lange und schwer vorhersehbare Kombination. Ein vom Unternehmen freigegebener Passwortmanager kann diese Passwörter erstellen und speichern. Wie das funktioniert, erklärt der Eintrag zur Passwortsicherheit.

Die Multi-Faktor-Authentifizierung (MFA) ergänzt die Anmeldung um einen weiteren Nachweis, etwa über eine eingerichtete App. Nutzen Sie das vorgesehene Verfahren und bestätigen Sie keine Anmeldeanfrage, die Sie nicht selbst ausgelöst haben. Eine unerwartete Anfrage sollten Sie der IT melden. Das britische Zentrum für Cybersicherheit empfiehlt ebenfalls unterschiedliche Passwörter und einen zusätzlichen Anmeldeschutz.

Wie prüfen Sie ungewöhnliche Anfragen?

Auch mit geschützten Zugängen können Sie Nachrichten erhalten, die Sie zu einer unbedachten Handlung bewegen sollen. Beim Phishing geben sich Angreifende etwa als bekannter Dienst aus und fordern Sie auf, sich über einen Link anzumelden. Solche Täuschungen gehören zum Social Engineering, bei dem Menschen gezielt beeinflusst werden, um an Informationen oder Zugänge zu gelangen.

Prüfen Sie deshalb, ob eine Anfrage zu Ihrer aktuellen Arbeit passt. Haben Sie die Datei erwartet? Ist die Aufforderung zur Anmeldung nachvollziehbar? Ein vertrauter Anzeigename allein bestätigt die Echtheit nicht. Auch eine Nachricht aus einem übernommenen Postfach kann betrügerisch sein.

Wenn Sie unsicher sind, öffnen Sie den betreffenden Dienst über die bekannte App oder rufen Sie dessen offizielle Website selbst auf. Eine ungewöhnliche Bitte von Kolleginnen und Kollegen können Sie über eine bereits bekannte Telefonnummer prüfen. Verwenden Sie dafür keine Kontaktdaten, die erst in der fraglichen Nachricht genannt werden. Diese unabhängige Prüfung empfiehlt auch das britische Zentrum für Cybersicherheit.

Zum Üben eignen sich die Phishing-Mail-Beispiele mit Selbsttest. Dort können Sie Entscheidungen an konkreten Nachrichten nachvollziehen, statt nur eine Liste von Warnsignalen auswendig zu lernen.

Dateien bewusst teilen

Eine Datei kann auch ohne Täuschungsversuch in die falschen Hände geraten. Beim Teilen eines Dokuments entscheidet die Freigabe darüber, wer es öffnen oder bearbeiten darf. Prüfen Sie vor dem Versand, ob Sie die richtige Person ausgewählt haben und ob diese den gesamten Inhalt benötigt.

Wenn jemand eine Datei nur lesen soll, ist eine Berechtigung zum Bearbeiten meist unnötig. Verwenden Sie den vom Unternehmen vorgesehenen Dienst und beschränken Sie den Zugriff auf die benötigten Personen. Ein Link, den jede Person öffnen kann, die ihn erhält, eignet sich nicht für vertrauliche Unterlagen. Microsoft erklärt die Freigaben für bestimmte Personen und Links mit allgemeinem Zugriff am Beispiel von OneDrive.

Übertragen Sie Arbeitsdateien nicht eigenständig in private Postfächer oder nicht freigegebene Onlinedienste. Wenn das vorgesehene Werkzeug für eine Aufgabe nicht ausreicht, klären Sie mit der zuständigen Stelle eine geeignete Alternative. So bleibt nachvollziehbar, wo die Daten liegen und wer darauf zugreifen kann.

Geräte und Arbeitsdateien absichern

Die gleichen Daten verdienen Schutz, wenn Sie Ihren Arbeitsplatz verlassen. Sperren Sie den Bildschirm, damit andere Personen nicht ohne Anmeldung mit Ihrem Konto weiterarbeiten können. Bewahren Sie dienstliche Geräte so auf, dass Unbefugte keinen einfachen Zugriff darauf haben.

Sicherheitsupdates schließen bekannte Schwachstellen in Programmen und Geräten. Führen Sie die von Ihrer IT vorgesehenen Updates und Neustarts zeitnah aus. Installieren Sie zusätzliche Software nur nach den betrieblichen Vorgaben. Das britische Zentrum für Cybersicherheit nennt aktuelle Software und den Schutz des Gerätezugangs als grundlegende Maßnahmen.

Falls ein Gerät ausfällt oder Dateien verloren gehen, kann eine Datensicherung die Wiederherstellung ermöglichen. Welche Dateien gesichert werden müssen, klären die Verantwortlichen gemeinsam mit der IT. Die IT richtet die Sicherung ein und prüft, ob sich Daten wiederherstellen lassen. Speichern Sie Ihre Arbeit deshalb an den vorgesehenen Orten. Eine Datei, die nur auf Ihrem Laptop liegt, ist nicht automatisch Teil der betrieblichen Sicherung.

Was tun bei einem Verdacht?

Wenn Sie Zugangsdaten auf einer verdächtigen Website eingegeben, eine vertrauliche Datei falsch geteilt oder ein dienstliches Gerät verloren haben, informieren Sie umgehend die vereinbarte Ansprechperson. Warten Sie nicht darauf, selbst sicher beurteilen zu können, ob bereits ein Schaden entstanden ist.

Beschreiben Sie möglichst konkret, was passiert ist, wann Sie es bemerkt haben und welches Konto, Gerät oder Dokument betroffen ist. Bei einer verdächtigen Nachricht ist außerdem wichtig, ob Sie einen Link geöffnet, eine Datei heruntergeladen oder Daten eingegeben haben. Die IT kann mit diesen Angaben die nächsten Schritte festlegen.

Nutzen Sie den im Unternehmen vorgesehenen Kontakt und befolgen Sie dessen Anweisungen. Falls dieser Kontakt nicht erreichbar ist, wenden Sie sich an die vereinbarte Vertretung oder Ihre Führungskraft. Für verdächtige E-Mails erläutert der Ratgeber Phishing-Mails melden die Unterschiede zwischen einer internen Meldung und den Meldefunktionen im privaten Postfach.

Wie werden Grundlagen zur Routine?

Eine Regel lässt sich leichter anwenden, wenn Beschäftigte ihren Zweck verstehen und sie an einer passenden Situation üben können. Bei einer Dateifreigabe können Sie beispielsweise gemeinsam prüfen, wer Zugriff braucht und ob eine Leseberechtigung genügt. Bei einer verdächtigen Nachricht lässt sich besprechen, wie eine unabhängige Rückfrage möglich wäre.

Regelmäßige kurze Lerneinheiten können solche Entscheidungen aufgreifen. Sie ergänzen die technischen Schutzmaßnahmen und die Regeln Ihres Unternehmens. Wer Schulungen und Übungen plant, findet im Leitfaden für ein Security-Awareness-Konzept eine Anleitung, um Lernziele, Zuständigkeiten und die Auswertung miteinander zu verbinden.