IT-Security für Unternehmen · Hamburg Zugänge, Geräte, Netzwerk und Backups absichern.
IT-Security für kleine und mittlere Unternehmen in Hamburg: von der Risikoanalyse über Endpoint- und Netzwerkschutz bis zu Backup, Notfallplan und Security Awareness. Das Sicherheitskonzept passt zu Ihrem Unternehmen und berücksichtigt auch Anforderungen von Cyberversicherern, Auftraggebern und Regelwerken.
Was ich bei neuen Kunden vorfinde
Bei neuen Kunden finde ich meist einen klassischen Virenscanner ohne Erkennung und Reaktion (EDR), ein Netzwerk ohne Segmentierung und Firewalls oder Switches, deren Firmware seit Jahren nicht aktualisiert wurde. Backups gibt es, oft auch offline, aber selten unveränderlich, und eine Wiederherstellung wurde fast nie getestet.
Passwörter liegen in Excel-Listen oder im Browser, SPF, DKIM und DMARC sind unvollständig, und einen schriftlichen Notfallplan hat kaum jemand. Vielen ist nicht bewusst, wie ernst die Lage ist. Ein großer Teil meiner Arbeit ist deshalb Aufklärung, bevor Cyberversicherer, Auftraggeber oder Regelwerke wie NIS2 danach fragen.
Was ein Sicherheitskonzept leisten soll
Ziel ist eine Umgebung, die Angriffe erschwert und auf einen Vorfall vorbereitet ist: abgesicherte Identitäten und Endgeräte, segmentierte Netze mit Firewall und VPN, geschützte E-Mail-Kommunikation und belastbare Backups. Dazu kommen klare Zuständigkeiten und ein Notfallplan für den Fall, dass Schutzmaßnahmen einmal nicht ausreichen. Wie das für Microsoft 365 aussieht, zeigt ein Sicherheitskonzept für ein Ingenieurbüro.
Bausteine für ein sicheres Unternehmen.
-
Risikoanalyse und Sicherheitskonzept
Schwachstellen-Analyse, Review von Netzwerk, Berechtigungen und Konfigurationen, priorisierter Maßnahmenplan als Grundlage für Budget und Reihenfolge. Für Microsoft 365 nutze ich dafür ein automatisiertes Tenant-Audit und prüfe nach der Umsetzung erneut, ob die Maßnahmen greifen.
-
Identitäts- und Zugriffsschutz
Multi-Faktor-Authentifizierung, Conditional Access, Berechtigungen nur im nötigen Umfang (Least Privilege), Schutz privilegierter Konten und Passwortmanager.
-
Endpoint Protection und MDR
Endpoint Protection mit Erkennung und Reaktion (EDR/XDR) und Geräteverschlüsselung. Ab etwa 100 Mitarbeitenden empfehle ich zusätzlich Managed Detection and Response mit Analystenteam rund um die Uhr.
-
Netzwerksicherheit
Next-Generation-Firewall, Segmentierung in Sicherheitszonen, sicheres VPN und Zero-Trust-Prinzipien für Zugriffe von außen.
-
E-Mail-Sicherheit
Schutz vor Phishing, Spam und Schadsoftware, SPF, DKIM und DMARC, Verschlüsselung und Archivierung.
-
Schwachstellen- und Patchmanagement
Regelmäßige, kontrollierte Updates für Betriebssysteme, Anwendungen und Firmware, Überwachung offener Schwachstellen.
-
Backup und Disaster Recovery
Sicherung nach dem 3-2-1-Prinzip inklusive Microsoft 365, auf Wunsch mit einer Kopie auf meinen Servern in deutschen Rechenzentren, getrennt vom Netz des Kunden. Dazu Wiederherstellungstests, die ich quartalsweise empfehle, und definierte Wiederanlaufzeiten.
-
Security Awareness
Schulungen und Phishing-Simulationen, damit Mitarbeitende Angriffe erkennen und richtig reagieren.
-
Notfallplan und Incident Response
Wer tut was, wenn etwas passiert: Ansprechpartner, Sperrung von Zugängen, Wiederherstellung, Kommunikation und Meldepflichten.
Microsoft 365 auf dem Prüfstand.
Ich prüfe Ihren Microsoft-365-Tenant gegen anerkannte Regelwerke und zeige, wo Handlungsbedarf besteht. Den ersten Check biete ich kostenlos an, mit einer kurzen Einschätzung als PDF.
Zum kostenlosen Check→- Prüfpunkte
- ~500 Prüfpunkte
- Bereiche
- 12 Bereiche
- Regelwerke
- 5 Regelwerke
Meine Reihenfolge
Wenn nur Budget für eine Maßnahme da ist, empfehle ich MFA für alle Zugänge, lokal wie in der Cloud. Danach folgen Backup, Endpoint-Schutz, Netzwerk und Awareness-Schulungen mit Phishing-Simulationen. Passwortmanager führe ich passend zum Unternehmen ein, zum Beispiel Proton Pass, NordPass, RoboForm oder 1Password.
Beim Endpoint-Schutz binde ich mich an keinen Hersteller. Ist Business Premium vorhanden, rate ich meist zu Microsoft Defender for Business, weil er eng mit Intune und Conditional Access zusammenarbeitet. Wo eine andere Lösung besser ins Konzept passt oder der Kunde sie wünscht, setze ich diese ein, auch mit MDR. Wo die Lizenz kein Defender for Office 365 enthält, ergänze ich den E-Mail-Schutz meist um Hornetsecurity.
Aus der Praxis
Ein Kunde mit rund 60 Mitarbeitenden wurde Opfer eines Ransomware-Angriffs mit Lösegeldforderung. Die Angreifer hatten sämtliche Unternehmensdaten auf den Rechnern und Netzwerkfreigaben verschlüsselt. Weil Backup und Wiederherstellung vorher sauber geplant waren, konnte das Unternehmen innerhalb von 48 Stunden wieder arbeiten.
Zu meinen Kunden gehören auch Betreiber kritischer Infrastruktur. Bei Zertifizierungen nach ISO 27001 oder TISAX unterstütze ich. Penetrationstests und Forensik übernehmen spezialisierte Partner, die ich dafür ins Projekt hole.
Sicherheitslösungen, die ich einsetze.
Welche Komponenten sinnvoll sind, hängt von Risiko, Umgebung und Schutzbedarf ab.
- Endpoint-Schutz nach Konzept
- Sophos, WatchGuard oder Bitdefender, wenn sie besser ins Konzept passen oder gewünscht sind, auf Wunsch mit MDR: Ein Analystenteam bewertet Vorfälle rund um die Uhr und greift ein.
- Sophos Firewall
- Next-Generation-Firewall mit Segmentierung, VPN und Synchronized Security zum Endpoint-Schutz.
- Microsoft Defender & Conditional Access
- Schutz für Identitäten, Endgeräte und E-Mail innerhalb von Microsoft 365, mit Zugriffsregeln nach Benutzer, Gerät und Risiko.
- Hornetsecurity
- E-Mail-Sicherheit, Backup für Microsoft 365 und Security-Awareness-Training mit Phishing-Simulationen.
- Bitdefender
- Endpoint Protection als Alternative, je nach Umgebung und Anforderung.
- AvePoint
- Backup und Governance für Microsoft 365, SharePoint und Teams.
- Proxmox Backup Server
- Sicherung virtueller Server mit Verifizierung und gezielter Wiederherstellung.
So entsteht ein Sicherheitskonzept.
-
01
Analyse
Risikoanalyse und Bestandsaufnahme: Was ist vorhanden, was ist aktiv, was fehlt?
-
02
Priorisieren
Maßnahmenplan nach Risiko und Aufwand, abgestimmt auf Budget und Anforderungen von Versicherung oder Auftraggebern.
-
03
Umsetzen
Schrittweise Einführung, mit Mitarbeitenden abgestimmt, damit Sicherheit im Alltag funktioniert.
-
04
Betreiben
Monitoring, Updates, Reporting und regelmäßige Überprüfung, weil sich Bedrohungen und Umgebung verändern.
Fragen zur IT-Security.
Ihre Frage ist nicht dabei? Schreiben Sie mir direkt.
Die Anforderungen unterscheiden sich, in der Regel werden Multi-Faktor-Authentifizierung, geprüfte Offline-Backups, Endpoint Protection mit Erkennung, Patchmanagement und Awareness-Schulungen verlangt. Genau diese Punkte deckt das Sicherheitskonzept ab und dokumentiert sie nachweisbar.
Direkt betrifft NIS2 vor allem größere Unternehmen bestimmter Sektoren. Indirekt betrifft es viele Zulieferer, weil betroffene Kunden Nachweise zur Sicherheit ihrer Lieferkette verlangen. Ich helfe, den eigenen Stand zu bewerten und die Nachweise zu erbringen.
MFA ist der wichtigste erste Schritt, moderne Phishing-Methoden umgehen jedoch einfache Verfahren. Conditional Access, mit Intune verwaltete Geräte, E-Mail-Schutz und Awareness gehören dazu, damit die Maßnahmen ineinandergreifen.
Nicht jedes. MDR ist sinnvoll, wenn niemand im Unternehmen Sicherheitswarnungen zeitnah bewerten kann und ein Ausfall teuer wäre. Ab etwa 100 Mitarbeitenden empfehle ich es in der Regel, darunter bewerte ich es mit Ihnen anhand von Daten und Risiko. Wer keinen MDR-Dienst nutzt, sollte zumindest ein laufendes Monitoring mit Alarmierung haben.
Sie möchten ein konkretes Vorhaben besprechen?
Schreiben Sie mir kurz, worum es geht, oder rufen Sie an. Sie erreichen mich direkt, ohne Hotline.