Die fünf häufigsten offenen Türen in mittelständischen Betrieben

Aus meiner Projektarbeit in Ludwigsburg und der Region sind das die Lücken, die ich immer wieder antreffe:

Verwaiste Software ohne Updates. Die Anwendung, die vor Jahren ein Dienstleister gebaut hat und der nicht mehr erreichbar ist – sie läuft weiter, bekommt aber keine Sicherheitsupdates mehr. Jede bekannte Lücke bleibt offen, solange niemand sie schließt.

Der Server im Nebenraum. Ein alter Rechner, der „mal eben“ zum Server wurde, ohne Sicherungskonzept, ohne Überwachung, ohne Backups, die je geprüft wurden. Das Betriebsrisiko ist kein Angriff – es reicht schon ein Wasserschaden oder ein Defekt.

Passwörter und Zugänge ohne Ordnung. Der Austritt eines Mitarbeiters, der noch überall Zugänge hatte. Der Admin-Zugang, den alle kennen. Der externe Dienstleister, der vor Jahren ein Konto bekam und nie entfernt wurde.

Alte Webanwendungen im öffentlichen Netz. Ein Kontaktformular, eine Kundenmeinenseite, eine alte Installation – was jahrelang unverändert läuft, ist ein dankbares Ziel, denn die Lücken dafür stehen in Katalogen.

Excel-Dateien auf lokalen Rechnern. Die sensibelsten Daten des Betriebs liegen unverschlüsselt auf einem Laptop, der mitgenommen, liegen gelassen oder gestohlen werden kann – und niemand merkt, wer sie zuletzt geändert hat.

Was Software-Sicherheit für Ihren Betrieb praktisch heißt

Sicherheit ist kein Zustand, den man einmal herstellt, sondern eine Haltung: dass jemand zuständig ist, dass Systeme gepflegt werden und dass man weiß, was im Ernstfall zu tun ist. Konkret heißt das:

Verantwortung festlegen. Jedes System braucht einen, der es kennt – ob das jemand im Betrieb ist oder ein externer Betreuer wie ich. Systeme ohne Zuständigkeit sind die offenen Türen von morgen.

Software aktuell halten. Updates sind lästig, aber sie schließen genau die Lücken, über die automatisierte Angriffe hereinkommen. Pflegte Systeme lassen sich aktuell halten; verwaiste Software muss übernommen oder abgelöst werden.

Zugänge ordnen. Jeder Mensch hat eigene Zugänge mit den minimal nötigen Rechten. Wer den Betrieb verlässt, verliert die Zugänge – am selben Tag, nicht beim nächsten großen Cleanup.

Backups, die je wiederhergestellt wurden. Ein Backup, das nie getestet wurde, ist eine Hoffnung, kein Backup. Die Wiederherstellung gehört mindestens einmal pro Jahr geübt – und zwar als Durchlauf, nicht als Erinnerung im Kalender.

Software, die gepflegt wird, statt altert. Das ist mein Kerngeschäft: Ich übernehme verwaiste Systeme, dokumentiere sie, bringe sie auf aktuellen Stand und halte sie da – damit aus „das System bloß nicht anfassen“ wieder ein gepflegtes Werkzeug wird.

Der ehrliche Blick: Was Sicherheit kostet – und was Unsicherheit kostet

Die Kostenfrage stelle ich bewusst an das Ende, weil sie fast immer falsch herum gestellt wird. Sicherheitsarbeit kostet überschaubares Geld: eine Bestandsaufnahme hier, ein Update-Aufwand dort, ein Betreuungsaufwand, der auf Jahre verteilt klein bleibt.

Die Kosten eines Vorfalls sind dagegen nicht kalkulierbar: Der Betrieb, der während der Wiederherstellung stillsteht. Daten, die unwiederbringlich verloren sind. Kunden, die informiert werden müssen, wenn ihre Daten betroffen sind. Der Vertrauensschaden, der bleibt, wenn die Pressemitteilung des Softwareherstellers den Namen des Betriebs nennt. Und in der Masse der Fälle, die ich kenne, hätte ein Bruchteil dieser Kosten gereicht, um den Vorfall zu verhindern.

Deshalb beginne ich Sicherheitsarbeit immer mit der Bestandsaufnahme – nicht mit einem Werkzeugskatalog. Man muss zuerst wissen, welche Türen offen stehen, bevor man sie schließt. Und die Bestandsaufnahme zeigt fast immer: Ein großer Teil der Risiken lässt sich mit einfachen Mitteln schließen, ohne dass ein Budgetprojekt nötig wird.

Region: Ludwigsburg und das 50-km-Umfeld

Sicherheitsarbeit ist Vertrauensarbeit – niemand öffnet einem Unbekannten die Serverräume seines Betriebs. Deshalb arbeite ich in Ludwigsburg und im Umkreis bis etwa 50 Kilometer: Stuttgart, Heilbronn, Böblingen, der Rems-Murr-Kreis. Nah genug für Vor-Ort-Bestandsaufnahmen, für regelmäßige Besuche und dafür, dass Sie wissen, mit wem Sie es zu tun haben.

Häufige Fragen zur Software-Sicherheit

Wir sind doch zu klein, um ein Ziel zu sein – oder?
Nein, und das ist der gefährlichste Irrtum des Mittelstands. Automatisierte Angriffe suchen keine Namen, sie suchen offene Türen. Ein Betrieb, dessen alte Webanwendung eine bekannte Lücke hat, wird gefunden – egal wie klein er ist.

Was bringt eine Bestandsaufnahme konkret?
Sie listet auf: welche Systeme existieren, in welchem Zustand, mit welchen Zugängen und Lücken. Sie ist der Bauplan aller Sicherheitsarbeit – und sie ist überschaubar: In kleineren Betrieben ist sie in wenigen Tagen gemacht. Danach wissen Sie, wo Ihre Türen offen stehen, und können entscheiden, welche zuerst geschlossen werden.

Müssen wir dafür neue Software kaufen?
Selten. Meist liegt der Gewinn in Pflege, Ordnung und Konfiguration der bestehenden Systeme. Und wo Software fehlt, die es zu haben lohnt – etwa eine saubere Backup-Lösung oder eine Rechteverwaltung – baue oder richte ich ein, was Ihr Betrieb braucht, statt ein Lizenzpaket zu verkaufen.

Wie oft muss so etwas geprüft werden?
Regelmäßig, aber nicht täglich: Update-Fenster je nach System, eine geübte Wiederherstellung mindestens jährlich, eine Bestandsaufnahme bei größeren Veränderungen im Betrieb. Für alles, was dazwischen passiert, bin ich als fester Ansprechpartner erreichbar – ohne Ticketsystem und ohne neue Ausschreibung.

Nächster Schritt

Wenn Sie nicht sicher sind, wo Ihr Betrieb steht – welche Systeme gepflegt werden, welche Zugänge existieren, ob die Backups im Ernstfall funktionieren – dann ist eine Bestandsaufnahme der richtige erste Schritt. Sie ist überschaubar, und Sie wissen danach, wo die offenen Türen stehen. Das Erstgespräch dazu ist kostenfrei.

Rufen Sie an unter 0176 3576 9368 oder schreiben Sie über das Kontaktformular. Ich melde mich in der Regel innerhalb eines Werktags.

André Oehler – Software-Sicherheit für Betriebe in Ludwigsburg. Gebaut, betreut, seit über 25 Jahren.