Die Angriffsziele verschieben sich

In unserer Beratungspraxis begegnen uns immer wieder dieselben Schwachstellen:

• Ungepatchte Systeme – veraltete Server, Firewalls und Remote-Access-Lösungen, für die keine Updates eingespielt wurden
• Offene Remote-Zugänge – etwa RDP- oder VPN-Dienste, die ohne Mehrfaktor-Authentifizierung aus dem Internet erreichbar sind
• Phishing-E-Mails – gezielt auf Buchhaltung und Geschäftsführung zugeschnittene Betrugsversuche
• Fehlende Netzwerksegmentierung – gelangt ein Angreifer auf einen Rechner, kann er sich im gesamten Netzwerk ausbreiten
• Ungetestete Backups – Datensicherungen existieren, eine Wiederherstellung wurde aber nie geprobt

Die gute Nachricht: Effektiver Schutz ist keine Frage der Unternehmensgröße, sondern der richtigen Prioritäten. Diese fünf Maßnahmen bieten das beste Verhältnis von Aufwand zu Wirkung:

1. Mehrfaktor-Authentifizierung (MFA) überall – insbesondere für E-Mail-Konten, VPN und administrative Zugänge. Das ist die wirksamste Einzelmaßnahme gegen Account-Übernahmen.
2. Backups nach der 3-2-1-Regel – drei Kopien auf zwei verschiedenen Medien, eine davon offline oder physisch getrennt. Und: Wiederherstellung regelmäßig testen!
3. Notfallplan vor dem Ernstfall – Wer ist bei einem Angriff Ansprechpartner? Welche Schritte kommen zuerst? Ein Incident-Response-Plan, der im Papierkorb liegt, hilft niemandem.
4. Systeme aktuell halten – ein-Patch-Management mit festgelegten Fristen für kritische Schwachstellen.
5. Mitarbeitende schulen – der Mensch bleibt das häufigste Einfallstor. Regelmäßige, praxisnahe Awareness-Schulungen wirken besser als jede technische Lösung allein.

Unser Tipp: Beginnen Sie mit einer kurzen Risikoanalyse: Wo liegen Ihre sensibelsten Daten, wie sind Ihre Systeme erreichbar und was passiert im Ernstfall? Auf dieser Basis lassen sich die Maßnahmen priorisieren, die für Ihr Unternehmen wirklich zählen.

Was ist eine DSFA – und wann ist sie Pflicht?

Die Datenschutz-Folgenabschätzung (DSFA) ist ein zentrales Instrument der DSGVO: Vor der Einführung risikoreicher Verarbeitungen müssen Unternehmen systematisch prüfen, welche Risiken für die betroffenen Personen entstehen – und wie diese minimiert werden können. Das gilt für die Einführung neuer Software genauso wie für die Umstellung von Prozessen.
In der Praxis sehen wir häufig, dass Unternehmen neue Tools einführen – etwa im Marketing, im HR-Bereich oder für die Kundenkommunikation – ohne vorher zu prüfen, ob eine DSFA erforderlich ist. Nicht immer ist eine DSFA nötig, aber die Prüfpflicht besteht immer. Und: Wer nicht prüft, weist im Ernstfall nach, dass er seine Pflichten verletzt hat.

• Umfangreiches Profiling – etwa automatisierte Analyse des Nutzungsverhaltens mit erheblichen Auswirkungen auf Kunden
• Groß angelegte Verarbeitung sensibler Daten – z. B. Gesundheitsdaten im HR-Kontext oder Biometrie zur Zugangskontrolle
• Systematische Überwachung öffentlich zugänglicher Bereiche – etwa Videoüberwachung mit moderner Analytik
• Neue Technologien – KI-gestützte Tools, die personenbezogene Daten verarbeiten, gelten als klassischer Auslöser

Gerade der letzte Punkt gewinnt an Bedeutung: Wer heute KI-Tools für Bewerberscreening, Kundenkommunikation oder Datenanalyse einsetzt, sollte die datenschutzrechtliche Bewertung nicht dem Tool-Anbieter überlassen.

1. Verarbeitung beschreiben – Welche Daten werden verarbeitet, für welche Zwecke, mit welchen Beteiligten?
2. Notwendigkeit prüfen – Ist die Verarbeitung für den Zweck erforderlich und verhältnismäßig?
3. Risiken bewerten – Was kann im Worst Case passieren? Denken Sie an Datenpannen, Profilbildung, automatisierte Entscheidungen.
4. Maßnahmen festlegen – Pseudonymisierung, Zugriffsbeschränkung, Verkürzung von Speicherfristen oder die Abschaltung risikoreicher Funktionen.
5. Dokumentieren – die Bewertung und ihre Ergebnisse müssen nachvollziehbar dokumentiert werden.

Unser Tipp: Führen Sie eine kurze Checkliste für neue Tools ein. Drei Fragen genügen für die Erstprüfung: Werden personenbezogene Daten verarbeitet? Werden diese außerhalb der EU verarbeitet? Enthält das Tool Automatisierungen mit Auswirkungen auf Menschen? Sobald eine Frage mit „Ja“ beantwortet wird, lohnt die vertiefte Prüfung – und wir beraten Sie gerne dazu.

Erinnerung NIS 2: Falls Ihr Unternehmen als „wesentliche“ oder „wichtige Einrichtung“ erfasst sein könnte, prüfen Sie Ihren Umsetzungsstand zu Risikomanagement, Meldepflichten und Management-Verantwortung. Wir unterstützen Sie bei der Statusanalyse – sprechen Sie uns an.

Security-Awareness-Schulung: Ein gepflegter Annual-Termin für Ihr gesamtes Team, der erfahrungsgemäß am meisten Sicherheit schafft: das Erkennen von Phishing-Mails und Social Engineering. Wir bieten Schulungen an, die Praxisbezug und echten Lerneffekt verbinden.

Viehoff Consult unterstützt Sie bei der Umsetzung – von der Risikoanalyse über die Datenschutz-Folgenabschätzung bis zum vollständigen Sicherheitskonzept. Sprechen Sie uns an.

Wir freuen uns auf den Austausch mit Ihnen und wünschen Ihnen einen sicherheitsbewussten November!
Ihr Team von Viehoff Consult

Hinweis: Dieser Newsletter ersetzt keine Rechtsberatung im Einzelfall.