IT-Sicherheitscheck für die Urlaubszeit: Die wichtigsten Punkte für KMU
Der Sommer ist da. Viele Mitarbeiter sind im Urlaub, Vertretungen übernehmen Aufgaben und in vielen Unternehmen läuft der Betrieb etwas ruhiger als sonst.
Eigentlich eine gute Gelegenheit, einmal durchzuatmen.
Doch gerade die Urlaubszeit kann für die IT eines Unternehmens eine besondere Herausforderung sein. Mitarbeiter vertreten Kollegen, greifen auf Systeme zu, die sie sonst nicht benötigen, arbeiten teilweise von unterwegs und wichtige Ansprechpartner sind möglicherweise nicht erreichbar.
Gleichzeitig laufen E-Mail, Cloud-Dienste, Server, Backups und Sicherheitslösungen natürlich weiter.
Die gute Nachricht: Unternehmen müssen dafür nicht gleich einen kompletten IT-Sicherheitsaudit durchführen.
Mit etwa 30 Minuten Zeit lassen sich bereits einige der wichtigsten Punkte überprüfen, die gerade während der Urlaubszeit für mehr Sicherheit und einen stabileren IT-Betrieb sorgen.
Warum die Urlaubszeit für die IT besonders ist
Im normalen Arbeitsalltag sind Zuständigkeiten klar verteilt.
Mitarbeiter wissen, welche Systeme sie benötigen, wer bei Problemen hilft und welche Aufgaben bei wem liegen.
Während der Urlaubszeit sieht das häufig anders aus.
Ein Kollege übernimmt plötzlich die E-Mails eines anderen Mitarbeiters. Eine Mitarbeiterin benötigt Zugriff auf zusätzliche Dateien. Ein Geschäftsführer arbeitet aus dem Urlaub weiter. Und der Mitarbeiter, der sich normalerweise um die IT kümmert, ist vielleicht selbst nicht im Unternehmen.
Genau diese Veränderungen können neue Risiken schaffen.
Dabei geht es nicht nur um Cyberangriffe. Auch vergessene Benutzerkonten, fehlende Vertretungsregelungen, nicht geprüfte Backups oder schlicht die Frage „Wer kümmert sich eigentlich, wenn etwas ausfällt?“ können im Ernstfall zum Problem werden.
Deshalb lohnt sich ein kurzer IT-Check, bevor die Urlaubszeit richtig beginnt.
Der 30-Minuten-Check für KMU
1. Benutzerkonten und Zugriffsrechte prüfen – 5 Minuten
Wer hat aktuell Zugriff auf welche Systeme?
Diese Frage sollte jedes Unternehmen beantworten können.
Gerade bei Urlaubsvertretungen werden häufig zusätzliche Berechtigungen vergeben.
Was eigentlich nur für zwei Wochen gedacht war, bleibt danach manchmal dauerhaft bestehen.
Prüfe deshalb kurz:
- Gibt es Benutzerkonten von ehemaligen Mitarbeitern?
- Haben alle Mitarbeiter nur die Rechte, die sie tatsächlich benötigen?
- Wurden für Urlaubsvertretungen zusätzliche Zugriffe vergeben?
- Gibt es noch alte externe Benutzer oder Dienstleister mit Zugriff?
- Werden gemeinsame Benutzerkonten verwendet?
Besonders kritisch sind Konten mit weitreichenden Rechten.
Ein ehemaliger Mitarbeiter mit aktivem Microsoft-365-Konto oder ein alter Administratorzugang kann im Ernstfall ein erhebliches Sicherheitsrisiko darstellen.
Grundregel: Jeder Benutzer sollte nur die Zugriffsrechte besitzen, die für seine aktuelle Aufgabe notwendig sind.
2. MFA kontrollieren – 3 Minuten
Mehrfaktor-Authentifizierung, kurz MFA, gehört heute zu den wichtigsten Schutzmaßnahmen für Benutzerkonten.
Gerade in der Urlaubszeit ist sie besonders wichtig.
Mitarbeiter greifen häufiger von anderen Orten auf E-Mail, Microsoft 365, Cloud-Anwendungen oder andere Unternehmenssysteme zu.
Deshalb sollte kurz geprüft werden:
- Ist MFA für wichtige Konten aktiviert?
- Sind insbesondere Administrator- und Microsoft-365-Konten geschützt?
- Funktionieren die hinterlegten Authenticator-Apps oder Sicherheitsschlüssel?
- Gibt es noch alte Telefonnummern oder Geräte für die Anmeldung?
Ein starkes Passwort allein reicht heute nicht mehr aus.
Wenn ein Passwort beispielsweise durch Phishing in die Hände eines Angreifers gelangt, kann MFA eine zusätzliche Schutzschicht bilden.
3. Backup prüfen – 5 Minuten
Der vielleicht wichtigste Punkt des gesamten Checks:
Funktioniert das Backup wirklich?
Viele Unternehmen wissen, dass ihre Daten regelmäßig gesichert werden.
Aber wann wurde zuletzt kontrolliert, ob sich die Daten tatsächlich wiederherstellen lassen?
Ein Backup, das zwar automatisch läuft, aber im Ernstfall nicht wiederhergestellt werden kann, bietet nur scheinbare Sicherheit.
Prüfe deshalb:
- Läuft das Backup regelmäßig?
- Gab es in den letzten Tagen Fehlermeldungen?
- Werden wichtige Systeme und Daten tatsächlich gesichert?
- Gibt es eine vom Produktivsystem getrennte Sicherung?
- Ist bekannt, wer im Notfall die Wiederherstellung durchführen kann?
Gerade während der Urlaubszeit sollte außerdem klar sein, wer im Notfall Zugriff auf die Backup-Systeme hat.
Eine funktionierende Datensicherung kann nach einem Hardwaredefekt, einem Bedienfehler oder einem Cyberangriff den Unterschied zwischen einem kurzen Problem und einem längeren Betriebsausfall ausmachen.
4. Updates und Sicherheitslücken prüfen – 5 Minuten
„Das Update machen wir nach dem Urlaub.“
Dieser Satz klingt harmlos.
Bei sicherheitsrelevanten Updates kann er allerdings problematisch sein.
Vor einer längeren Urlaubsphase lohnt sich deshalb ein kurzer Blick auf:
- Server
- Arbeitsplatzrechner
- Firewalls
- Router und Netzwerkkomponenten
- Microsoft 365
- wichtige Anwendungen
- mobile Geräte
Sind sicherheitsrelevante Updates ausstehend?
Wenn ja, sollten diese nicht unnötig aufgeschoben werden.
Dabei gilt allerdings auch: Nicht jedes Update muss unmittelbar vor dem Urlaub installiert werden. Bei geschäftskritischen Systemen sollte man Änderungen geplant durchführen und anschließend kontrollieren, ob alles weiterhin funktioniert.
5. Phishing und Urlaubsvertretungen – 3 Minuten
Cyberkriminelle nutzen nicht nur technische Schwachstellen.
Sie nutzen vor allem Menschen und Situationen aus.
Eine Urlaubsvertretung kann beispielsweise eine E-Mail erhalten, die scheinbar von einem Vorgesetzten stammt:
„Ich bin gerade nicht im Büro. Kannst du diese Rechnung bitte noch schnell bezahlen?“
Oder:
„Bitte schick mir die Kundendaten aus dem Projektordner.“
Gerade wenn ein Mitarbeiter vorübergehend neue Aufgaben übernimmt, kann es schwieriger sein, ungewöhnliche Anfragen richtig einzuschätzen.
Deshalb sollte vor dem Urlaub noch einmal klar sein:
Ungewöhnliche Zahlungsaufforderungen, Passwortanfragen oder Anfragen nach vertraulichen Daten werden nicht einfach per E-Mail ausgeführt.
Im Zweifel sollte der Empfänger den angeblichen Absender über einen bekannten Kommunikationsweg kontaktieren.
Ein kurzer Anruf kann hier deutlich sicherer sein als ein Klick auf einen Link.
6. Wer hilft, wenn die IT ausfällt? – 4 Minuten
Ein Punkt wird häufig vergessen:
Was passiert eigentlich, wenn während des Urlaubs etwas ausfällt?
Der Server startet nicht mehr.
Microsoft 365 funktioniert nicht.
Ein Mitarbeiter kann sich nicht anmelden.
Die Firewall fällt aus.
Oder es gibt tatsächlich einen Sicherheitsvorfall.
Dann sollte nicht erst geklärt werden müssen, wer zuständig ist.
Prüfe deshalb:
- Wer ist während der Urlaubszeit Ansprechpartner für IT-Probleme?
- Gibt es eine Vertretung?
- Sind Kontaktdaten des IT-Dienstleisters verfügbar?
- Wer darf bei einem IT-Notfall Entscheidungen treffen?
- Ist bekannt, was bei einem Verdacht auf einen Cyberangriff zu tun ist?
Diese Informationen sollten nicht nur im Postfach des IT-Verantwortlichen liegen.
Denn genau dieser Mitarbeiter könnte schließlich selbst im Urlaub sein.
Der schnelle 30-Minuten-Check
Wenn die Zeit knapp ist, können Unternehmen die wichtigsten Punkte auch einfach anhand dieser Reihenfolge prüfen:
- 0–5 Minuten: Benutzerkonten und Berechtigungen kontrollieren
- 5–8 Minuten: MFA für wichtige Konten prüfen
- 8–13 Minuten: Backup und letzte Sicherungen kontrollieren
- 13–18 Minuten: Offene Sicherheitsupdates prüfen
- 18–21 Minuten: Mitarbeiter und Urlaubsvertretungen für Phishing sensibilisieren
- 21–25 Minuten: IT-Ansprechpartner und Vertretung festlegen
- 25–30 Minuten: Notfallkontakte und wichtige Informationen zusammentragen
Nach einer halben Stunde ist die IT natürlich nicht automatisch vollständig abgesichert.
Aber die Wahrscheinlichkeit, dass ein vermeidbares Problem während der Urlaubszeit unnötig groß wird, lässt sich damit deutlich reduzieren.
Besonders wichtig: Nicht alles auf den letzten Tag verschieben
Der 30-Minuten-Check ist bewusst einfach gehalten.
Er ersetzt keine regelmäßige Wartung, kein professionelles Monitoring, kein funktionierendes Backup-Konzept und auch keine ganzheitliche IT-Sicherheitsstrategie.
Er soll vielmehr eine einfache Frage beantworten:
Ist unsere IT für die nächsten Wochen organisatorisch und technisch ausreichend vorbereitet?
Gerade kleine Unternehmen profitieren davon, solche Prüfungen regelmäßig durchzuführen und nicht erst dann zu reagieren, wenn bereits ein Problem entstanden ist.
Noch besser ist es, viele dieser Punkte zu automatisieren.
Updates können überwacht werden. Backups können auf Fehler kontrolliert werden.
Sicherheitslösungen können Alarme auslösen. Benutzerkonten können regelmäßig überprüft werden.
Damit wird aus einem einmaligen Urlaubscheck langfristig ein kontinuierlicher Sicherheitsprozess.
Fazit: 30 Minuten können einen großen Unterschied machen
Die Urlaubszeit sollte nicht dazu führen, dass die IT-Sicherheit eines Unternehmens in den Hintergrund rückt.
Im Gegenteil.
Wenn Mitarbeiter fehlen, Vertretungen übernehmen und wichtige Ansprechpartner nicht erreichbar sind, sollte die IT möglichst zuverlässig und störungsfrei funktionieren.
Mit einem kurzen Check lassen sich bereits wichtige Fragen beantworten:
- Sind die richtigen Personen angemeldet?
- Haben sie die richtigen Berechtigungen?
- Sind wichtige Konten durch MFA geschützt?
- Funktioniert unser Backup?
- Sind kritische Sicherheitsupdates installiert?
- Wissen unsere Mitarbeiter, worauf sie bei verdächtigen E-Mails achten müssen?
- Und wissen wir, wen wir im Notfall anrufen?
Wenn diese Fragen mit „Ja“ beantwortet werden können, ist bereits viel erreicht.
Und wenn bei einigen Punkten noch Unsicherheit besteht, ist die Urlaubszeit vielleicht genau der richtige Anlass, diese Themen einmal grundlegend anzugehen.
Denn eine sichere IT sollte nicht davon abhängen, ob gerade jemand im Büro oder am Strand ist.
Unterstützung bei IT-Sicherheit und IT-Support
Du möchtest wissen, wie gut deine IT für einen Ausfall oder einen Cyberangriff vorbereitet ist?
Matoni IT unterstützt kleine und mittelständische Unternehmen bei IT-Sicherheit, IT-Support, Monitoring und der Absicherung ihrer IT-Infrastruktur.
Sprich uns gerne an - bevor aus einem kleinen IT-Problem ein großes wird.