Informationssicherheit pragmatisch angehen: Was vor dem nächsten Vorfall stehen muss

Zuerst wissen, was schützenswert ist

Viele Sicherheitsvorhaben beginnen mit einer Produktauswahl. Sinnvoller ist ein Überblick: Welche Systeme, Daten, Schnittstellen und externen Dienstleister gibt es überhaupt? Ohne dieses Inventar bleiben Lücken unsichtbar, typischerweise bei vergessenen Testsystemen, alten Benutzerkonten oder Schnittstellen, die niemand mehr verantwortet.

Für jedes wichtige System lohnt sich eine kurze Einschätzung des Schutzbedarfs: Wie schlimm wäre es, wenn Daten abfliessen, verfälscht werden oder das System einen Tag ausfällt? Daraus ergibt sich, wo Massnahmen zuerst wirken müssen.

Verantwortung klar regeln

Informationssicherheit ist keine reine IT-Aufgabe, sondern eine Führungsaufgabe. Es braucht eine benannte Person, die den Überblick hat, und für jedes System eine verantwortliche Stelle. Ebenso wichtig: Risiken werden bewusst entschieden. Ein Risiko zu akzeptieren ist legitim, solange es eine nachvollziehbare und dokumentierte Entscheidung ist und kein Versehen.

Wenige Grundmassnahmen mit grosser Wirkung

Ein grosser Teil erfolgreicher Angriffe nutzt bekannte Schwachstellen und schwach geschützte Zugänge. Einige Grundmassnahmen senken das Risiko deshalb erheblich:

• Mehrfaktor-Authentisierung für Fernzugriffe, E-Mail, Cloud-Dienste und administrative Konten.
• Zeitnahe Updates, besonders für Systeme, die aus dem Internet erreichbar sind.
• Datensicherungen, die vom produktiven Netz getrennt sind und deren Wiederherstellung regelmässig getestet wird.
• Minimale Berechtigungen und separate Konten für administrative Tätigkeiten.
• Protokollierung, damit sich ein Vorfall im Nachhinein nachvollziehen lässt.

Keine dieser Massnahmen ist neu. Ihr Wert liegt darin, dass sie konsequent und vollständig umgesetzt werden.

Den Ernstfall vorbereiten

Ob ein Vorfall beherrschbar bleibt, entscheidet sich oft in den ersten Stunden. Ein kurzer Notfallplan klärt im Voraus, wer entscheidet, wer informiert wird und welche externen Stellen beigezogen werden. Die wichtigsten Kontaktdaten sollten auch dann verfügbar sein, wenn E-Mail und Fileserver nicht mehr funktionieren.

Dazu gehören auch die gesetzlichen Meldepflichten. In der Schweiz gilt seit dem 1. April 2025 eine Meldepflicht für Cyberangriffe, allerdings nur für Betreiberinnen und Betreiber kritischer Infrastrukturen, darunter Energie- und Wasserversorger, Verkehrsunternehmen sowie Kantons- und Gemeindeverwaltungen. Sie müssen bestimmte Angriffe innert 24 Stunden dem Bundesamt für Cybersicherheit (BACS) melden; fehlende Angaben können innert 14 Tagen nachgereicht werden, und seit dem 1. Oktober 2025 drohen bei Verstössen Bussen. Für alle anderen Organisationen ist eine Meldung an das BACS freiwillig, aber sinnvoll, weil sie zum Lagebild beiträgt und Warnungen an andere Organisationen ermöglicht.

Unabhängig davon gilt das Datenschutzgesetz für alle: Verletzungen der Datensicherheit mit voraussichtlich hohem Risiko für die betroffenen Personen sind so rasch als möglich dem EDÖB zu melden. Bei einem Vorfall in einer kritischen Infrastruktur können beide Pflichten gleichzeitig greifen.

Ein Notfallplan entfaltet seinen Nutzen erst, wenn er geübt wurde. Schon eine einstündige Besprechung eines realistischen Szenarios zeigt, wo Zuständigkeiten oder Informationen fehlen.

Dienstleister und Cloud-Dienste einbeziehen

Die Sicherheit einer Organisation endet nicht an der eigenen Firewall. Externe IT-Partner, Softwarelieferanten und Cloud-Dienste haben oft weitreichenden Zugriff. Sicherheitsanforderungen, Meldepflichten bei Vorfällen und die Möglichkeit, Daten bei einem Wechsel vollständig zurückzuerhalten, gehören deshalb in die Verträge und nicht erst in die Diskussion nach einem Vorfall.

Standards als Orientierung, nicht als Selbstzweck

Rahmenwerke wie ISO/IEC 27001, der IKT-Minimalstandard des Bundesamts für wirtschaftliche Landesversorgung oder das NIST Cybersecurity Framework bieten eine bewährte Struktur. Sie helfen, nichts Wesentliches zu übersehen und den Fortschritt messbar zu machen. Das Ziel ist jedoch nicht ein Zertifikat oder ein möglichst dickes Dokument, sondern ein Schutzniveau, das zum tatsächlichen Risiko passt.

Fazit

Ein guter Anfang ist überschaubar: ein Inventar, klare Zuständigkeiten, konsequent umgesetzte Grundmassnahmen und ein geübter Notfallplan. Darauf lässt sich schrittweise aufbauen, mit Massnahmen, die sich an Schutzbedarf und Risiko orientieren und nicht am nächsten Trend.