Lesezeit: 5 Minuten

Was Unternehmen und Steuerberater effektiv für ihre IT-Sicherheit tun können

In unserem Blog in der vergangenen Woche haben wir die Thematik rund um die Phishingangriffe aufgegriffen und erklärt, welche Gefahren von diesen Angriffen für Unternehmen und Steuerberater ausgehen.

In diesem zweiten Teil legen wir den Fokus auf die Maßnahmen, die Unternehmen einleiten können, um sich vor solchen Angriffen zu schützen. Ein wirksamer Phishing-Schutz entsteht durch das Zusammenspiel technischer, organisatorischer und menschlicher Maßnahmen. Keine einzelne Sicherheitslösung kann sämtliche Angriffe verhindern. Entscheidend ist daher ein ganzheitliches Sicherheitskonzept, das regelmäßig überprüft und angepasst wird.

Blog-Tipp: Phishing-Angriffe Teil 1: Warum Unternehmen und Steuerberater besonders gefährdet sind

Mitarbeitende regelmäßig sensibilisieren

Mitarbeitende sollten regelmäßig darin geschult werden, Phishing, Social Engineering und gefälschte Aufforderungen zu erkennen. Die Inhalte sollten möglichst praxisnah gestaltet werden und typische Situationen aus dem jeweiligen Arbeitsalltag aufgreifen.

Ebenso wichtig sind klare Meldewege. Wenn eine verdächtige Nachricht ohne Angst vor Vorwürfen gemeldet werden kann, lassen sich weitere Schäden häufig vermeiden. Entscheidend ist, dass bekannt ist, an wen sich Mitarbeitende im Zweifelsfall wenden können.

Mehr-Faktor-Authentifizierung einsetzen

Die Mehr-Faktor-Authentifizierung bietet zusätzlichen Schutz, wenn ein Passwort bereits erbeutet wurde. Für E-Mail-Konten, Cloud-Anwendungen, Finanzsysteme und Administrationszugänge sollte sie verbindlich aktiviert werden.

Bei der Anmeldung wird neben dem Passwort ein weiterer Faktor benötigt. Je nach Lösung kann es sich dabei beispielsweise um eine Authenticator-App, einen Sicherheitsschlüssel oder einen Passkey handeln. Moderne Verfahren erschweren es Angreifenden deutlich, ein Konto allein mit gestohlenen Zugangsdaten zu übernehmen.

E-Mail-Sicherheit technisch verbessern

Viele Phishingnachrichten können bereits vor der Zustellung erkannt und blockiert werden. Dazu werden unter anderem Spam- und Phishingfilter, Schadsoftwareerkennung, URL-Analysen und Anhangsprüfungen eingesetzt.

Darüber hinaus sollte die eigene E-Mail-Domain durch geeignete Authentifizierungsverfahren geschützt werden.  Auch moderne technische Schutzmechanismen wie IP-Reputationsprüfungen und Greylisting können dazu beitragen, schädliche oder gefälschte Nachrichten frühzeitig abzuweisen.

Zugriffsrechte begrenzen

Nicht jedes Benutzerkonto sollte auf alle Systeme und Daten zugreifen können. Zugriffsrechte sollten nach dem Prinzip der geringstmöglichen Berechtigung vergeben werden. Dadurch kann der Schaden begrenzt werden, wenn ein einzelnes Konto kompromittiert wird.

Besonders sensible Bereiche sollten zusätzlich geschützt werden. Dazu gehören Administrationszugänge, Finanzsysteme und Anwendungen mit umfangreichen Datenbeständen. Die vergebenen Berechtigungen sollten regelmäßig überprüft und nicht mehr benötigte Konten zeitnah deaktiviert werden.

Blog-Tipp: Backup- & Disaster-Recovery: Unumstößliche Datensicherungs-Konzepte für den Ernstfall

Zahlungsprozesse absichern

Zahlungen und Änderungen von Bankverbindungen sollten niemals ausschließlich per E-Mail bestätigt werden. Ein Vier-Augen-Prinzip und eine unabhängige Rückfrage können verhindern, dass gefälschte Zahlungsanweisungen umgesetzt werden.

Für Unternehmen und Kanzleien empfiehlt es sich, verbindliche Prozesse festzulegen. Dazu können Freigabegrenzen, definierte Zuständigkeiten und Rückrufe unter bereits bekannten Telefonnummern gehören.

Systeme aktuell halten

Veraltete Betriebssysteme, Browser, E-Mail-Programme und Fachanwendungen können zusätzliche Einfallstore bieten. Sicherheitsupdates sollten daher zeitnah installiert werden. Dabei dürfen auch mobile Geräte, VPN-Lösungen, Firewalls und Cloud-Anwendungen nicht außer Acht gelassen werden.

Backups prüfen

Backups verhindern keinen Phishingangriff, können die Folgen eines erfolgreichen Angriffs jedoch deutlich begrenzen. Sicherungskopien sollten regelmäßig erstellt und getrennt vom Produktivsystem aufbewahrt werden. Zusätzlich sollte in regelmäßigen Abständen geprüft werden, ob sich Daten tatsächlich wiederherstellen lassen.

Notfallplan vorbereiten

Für den Ernstfall sollten klare Zuständigkeiten und Kommunikationswege festgelegt werden. Es sollte bekannt sein, wer einen Vorfall entgegennimmt, betroffene Konten sperrt, die Geschäftsleitung informiert und gegebenenfalls Banken, IT-Dienstleister oder Behörden kontaktiert.

Blog-Tipp: Awareness in der IT-Sicherheit – regelmäßig aktuell halten

Was ist bei einem vermuteten Phishingangriff zu tun?

Wenn auf einen verdächtigen Link geklickt oder ein unerwarteter Anhang geöffnet wurde, sollte unverzüglich reagiert werden. Zunächst sollten keine weiteren Eingaben vorgenommen werden. Werden noch Zugangsdaten oder Zahlungsinformationen abgefragt, sollte der Vorgang sofort beendet werden.

Anschließend sollte der Vorfall der zuständigen IT-Stelle oder dem betreuenden IT-Dienstleister gemeldet werden. Das betroffene Gerät sollte nach Rücksprache vom Netzwerk getrennt werden. Ein eigenständiges Ausschalten sollte vermieden werden, da dadurch unter Umständen wichtige Spuren verloren gehen.

Zugangsdaten sollten möglichst von einem nachweislich sicheren Gerät aus geändert werden. Wurde ein Passwort an mehreren Stellen verwendet, muss es auch dort ersetzt werden. Zusätzlich sollten aktive Sitzungen, angemeldete Geräte und Weiterleitungsregeln des betroffenen E-Mail-Kontos überprüft werden.

Wenn bereits eine Zahlung veranlasst oder eine Bankverbindung geändert wurde, sollte sofort die Bank kontaktiert werden. Alle relevanten Informationen wie E-Mails, Anhänge, Zeitpunkte und bereits durchgeführte Maßnahmen sollten dokumentiert werden.

Je nach Art und Umfang des Vorfalls können außerdem datenschutzrechtliche, versicherungsrechtliche oder strafrechtliche Schritte erforderlich sein. Eine fachkundige Prüfung sollte deshalb möglichst frühzeitig erfolgen.

Phishing erkennen und Risiken gezielt reduzieren

Phishingangriffe sind eine reale Gefahr für Unternehmen jeder Größe und Branche sowie für Steuerberatungskanzleien. Gefälschte E-Mails, Webseiten, QR-Codes, SMS und Telefonanrufe werden eingesetzt, um Zugangsdaten, Geld oder vertrauliche Informationen zu erbeuten.

Ein wirksamer Phishing-Schutz umfasst regelmäßige Schulungen, eine sichere E-Mail-Konfiguration, Mehr-Faktor-Authentifizierung, aktuelle Systeme, begrenzte Zugriffsrechte, geprüfte Backups und klare Notfallpläne.

Das Team von MC-Netzwerke betreut Steuerberater, Unternehmen und andere Organisationen bundesweit im Bereich Digitalisierung und unterstützt diese auch im Bereich IT-Sicherheit und Cloud-Lösungen. Nehmen Sie einfach mit uns Kontakt auf und wir erstellen Ihnen gerne ein praxisnahes und individuelles Angebot.

Dieser Artikel dient zur allgemeinen Erstinformation, ersetzt keine fachliche und individuelle Beratung und erhebt keinen Anspruch auf Vollständigkeit.

Sollten Sie sich unsicher sein, ob Ihre IT-Lösung Schwachstellen hat, nehmen Sie gerne mit uns Kontakt auf.