Daten im Internet schützen: was Betriebe und Beschäftigte wirklich tun sollten

Datenschutz im Netz wird meist als Verzicht diskutiert: weniger teilen, weniger nutzen, weniger klicken. In der Praxis eines kleinen Betriebs geht es um etwas anderes. Es geht darum, die wenigen Stellen abzusichern, an denen ein Fehler wirklich teuer wird: Zugänge, Postfach, Kundendaten und Sicherungen.

Passwörter sind das Fundament, nicht der Feind

Die häufigste Ursache für kompromittierte Konten ist kein raffinierter Angriff, sondern ein Passwort, das anderswo bereits abgeflossen ist. Wer dasselbe Kennwort für Onlineshop, Newsletter-Werkzeug und Redaktionssystem nutzt, verliert im Ernstfall alles gleichzeitig.

Praktikabel ist ein Passwortmanager. Er erzeugt lange Zufallskennwörter, merkt sie sich und füllt sie nur auf der richtigen Domain aus, was nebenbei einen Teil der Phishing-Versuche unwirksam macht. Für Teams gibt es geteilte Tresore, damit Zugänge beim Ausscheiden einer Person nicht verloren gehen oder ungewollt bestehen bleiben.

Zwei-Faktor überall, wo Geld oder Kundendaten hängen

Ein zweiter Faktor macht ein gestohlenes Passwort weitgehend wertlos. Priorität haben in dieser Reihenfolge: das geschäftliche E-Mail-Konto, die Domainverwaltung, Zahlungsdienste und das Redaktionssystem der Website. Das Postfach steht bewusst an erster Stelle, denn über die Funktion „Passwort vergessen“ hängen fast alle anderen Konten daran.

Als Verfahren ist eine Authenticator-App der SMS vorzuziehen. Sicherheitsschlüssel als Hardware sind noch einmal robuster und für die zwei bis drei kritischsten Konten eine überschaubare Anschaffung.

Datensparsamkeit ist auch eine Frage der Haftung

Jede Angabe, die Sie nicht erheben, kann nicht abfließen. Das gilt für Kontaktformulare mit zwölf Pflichtfeldern genauso wie für Kundenlisten, die seit Jahren mitgeschleppt werden. Zwei Fragen helfen beim Aufräumen: Wofür brauchen wir dieses Feld konkret, und wie lange müssen wir die Daten aufbewahren?

Auf der eigenen Website heißt das: kurze Formulare, keine unnötigen Einbindungen fremder Dienste und Schriften, die vom eigenen Server geladen werden statt von einem Netzwerk, das dabei die IP-Adresse Ihrer Besucher erfährt. Wir bauen Seiten aus genau diesem Grund ohne externe Schriftdienste.

Backups sind die einzige Versicherung, die immer zahlt

Verschlüsselungstrojaner, ein gelöschtes Verzeichnis, ein missglücktes Update: Das Ergebnis ist dasselbe. Wer eine aktuelle Sicherung außerhalb des betroffenen Systems hat, verliert Stunden. Wer keine hat, verliert Wochen.

Drei Punkte machen den Unterschied zwischen einem Backup und einem Backup, das im Ernstfall hilft:

• Es liegt nicht auf demselben Server wie die Daten.
• Es läuft automatisch, nicht wenn jemand daran denkt.
• Die Rücksicherung wurde mindestens einmal getestet.

Der dritte Punkt fehlt in der Praxis fast immer. Eine Sicherung, die noch nie zurückgespielt wurde, ist eine Vermutung.

Öffentliche Netze und mobile Geräte

In offenen WLAN-Netzen ist heute fast der gesamte Verkehr verschlüsselt, das Risiko ist dadurch deutlich kleiner geworden als noch vor einigen Jahren. Relevanter sind verlorene Geräte: Ein Notebook ohne Festplattenverschlüsselung und ein Telefon ohne Sperrcode geben alles preis, was darauf liegt. Beides ist in wenigen Minuten eingerichtet.

Was das mit Ihrer Website zu tun hat

Die Website ist der Teil Ihres Betriebs, der rund um die Uhr öffentlich erreichbar ist. Veraltete Systeme werden automatisiert gefunden und angegriffen, oft nicht gezielt, sondern flächendeckend. Regelmäßige Updates, ein Backup außerhalb des Servers und eine Überwachung der Erreichbarkeit decken den größten Teil dieses Risikos ab. Genau das ist der Inhalt eines Wartungspakets, und es ist der Grund, warum wir bei jedem Projekt danach fragen, wer sich nach dem Start darum kümmert.