Prävention beginnt mit der Erfassung und Bewertung von Risiken. Nur wer weiß, welche IT-Systeme im Unternehmen im Einsatz sind, welche Software sich auf diesen Geräten befindet und wie sie aktuell gehalten wird, mit welchen Daten im Unternehmen umgegangen wird, kann geeignete technische Schutz-Maßnahmen ergreifen und die notwendigen Regeln definieren.

Weitere potentielle Angriffsziele gilt es zu verstehen und zu bewerten, wie z.B. den Themenkomplex Zahlungsmittel und Konten, aber auch die Online-Präsenz des Unternehmens und einzelner Personen.

Das sich so ergebende Risikobild vor Augen, gilt es technische und organisatorische Maßnahmen abzuleiten und zu implementieren.

Es lassen sich im Wesentlichen zwei Kategorien von Schutz-Maßnahmen bei Cyber unterscheiden. Dabei handelt es sich einerseits um technische, andererseits um organisatorische Maßnahmen. Es gibt Standards und Richtlinien, die bei der Definition geeigneter Maßnahmen helfen, wie z.B. der BSI-Standard (IT-Grundschutz) oder etwa die Norm ISO/IEC 27001.

Technische Maßnahmen

Die Bandbreite denkbarer geeigneter technischer Maßnahmen ist erheblich. Diese reicht von dem rein physischen Schutz der Geräte vor unbefugtem Zugriff, über das Installieren von Schutz-Software und -Systemen, bis hin zum Einsatz von Daten-Verschlüsselung und von Sicherheitskopien (Backups), die von dem Hauptsystem getrennt aufbewahrt werden.

Unter Schutz-Software und -Systemen kann man sich beispielsweise Firewalls und Paketfilter, Malware-Schutz, aber auch eine Zwei-Faktor-Authentifizierung vorstellen.

Organisatorische Maßnahmen

Wie für viele andere Lebensbereiche auch, gilt insbesondere für Cyber, dass der Faktor Mensch eine ganz entscheidende Rolle spielt. Eine Vielzahl von Schadenbildern belegt, dass selbst bei aufwändigem technischem Schutzstandard immer wieder menschliches Verhalten für einen erfolgreichen Angriff auf IT-Systeme ausschlaggebend ist. Darum ist es unabdingbar, dass ein Unternehmen Regeln aufstellt für die Verantwortlichkeit für IT-Systeme sowie den Umgang mit ihnen.

Regeln allein lösen das Problem aber nicht. Es ist notwendig, dass Mitarbeiter regelmäßig geschult und die Einhaltung der Regeln überwacht werden.