IT-Sicherheit & EDR
Der klassische Virenscanner erkennt, was er kennt. Moderne Angriffe sehen bei jedem Opfer anders aus. IT-Sicherheit für Hamburger Mittelständler heißt heute, das Verhalten auf den Geräten zu beobachten und bei Auffälligkeiten sofort einzugreifen.
Ein typischer Angriff auf einen Mittelständler läuft heute so ab. Jemand aus der Buchhaltung bekommt eine Mail, die aussieht wie die Antwort auf eine echte Bestellung. Der Anhang öffnet ein Makro, das Makro lädt ein kleines Programm nach. Zwei Wochen lang passiert nichts Sichtbares. Dann werden an einem Sonntagabend alle Dateien verschlüsselt.
In diesen zwei Wochen hätte man den Angriff stoppen können. Genau dafür ist EDR da.
Was ist EDR überhaupt?
EDR steht für Endpoint Detection and Response, also etwa Erkennung und Reaktion auf dem Endgerät. Ein klassischer Virenscanner vergleicht Dateien mit einer Liste bekannter Schädlinge. EDR schaut stattdessen zu, was Programme tun. Wenn ein Word-Dokument plötzlich die Eingabeaufforderung startet und die anfängt, Dateien im Netzlaufwerk umzubenennen, ist das auffällig, auch wenn die Datei selbst unbekannt ist.
Der zweite Teil ist die Reaktion. Bei einem Fund wird das betroffene Gerät automatisch vom Netz getrennt, damit sich nichts weiterverbreitet. Danach schaut ein Mensch drauf.
Was leisten wir?
IT-Sicherheit ist kein Produkt, das man einmal installiert. Wir betreuen vier Bereiche laufend.
EDR auf allen Endgeräten
Jeder Rechner, jedes Notebook und jeder Server bekommt einen Agenten. Der meldet verdächtiges Verhalten an eine zentrale Konsole, die wir überwachen. Bei einem bestätigten Fund isolieren wir das Gerät automatisch.
Was Sie davon merken: fast nichts. Ein Fehlalarm pro Quartal ist normal, dann meldet sich jemand von uns bei Ihnen.
Firewall-Management
Regelwerk pflegen, Updates einspielen, VPN-Zugänge für Außendienst und Homeoffice einrichten. Wir schauen uns auch an, welche Regeln noch aus einem Projekt von vor vier Jahren stammen und längst niemand mehr braucht.
Offene Ports ins Internet sind der häufigste Einstiegspunkt, den wir bei Neukunden finden.
Zugänge absichern
Mehrstufige Anmeldung für alle Benutzer, Sperren für Anmeldungen aus Regionen, in denen Sie keine Mitarbeitenden haben, und Richtlinien für Kennwörter. Das kostet Ihre Leute etwa zehn Sekunden am Tag und verhindert den Großteil der Kontoübernahmen.
Patch-Management
Betriebssystem und die üblichen Programme werden nach Zeitplan aktualisiert. Kritische Sicherheitsupdates spielen wir innerhalb von 72 Stunden ein, den Rest im monatlichen Wartungsfenster.
Was wir nicht machen: Wir betreiben kein eigenes Sicherheitszentrum mit Analysten rund um die Uhr. Für Betriebe mit 5 bis 100 Arbeitsplätzen wäre das weder bezahlbar noch nötig. Wenn Sie nach NIS2 oder einer Zertifizierung verpflichtet sind, ein solches Zentrum nachzuweisen, brauchen Sie einen spezialisierten Anbieter. Das sagen wir Ihnen im Erstgespräch.
Für wen passt das?
Das passt zu Ihnen, wenn
- Sie noch einen klassischen Virenscanner einsetzen und wissen, dass das dünn ist.
- Ihre Mitarbeitenden aus dem Homeoffice oder unterwegs arbeiten.
- Sie Daten verarbeiten, deren Verlust Sie in Erklärungsnot bringen würde.
- Ihre Versicherung oder ein Großkunde Nachweise zur IT-Sicherheit verlangt.
- niemand im Haus regelmäßig Sicherheitsupdates kontrolliert.
Das passt nicht, wenn
- Sie eine Zertifizierung nach ISO 27001 anstreben und dafür einen Auditor mit Branchenerfahrung brauchen. Wir liefern die technische Seite, nicht das Zertifikat.
- Sie kritische Infrastruktur betreiben und gesetzlich zur Meldung an das BSI verpflichtet sind. Dafür sind Anbieter mit entsprechender Zulassung zuständig.
So läuft die Zusammenarbeit ab
-
Bestandsaufnahme
Wir schauen uns an, was heute läuft. Welcher Virenschutz, welche Firewall, welche Ports sind offen, wer hat administrative Rechte.
-
Die dringenden Punkte
Sie bekommen eine Liste, sortiert nach Risiko. Offene Zugänge und Konten ohne zweiten Faktor stehen oben, kosmetische Punkte unten.
-
Einführung
EDR wird ausgerollt, meist über ein Wochenende. Firewall-Regeln räumen wir in einem angekündigten Wartungsfenster auf.
-
Laufender Betrieb
Wir überwachen die Konsole, spielen Updates ein und melden uns bei Auffälligkeiten. Quartalsweise bekommen Sie einen kurzen Bericht.
Häufige Fragen zur IT-Sicherheit
Der in Windows enthaltene Defender ist deutlich besser als sein Ruf. Was fehlt, ist die zentrale Konsole und der Mensch, der hineinschaut. Ein Alarm nützt wenig, wenn ihn am Sonntagabend niemand sieht. In der Lizenzstufe Business Premium ist eine EDR-taugliche Variante bereits enthalten, das prüfen wir bei der Bestandsaufnahme.
Die reine Lizenz liegt je nach Anbieter zwischen 4 und 9 Euro pro Gerät und Monat. Dazu kommt die Betreuung, also das Beobachten der Konsole und das Reagieren auf Meldungen. Im Standard-Paket ist beides enthalten, die Preise stehen unter Pakete.
Der EDR-Agent braucht spürbar weniger Leistung als die schweren Virenscanner-Pakete von vor zehn Jahren. Auf einem Gerät mit 16 GB Arbeitsspeicher merken Sie davon nichts. Auf einem sieben Jahre alten Rechner mit 4 GB merken Sie es, dort ist aber ohnehin jede Anwendung zäh.
Das betroffene Gerät wird automatisch vom Netz getrennt. Wir prüfen, wie weit der Angriff gekommen ist, sperren betroffene Konten und setzen Kennwörter zurück. Danach kommt das Backup ins Spiel, siehe Backup und Recovery. Für die Meldung an die Datenschutzbehörde innerhalb von 72 Stunden liefern wir Ihnen die technischen Angaben zu.
Das ist eine kaufmännische Entscheidung, die Sie mit Ihrem Makler treffen sollten. Was wir beobachten: Versicherer verlangen inzwischen Nachweise über mehrstufige Anmeldung, Backups und Endpoint-Schutz, bevor sie eine Police ausstellen. Diese Nachweise können wir liefern.
Wie gut ist Ihre IT-Sicherheit wirklich?
Wenn Sie das nicht sicher beantworten können, sprechen Sie mit uns. 20 Minuten am Telefon, in denen wir die üblichen Schwachstellen durchgehen. Danach wissen Sie, wo Sie stehen. Kein Verkaufsgespräch.