Bedrohungen frühzeitig erkennen: Was der IKT-Minimalstandard fordert

Wer Cyberangriffe erst bemerkt, wenn der Schaden bereits eingetreten ist, hat zu lange gewartet. Der IKT-Minimalstandard fordert von Unternehmen deshalb nicht nur Schutzmassnahmen, sondern auch eine klare Fähigkeit zur frühzeitigen Erkennung von Bedrohungen. Als CISO erlebe ich täglich, wie entscheidend genau diese Fähigkeit ist – und wie viele KMU sie noch unterschätzen.

Warum «Erkennen» mehr ist als ein Alarm

Viele Unternehmen investieren in Firewalls, Antivirensoftware und Zugriffskontrollen. Das ist richtig und wichtig. Doch Schutz allein reicht nicht aus. Angreifer werden früher oder später eine Lücke finden – die entscheidende Frage ist dann: Wie schnell merken wir es?

Die Funktion «Erkennen» (Detect) im IKT-Minimalstandard adressiert genau das. Sie bildet die Grundlage für eine proaktive Cyberabwehr: Nicht erst reagieren, wenn es brennt, sondern die ersten Anzeichen eines Angriffs so früh wie möglich identifizieren.

Was bedeutet «normales Verhalten» – und warum ist es so wichtig?

Der erste Schritt zur Erkennung von Anomalien ist ein tiefes Verständnis dafür, wie die eigenen Systeme im Normalzustand funktionieren. Der IKT-Minimalstandard fordert, dass Unternehmen Standardwerte für zulässige Netzwerkoperationen und Datenflüsse definieren und diese laufend pflegen.

Klingt technisch – ist aber im Kern einfach: Wer weiss, was normal ist, erkennt Abweichungen sofort. Ein Datentransfer um 3 Uhr morgens, ein Nutzer, der plötzlich auf Systeme zugreift, die er nie gebraucht hat, oder ein ungewöhnlich hoher Netzwerkverkehr – all das sind mögliche Warnsignale.

In meiner Arbeit zeigt sich immer wieder: Die Korrelation von Daten aus verschiedenen Quellen und Systemen ist entscheidend, um ein vollständiges Bild einer Bedrohung zu erhalten. Ein einzelnes Ereignis wirkt harmlos. Erst im Zusammenhang wird das Muster sichtbar.

Kontinuierliches Monitoring: Das Fundament der Bedrohungserkennung

Kontinuierliches Monitoring bedeutet, dass IT-Systeme und alle Betriebsmittel in regelmässigen Abständen überwacht werden – nicht nur einmal im Jahr bei einem Audit, sondern fortlaufend.

Was das in der Praxis umfasst:

• Netzwerkmonitoring: Laufende Überwachung des Datenverkehrs auf auffällige Muster

• Endgeräte: Erkennung von Schadsoftware auf allen Geräten im Unternehmen

• Physische Betriebsmittel und Gebäude: Auch der physische Zugang zu Systemen gehört zur Überwachung

• Aktivitäten von Mitarbeitenden und externen Dienstleistern: Wer greift wann auf was zu?

• Schwachstellen-Scans: Regelmässige Prüfungen, um Lücken zu finden, bevor Angreifer sie ausnutzen

Gerade der letzte Punkt wird in vielen KMU vernachlässigt. Schwachstellen-Scans sind kein einmaliges Projekt, sondern ein laufender Prozess. Systeme verändern sich, neue Lücken entstehen – wer nicht regelmässig prüft, tappt im Dunkeln.

Bedrohungen erkennen braucht klare Prozesse – nicht nur Technik

Die beste Monitoring-Infrastruktur nützt wenig, wenn niemand weiss, was im Ernstfall zu tun ist. Der IKT-Minimalstandard legt deshalb fest, dass Detektionsprozesse dokumentiert, getestet und regelmässig aktualisiert werden müssen.

Das bedeutet konkret:

• Klare Rollen und Verantwortlichkeiten: Wer ist zuständig, wenn ein Alarm ausgelöst wird?

• Definierte Abläufe: Was passiert nach der Erkennung eines Vorfalls – intern und extern?

• Regelmässige Tests: Funktionieren die Prozesse wirklich, oder nur auf dem Papier?

• Kommunikation: Erkannte Vorfälle müssen zeitnah an die richtigen Stellen gemeldet werden – intern, aber auch an Lieferanten, Kunden, Partner und Behörden, wenn nötig.

Ich stelle in meiner Arbeit sicher, dass diese Prozesse nicht nur existieren, sondern auch gelebt werden. Ein Detektionsprozess, der nie getestet wurde, ist im Ernstfall wertlos.

Praxisbeispiel: Ein Energieversorger erkennt eine Anomalie rechtzeitig

Ein Energieversorger mit rund 80 Mitarbeitenden hat im Rahmen eines ISMS-Aufbaus begonnen, sein Netzwerkmonitoring zu strukturieren. Dabei wurden erstmals Standardwerte für den normalen Datenverkehr definiert.

Wenige Wochen später schlug das System an: Ein Gerät im OT-Bereich sendete Daten an eine externe IP-Adresse – ausserhalb der Geschäftszeiten, in ungewöhnlicher Menge. Ohne das neue Monitoring wäre dieser Vorfall unbemerkt geblieben. Mit dem Monitoring konnte das Unternehmen sofort reagieren, das betroffene Gerät isolieren und den Vorfall analysieren – bevor ein grösserer Schaden entstand.

Das zeigt: Frühzeitiges Erkennen ist keine Frage der Unternehmensgrösse, sondern der richtigen Prozesse und Werkzeuge.

Jetzt den ersten Schritt machen

Überprüfen Sie, ob Ihr Unternehmen heute in der Lage ist, Anomalien in Ihren Systemen zu erkennen. Wenn Sie diese Frage nicht klar mit «Ja» beantworten können, ist das der Startpunkt. Definieren Sie, was in Ihrem Netzwerk «normal» ist – alles andere folgt daraus.

Bereit, Ihre Erkennungsfähigkeit zu stärken?

Ich helfe Ihnen, die richtigen Prozesse und Massnahmen aufzubauen – praxisnah, verständlich und passend zu Ihrer Unternehmensgrösse.

Nehmen Sie Kontakt auf und wir schauen gemeinsam, wo Sie heute stehen.

Häufige Fragen

Was versteht der IKT-Minimalstandard unter «Erkennen»?
Die Funktion «Erkennen» umfasst alle Massnahmen, die dazu dienen, Cyberangriffe und sicherheitsrelevante Ereignisse möglichst früh zu identifizieren. Dazu gehören Monitoring, Anomalieerkennung und klare Detektionsprozesse.

Brauche ich als KMU ein eigenes Security-Team für das Monitoring?
Nein. Viele KMU setzen auf externe Unterstützung oder nutzen Managed-Security-Dienste. Entscheidend ist, dass das Monitoring stattfindet und klare Prozesse vorhanden sind – nicht, wer es intern umsetzt.

Wie oft sollten Schwachstellen-Scans durchgeführt werden?
Mindestens quartalsweise, bei kritischen Systemen häufiger. Wichtig ist, dass die Ergebnisse auch ausgewertet und Massnahmen abgeleitet werden.

Was passiert, wenn ein Vorfall erkannt wird – muss ich das melden?
Das hängt von der Art des Vorfalls und Ihrer Branche ab. Unternehmen der kritischen Infrastruktur unterliegen in der Schweiz einer Meldepflicht bei schwerwiegenden Cybervorfällen. Im Zweifelsfall sollten Sie rechtliche und regulatorische Anforderungen frühzeitig klären.