IKT-Minimalstandard: So schützen Sie Ihre wertvollsten Daten

Die Funktion «Schützen (Protect)» im IKT-Minimalstandard beschreibt, wie Unternehmen ihre Daten, Systeme und Mitarbeitenden vor Verlust, Manipulation und unbefugtem Zugriff schützen. Für Geschäftsführer, IT-Leitung und Verwaltungsrat ist sie zentral, weil sie direkt zur Stabilität des Betriebs, zur Risikoreduktion und zur Erfüllung von Anforderungen beiträgt. Kurz gesagt: Wer schützen will, muss Technik, Prozesse und menschliches Verhalten zusammen denken.

Was bedeutet «Schützen» im IKT-Minimalstandard konkret?

Die Funktion «Schützen (Protect)» ist eine der zentralen Säulen des IKT-Minimalstandards. Sie umfasst alle Massnahmen, die dazu dienen, die Verfügbarkeit, Integrität und Vertraulichkeit von Daten und Systemen sicherzustellen.

Für KMU bedeutet das nicht, dass sie alles gleichzeitig umsetzen müssen. Entscheidend ist, die Schutzmassnahmen so aufzubauen, dass sie zum eigenen Betrieb passen und dort Wirkung entfalten. Genau hier liegt der praktische Wert des IKT-Minimalstandards: Er hilft, Schutz nicht als Einzellösung zu verstehen, sondern als Zusammenspiel mehrerer Massnahmen.

Dazu gehören unter anderem der Schutz von Daten, klare Zugriffskontrollen, passende Schutztechnologien, die Wartung von Systemen und die Sensibilisierung der Mitarbeitenden.

Wie schützt der IKT-Minimalstandard Ihre Daten?

Datensicherheit ist eine der wichtigsten Aufgaben in jedem Unternehmen. Der IKT-Minimalstandard verlangt, dass gespeicherte und übertragene Daten vor unbefugtem Zugriff, Manipulation und Verlust geschützt werden.

Das betrifft nicht nur Dateien auf Servern oder in Anwendungen, sondern auch Informationen, die per E-Mail, über mobile Geräte oder zwischen Systemen übertragen werden. Schutz entsteht dabei nicht durch eine einzelne Massnahme, sondern durch mehrere aufeinander abgestimmte Schritte.

Wichtige Elemente sind:

• Zugriffskontrollen, damit nur berechtigte Personen auf Daten zugreifen können

• Verschlüsselung, damit Daten bei Speicherung und Übertragung geschützt bleiben

• Datensicherungen, damit Informationen bei einem Vorfall wiederhergestellt werden können

• sichere Entsorgung von Datenträgern, damit alte Daten nicht in falsche Hände geraten

Gerade im KMU-Alltag wird Datensicherheit oft auf Backups reduziert. Das greift zu kurz. Wenn Zugriffe nicht sauber geregelt sind oder alte Datenträger unkontrolliert entsorgt werden, entstehen Lücken, die sich mit wenig Aufwand vermeiden liessen.

Warum brauchen industrielle Kontrollsysteme besonderen Schutz?

Besondere Aufmerksamkeit verdienen industrielle Kontrollsysteme, also ICS- oder SCADA-Systeme. Diese Systeme steuern häufig betriebliche Abläufe und sind in Energie, Industrie oder ähnlichen Umgebungen besonders wichtig.

Das Problem: Solche Systeme sind oft älter und verfügen nicht über die gleichen Sicherheitsmechanismen wie moderne IT-Systeme. Gleichzeitig sind sie für den Betrieb besonders kritisch. Ein Sicherheitsvorfall betrifft hier nicht nur Daten, sondern kann direkte Auswirkungen auf Verfügbarkeit und Betriebsabläufe haben.

Für Unternehmen bedeutet das: Der Schutz dieser Systeme darf nicht gleich behandelt werden wie bei klassischer Büro-IT. Es braucht ein bewusstes Vorgehen, das die Besonderheiten dieser Umgebungen berücksichtigt.

Wer hier nur auf Standardmassnahmen setzt, übersieht oft die eigentlichen Risiken. Der IKT-Minimalstandard hilft, diese Schutzanforderungen systematisch einzuordnen und sichtbar zu machen.

Weshalb reichen technische Massnahmen allein nicht aus?

Technische Schutzmassnahmen sind wichtig, aber sie reichen allein nicht aus. Der IKT-Minimalstandard betont deshalb ausdrücklich die Rolle der Mitarbeitenden.

Im Alltag entstehen viele Risiken nicht nur durch fehlende Technik, sondern durch falsches Verhalten, Unsicherheit oder fehlendes Bewusstsein. Wenn Mitarbeitende Phishing-Mails nicht erkennen, Passwörter unsorgfältig verwenden oder mobile Geräte ungeschützt nutzen, helfen auch gute technische Grundlagen nur begrenzt.

Regelmässige Schulungen und Sensibilisierungsprogramme sind deshalb ein fester Bestandteil wirksamer Informationssicherheit. Sie sollen nicht belehren, sondern Orientierung geben und das richtige Verhalten im Arbeitsalltag fördern.

Wichtige Themen sind dabei:

• Phishing

• Social Engineering

• Passwortsicherheit

• Umgang mit mobilen Geräten

Wichtig ist, dass Schulungen zur Aufgabe und Verantwortung der jeweiligen Mitarbeitenden passen. Nur dann werden sie als relevant wahrgenommen und im Alltag auch umgesetzt.

Welche weiteren Schutzmassnahmen gehören dazu?

Neben Datensicherheit und Mitarbeitersensibilisierung umfasst die Funktion «Schützen (Protect)» weitere wichtige Massnahmen. Dazu gehören insbesondere Zugriffsmanagement, physische Sicherheit, Schutztechnologien und die Wartung von Systemen.

Diese Bereiche werden oft getrennt betrachtet. In der Praxis greifen sie jedoch ineinander. Wer zum Beispiel Zugriffe sauber regelt, Systeme aktuell hält und physische Zugänge absichert, reduziert Risiken an mehreren Stellen gleichzeitig.

Ein wirksamer Schutz entsteht genau durch dieses Zusammenspiel. Es geht nicht um möglichst viele Einzelmassnahmen, sondern um einen abgestimmten Schutzschild gegen Cyberrisiken.

Aus meiner Sicht ist das ein wichtiger Punkt für Geschäftsführer und Verwaltungsrat: Gute Sicherheit entsteht selten durch ein einzelnes Werkzeug. Sie entsteht dann, wenn technische, organisatorische und menschliche Massnahmen zusammenpassen.

Wie lässt sich das im KMU pragmatisch umsetzen?

Viele KMU fragen sich zu Recht, wo sie anfangen sollen. Der sinnvollste Einstieg ist meist nicht ein grosses Projekt, sondern ein klarer erster Überblick über die wichtigsten Schutzlücken.

Ein pragmatisches Vorgehen kann so aussehen:

1. Prüfen Sie, welche Daten und Systeme für Ihren Betrieb besonders wichtig sind.

2. Stellen Sie sicher, dass Zugriffe nur den Personen gewährt werden, die sie wirklich brauchen.

3. Überprüfen Sie, ob gespeicherte und übertragene Daten angemessen geschützt sind.

4. Kontrollieren Sie, ob Datensicherungen vorhanden und im Ernstfall nutzbar sind.

5. Planen Sie regelmässige Schulungen für Mitarbeitende.

6. Achten Sie besonders auf ältere oder kritische Systeme, etwa in der Produktion oder Steuerung.

Dieses Vorgehen schafft Klarheit und Prioritäten. Gerade für KMU mit begrenzten Ressourcen ist das entscheidend, weil nicht alles gleichzeitig umgesetzt werden kann.

Praxisbezug: Ein realistisches Beispiel aus dem KMU-Alltag

Ein mittelgrosses Unternehmen aus der Industrie hat seine Produktion und seine Büro-IT über Jahre schrittweise digitalisiert. Die Daten werden gesichert, aber Zugriffe sind historisch gewachsen, Schulungen finden nur unregelmässig statt, und ein älteres Steuerungssystem läuft seit Jahren stabil, wurde aber sicherheitstechnisch kaum überprüft.

Mit Blick auf die Funktion «Schützen (Protect)» geht das Unternehmen Schritt für Schritt vor: Zuerst werden die wichtigsten Daten und Systeme identifiziert. Danach werden Zugriffsrechte bereinigt, Datensicherungen geprüft und Mitarbeitende gezielt zu Phishing und Passwortsicherheit geschult. Gleichzeitig wird dem älteren Steuerungssystem besondere Aufmerksamkeit gegeben, weil es für den Betrieb kritisch ist und nicht die gleichen Sicherheitsmechanismen wie moderne Systeme bietet.

Der Nutzen ist klar: Das Unternehmen verbessert seinen Schutz nicht nur auf dem Papier, sondern dort, wo der Alltag tatsächlich Risiken schafft.

Mein Experten-Tipp

Die Funktion «Schützen (Protect)» im IKT-Minimalstandard zeigt, dass wirksame Sicherheit aus mehreren Bausteinen besteht. Wenn Sie Ihre Daten schützen, Zugriffe regeln, Mitarbeitende einbeziehen und kritische Systeme bewusst absichern, schaffen Sie eine belastbare Grundlage für Ihren Betrieb.

Mein Rat: Starten Sie mit einer ehrlichen Bestandsaufnahme Ihrer wichtigsten Daten, Systeme und Schutzlücken.

Möchten Sie den IKT-Minimalstandard in Ihrem Unternehmen pragmatisch umsetzen? Ich unterstütze Sie dabei, Schutzmassnahmen verständlich zu priorisieren und in eine realistische Roadmap zu überführen.

Häufig gestellte Fragen

Was ist mit «Schützen (Protect)» im IKT-Minimalstandard gemeint?
Gemeint sind alle Massnahmen, die Daten, Systeme und Mitarbeitende so absichern, dass Verfügbarkeit, Integrität und Vertraulichkeit gewährleistet bleiben.

Reichen Backups aus, um Daten zu schützen?
Nein. Backups sind wichtig, aber sie sind nur ein Teil des Schutzes. Ebenso wichtig sind Zugriffskontrollen, Verschlüsselung und klare Prozesse.

Warum sind Mitarbeitende ein Teil der Schutzfunktion?
Weil Sicherheitsvorfälle oft auch durch menschliches Verhalten entstehen. Schulung und Sensibilisierung helfen, Risiken im Alltag zu reduzieren.

Warum sind ICS- und SCADA-Systeme besonders kritisch?
Weil sie oft älter sind, weniger Schutzmechanismen haben und direkt mit wichtigen Betriebsabläufen verbunden sind.