Damit ein Datenverlust nicht zum Super-GAU wird

Welche Folgen hat ein Datenverlust für Ihr Unternehmen? Und wie schützen Sie sich davor? Ein Überblick über die Ursachen und Massnahmen zum Schutz vor Datenverlust für Unternehmen.

Stellen Sie sich vor, in Ihrem Unternehmen gelangt niemand mehr an die täglich verwendeten Geschäftsdaten. Wichtige Dokumente, Kundenaufträge, Buchhaltung, das gesamte ERP-System oder das CRM sind nicht verfügbar. Wie lange könnte Ihr Unternehmen in einer solchen Situation bestehen?

Wie wichtig Geschäftsdaten für ein Unternehmen sind, zeigt sich unter Umständen erst bei einem Datenverlust. So manche Firma hat schon ihr blaues Wunder erleben müssen, wenn Aufträge nicht ausgeführt, Kundeninformationen nicht abgerufen, Dokumente nicht bearbeitet werden können. Das kann hohe Verluste nach sich ziehen: Gemäss der Studie Global Data Protection Index verloren 33 Prozent der untersuchten Schweizer Unternehmen innerhalb eines Jahres Geschäftsdaten, wobei jeder Datenverlust im Durchschnitt 488‘000 Franken Kosten verursacht. Grund genug für einen wirksamen Schutz!

Ursachen für Datenverlust

Die Gründe für einen Datenverlust sind vielfältig. Vielleicht fehlt ein aktuelles Backup, ein Brand oder ein Wasserrohrbruch hat Teile der IT-Infrastruktur zerstört, oder Hacker haben mittels Ransomware sämtliche Daten verschlüsselt und fordern nun Lösegeld für die Freigabe der Informationen. Aber auch weniger spektakuläre Umstände wie Unachtsamkeit oder fehlendes Wissen von Mitarbeitenden können dazu führen, dass wichtige Daten unwiderruflich gelöscht werden. Vor folgenden Gefahren sollten sich Unternehmen schützen:

1. Cyberkriminalität

Cyberattacken oder die Datenverluste wegen Malware drohen keineswegs nur grossen Unternehmen. Im Gegenteil, gerade KMU, deren IT-Schutz mitunter mangelhaft ist, sind besonders gefährdet. Die Systeme der Cyberkriminellen finden bestehende Lücken schnell und nutzen diese schamlos aus. Seit Ende 2018 treibt der Trojaner Emotet weltweit sein Unwesen und sorgt auch in der Schweiz dafür, dass Computer und Server mit Ransomware infiziert und deren Daten verschlüsselt wurden. In der Folge wurden Unternehmen mit Lösegeldforderungen von 200‘000 Franken und mehr erpresst.

Doch auch kleinere Angriffe, wie etwa der Hacker-Angriff auf die Online-Buchungssoftware von Schweizer Coiffeur-Salons sorgte für Unmut: Rund 200 Coiffeure konnten nicht mehr auf ihr Buchungssystem zugreifen und mussten wegen Terminausfällen administrativen Mehraufwand und schmerzliche Einbussen von teilweise mehreren Tausend Franken in Kauf nehmen.

2. Umwelteinflüsse und Störungen

«Ein Brand in einer Geschäftsliegenschaft oder in einer Werkstatt mit angrenzendem Büro kann dazu führen, dass Daten unwiderruflich zerstört oder Büroräume nicht mehr nutzbar sind. Dann ist es unverzeihlich, wenn man kein aktuelles Backup in der Cloud hat», sagt ein ehemaliger Feuerwehrkommandant: «Ich habe mehrmals miterlebt, wie Firmeninhaber stapelweise Aktenordner und Computer im letzten Moment aus einem brennenden Gebäude gerettet haben.» Auch ein Stromausfall oder ein Hardware-Defekt kann Einfluss auf die Verfügbarkeit der Daten haben.

Demgegenüber sind Daten in Rechenzentren weitgehend vor Ausfallsicherheit geschützt. Um die Qualitätsstufen eines Rechenzentrums zu kategorisieren, dient der sogenannte Tier-Standard. Dabei wird die Ausfallsicherheit in einer Skala von 1 bis 4 beurteilt: Während beim Level Tier 1 ein Datenverlust noch mit einem gewissen Risiko möglich ist, ist ein solcher bei Tier 4 dank kompletter Redundanz, räumlicher Distanz und doppelten Versorgungswegen kaum mehr möglich.

3. Unachtsamkeit

Auch wenn die IT-Systeme sehr gut geschützt sind, lässt sich eine grosse Sicherheitslücke technisch nicht beheben: unvorsichtige oder nicht ausreichend sensibilisierte Benutzer.  Im EY Global Information Security Survey 2018–19 bezeichnen ein Drittel der befragten Unternehmen unvorsichtige oder zu wenig sensibilisierte Benutzer als grösstes Sicherheitsrisiko – beispielsweise, wenn solche Mitarbeitenden auf einen Link in einem Phishing-Mail klicken. Oder, dass wichtige Dokumente oder ganze Verzeichnisse aus Versehen gelöscht oder beim Zurückspielen eines Backups aktuelle Daten überschrieben werden.

Unvorsichtigkeit nutzen auch Cyberkriminelle aus. Zum Beispiel mittels Phishing oder Social Engineering. Unscheinbare, aber gefährliche E-Mail-Anhänge und Links überwinden manche Firewall völlig unbeschadet und treiben auf dem Rechner und im lokalen Netzwerk ihr Unwesen, sobald sie geöffnet werden. Zudem können durch die unvorsichtige Nutzung von Social Media sensible Daten an Dritte gelangen. Oder schlecht gewartete private Geräte und verseuchte USB-Sticks schleppen Malware ein.

Prävention: Schutz vor Datenverlust

Um einen Datenverlust im Unternehmen zu verhindern, genügt es nicht, sämtliche Daten lokal redundant zu speichern. Bei einem Ausfall von Teilen der IT-Infrastruktur müssen die Anwendungen und sämtliche aktuellen Datenzustände trotzdem zur Verfügung stehen. Dazu muss man wissen, wo welche Daten vorhanden sind und wie sie genutzt werden können.

Auch IT-Sicherheitsmassnahmen reduzieren das Risiko von Datenverlusten.

• Überblick: Eine Bestandesanalyse aller Daten und Backups ist Voraussetzung dafür, dass diese im Notfall schnell und integral genutzt werden können. Die verantwortlichen Personen haben die Informationen, wo Daten lokal gespeichert werden, wann welche Backups gemacht werden, welche PCs, Mobilgeräte, externe Festplatten genutzt werden, welche Daten auf einem Server oder in der Cloud vorhanden sind etc.
• Updates: Anwendungen, Betriebssysteme,  Webbrowser, Virenschutz und Firewall müssen stets aktuell gehalten werden, am besten mit automatischen Updates. Das gilt für die IT-Infrastruktur im Betrieb, aber auch für alle extern und im Homeoffice genutzten Computer sowie für alle privaten Geräte, welche die Mitarbeitenden im Unternehmen nutzen (BYOD). Denn: Ist die Software nicht aktuell, steigt das Risiko von Malware-Infektionen und Hacker-Angriffen aufgrund von Sicherheitslücken deutlich an.

• Backups: Es genügt nicht, wenn Mitarbeitende einzelne wichtige Dokumente und Datensätze auf USB-Sticks, externen Festplatten oder in der Cloud speichern. Um sicher zu sein, dass sämtliche Daten im Notfall sofort zur Verfügung stehen, müssen regelmässige Backups aller aktuellen Daten gemacht werden – in der Cloud und allenfalls zusätzlich lokal. Zudem muss getestet werden, ob diese Backups auch wirklich funktionieren und ob die Daten in der gewünschten Form von allen dafür bestimmten Mitarbeitenden genutzt werden können. Ein Cloud-Backup ist wichtig, weil die Sicherung nur so vor Elementarschäden oder einfach Unachtsamkeit geschützt ist.
• Prävention: Alle Mitarbeitenden wissen, wie sie sich in Notfällen verhalten und welche Personen benachrichtigt werden müssen. Entsprechend müssen die Mitarbeitenden regelmässig geschult werden. Der sichere Umgang mit Daten, E-Mail-Anhängen, zugeschickten Links, Login-Daten und Webdiensten muss allen Mitarbeitenden bekannt sein. Wer im Homeoffice oder mobil tätig ist, sollte mit einer VPN-Verbindung einen sicheren, verschlüsselten Zugang zum Firmennetzwerk erhalten.
• Notfallplan: Damit ein Unternehmen bei einem drohenden Datenverlust schnell und effektiv reagieren kann, muss ein Notfallplan für unterschiedliche Szenarien vorhanden sein. Darin wird nach Priorität aufgeführt, was bei einem Vorfall zu tun ist, welche Stellen benachrichtigt werden müssen und wie Folgeschäden verhindert werden können. In Checklisten kann etwa festgehalten werden, welche Personen unter welchen Telefonnummern erreichbar sind, welche Server und Systeme von Netz genommen werden müssen, wie der Betrieb aufrecht gehalten werden kann und wie die Daten aus einem Backup wiederhergestellt werden.