Sicherheit für KMU

[patriot877]

Hallo,

ich habe mal ne Frage zu Thema Sicherheit in einem KMU. Speziell würde ich gerne wissen wollen, wie ich unsere Mails besser und sicherer verwalten kann. Folgendes Szenario:

Wir sind ein kleines Unternehmen im Onlinehandel und besitzen eine eigene Domain bei unserem Hoster (ecomdata). Gerade die öffentlichen Mailadressen bringen jede Menge Spam- und Junkmails mit sich. Leider hat unser Hoster keine Einstellungen dafür, das solche Mails erst gar nicht zu uns durchkommen.

Der genutzte Virenscanner (Norton Antivirus) kann leider nicht immer zuverlässig die genannten Mails blocken. Wir suchen eine Möglichkeit, in dem wir die Mails und deren Sicherheit verbessern können.

Was würdet Ihr da empfehlen ?

 

[Fujiyama]

Vermutlich würde ich die passende Dienstleistung bei nem Systemhaus einkaufen, hier im Forum zu fragen halte ich für den falschen Ansatz.

 

[Trase]

Ein Secure E-Mail Gateway wäre da vielleicht etwas.

 

[Tornhoof]

Ggf office365 anschauen, da ggf eh schon Office im Einsatz und zumindest der Emailscanner funktioniert ganz gut.

 

[Rickmer]

Es gibt diverse Spamfilter-Dienste, die man vorschalten kann. Hornet Security, Sophos Mail Gateway usw.

Oder auf einen Mail-Hoster wechseln, der von sich aus einen kompetenten Spam-Filter bietet.

 

[kutjub]

Wenn du mit Rechnungen und Aufträgen im gewerblichen Bereich unterwegs bist, hast du eh die Verpflichtung, diese revisionssicher zu verwalten bzw. archivieren.

Die Aufbewahrungsfrist beträgt nach § 257 Abs. 4 HGB und § 147 Abs. 3 AO für Handelsbriefe, Geschäftsbriefe und steuerrelevante Unterlagen 6 Jahre. Alle anderen Unterlagen wie Inventare, Jahresabschlüsse und Handelsbücher sind 10 Jahre zu archivieren.

Egal ob 1 oder 100 Personen in der Firma arbeiten, es muss ein Gesamtkonzept her.

Archivierung, Absicherung, Ablage, Zugriffskontrolle, Verarbeitung von Kundendaten etc.

Wie ich aber merke, bist du da total ahnungslos (bitte nicht falsch verstehen).
Mach dich in diesem Bereich schlau oder hol Dir Hilfe.

Betreue einige KMU und Architeken. Die haben alles das Thema.
Willkommen in der deutschen Bürokratie

 

[patriot877]

Wie ich aber merke, bist du da total ahnungslos (bitte nicht falsch verstehen).

ja was diesen Bereich betrifft ist das tatsächlich so.

Wir sind ein kleines Unternehmen (11 Mitarbeiter) . Ich bin noch nicht so lange dabei - habe aber als Aufgabe bekommen, gerade was die IT betrifft, den ganzen Kram zu optimieren. So ist es vor mir hier so gewesen, das jeder Mitarbeiter quasi als admin auf seinem PC arbeitet, Software nach Lust und Laune installieren kann, vollen Zugriff auf das Internet hat usw. Bis vor drei Wochen gab es hier nicht mal einen Virenscanner o.ä. 🤯

Ich habe jetzt erstmal beim Hoster angefragt ob es sowas wie ein E-Mail Security Gateway gibt und ob dieses gebucht werden kann. Sollte das nicht der Fall sein, muss ich gucken ob ich mich mal mit einem örtlichen Systemhaus in Verbindung setze. Da ich voher in einem städtischem Betrieb gearbeitet habe, weiss ich das diese nicht ganz billig sind - bei ein Unternehmen wie unserem ist dies natürlich auch ein Faktor.

 

[Azghul0815]

Spamfilter Kannst du einkaufen mit Software, da ist das Systenhaus mit am Besten für Beratung geeignet. Zusätzlich kommt das Thema DSGVO zum tragen. Das kann auch schnell teuer werden und ansonsten...Mitarbeiter sensibilisieren mit einer Fake Phishing Kampagne.
Kann man auch einkaufen.

Meine Butze verkauft Lösungen im dem Bereich, aber halt nutlr im Enterprise Bereich.

 

[Joe Dalton]

/Wir sind ein kleines Unternehmen (11 Mitarbeiter) . Ich bin noch nicht so lange dabei - habe aber als Aufgabe bekommen, gerade was die IT betrifft, den ganzen Kram zu optimieren. So ist es vor mir hier so gewesen, das jeder Mitarbeiter quasi als admin auf seinem PC arbeitet, Software nach Lust und Laune installieren kann, vollen Zugriff auf das Internet hat usw. Bis vor drei Wochen gab es hier nicht mal einen Virenscanner o.ä. 🤯

Du hast den MS Defender durch Norton abgelöst?

Ich habe jetzt erstmal beim Hoster angefragt ob es sowas wie ein E-Mail Security Gateway gibt und ob dieses gebucht werden kann. Sollte das nicht der Fall sein, muss ich gucken ob ich mich mal mit einem örtlichen Systemhaus in Verbindung setze.

Du solltest schauen, dass Du nicht nur ein Produkt buchst, sondern eine Lösung bekommst. Nur letzteres bringt euch einen nennenswerten Vorteil.

Da ich voher in einem städtischem Betrieb gearbeitet habe, weiss ich das diese nicht ganz billig sind - bei ein Unternehmen wie unserem ist dies natürlich auch ein Faktor.

Es ist ein einfacher Tausch: Deren Know-how gegen euer Geld. Wenn Du genügend Zeit und Wissen hast, kannst Du Dich auch selbst in die Materie einarbeiten. Da alle nur mit Wasser kochen, ist es eine valide Option.
Setzt natürlich voraus, dass Du dann die steilere Lernkurve auch bewältigst und immer am Ball bleibst.
Oh... dann relativieren sich die "nicht ganz billigen" Preise auf einmal.

 

[patriot877]

Du hast den MS Defender durch Norton abgelöst?

auf Wunsch der Geschäftsführung ja.

 

[Drewkev]

@patriot877
Nicht alles was die Geschäftsführung will ist sinnvoll.

 

[nutrix]

Norton als Unternehmenslösung oder nur als Einzelplatzvariante?
https://de.norton.com/products/small-business#

Als Buisnessvariante mit zentraler Clientverwaltung kann das durchaus sinnvoll sein, wenn man sich die Preise bei Microsoft so anschaut.

 

[Nero FX]

Virenscanner bringt keine Sicherheit... wichtiger ist ein Rechte, Software und Patchmanagement.

Auch eine anständige Firewall bzw. Notdürftig ein OpenDNS Account mit Filterung ist elementar.
So siehst du ob ggf. Schadsoftware oder unerwünschte Dienste über euren Anschluss laufen.

Du musst quasi in Echtzeit wissen wenn es kritisch Updates für die von euch eingesetzte Software gibt. Das bringt 10x mehr als jeder Virenscanner.

Einziger Grund für einen Virenscanner außer dem Windows Defender ist das zentrale Management.
Damit du sofort merkst wenn auf einem Rechner was schiefgelaufen ist! Dann ist das Kind aber schon in den Brunnen gefallen wenn der Virenscanner greift.

 

[patriot877]

Norton als Unternehmenslösung oder nur als Einzelplatzvariante?
https://de.norton.com/products/small-business#

Als Buisnessvariante mit zentraler Clientverwaltung kann das durchaus sinnvoll sein, wenn man sich die Preise bei Microsoft so anschaut.

ja hier ist das Norton Small Business installiert. Ich finde allerdings keine Konfigurationsmöglichkeiten für den Email-Versand oder Empfang bzw. dessen Überprüfung!

 

[ElCollectore]

Ich gehe jetzt nur auf die E-Mail Thematik ein, hier komplette Sicherheitskonzepte nur im Ansatz zu besprechen macht keinen Sinn.

Eine Vorfilterung der Mails über einen externen Anbieter macht meiner Meinung immer Sinn.
Hierfür gibt es einige Anbieter, aus Erfahrung kann ich selbst Hornet Security empfehlen(haben auch schon einige andere Anbieter durch) https://www.hornetsecurity.com/de/services/spamfilter-email-malware-protection/
Allerdings erfordert die Einrichtung ein wenig Know-How. Zudem solltest du dich unteranderem mit SPF und DKIM auseinandersetzen.

Zusätzlich kannst du mit allen professionellen Firewalls(Sophos, Watchguard, Zyxel,......) den Mailverkehr filtern. Erfordert meistens eine zusätzliche Lizenz.

Ein weiterer sehr wichtiger Punkt sind jährliche Mitarbeiterschulungen in Bezug auf Spam und Phishing.
Am besten auch unangekündigte Phishing-Kampagnen durchführen.
Wer hier spart hats nicht verstanden.

 

[kutjub]

Was sagt denn die GF dazu?

Als erstes würde ich mit der besprechen bzw "fordern", das NIEMAND Admin Rechte bekommt und erhält. Nur der Administrator. Auch die GF nicht !

Dann festhalten, welche Software zum Einsatz kommt. Der Rest wird gelöscht.
Dann alle Systeme patchen
Zugriffskonzept danach erstellen. Wer darf was und wo ...

Da musst du dich durchfressen.
Wenn die GF nicht mitspielt, überlegen, ob du dort richtig bist.
Harte Schule

EDV = Ende der Vernunft.

 

[VDC]

https://www.bsi.bund.de/SharedDocs/...ationen/Broschueren/Cyber-Sicherheit_KMU.html

Mit ein wenig Mail filtern ist es nicht getan, das sollte aber mit der GF schnell abzuklären sein, was alles noch fehlt. Und ja, das kostet entweder Geld oder irgendwann Arbeitsplätze, das umzusetzen oder zu ignorieren.

€: gibt auch diverse Förderprogramme, die gerade solche Umsetzungen unterstützen. Ohne Systemhaus wird das allerdings nix.

 

[nutrix]

Sollte das nicht der Fall sein, muss ich gucken ob ich mich mal mit einem örtlichen Systemhaus in Verbindung setze. Da ich voher in einem städtischem Betrieb gearbeitet habe, weiss ich das diese nicht ganz billig sind - bei ein Unternehmen wie unserem ist dies natürlich auch ein Faktor.

Was bist Du von Beruf, wenn ich fragen darf? Oder was ist hier Deine genaue Funktion? Aus meiner Sicht sollte das erst mal vernünftig geplant und organisiert werden, der wirklich was davon versteht. Externe Dienstleister dazuzuholen ist keine Schande und im Gegenteil lohnenswert, wenn das Wissen nicht vorhanden ist. Dann ist es - auch wenn es Geld kostet - trotzdem billiger, als wenn eine schlechte Lösung hingepfuscht wird, die langfristig und bei Problemen nicht tragfähig ist.

 

[species_0001]

Bei der Systemhaus Geschichte darf man aber nicht vergessen, auch mit der Beauftragung an ein Systemhaus braucht man eigene Expertise. Letztenendes muss man auch mit Verstand sagen können was man will, was die tun sollen, und auch mal was nicht. Für ein Systemhaus ist es sonst ein leichtes einem ggf. auch unnötige Dinge anzudrehen, wenn die merken man hat 0,0 Ahnung was man will und braucht.
Deswegen unbedingt auch eigene Expertise aufbauen.

Chef schonmal drauf vorbereiten, dass da ggf. ein Wartungsvertrag für einen mittleren 3stelligen Betrag/Monat raus kommt. Oder auf Einzelstundenabrechnung für rund 100€/h

 

[kutjub]

So sieht es aus.
Ohne Betreuung wird das nix.
Das ging in den 90ern mal so. Freitzeitadmin.

Und auch wenn man ein Systemhaus im Rücken hat, bedarf es von Sachverstand, da die Steuerung von Externen seine eigenen Tücken beinhaltet.