Warum mehrere Schichten? Weil jede fängt, was die vorige durchlässt.
Keine einzelne Maßnahme hält jeden Angriff auf – zusammen lassen sie kaum etwas durch. Und wenn doch etwas durchkommt, sorgt die nächste Schicht dafür, dass aus einem befallenen Rechner keine befallene Firma wird:
Vor dem Client: Die Mail-Security sortiert bösartige Anhänge und Phishing-Links aus, bevor sie ein Postfach erreichen; die Firewall prüft mit HTTPS-Scan und Webfilter auch verschlüsselte Verbindungen zu kompromittierten Webseiten. Auf dem Client: Verwaltetes AV/EDR/XDR erkennt verhaltensbasiert, was neu oder getarnt ist, und Patchmanagement nimmt Angriffen den Ansatzpunkt. Der Witz ist die Kette: Jede Schicht fängt, was die vorige durchlässt – die Quoten multiplizieren sich. Und für den einen Klick, den keine Technik verhindert, gibt es die menschliche Firewall: Awareness-Training.
Segmentierung teilt Ihr Netz in Zonen: Arbeitsplätze, Server, Gäste, Maschinen – getrennt durch Firewall-Regeln. Client-Isolation sorgt dafür, dass sich Arbeitsplätze gar nicht erst gegenseitig sehen, IDS/IPS in der Firewall erkennt das typische Such- und Ausbreitungsverhalten, und EDR isoliert einen auffälligen Rechner automatisch vom Netz. Ergebnis: Der Vorfall bleibt im Segment – wie im Schaubild.
Moderne Ransomware wartet, bis auch Ihre Sicherungen befallen sind. Deshalb liegen Backups nach dem 3-2-1-Prinzip verschlüsselt außer Reichweite – mit Versionsständen, die Wochen zurückreichen. Monitoring und Alarme melden Auffälligkeiten, bevor der Countdown abläuft.
Wenn es trotz allem knallt: Die Wiederherstellung ist getestet, nicht gehofft. Das IT-Notfallhandbuch legt vorher fest, wer was tut – Rollen, Meldewege, Wiederanlauf. Und weil die Segmentierung den Schaden begrenzt hat, reden wir über einen unangenehmen Tag, nicht über drei Wochen. Im Servicevertrag ist das alles ein System, kein Bausatz.
Spielen Sie es durch: Wie viel fängt jede Schutzschicht ab?
Angriffe laufen automatisiert – jeden Tag, gegen jeden. Ohne Zusatzschutz bleibt je Arbeitsplatz ein Restrisiko von ~15 % pro Jahr (9 % über E-Mail, 6 % über kompromittierte Webseiten). Haken Sie an, was bei Ihnen im Einsatz ist – und sehen Sie, was übrig bleibt:
Auf null kommt niemand – genau deshalb gehören zwei Schichten dazu, die keine Wahrscheinlichkeit senken, sondern den Schaden begrenzen, wenn es das Restrisiko trifft: Netzwerksegmentierung (aus „eine Firma verschlüsselt“ wird „ein Rechner tauschen“) und getestete Backups außer Reichweite (machen Erpressung wirkungslos). Beides zusammen ist der Unterschied zwischen drei Wochen Stillstand und einem unangenehmen Tag.
Modellrechnung mit bewusst konservativen Wirksamkeitswerten (Herstellertests wie AV-TEST/MITRE liegen höher); Ausgangsrisiko abgeleitet aus der Bedrohungslage laut BSI-Lagebericht. Keine Garantie – aber eine ehrliche Größenordnung.
Davon raten BSI und Polizei ab – und wir auch. Zahlung garantiert weder Entschlüsselung noch Ruhe (wer zahlt, wird gerne wieder besucht). Der verlässliche Weg ist eine Sicherung, die den Angriff überlebt hat. Genau die bauen wir.
Gerade dann. Angriffe laufen automatisiert und suchen sich die schwächsten Ziele – nicht die größten. Ein Tag Stillstand kostet auch einen Fünf-Mann-Betrieb bares Geld.
Nein. Virenschutz ist eine Schicht von vieren. Gegen einen Verschlüsselungstrojaner, der schon drin ist, helfen nur Segmentierung und ein Backup außer Reichweite.
Cloud-Dienste schützen vor Hardware-Ausfall, nicht vor Verschlüsselung oder versehentlichem Löschen. Auch Microsoft-365-Daten brauchen eine eigene Sicherung.
Weniger als ein einziger Stillstand. Die Bausteine laufen bei uns im Servicevertrag zum monatlichen Fixpreis – in der kostenlosen Erstberatung rechnen wir Ihnen das konkret vor.
