Eine Cybersicherheitsrichtlinie ist ein grundlegendes Dokument, das deinem kleinen Unternehmen einen klaren Weg bietet, um zu erklären, wie Mitarbeitende Unternehmenssysteme, Konten, Geräte und digitale Daten schützen sollten.

Sie verwandelt Sicherheit von vereinzelten Ratschlägen in gemeinsame Erwartungen, indem sie Fragen beantwortet wie: Welche Praktiken sind erlaubt, was sollten Mitarbeitende vermeiden, wer trifft welche Entscheidungen und was passiert, wenn etwas schiefgeht?

Dieser Leitfaden bietet dir einen praktischen Rahmen für das Schreiben oder Überprüfen einer Cybersicherheitsrichtlinie für dein kleines Unternehmen. Du kannst ihn als Ausgangsvorlage verwenden, jeden Abschnitt an deine Tools und Risiken anpassen und die Richtlinie mit operativen Kontrollen verbinden, die die Einhaltung erleichtern.

Was ist eine Cybersicherheitsrichtlinie?

Warum kleine Unternehmen eine Cybersicherheitsrichtlinie benötigen

Vorlage für eine Cybersicherheitsrichtlinie: 9 Kernbereiche

Warum scheitern IT-Sicherheitsrichtlinien für Unternehmen?

Wie Proton Pass for Business die Durchsetzung von Richtlinien unterstützt

Was ist eine Cybersicherheitsrichtlinie?

Eine Cybersicherheitsrichtlinie ist ein schriftliches Dokument, das definiert, wie dein Unternehmen Informationen, Systeme, Geräte und Konten vor Cyberbedrohungen(neues Fenster) schützt. Sie sollte erklären, was von Mitarbeitenden und externen Auftragnehmern, einschließlich Managern und Administratoren, bei der täglichen Arbeit erwartet wird.

Eine starke Richtlinie sollte sich wie ein Nachschlagewerk anfühlen, das man tatsächlich nutzen kann, wenn Entscheidungen unklar sind. Sie sollte Fragen beantworten wie:

  • Welche Passwörter und Konten benötigen zusätzlichen Schutz?
  • Dürfen Mitarbeitende persönliche Geräte für die Arbeit nutzen?
  • Wo sollten sensible Daten gespeichert werden?
  • Wer darf den Zugriff auf Unternehmenssysteme genehmigen?
  • Was sollte man tun, wenn man ein Datenleck vermutet?
  • Wie oft wird die Richtlinie überprüft?
  • Was passiert mit dem Zugriff, wenn jemand das Unternehmen verlässt?

Für KMU ist die beste Cybersicherheitsrichtlinie kurz, klar und präzise genug, um Rätselraten zu vermeiden.

Warum kleine Unternehmen eine Cybersicherheitsrichtlinie benötigen

Eine Cybersicherheitsrichtlinie kann deinem Unternehmen auf drei Arten helfen:

Erwartungen festlegen: Mitarbeitende wissen, was erlaubt ist, was erforderlich ist und was genehmigt werden muss.

Verantwortlichkeiten schaffen: Wenn Zugriff, Geräte, Datenhandhabung und Reaktion auf Vorfälle klare Verantwortliche haben, hängt die Sicherheit nicht mehr vom Gedächtnis Einzelner ab.

Unterstützt Compliance und Kundenvertrauen: Die Einhaltung von Datenschutzvorschriften wie der GDPR erfordert, dass dein Unternehmen personenbezogene Daten durch geeignete technische und organisatorische Maßnahmen sicher verarbeitet, einschließlich Risikoanalysen, organisatorischer Richtlinien und technischer Maßnahmen.

Eine schriftliche Informationssicherheitsrichtlinie trägt dazu bei, zu zeigen, dass dein Unternehmen diese Verantwortlichkeiten berücksichtigt und Kontrollen zur Risikominderung eingerichtet hat.

Der Cybersicherheitsbericht für KMU von Proton verdeutlicht, warum dies für kleinere Teams wichtig ist: KMU sind oft echten Sicherheitsrisiken ausgesetzt, ohne über die gleichen Ressourcen wie größere Unternehmen zu verfügen. Eine praktische Richtlinie bietet diesen Teams eine Möglichkeit, die Grundlagen zu priorisieren und sie wiederholbar zu machen.

Vorlage für eine Cybersicherheitsrichtlinie: 9 Kernbereiche

Nutze die folgende Struktur als Vorlage für eine Cybersicherheitsrichtlinie. Du musst nicht jeden Abschnitt übermäßig lang gestalten. Das Ziel ist es, die Regel zu definieren, Verantwortlichkeiten zuzuweisen und zu erklären, wie Mitarbeitende sie anwenden sollten.

1. Zweck und Geltungsbereich der Richtlinie

Erkläre zu Beginn, warum die Richtlinie existiert und für wen sie gilt. Dieser Abschnitt verhindert ein häufiges Problem: dass Leute annehmen, die Richtlinie gelte nur für „IT-Systeme“ oder Vollzeitmitarbeitende.

Textvorlage:

Diese Cybersicherheitsrichtlinie definiert, wie [Company Name] Unternehmenssysteme, Konten, Geräte und Daten schützt. Sie gilt für Mitarbeitende, externe Auftragnehmer, Zeitarbeitskräfte und Dritte, die auf Informationen oder Systeme des Unternehmens zugreifen.

Der Geltungsbereich sollte firmeneigene Geräte, genehmigte Cloud-Dienste, Geschäftskonten, Remote-Arbeitsumgebungen, für die Arbeit genutzte persönliche Geräte und den Zugriff von Drittanbietern umfassen.

2. Richtlinie zur akzeptablen Nutzung

Der Abschnitt zur akzeptablen Nutzung erklärt, wie Mitarbeitende Systeme und Konten des Unternehmens nutzen können.

Er sollte Folgendes abdecken:

  • Genehmigte Unternehmenssoftware und -dienste
  • Einschränkungen für nicht autorisierte Apps oder Browser-Erweiterungen
  • Regeln für das Herunterladen von Dateien und Software
  • Nutzung von Unternehmens-E-Mails und Messaging
  • Persönliche Nutzung von firmeneigenen Geräten
  • Unzulässige Aktivitäten wie das Teilen von Konten ohne Genehmigung oder das Umgehen von Sicherheitskontrollen

Halte diesen Abschnitt praktisch. Mitarbeitende sollten verstehen, welche alltäglichen Entscheidungen akzeptabel sind, ohne Fachsprache interpretieren zu müssen.

Textvorlage:

Mitarbeitende müssen genehmigte Geschäftssysteme für die Arbeit des Unternehmens nutzen. Nicht genehmigte Anwendungen, persönliche Speicherkonten und nicht autorisierte Browser-Erweiterungen dürfen nicht zum Speichern, Verarbeiten oder Teilen von Unternehmensdaten verwendet werden, es sei denn, dies wurde von [role/team] genehmigt.

3. Anforderungen an das Passwort- und Zugriffsmanagement

Es ist wichtig, Admin-Kontrollen zu berücksichtigen. Eine Richtlinie kann definieren, wer Zugriff haben sollte, wann eine Zwei-Faktor-Authentifizierung (2FA) erforderlich ist und wie das Offboarding ablaufen sollte, aber Teams benötigen dennoch eine operative Möglichkeit, diese Regeln anzuwenden. Ein Passwort-Manager für Unternehmen wie Proton Pass for Business unterstützt dies durch seine Administratorkonsole, über die dein Team den Zugriff verwalten, Richtlinien anwenden, Aktivitäten überprüfen und die Abhängigkeit von informeller Passwortweitergabe verringern kann.

Deine Richtlinie sollte Folgendes festlegen:

  • Passwörter für die Arbeit müssen einzigartig und stark sein.
  • Passwörter dürfen nicht für geschäftliche und persönliche Konten wiederverwendet werden.
  • Gemeinsam genutzte Anmeldedaten dürfen nicht auf nicht genehmigte Weise wie per E-Mail, Chat, Screenshots, Tickets oder Dokumente gesendet werden.
  • 2FA sollte überall aktiviert sein, angefangen bei Konten mit hohem Risiko.
  • Der Zugriff sollte basierend auf der Rolle und den geschäftlichen Anforderungen gewährt werden.
  • Der Zugriff muss entzogen werden, wenn jemand die Rolle wechselt oder das Unternehmen verlässt.
  • Ausnahmen müssen dokumentiert werden, einschließlich Fällen, in denen 2FA noch nicht aktiviert werden kann, ein gemeinsam genutztes Konto vorübergehend unvermeidbar ist, ein Drittanbieter zeitlich begrenzten erweiterten Zugriff benötigt oder ein Altsystem die Standardanforderungen an Passwörter oder den Zugriff nicht erfüllen kann.

Der Leitfaden von Proton zur Erstellung einer Passwort-Richtlinie kann diesen Abschnitt mit weiteren Details zu Passwortregeln, der Freigabe, der Zugriffsverwaltung und der Zwei-Faktor-Authentifizierung unterstützen.

Hier benötigt die Richtlinie auch operative Unterstützung. Eine Regel, die besagt: „Verwende eindeutige Passwörter“, ist schwach, wenn Mitarbeiter jedes Passwort immer noch manuell erstellen und sich merken müssen.

Ein Passwort-Manager für Unternehmen wie Proton Pass for Business hilft Teams dabei, Passwortanforderungen in die tägliche Praxis umzusetzen: Mitarbeiter können starke, einzigartige Passwörter generieren, sie in verschlüsselten Tresoren speichern, das automatische Ausfüllen nutzen und Passwörter sicher teilen, anstatt unsichere Kanäle zu nutzen – alles in einer App.

Textvorlage:

Arbeitspasswörter müssen eindeutig und stark sein und im zugelassenen Passwort-Manager für Unternehmen gespeichert werden. Passwörter dürfen nicht für private und geschäftliche Konten wiederverwendet oder per E-Mail, Chat, Screenshots, Tickets oder Dokumenten geteilt werden. Für Konten mit hohem Risiko muss die Multi-Faktor-Authentifizierung aktiviert sein, und der Zugriff muss basierend auf der Rolle und den geschäftlichen Anforderungen gewährt werden. Wenn ein Mitarbeiter, Auftragnehmer oder Drittanbieter keinen Zugriff mehr benötigt, müssen die Berechtigungen überprüft und entzogen werden.

4. Datenklassifizierung und -handhabung

Eine Cybersicherheitsrichtlinie sollte definieren, mit welchen Arten von Informationen dein Unternehmen arbeitet und wie jede Art von Information geschützt werden sollte. Hier sind drei Stufen, die ein kleines Unternehmen nutzen kann, ohne die Dinge kompliziert zu machen:

Öffentlich: Zur öffentlichen Verwendung freigegebene Informationen

Intern: Geschäftsinformationen für Mitarbeiter und zugelassene Auftragnehmer, die nicht für die externe Freigabe geeignet sind

Vertraulich: Kundendaten, Finanzdaten, Anmeldedaten, Verträge, Mitarbeiterakten oder sensible betriebliche Informationen – alles, was Schaden anrichten kann, wenn es durchsickert

Textvorlage:

Vertrauliche Informationen dürfen nur in zugelassenen Systemen gespeichert, mit autorisierten Personen geteilt und vor unbefugtem Zugriff geschützt werden. Mitarbeiter dürfen vertrauliche Geschäftsdaten nicht in persönlichen Konten, nicht verwalteten Dokumenten oder nicht zugelassenen Geräten speichern.

5. Meldung von Vorfällen und erste Reaktion

Deine Richtlinie sollte erklären, was Mitarbeiter tun müssen, wenn sie eine Schwachstelle identifizieren oder vermuten. Dies muss kein vollständiger Plan zur Reaktion auf Vorfälle sein, aber sie sollte erste Maßnahmen und Zuständigkeiten definieren.

Füge Beispiele hinzu wie:

  • Warnungen vor verdächtigen Anmeldungen
  • Verlorene oder gestohlene Geräte
  • Phishing-E-Mails
  • Unbeabsichtigte Datenfreigabe
  • Malware-Warnungen
  • Ungewöhnliche Kontoaktivität
  • Unbefugter Zugriff auf Dokumente oder Systeme

Nutze den Leitfaden von Proton zur Vermeidung von Datenlecks in Unternehmen für weitere Anleitungen zur Reduzierung des Risikos von Datenlecks, bevor ein Vorfall eintritt.

Textvorlage:

Mitarbeiter müssen vermutete Sicherheitsvorfälle unverzüglich an [Rolle/Team/Kontakt] melden. Mitarbeiter dürfen keine Beweise löschen, betroffene Systeme zurücksetzen oder extern über einen Vorfall kommunizieren, es sei denn, sie wurden vom Verantwortlichen für den Vorfall dazu angewiesen.

6. Regeln für Remote-Arbeit und die Nutzung eigener Geräte (BYOD)

Remote-Arbeit und persönliche Geräte in deinem Unternehmensnetzwerk können unnötige Risiken bergen, wenn sie nicht ordnungsgemäß verwaltet werden. Deine Cybersicherheitsrichtlinie sollte erklären, ob Mitarbeiter persönliche Geräte nutzen können, welche Sicherheitsanforderungen gelten (wie die BYOD-Sicherheit) und was passiert, wenn ein Gerät verloren geht oder jemand das Unternehmen verlässt.

Dazu gehören:

Die Leitfäden von Proton zur Richtlinie für Remote-Arbeit und zur BYOD-Richtlinie können diesen Abschnitt mit detaillierteren Regeln für verteilte Teams und eigene Geräte der Mitarbeiter unterstützen.

Textvorlage:

Mitarbeiter dürfen auf Unternehmenssysteme nur von zugelassenen Geräten zugreifen, die die Sicherheitsanforderungen erfüllen. Verlorene oder gestohlene Geräte müssen unverzüglich gemeldet werden. Unternehmensdaten dürfen nicht in persönlichen Cloud-Konten oder nicht verwalteten Anwendungen gespeichert werden.

7. Zugriff durch Drittanbieter

Kleine Unternehmen verlassen sich oft auf Agenturen, Auftragnehmer, Softwareanbieter, Buchhalter, Berater und Managed Service Provider. Der Zugriff von Drittanbietern sollte niemals leichtfertig behandelt werden, da er eine Hintertür schaffen kann, die dein Unternehmen nicht vollständig kontrolliert.

Ein Passwort-Manager für Unternehmen kann dabei helfen, diese Kontrolle praktischer zu gestalten, indem er Teams unterstützt, die Anmeldedaten von Drittanbietern einzugrenzen, zu überwachen und bei Beendigung der Zusammenarbeit einfach zu widerrufen.

Deine Richtlinie sollte definieren:

  • Wer den Zugriff für Drittanbieter genehmigen kann
  • Auf welche Systeme Drittanbieter zugreifen können
  • Ob die Konten von Drittanbietern individuell oder gemeinsam genutzt sein müssen
  • Wie lange der Zugriff gültig ist
  • Wie oft der Zugriff von Drittanbietern überprüft wird
  • Wie die Mindestberechtigungen für jeden Drittanbieter festgelegt werden
  • Was passiert, wenn ein Vertrag endet

Dieser Abschnitt unterstützt auch die Sicherheit der Lieferkette. Die 10 Schritte des NCSC(neues Fenster) zählen sie zu den Kernbereichen für das Verwalten von Cyber-Risiken. Dies ist besonders für kleine Unternehmen relevant, die Teile der IT, der Finanzen, des Marketings oder des Betriebs auslagern.

Textvorlage:

Der Zugriff durch Drittanbieter muss von [Rolle/Team] genehmigt, auf die für die Arbeit erforderlichen Systeme beschränkt und am Ende der Zusammenarbeit überprüft werden. Der Zugriff von Anbietern muss entfernt werden, wenn er nicht mehr benötigt wird.

8. Anforderungen an die Mitarbeiterschulung

Eine Cybersicherheitsrichtlinie funktioniert nicht, wenn man sie nur beim Onboarding zu Gesicht bekommt. Regelmäßige Schulungen zur Sicherheitsaufklärung sorgen dafür, dass deine Richtlinie auch tatsächlich befolgt wird.

Deine Richtlinie sollte erklären:

  • Wann Mitarbeiter eine Sicherheitsschulung erhalten
  • Welche Themen die Schulung abdeckt
  • Wie oft Auffrischungen stattfinden
  • Wer die Schulung absolvieren muss
  • Wie neue Risiken oder Änderungen der Richtlinie kommuniziert werden

Zu den Schulungsthemen können Phishing, Passwortverwaltung, 2FA, sichere Dateifreigabe, Datenhandhabung, mobiles Arbeiten, Gerätesicherheit und die Meldung von Vorfällen gehören.

Halte Schulungen kurz und praxisnah. Eine prägnante fünfseitige Richtlinie mit einer Checkliste, die durch kurze Beispiele ergänzt wird, ist in der Regel nützlicher als ein überladenes, weitschweifiges Dokument mit 40 Seiten.

Textvorlage:

Mitarbeiter müssen während des Onboardings und mindestens [jährlich/zweimal im Jahr] eine Cybersicherheitsschulung absolvieren. Die Schulung umfasst Passwortsicherheit, Phishing, Datenhandhabung, Gerätesicherheit und die Meldung von Vorfällen.

9. Turnus für die Überprüfung der Richtlinie

Eine Cybersicherheitsrichtlinie sollte sich anpassen, wenn sich das Unternehmen verändert. Neue Systeme, Muster für mobiles Arbeiten, Anbieter, Vorschriften und Vorfälle können dazu führen, dass alte Regeln unvollständig sind.

Definiere:

  • Wie oft die Richtlinie überprüft wird
  • Eine verantwortliche Person für die Überprüfung der Cybersicherheitsrichtlinie
  • Wie Änderungen genehmigt werden
  • Wie Aktualisierungen kommuniziert werden
  • Was eine außerordentliche Überprüfung auslöst

Textvorlage:

Diese Richtlinie wird alle [sechs oder 12 Monate] von [Verantwortlicher/Verantwortliche] überprüft. Sie muss außerdem nach einem schwerwiegenden Sicherheitsvorfall, einer wesentlichen Systemänderung, einer Aktualisierung der Vorschriften oder einer wesentlichen Änderung des Geschäftsbetriebs überprüft werden.

Warum scheitern IT-Sicherheitsrichtlinien für Unternehmen?

Die meisten Cybersicherheitsrichtlinien scheitern an praktischen Gründen:

Die Richtlinie ist zu lang: Eine Cybersicherheitsrichtlinie für kleine Unternehmen sollte nicht versuchen, jedes erdenkliche Szenario abzudecken. Wenn sie zu lang wird, beachten die Mitarbeiter sie nicht mehr. Halte sie kurz und verlinke bei Bedarf auf detailliertere Verfahren.

Die Sprache ist zu technisch: Mitarbeiter sollten kein Fachwissen im Bereich Sicherheit benötigen, um die Cybersicherheitsrichtlinien des Unternehmens zu befolgen. Verwende eine einfache Sprache und ersetze Fachbegriffe nach Möglichkeit durch verständliche Erklärungen.

Die Richtlinie wird nur beim Onboarding vorgestellt: Wenn die Richtlinie nur ein einziges Mal beim Onboarding erwähnt wird, prägt sie das tägliche Verhalten nicht. Festige sie durch Schulungen, Erinnerungen, Kurzanleitungen und Aktualisierungen, wenn sich Prozesse ändern.

Die Richtlinie wird nie überprüft: Eine Richtlinie, die vor zwei Jahren verfasst wurde, entspricht möglicherweise nicht mehr den aktuellen Systemen, Arbeitspraktiken im Homeoffice, den Zugriffsrechten von Drittanbietern oder regulatorischen Erwartungen. Überprüfe sie regelmäßig.

Die Richtlinie wird nicht durchgesetzt: Dies ist der häufigste Grund für das Scheitern. Eine Richtlinie kann vorschreiben, dass Passwörter sicher gespeichert, die 2FA aktiviert oder der Zugriff von Drittanbietern entfernt werden muss, aber diese Regeln nützen nichts, wenn niemand ihre Einhaltung kontrolliert. Durchsetzung bedeutet, Verantwortlichkeiten zuzuweisen, Administrator-Steuerelemente zu nutzen (sofern verfügbar), Ausnahmen zu prüfen und sicheres Verhalten einfacher zu machen als die Abkürzung.

Bei der Passwort- und Zugriffsverwaltung kann Proton Pass for Business dabei helfen, die Durchsetzung von Richtlinien im operativen Betrieb zu unterstützen. Es bietet Teams verschlüsselte Tresore, sichere Freigaben, Passwortgenerierung und Administratorübersicht, sodass sich dein Unternehmen nicht nur auf die Theorie verlassen muss. Administratoren können außerdem die Passwortsicherheit überwachen, die Wiederverwendung von Anmeldedaten und das Risiko von Datenlecks im Darknet in der gesamten Organisation sicher im Blick behalten – ganz ohne die Passwörter der Mitarbeiter zu kennen.

Wie Proton Pass for Business die Durchsetzung von Richtlinien unterstützt

Eine Cybersicherheitsrichtlinie ist nur dann nützlich, wenn das Unternehmen sie auch in die Praxis umsetzen kann. Passwort- und Zugriffsregeln sind dafür ein gutes Beispiel. Du kannst vorschreiben, dass Passwörter einzigartig sein, sicher geteilt und beim Ausscheiden von Mitarbeitern entfernt werden müssen. Wenn Mitarbeiter jedoch weiterhin Browser, Tabellen, Chat-Nachrichten oder persönliche Notizen nutzen, lässt sich die Richtlinie leicht ignorieren.

Proton Pass for Business bietet Mitarbeitern eine sichere Möglichkeit, Anmeldedaten zu generieren, zu speichern, automatisch auszufüllen und zu teilen, während Administratoren einen besseren Einblick erhalten, wie der Zugriff verwaltet wird. Dadurch wird der Abschnitt deiner Richtlinie zur Passwort- und Zugriffsverwaltung einfacher zu befolgen.

Für kleine Unternehmen ist der Nutzen rein praktischer Natur. Du benötigst kein großes Sicherheitsteam, um die Hygiene deiner Anmeldedaten zu verbessern. Ein Passwort-Manager für Unternehmen bietet deinem Team einen zentralen Ort für geschäftliche Anmeldedaten, unterstützt eine sicherere Zusammenarbeit und hilft, das Risiko einer Passwort-Wiederverwendung oder einer unkontrollierten Weitergabe zu verringern.

Die Zugriffskontrolle ist einer der praktischsten Ansätze, um Richtlinien in die Tat umzusetzen. Wenn Anmeldedaten einfacher generiert, gespeichert, geteilt und sicher widerrufen werden können, ist die Wahrscheinlichkeit geringer, dass Mitarbeiter auf unsichere Notlösungen zurückgreifen. Zudem erhalten Führungskräfte eine klarere Möglichkeit, Passwort- und Zugriffsanforderungen im täglichen Betrieb zu unterstützen.

Setze deine Cybersicherheitsrichtlinie mit einem sicheren Passwort-Manager für Unternehmen wie Proton Pass for Business durch.