Überwachung im Kleinunternehmen

Nicht jedes. Eine Firma mit einer Handvoll Laptops und allem in der Cloud gewinnt mit Endpunktschutz und guten Backups oft mehr. NDR lohnt sich, wenn es ein lokales Netz mit Servern, Druckern, Kameras oder Maschinen gibt, auf denen kein Agent laufen kann, oder wenn NIS2 oder ein Kundenvertrag verlangt, Vorfälle zu erkennen und zu melden.

Die Grundlagen stoppen die meisten Angriffe: Mehrfaktor-Authentifizierung für E-Mail und Fernzugang, zügig eingespielte Updates, Endpunktschutz auf jedem Rechner, offline oder unveränderlich gespeicherte und getestete Backups sowie eine kurze Liste, wen man im Ernstfall anruft. Ergänzen Sie zwei Gewohnheiten, die nichts kosten: eine aktuelle Liste Ihrer Geräte und Konten und die Regel, dass per E-Mail gewünschte Änderungen von Bankdaten telefonisch bestätigt werden. Netzwerküberwachung kommt danach, sobald Sie ein lokales Netz mit Servern, Druckern oder Maschinen haben, auf denen sich nichts installieren lässt, oder wenn NIS2 oder ein Kunde verlangt, Vorfälle zu erkennen und zu melden. NetSenX passt zu diesem nächsten Schritt, mit der zentralen Erkennung in jedem Plan, auch im Free-Plan.

Eine, die von allein läuft, die Geräte abdeckt, auf denen Sie keine Software installieren können, und ihre Alarme einem Generalisten erklärt. Beginnen Sie mit dem Vorhandenen: Schalten Sie Logs und Alarme in Firewall, E-Mail-Dienst und Cloud-Konten ein. Ergänzen Sie dann Netzwerkerkennung, wenn Sie ein lokales Netz mit Servern, Druckern, Kameras oder Maschinen haben. Achten Sie auf veröffentlichte Preise, eine kostenlose Testmöglichkeit im eigenen Netz, Bereitstellung über einen Sensor an einem Spiegelport und Alarme, die in einfachen Worten sagen, was passiert ist. NetSenX wurde dafür gebaut: zentrale Erkennung in jedem Plan, auch im Free-Plan, ein Agent an einem SPAN- oder TAP-Port pro Segment und eine Erklärung zu jedem Alarm. Endpunktschutz oder Backups ersetzt es nicht.

Weniger als bei einem Unternehmen mit lokalem Netz, manchmal gar nicht: Arbeiten Ihre Leute auf Laptops von überall und nutzen nur Cloud-Dienste, gibt es im Büro wenig Verkehr zu beobachten. Investieren Sie dann in Endpunktschutz auf jedem Laptop, Mehrfaktor-Authentifizierung, die Anmelde- und Audit-Logs Ihrer Cloud-Dienste und Backups der Cloud-Daten. Netzwerküberwachung wird wieder nützlich, sobald ein Büro gemeinsam genutzte Geräte hat: Drucker, ein NAS, Telefone, Kameras, Gebäudetechnik oder einen Server im Schrank. Sie hilft auch, wenn bestimmte Laptops direkt beobachtet werden sollen: Der NetSenX-Agent läuft unter Linux und macOS und sieht die eigenen Verbindungen dieser Maschine, wo immer sie ist.

Nutzen Sie zuerst, was Sie schon besitzen, und setzen Sie dann einen Sensor dort ein, wo er am meisten sieht. Die meisten Firewalls und Router können blockierte und erlaubte Verbindungen protokollieren und bei neuen Geräten alarmieren; schalten Sie das ein und leiten Sie es an ein Postfach, das Sie lesen. Führen Sie eine einfache Geräteliste und gleichen Sie sie monatlich mit der Liste der verbundenen Geräte im Router ab. Aktivieren Sie Anmeldewarnungen in E-Mail- und Cloud-Diensten. Setzen Sie dann einen Netzwerksensor dorthin, wo der Verkehr zusammenläuft: an einen Spiegelport des Switches, der mit dem Router oder den Servern verbunden ist. Der Free-Plan von NetSenX deckt 3 Geräte ohne Zeitlimit ab, und ein Agent an einem SPAN- oder TAP-Port zählt als ein Gerät für ein ganzes Segment, sodass ein kleines Büro ohne Kosten starten kann.

Das hängt von der Zahl der Geräte und den benötigten Funktionen ab. NetSenX veröffentlicht seine Preise: Die Tabelle auf dieser Seite stammt aus demselben Plankatalog, den das Produkt anwendet, vom Free-Plan bis Enterprise.

Ein Gerät ist ein Host, auf dem der NetSenX-Agent läuft. Ein Agent an einem SPAN- oder TAP-Port überwacht ein ganzes Netzwerksegment und zählt als ein Gerät.

Er kann reichen, wenn jemand Zeit und Können hat, ihn zu installieren, zu aktualisieren und abzustimmen; die Lizenz ist kostenlos, die Arbeit nicht. Open-Source-Werkzeuge für Verkehrsaufzeichnung, Einbruchserkennung und Log-Sammlung sind ausgereift und weit verbreitet. Für ein kleines Unternehmen sind die eigentlichen Kosten Menschen: ein Server zum Betrieb, regelmäßige Updates, abzustimmende Regeln und jemand, der die Ergebnisse täglich liest und versteht. Haben Sie einen Administrator, der diese Arbeit gern macht, ist das eine starke Option. Wenn nicht, wird der Stack meist einmal installiert und dann vergessen. Fragen Sie ehrlich, wer ihn nächstes Jahr pflegt. Ein gehostetes Werkzeug mit veröffentlichten Preisen und verständlichen Alarmen tauscht etwas Flexibilität gegen weniger Pflege; mit dem Free-Plan von NetSenX können Sie im eigenen Netz vergleichen.

Mehr, als die meisten kleinen Teams erwarten: Die Installation ist der leichte Teil, ihn nützlich zu halten die Daueraufgabe. Planen Sie einen eigenen Server mit genug Speicher für Logs ein, regelmäßige Software- und Regel-Updates, Überwachung von Speicher und Leistung des Stacks selbst, Abstimmung gegen Rauschen und täglich Zeit zum Lesen der Alarme. Fällt etwas aus, etwa eine volle Festplatte oder ein gescheitertes Update, stoppt die Erkennung still, bis es jemand bemerkt. Dokumentieren Sie die Einrichtung, damit sie den Weggang der Person übersteht, die sie gebaut hat. Schätzen Sie die Stunden ehrlich und bewerten Sie sie mit Ihrem internen Satz, bevor Sie den Stack kostenlos nennen. Fehlen die Stunden, wählen Sie ein Werkzeug, das ohne Pflege läuft, und nutzen Sie die gesparte Zeit für die Untersuchung von Alarmen.

Idealerweise ja, weil jede sieht, was die andere übersieht, doch ein kleines Unternehmen kann sie nacheinander einführen. Hostbasierte Erkennung (HIDS, heute meist EDR) läuft auf einem Rechner und sieht Dateien, Prozesse und Anmeldungen auf dieser Maschine. Netzwerkbasierte Erkennung (NIDS oder NDR) beobachtet den Verkehr und sieht, wie Geräte miteinander sprechen, auch solche, auf denen keine Software installiert werden kann. Ein Host-Werkzeug sieht keinen Drucker, der nach außen telefoniert; ein Netzwerkwerkzeug sieht nicht, wie eine schädliche Datei geöffnet wird. Beginnen Sie mit Schutz auf jedem Rechner, weil das grundlegender ist, und ergänzen Sie Netzwerkerkennung, sobald Ihr lokales Netz mehr als Laptops umfasst. NetSenX ist die Netzwerkseite; den Endpunktschutz ersetzt es nicht.

Detection-as-Code heißt, eigene Erkennungsregeln als Textdateien zu schreiben, oft in einem gemeinsamen Format wie Sigma, sie in einer Versionsverwaltung zu halten und wie Software zu testen. Das passt zu Sicherheitsteams, die gezielt nach Bedrohungen suchen und präzise Kontrolle wollen. Ein kleines Unternehmen braucht es am Anfang selten: Regeln zu schreiben und zu pflegen erfordert Können und Zeit, und eine schlecht geschriebene Regel erzeugt Rauschen oder blinde Flecken. Mehr bringt ein Werkzeug, dessen eingebaute Erkennungen und Erklärungen bereits funktionieren, und das laufende Markieren von Fehlalarmen. Haben Sie später einen Sicherheitsspezialisten und konkrete Anforderungen, lohnen sich eigene Regeln. In NetSenX gibt es eigene Erkennungsrichtlinien im Enterprise-Plan; die zentralen Erkennungen laufen in jedem Plan.

Ja, wenn die Alarme für Generalisten geschrieben sind. Jeder NetSenX-Alarm erklärt in verständlicher Sprache, was passiert ist, und nennt die Netzwerkmerkmale hinter seiner Bewertung, in jedem Plan. Einen Vorfall untersuchen und eindämmen muss trotzdem jemand: Ihr Administrator, Ihr IT-Dienstleister oder ein Incident-Response-Unternehmen.

Ja, wenn das Werkzeug dafür gebaut ist. Mit NetSenX installiert Ihr Administrator einen Agenten auf einem Host an einem SPAN- oder TAP-Port oder auf den Hosts Ihrer Wahl, und jeder Alarm wird verständlich erklärt: was passiert ist, auf welchem Gerät und warum es ungewöhnlich aussieht. Was Sie weiterhin brauchen, ist eine Person, die die Alarme liest, am besten jeden Morgen, und entscheidet, was zu tun ist, dazu eine Vertretung für den Urlaub und die Nummer einer Incident-Response-Firma für ernste Fälle. NetSenX betreibt keinen Managed Service; planen Sie also, wer Alarme außerhalb der Bürozeiten erhält: ein zweites Postfach, Ihr IT-Dienstleister oder eine Rufbereitschaft.

Einige gut gewählte Werkzeuge, die von allein laufen, mit Alarmen, die kurz genug sind, um sie jeden Morgen in Minuten zu lesen. Realistisch für eine Person: Endpunktschutz mit zentraler Konsole, Mehrfaktor-Authentifizierung mit Anmeldewarnungen, Firewall- und VPN-Logs für Untersuchungen, ein getestetes Backup mit monatlicher Wiederherstellungsprobe und ein Netzwerksensor an einem Spiegelport. Unrealistisch für eine Person: ein SIEM, dessen Suchen geschrieben und gepflegt werden müssen, mehrere sich überschneidende Konsolen oder alles, was den ganzen Tag Dashboards beobachten verlangt. Legen Sie schriftlich fest, wer im Urlaub vertritt und wer im Notfall entscheidet. NetSenX ist für diese Lage gemacht: ein Agent an einem SPAN- oder TAP-Port pro Segment, verständliche Alarme per E-Mail in jedem Plan und kein Abstimmen nötig, um anzufangen.

Bei den meisten Open-Source-Sensoren ja, bei NetSenX nur Grundkenntnisse. Ein selbst betriebener Sensor bedeutet meist, einen Linux-Server zu installieren und aktuell zu halten, Speicherplatz und Dienste zu verwalten und Konfigurationsdateien zu lesen. Bei NetSenX ist die Installation des Linux-Agenten ein Befehl, den Sie aus dem Dashboard kopieren, in ein Terminal einfügen und mit Administratorrechten ausführen; das Installationsprogramm prüft die Paketsignatur und richtet den Dienst ein. Auf einem Mac installieren Sie ein signiertes Paket. Danach findet die Arbeit im Web-Dashboard statt: Alarme lesen, Fehlalarme markieren, die Netzwerkkarte ansehen. Ist selbst dieser Terminalschritt ungewohnt, erledigt ihn ein IT-Dienstleister in Minuten, und der NetSenX-Support hilft bei macOS-Agenten. Zum Lesen der Alarme braucht es keinerlei Linux-Wissen.

Oft ja, wenn intern niemand Zeit oder Können hat, aber legen Sie genau fest, was der MSP tut und was bei Ihnen bleibt. Ein Managed Service Provider (MSP) kann Updates, Endpunktschutz, Backups und Überwachung für viele Kunden zu Kosten übernehmen, die ein kleines Unternehmen allein nicht erreichen würde. Fragen Sie schriftlich: Welche Werkzeuge nutzt er, wer liest wann die Alarme, was geschieht nachts und am Wochenende, wie schnell reagiert er und welche Nachweise erhalten Sie monatlich oder quartalsweise? Prüfen Sie, wie er seine eigenen Fernzugriffswerkzeuge schützt, denn sie reichen in Ihr Netz. Behalten Sie die Hoheit über Ihre Konten und Daten. Netzwerkerkennung kann Teil der Vereinbarung sein: Ein MSP kann NetSenX für Sie betreiben, mit jedem Kunden in einem eigenen Mandanten.

Ein SPAN-Port (Switch Port Analyzer, auch Port-Spiegelung genannt) ist eine Switch-Einstellung, die den Verkehr anderer Ports auf einen Port kopiert, an dem ein Sensor ihn beobachten kann. Die meisten verwalteten Switches beherrschen das, meist in der Weboberfläche unter Begriffen wie Mirroring oder Monitor Session; nicht verwaltete Switches können es nicht. Ein Netzwerk-TAP ist ein kleines Gerät, das dasselbe an einem Kabel leistet, nützlich ohne verwalteten Switch oder wenn Sie eine Kopie wollen, die unter Last keine Pakete verliert. Spiegeln Sie die Verbindung zum Router oder die Ports Ihrer Server, um am meisten zu sehen. Mit NetSenX beobachtet ein Agent an einem SPAN- oder TAP-Port ein ganzes Segment und zählt als ein Gerät.

Um ein ganzes Segment zu beobachten, ja, eines von beiden; um bestimmte Server zu beobachten, nein, denn ein Agent auf jedem Server sieht dessen eigenen Verkehr. Ein SPAN-Port ist eine Spiegeleinstellung an einem verwalteten Switch und kostet nichts, wenn Ihr Switch sie unterstützt. Ein TAP ist ein kleines Hardwaregerät an einem Kabel, nützlich bei einem nicht verwalteten Switch oder wenn Sie eine Kopie wollen, die nie Pakete verliert. Setzen Sie ihn dort ein, wo der Verkehr zusammenläuft, etwa auf der Verbindung zwischen Hauptswitch und Router oder an den Ports Ihrer Server. Mit NetSenX zählt ein Agent auf einem Host an einem SPAN- oder TAP-Port als ein Gerät für das ganze Segment, und so erhalten Sie auch die Paketerfassung für TLS-Fingerprinting und das Krypto-Inventar.

Ein Agent ist in wenigen Minuten installiert; der längere Schritt ist meist die Einrichtung eines Spiegelports am Switch, falls Sie das noch nie gemacht haben. Unter Linux kopieren Sie einen Befehl aus dem Dashboard, führen ihn auf dem Host aus, und das Gerät erscheint nach ein bis zwei Minuten in der Liste. Auf einem Mac starten Sie ein signiertes Installationsprogramm; macOS-Agenten werden gemeinsam mit dem NetSenX-Support eingerichtet. Um ein ganzes Segment zu beobachten, konfigurieren Sie einen SPAN-Port in den Switch-Einstellungen und verbinden den Host des Agenten damit, oder Sie setzen einen TAP in das Uplink-Kabel. Geräte erscheinen dann auf der Netzwerkkarte, sobald sie Verkehr senden, und Alarme beginnen, sobald Verkehr fließt. Planen Sie danach einige Wochen Aufmerksamkeit ein, um Normales zu markieren.

Ja. Ein Sensor an einem Spiegelport sieht den Verkehr jedes Geräts im Segment, gleich welches Betriebssystem es hat, weil er das Netz beobachtet und nicht den Rechner. Das umfasst Büro-PCs, Macs, Linux-Server, Telefone, Drucker und Maschinen an einer Stelle. Das Betriebssystem zählt nur für das Gerät, auf dem der Sensor selbst installiert ist. Bei NetSenX läuft der Agent unter Linux und macOS, der Sensor-Host sollte also eines davon nutzen; die beobachteten Geräte können beliebig sein. Wollen Sie bestimmte Maschinen direkt statt über einen Spiegelport beobachten, müssen diese unter Linux oder macOS laufen. Endpunktschutz auf jedem Rechner bleibt ein eigener, betriebssystemspezifischer Bedarf.

Passive Überwachung an einem Spiegelport verlangsamt das Netz nicht, weil der Sensor nur eine Kopie des Verkehrs erhält und nicht im Pfad liegt. Die Kopie erstellt der Switch selbst. Zwei Dinge sollten Sie prüfen: dass der Switch die gewählten Ports spiegeln kann, ohne den Monitor-Port zu überlasten, und dass der Host mit dem Sensor genug Kapazität für das Verkehrsvolumen hat. Inline-Produkte, die im Verkehrsweg sitzen, etwa manche Intrusion-Prevention-Systeme, können Verzögerung verursachen oder zum Ausfallpunkt werden; NetSenX gehört nicht dazu. Installieren Sie den NetSenX-Agenten stattdessen direkt auf einem ausgelasteten Server, beobachten Sie den Ressourcenverbrauch in den ersten Tagen und beginnen Sie mit einem weniger kritischen Host.

Das hängt vom Produkt ab, und Sie sollten danach fragen. Manche Sensoren zeichnen den vollständigen Verkehr für spätere Analysen auf, andere behalten nur Verbindungsdatensätze. NetSenX analysiert Verbindungsmetadaten und einige Protokollfelder: Zeitpunkt, Volumen, Quelle und Ziel, Ports, DNS-Antworten und, wo der Agent Pakete erfasst, die unverschlüsselten Teile des TLS-Handshakes. Es entschlüsselt nie Verkehr, sodass der Inhalt verschlüsselter Sitzungen wie E-Mails, Dateien oder Eingaben auf einer Website unlesbar bleibt. Das genügt, um Verhalten wie Beaconing, Scans, laterale Bewegung und ungewöhnliche Uploads zu sehen, und begrenzt, wie viele personenbezogene Daten das Werkzeug verarbeitet. Netzwerkmetadaten können sich dennoch auf Menschen beziehen; klären Sie das mit Ihrem Datenschutzbeauftragten und lesen Sie den Auftragsverarbeitungsvertrag des Anbieters.

Ja, und das ist ein vernünftiger Anfang, solange Sie festhalten, was noch nicht abgedeckt ist. Wählen Sie die Systeme, deren Kompromittierung am meisten schaden würde: den Dateiserver, die Finanz- und ERP-Server, das Backup-System, den Domänencontroller und die Internetanbindung. Spiegeln Sie die Switch-Ports dieser Systeme oder installieren Sie den Agenten direkt darauf. Sie sehen, wer sich mit ihnen verbindet, und genau dort zeigt sich ein Einbruch oft zuerst. Erweitern Sie dann Segment für Segment. Seien Sie in jedem Bericht an Geschäftsleitung, Versicherer oder Kunden ehrlich: Die Server zu überwachen heißt nicht, das ganze Netz zu überwachen. Der Free-Plan von NetSenX deckt 3 Geräte ab, genug, um mit Ihren wichtigsten Systemen zu beginnen.

Baselining heißt zu lernen, wie Normalität für jedes Gerät aussieht: mit wem es spricht, über welche Ports, wie viele Daten und zu welchen Zeiten, damit eine Abweichung auffällt. Es dauert so lange, wie Ihr Geschäft braucht, um seinen normalen Rhythmus zu zeigen: Tagesmuster erscheinen nach Tagen, Wochenmuster nach Wochen, und Monatsaufgaben wie Lohnabrechnung oder Berichte erst nach einem Monat oder länger. Rechnen Sie in dieser Zeit mit mehr Alarmen und bestätigen Sie, was normal ist; Ihre Entscheidungen beschleunigen das. Eine Baseline ist nie fertig, denn Netze ändern sich: neue Server, neue Software, neue Lieferanten. NetSenX meldet eindeutige Muster von Anfang an und verbessert seine Vergleiche mit der eigenen Historie jedes Hosts, während es Ihr Netz kennenlernt.

Ihn lesen, mit dem eigenen Wissen abgleichen und innerhalb einer Stunde entscheiden, ob er harmlos ist, Beobachtung braucht oder Handeln verlangt. Erstens: Gerät und Verantwortlichen bestimmen. Zweitens: Gibt es eine harmlose Erklärung, etwa ein Backup, ein Update, einen neuen Lieferanten oder geplante Arbeit eines Kollegen? Drittens, wenn nicht: erst eindämmen, dann untersuchen. Trennen Sie das Gerät vom Netz, schalten Sie es aber nicht aus, denn Arbeitsspeicher und Logs helfen den Ermittlern. Setzen Sie von einem anderen Rechner aus Passwörter zurück, die das Gerät genutzt haben könnte. Rufen Sie Ihren IT-Dienstleister oder eine Incident-Response-Firma an, wenn Sie unsicher sind. Notieren Sie, was Sie wann getan haben. NetSenX-Alarme sagen, was auf welchem Host warum geschah, und das Audit-Log hält Ihre Entscheidungen fest.

Wen Sie dafür vorsehen: Software kann nachts erkennen, aber über das Handeln muss ein Mensch entscheiden. Die meisten kleinen Unternehmen wählen eine von drei Lösungen. Alarme gehen per E-Mail und Telefonbenachrichtigung an zwei Personen, mit einer einfachen Regel, was nachts dringend genug ist. Ein IT-Dienstleister oder MSP empfängt Alarme außerhalb der Bürozeiten auf Grundlage einer schriftlichen Vereinbarung. Oder ein Dienst für Managed Detection and Response beobachtet gegen Gebühr rund um die Uhr. Wie auch immer Sie wählen: Halten Sie fest, wer ein Gerät oder die Internetleitung trennen darf, und testen Sie die Regelung einmal. NetSenX erkennt zu jeder Stunde und sendet Alarme in jedem Plan per E-Mail und ab dem Pro-Plan per Webhook, doch niemand bei NetSenX beobachtet sie für Sie.

Niemand, wenn Sie es nicht vor Urlaubsbeginn regeln. Legen Sie fest, wer während der Abwesenheit Alarme erhält: ein Kollege, die Geschäftsführung oder Ihr IT-Dienstleister. Geben Sie dieser Person eine einseitige Notiz: wie man einen Alarm liest, welche eskaliert werden, wie man einen Rechner trennt und wen man anruft. Stellen Sie sicher, dass sie die nötigen Konten mit Mehrfaktor-Authentifizierung erreicht und dass der Zugang des Administrators nicht geteilt wird. Prüfen Sie vor der Abreise, ob Backups laufen und Updates aktuell sind. Die Erkennung selbst macht keinen Urlaub: NetSenX beobachtet weiter und sendet Alarme in jedem Plan per E-Mail, daher ist das Hinzufügen der Vertretung als Empfänger oft die einzige nötige Änderung.

Wer auf der Empfängerliste steht, also prüfen Sie diese Liste, bevor das Büro schließt. Fügen Sie einen zweiten Empfänger hinzu, der in der Pause tatsächlich E-Mails liest, und vereinbaren Sie, was dringend ist: etwa ein Alarm auf dem Dateiserver oder dem Backup-System, im Gegensatz zu einem Drucker, der einen Update-Server anruft. Notieren Sie auf demselben Zettel die Nummer Ihres IT-Dienstleisters oder einer Incident-Response-Firma und prüfen Sie, ob sie an Ihren Schließtagen erreichbar sind. Bestätigen Sie die Backups in der Woche davor und halten Sie eine Kopie offline. Lange Pausen sind ein bekanntes Risiko, weil weniger Menschen Probleme bemerken. NetSenX erkennt weiter, während Sie fort sind, mit Alarmen per E-Mail in jedem Plan und per Webhook ab dem Pro-Plan.

Weil weniger Menschen hinschauen und Angreifer deshalb mehr Zeit haben, bevor jemand reagiert. An Feiertagen und langen Wochenenden sind Büros leer, IT-Personal ist abwesend und Reaktionen kommen langsamer, was einem Eindringling Stunden oder Tage gibt, sich auszubreiten und Daten zu verschlüsseln, bevor es jemand bemerkt. CISA und FBI haben vor diesem Muster in ihrer gemeinsamen Warnung zu Ransomware an Feiertagen und Wochenenden vom August 2021 gewarnt. Die Abwehr ist Vorbereitung, nicht Anwesenheitspflicht: Alarme, die jemanden in Rufbereitschaft erreichen, eine schriftliche Liste, wer was trennen darf, aktuelle Backups mit einer Offline-Kopie und Mehrfaktor-Authentifizierung beim Fernzugang. Netzwerkerkennung hilft, weil sie wacht: NetSenX alarmiert zu jeder Stunde, aber jemand muss die Alarme trotzdem lesen.

Planen Sie ihn wie jede kritische Phase: riskante Änderungen einfrieren, Backups prüfen, Zahlungskontrollen verschärfen und sicherstellen, dass jemand die Finanzsysteme im Blick hat. Spielen Sie in den Wochen davor ausstehende Updates ein und vermeiden Sie danach große Änderungen. Testen Sie die Wiederherstellung der Buchhaltungs- und ERP-Daten. Erinnern Sie die Finanzabteilung daran, dass jede Änderung von Bankdaten, auch von einem bekannten Lieferanten oder der Geschäftsführung, telefonisch über eine bekannte Nummer bestätigt wird. Beschränken Sie den Fernzugang zu den Finanzservern auf die Personen, die ihn brauchen. Vereinbaren Sie, wer während des Abschlusses Alarme erhält, auch abends. Auf Netzwerkseite zeigt NetSenX in jedem Plan ungewöhnliche Verbindungen zu und von den Finanzservern, etwa neue Sitzungen von anderen Arbeitsplatzrechnern oder große nächtliche Uploads.

Setzen Sie in jedem Büro einen Sensor ein und senden Sie alle Alarme an dieselben Personen und dasselbe Dashboard. Ein zweiter Standort hat meist einen eigenen Switch und eine eigene Internetleitung, sein Verkehr läuft also nie am Sensor des ersten Büros vorbei. Ein Agent an einem Spiegelport am neuen Standort deckt dessen lokales Segment ab; die Mitarbeitenden in der Zentrale lesen seine Alarme zusammen mit den übrigen. Achten Sie darauf, dass auch die Verbindung zwischen den Standorten beobachtet wird, oft ein VPN, denn so breitet sich eine Infektion von einem Standort zum anderen aus. Halten Sie fest, wer am zweiten Standort Ansprechpartner für Handgriffe wie das Abstecken eines Geräts ist. Mit NetSenX zählt ein Agent an einem SPAN- oder TAP-Port pro Standort als ein Gerät, und alle Standorte erscheinen in einem Konto.

Meist mindestens zwei: einen Agenten an einem SPAN- oder TAP-Port pro Standort, weil jeder Standort eigenen lokalen Verkehr hat. Ein Gerät ist ein Host mit NetSenX-Agent, und ein Agent an einem Spiegelport zählt als ein Gerät für das ganze beobachtete Segment. Hat ein Standort mehrere getrennte Segmente, etwa Büro, Gäste-WLAN und Produktion, braucht jedes Segment, das Sie beobachten wollen, einen eigenen Spiegelpunkt oder Agenten. Dazu kommen Server, die Sie direkt mit eigenem Agenten beobachten wollen. Ein typisches Unternehmen mit zwei Standorten braucht daher nur wenige Geräte, was in die 3 Geräte des Free-Plans oder die 10 Geräte des Starter-Plans für 49 € pro Monat passen kann.

Ja, wenn das Standort-VPN jedem Gerät der Filiale erlaubt, jeden Server der Zentrale zu erreichen, was häufig der Fall ist. Ein dauerhaftes VPN zwischen Büros verbindet sie zu einem Netz, sodass ein infizierter PC in der Filiale die Server der Zentrale scannen und sich dort anmelden kann, als stünde er auf derselben Etage. Begrenzen Sie, was über das VPN läuft: Erlauben Sie nur die Dienste, die die Filiale braucht, etwa den Dateiserver oder das ERP, und nur von den Geräten, die sie brauchen. Nutzen Sie getrennte Administratorkonten je Standort. Beobachten Sie den Verkehr über die Verbindung. NetSenX markiert Scans und laterale Bewegung in jedem Plan; mit einem Sensor an jedem Standort sehen Sie, wie sich eine Infektion von einem zum anderen ausbreitet.

Ja. Kartenterminals und Kassen gehören in ein eigenes Netzwerksegment, in dem nur die nötigen Verbindungen erlaubt sind, damit ein infizierter Büro-PC sie nicht erreicht. Die Trennung begrenzt den Schaden eines kompromittierten Rechners und ist zugleich der Weg, über den der Kartenzahlungsstandard PCI DSS es einem Unternehmen erlaubt, den Teil seines Netzes zu verkleinern, der unter seine Anforderungen fällt. Praktisch nutzen Sie ein eigenes VLAN oder einen eigenen Router-Port für die Zahlungsgeräte, sperren Verkehr aus dem Büronetz zu diesem Segment und erlauben nur die Verbindungen zum Zahlungsdienstleister. Fragen Sie Ihren Zahlungsdienstleister und Installateur, wie sie es empfehlen. Prüfen Sie danach, ob die Trennung hält, denn Konfigurationen verschieben sich mit der Zeit.

Testen Sie es von einem Büro-PC aus und beobachten Sie danach den Verkehr, um zu sehen, ob etwas durchgeht, was nicht durchgehen sollte. Ein einfacher Test: Versuchen Sie von einem Büro-PC, die Adresse einer Kasse zu erreichen, etwa per Ping oder über eine Verbindung zu ihrem Verwaltungsport, und bestätigen Sie, dass es scheitert. Wiederholen Sie das nach jeder Änderung am Netz oder Router. Der Test zeigt, dass die Regel in diesem Moment greift; die Beobachtung zeigt, ob etwas einen Weg nutzt, den Sie nicht kannten. Ein Netzwerksensor an einem Spiegelport, der beide Segmente sieht, zeigt jede Verbindung zwischen ihnen. NetSenX zeigt in jedem Plan auf der Netzwerkkarte, wer mit wem spricht, und meldet Scans oder neue Sitzungen in Richtung der Kassen als Alarm.

Die Schadsoftware kann versuchen, sich auf die Kassen auszubreiten, Kartendaten zu stehlen oder sie zu sperren, und das Geschäft kann keine Zahlungen mehr annehmen. Angreifer, die über Phishing in einen Büro-PC gelangen, sehen sich danach meist im Netz um. Stehen Kassen und Zahlungsgeräte im selben flachen Netz, sind sie in Reichweite, oft mit älterer Software und schwachen Passwörtern. Die Folgen reichen von entgangenem Umsatz, solange die Kassen stillstehen, bis zu einem Kartendatenleck mit Meldungen an den Zahlungsdienstleister und womöglich an Kunden. Beugen Sie vor, indem Sie das Zahlungsnetz trennen, die Kassen aktuell halten und Standardpasswörter ändern. NetSenX hilft, es rechtzeitig zu sehen: Scans und laterale Bewegung von einem Büro-PC in Richtung der Kassen lösen in jedem Plan Alarme aus.

Er kann es sein: Router für Privatkunden erhalten oft keine regelmäßigen Updates, bieten keine getrennten Netze und keine brauchbaren Logs, und manche laufen noch mit Standardpasswörtern. Prüfen Sie für ein kleines Büro vier Punkte. Wird die Firmware noch vom Hersteller aktualisiert, und ist sie aktuell? Ist das Administratorpasswort geändert und die Fernverwaltung aus dem Internet abgeschaltet? Kann er getrennte Netze betreiben, damit Gäste, Zahlungsgeräte und Büro-PCs voneinander getrennt sind? Führt er Logs, die Sie lesen können? Lautet die Antwort zweimal oder öfter nein, ist ein Router oder eine Firewall für Unternehmen ein günstiges Upgrade. Suchen Sie auch nach vergessener Technik, etwa einem 4G-Router, den ein Dienstleister im Schrank gelassen hat. Die Netzwerkkarte von NetSenX zeigt in jedem Plan Geräte, die im LAN auftauchen.

Sie finden, für jedes entscheiden, ob es gebraucht wird, und es dann entweder aktualisieren und dokumentieren oder abschalten und löschen. Alte Server, vergessene NAS-Geräte, Laptops ehemaliger Mitarbeitender und Testrechner sind häufige Einfallstore, weil niemand sie aktualisiert und ihre Passwörter alt sind. Gehen Sie durch das Büro und vergleichen Sie, was Sie finden, mit Ihrer Geräteliste und der Liste verbundener Geräte im Router. Benennen Sie für jedes Gerät einen Verantwortlichen. Meldet sich niemand, trennen Sie es für einige Wochen und schauen Sie, ob sich jemand beschwert, und löschen Sie es dann sicher. Entfernen Sie auch seine Konten und Firewall-Regeln. Die Netzwerkkarte von NetSenX zeigt in jedem Plan Geräte, die Verkehr senden, mit erstem und letztem Auftreten, was hilft, die vergessenen zu finden.

Rechnen Sie mit Fragen zu Zugriffskontrolle, Updates, Backups, Umgang mit Vorfällen und Nachweisen, besonders von Kunden, die unter NIS2 fallen, denn NIS2 verlangt von ihnen, die Sicherheit in ihrer Lieferkette zu steuern. Typische Fragen: Nutzen Sie Mehrfaktor-Authentifizierung, wie schnell spielen Sie Updates ein, testen Sie Backups, wer bearbeitet Vorfälle und wie schnell informieren Sie uns, überwachen Sie Ihr Netz, wo werden unsere Daten gespeichert, und können Sie Nachweise vorlegen? Antworten Sie wahrheitsgemäß: Ein klares Nein mit einem Plan ist besser als ein Ja, das Sie nicht belegen können. Halten Sie eine kurze Sicherheitsbeschreibung und die Nachweise dazu bereit. NetSenX kann einen Teil dieser Nachweise liefern: Erkennungsaufzeichnungen, das Audit-Log und ab dem Starter-Plan PDF-Berichte.

Führen Sie wenige Aufzeichnungen beständig statt viele gelegentlich: was Sie haben, was Sie geändert haben, was geschehen ist und was Sie getan haben. Eine Geräte- und Kontenliste mit Verantwortlichen. Ein Änderungsprotokoll für wichtige Systeme. Daten der Backups und Wiederherstellungstests. Ein einfaches Vorfallsprotokoll mit Datum, Beobachtung, Entscheidungen und wer sie getroffen hat. Bewahren Sie sie dort auf, wo ein Angreifer, der in einen Rechner gelangt, sie nicht löschen kann, und sorgen Sie für die richtige Uhrzeit auf jedem Gerät, denn Zeitabläufe hängen davon ab. Diese Aufzeichnungen beantworten die Fragen von Versicherern, Prüfern, Kunden und nach NIS2 auch von Behörden. NetSenX übernimmt einen Teil davon: Alarme mit Zeitstempel und Erklärung, planabhängige Alarmhistorie und ein Audit-Log der Entscheidungen und Änderungen in jedem Plan.