Wie digitale Sicherheit im Handwerk aussehen kann

SBZ: Die Coronazeit wird im Rückblick gerne eingeordnet als eine Phase, die in Deutschland die Digitalisierung in der Gesellschaft vorangetrieben hat. Bei euch auch?

Thomas Koch: Für uns war Corona im Bereich ­Digitalisierung eher nicht so gut. Das hat weniger mit unserem Betrieb zu tun, wir waren und sind hervorragend aufgestellt. Aber in den vergangenen Jahren mussten einfach viele SHK-Unternehmer nachziehen. Vorher war der Abstand zu uns viel größer, während Corona haben meine Marktbegleiter ein Stück weit aufgeholt.

SBZ: Aber das ist doch immerhin gut für die ­Branche, oder?

Koch: Ja, das sehe ich ebenso. Aber wir mussten schon darüber schmunzeln, wer jetzt nachzieht und mit welchen Ansätzen. In unserem Betrieb haben wir ja bereits 2012 intensiv mit der Digitalisierung begonnen. Was ich in dem Zusammenhang allerdings ein Stück weit bedenklich finde, ist der laxe Umgang mit der Datenschutz-Grundverordnung DSGVO. Da schaut meiner Wahrnehmung nach aktuell kaum einer drauf.

Wir haben eine Zwei-­Faktor-Authentifizierung eingeführt beim Aus- und Einloggen in unser ­Betriebssystem.

Bild: Koch

SBZ: Wie wichtig sind denn Datenschutz und IT-­Sicherheit in einem Handwerksbetrieb?

Koch: Total wichtig. Das wird vollkommen unterschätzt. Wir haben in der Hinsicht sehr viel gemacht. Es gibt bei uns zum Beispiel einen Zweit-Server, auf dem wir Sicherungskopien all unserer Daten fahren. Dadurch haben wir Redundanzen geschaffen, nix geht mehr verloren, wenn es an einer Stelle plötzlich hakt, sei es durch einen Hardware-, Software- oder Bedienungsfehler.

SBZ: Ist der Aufwand nicht enorm hoch?

Koch: Das meiste läuft automatisch im Hintergrund. Wir sichern aktuell viermal am Tag unsere Datenbestände. Die beiden Server stehen auch räumlich getrennt, einer hier im Betriebsgebäude in Karben, der andere einen Ort weiter.

SBZ: Warum reicht eine tägliche Sicherung nicht aus? Kommen da so viele neue Daten rein, innerhalb eines Arbeitstages?

Koch: Der Aufwand ist doch gering im Vergleich zu einem kompletten Datenverlust. Vom Prinzip her sichern wir im Zeitraum von 6 Stunden. Das ergibt dann vier Zeitfenster rund um die Uhr. Eine Festplatte nimmt zum Beispiel eine Kollegin mit außer Haus. Das Gerät ist dann außer Reich­weite, egal, ob es im Betrieb brennt oder was auch immer. Die anderen platzieren wir im Gebäude immer in verschiedenen Brandabschnitten. Und selbst wenn einer das Ding klaut, haben wir dennoch alle Daten an anderer Stelle liegen, sie sind weiter greifbar und wir können arbeiten. Wir prüfen auch ein- oder zweimal im Jahr die Sicherungsdatei. Also, ob die auch wirklich funktioniert beim Wiedereinspielen.

SBZ: Über wie viel Speichervolumen sprechen wir?

Koch: Den Server hatten wir 2020 erneuert, er verfügt aktuell über 10 Terabyte Speicher, bei 112 Kernen. Wenn unser IT-Fachmann fragt, ob ich eine Firma mit 200 Angestellten hätte, entgegne ich, nein, aber für sechs bis acht im Büro sollte es schon reichen.

SBZ: Also, die Hardware ist bei euch in sicheren Händen. Aber wie sieht es aus mit heimlichen Angriffen, die unbemerkt übers Internet kommen, habt ihr zum Beispiel eine Cyberversicherung?

Koch: Ja, haben wir. Und die sind sehr gefragt aktuell. Unser Anbieter hat die Versicherungsprämie mal eben um ein Drittel erhöht. Wir liegen jetzt bei rund 1500 Euro im Jahr. Aber ganz ehrlich, ich möchte nicht mehr darauf verzichten.

SBZ: Warum, schon schlechte Erfahrungen mit Trojanern und Erpresser-E-Mails gemacht?

Koch: Nein, und das wird hoffentlich auch nie passieren. Ich habe mit einem IT-Fachmann mal angeschaut, wie viele Zugriffsversuche von außen kommen und was da so alles bei der Sicherheit anschlägt. Danach haben wir unsere zusätzliche Firewall digital noch ein Stück höher gebaut.

SBZ: Laufen alle Prozesse in der Cloud ab?

Koch: Wir arbeiten in einer eigenen Cloud. Unsere Rechner und mobilen Geräte sind quasi nur Zugangsportale in die Cloud rein. Da arbeiten wir mit 120 Terabyte Volumen.

SBZ: Bliebe noch der Faktor Mensch. Wie schafft ihr es, auch da die Fehlerquote niedrig zu halten?

Koch: Wir haben zum Beispiel eine Zwei-Faktor-Authentifizierung eingeführt beim Aus- und Einloggen in unser System. Da haben manche Kollegen anfangs geflucht, aber Sicherheit geht vor. Im Handwerk macht das kaum jemand, aber ich halte es für enorm wichtig, eine Methode zu haben, um die Zugangsberechtigung noch mal gegenzuchecken. Denn was bringt das VPN, wenn ein Unbefugter sich das Kennwort online besorgt hat? Apropos Faktor Mensch: Wir sind immer auf der Suche nach Mitarbeitern, die gerne in einem digitalen Handwerksbetrieb arbeiten wollen.

SBZ: Phishing, wie es in der Fachsprache heißt.

Koch: Generell halte ich es für unverzichtbar, das Team auch im Bereich Sicherheit zu schulen. Unsere Info-Mail-Adresse zum Beispiel bearbeitet nur eine Kollegin, die genau darauf achtet, Absender und Anhänge auf Seriosität zu prüfen. Wenn sie nicht da ist, mache ich das selbst. Um meine Mannschaft generell für das Thema Phishing-Mails zu sensibilisieren, lassen wir mehrmals im Jahr eine Art Phishing-Testkampagne laufen. Das heißt, wir haben einen IT-Dienstleister, der uns auf diese Art versucht, in eine Falle zu locken, um an Daten zu kommen. Er schickt einfach gefälschte E-Mails an uns, mit Reizwörtern in der Betreffzeile wie Bewerbung oder Gehaltsvorstellung.

SBZ: Und wenn jemand tatsächlich reinfällt?

Koch: Dann sprechen wir darüber. Das kann sogar mir passieren, die Phishing-Mailversender sind mittlerweile so gut, die bauen ja ganze Internetseiten glaubwürdig nach, nur um an Kontaktdaten, Zugangsadressen und so weiter zu gelangen. Da könnte selbst ich drauf reinfallen.

SBZ: Dann wünsche ich einen wachsamen Blick, auch und gerade online. Besten Dank.