Stufe 2 von 3
Protect
IT-Sicherheit & Schutzinkl. Manage
Die zweite Stufe legt Schutzschichten über den laufenden Betrieb: Angriffserkennung am Endgerät, E-Mail-Schutz und Mitarbeitende, die Phishing erkennen. Enthält Manage vollständig.
AUSGANGSLAGE
Angriffe auf KMU sind heute Fließbandarbeit.
Das Bild vom Angreifer, der sich ein lohnendes Ziel aussucht, stimmt seit Jahren nicht mehr. Der Großteil dessen, was kleine und mittlere Betriebe trifft, ist automatisiert und breit gestreut: Zugangsdaten aus fremden Datenlecks werden im Sekundentakt gegen Microsoft-365-Anmeldungen probiert, erreichbare Fernzugänge werden durchprobiert, Massenmails imitieren Lieferanten und Banken. Niemand hat sich Ihren Betrieb ausgesucht. Es genügt, dass ein Passwort zweimal verwendet wurde.
Der typische Verlauf sieht dabei unspektakulär aus. Eine Rechnung im Anhang, ein Anmeldefenster, das aussieht wie das von Microsoft, ein Konto, das ab diesem Zeitpunkt mitgelesen wird. Danach passiert oft wochenlang nichts Sichtbares: Der Angreifer liest mit, lernt, wer Rechnungen freigibt und wie im Haus geschrieben wird — und meldet sich dann in einem echten, laufenden E-Mail-Verlauf mit geänderten Bankdaten. In vielen dieser Fälle wird zu keinem Zeitpunkt Schadsoftware ausgeführt.
Genau deshalb reicht Virenschutz nicht: Er sucht nach Dateien, während der Angriff eine gültige Anmeldung benutzt. Protect setzt dort an, wo diese Angriffe tatsächlich stattfinden — am Endgerät, im Postfach, bei den Zugangsdaten und bei den Menschen, die die Mail öffnen. Und es ist darauf ausgelegt, den Zeitraum zwischen erstem Zugriff und Entdeckung zu verkürzen, denn dieser Zeitraum entscheidet über den Schaden.
OHNE DIESE STUFE
Was ohne Schutzschichten passiert.
Diese drei Muster sehen wir am häufigsten. Keines davon setzt einen besonders raffinierten Angreifer voraus — nur eine Lücke, die lange genug offen steht.
Ein Passwort öffnet alles
Wird dasselbe Passwort auch privat verwendet und taucht in einem fremden Datenleck auf, ist das Postfach offen — ohne Schadsoftware, ohne Alarm. Ohne zweiten Faktor und ohne Auswertung der Anmeldungen ist eine übernommene Anmeldung von einer normalen nicht zu unterscheiden.
Die Mail kommt scheinbar vom Chef
Rechnungs- und Anweisungsbetrug funktioniert ohne Anhang und ohne Link: richtige Namen, richtige Projekte, richtiger Ton, geänderte Kontonummer. Technik allein hält das nicht auf — es braucht Mitarbeitende, die den Bruch bemerken, und einen Weg, das ohne Peinlichkeit zu melden.
Ransomware wartet
Zwischen dem ersten Zugriff und der Verschlüsselung liegen häufig Tage bis Wochen. In dieser Zeit ist der Angriff sichtbar — als ungewöhnliche Anmeldung, neu angelegtes Administratorkonto, deaktivierter Schutz, gelöschte Protokolle. Ohne Erkennung bemerkt das niemand. Mit Erkennung ist genau das die Zeit, die man braucht.
LEISTUNGSUMFANG
Was in Protect steckt.
Fünf Schichten über dem laufenden Betrieb. Keine davon ist für sich allein ausreichend — der Sinn liegt darin, dass ein Angriff mehrere gleichzeitig überwinden müsste.
Angriffserkennung am Endgerät
Statt nur bekannte Schaddateien zu erkennen, wird Verhalten bewertet: ein Prozess, der reihenweise Dateien verschlüsselt, Schattenkopien löscht, sich Rechte verschafft oder den Schutz abzuschalten versucht. Auffälliges wird gestoppt und das betroffene Gerät bei Bedarf vom Netz isoliert — es bleibt erreichbar für uns, aber ohne Weg zu den übrigen Systemen.
E-Mail- und Phishing-Schutz
Anhänge und Links werden vor der Zustellung geprüft, gefälschte Absender über die Prüfmechanismen der Domain abgewiesen. Ebenso überwacht werden Postfachregeln: Eine still angelegte Weiterleitung an eine fremde Adresse ist eines der verlässlichsten Anzeichen dafür, dass ein Konto bereits übernommen wurde.
Schwachstellenmanagement
Laufend wird geprüft, was an Ihrer Umgebung angreifbar ist: fehlende Sicherheitsupdates, offene Dienste, Standardpasswörter, ungeschützte Fernzugänge, veraltete Firmware. Priorisiert wird nach Erreichbarkeit von außen und tatsächlicher Ausnutzung — nicht nach Punktzahl in einer Liste.
Dark-Web-Monitoring
Ihre Domain wird gegen bekannte Sammlungen geleakter Zugangsdaten geprüft. Bei einem Treffer erfahren Sie, welches Konto betroffen ist und aus welchem Leck es stammt — und wir ziehen die Konsequenzen: Passwort wechseln, Sitzungen beenden, zweiten Faktor prüfen, Postfachregeln kontrollieren.
Awareness und Phishing-Simulationen
Kurze Trainings in Ihrer Sprache und simulierte Phishing-Mails, die zum Betrieb passen. Ziel ist nicht die Klickquote in einem Bericht, sondern dass Melden zur Gewohnheit wird: Wer eine verdächtige Mail meldet, ist wertvoller als jemand, der nur zufällig nicht geklickt hat. Ausgewertet wird die Entwicklung im Team, nicht die einzelne Person am Pranger.
DIE LEITER
Protect ist die zweite von drei Stufen.
Die Stufen sind kein Baukasten, sondern eine Leiter: Protect enthält Manage vollständig, Recover enthält beide. Ein Wechsel nach oben ändert nichts an Ihren Systemen — es kommt eine Schicht dazu, nichts wird ersetzt.
- Stufe 1ManageManage ansehen →
- Stufe 2ProtectSie sind hier
- Stufe 3RecoverRecover ansehen →
ABLAUF
Wie Protect eingeführt wird.
Sicherheit wird nicht an einem Tag installiert. Wir beginnen mit dem, was ohne Lizenz und ohne Projekt sofort wirkt, und bauen die Schichten darüber auf.
Risikobild
Was ist von außen erreichbar, wo fehlt der zweite Faktor, welche Konten haben Administratorrechte, welche Zugangsdaten Ihres Hauses kursieren bereits in bekannten Leaks? Das Ergebnis ist eine nach Wirkung sortierte Liste — häufig sind die ersten drei Punkte kostenlos umzusetzen.
Das Offensichtliche schließen
Zweiter Faktor für alle Konten, Administratorrechte vom täglichen Arbeitskonto trennen, nicht mehr benötigte Fernzugänge schließen, Postfachregeln kontrollieren, Konten ausgeschiedener Mitarbeitender deaktivieren. Die Maßnahmen mit dem größten Effekt kosten meist am wenigsten.
Schichten ausrollen
Angriffserkennung ersetzt den bisherigen Virenschutz — der wird sauber entfernt, weil zwei Schutzprogramme einander behindern. Danach E-Mail-Schutz und Schwachstellenprüfung. Ausgerollt wird gruppenweise, damit Auswirkungen auf Fachanwendungen früh und in kleinem Rahmen auffallen.
Üben und nachziehen
Awareness-Trainings starten, die erste Phishing-Simulation läuft, Ergebnisse werden mit Ihnen besprochen. Neue Schwachstellen und Meldungen fließen laufend nach. Sicherheit ist kein Zustand, den man erreicht — sie ist ein Betrieb, den man führt.
FÜR WEN
Für wen Protect die richtige Stufe ist.
Protect ist die richtige Stufe, sobald ein Vorfall mehr kosten würde als die Vorsorge — gerechnet mit Stillstand, Meldepflichten und dem, was danach an Vertrauen zu reparieren ist.
Betriebe mit fremden Daten im Haus
Kanzleien, Ordinationen, Steuerberatungen, Hausverwaltungen: Hier ist nicht der eigene Stillstand das größte Risiko, sondern die Meldepflicht und das Gespräch mit Mandanten oder Patientinnen, deren Daten abgeflossen sind. Dieses Gespräch lässt sich nicht auslagern.
Unternehmen mit Auflagen — auch geerbten
NIS2, Cyberversicherungen und Auftraggeber verlangen konkrete technische Maßnahmen. Wer nicht selbst unter NIS2 fällt, bekommt die Anforderungen zunehmend über die Lieferkette durchgereicht: als Fragebogen vor der Auftragsvergabe. Protect deckt den technischen Teil davon ab.
Teams mit viel Außenkontakt
Buchhaltung, Einkauf, Empfang und Vertrieb öffnen täglich Mails von Unbekannten und arbeiten unter Zeitdruck — genau die Kombination, auf die Rechnungsbetrug ausgelegt ist. Dort entscheidet nicht die Firewall, sondern ob jemand kurz stutzt und nachfragt.
HÄUFIGE FRAGEN
Fragen zu Protect
Ist Manage in Protect enthalten?
Ja, vollständig. Protect setzt auf Manage auf: Sie bekommen den kompletten laufenden Betrieb — Monitoring, Updates, Inventar, Reporting — plus alle Sicherheitsschichten, aus einer Hand und ohne zweiten Vertrag. Das ist keine Verkaufslogik, sondern eine technische Voraussetzung: Angriffserkennung auf einer Umgebung, die nicht gepatcht wird, meldet permanent Dinge, die man vorher hätte schließen können.
Reicht unser bestehender Virenschutz nicht aus?
Für den bekannten Teil der Bedrohungen: ja. Der Anteil, der KMU heute tatsächlich trifft, sieht aber anders aus — gültige Anmeldungen aus geleakten Passwörtern, Werkzeuge, die zum Betriebssystem gehören und deshalb nicht als Schadsoftware erkannt werden, und Betrug ganz ohne Software. Dagegen braucht es Verhaltenserkennung, Auswertung der Anmeldungen und geschulte Mitarbeitende. Genau das ergänzt Protect.
Was passiert konkret, wenn etwas erkannt wird?
Automatisiert und sofort: Der auffällige Vorgang wird gestoppt, das Gerät bei Bedarf isoliert, betroffene Anmeldungen können gesperrt werden. Danach folgt die Analyse durch einen Menschen — was war der Einstieg, was wurde berührt, was ist zu tun. Persönlich erreichbar sind wir Mo–Fr von 08:00 bis 16:00; die automatische Reaktion läuft unabhängig davon rund um die Uhr. Bei einem größeren Vorfall halten wir fest, was passiert ist — das brauchen Sie für Versicherung und Meldepflichten.
Wir haben Microsoft 365 Business Premium. Brauchen wir Protect dann noch?
Die Lizenz enthält gute Bausteine — sie sind nur in fast allen Umgebungen, die wir übernehmen, nicht vollständig eingerichtet und vor allem nicht ausgewertet. Ein Schutz, der Warnungen in eine Konsole schreibt, die niemand öffnet, hat den Angriff nicht verhindert. Wir nutzen, was in Ihren Lizenzen steckt, konfigurieren es und betreiben es — und ergänzen dort, wo es nicht hinreicht, etwa bei Endgeräten außerhalb von Microsoft 365.
Nerven Phishing-Simulationen die Mitarbeitenden?
Wenn man sie als Falle aufzieht: ja, und dann schaden sie mehr als sie nützen. Wir stimmen Umfang und Tonfall vorab mit der Geschäftsführung und, wo vorhanden, mit dem Betriebsrat ab, werten auf Teamebene statt personenbezogen aus und verbinden jede Simulation mit einer kurzen Erklärung statt mit einer Rüge. Der Erfolgsmaßstab ist die Zahl der Meldungen, nicht die Zahl der Klicks.
Bringt Protect uns NIS2-Konformität?
Den technischen Teil, nicht den ganzen. Angriffserkennung, Schwachstellenmanagement, Zugriffsschutz, Awareness und die Nachvollziehbarkeit von Vorfällen sind zentrale Anforderungen, und die deckt Protect ab. Nicht abgedeckt sind organisatorische Pflichten: Risikomanagement, Verantwortlichkeiten in der Geschäftsführung, Meldeprozesse, Lieferantenprüfung. Ob Ihr Unternehmen überhaupt unter NIS2 fällt, klären wir vorab — häufig lautet die Antwort nein, und die Anforderungen kommen trotzdem über Ihre Auftraggeber.
Was ist in Protect nicht enthalten?
Backup und Wiederherstellung. Protect kann einen Angriff früh stoppen, aber wenn Daten verschlüsselt, gelöscht oder in einem übernommenen Cloud-Konto verändert wurden, entscheidet die Sicherung darüber, wie schnell Sie weiterarbeiten — das ist Recover. Ebenfalls nicht enthalten: forensische Aufarbeitung großer Vorfälle und die rechtliche Begleitung einer Meldung.