5 Endpoint-Security-Fehler, die Schweizer KMU immer wieder machen (und wie man sie stoppt)
Vom vergessenen Laptop bis zur Meldung, die Wochen zu spät kommt: Das sind die Endpoint-Security-Fehler, die Schweizer KMU am teuersten zu stehen kommen – und wie man sie behebt.
Die meisten Schweizer KMU werden nicht gehackt, weil ihnen das Bewusstsein fehlt. Sie werden gehackt, weil ihre Endpoint-Security über halb vergessene Tools, manuelle Checklisten und die vage Hoffnung verteilt ist, dass «der Virenscanner schon etwas tut». Hier sind die Fehler, die wir am häufigsten sehen – und was sie wirklich kosten.
Fehler 1: Nicht einmal zu wissen, welche Geräte überhaupt existieren
Es ist erstaunlich verbreitet, dass Unternehmen keine verlässliche Liste darüber führen, welche Macs und PCs im Geschäftsbetrieb tatsächlich aktiv sind. Der alte Laptop eines ehemaligen Mitarbeiters loggt sich immer noch ins VPN ein. Das Gerät eines freien Mitarbeiters aus dem letzten Jahr wurde nie zurückgesetzt. Niemand kann mit Sicherheit sagen, wie viele Endgeräte überhaupt geschützt werden müssten – geschweige denn, ob sie es sind.
Das passiert, weil Geräteinventar und Sicherheits-Tools meist in unterschiedlichen Systemen leben – wenn überhaupt irgendwo. Die Konsequenz ist simpel: Was man nicht sieht, kann man nicht schützen. Ein unbekanntes Gerät ist ein unüberwachtes Gerät, und genau dort beginnen Vorfälle, die am längsten unentdeckt bleiben.
Die Lösung ist struktureller, nicht organisatorischer Natur: Jedes Endgerät sollte sich automatisch – anhand von MAC-Adresse oder Seriennummer – mit seinem Asset-Eintrag verknüpfen, sobald der Schutz-Agent installiert wird. Keine Excel-Liste zum Pflegen, kein Onboarding-Schritt, der vergessen werden kann. Eine Liste, immer aktuell.
Fehler 2: Virenschutz als «installieren und vergessen» behandeln
Viele KMU installieren den Virenschutz einmal bei der Einrichtung – und denken danach nie mehr darüber nach. Signaturen veralten, geplante Scans laufen irgendwann unbemerkt nicht mehr, und niemand prüft, ob Festplattenverschlüsselung oder Bildschirmsperre auf allen Geräten tatsächlich durchgesetzt werden.
Das liegt daran, dass klassische Antivirus-Tools in ein Dashboard melden, das niemand regelmässig öffnet. Die Folge ist ein trügerisches Sicherheitsgefühl: Man glaubt, abgesichert zu sein, doch ein CIS-Benchmark-Audit würde zeigen, dass bei der Hälfte der Geräte grundlegende Hygiene fehlt – keine Festplattenverschlüsselung, Firewall deaktiviert, Bildschirmsperre aus, veraltete Signaturen.
Die Lösung ist eine laufende, automatisierte Bewertung statt einer einmaligen Einrichtung. Ein pro Gerät berechneter CIS-Benchmark-Score, der kontinuierlich aktualisiert wird, zeigt in Echtzeit, welche Geräte tatsächlich konform sind – nicht, welche man vermutet, dass sie es sind.
Fehler 3: Sich allein auf signaturbasierte Erkennung verlassen
Klassischer Virenschutz erkennt bekannte Malware-Signaturen – und das war's dann auch. Er übersieht genau die Bedrohungen, die für KMU heute am relevantesten sind: über Phishing eingeschleuste Schadsoftware, Command-and-Control-Verkehr und Indikatoren für Kompromittierungen, die Sicherheitsforscher andernorts längst identifiziert haben.
Das passiert, weil viele Billig- oder Legacy-AV-Tools nie dafür konzipiert wurden, aktuelle Threat-Intelligence abzugleichen. Die Folge ist eine gefährliche blinde Stelle: Malware, die der Security-Community längst bekannt ist, schlüpft trotzdem durch, weil das eigene Tool nie nachgeschaut hat.
Die Lösung liegt in der Kombination mehrerer Erkennungsmethoden: ClamAV- und YARA-Scans für bekannte Malware-Muster, kombiniert mit dem Abgleich von abuse.ch-Threat-Intelligence-Indikatoren auf jedem Endgerät. Zusammen erkennen sie sowohl den klassischen Virus als auch die aktuelle, geheimdienstlich fundierte Bedrohung.
Fehler 4: Kein Weg, ein kompromittiertes Gerät schnell zu isolieren
Wird ein Gerät als kompromittiert markiert, zählt jede Minute. Doch bei vielen KMU bedeutet «Isolieren» immer noch, physisch zum Gerät zu gehen und das Netzwerkkabel zu ziehen – oder den externen IT-Dienstleister anzurufen und auf einen Rückruf zu warten. In der Zwischenzeit bleibt das infizierte Gerät verbunden und kann sich im Netzwerk ausbreiten oder Daten abfliessen lassen.
Das liegt daran, dass Incident Response und Endpoint-Übersicht meist in getrennten Tools stattfinden – sofern überhaupt ein Vorgehen dafür geplant ist. Die Kosten steigen stündlich: mehr Exposition, mehr potenzieller Datenabfluss, mehr Erklärungsbedarf im Nachhinein.
Die Lösung ist Netzwerkisolation per Mausklick – und ebenso einfaches Freigeben, sobald das Gerät bereinigt ist – direkt aus dem Fleet-Dashboard, ohne Vor-Ort-Termin oder Support-Ticket. Eindämmung wird zu einer Entscheidung, nicht zu einem logistischen Problem.
Fehler 5: Die gesetzliche Frist zur Meldung von Datenschutzvorfällen verpassen
Das vielleicht teuerste Versäumnis: Eine Erkennung mit hohem Schweregrad wird technisch behandelt, aber niemand stellt die Verbindung zur rechtlichen Pflicht her, den Vorfall zu dokumentieren – und in gewissen Fällen gemäss DSGVO-ähnlichen Vorgaben zu melden. Wenn jemand merkt, dass eine Meldefrist existiert, ist diese oft schon verstrichen.
Das passiert, weil Sicherheits-Tools und Compliance-Pflichten meist von unterschiedlichen Personen verwaltet werden – oder gar nicht gemeinsam gedacht werden. Die Kosten sind nicht nur ein Bussgeldrisiko, sondern auch der Stress, Wochen später mit lückenhaften Logs und verblassten Erinnerungen eine Zeitleiste rekonstruieren zu müssen.
Die Lösung besteht darin, Compliance im Moment der Erkennung automatisch auszulösen: Meldungen mit hohem Schweregrad sollten sofort einen DSGVO-Breach-Eintrag eröffnen, die Frist korrekt starten und von Anfang an eine saubere, zeitgestempelte Dokumentation führen.
Alles zusammengeführt
Jeder dieser Fehler hat eigentlich dieselbe Ursache, nur in anderem Gewand: Endpoint-Security-Tools, die nicht miteinander sprechen, nicht mit dem Asset-Inventar kommunizieren und nicht mit den Compliance-Pflichten verknüpft sind. Das Antivirus- & Endpoint-Protection-Modul von Flitz führt ClamAV- und YARA-Scans, abuse.ch-Threat-Intelligence-Abgleiche sowie CIS-Benchmark-Posture-Scoring kontinuierlich auf jedem Firmen-Mac und -PC durch – mit Netzwerkisolation per Mausklick und automatischen DSGVO-Breach-Einträgen bei Erkennungen mit hohem Schweregrad. Alles mandantenscharf getrennt, sodass Ihre Geräte, Alarme und Scans nie mit den Daten eines anderen Unternehmens in Berührung kommen.
Es wurde entwickelt, um Lösungen wie CrowdStrike, SentinelOne, Bitdefender GravityZone und Jamf Protect zu ersetzen – nicht als nachträglich angeflanschtes Extra, sondern als natürliche Erweiterung derselben Plattform, die bereits Ihre Buchhaltung, Rechnungsstellung und HR abwickelt.
Sicherheit ist kein Produkt, das man einmal kauft. Es ist ein Prozess, der jeden Tag sichtbar sein muss – auf jedem Gerät, automatisch.