Jedes Gerät ist ein Einfallstor: Die Device-Security-Checkliste, die du noch diese Woche umsetzen kannst

Letzten Monat rief mich ein Kunde an – ein Architekturbüro mit 12 Mitarbeitern. Ein Laptop wurde aus einem Auto gestohlen. Kein Backup. Keine Verschlüsselung. Keine Remote-Wipe-Funktion.

Auf dem Laptop: Baupläne für ein Lagerhalle. Kundendaten. Zugangsdaten zu Cloud-Diensten (im Browser gespeichert). E-Mails mit vertraulichen Verhandlungen.

„Lukas, was machen wir jetzt?"

Die ehrliche Antwort: „Nicht viel. Der Laptop ist weg. Die Daten sind weg. Hoffen wir, dass der Dieb nur den Laptop verkauft und nicht die Daten."

Das hätte nicht passieren müssen.

Mit 3 Stunden Arbeit und praktisch null Budget oder mich fragen hätte dieser Laptop verschlüsselt sein können. Mit Remote Wipe. Mit automatischen Backups. Mit Multi-Faktor-Authentifizierung.

Der Schaden? Schwer zu beziffern. Kunden-Vertrauen? Beschädigt. Wettbewerbsvorteile? Potenziell verloren. DSGVO-Meldepflicht? Ausgelöst.

‍

Das Problem: Deine Mitarbeiter arbeiten überall – auf allen Geräten

2026 sieht die Realität in den meisten KMUs so aus:

• Laptop im Büro, zuhause, im Zug, im Café, in der Badi oder so
• Smartphone privat und geschäftlich gemischt (BYOD – Bring Your Own Device)
• Homeoffice mit privaten Routern, Familien-PCs, ungesicherten WLANs
• Tablets für Aussendienst, Präsentationen, Baustellenbesuche
• Externe Festplatten, USB-Sticks für „schnelle Backups"

Jedes einzelne Gerät ist ein potenzielles Einfallstor.

Ein verlorenes Smartphone = Zugang zu E-Mails, Cloud-Speicher, 2FA-Apps.

Ein kompromittierter Laptop im Homeoffice = Zugang zu deinem gesamten Firmennetzwerk.

Ein ungepatchtes Tablet = Angriffsfläche für Malware.

Die gute Nachricht: Du kannst 90% der Risiken mit relativ einfachen Massnahmen eliminieren. Aber es ist wie immer, du musst es auch machen.

Das hier ist keine theoretische Abhandlung über Zero-Trust-Architektur. Das ist eine praktische Checkliste, die jede IT-Leitung (oder auch nur ein IT-affiner Geschäftsführer) in einem kleinen Unternehmen noch diese Woche umsetzen kann.

‍

Die 4 Säulen der Device Security

1. Device Management – Du musst wissen, welche Geräte existieren und sie kontrollieren können
2. Patching – Sicherheitslücken schliessen, bevor Angreifer sie nutzen
3. Verschlüsselung – Selbst wenn ein Gerät gestohlen wird, sind die Daten unlesbar
4. Monitoring – Du merkst, wenn etwas schiefgeht

Gehen wir durch, Schritt für Schritt.

‍

Säule 1: Device Management – Inventar und Kontrolle

Was ist das Problem?

Du weisst nicht, welche Geräte auf dein Firmennetzwerk zugreifen. Ein Mitarbeiter benutzt sein privates iPad. Ein anderer hat einen alten Laptop von 2015 im Homeoffice. Ein dritter hat ein Android-Smartphone mit veralteter Software.

Du hast keine Kontrolle. Wenn ein Mitarbeiter kündigt, nimmt er das Gerät mit – inklusive allen Firmendaten.

‍

Was du tun musst:

Schritt 1: Inventar erstellen (1-2 Stunden)

Erstelle eineListe aller Geräte, die auf Firmendaten zugreifen:

• Laptops (Modell, Seriennummer, Betriebssystem, Nutzer)
• Smartphones (iOS/Android, Version, Nutzer)
• Tablets
• Desktop-PCs (Büro + Homeoffice)

Tools:

• Einfach: Excel
• Besser: Asset-Management-Tool

Warum: Du kannst nur schützen, was du kennst.

‍

Schritt 2: Mobile Device Management (MDM) einrichten (2-4 Stunden)

MDM = Software, mit der du Geräte remote verwalten kannst.

Was MDM kann:

• Remote Wipe (Gerät gestohlen? Daten löschen aus der Ferne)
• Passwort-Richtlinien durchsetzen (mind. 8 Zeichen, Komplexität)
• Apps verbieten/erlauben
• VPN-Konfiguration verteilen
• Verschlüsselung erzwingen

Welches MDM?

Wenn du bereits Microsoft 365 hast (Business Premium oder E3):

• Microsoft Intune ist inbegriffen (keine Zusatzkosten!)
• Kann: Windows, macOS, iOS, Android verwalten
• Setup: 2-4 Stunden für Basic-Config

Wenn du kein M365 hast oder Mac/iOS-lastig bist:

• Jamf Now (für Apple-Geräte) – ab ~3 CHF/Gerät/Monat

Gratis-Option:

• Apple Business Manager (für iPhones/iPads/Macs) – gratis, aber weniger Features

Setup-Anleitung (Microsoft Intune Beispiel):

1. In Microsoft 365 Admin Center → Endpoint Manager öffnen
2. Geräte enrollen (QR-Code oder E-Mail-Link an Mitarbeiter)
3. Compliance Policy erstellen:

Passwort erforderlich

• Verschlüsselung erforderlich
• OS-Version mindestens X

Bei Non-Compliance: Zugriff auf Firmen-E-Mail blockieren

Zeit: 2-4 Stunden Initial-Setup. Dann 10-15 Min/Monat für neue Geräte.

‍

Schritt 3: BYOD-Policy definieren (30 Minuten)

Wenn deine Mitarbeiter private Geräte nutzen (Bring Your Own Device):

Entscheide:

• Erlauben wir BYOD? (Ja/Nein/Nur für E-Mail)
• Welche Daten dürfen auf private Geräte?
• Dürfen wir private Geräte remote wipen? (meist nur „Firmen-Container" löschen)

Minimale BYOD-Regel:

• Gerät muss in MDM enrolled sein
• Passwort/PIN erforderlich
• Verschlüsselung an
• Automatische Updates an
• Bei Kündigung: Firmen-Daten werden remote gelöscht

Schreib's auf: 1-seitige Policy, Mitarbeiter unterschreiben lassen.

‍

Säule 2: Patching – Sicherheitslücken schliessen

Was ist das Problem?

Die meisten Angriffe nutzen bekannte Schwachstellen in Software, die schon lange gepatcht ist.

Beispiele:

• EternalBlue (2017): Windows-Schwachstelle, die WannaCry ermöglichte. Patch war verfügbar – Unternehmen, die nicht gepatcht hatten, wurden gehackt.
• Log4Shell (2021): Kritische Java-Schwachstelle. Patch innerhalb von 72 Stunden verfügbar – wer nicht patcht, wird gehackt.

Statistik: 60% der Datenschutzverletzungen hätten durch verfügbare Patches verhindert werden können (Ponemon Institute).

‍

Was du tun musst:

Schritt 4: Automatische Updates aktivieren (15 Minuten pro Gerät)

Windows:

• Settings → Windows Update → Advanced Options
• „Automatically download and install updates" aktivieren
• Neustart-Zeit festlegen (z.B. nachts)

macOS:

• System Settings → General → Software Update
• „Automatically keep my Mac up to date" aktivieren

iOS/Android:

• Settings → Software Update → Automatic Updates: ON

Via MDM erzwingen: In Intune/Jamf: Update-Richtlinie erstellen, die automatische Updates erzwingt. Mit einem speziellen Patchmanagement Tool wie level.io die Updates überwachen und erzwingen – standortunabhängig.

‍

Schritt 5: Software-Inventar pflegen (1 Stunde Initial, dann 15 Min/Monat)

Liste alle installierte Software:

• Microsoft Office → Auto-Update aktiviert?
• Adobe Reader → Auf aktuellster Version?
• Browser (Chrome, Firefox, Edge) → Auto-Update aktiv?
• VPN-Client
• Buchhaltungssoftware
• Branchenspezifische Tools

Tools:‍

• Winget: Auf jedem Windows Desktop PC installiert[LV1.1]
• Intune: Zeigt installierte Apps
• PDQ Inventory (Windows) – scannt Netzwerk, zeigt veraltete Software
• Jamf (macOS) – Inventar + Patching

Regel: Alles, was älter als 3 Monate ist = kritisch prüfen.

‍

Schritt 6: Patch-Routine etablieren (1x/Monat, 30 Minuten)

Monatliche Aufgabe:

1. Letzter Dienstag im Monat: „Patch Tuesday" (Microsoft veröffentlicht Updates)
2. Prüfen: Sind kritische Updates verfügbar?
3. Testen (wenn möglich auf Test-Gerät)
4. Roll-out via MDM oder manuell
5. Verifizieren: Haben alle Geräte Updates installiert?

Tool-Tipp: In Intune/Jamf kannst du Reports generieren: „Welche Geräte haben noch nicht gepatcht?"

‍

Säule 3: Verschlüsselung – Daten schützen bei Geräteverlust

Was ist das Problem?

Ein Laptop wird gestohlen. Ein Smartphone geht verloren. Wenn die Festplatte/der Speicher nicht verschlüsselt ist, kann jeder mit einem USB-Stick die Daten auslesen – ohne Passwort.

‍

Was du tun musst:

Schritt 7: Festplattenverschlüsselung aktivieren (5-10 Minuten pro Gerät)

Windows: BitLocker

• Windows 10/11 Pro oder höher (Home hat kein BitLocker)
• Settings → Privacy & Security → Device Encryption → Turn On
• Alternative 1: Control Panel → BitLocker Drive Encryption
• Alterantive 2: Mit Sophos Device Management übernimmt diese Arbeit der Virenscanner und speichert alle wichtigen Daten in der sicheren Sophos Cloud.[LV2.1]
• Alternative 3: Mit intune Verwaltete Geräte kann dieser Vorgang ebenfalls automatisiert werden.

macOS: FileVault

• System Settings → Privacy & Security → FileVault → Turn On
• Recovery Key speichern (Apple-ID oder manuell notieren)

Linux:

• Bei Installation: "Encrypt the disk" auswählen (LUKS)
• Nachträglich: cryptsetup verwenden

iOS/Android:

• Standardmässig verschlüsselt (seit iOS 8 und Android 6), solange Passcode/PIN gesetzt ist

Via MDM erzwingen: In Intune: Compliance Policy → „Encryption required" → Nicht-konforme Geräte blockieren.

Wichtig: Recovery Keys sicher aufbewahren (z.B. in Passwort-Managern wie Keepass oder Pleasant für Keypass)

‍

Schritt 8: Cloud-Daten verschlüsseln (je nach Lösung)

Wenn du OneDrive, Google Drive, Dropbox nutzt:

• Dateien sind während Übertragung verschlüsselt (TLS)
• Dateien sind auf Servern verschlüsselt (AES-256)
• ABER: Cloud-Anbieter hat den Schlüssel (kann theoretisch Daten lesen)

Für höchste Sicherheit:

• Client-seitige Verschlüsselung: Cryptomator (gratis, open-source)
• Verschlüsselt Dateien vor Upload zu Cloud
• Nur du hast den Schlüssel
• Nachteil: Cloud-Suche, Vorschau funktioniert nicht

Oder: Nutze Cloud mit Zero-Knowledge-Verschlüsselung:

• Tresorit (Schweizer Anbieter, End-to-End verschlüsselt)
• pCloud Crypto (Schweizer Anbieter, optionales Add-on)

‍

Säule 4: Monitoring – Erkenne, wenn etwas schiefgeht

Was ist das Problem?

Ein Gerät wird kompromittiert (Malware, Phishing). Ohne Monitoring merkst du es erst, wenn's zu spät ist.

‍

Was du tun musst:

‍Schritt 9: Endpoint Detection & Response (EDR) einrichten (siehe Budget-Artikel)

Falls du bereits EDR hast (aus dem 25k/50k-Budget):

• Sophos AntiVirus oder Microsoft Defender for Endpoint (mit Intune Verbindung)
• Monitoring ist automatisch.

Falls nicht:

• Minimum: Windows Defender aktiviert + Cloud-basierte Schutz einschalten
• Settings → Windows Security → Virus & Threat Protection → Manage Settings
• „Cloud-delivered protection" ON
• „Automatic sample submission" ON

macOS: Gatekeeper + XProtect (eingebaut, automatisch aktiv)

‍

Schritt 10: Login-Monitoring aktivieren (30 Minuten)

In Microsoft 365:

• Azure AD → Sign-in Logs
• Aktiviere Alerts für:
• Logins aus ungewöhnlichen Ländern
• Unmögliche Reisen (Login in Zürich um 9 Uhr, dann Login in Moskau um 9:05 Uhr)
• Viele fehlgeschlagene Login-Versuche

Kosten: Gratis (wenn du M365/Google Workspace hast).

‍

Was du damit erkennst:

• Kompromittierte Konten
• Brute-Force-Angriffe
• Phishing-Opfer

‍

Schritt 11: Gerätestatus-Monitoring (15 Minuten Setup)

In deinem MDM (Intune/Jamf):

• Dashboard: Zeigt Geräte-Status
• Ist Verschlüsselung aktiv?
• Letzte Patch-Version?
• Letzte Verbindung zum Netzwerk?

Wöchentliche Aufgabe (5 Minuten): Check: Sind alle Geräte „compliant"? Falls nicht: Mitarbeiter kontaktieren.

‍

Die Checkliste zum Abhaken

Hier ist die komplette Liste, am besten speicherst du die Grafik oder rufst bei Nettrust an.

‍

‍

Device Management

• Inventar aller Geräte erstellt (Excel/Asset-Tool)
• MDM eingerichtet (Intune/Jamf/Mosyle)
• Alle Firmen-Geräte in MDM enrolled
• BYOD-Policy definiert und kommuniziert
• Compliance-Regeln aktiviert (Passwort, Verschlüsselung, OS-Version)

Patching

• Automatische Updates aktiviert (Windows/macOS/iOS/Android)
• Software-Inventar erstellt
• Veraltete Software identifiziert und aktualisiert
• Monatliche Patch-Routine etabliert (Kalender-Eintrag)
• Update-Compliance-Report aktiviert (in MDM)

Verschlüsselung

• Festplattenverschlüsselung aktiviert (BitLocker/FileVault)
• Recovery Keys sicher gespeichert
• Mobile Geräte: Passcode/PIN erzwungen
• Cloud-Verschlüsselung geprüft (Cryptomator oder Zero-Knowledge-Cloud)
• USB-Sticks: Verschlüsselt (BitLocker To Go / VeraCrypt)

Monitoring

• EDR/Antivirus aktiv auf allen Geräten
• Cloud-Protection aktiviert (Windows Defender)
• Alerts konfiguriert (ungewöhnliche Logins, Failed Attempts)
• Wöchentlicher MDM-Compliance-Check etabliert

‍

Häufige Ausreden (und warum sie nicht gelten)

„Wir sind zu klein, das lohnt sich nicht."

→ Der Architekt mit 12 Mitarbeitern (Anfang des Artikels) dachte das auch. Jetzt sind 8-Millionen-Franken-Baupläne weg.

‍

„Das ist zu kompliziert."

→ BitLocker aktivieren = 3 Klicks. MDM einrichten = 2-4 Stunden einmalig. Danach läuft's automatisch.

‍

„Wir haben kein Budget."

→ Das meiste hier ist gratis, zusätzlich gibt es diverse Open-Source-Optionen.

‍

„Meine Mitarbeiter werden sich beschweren."

→ Erkläre ihnen: „Ohne Verschlüsselung kann jeder, der dein Laptop findet, alle Kundendaten lesen. Willst du das?" Meistens überzeugt das.

‍

„Ich hab keine IT-Abteilung."

→ Das hier kann ein IT-affiner Geschäftsführer selbst machen. Oder du holst dir einen IT-Dienstleister für 1-2 Tage Setup. Kosten: 2'000-4'000 CHF. Einmalig.

‍

Was passiert, wenn du nichts machst?

Zurück zum Architekten. Der gestohlene Laptop hatte keine Verschlüsselung. Kein MDM. Keine Remote-Wipe-Funktion.

Konsequenzen:

1. FADP-Meldepflicht ausgelöst – Datenschutzverletzung mit Risiko für betroffene Personen (Kundenvertrauenspersonen) muss ohne unzumutbare Verzögerung dem Eidgenössischen Datenschutzbeauftragten (EDÖB) gemeldet werden. Best Practice: innerhalb von 72 Stunden. Im Fall von Datendiebstahl ist sofortige Benachrichtigung empfohlen. Alle betroffenen Personen müssen ebenfalls benachrichtigt werden.
2. Kunden-Benachrichtigung – Bauherr und alle Personen mit Daten auf dem Laptop müssen informiert werden. Vertrauen beschädigt.
3. Wettbewerbsrisiko – Falls Pläne in falsche Hände geraten: Konkurrenzvorteil weg. Oder Schlimmeres.
4. Potenzieller Reputationsschaden – In der Architektur-Branche spricht sich sowas rum.
5. Potenzielle Bussgelder – FADP sieht Bussgelder bis CHF 100'000 vor (seit 1. September 2023, wenn keine angemessenen Schutzmassnahmen getroffen wurden).

Kosten:

• Anwalt für FADP-Meldung: 2'000-3'500 CHF
• Forensik (prüfen, welche Daten auf dem Laptop waren): 5'000 CHF
• Neuer Laptop + Setup: 2'500 CHF
• Zeit des Geschäftsführers (Stress, Schadensbegrenzung): je nach Situation und Schaden
• Potenzielle Bussgelder: bis CHF 100'000
• Reputationsschaden: je nach Situation und Schaden

Total: ~10'000+ CHF + mögliche Bussgelder + Reputationsschaden.

‍

Mit Verschlüsselung? (Best Case)

Remote Wipe aktiviert. Daten gelöscht. FADP-Bewertung: „Gerät war verschlüsselt, kein Datenzugriff möglich – keine Meldepflicht, da kein Risiko für betroffene Personen."

Ergebnis: Kein Schaden. Kein Stress. Keine Bussgelder.

Das ist der Unterschied.

‍

Dein nächster Schritt diese Woche

Du brauchst vier Dinge:

1. Device Management – Du weisst, welche Geräte existieren, und kannst sie kontrollieren
2. Patching – Sicherheitslücken sind geschlossen
3. Verschlüsselung – Gestohlene Geräte sind wertlos (für Datendiebe)
4. Monitoring – Du merkst, wenn etwas falsch läuft

Das ist IT-Grundhygiene.

‍

Und wenn du das nächste Mal einen Anruf bekommst: „Lukas, mein Laptop wurde gestohlen" – dann kannst du sagen: „Kein Problem. Remote Wipe aktiviert. Daten sind sicher. FADP-konform. Kein Schaden."

Das ist der Unterschied zwischen Panik und Kontrolle.

Du kannst das jetzt alles selber machen. Du kannst auch einfach bei uns anrufen.

‍

FADP-Kontakt für Schweizer KMU:

• EDÖB Website: https://www.edoeb.admin.ch

• EDÖB E-Mail: info@edöb.admin.ch

• EDÖB Telefon: +41 (0)31 325 95 95

Wichtig: Die FADP ist seit 1. September 2023 in Kraft. Du bist rechtlich verpflichtet, angemessene Schutzmassnahmen zu treffen. Die hier beschriebenen Massnahmen sind Standard und werden von EDÖB erwartet.

‍