Windows 7 ablösen - aber richtig! Tipps vom yourIT-Team

Der Countdown läuft bis zum 14. Januar 2020. An diesem Tag wird Microsoft die letzten Sicherheits-Patches für Windows 7 bereitstellen. Danach endet der Support für dieses Betriebssystem. Wenn Sie noch Windows 7 PCs verwenden, sollten Sie spätestens dann auf ein anderes Betriebssystem umsteigen. Was es dabei zu beachten gilt, zeigen wir Ihnen im nachfolgenden Beitrag.

Die Qual der Wahl? Windows 10 in 32-Bit oder 64-Bit-Version?

Grundsätzlich empfehlen wir die 64-Bit-Version. Das liegt daran, dass sie normalerweise ein wenig schneller als die 32-Bit-Variante ist. Programme, die nur in der 64-Bit-Version laufen, verwenden kann und den Speicher effektiver verwaltet. Schwierigkeiten können eigentlich nur die Treiber bei älteren Geräten machen. Betroffen sein können eigene Treiber des Rechners genauso wie die von Druckern, Scannern und anderen Peripheriegeräten. Meist stellen die Hersteller 64-Bit-Treiber für Windows 10 bereit. Ist dies nicht der Fall, empfiehlt es sich, den Umweg über Windows 8.1 zu gehen. Die entsprechenden 32-Bit-Treiber laufen oft auch unter Windows 10.

Windows 7 ablösen - aber richtig! Tipps vom yourIT-Team

Wer allerdings Office 2010 verwenden will, der sollte unbedingt die 32-Bit-Variante von Office 2010 nehmen. Grund dafür sind Inkompatibilitäten der 64-Bit-Version von Office 2010. Zu beachten ist aber, dass es für Office 2010 nur noch bis Oktober 2020 Support gibt.

Welcher Migrationspfad ist der richtige?

Am einfachsten ist es natürlich, wenn Sie alle ihre Windows-7-Computer gegen neue mit Windows 10 eintauschen. Die Einführung von Windows 10 ist spürbar kostengünstiger als zuvor bei Windows 7. Allerdings müssen neue Rechner angeschafft werden, wenn man nicht Windows 10 auf den vorhandenen Geräten installieren will. Jedenfalls ist es angesichts der Kürze der Zeit bis Mitte Januar 2020 keine Option, einfach zu warten bis die Bestandscomputer einfach aus Altersgründen aussortiert werden.

Unabhängig davon, welche Hardware man wählt, sollte man auf die Migration Schritt für Schritt durchführen. Am einfachsten wird es, wenn man Skaleneffekte nutzen kann, z.B. weil Geräte mit viele gemeinsamen Eigenschaften gleichzeitig umgestellt werden. Auswahlkriterien dafür sind z.B. alle Geräte, auf denen ein und dieselbe wichtige Anwendung installiert ist oder alle Rechner einer Abteilung.

Was für Geräte gibt es eigentlich im Unternehmen – Inventarisierung!

Wer Windows 10 auf vorhandenen Computern installieren will, muss als erstes die Geräte erfassen und auflisten, die für Windows 10 geeignet sind. Hier empfiehlt sich das kostenlos von Microsoft bereit gestellte „Assessment and Planning Toolkit“. Wer mag, kann dafür den ebenfalls kostenlosen Windows 10 Check Report von Aagon verwenden. Der nächste Schritt ist die Inventarisierung der gesamten Software, die im Unternehmen Verwendung findet. Das ist eine Voraussetzung für die Neuinstallation aller Programme unter Windows 10.

Es bietet sich an, diesen Moment zu nutzen, und eine Gesamtinventur der Anwendungen im Unternehmen zu machen. Als Tool der Wahl kann die Softwareinventarisierung von Client-Management-Systemen dienen. Eine von deren Funktionen ist häufig eine Prüfung der vorhandenen Software dahingehend, ob die noch auf dem neusten Stand ist. Hinzu kommt, dass diese Systeme die Anwendungen aktualisieren, nachdem alle Komponenten neu installiert wurden.

Testen Sie die Kompatibilität, denken Sie an die Arbeitszeit und die Kollegen aus den Fachbereichen

Vor der Migration ist es unabdingbar, einen Test aller Anwendungen unter Windows 10 durchzuführen. Erliegen Sie nicht der „Versuchung“, die nur die IT-Mitarbeiter mit dem Test der Software zu beauftragen. Denn eine Anwendung sollte im Praxisbetrieb getestet werden, sprich „Poweruser“ sollten prüfen, ob „ihre“ Software auch unter Windows 10 alle Funktionen bietet. Wer versteckte Fehler noch gewissenhafter aufdecken will, sollte sogar Mitarbeiter, die im Umgang mit einer bestimmten Software wenig Erfahrung haben, an diese heranlassen. Sie arbeiten bei der der Suche nach einer Funktion oft mit Versuch und Irrtum, was eben zur zufälligen Entdeckung von Fehlern führt.

Der Test sollte sich auch auf Anwendungen erstrecken, die automatisch Daten miteinander austauschen wie zum Beispiel die CRM-Software mit dem Mailprogramm. Was passiert, wenn eine Software schon unter Windows 10 arbeitet, die andere jedoch noch nicht? Klappt der Datenaustausch reibungslos?

Hätten Sie’s gewusst? Wenn Sie Windows 7-ablösen, müssen Sie auch an den Server 2008 R2 denken!

Parallel zum Supportende für Windows 7 endet der Support für Windows Server 2008 und 2008 R2. Betroffen ist auch, wer einen Small Business Server 2011 im Einsatz hat. Denn dieser baut auf dem Server 2008 R2 auf. In der Konsequenz erhält auch er keine Updates mehr. Mehr noch: Microsoft bietet keinen kostengünstigen Nachfolger für den Small Business Server an, was bedeutet, dass zwangsläufig zu überlegen ist, wie der Exchange Server migriert wird. Der einfache, aber nicht die eher teurere Variante ist der Umstieg auf die aktuelle Version. Wer es kostengünstiger mag, kann die Exchange-Lösungen unter Office 365 wählen – oder gleich zu einer alternativen Lösung wechseln.

Was Windows 10 in einer Windows Domäne angeht, so funktioniert seit dem Server 2008 R2 das Zusammenspiel weitestgehend reibungslos. Wer einen WSUS einsetzt, braucht diesen in der Version 4 und damit mindestens einen Windows Server 2012. Damit das Updaten von Windows 10 funktioniert, ist hier noch etwas Handarbeit nötig. Ein Server-Update z.B. auf WinServer 2016, ist in jedem Fall dringend erforderlich, wenn man auch die Sicherheit seiner Unternehmens-IT nicht vernachlässigen will.

So umgehen Sie die Linzenzfalle Windows 10 und Virtualisierung

Erfreulich für alle, die Windows 7 virtualisiert haben: das geht auch bei Windows 10. Nur, wenn Sie das für das neue Betriebssystem auch planen, ist das nicht so einfach. Denn ohne ganz eigene Lizenzen, die so genannten VDA-Lizenzen geht das nicht. Bei einer Virtualisierung sind die Lizenzbedingungen von Server und Workstation extrem unterschiedlich. Zunächst einmal darf man eine Windows-Server-Standardlizenz auf einem virtuellen System zweimal installieren: damit erspart man sich kostenmäßig ungefähr die Hälfte. Aber: die Virtualisierung von Workstation-Betriebssystemen erfordert spezielle Lizenzen, die deutlich teurer kommen. Empfehlenswert, weil normalerweise günstiger, ist es daher einen Windows Terminal Server zu verwenden.

Vorsicht! Virtuelle Workstations ohne Lizenzen zu verwenden, kann unangenehm teuer werden, wenn dies bei einer Lizenzprüfung aufgedeckt wird.

Was tun mit lokalen Daten bei der Migration?

Gängige Praxis in vielen Unternehmen, wenn auch in ebenso vielen Unternehmen In der Regel verboten, ist das lokale Speichern von Daten. Und ja, bei der Migration zu Windows 10, dürften diese Daten zu einem Problem werden. Was tun, um dies zu vermeiden?

Der erste Schritt ist, das „User State Migration Tool“ (USMT) von Microsoft zur Hand zu nehmen. Es dient unter anderem dazu, lokal auf einem PC abgelegte Daten zu sichern und wiederherstellen. Da USMT auch automatisiert betrieben werden kann, haben Sie die Möglichkeit, es auch mit Client Management-Systemen zu steuern. Allerdings, und das ist der Pferdefuß bei USMT, muss die XML-Konfigurationsdatei für die Konfiguration manuell angepasst werden. Eine Variante ist der nicht so komplizierte Zugriff auf eine der angebotenen GUIs. In Frage kommt z.B. die USMT GUI aus dem Microsoft Scriptcenter.

Richtig komplex wird es, wenn USMT die Anforderungen nicht erfüllt oder wenn man zur Not auf den gesamten Ausgangsrechner zugreifen will.

Einfach ist es noch, wenn der alte PC gegen einen neuen ausgetauscht wird. Man kann ihn zum Übergang einlagern, um ihn bei Bedarf zu reaktivieren. Wer aber Windows 10 auf den vorhandenen Rechner aufspielt, muss, um für alle Fälle gerüstet zu sein, ein Backup erstellen. Drei kostenlos erhältliche und zuverlässige Produkte kommen hierfür in Frage: die im Betriebssystem enthaltene Windows Datensicherung, auch wbadmin genannt, Veeam Workstation Version, oder auch der VMware Converter. Wohin aber sollen die Daten gesichert werden? für einen kleinen Betrieb mit wenigen PCs genügt es sicherlich, dafür einfach USB- Platten zu verwenden

Meist aber findet für die Sicherung der Daten ein zentrales Speichermedium Verwendung, wofür der Platz auf den vorhandenen Servern aber nicht genügen wird. Empfohlen werden daher kostengünstige Alternativen wi NAS-Systeme, angebunden über iSCSI, und im Falle von erheblichen Datenmengen, ein dedizierter Backupserver.

Knifflig wird es, wenn man zum Beispiel für die Sicherung den VMware Converter nutzt und dabei den gesamten Rechner virtualisiert. Hier betritt man eine rechtliche Grauzone. Denn mit der Inbetriebnahme des virtualisierten Rechners wird strenggenommen eine Windows VDA-Lizenz fällig. Wer aber dennoch den VMware Converter verwendet, sollte vorher die Festplatten defragmentieren. Dies hilft, Konvertierungsfehler zu vermeiden. Die entsprechende Einstellung lässt sich auch über die Gruppenrichtlinien vornehmen, am besten geeignet für diese Aufgaben sind aber aber Client Management Systeme, wegen ihrer Bedienerfreundlichkeit.

Lokale Benutzereinstellungen und die Migration

Selbst im unwahrscheinlichen Fall, dass es in einem Unternehmen tatsächlich keine Geschäftsdaten auf lokalen Endgeräten gibt, dürften dennoch lokale Einstellungen zu übertragen sein. Hier kommt es darauf an, einen guten Plan zu entwickeln, denn diese Aufgabe kann durchaus eine Herausforderung darstellen. Für die Betriebssystemeinstellungen, Links zu Dateien und Anwendungen, und die Konfiguration der Office Produkte genügt das schon erwähnte Microsoft „User State Migration Tool“ (USMT). (siehe dazu im Detail: „Was tun mit lokalen Daten bei der Migration“).

Nicht außer Acht lassen sollte man auch die Anwendungen anderer Hersteller. Denn sie bergen häufig wichtige Informationen, die unbedingt übernommen werden sollten. So enthalten die Webbrowser der Mitarbeiter in der Regel eine Sammlung von Links, aber auch Kennwörtern für die automatische Anmeldung an Webportalen. Auch wenn dies aus Gründen der Informationssicherheit nicht sein sollte, ist es doch gängige Praxis. Und wer will ernsthaft, dass ein Mitarbeiter sich nach der Migration am Webshop des Lieferanten nicht mehr anmelden kann und damit den einen oder anderen Unternehmensprozess ausbremst? Hier gilt es, die von den jeweiligen Anbietern bereitgestellten Tools zu nutzen, wenn man diese Daten ohne Verluste in das neue System übertragen möchte.

Mehr Sicherheit vor Cyberattacken durch die Migration auf Windows 10

Noch anspruchsvoller kann es werden, wenn man Daten von Dokumentenmanagement-oder ERP-Systemen übernehmen möchte. Denn das geht selten ohne die aktive Mitarbeit des Herstellers. Damit das reibungslos funktioniert, sollte man sich frühzeitig vorbereiten und Schulungstermine oder eine externe Beratung vereinbaren. Eine Erfahrung aus der Ablösung von Windows XP ist, dass die Berater von Herstellern umso schwerer zu erreichen sind, desto näher der Termin der Umstellung kommt.

Ihr Werkzeugkasten – ein Client Management System hilft effizient

Eine große Hilfe bei der Migration auf Windows 10 sind die von Microsoft bereit gestellten Tools, die die Durchführung schon erheblich erleichtern. Allerdings sollten Sie dennoch zusätzliche Werkzeuge nutzen! Denn so vermeiden Sie den mit einer manuellen Zeitumstellung verbundenen manuellen Aufwand. Zudem ersparen Sie den IT-Mitarbeitern einen durch steigende Supportanfragen hervorgerufenen Stress. Die Migration bringt übrigens einen schönen „Nebeneffekt“ mit sich, der Ihrem Unternehmen auch nach dem Januar 2020 helfen wird: Die im Zuge dieses Prozesses erfolgten Datenerfassungen und Geschäftsprozess-Analysen eröffnen Ihnen Chance, interne Abläufe und Produkte so zu standardisieren, dass sie zu einer Arbeitserleichterung führen.

Wie hilft nun ein Client-Management-System im Einzelnen bei der Umstellung? Es inventarisiert jeden Rechner, sichert ihn automatisch und spielt dann, ebenso automatisch, das neue Betriebssystem mit allen Anwendungen, Treibern, Druckern und lokalen Einstellungen auf. Diese Automatisierung beschleunigt die Migration erheblich, zumal ja schon vorher - wie beschrieben - die Planung begonnen hat. Nach nur wenigen Stunden haben Sie umfassend Kenntnis darüber,

• ... welche Geräte bereit sind für Windows 10 
• ... welche Software auf den PCs installiert ist
• ... inwieweit diese Software tauglich für Windows 10 
• ... welche Treiber zusätzlich nötig sind für die Migration 
• ... welcher PC an welche Drucker, Scanner, Kopierer etc. angeschlossen ist und welche Treiber dafür installiert sind
• ... welche Client-Rechner aktuell schon nur noch freien Speicherplatz auf der Festplatte haben
• ... welche Lizenzen vorhanden sind
• ... wo Anwendungen im Unternehmen ungenutzt „herumliegen“, obwohl sie installiert sind
• ... wie hoch der Bedarf an Datenvolumen für eventuelle Backups ist
• ... ob eigentlich Sicherheitslücken bestehen, z.B. weil Sicherheits-Patches fehlen

Mit diesen Informationen können Sie die Windows 10-Migration besser planen. Das Client-Management -System hilft auch bei den Anwendertests und führt die meisten Installationsarbeiten selbsttätig durch.

Die „Gesamtinventur“, die dieses System ermöglicht, bietet die Basis für eine Neuorganisation und Standardisierung der „Software Policy“ in Ihrem Unternehmen. Das sollten Sie auf jeden Fall nutzen. Zusätzlich unterstützt es Sie bei der Pflege der Anwendungen, liefert nicht nur dem Helpdesk neue Informationen, sondern auch ständig neue Daten für die Ressourcenplanung. Das können z.B. Aktualisierungen zum Bedarf an Lizenzen sein. Diese Übersicht über die im Unternehmen verwendeten Lizenzen bietet eine verlässliche Grundlage, um eine jederzeit mögliche Lizenzprüfung einschätzen zu können.

Sie brauchen Hilfe? Wir unterstützen Sie gerne!

Mit dem  neuen Betriebssystem Windows 10 bleiben Sie immer auf dem neuesten Stand. Sie sind für die Zukunft abgesichert, denn eine so große Migration wird laut Microsoft künftig nicht mehr vorkommen.

Außerdem profitieren Sie durch den Umstieg auf Windows 10 von verbesserten Sicherheitsfunktionen.

Pünktlich zum Umstieg helfen Ihnen die Experten von yourIT bei folgenden Aufgaben:
- Bestandsaufnahme Ihrer IT-Infrastruktur
- Auswahl des neuen Systems
- Identifizierung möglicher Konflikte bei der Migration
- Rollout des Betriebssystems auf alle Ihre Clients
- Installation der richtigen Software
- Verteilung zusätzlicher oder optionaler Programme

Und das schnell, kostengünstig und effizient.

Fragen Sie uns jetzt an unter https://www.yourit.de/kontakt. Wir unterbreiten Ihnen zeitnah ein Angebot.

P.S. 1: Seit dem 1. Januar 2018 gilt das neue Abschreibungsgesetz für geringwertige Wirtschaftsgüter. Demnach können diese bis zu einem Wert von 800 Euro sofort abgeschrieben werden. Eine gute Gelegenheit, noch in diesem Kalenderjahr neue PCs anzuschaffen und zu 100% bei der Steuererklärung anzusetzen.

P.S. 2: Ggf. stehen Ihrem Unternehmen in diesem Jahr noch Fördermittel für diese Optimierung Ihrer IT-Sicherheit zu. Wir prüfen das gerne für Sie. Nennen Sie uns bei Ihrer Anfrage einfach das Stichwort "Fördermittel".

Einmal-Passwörter per SMS: Sind sie wirklich sicher?

Ein Passwort allein reicht als Schutz vor unberechtigtem Zugang zu IT-Systemen oftmals nicht aus. Deshalb nutzen viele Online-Dienste zusätzlich Einmal- oder auch One-Time-Passwörter (OTP), die sie per SMS an den Nutzer schicken und die als zweiter Sicherheitsfaktor dienen. Doch wie sicher ist das?

Zugangsdaten werden gestohlen oder geknackt

Stellen Sie sich vor, ein Freund teilt Ihnen mit, dass er eine Spam-Mail von Ihnen bekommen hat. Entweder jemand benutzt Ihren Namen für Spam, oder Ihr Web-Mail-Konto wurde missbraucht. Sie versuchen, sich bei Ihrem Web-Mail-Zugang anzumelden, doch Ihr Passwort wird nicht mehr akzeptiert. Der Grund: Ihr Mail-Provider hat den Spam-Versand von Ihrem Web-Mail-Konto festgestellt und Ihr Konto deshalb sicherheitshalber deaktiviert.

Wie konnte das geschehen?

Einmal-Passwörter per SMS: Sind sie wirklich sicher?

Datenschutz & Informationssicherheit bei Geschäftspartnern: Worauf kommt es an?

Fehler bei einem Zulieferer können schwerwiegende Auswirkungen auf die eigenen Produkte haben. Das gilt nicht nur für das Qualitätsmanagement, sondern auch in Bezug auf Datenschutz & Informationssicherheit. Nicht nur der Einkauf sollte daran denken, sondern jeder einzelne Mitarbeiter im Unternehmen.

Teile und Schwachstellen zukaufen

Stellen Sie sich vor, ein Bauteil, das von einem Zulieferer stammt, ist fehlerhaft, und es wird trotzdem in das neue Fahrzeug eingefügt. Die Folge ist, dass das Fahrzeug nun einen Fehler aufweist, der je nach Art des Bauteils dramatische Auswirkungen haben kann. Denken Sie nur einmal an ein Bauteil wie einen Bremsklotz. Der zugekaufte Fehler kann Menschenleben bedrohen.

Datenschutz & Informationssicherheit in der Lieferkette

Die Gefahr, über eingekaufte Leistungen und Produkte den eigenen Produkten und Services Schwachstellen und Fehler zuzuführen, besteht in jeder Branche. Deshalb fordern Richtlinien für ein Qualitätsmanagement immer, dass auch die Qualität bei den Zulieferern geprüft und überwacht werden muss. Das Gleiche muss für Datenschutz & Informationssicherheit gelten.

Mängel bei Datenschutz & Informationssicherheit in der Lieferkette

Stellt ein Dienstleister oder Lieferant Ihres Unternehmens Datenschutz & Informationssicherheit nicht angemessen sicher, wirkt sich dies auch auf den Datenschutz in Ihrem Unternehmen aus. Hat der Lieferant Zugang zu den Kundendaten Ihres Unternehmens und sorgt selbst nicht für Datenschutz & Informationssicherheit, kann es passieren, dass ein Datendieb über die Schwachstellen Ihres Lieferanten an die Daten in Ihrem Unternehmen kommt.

Oder ein Softwaremodul, das Ihr Unternehmen nutzt, hat eine kritische Schwachstelle. Wenn Sie das Modul nutzen oder in andere Programme Ihres Unternehmens einfügen, dann lässt sich diese Schwachstelle bei Ihnen selbst ausnutzen. Eigentlich ist dies kein Geheimnis, und trotzdem achten zu wenige Unternehmen darauf, Datenschutz & Informationssicherheit bei ihren Geschäftspartnern zu hinterfragen, um selbst Datenschutz & Informationssicherheit angemessen gewährleisten zu können.

Datenschutz-Aufsichtsbehörden sehen Klärungsbedarf

Datenschutz-Aufsichtsbehörden wie das Landesamt für Datenschutzaufsicht in Bayern (BayLDA) haben festgestellt, dass Meldungen von Datenschutzverletzungen fast immer das jeweilige Unternehmen selbst als verantwortlich bezeichnen, kaum jedoch einen Geschäftspartner oder Dienstleister.

Da nach der EU-Datenschutzgrundverordnung (EU-DSGVO) auch Verletzungen der Sicherheit bei Dienstleistern (sogar bei weiterer Unterauftragsvergabe) eine Meldeverpflichtung auslöst, stellte sich dem BayLDA die Frage, wieso es kaum Meldungen gibt, die von (internationalen) Dienstleistern ausgelöst werden. Offensichtlich fehlt das Bewusstsein dafür, dass Datenschutzmängel bei Geschäftspartnern den eigenen Datenschutz betreffen.

Ursachen für Verletzungen im Bereich Datenschutz & Informationssicherheit werden fast immer nur intern gesehen. Das entspricht aber absolut nicht den Tatsachen! Deshalb sollte nicht nur der Einkauf, sondern jeder, der mit Dienstleistern und anderen Geschäftspartnern zu tun hat, daran denken, dass Datenschutz & Informationssicherheit auch dort stimmen müssen, damit Datenschutz & Informationssicherheit im eigenen Unternehmen gewährleistet sind.

Kein Generalverdacht, sondern mehr Aufmerksamkeit

Es geht dabei nicht darum, jeden Geschäftspartner als Ursache von Mängeln im Bereich Datenschutz & Informationssicherheit zu betrachten und bei Problemen die Schuld immer bei anderen zu suchen. Vielmehr geht es darum, Datenschutz & Informationssicherheit genau wie bei der Qualität immer die ganze Lieferkette im Auge zu behalten. Beziehungen zu Dienstleistern und Geschäftspartnern verdienen viel Aufmerksamkeit – auch im Sinne von Datenschutz & Informationssicherheit.

Ein kurzes Quiz zum Thema gefällig?

Frage 1: Probleme im Bereich Datenschutz & Informationssicherheit sind anders als Qualitätsmängel. Fehler im Bereich Datenschutz & Informationssicherheit pflanzen sich nicht fort. Stimmt das?

1. Nein, Schwachstellen bei Datenschutz & Informationssicherheit eines Partnerunternehmens können den eigenen Datenschutz und die eigene Informationssicherheit bedrohen.
2. Ja, wer selbst im Bereich Datenschutz & Informationssicherheit gut aufgestellt ist, muss die Fehler der Lieferanten nicht fürchten.

Lösung: Die Antwort 1. ist richtig. Doch obwohl es selbstverständlich sein sollte, dass sich Probleme im Bereich Datenschutz & Informationssicherheit über die Lieferkette hinweg ausbreiten können, achten viele Unternehmen zu wenig auf das Datenschutzniveau der Geschäftspartner.

Frage 2: Jeder ist für seinen Datenschutz und seine Informationssicherheit selbst verantwortlich. Stimmt das?

1. Ja, das stimmt, deshalb gibt es z.B. eine verantwortliche Stelle für den Datenschutz in jedem Unternehmen.
2. Nein, zusätzlich ist man auch verantwortlich dafür, nur mit solchen Dienstleistern zusammenzuarbeiten, die ein angemessenes Niveau in den Bereichen Datenschutz und Informationssicherheit haben (Auftragsverarbeitung).

Lösung: Die Antworten 1. und 2. sind gemeinsam richtig, die Antwort 1 ist falsch, wenn man sie allein stehen lässt. Die EU-DSGVO kennt neben der Verantwortung auch die gemeinsame Verantwortung und die Beschränkung auf solche Dienstleister für eine Auftragsverarbeitung, die einen angemessenen Datenschutz nachweisen können. Unter einer gemeinsamen Verantwortlichkeit versteht man: Legen zwei oder mehr Verantwortliche gemeinsam die Zwecke der und die Mittel zur Verarbeitung personenbezogener Daten fest, so sind sie gemeinsam Verantwortliche. Dies kann in einer Kooperation entlang der Lieferkette schnell der Fall sein.

Fragen / Anregungen

Haben Sie Fragen oder Anregungen zu diesem Beitrag? Dann senden Sie uns diese hier und jetzt:

Name

E-Mail (Pflichtangabe)

Nachricht (Pflichtangabe)


Mit dem Absenden der Nachricht bestätigen Sie, die Datenschutzerklärung der yourIT zur Kenntnis genommen zu haben.

Wie Sie Datenschutzfallen bei Word- und PDF-Dokumenten richtig umgehen

Sie müssen ein Word-Dokument weiterleiten? Sie wollen dabei Ärger mit dem Datenschutz vermeiden? Sie wandeln das Word-Dokument deshalb in ein PDF-Dokument um? An sich eine gute Idee. Gerade deshalb sollten Sie wissen, was dabei an Details zu beachten ist. Leider kosten manche wichtigen Hilfsmittel etwas.

PDF: ein guter Ansatz!

Word-Dokumente gehören zum Alltag im Büro. Oft ist es nötig, sie weiterzuleiten, etwa als Anhang einer E-Mail. Nachteil dabei: Der Empfänger kann alle möglichen Veränderungen sichtbar machen, die das Dokument erfahren hat. Dabei kann er meist auch erkennen, von wem die Veränderung stammt. Der Name oder zumindest ein Kürzel stehen dabei.

Wie Sie Datenschutzfallen bei Word- und PDF-Dokumenten richtig umgehen

Tückisch: Die Zusatzdaten bei Word

Solange das Dokument intern zwischen Kollegen ausgetauscht wird, die daran arbeiten – kein Problem! Denn dann soll ja gerade jeder wissen, wer was verändert hat. Anders sieht es aus, wenn das Dokument nach außen geht. Dann ist das nicht akzeptabel. Für solche Fälle gilt der Tipp: Wandeln Sie Word in PDF um!

Vorteile einer Umwandlung in PDF

Dieser Ratschlag ist ebenso häufig wie richtig. Die Umwandlung hat durchaus einige Vorteile. Ein PDF-Dokument kann nur noch mit relativ aufwendigen Mitteln verändert werden. Damit ist das, was Sie verschickt haben, gewissermaßen fixiert. Außerdem ist nicht mehr festzustellen, wer wann etwas am Word-Dokument verändert hat. Die Nachweise hierfür gehen bei der Umwandlung in ein PDF-Dokument verloren.

Einige typische Fallen

So weit, so gut. Dennoch bleiben einige Tücken, die man kennen sollte:

• Folgende Daten übernimmt ein PDF-Dokument vom Word-Dokument: Name der Word-Datei, Angaben zum Bearbeiter (falls sein Name drin steht, also auch der!) und verwendete Software. Wenn es sinnvoll ist, sollte man daher den Dateinamen und die Angaben zum Bearbeiter ändern.
• Manchmal sollen Teile eines PDF-Textes geschwärzt werden. Keine gute Idee ist es dagegen, den Text lediglich mit einem schwarzen Feld zu überlagern. Ein solches Feld kann der Empfänger problemlos wieder entfernen. Dafür bietet Adobe Acrobat das Werkzeug „Inhalt schwärzen und entfernen“. Es ist kostenpflichtig. Das Tool beseitigt den Text, der geschwärzt wird.
• Wenn Teile eines PDF-Dokuments nachträglich „weggeschnitten“ werden, sind sie in Wirklichkeit nur ausgeblendet. Der Empfänger des Dokuments kann diese Teile problemlos wiederherstellen.

Selbst Pentagon-Mitarbeiter schwärzen manchmal nicht richtig!

Selbst Mitarbeiter des Pentagon haben im Mai 2005 gezeigt, wie man es nicht machen sollte. In einem veröffentlichten PDF-Dokument fanden sich geschwärzte Stellen. Durch einfaches Kopieren und Einfügen über die Zwischenablage ließen sich die geschwärzten Daten wieder sichtbar machen. Im ursprünglichen Word-Dokument hatte das Pentagon die Passagen nur mit einem schwarzen Hintergrund versehen. Beim PDF-Export bleibt der darunterliegende Text jedoch i.d.R. erhalten.

Eine besonders wichtige – aber kostenpflichtige – Funktion

Am zuverlässigsten ist es, das PDF-Dokument mit der (kostenpflichtigen) Funktion „vertrauliche Dokumente veröffentlichen“ zu bearbeiten, bevor man es weitergibt. Diese Funktion erzeugt das Dokument komplett neu. Alle unerwünschten Inhalte sind danach beseitigt.

Gefahr für die Unternehmens-IT - Diese Risiken sollten Sie auf jeden Fall meiden

Heute ist "Tag der Passwortsicherheit 2018". Das Thema IT-Sicherheit gewinnt immer mehr an an Bedeutung: Laut einer Studie der Nationalen Initiative für Informations- und Internetsicherheit e.V. (NIFIS) sind deutsche Unternehmen alarmiert. Skandale um Datensicherheit und die gleichzeitig vermehrte Verwendung von Cloud-Diensten sorgen dafür, dass 79 Prozent der befragten Unternehmen sich verstärkt gegen äußere Angriffe schützen wollen. Die derzeitige Praxis zeigt, dass hier tatsächlich Handlungsbedarf besteht. Die folgenden 10 Fehler können dazu führen, dass sensible Firmendaten nicht mehr länger geheim bleiben. 

1. Kein Virenschutz 

Dass auf jedem Rechner eine Software installiert sein muss, die die Datenträger auf Malware absucht, sollte sich herumgesprochen haben. Das selbe gilt für die Server. Wer darauf verzichtet geht ein hohes Risiko ein, zumal der Angriff lange unbemerkt bleiben kann.

2. Keine Firewall

Kaum weniger wichtig als ein Virenschutz ist eine Firewall. Sie hält Hacker vor unberechtigtem Zugriff fern und warnt, wenn Programme sich ohne Erlaubnis des Nutzers installieren wollen.

3. Auf Sicherheitsupdates verzichten

Zugegebenermaßen: Die ständigen Updates des Betriebssystems können nerven, weil sich dadurch in den unpassendsten Momenten das Hochfahren des Rechners verzögern kann. Vor allem Sicherheitsupdates sind aber notwendig und sollten keinesfalls deaktiviert werden.

4. Zweifelhafte E-Mail-Anhänge öffnen

E-Mails von unbekanntem Absender sollten mit Vorsicht behandelt werden. Vom Öffnen der Anhänge kann nur abgeraten werden - insbesondere dann, wenn eine Datei mit der Endung ".exe" (eng. executable = ausführbar) geöffnet werden soll. Dabei handelt es sich um einen Dateityp, der die Installation von Programmen zulässt. So wird der Malware der Zugang zum Rechner maximal vereinfacht.

5. Links in unbekannten E-Mails anklicken

Kritische Anhänge sind zwar der Klassiker, immer häufiger setzen Spam-Mails aber auf die Verbreitung gefährlicher Links.

Lesen hierzu unbedingt unseren separaten Artikel zu Locky - dem bekanntesten Erpressungs-Trojaner.

Achtung Trojaner! Hier geht's zum Blogbeitrag.

Auch hier gilt: Dem zweifelhaften Vorwand keinen Glauben schenken und die betreffende E-Mail sofort löschen.

6. Filesharing nutzen

Prinzipiell ist Filesharing nicht illegal, die meisten geteilten Inhalte verstoßen aber durchaus gegen das Urheberrecht. Die wenigsten Nutzer laden aktuelle Games oder Kinofilme hoch, weil sie Filmfreunde sind; in der Regel soll nur Malware verbreitet werden.

7. Unverschlüsseltes WLAN

Cafés, Hotels oder öffentliche Einrichtungen - immer häufiger wird für Kunden oder Wartende ein kostenfreies WLAN-Netzwerk zur Verfügung gestellt. Diese eigentlich zuvorkommende Geste kann sich schnell in ein Risiko verwandeln, sofern es sich um ein offenes Netzwerk handelt. Selbstverständlich ist auch, dass das eigene Netzwerk verschlüsselt sein muss.

8. Sensible Daten unverschlüsselt abspeichern

Natürlich bedeutet es zusätzlichen Aufwand, die Festplatte mithilfe einer zusätzlichen Datenverschlüsselung zu sichern. Sofern die gespeicherten Informationen aber nur ansatzweise für Dritte interessant sein könnten, sollte dieser Aufwand betrieben werden. Selbst wenn das Betriebssystem ein Zugangspasswort verlangt, besteht ansonsten das Risiko, dass die Festplatte ausgebaut wird.

9. Offensichtliche Passwörter verwenden

Wer seine Daten mit dem Zugangscode "Passwort123" oder "qwertz" sichert, kann auch gleich auf die Verschlüsselung verzichten. Einige Passwörter sind so offensichtlich und beliebt, dass sie gerne ausprobiert werden. Es gibt große Passwort-Dateien, in denen alle nur erdenklichen Passwörter abgelegt sind. Nachnamen, den Namen der Kinder sowie Geburtsdaten lassen sich leicht merken, sollten aber nicht verwendet werden. Am besten ist eine nicht logische Abfolge von Zahlen, Sonderzeichen sowie Groß- und Kleinbuchstaben.

10. Cloud-Anbieter im Ausland nutzen

Zunächst mögen viele Cloud-Anbieter mit günstigen Preisen locken. Doch eine Unternehmens- und Server-Standort im Ausland bedeutet auch, dass sich die Unternehmen an die dortigen Sicherheitsstandards halten müssen. Was das bedeuten kann, zeigten die den vergangenen Jahren offen gelegten Skandale zum Thema IT-Sicherheit. Wer seine Daten wirklich sicher gespeichert sehen möchte, sollte auf einen deutschen Dienstleister setzen.

Fazit

Einige der hier genannten Tipps lassen sich einfach umsetzen - eine vollständige IT-Sicherheit wird dadurch allerdings nicht gewährleistet. Warten Sie  nicht lange und lassen Sie Ihren IT-Dienstleister JETZT prüfen, ob Risiken / Sicherheitsschwachstellen in Ihrem Netzwerk bestehen und vorhandene Sicherheitslücken gegebenenfalls beheben.

simplify yourIT empfiehlt den neuen Sicherheitsstandard ISA+ für KMU

Ihr Unternehmen benötigt ein Informationssicherheits-Managementsystem (ISMS). Dann müssen Sie sich entscheiden. Neben den bereits bekannten und am Markt angebotenen IT-Sicherheits-Standards ISO 27001, BSI IT-Grundschutz und ISIS12 gibt es seit letzter Woche einen neuen Standard: ISA+

Wozu noch ein Informationssicherheits-Management-System (ISMS)?

Angesichts der vielfältigen Gefährdungspotentiale nimmt die Informations-Sicherheit eine immer wichtigere Rolle ein. Wie sicher ist die verwendete IT-Infrastruktur? Welche technischen und organisatorischen Maßnahmen müssen konkret in der Organisation umgesetzt werden? Hierzu standen auch bisher schon eine Reihe von Sicherheitsstandards zur Verfügung:

• ISO 27001
• BSI IT-Grudschutz
• ISIS12

Aus bisherigen Projekten wissen wir, dass die Einstiegshürden für diese ISMS für kleine und mittelständische Unternehmen (KMU) meist zu hoch sind. Vorbereitung, Durchführung und Zertifizierung überfordern diese schnell. Die erforderlichen Ressourcen und Spezialisten fehlen und müssen teuer zugekauft werden. Aus diesen und weiteren Gründen verzichten viele KMU daher auf die Einführung eines ISMS - auch wenn Ihnen die Risiken bewußt sind. Das führt dazu, dass KMU in der Regel bereits an den ISMS-Einstiegsfragen scheitern, weil z.B.  Datenschutzrichtline, Informationssicherheitsleitlinie, Notfallplan, etc. fehlen.

Übersicht ISMS-Systeme: ISO 27001, BSI IT-Grundschutz, ISIS12, ISA+

Aus diesem Grund halten wir ISA+ für das sinnvolle ISMS bei kleinen und mittelständischen Unternehmen - vor allem, wenn diese sich das erste Mal an solch ein Projekt heranwagen. Eine spätere Erweiterung auf die größeren Standards ISIS12, BSI IT-Grundschutz und sogar ISO 27001 ist später problemlos machbar. Der Grundgedanke ist derselbe - und passt zu unserem Konzept des "simplify yourIT".

Und das Beste: Sponsored by ESF

Die im Rahmen der Informations-Sicherheits-Analyse ISA+ erforderliche Beratungsleistung bei kleinen und mittelständischen  Unternehmen (KMU) bildet ab sofort und noch für das restliche Jahr 2014 unser nächstes ESF-gesponsortes Beratungspaket.

yourIT - ESF-gefördertes Beratungskonzept Informations-Sicherheits-Analyse ISA+

Weitere vom Europäischen Sozialfonds (ESF) geförderte yourIT-Beratungspakete finden Sie hier: http://www.mitgroup.eu/unsere-beratungspakete

Ich freue mich auf Ihre Projektanfrage. Fordern Sie uns!

Ihr Thomas Ströbele

Dynamische Passcodes

Für die Identifikation von Personen wird es zunehmend unnötig, zusätzliche physikalische Token zu verwenden. Der Trend geht in Richtung "Bring your own token", da Mitarbeiter immer häufiger mobile Endgeräte nutzen, die sich für eine sogenannte Zwei-Faktor-Authentifi-zierung eignen. Zur sicheren tokenlosen Authentifizierung existieren bereits mehrere erprobte Methoden.

Identitätsnachweis durch Kombination von Faktoren

Damit der Zugriff auf sensible Bereiche nur den richtigen Personen gelingt, hat sich eine doppelte Absicherung bewährt. Dabei müssen zwei von drei Komponenten bedient werden. Mögliche Komponenten sind:
- etwas, das der Nutzer besitzt, also ein Token wie etwa das persönliche Smartphone
- etwas, das der Nutzer weiß, etwa sein Benutzername und sein Passwort oder auch
- etwas, das körperliches Charakteristikum des Nutzers ist, z.B. sein Fingerabdruck oder seine Stimme.
Der Nachteil extra mitzuführender spezieller Token ist, dass sie leichter zu vergessen oder zu verlieren sind als Geräte, die der Mitarbeiter ohnehin dabei hat. Die Kosten der Firmen für gesonderte physikalische Token sind nicht zu unterschätzen, denn neben der Erstanschaffung schlagen auch die Kosten für Ersatz bei Defekt oder Verlust zu Buche.

Dynamische Passcodes verschlanken die Authentifizierungspraxis

Sicherer als feststehende Login-Informationen sind dynamisch generierte Passcodes. Diese werden je nach verwendeter Lösung auf verschiedene Arten automatisch ersetzt, sodass jederzeit ein aktueller Code bereitsteht und akute Übertragungsprobleme kein Login-Hindernis sind. Unbefugten wird das Durchdringen der Sicherheitsschranken zudem durch eine festgelegte Anzahl maximaler Falscheingaben erschwert. Ausgeklügelte Login-Lösungen, die die Smartphones oder Tablets der Mitarbeiter als Token nutzen, erreichen die gesuchte Kombination von Flexibilität für die Nutzer und Sicherheit für das Unternehmen. So kann zum Beispiel ein einmalig gültiger Ziffern-Passcode auf das Mobilgerät des Mitarbeiters gesendet werden. Dieser berechtigt im Zusammenhang mit der persönlichen Zugangslizenz sowie Benutzername und Passwort zum Zugriff auf bestimmte Bereiche. Eine andere Lösung ist die Zusendung eines Passcodes, der nur für eine begrenzte Zeitspanne gültig ist und danach verfällt. Selbst Authentifizierungslösungen, die offline funktionieren - etwa durch einen Festnetzanruf - sind bereits am Markt etabliert.

Unflexible Tokenlösungen sind bald Geschichte

Die Anschaffung kostenintensiver physikalischer Token ist für Firmen heutzutage nicht mehr nötig. Mit der passenden tokenlosen Authentifizierungslösung kann den Mitarbeitern auf sichere Art der Zugang zu bestimmten Bereichen gewährt werden. Informieren Sie sich jetzt über die Möglichkeiten der Authentifizierung ohne zusätzliche Token. Wir von yourIT beraten Sie gerne und unterstützen Sie bei der technischen Umsetzung.

Ich freue mich auf Ihre Projektanfragen.

Fordern Sie uns! Wir beraten Sie gerne.

Ihr Ralf Ströbele