Wenn die Kasse älter ist als das Netzwerk
In Pasinger Betrieben läuft die IT selten aus einem Guss. Über Jahre kam Gerät zu Gerät, Filiale zu Filiale. Wir sortieren diese gewachsene Landschaft und schirmen ab, was sich nicht mehr aktualisieren lässt.
Pasing liegt rund 5 km westlich unseres Sitzes und ist ein Verkehrsknoten mit gemischtem Gewerbe: Einzelhandel, Handwerksbetriebe, mittelständische Dienstleister, oft mit mehreren Standorten im Stadtgebiet. Aus der Sicherheitsperspektive fällt hier vor allem eines auf: Kassen-, Warenwirtschafts- und Branchensysteme sind häufig deutlich älter als die übrige Technik und lassen sich nicht beliebig aktualisieren, weil der Hersteller keine Aktualisierungen mehr liefert oder eine Umstellung den Betrieb unterbrechen würde. Unsere Aufgabe ist es, mit dieser Realität zu arbeiten, statt eine Neuanschaffung als einzige Lösung anzubieten.
Altsysteme abschirmen
Was nicht mehr aktualisiert werden kann, bekommt ein eigenes Netzsegment mit streng begrenzten Verbindungen statt eines Platzes im offenen Firmennetz.
Kasse getrennt vom Büro
Kassen- und Zahlungstechnik trennen wir konsequent von Arbeitsplätzen und Gäste-WLAN, damit ein Vorfall im Büro nicht den Verkauf erreicht.
Filialen sauber verbunden
Standorte werden über verschlüsselte Verbindungen zusammengeführt, mit klaren Regeln, welcher Standort welche Systeme überhaupt erreichen darf.
Wartungszugänge unter Kontrolle
Fernzugriffe von Kassen- und Softwareherstellern erhalten eigene, befristete Zugänge, deren Nutzung nachvollziehbar protokolliert wird.
Kassen, Warenwirtschaft und Zahlungstechnik
Kassensysteme sind für Angreifer interessant, weil dort Zahlungsvorgänge und Kundendaten zusammenlaufen. Gleichzeitig sind sie besonders empfindlich: Ein fehlgeschlagenes Update mitten im Tagesgeschäft ist ein realer Schaden, nicht nur ein theoretisches Risiko.
Wir trennen deshalb konsequent. Die Kassentechnik erhält ein eigenes Segment, aus dem heraus nur die tatsächlich benötigten Ziele erreichbar sind, etwa der Zahlungsdienstleister und der Warenwirtschaftsserver. Der Weg vom Bürorechner zur Kasse wird geschlossen, ebenso der Weg vom Gäste-WLAN in beide Richtungen.
- ✓Eigenes Netzsegment für Kassen- und Zahlungstechnik
- ✓Freigabe ausschließlich der benötigten Verbindungen
- ✓Trennung von Verkaufsbereich, Büro und Gästen
- ✓Abstimmung von Aktualisierungen mit dem Kassenhersteller
Mehrere Standorte, eine Sicherheitslinie
Viele Betriebe in Pasing führen Werkstatt, Verkaufsfläche und Verwaltung an unterschiedlichen Adressen. Häufig ist historisch an jedem Standort etwas anderes entstanden: hier ein Router vom Anbieter, dort eine Fritzbox, dazwischen eine Portfreigabe, die jemand vor Jahren für den Zugriff von zu Hause eingerichtet hat.
Wir vereinheitlichen die Anbindung: eine gehärtete Firewall je Standort, verschlüsselte Verbindungen zwischen den Standorten, keine direkt aus dem Internet erreichbaren Verwaltungszugänge. Wer von unterwegs arbeitet, kommt über einen abgesicherten Zugang mit zweitem Faktor hinein und nicht über eine Freigabe auf einen einzelnen Rechner.
- ✓Einheitliche Firewalltechnik an allen Standorten
- ✓Verschlüsselte Standortkopplung statt offener Freigaben
- ✓Abschaltung direkt erreichbarer Fernsteuerungszugänge
- ✓Zugang für Außendienst und Homeoffice mit zweitem Faktor
Fremde Hände im System: Hersteller und Dienstleister
In Handel und Handwerk greifen regelmäßig externe Beteiligte auf Systeme zu: der Kassenhersteller, der Anbieter der Branchensoftware, der Steuerberater, gelegentlich ein Techniker für eine Maschine. Diese Zugänge sind notwendig, aber sie sind auch ein bekannter Einstiegsweg, wenn sie dauerhaft offen stehen.
Wir richten für jeden externen Beteiligten einen eigenen, benannten Zugang ein, begrenzen ihn auf die Systeme, die er wirklich braucht, und schalten ihn nur bei Bedarf frei. Jede Sitzung wird protokolliert. Sammelzugänge, die mehrere Personen desselben Dienstleisters nutzen, lösen wir auf, weil sich sonst im Nachhinein nichts zuordnen lässt.
- ✓Benannte Zugänge statt geteilter Wartungskonten
- ✓Begrenzung auf die tatsächlich betreuten Systeme
- ✓Freischaltung bei Bedarf statt dauerhafter Verbindung
- ✓Protokollierung jeder Fernwartungssitzung
Sicherung und Wiederanlauf im laufenden Geschäft
Ein Betrieb mit Verkaufsfläche kann sich einen mehrtägigen Stillstand nicht leisten. Deshalb legen wir zuerst fest, was zum Weiterarbeiten unbedingt nötig ist: Kasse, Warenwirtschaft, Auftragsverwaltung, Zugriff auf Kundendaten. Für diese Systeme gelten kürzere Wiederanlaufziele als für die übrige Ablage.
Die Sicherungen legen wir mehrfach ab, mindestens eine Kopie unveränderlich und getrennt vom Produktivnetz. Ergänzend halten wir eine einfache Ausweichlösung für den Verkauf bereit, damit im Ernstfall weiter kassiert werden kann, während die Wiederherstellung läuft. Rückspieltests führen wir regelmäßig und außerhalb der Öffnungszeiten durch.
- ✓Festlegung der für den Betrieb unverzichtbaren Systeme
- ✓Mehrfache Sicherung mit einer unveränderlichen Kopie
- ✓Ausweichweg für den Verkauf während der Wiederherstellung
- ✓Rückspieltests außerhalb der Öffnungszeiten
Datenschutz und NIS2 im Handelsumfeld
Wer Kundendaten, Kundenkarten oder Zahlungsvorgänge verarbeitet, unterliegt den Anforderungen der Datenschutz-Grundverordnung an technische und organisatorische Maßnahmen. Die NIS2-Umsetzung betrifft je nach Branche und Größe unmittelbar oder mittelbar über Anforderungen größerer Auftraggeber.
Wir setzen die technische Seite um und dokumentieren sie: Zugriffskontrolle, Verschlüsselung, Protokollierung, Notfallvorsorge, Trennung der Netzbereiche. Ob eine Pflicht für Ihren Betrieb gilt und wie sie auszulegen ist, klären Ihr Datenschutzbeauftragter oder Ihre Rechtsberatung. Unsere Leistung ist technisch-organisatorisch und ersetzt keine Rechtsberatung.
- ✓Technische Umsetzung und Nachweis der Schutzmaßnahmen
- ✓Dokumentierte Netztrennung als prüfbare Maßnahme
- ✓Protokollierung von Zugriffen auf Kundendaten
- ✓Zuarbeit bei Anforderungen größerer Auftraggeber
Häufige Fragen
Nicht zwingend sofort. Wenn eine Ablösung betrieblich oder wirtschaftlich gerade nicht möglich ist, schirmen wir das System ab: eigenes Netzsegment, nur die notwendigen Verbindungen, kein Internetzugang, kein Mailprogramm auf dem Gerät. Das senkt das Risiko deutlich.
Mit einheitlicher Firewalltechnik, die sich zentral verwalten lässt. Regeln, Aktualisierungen und Überwachung laufen dann für alle Standorte über eine Oberfläche. Vor Ort steht nur noch das Gerät.
Über einen eigenen, auf die betreute Anwendung begrenzten Zugang, der nur bei Bedarf freigeschaltet und dessen Nutzung protokolliert wird. Zusätzlich vereinbaren wir, dass Zugriffe angekündigt werden.
Zuerst greift der vereinbarte Ausweichweg, damit der Verkauf weiterläuft. Parallel klären wir per Fernzugriff, ob es sich um eine Störung oder einen Sicherheitsvorfall handelt. Bei einem Vorfall wird das betroffene Segment isoliert.
Mindestens einmal jährlich, zusätzlich nach jeder größeren Änderung an Standorten oder Systemen. Erfahrungsgemäß sammeln sich über die Jahre Freigaben an, die für längst abgelöste Geräte eingerichtet wurden. Diese Altlasten zu entfernen ist unaufwendig und wirkt stärker als die meisten zusätzlichen Anschaffungen.
Lass uns über dein Projekt sprechen
Kostenloses Erstgespräch & IT-Bestandsaufnahme – unverbindlich und ohne versteckte Kosten.