Krypto im Unternehmen: die 7 unverzichtbaren Sicherheitsregeln

Bei Krypto gibt es in der Regel keinen Schalter, an dem man eine fehlerhafte Transaktion reklamieren kann: Ein Fehler oder ein Diebstahl ist oft endgültig. Die gute Nachricht: Die meisten Risiken lassen sich mit einigen einfachen Regeln verringern, die sich ohne IT-Abteilung umsetzen lassen. Hier sind die sieben, die wir für unverzichtbar halten.

Regel 1 – Geschäftliches und Privates strikt trennen

Verwenden Sie Konten, E-Mail-Adressen und nach Möglichkeit Geräte, die ausschließlich der Unternehmenstätigkeit dienen. Eine geschäftliche Wallet oder ein geschäftliches Konto sollte weder mit Ihrem privaten E-Mail-Postfach verknüpft noch für Experimente genutzt werden. Diese Trennung begrenzt den Schaden, wenn einer der beiden Bereiche kompromittiert wird, und erleichtert die Buchhaltung.

Regel 2 – Überall die Mehr-Faktor-Authentifizierung aktivieren

Ein Passwort allein reicht nicht. Die ANSSI empfiehlt, die Mehr-Faktor-Authentifizierung zu bevorzugen und unter den Faktoren diejenigen, die auf dem Besitz eines Gegenstands beruhen (zum Beispiel ein physischer Sicherheitsschlüssel)^[1]. Kombinieren Sie dies mit einem Passwort-Manager, wie von ANSSI und CNIL empfohlen, um für jeden Dienst ein langes, einzigartiges Passwort zu verwenden^[1][2].

Regel 3 – Schlüssel und Wiederherstellungsphrasen schützen

Wenn Sie eine Wallet selbst verwalten, gewährt die Wiederherstellungsphrase (eine Folge von Wörtern) Zugriff auf alle Gelder. Einige Grundsätze:

• Fotografieren Sie sie nicht, geben Sie sie auf keiner Website ein und senden Sie sie niemandem, auch keinem angeblichen „Support“.
• Bewahren Sie sie offline auf einem dauerhaften Medium an mindestens zwei getrennten, sicheren Orten auf.
• Legen Sie fest, wer darauf zugreifen kann, wenn Sie nicht verfügbar sind, und unter welchen Bedingungen.

Regel 4 – Das Vier-Augen-Prinzip verlangen

Keine größere ausgehende Zahlung sollte von einer einzigen Person abhängen. Legen Sie eine Schwelle fest, ab der eine zweite Person den Vorgang freigibt, oder nutzen Sie eine Lösung, die mehrere Freigaben erfordert. Diese Regel schützt ebenso vor Betrug und Nötigung wie vor einem einfachen Tippfehler.

Regel 5 – Jede Adresse prüfen, vor großen Zahlungen testen

Krypto-Adressen sind lang und schwer lesbar: Ein Fehler oder ein böswilliger Austausch beim Kopieren und Einfügen ist möglich. Vor jeder Überweisung:

• Vergleichen Sie Anfang und Ende der Adresse mit einer zuverlässigen Quelle über einen zweiten Kanal (Anruf, verifizierte Nachricht).
• Prüfen Sie das erwartete Netzwerk (Blockchain).
• Senden Sie zuerst einen kleinen Testbetrag.
• Führen Sie eine Liste freigegebener Adressen und begrenzen Sie Änderungen.

Regel 6 – Wachsam bleiben gegenüber Phishing und falschem Support

Betrugsmaschen setzen oft auf Dringlichkeit: gefälschte E-Mail des „Kundendienstes“, gefälschter Link, falscher Berater, der Sie auffordert, eine Software zu installieren oder einen Code mitzuteilen. Gewöhnen Sie sich Folgendes an: Klicken Sie nicht aus einer erhaltenen Nachricht heraus, rufen Sie Dienste über Ihre Lesezeichen auf, geben Sie niemals einen Bestätigungscode weiter und prüfen Sie über die Whitelist der AMF, ob ein Anbieter zugelassen ist^[3]. Brechen Sie im Zweifel den Vorgang ab und rufen Sie den Anbieter über eine Nummer zurück, die Sie selbst herausgesucht haben.

Regel 7 – Zugriffsrechte, Updates und Reaktion auf Vorfälle organisieren

Sicherheit ist auch eine Frage der Organisation. Konkret:

• Beschränken Sie Rechte auf das unbedingt Notwendige und entziehen Sie Personen, die das Unternehmen verlassen, die Zugänge.
• Halten Sie die verwendeten Geräte und Anwendungen auf dem neuesten Stand.
• Verfassen Sie eine Seite „Was tun bei einem Problem?“: wen informieren, welche Zugänge sperren, welche Nachweise sichern.

Der IT-Hygiene-Leitfaden der ANSSI mit 42 Sicherheitsmaßnahmen ist eine nützliche Grundlage, um diese Arbeit zu strukturieren^[4].

Die häufigsten Fehler

In kleinen Organisationen entstehen Vorfälle selten durch einen ausgeklügelten Angriff. Sie entstehen eher aus alltäglichen Situationen: ein einziger Mitarbeiter, der alle Zugänge hat, eine Wiederherstellungsphrase in einer E-Mail oder auf einem Foto, eine Zahlung, die eilig freigegeben wurde, weil eine Nachricht dringend wirkte, oder ein ehemaliger Mitarbeiter, dessen Konto nie geschlossen wurde. Jede dieser Situationen lässt sich durch eine Regel aus der obigen Liste beheben. Gehen Sie sie einmal pro Quartal im Team als Routinekontrolle durch: Oft fällt dabei auf, was sich unbemerkt geändert hat.

Wo fangen Sie an?

Wenn Sie diese Woche nur drei Dinge tun: die Mehr-Faktor-Authentifizierung auf allen Konten mit Krypto-Bezug aktivieren, das Vier-Augen-Prinzip für Mittelabflüsse einführen und schriftlich festhalten, wo und wie die Wiederherstellungsschlüssel aufbewahrt werden. Der Rest kann Schritt für Schritt folgen.

Schnelle Selbsteinschätzung

• Getrennte geschäftliche Konten und Geräte
• Mehr-Faktor-Authentifizierung aktiviert und Passwort-Manager eingerichtet
• Wiederherstellungsphrasen offline an zwei Orten gespeichert
• Schwelle für das Vier-Augen-Prinzip festgelegt
• Verfahren zur Adressprüfung schriftlich festgehalten
• Team für Phishing sensibilisiert
• Zugriffsrechte überprüft und Notfallplan verfasst