Krypto-Sicherheit im Unternehmen: Schlüssel, Zugänge und Zahlungen schützen

Warum Krypto eine eigene Sicherheit erfordert

Eine betrügerische Banküberweisung lässt sich manchmal anfechten. Eine Übertragung von Kryptowerten ist dagegen in der Regel unumkehrbar: Wenn ein Angreifer Ihre Zugänge erlangt oder Sie sich in der Adresse irren, gibt es keinen Kundendienst, den Sie anrufen können. Die Sicherheit beruht daher auf Ihren Verfahren, nicht auf einem nachträglichen Rückgriff.

Die Grundlagen

• Geschäftliches und Privates trennen. Getrennte Konten, Wallets und Geräte, niemals ein Unternehmensschlüssel in einem privaten Konto.
• Mehr-Faktor-Authentifizierung überall, vorzugsweise mit einem physischen Schlüssel oder einer eigenen App statt per SMS.
• Schlüssel und Wiederherstellungsphrase schützen. Offline, in mehreren Exemplaren, an getrennten Orten, ohne Foto und ohne Kopie in der Cloud.
• Jede Adresse prüfen und vor einem größeren Betrag eine Testzahlung durchführen.

Diese Regeln werden in unserem Leitfaden die 7 Krypto-Sicherheitsregeln für Unternehmen ausführlich beschrieben.

Multisig und Vier-Augen-Prinzip: nicht von einer einzigen Person abhängen

Eine Multisig-Wallet (Mehrfachsignatur) erfordert mehrere Freigaben zur Bestätigung eines Vorgangs: zum Beispiel zwei Signaturen von drei benannten Personen. Für ein KMU ist das das digitale Gegenstück zu einem Scheck mit doppelter Unterschrift. Die Vorteile sind konkret:

• ein einzelnes kompromittiertes Gerät reicht nicht aus, um die Wallet zu leeren;
• die Abwesenheit oder der Weggang einer Person blockiert den Betrieb nicht;
• jeder Vorgang hinterlässt eine Spur, wer was freigegeben hat.

Multisig eignet sich nicht für jeden Fall: Es erhöht die Komplexität und muss getestet werden, bevor nennenswerte Beträge darauf liegen. In einer sehr kleinen Organisation kann ein organisatorisches Vier-Augen-Prinzip (eine Person bereitet vor, eine andere gibt frei) mit einem zugelassenen Verwahrungsdienstleister ausreichen. Wir helfen Ihnen bei der Wahl je nach Größe, Beträgen und Nutzung.

Zugriffsrechte, Updates und Notfallplan

• Wer darf was. Vorbereiten, Freigeben und Ausführen sind getrennte Rollen. Die Rechte werden bei jedem Eintritt und Austritt überprüft.
• Aktuelle Geräte und Software, ohne unnötige Browser-Erweiterungen auf den Rechnern, die mit Geldern arbeiten.
• Phishing und falscher Support. Niemand vom offiziellen Support wird Sie nach Ihrer Wiederherstellungsphrase fragen. Eine schriftliche, allen bekannte Regel verhindert Fehler unter Druck.
• Ein Notfallplan. Was innerhalb einer Stunde zu tun ist, wenn ein Zugang kompromittiert wurde: wen informieren, was sperren, wen kontaktieren.

Wo fangen Sie an: fünf Fragen

1. Wer im Unternehmen kann heute Gelder bewegen?
2. Wo werden die Schlüssel und Wiederherstellungsphrasen aufbewahrt, und wer hat Zugriff darauf?
3. Kann eine einzige Person allein einen wichtigen Vorgang freigeben?
4. Was passiert, wenn diese Person abwesend ist, das Unternehmen verlässt oder ihr Zugang kompromittiert wird?
5. Erkennen Ihre Teams einen falschen Support oder einen falschen Lieferanten?

Wenn Sie bei mehr als einer Antwort zögern, hilft eine Diagnose, die Prioritäten festzulegen, bevor ein Vorfall Sie dazu zwingt.

Was Si0x tut

Wir gehen von Ihrer tatsächlichen Situation aus: was Sie halten oder empfangen, wer darauf zugreift, welche Tools Sie nutzen. Wir ermitteln die Schwachstellen, schlagen verhältnismäßige Regeln vor und halten sie schriftlich fest, dann schulen wir Ihre Teams in deren Anwendung. Si0x verwahrt Ihre Schlüssel nicht und verwaltet Ihre Gelder nicht.

Diese Regeln ergänzen die einer regelkonformen Nutzung: siehe unsere Begleitung Krypto-Zahlungen im Unternehmen und die Krypto-Schulung im Unternehmen, um Ihr Team zu sensibilisieren.