Stimme den meisten hier zu:
Klar das nicht jeder Zugriff auf alle Netzlaufwerke hat und keiner der Benuutzer hat Admin-Rechte.
Java, Flash usw aktuell halten (Ja, es gibt Leute die brauchen das leider noch).
Windows Updates, konfigurierte Firewall, aktueller Virenschutz.
Backup das einmal am Tag angehängt wird, aber sonst eben nicht im Netzwerk hängt (wäre ja Schwachsinn wenn das auch verschlüsselt wird).
Wir haben Office 365, dementsprechend hängt der Exchange bei Microsoft. Wir haben ein Sicherheitsfeature gebucht das es uns erlaubt Endungen zu blockieren, soweit ich weiß sind das alle Office-Dateien die ein Macro haben (.docm .xlsm usw), Batch-Dateien, .reg-Dateien, .exe-Dateien und sicher noch ein paar weitere. Wenn eine Mail blockiert wird bekommt der Absender die Nachricht den Inhalt oder Anhang anzupassen oder uns zu kontaktieren.
Bei diesen Dateiendungen würde ich mal anfangen und über News aktuell halten was gerade "im Trend" ist und das dann blockieren.
Bisher sind wir damit sehr gut gelaufen und laut Statistiken der ausgefilterten Mails hat es sich auch gelohnt.
Auch "allesweg" hat recht, aus dem Malware-Bereich kann ich sagen das es nie einen 100%igen Schutz gibt.