IT-Sicherheit für KMU – die 5 Basics, die jede Firma braucht

„Uns trifft das schon nicht." Diesen Satz höre ich von kleinen Betrieben fast so oft wie „Wir müssen digitaler werden." Beide sind gefährlich. Denn die Zahl, die zählt, ist nicht, wie oft die großen Konzerne Schlagzeilen machen – sondern wie viele kleine Handwerks-, Handels- und Dienstleistungsbetriebe inzwischen stillstehen, weil ein Mitarbeiter auf den falschen Anhang geklickt hat. Angreifer suchen sich heute nicht mehr das lohnendste Ziel, sondern das leichteste. Und ein Betrieb ohne Backup, ohne Zwei-Faktor und mit Software von vorgestern ist genau das.

Die gute Nachricht: Rund 80 Prozent der IT-Sicherheit sind keine Technik, sondern Prozesse und Aufmerksamkeit. Sie brauchen kein eigenes Sicherheits-Team und kein fünfstelliges Budget, um aus der Gruppe der leichten Ziele herauszufallen. Sie brauchen fünf Basics – konsequent gemacht, nicht halb.

Die 5 Basics, die den Großteil der Angriffe verhindern

1. Backups, die wirklich funktionieren

Ein Backup, das im Ernstfall nicht zurückspielt, ist kein Backup, sondern ein gutes Gefühl. Die Faustregel heißt 3-2-1: drei Kopien Ihrer Daten, auf zwei verschiedenen Medien, eine davon räumlich getrennt und vom Netz. Genau dieser eine, getrennte Stand ist der, den ein Verschlüsselungstrojaner nicht mitnimmt.

• Läuft das Backup automatisch und täglich – ohne dass jemand daran denken muss?
• Liegt mindestens eine Kopie offline oder in einem getrennten Konto (nicht im selben Netzwerk, das verschlüsselt würde)?
• Haben Sie in den letzten Monaten einmal eine echte Rücksicherung getestet?

2. Zwei-Faktor überall, wo es geht

Das Passwort allein ist tot. Es wird abgephisht, wiederverwendet, erraten. Der zweite Faktor – eine App auf dem Handy, ein kurzer Code, ein Hardware-Schlüssel – ist der billigste große Sicherheitsgewinn, den es gibt. Er fängt fast alle Angriffe ab, die auf gestohlenen Zugangsdaten beruhen.

• Ist Zwei-Faktor beim E-Mail-Postfach aktiv? (Das ist das wichtigste Konto – über die Passwort-zurücksetzen-Funktion hängt fast alles andere daran.)
• Sind Online-Banking, Buchhaltung und die zentralen Cloud-Dienste abgesichert?
• Nutzen Sie für Passwörter einen Passwort-Manager statt einer Liste im Schreibtisch?

3. Updates nicht verzögern

Die meisten erfolgreichen Angriffe nutzen keine geheime Hintertür, sondern eine Lücke, für die es längst ein Update gibt – nur wurde es nicht eingespielt. „Später" ist hier ein teures Wort. Aktuelle Systeme zu halten, ist unspektakulär und genau deshalb so wirksam.

• Installieren Betriebssysteme und Programme Updates automatisch – oder hängt es an einer Person, die es manchmal vergisst?
• Läuft irgendwo noch ein System, das gar keine Updates mehr bekommt (altes Windows, alter Server)? Das ist die offene Tür.
• Sind auch die unscheinbaren Geräte versorgt – Router, Firewall, NAS, Drucker?

4. Mitarbeiter-Awareness gegen Phishing

Die teuerste Sicherheitslücke sitzt nicht im Serverraum, sondern vor dem Bildschirm – und das ist kein Vorwurf, sondern eine Tatsache. Die Mail von der „Bank", die gefälschte Rechnung, der Anruf vom angeblichen Geschäftsführer: Das funktioniert, weil es im Stress echt aussieht. Eine kurze, ehrliche Schulung – woran man Phishing erkennt, und dass Nachfragen nie peinlich ist – wirkt mehr als jede teure Software.

• Weiß jeder im Team, dass eine Rückfrage bei einer ungewöhnlichen Zahlungsaufforderung erwünscht und nie ein Fehler ist?
• Gibt es eine klare Regel: Bei Geldforderungen oder Kontoänderungen wird über einen zweiten, bekannten Kanal rückbestätigt?
• Trauen sich Mitarbeiter, einen Klick auf etwas Verdächtiges sofort zu melden – ohne Angst vor Ärger?

5. Ein Notfallplan in der Schublade – auf Papier

Wenn der Ernstfall da ist, steht oft genau das System nicht mehr zur Verfügung, auf dem der Notfallplan gespeichert war. Deshalb gehört er ausgedruckt an einen festen Ort: Wer wird in welcher Reihenfolge angerufen? Welche Geräte werden sofort vom Netz getrennt? Wer darf nach außen kommunizieren? Ein Plan auf Papier verwandelt Panik in eine Abfolge von Schritten.

• Steht auf dem Papier, wen Sie zuerst anrufen – Ihren IT-Dienstleister, nicht die Polizei (dazu gleich mehr)?
• Sind die wichtigsten Telefonnummern und Vertragsdaten auch erreichbar, wenn die Systeme aus sind?
• Weiß jemand außer Ihnen, wo dieser Plan liegt und was im ersten Moment zu tun ist?

Was Sie NICHT sofort brauchen

Sicherheit verkauft sich gut über Angst, und entsprechend voll ist der Markt mit Produkten, die nach Hochsicherheitstrakt klingen. Für einen Betrieb mit zehn bis zweihundert Mitarbeitern, der die fünf Basics noch nicht sauber stehen hat, ist das Geldverschwendung. Ein SIEM (ein System, das rund um die Uhr Sicherheitsmeldungen sammelt und auswertet) oder eine teure EDR-Lösung bringt nur etwas, wenn jemand da ist, der die Alarme auch liest und versteht. Sonst kaufen Sie ein rotes Lämpchen, auf das niemand schaut. Erst das Fundament, dann der Aufbau – nicht umgekehrt.

NIS2, Versicherungen – und was sie wirklich verlangen

Zwei Dinge sorgen gerade dafür, dass Sicherheit vom „kümmern wir uns mal" zur nachweispflichtigen Aufgabe wird. Das eine ist NIS2, die neue EU-Richtlinie für Cyber-Sicherheit. Sie trifft längst nicht jeden kleinen Betrieb direkt – aber zunehmend über die Lieferkette: Wer einen größeren, regulierten Kunden beliefert, wird gefragt, wie es um die eigene Sicherheit steht. Wer dann Nachweise vorlegen kann, behält den Auftrag.

Das andere ist die Cyber-Versicherung. Sie kann im Schadensfall viel auffangen – aber sie ersetzt die Basics nicht, sie setzt sie voraus. Im Antrag stehen heute Fragen nach Backups, Zwei-Faktor und Updates. Wer hier beschönigt, riskiert im Ernstfall, dass die Versicherung nicht zahlt. Die ehrliche Einordnung: Eine Police ist ein sinnvolles Netz, aber kein Ersatz dafür, die fünf Dinge oben tatsächlich zu tun.

Der erste Anruf im Ernstfall

Wenn die Bildschirme plötzlich eine Lösegeldforderung zeigen, ist der erste Reflex oft falsch. Der erste Anruf geht nicht an die Polizei und schon gar nicht an die Angreifer – sondern an die Person oder den Dienstleister, der Ihre Systeme kennt und sofort den Schaden begrenzen kann. Die wichtigsten Schritte stehen in jedem guten Notfallplan:

• Trennen, nicht ausschalten. Betroffene Geräte vom Netzwerk nehmen (Kabel ziehen, WLAN aus), aber möglichst nicht hart abschalten – das vernichtet Spuren, die später gebraucht werden.
• Den IT-Verantwortlichen alarmieren, der den Vorfall einordnet und das saubere Zurückspielen aus dem Backup steuert.
• Nicht zahlen, nicht löschen, nichts überschreiben – und erst dann, geordnet, Anzeige bei der Polizei erstatten und Datenschutz-Pflichten prüfen.

Wer diese Reihenfolge vorher einmal aufgeschrieben hat, gewinnt im Ernstfall genau das, was am meisten fehlt: einen klaren Kopf.

Das Fazit

IT-Sicherheit im Mittelstand ist kein Hexenwerk und keine Frage des Budgets, sondern der Konsequenz. Backups, die zurückspielen. Zwei-Faktor, wo es zählt. Updates ohne „später". Ein Team, das Phishing erkennt. Ein Notfallplan auf Papier. Diese fünf Dinge fangen den Großteil der Angriffe ab, die kleine Betriebe wirklich treffen – und sie kosten vor allem Aufmerksamkeit, nicht Geld. Den teuren Rest brauchen Sie erst, wenn das Fundament steht.

IT-Sicherheits-Check vereinbaren