IT-Sicherheit: 7 Maßnahmen, die jedes KMU umsetzen sollte

Warum KMU besonders gefährdet sind

Die Annahme „Wir sind zu klein, um ein Ziel zu sein" ist der gefährlichste Satz in der IT-Sicherheit. Tatsächlich richten sich laut BSI-Lagebericht über 40 Prozent aller Cyberangriffe gezielt gegen kleine und mittlere Unternehmen. Der Grund: KMU haben oft weniger Schutzmaßnahmen als Konzerne — verfügen aber über wertvolle Daten wie Kundendaten, Bankverbindungen und Geschäftsgeheimnisse.

Ein erfolgreicher Angriff kostet ein KMU durchschnittlich 25.000 bis 100.000 Euro. Die Kosten setzen sich zusammen aus Betriebsunterbrechung, Datenwiederherstellung, Reputationsverlust und möglichen DSGVO-Bußgeldern. Für viele kleine Unternehmen ist das existenzbedrohend.

Die gute Nachricht: Mit sieben konkreten Maßnahmen können Sie den Großteil der häufigsten Angriffsvektoren abwehren. Keine davon erfordert ein Millionenbudget.

1. Multi-Faktor-Authentifizierung überall aktivieren

Was: Neben dem Passwort wird ein zweiter Faktor abgefragt — zum Beispiel ein Code aus einer Authenticator-App oder ein Hardware-Token.

Warum: Gestohlene Passwörter sind laut Verizon Data Breach Report der Einstiegspunkt für über 80 Prozent aller erfolgreichen Angriffe. Mit MFA wird ein kompromittiertes Passwort allein wertlos.

Wie umsetzen: Beginnen Sie mit den kritischsten Systemen — E-Mail (Microsoft 365, Google Workspace), VPN-Zugänge, Banking und Cloud-Dienste. Die meisten dieser Plattformen bieten MFA kostenlos an. Authenticator-Apps wie Microsoft Authenticator oder Authy sind ebenfalls kostenfrei.

Zeitaufwand: Ein bis zwei Stunden für die Einrichtung, fünf Minuten Einweisung pro Mitarbeitenden. Priorität: Sofort umsetzen.

2. Automatische Updates und Patch-Management

Was: Betriebssysteme, Anwendungen und Firmware werden automatisch und zeitnah aktualisiert.

Warum: Die meisten Cyberangriffe nutzen bekannte Sicherheitslücken aus, für die bereits Patches existieren. WannaCry, einer der verheerendsten Ransomware-Angriffe, nutzte eine Schwachstelle, die Microsoft zwei Monate zuvor bereits gepatcht hatte. Die betroffenen Unternehmen hatten das Update schlicht nicht eingespielt.

Wie umsetzen: Aktivieren Sie automatische Updates auf allen Endgeräten. Für Server und Netzwerkgeräte richten Sie ein wöchentliches Patch-Fenster ein. Dokumentieren Sie, welche Systeme aktualisiert wurden und welche noch ausstehen.

Zeitaufwand: Einmalig zwei bis vier Stunden für die Konfiguration, danach läuft es automatisch. Priorität: Diese Woche.

3. E-Mail-Sicherheit verstärken

Was: Technische Maßnahmen gegen Phishing, Spoofing und schädliche Anhänge.

Warum: E-Mail ist nach wie vor der häufigste Angriffsvektor. Phishing-Mails sind heute so überzeugend, dass selbst geschulte Mitarbeitende darauf hereinfallen können. Technische Filter fangen die meisten Angriffe ab, bevor ein Mensch eine Entscheidung treffen muss.

Wie umsetzen: - SPF, DKIM und DMARC konfigurieren — diese drei DNS-Einträge verhindern, dass Angreifer E-Mails in Ihrem Namen versenden können - Anti-Phishing-Filter aktivieren (in Microsoft 365 und Google Workspace bereits enthalten) - Anhang-Scanning für ausführbare Dateien und Makros einrichten - Externe E-Mails kennzeichnen — ein kleiner Banner „Diese E-Mail stammt von außerhalb der Organisation" warnt Mitarbeitende

Zeitaufwand: Drei bis sechs Stunden für die vollständige Einrichtung. Priorität: Diese Woche.

4. Backup-Strategie nach der 3-2-1-Regel

Was: Drei Kopien Ihrer Daten, auf zwei verschiedenen Medientypen, davon eine außerhalb des Standorts (offsite oder in der Cloud).

Warum: Ransomware verschlüsselt Ihre Daten und fordert Lösegeld. Ohne funktionierendes Backup stehen Sie vor der Wahl: zahlen oder alles verlieren. Mit einem getesteten Backup können Sie den Angreifer ignorieren und Ihre Systeme wiederherstellen.

Wie umsetzen: - Kopie 1: Produktivdaten auf Ihrem Server oder in der Cloud - Kopie 2: Tägliches Backup auf ein separates Speichersystem (NAS, externe Festplatte) - Kopie 3: Wöchentliches Backup in einen anderen Standort oder Cloud-Speicher

Entscheidend: Testen Sie Ihre Backups regelmäßig. Ein Backup, das sich nicht wiederherstellen lässt, ist kein Backup. Führen Sie mindestens quartalsweise einen Wiederherstellungstest durch.

Zeitaufwand: Ein Tag für Konzept und Einrichtung. Priorität: Innerhalb von zwei Wochen.

5. Netzwerksegmentierung einführen

Was: Ihr Netzwerk wird in getrennte Bereiche aufgeteilt, sodass ein kompromittiertes Gerät nicht auf alle Systeme zugreifen kann.

Warum: Ohne Segmentierung kann ein Angreifer, der einen einzigen Rechner übernimmt, sich frei im gesamten Netzwerk bewegen. Das verwandelt einen kleinen Vorfall in eine Katastrophe.

Wie umsetzen: - Gäste-WLAN vom Firmennetzwerk trennen (die meisten modernen Router können das) - Server und Arbeitsplätze in getrennte VLANs legen - IoT-Geräte (Drucker, Kameras, smarte Thermostate) in ein eigenes Netz verschieben - Firewall-Regeln so setzen, dass nur die notwendige Kommunikation zwischen den Segmenten erlaubt ist

Zeitaufwand: Ein halber bis ganzer Tag, je nach Netzwerkgröße. Priorität: Innerhalb eines Monats.

6. Mitarbeitende sensibilisieren — regelmäßig

Was: Wiederkehrende, kurze Schulungen zu aktuellen Bedrohungen und korrektem Verhalten.

Warum: Die beste Technik hilft nichts, wenn ein Mitarbeitender seine Zugangsdaten auf einer Phishing-Seite eingibt. Security Awareness ist keine einmalige Pflichtveranstaltung, sondern ein kontinuierlicher Prozess.

Wie umsetzen: - Quartalsweise 15-Minuten-Briefings zu aktuellen Bedrohungen (keine stundenlangen Schulungen) - Simulierte Phishing-Tests — damit Mitarbeitende lernen, verdächtige E-Mails zu erkennen - Klare Meldewege definieren: An wen wende ich mich, wenn ich etwas Verdächtiges bemerke? - Positive Kultur schaffen: Wer eine Phishing-Mail meldet, wird gelobt, nicht getadelt. Wer auf einen Test hereinfällt, bekommt eine kurze Nachschulung statt einer Rüge.

Zeitaufwand: Eine Stunde pro Quartal für die Vorbereitung, 15 Minuten pro Sitzung. Priorität: Nächste Schulung innerhalb eines Monats planen.

7. Einen Notfallplan erstellen

Was: Ein dokumentierter Plan, der beschreibt, was bei einem IT-Sicherheitsvorfall zu tun ist — Schritt für Schritt.

Warum: Im Ernstfall zählt jede Minute. Ohne Plan herrscht Chaos: Wer entscheidet was? Wen muss man informieren? Was darf man anfassen und was nicht? Ein guter Notfallplan beantwortet diese Fragen, bevor der Stress einsetzt.

Wie umsetzen: - Verantwortlichkeiten klären: Wer koordiniert im Ernstfall? Wer hat Zugang zu den Backup-Systemen? - Kommunikationswege festlegen: Wenn die E-Mail kompromittiert ist — wie kommuniziert das Team? - Eskalationsstufen definieren: Nicht jeder Vorfall braucht dieselbe Reaktion - Kontaktliste pflegen: IT-Dienstleister, Rechtsanwalt, Cyber-Versicherung, Datenschutzbeauftragter - DSGVO-Meldepflicht beachten: Bei Verlust personenbezogener Daten müssen Sie innerhalb von 72 Stunden die zuständige Datenschutzbehörde informieren

Drucken Sie den Plan aus und hängen Sie ihn sichtbar im Büro auf. Wenn die IT nicht funktioniert, nutzt ein digitaler Notfallplan wenig.

Zeitaufwand: Zwei bis vier Stunden für die Erstellung. Priorität: Innerhalb von zwei Wochen.

Zusammenfassung: Der Fahrplan

Alle sieben Maßnahmen lassen sich innerhalb eines Monats umsetzen — ohne den Betrieb zu unterbrechen und ohne externes Spezialistenteam. Natürlich hilft professionelle Unterstützung, die Umsetzung schneller und gründlicher zu gestalten. Aber der erste Schritt beginnt heute, nicht wenn das Budget für einen Sicherheitsberater genehmigt ist.