Wir sind doch viel zu klein, als dass sich ein Cyberangriff bei uns lohnen würde.“ Dieser Gedanke ist gerade in kleineren Betrieben noch verbreitet. Das Problem: Viele Angriffe suchen sich ihr Ziel gar nicht gezielt aus. Automatisierte Angriffe, Phishing-Mails oder gestohlene Passwörter können grundsätzlich jeden Betrieb treffen, der digitale Systeme nutzt.
Und das betrifft heute fast alle: Angebote und Rechnungen werden digital erstellt, Termine online verwaltet, Kundendaten gespeichert, Mitarbeitende kommunizieren per E-Mail oder Smartphone und Branchensoftware unterstützt zentrale Arbeitsabläufe.
Wie relevant das Thema inzwischen ist, zeigen aktuelle Zahlen. In einer repräsentativen Bitkom-Befragung von mehr als 1.000 deutschen Unternehmen ab zehn Beschäftigten gaben, 58 Prozent an, innerhalb der vergangenen zwölf Monate einen Schaden durch Cyberangriffe erlitten zu haben. Besonders häufig verursachten Ransomware, Angriffe auf Passwörter und Phishing Schäden. (Quelle: Bitkom)
Das bedeutet allerdings nicht, dass jeder Betrieb eine eigene IT-Abteilung oder hochkomplexe Sicherheitstechnik benötigt. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) weist ausdrücklich darauf hin, dass bereits einfache und mit überschaubarem Aufwand umsetzbare Maßnahmen die Cyber-Sicherheit kleiner und mittlerer Unternehmen deutlich verbessern können.
Die folgenden zwölf Fragen helfen dabei, die wichtigsten Bereiche Schritt für Schritt zu überprüfen.
1 Welche IT-Risiken sind für meinen Betrieb überhaupt relevant?
2 Habe ich ein Backup – oder habe ich ein funktionierendes Backup?
3 Sind Computer, Smartphones und andere Geräte wirklich aktuell?
4 Wie gut sind unsere Passwörter und Benutzerkonten geschützt?
5 Woran erkenne ich Phishing und moderne Betrugsversuche?
6 Welche Rolle spielen meine Mitarbeitenden?
7 Ist unser Netzwerk ausreichend geschützt?
8 Was muss ich bei Cloud-Diensten und mobilen Geräten beachten?
9 Sind E-Mail und Internetdomain ausreichend geschützt?
10 Muss ich meine IT auch physisch schützen?
11 Was passiert, wenn es trotz aller Schutzmaßnahmen einen Vorfall gibt?
Der erste Schritt zu mehr IT-Sicherheit besteht nicht darin, neue Software zu kaufen. Zunächst sollte klar sein, wovon der eigene Betrieb eigentlich abhängig ist.
Stellen Sie sich beispielsweise einen Montagmorgen vor: Der Rechner im Büro startet nicht mehr. Auf die Branchensoftware kann niemand zugreifen. Kundendaten, Angebote und die Einsatzplanung der kommenden Tage sind nicht erreichbar.
Wie lange könnte der Betrieb trotzdem weiterarbeiten?
Für einen Friseursalon kann bereits ein Ausfall der digitalen Terminverwaltung große Probleme verursachen. Ein SHK-Betrieb benötigt möglicherweise seine Einsatzplanung und Kundendaten. Eine Kfz-Werkstatt ist auf Werkstattsoftware und Fahrzeugdaten angewiesen. In anderen Betrieben sind Kalkulation, Aufmaß, Rechnungswesen oder E-Mail die kritischen Systeme.
Das BSI empfiehlt Unternehmen deshalb, ihre besonders wichtigen Daten und Systeme zunächst zu identifizieren und entsprechend stärker zu schützen.
Dazu gehört auch ein Überblick darüber, welche Hard- und Software überhaupt eingesetzt wird. Welche Computer, Smartphones und Tablets gibt es? Welche Programme und Cloud-Dienste werden genutzt? Welche Systeme sind für den täglichen Betrieb unverzichtbar? Eine einfache Bestandsaufnahme schafft die Grundlage für fast alle weiteren Maßnahmen.
Viele Betriebe können diese Frage zunächst klar beantworten: Natürlich gibt es eine Datensicherung. Entscheidend ist allerdings eine andere Frage: Könnten Sie diese Daten morgen tatsächlich wiederherstellen?
Genau hier zeigt sich eine große Lücke. In der DIHK-Digitalisierungsumfrage 2026 geben 88 Prozent der befragten Unternehmen an, regelmäßig Backups zu erstellen. Aber nur 35 Prozent testen ihre Sicherungskopien regelmäßig.
Ein Backup kann vorhanden sein und im Ernstfall trotzdem wertlos sein.
Ein Beispiel: Ein Betrieb sichert jeden Abend seine wichtigsten Daten automatisch auf einem angeschlossenen Speicher. Schadsoftware verschlüsselt jedoch nicht nur die Dateien auf dem Server, sondern erreicht auch den verbundenen Backup-Speicher. Plötzlich sind Original und Sicherung gleichzeitig unbrauchbar.
Auch ein Brand oder Einbruch kann sowohl die Rechner als auch eine danebenliegende Sicherungsfestplatte betreffen. Deshalb sollten relevante Daten regelmäßig gesichert werden und mindestens eine Sicherung so getrennt aufbewahrt werden, dass sie nicht ohne Weiteres durch denselben Vorfall beschädigt oder verändert werden kann. Außerdem sollten mehrere ältere Sicherungsstände vorhanden sein. Denn manchmal wird ein Problem erst Tage oder Wochen später entdeckt.
Mindestens genauso wichtig ist der Test: Lässt sich eine Datei aus dem Backup tatsächlich öffnen? Könnte der IT-Dienstleister ein wichtiges System wiederherstellen?
Das BSI empfiehlt ausdrücklich, Sicherungskopien nicht nur anzulegen, sondern regelmäßig auf Funktionalität, Konsistenz und Aktualität zu prüfen.
Auch die notwendigen Zugangsdaten gehören zur Notfallvorsorge. Wenn nur eine Person das Kennwort zum Backup kennt und diese nicht erreichbar ist, hilft die beste Datensicherung wenig. Notfallzugänge oder Wiederherstellungscodes sollten deshalb sicher und unabhängig vom normalen Arbeitsgerät hinterlegt werden.
Ein Update-Fenster mitten im Arbeitstag ist lästig. „Später erinnern“ ist schnell angeklickt. Aus „später“ werden allerdings leicht mehrere Wochen.
Updates beheben nicht nur Programmfehler oder bringen neue Funktionen. Sie schließen regelmäßig bekannte Sicherheitslücken. Gerade ältere Systeme können deshalb mit der Zeit zu einem unnötigen Risiko werden. Das ist keine theoretische Gefahr. In der Bitkom-Studie Wirtschaftsschutz 2026 nannten 43 Prozent der Unternehmen, bei denen ein Cyberangriff tatsächlich Schäden verursacht hatte, veraltete Hard- oder Software als einen mitverantwortlichen Faktor.
Updates betreffen dabei nicht nur klassische Büro-PCs. Auch Laptops, Smartphones, Tablets, Server, Router, Firewalls, WLAN-Systeme und vernetzte Geräte benötigen regelmäßige Aktualisierungen.
Wo automatische Sicherheitsupdates möglich sind, sollten sie genutzt werden. Zusätzlich sollte klar geregelt sein, wer kontrolliert, ob besonders wichtige Systeme tatsächlich aktuell bleiben.
Auch ein aktueller Schutz vor Schadsoftware gehört zur Grundausstattung. Bei modernen Betriebssystemen sind entsprechende Schutzfunktionen teilweise bereits integriert. Wichtig ist weniger, möglichst viele Sicherheitsprogramme zu installieren, sondern vorhandene Schutzfunktionen aktiviert und aktuell zu halten.
Ein weiterer Punkt wird häufig vergessen: Was passiert mit alten Geräten?
Ein Laptop, der keine Sicherheitsupdates mehr erhält, sollte nicht einfach jahrelang weiterlaufen. Und bevor Computer, Smartphones oder Festplatten verkauft oder entsorgt werden, müssen darauf gespeicherte Unternehmensdaten zuverlässig gelöscht werden.
Bei mobilen Geräten wie Laptops ist zusätzlich eine Festplattenverschlüsselung sinnvoll. Das BSI weist darauf hin, dass verschlüsselte Daten bei Verlust oder Diebstahl eines Geräts wesentlich besser davor geschützt sind, von Dritten ausgelesen zu werden.
Ein einziges gestohlenes Passwort kann reichen, um Zugang zu E-Mail, Cloud-Speicher oder anderen Unternehmenssystemen zu erhalten.
Besonders problematisch wird es, wenn dasselbe Passwort mehrfach verwendet wird. Taucht es beispielsweise nach einem Datenleck bei einem externen Dienst im Internet auf, können Kriminelle automatisiert ausprobieren, ob es auch für andere Konten funktioniert. Deshalb sollten für unterschiedliche Dienste auch unterschiedliche und ausreichend lange Passwörter genutzt werden.
Niemand muss sich diese allerdings alle merken. Ein Passwortmanager kann individuelle Zugangsdaten erzeugen und sicher speichern. Auch das BSI empfiehlt Passwortmanager als Möglichkeit, mit vielen unterschiedlichen Passwörtern praktikabel umzugehen.
Noch wichtiger ist bei zentralen Konten die Mehr-Faktor-Authentifizierung, kurz MFA oder 2FA. Das Prinzip kennen viele bereits vom Onlinebanking: Selbst, wenn jemand das Passwort kennt, wird zusätzlich ein zweiter Faktor benötigt – beispielsweise eine Bestätigung in einer App oder ein Sicherheitsschlüssel. Das BSI empfiehlt, Zwei-Faktor-Authentifizierung grundsätzlich zu nutzen, sobald ein Dienst sie anbietet. Besonders relevant ist sie bei E-Mail-Konten, Cloud-Diensten und Zugängen mit weitreichenden Berechtigungen.
Auch voreingestellte Passwörter von Routern, Kameras oder anderen Geräten sollten direkt nach der Einrichtung geändert werden.
Für besonders wichtige Systeme sollte zudem geklärt sein, wie der Betrieb im Notfall wieder Zugriff erhält. Wiederherstellungscodes und zentrale Notfallzugänge gehören sicher dokumentiert – aber nicht offen in einer Datei mit dem Namen „Passwörter.xlsx“ auf dem Firmenserver.
Eine Rechnung eines bekannten Lieferanten kommt per E-Mail. Die Bankverbindung hat sich angeblich geändert. Die Nachricht sieht professionell aus, enthält das Logo des Unternehmens und klingt sprachlich völlig unauffällig. Würden Sie bezahlen?
Phishing funktioniert heute längst nicht mehr nur über schlecht geschriebene Nachrichten voller Rechtschreibfehler.
Die Bitkom-Erhebung 2026 zeigt, dass Phishing bei 16 Prozent der befragten Unternehmen innerhalb der vergangenen zwölf Monate einen Schaden verursacht hat. Bei 18 Prozent waren Angriffe auf Passwörter erfolgreich genug, um Schäden zu verursachen.
Hinzu kommt Künstliche Intelligenz. 38 Prozent der von Bitkom befragten Unternehmen, die Hinweise auf KI-gestützte Angriffe beobachteten, nannten die hohe Qualität gefälschter Texte und E-Mails als Merkmal. Auch gefälschte Audio- und Videoaufnahmen gewinnen an Bedeutung.
Misstrauisch sollten Sie vor allem werden, wenn eine Nachricht vom üblichen Ablauf abweicht: etwa wenn sich plötzlich eine Bankverbindung geändert hat, ein ungewöhnlicher Dateianhang mitgeschickt wird, Sie zur Eingabe eines Passworts aufgefordert werden oder eine Zahlung besonders dringend ausgeführt werden soll.
In solchen Fällen hilft eine einfache Regel: Prüfen Sie die Anfrage über einen zweiten, vertrauten Kommunikationsweg. Wenn ein Lieferant beispielsweise per E-Mail eine neue Bankverbindung mitteilt, rufen Sie ihn über die Ihnen bekannte Telefonnummer an und lassen Sie sich die Änderung bestätigen. Technische Schutzmaßnahmen wie Spamfilter oder Mehr-Faktor-Authentifizierung sind wichtig. Sie können aber nicht jeden Betrugsversuch erkennen. Gerade bei ungewöhnlichen Zahlungsaufforderungen kann eine kurze zusätzliche Rückfrage deshalb viel Schaden verhindern.
Wenn Mitarbeitende täglich mit E-Mails, Kundendaten, Smartphones und Software arbeiten, sind sie automatisch Teil der IT-Sicherheit. Dabei geht es nicht darum, Menschen als „Schwachstelle“ darzustellen. Gute IT-Sicherheit sorgt vielmehr dafür, dass Mitarbeitende verdächtige Situationen erkennen und wissen, wie sie reagieren sollen.
Ein Praxisbeispiel: Eine Mitarbeiterin öffnet einen verdächtigen Anhang und bemerkt kurz darauf ein ungewöhnliches Verhalten des Computers. Was passiert jetzt? Wird versucht, den Fehler zu verheimlichen? Wird einfach weitergearbeitet? Oder weiß die Person sofort, wen sie informieren und welche ersten Schritte sie durchführen soll? Genau dieser Unterschied kann darüber entscheiden, wie groß ein Schaden wird.
Trotzdem gibt es bei der Sensibilisierung weiterhin Lücken. Laut Gesamtverband der Versicherer (GDV) verzichten 64 Prozent der befragten mittelständischen Unternehmen auf Schulungen zur Sensibilisierung ihrer Belegschaft. In derselben Untersuchung begannen 68 Prozent der untersuchten erfolgreichen Angriffe mit einer Phishing-Mail oder einer E-Mail mit Schadsoftware.
Schulungen müssen dabei nicht immer mehrstündige Pflichtveranstaltungen sein. Kurze regelmäßige Hinweise, aktuelle Beispiele und klar kommunizierte Verhaltensregeln können bereits viel bewirken. Alle Mitarbeitenden sollten insbesondere wissen, wer bei einem Verdacht angesprochen wird, welche Software installiert werden darf und was bei Verlust eines Geräts oder verdächtigen Nachrichten zu tun ist.
Auch Onboarding und Offboarding gehören dazu. Neue Mitarbeitende erhalten gezielt die Zugänge, die sie für ihre Tätigkeit benötigen. Verlässt jemand den Betrieb, werden Accounts deaktiviert, Berechtigungen entzogen, Schlüssel und Geräte zurückgegeben und gemeinsame Passwörter gegebenenfalls geändert. Eine einfache Checkliste verhindert, dass Monate später noch ein ehemaliges Konto Zugriff auf Unternehmensdaten besitzt.
Im Betriebsnetzwerk hängen häufig weit mehr Geräte, als auf den ersten Blick sichtbar sind: PCs, Smartphones, Drucker, Scanner, Router, Kameras, Kassensysteme und möglicherweise Maschinen oder weitere vernetzte Geräte.
Deshalb sollte das Netzwerk nicht einfach „irgendwie funktionieren“, sondern grundsätzlich abgesichert sein. Dazu gehören eine aktuell gehaltene und sinnvoll konfigurierte Firewall sowie ein verschlüsseltes WLAN mit aktuellem Sicherheitsstandard. Voreingestellte Zugangsdaten sollten geändert werden.
Auch ein separates Gäste-WLAN ist sinnvoll. Das Smartphone eines Kunden oder einer Kundin muss nicht im gleichen Netzwerk unterwegs sein wie der Bürorechner mit Kundendaten und Rechnungen.
Ähnliches gilt für Zugriffe von außen. Wer aus dem Homeoffice, von der Baustelle oder unterwegs auf interne Unternehmenssysteme zugreifen muss, sollte dafür einen kontrollierten und sicher eingerichteten Zugang verwenden. Direkte, ungeschützte Freigaben ins Internet sollten vermieden werden. Bei internen Systemen kann dafür beispielsweise ein sicher eingerichteter VPN-Zugang zum Einsatz kommen.
Ein Aspekt wird ebenfalls leicht übersehen: Netzwerkdosen, Switches, Router und Firewalls sollten nicht dort hängen, wo jede Person problemlos darauf zugreifen kann. Ungenutzte Netzwerkanschlüsse können deaktiviert und zentrale Technik in einem abschließbaren Bereich untergebracht werden.
Gerade bei diesen technischen Punkten gilt: Die Geschäftsführung muss nicht selbst eine Firewall konfigurieren können. Sie sollte aber ihren IT-Dienstleister fragen können: Ist unsere Technik aktuell, wer kümmert sich darum und wann wurde das zuletzt überprüft?
E-Mail, Terminplanung, Zeiterfassung, Dateien oder Branchensoftware liegen heute häufig nicht mehr auf einem Server im eigenen Betrieb, sondern in der Cloud. Das kann die IT sogar vereinfachen. Es verschiebt aber die Sicherheitsfragen.
Stellen Sie sich einen Mitarbeiter vor, der auf seinem Smartphone Zugriff auf E-Mail, Teams, Kundendaten und den gemeinsamen Cloud-Speicher hat. Das Gerät bleibt nach einem Kundentermin im Transporter liegen und wird gestohlen. Welche Daten kann eine fremde Person jetzt erreichen?
Smartphones, Tablets und Laptops sollten deshalb durch PIN, Passwort oder biometrische Anmeldung geschützt, regelmäßig aktualisiert und soweit möglich verschlüsselt sein. Bei Verlust muss klar sein, wer informiert wird und wie Zugänge gesperrt werden können. Das BSI empfiehlt bei mobilen Geräten neben einer Zugangssperre insbesondere aktuelle Sicherheitsupdates und die Nutzung der integrierten Verschlüsselung.
Bei Cloud-Diensten ist mindestens genauso wichtig, wer überhaupt Zugriff besitzt. Nicht jede Person benötigt Administrationsrechte. Berechtigungen sollten nach Aufgabe vergeben und regelmäßig überprüft werden.
Außerdem sollte der Betrieb wissen, welche Dienste tatsächlich genutzt werden. Wenn Mitarbeitende ohne Abstimmung eigene Anwendungen installieren und dort Kundendaten oder Unternehmensdokumente speichern, entsteht schnell eine unübersichtliche Schatten-IT. Deshalb sollte auch geregelt sein, dass Software und Cloud-Dienste nicht beliebig selbst installiert oder eingeführt werden.
Für viele Betriebe ist die E-Mail inzwischen ähnlich wichtig wie früher das Telefon. Fällt das Postfach aus oder wird es übernommen, können Kommunikation, Rechnungsversand und teilweise sogar die Wiederherstellung anderer Benutzerkonten betroffen sein. E-Mail-Konten gehören deshalb zu den Konten, die besonders gut geschützt werden sollten, insbesondere durch Mehr-Faktor-Authentifizierung.
Der E-Mail-Anbieter sollte aktuelle Sicherheitsstandards für die verschlüsselte Übertragung unterstützen und Schutzmechanismen gegen Spam und Schadsoftware einsetzen. Je nach Lösung sollte auch geklärt sein, wie E-Mails gesichert beziehungsweise wiederhergestellt werden können.
Ein weiterer wichtiger Punkt ist die eigene Domain. Häufig wurden Website und Domain irgendwann von einer Agentur oder einem IT-Dienstleister eingerichtet. Jahre später weiß im Betrieb niemand mehr genau, bei welchem Anbieter die Domain registriert ist oder wer Zugang zum Konto besitzt.
Das kann zum Problem werden, wenn der Dienstleister gewechselt wird oder nicht mehr erreichbar ist. Der Betrieb sollte deshalb jederzeit nachvollziehen können, bei welchem seriösen Anbieter die eigene Domain liegt, wer als Vertragspartner hinterlegt ist und wie auf den Account zugegriffen werden kann.
Externe Dienstleistende dürfen die Technik verwalten. Der Betrieb sollte allerdings die Kontrolle über zentrale digitale Zugänge aber nicht vollständig aus der Hand geben.
Cyber-Sicherheit klingt nach Internet, Passwörtern und Schadsoftware. Einige Risiken sind wesentlich analoger. Ein Server steht offen im Abstellraum. Der Router hängt frei zugänglich im Kundenbereich. Ein Netzwerkschrank lässt sich ohne Schlüssel öffnen.
Wer direkten Zugriff auf zentrale Technik erhält, kann technische Schutzmaßnahmen unter Umständen umgehen oder Geräte schlicht beschädigen beziehungsweise entfernen. Server, Router, Switches und andere zentrale Systeme sollten deshalb vor unbefugtem Zugriff geschützt sein. Je nach Betrieb kann bereits ein abschließbarer Technikraum oder Netzwerkschrank ausreichen.
Auch andere Risiken gehören dazu: Feuer, Wasser oder Stromausfall.
Bei besonders wichtigen Systemen kann eine unterbrechungsfreie Stromversorgung sinnvoll sein. Sie hält die Technik bei einem kurzen Stromausfall vorübergehend am Laufen beziehungsweise ermöglicht ein kontrolliertes Herunterfahren.
Hier gibt es keine Einheitslösung. Ein Kosmetikstudio mit zwei Arbeitsplätzen benötigt andere Maßnahmen als ein Produktionsbetrieb mit eigenem Server und zahlreichen vernetzten Maschinen. Entscheidend ist, physische Risiken nicht vollständig auszublenden.
Kein Unternehmen kann jedes Risiko ausschließen. Deshalb entscheidet IT-Sicherheit nicht nur darüber, ob ein Vorfall verhindert werden kann. Genauso wichtig ist, wie schnell der Betrieb danach wieder arbeitsfähig wird.
Gerade hier besteht Nachholbedarf. In der DIHK-Digitalisierungsumfrage 2026 verfügen zwar 88 Prozent der befragten Unternehmen über regelmäßige Backups und 85 Prozent aktualisieren laufend ihre IT-Sicherheitsmaßnahmen. Einen Notfallplan haben dagegen nur 30 Prozent. Regelmäßige Notfallübungen führen sogar lediglich 13 Prozent durch.
Auch eine Forsa-Untersuchung für den GDV kommt zu einem ähnlichen Ergebnis: 48 Prozent der befragten mittelständischen Unternehmen hatten keinerlei Notfallplan für den Ernstfall entwickelt. Dabei muss ein Notfallplan kein hundertseitiges Handbuch sein.
Angenommen, am Dienstagmorgen sind plötzlich sämtliche Dateien verschlüsselt und auf mehreren Rechnern erscheint eine Lösegeldforderung.
Wer wird zuerst angerufen?
Wer entscheidet, ob Geräte vom Netzwerk getrennt werden?
Wo befindet sich das Backup?
Wie erreicht man den IT-Dienstleister?
Wie können Kundschaft und Mitarbeitende informiert werden, wenn E-Mail nicht funktioniert?
Diese Informationen sollten auch dann verfügbar sein, wenn die IT ausgefallen ist. Deshalb kann eine aktuelle Papierfassung mit Ansprechpartnern, wichtigen Telefonnummern und grundlegenden Abläufen durchaus sinnvoll sein.
Zu einem guten Notfallmanagement gehört außerdem, den Ernstfall gelegentlich zu testen. Das kann sehr einfach beginnen: Eine Datei wird testweise aus dem Backup wiederhergestellt oder die hinterlegten Ansprechpartner werden überprüft.
Zusätzlich kann ein Betrieb prüfen, ob eine Cyberversicherung für das eigene Risikoprofil sinnvoll ist. Wichtig ist dabei, nicht davon auszugehen, dass eine Versicherung grundlegende Sicherheitsmaßnahmen ersetzt.
„Das macht unser IT-Dienstleister.“ Dieser Satz ist verständlich – aber nur teilweise richtig.
Ein Dienstleister kann Backups einrichten, Geräte aktualisieren, Firewalls konfigurieren und im Notfall unterstützen. Die Entscheidung, wie wichtig IT-Sicherheit im Unternehmen genommen wird, welche Ressourcen dafür bereitgestellt werden und wer welche Verantwortung trägt, bleibt jedoch eine Führungsaufgabe.
Auch das BSI ordnet Informationssicherheit ausdrücklich als strategisches Thema und damit als Aufgabe der Unternehmensleitung ein.
Dafür muss niemand in der Geschäftsführung zum IT-Profi werden. Es reicht zunächst, regelmäßig einige zentrale Fragen stellen zu können: Welche Systeme sind für uns kritisch? Funktionieren unsere Backups? Wer kümmert sich um Updates? Sind wichtige Konten mit MFA geschützt? Was passiert bei einem IT-Ausfall? Wer ist unser Ansprechpartner? Welche Geräte und Anwendungen nutzen wir überhaupt?
Diese Fragen sollten nicht nur einmal beantwortet werden.
Neue Mitarbeitende kommen hinzu, Geräte werden ersetzt, neue Cloud-Dienste eingeführt und Arbeitsabläufe verändert. Deshalb sollte die IT-Sicherheit regelmäßig – beispielsweise mindestens einmal im Jahr und zusätzlich bei größeren Veränderungen – gemeinsam mit den verantwortlichen Personen überprüft werden.
So wird IT-Sicherheit nicht zu einem einmaligen Projekt, sondern zu einem normalen Bestandteil der Unternehmensorganisation.
Ein guter Basisschutz muss nicht kompliziert sein. Entscheidend sind vor allem diese Punkte:
Machen Sie das IT-Sicherheit zur festen Aufgabe im Betrieb und stimmen Sie sich regelmäßig mit Ihrem IT-Dienstleister ab.
Wichtige Systeme kennen: Verschaffen Sie sich einen Überblick über Geräte, Software, Cloud-Dienste und besonders wichtige Daten.
Backups erstellen und testen: Halten Sie mehrere Sicherungsstände vor und schützen Sie mindestens eine Sicherung vor demselben Schaden wie das Original.
Systeme aktuell halten: Installieren Sie Updates für Computer, Server, Smartphones, Router, Firewalls und andere vernetzte Geräte.
Konten schützen: Nutzen Sie individuelle Passwörter, einen Passwortmanager und für wichtige Dienste Mehr-Faktor-Authentifizierung.
Mitarbeitende einbeziehen: Vermitteln Sie regelmäßig, wie verdächtige Nachrichten erkannt und Vorfälle gemeldet werden.
Berechtigungen organisieren: Regeln Sie Zugriffe sowie On- und Offboarding und vermeiden Sie unnötige Administrationsrechte.
Netzwerk absichern: Nutzen Sie ein geschütztes WLAN, getrennte Gastzugänge, eine aktuell gehaltene Firewall und sichere Fernzugriffe.
Mobile Geräte und Cloud-Dienste berücksichtigen: Schützen und verschlüsseln Sie mobile Geräte und behalten Sie eingesetzte Anwendungen im Blick.
E-Mail und Domain sichern: Schützen Sie zentrale Konten und sorgen Sie dafür, dass der Betrieb selbst Zugriff auf wichtige digitale Zugänge besitzt.
Technik auch physisch schützen: Sichern Sie Server, Router, Switches und andere zentrale Geräte vor unbefugtem Zugriff sowie relevanten Umweltrisiken.
Einen Notfallplan vorbereiten: Halten Sie Kontakte, Zuständigkeiten und grundlegende Abläufe auch außerhalb Ihrer IT griffbereit.
Viele Schutzmaßnahmen sind technisch weniger kompliziert, als es zunächst klingt. Gleichzeitig zeigt die Praxis, dass gerade die Kombination entscheidend ist.
Ein aktueller Virenscanner hilft wenig, wenn dieselben Passwörter für mehrere Systeme verwendet werden. Ein Backup hilft wenig, wenn es im Ernstfall nicht wiederhergestellt werden kann. Und die beste technische Absicherung kann Probleme nicht verhindern, wenn bei einem Vorfall niemand weiß, was als Nächstes zu tun ist.
Ein guter erster Schritt ist deshalb eine strukturierte Bestandsaufnahme.
Gehen Sie die wichtigsten Bereiche Ihres Betriebs einmal systematisch durch: Was ist bereits geregelt? Wo sind Sie sich unsicher? Und welche zwei oder drei Punkte könnten Sie kurzfristig verbessern?
IT-Sicherheit muss nicht bedeuten, von heute auf morgen alles perfekt abzusichern. Entscheidend ist, die wichtigsten Risiken zu kennen, einen soliden Basisschutz aufzubauen und diesen regelmäßig weiterzuentwickeln.
In vielen Betrieben ist unglaublich viel Wissen vorhanden. Es ist nur nicht immer dort verfügbar, wo es gerade gebraucht wird. Manche Informationen liegen in Ordnern im Büro, andere in alten E-Mails, PDF-Dateien, WhatsApp-Verläufen, Aushängen, Checklisten oder einzelnen Softwarelösungen. Vieles steckt außerdem im Kopf der Betriebsinhabenden, der Bürokräfte, der Meister:innen oder langjähriger Mitarbeitender.
Solange alle wissen, wen sie fragen müssen, funktioniert das im Alltag oft irgendwie. Schwierig wird es aber, wenn neue Mitarbeitende eingearbeitet werden, erfahrene Personen im Urlaub sind, im Büro viel los ist oder immer wieder dieselben Fragen auftauchen. Dann kostet die Suche nach Informationen Zeit, Nerven und im Zweifel auch Qualität.
Genau hier kann ein eigener KI-Wissensassistent helfen. Er macht vorhandenes Betriebswissen schneller auffindbar. Mitarbeitende können Fragen stellen und erhalten eine verständliche Antwort auf Basis der hinterlegten Informationen. Das kann bei internen Abläufen helfen, bei Checklisten, bei Kundenfragen, bei der Einarbeitung oder bei wiederkehrenden Texten im Büro.
Der Einstieg muss dabei kein großes Digitalprojekt sein. Schon mit wenigen gut vorbereiteten Dateien und einem klaren Anwendungsfall lässt sich ein erster KI-Wissensassistent aufbauen. Eine einfache Möglichkeit dafür sind sogenannte Custom GPTs in ChatGPT. OpenAI beschreibt GPTs als anpassbare Versionen von ChatGPT, die unter anderem mit eigenen Anweisungen, Wissensdateien und bestimmten Funktionen konfiguriert werden können.
Viele Betriebe versuchen dann, die bestehenden Prozesse durch zusätzliche Tools zu ergänzen. Das führt jedoch häufig zu noch mehr Komplexität, statt diese zu reduzieren.
An diesem Punkt wird deutlich: Die Lösung liegt nicht in weiteren Einzellösungen, sondern in einem System, das die zentralen Abläufe miteinander verbindet.
Genau hier setzen ERP-Systeme im Handwerk an.
Ein KI-Wissensassistent ist ein Chatbot, der nicht nur allgemeines Wissen nutzt, sondern mit eigenen Informationen des Betriebs arbeitet. Diese Informationen können zum Beispiel aus Arbeitsanweisungen, Checklisten, Schulungsunterlagen, Leistungsbeschreibungen, FAQ-Listen oder internen Ablaufbeschreibungen bestehen.
Der Assistent beantwortet dann z. B. Fragen wie:
Wichtig ist: Der Assistent ersetzt keine verantwortliche Person und trifft keine verbindlichen Entscheidungen. Er hilft dabei, vorhandenes Wissen besser zugänglich zu machen, Antworten vorzubereiten und wiederkehrende Fragen schneller zu bearbeiten.
Handwerksbetriebe arbeiten oft sehr praxisnah, mit vielen wiederkehrenden Abläufen und gleichzeitig vielen individuellen Situationen. Es gibt Kundenanfragen, Angebote, Termine, Baustellen, Materialfragen, Reklamationen, Dokumentationen, Schulungen, interne Absprachen und Einarbeitung neuer Mitarbeitender.
Dabei entsteht viel Wissen. Häufig ist dieses Wissen aber nicht zentral gepflegt. Es ist verteilt auf einzelne Personen, alte Vorlagen, Ordnerstrukturen, E-Mail-Postfächer oder das Gedächtnis der Geschäftsführung. Für den Alltag bedeutet das: Wer etwas wissen will, fragt schnell im Büro, ruft die verantwortliche Person an oder sucht lange nach der passenden Datei.
Ein KI-Wissensassistent kann genau an dieser Stelle entlasten. Er kann Antworten aus vorhandenen Unterlagen ableiten, Abläufe erklären, Checklisten ausgeben oder Textentwürfe vorbereiten. Dadurch werden Informationen nicht nur gespeichert, sondern wirklich nutzbar.
Das ist nicht nur für klassische Bau- und Ausbaugewerke interessant. Auch Friseurbetriebe, Kosmetikstudios, Gebäudereinigungen, Kfz-Betriebe, Orthopädietechnik, Lebensmittelhandwerk oder andere Dienstleistungsbetriebe können davon profitieren. Entscheidend ist nicht das Gewerk, sondern die Frage: Welche Informationen werden im Betrieb immer wieder gebraucht?
1. Einarbeitung neuer Mitarbeitender
Neue Mitarbeitende müssen am Anfang viele Dinge gleichzeitig verstehen: Wer ist wofür zuständig? Wie läuft eine Kundenanfrage ab? Wo werden Termine dokumentiert? Welche Standards gelten bei der Kommunikation? Welche Systeme werden genutzt?
Ein KI-Wissensassistent kann hier als digitale Einstiegshilfe dienen. Neue Mitarbeitende können Fragen stellen und erhalten eine einfache Erklärung auf Basis der internen Informationen. Das ersetzt keine persönliche Einarbeitung, kann aber viele wiederkehrende Rückfragen reduzieren.
Beispiele:
Gerade kleinere Betriebe profitieren davon, weil Einarbeitung oft neben dem Tagesgeschäft passiert. Wenn grundlegende Informationen schneller auffindbar sind, bleibt mehr Zeit für persönliche Anleitung und fachliche Unterstützung.
2. Schulung und interne Standards
Viele Betriebe haben klare Vorstellungen davon, wie gearbeitet werden soll. Nur sind diese Standards nicht immer schriftlich festgehalten oder schnell verfügbar. Ein KI-Wissensassistent kann helfen, solche Standards verständlich aufzubereiten.
Er kann Arbeitsabläufe erklären, Schulungsfragen beantworten oder aus vorhandenen Unterlagen kleine Lernhilfen erstellen. Auch Auszubildende können davon profitieren, wenn sie Fachbegriffe, Abläufe oder betriebliche Regeln noch einmal einfach erklärt bekommen.
Beispiele:
So wird vorhandenes Wissen nicht nur abgelegt, sondern aktiv für Schulung und Weiterbildung nutzbar.
3. Checklisten für wiederkehrende Aufgaben
Viele Aufgaben im Betrieb laufen regelmäßig ähnlich ab. Trotzdem wird im Alltag schnell etwas vergessen, wenn es hektisch wird. Ein KI-Wissensassistent kann aus hinterlegten Informationen passende Checklisten ausgeben.
Beispiele:
Solche Checklisten können für viele Bereiche hilfreich sein: Büro, Werkstatt, Baustelle, Verkauf, Kundendienst, Empfang oder Einarbeitung. Der Vorteil ist, dass Mitarbeitende nicht lange suchen müssen, sondern die passende Liste direkt abfragen können.
4. Hilfe bei der Kundenkommunikation
Viele Betriebe schreiben täglich ähnliche Nachrichten: Antworten auf Anfragen, Terminbestätigungen, Rückfragen, Angebotsnachfassungen oder Reaktionen auf Reklamationen. Ein KI-Wissensassistent kann hier Entwürfe vorbereiten, die zum Betrieb passen.
Beispiele:
Wichtig bleibt: Der Mensch prüft die Nachricht, bevor sie verschickt wird. Der Assistent kann aber viel Vorarbeit leisten und helfen, einheitlicher und professioneller zu kommunizieren.
5. Betriebswissen sichern
In vielen Betrieben hängt viel Wissen an einzelnen Personen. Das kann im Alltag praktisch sein, ist aber auch ein Risiko. Wenn eine erfahrene Person nicht erreichbar ist, geht Wissen nicht verloren, aber es ist gerade nicht verfügbar.
Ein KI-Wissensassistent kann helfen, dieses Wissen Schritt für Schritt zu sichern. Dafür müssen Betriebe nicht sofort ein perfektes digitales Handbuch erstellen. Es reicht, mit häufigen Fragen, Standardabläufen und wichtigen Checklisten zu beginnen. So wird aus Einzelwissen nach und nach Teamwissen.
Beispiele:
Für den ersten eigenen KI-Wissensassistenten braucht es nicht viel:
Diese verantwortliche Person muss nicht täglich daran arbeiten. Wichtig ist aber, dass gelegentlich überprüft wird, ob die hinterlegten Informationen noch aktuell sind. Haben sich Abläufe geändert? Gibt es neue Zuständigkeiten? Sind alte Preisangaben, Telefonnummern oder Vorlagen enthalten? Ein Wissensassistent ist nur so gut wie die Informationen, auf die er zugreifen kann.
Für den Anfang reichen oft wenige Dateien. Es kann aber sinnvoll sein, unterschiedliche Themen in getrennten Dateien zu pflegen. Zum Beispiel:
Das macht die Pflege einfacher. Wenn sich nur eine Checkliste ändert, muss nicht das gesamte Betriebswissen überarbeitet werden. OpenAI ermöglicht bei GPTs das Hochladen mehrerer Wissensdateien; aktuell sind bei OpenAI bis zu 20 Dateien pro GPT möglich.
Vorbereitung: Erst das Wissen ordnen, dann den Assistenten bauen
Der wichtigste Schritt kommt vor dem Erstellen des Chatbots. Betriebe sollten nicht einfach wahllos alte PDF-Dateien, Screenshots, Word-Dokumente oder Ordner hochladen. Besser ist es, das wichtigste Wissen einmal sauber zu strukturieren.
Eine einfache Wissensdatei kann zum Beispiel so aufgebaut sein:
Je klarer diese Informationen aufgebaut sind, desto besser kann der Assistent damit arbeiten. Besonders hilfreich sind kurze Absätze, eindeutige Überschriften, Frage-Antwort-Strukturen und konkrete Schrittfolgen.
Weniger hilfreich sind schlecht gescannte PDFs, Fotos von Dokumenten, unübersichtliche Tabellen oder Dateien mit widersprüchlichen Informationen. OpenAI empfiehlt bei Problemen mit GPT-Wissensdateien ebenfalls klarere und stärker textbasierte Quelldateien.
Schritt 1: Ziel festlegen
Bevor der Assistent erstellt wird, sollte klar sein, wofür er genutzt werden soll. Ein klarer Startpunkt macht es leichter, gute Dateien auszuwählen und passende Anweisungen zu formulieren. Ein häufiger Fehler ist, direkt mit dem Anspruch zu starten: „Der Assistent soll alles können.“ Das führt oft zu unklaren Ergebnissen.
Besser ist ein konkreter erster Anwendungsfall.
Beispiel:
„Unser KI-Wissensassistent soll Mitarbeitenden helfen, schneller Antworten auf interne Fragen zu finden. Er soll Abläufe erklären, Checklisten ausgeben, bei Kundenkommunikation unterstützen und neue Mitarbeitende bei der Einarbeitung entlasten.“
Weitere mögliche Ziele:
Schritt 2: Wissensdateien vorbereiten
Im nächsten Schritt werden die Informationen gesammelt, mit denen der Assistent arbeiten soll. Für den Anfang reichen wenige, gut strukturierte Dateien.
Es empfiehlt sich, unterschiedliche Themen in unterschiedlichen Dateien zu sammeln. So bleibt der Assistent übersichtlich und die Pflege einfacher.
Beispiel:
Datei 1: Betriebsinformationen
Leistungen, Öffnungszeiten, Ansprechpersonen, Standorte, Grundregeln.
Datei 2: Interne Abläufe
Kundenanfrage, Angebot, Auftrag, Reklamation, Terminänderung.
Datei 3: Checklisten
Kundentermin, Baustellenstart, Tagesabschluss, Angebotserstellung.
Datei 4: Kundenkommunikation
Textbausteine, häufige Fragen, Formulierungsbeispiele.
Datei 5: Onboarding und Schulung
Informationen für neue Mitarbeitende, Erklärungen, interne Standards.
Wichtig: Es sollten keine unnötigen personenbezogenen Daten, keine Passwörter, keine sensiblen Kundendaten und keine vertraulichen Informationen hochgeladen werden, die für den Zweck nicht gebraucht werden.
Schritt 3: Hauptprompt vorbereiten
Der Hauptprompt ist die zentrale Anweisung für den Assistenten. Er beschreibt, welche Aufgabe der Assistent hat, wie er antworten soll und wo seine Grenzen liegen.
Ein einfacher Hauptprompt könnte so aussehen:
Du bist der interne KI-Wissensassistent für unseren Betrieb.
Deine Aufgabe:
Ein praktischer Tipp: Auch bei der Erstellung dieses Hauptprompts kann KI helfen. Öffnen Sie dafür einfach einen normalen Chat in ChatGPT und beschreiben Sie möglichst genau, was der Assistent später können soll. Noch einfacher geht es mit der Sprachfunktion: Erzählen Sie dem Chat per Diktierfunktion, was Sie bauen möchten. Zum Beispiel:
„Ich möchte einen KI-Wissensassistenten für unseren Betrieb erstellen. Er soll neuen Mitarbeitenden helfen, interne Abläufe erklären, Checklisten ausgeben und bei Kundenkommunikation unterstützen. Er soll nicht einfach Dinge erfinden und bei unsicheren Fragen an die Geschäftsführung verweisen. Bitte erstelle mir daraus einen guten Hauptprompt für einen Custom GPT.“
Die KI kann daraus eine erste strukturierte Anweisung erstellen. Diese sollte anschließend geprüft und an den Betrieb angepasst werden.
Schritt 4: Custom GPT in ChatGPT erstellen
Wenn Ziel, Dateien und Hauptprompt vorbereitet sind, kann der eigentliche Assistent erstellt werden.
Der Ablauf ist ungefähr so:
OpenAI beschreibt den GPT-Builder als Möglichkeit, GPTs in ChatGPT zu erstellen, zu konfigurieren, zu testen und zu verwalten. Dazu gehören unter anderem Anweisungen, Wissensdateien, Fähigkeiten, Apps und Actions.
Für den Namen eignet sich etwas Einfaches, zum Beispiel: „Wissensassistent [Betriebsname] oder „Betriebswissen [Betriebsname]“
Die Beschreibung sollte ebenfalls klar sein, zum Beispiel: „Hilft Mitarbeitenden bei Fragen zu internen Abläufen, Checklisten, Kundenkommunikation und Betriebswissen.“
Schritt 5: Funktionen bewusst auswählen
Für den ersten Einstieg sollte der Assistent möglichst einfach bleiben. Es ist nicht notwendig, direkt externe Schnittstellen, Automatisierungen oder komplizierte Zusatzfunktionen einzubauen.
Für einen einfachen Wissensassistenten reichen in der Regel:
Die Websuche sollte eher deaktiviert bleiben, wenn der Assistent nur mit internem Betriebswissen arbeiten soll. Bildgenerierung ist für diesen Zweck meistens nicht notwendig. Datenanalyse kann sinnvoll sein, wenn später Tabellen oder Auswertungen eine Rolle spielen. Externe Schnittstellen und Automatisierungen sind eher ein zweiter Schritt, wenn der einfache Assistent gut funktioniert.
Die wichtigste Empfehlung lautet: Erst einen einfachen nützlichen Assistenten bauen. Zusatzfunktionen und Automatisierungen einbauen kann man später immer noch.
Schritt 6: Testfragen stellen
Bevor der Assistent im Team genutzt wird, sollte er gründlich getestet werden. Dafür eignen sich typische Fragen aus dem Betriebsalltag.
Beispiele:
Wichtig ist auch, bewusst Fragen zu stellen, die der Assistent nicht sicher beantworten kann. So lässt sich prüfen, ob er offen mit Unsicherheit umgeht oder ob er Informationen erfindet.
Wenn Antworten falsch, zu lang oder unklar sind, gibt es zwei Stellschrauben:
Schritt 7: Erst im kleinen Kreis testen
Der Assistent sollte nicht sofort im gesamten Betrieb eingeführt werden. Besser ist ein kleiner Test mit ein bis zwei Personen aus dem Büro, der Werkstatt, dem Salon, der Baustelle oder der Verwaltung.
Diese Personen können typische Fragen stellen und Rückmeldung geben:
Nach dieser Testphase können die Dateien verbessert und die Anweisungen angepasst werden. Erst danach lohnt es sich, den Assistenten breiter im Team bekannt zu machen.
Schritt 8: Nutzung im Betrieb einführen
Wenn der Assistent geteilt wird, sollte kurz erklärt werden, wofür er gedacht ist und wofür nicht.
Eine einfache interne Einführung könnte so lauten:
„Wir testen einen KI-Wissensassistenten für unser Betriebswissen. Ihr könnt ihn nutzen, um Fragen zu Abläufen, Checklisten, Kundenkommunikation und internen Standards zu stellen. Der Assistent hilft bei der Orientierung und bei Entwürfen. Verbindliche Entscheidungen, rechtliche Fragen, Preise oder besondere Einzelfälle müssen weiterhin mit der verantwortlichen Person geklärt werden.“
Hilfreich ist außerdem eine kleine Liste mit Beispielfragen. So verstehen Mitarbeitende schneller, wie sie den Assistenten sinnvoll einsetzen können.
Nicht zu viele Dateien auf einmal hochladen
Viele Betriebe haben bereits zahlreiche Dokumente. Trotzdem ist es besser, nicht alles ungefiltert hochzuladen. Alte Dateien, doppelte Informationen oder widersprüchliche Versionen können zu schlechten Antworten führen.
Besser ist: wenige, gut gepflegte Dateien mit klarer Struktur.
Themen sinnvoll trennen
Unterschiedliche Themen können in eigenen Dateien gepflegt werden. Das macht Aktualisierungen einfacher und sorgt für mehr Übersicht.
Zum Beispiel:
Informationen regelmäßig prüfen
Ein KI-Wissensassistent sollte gelegentlich überprüft werden. Dafür kann eine Person im Betrieb verantwortlich sein. Diese Person prüft zum Beispiel einmal im Quartal oder bei größeren Änderungen:
Klare Grenzen formulieren
Der Assistent sollte nicht alles beantworten. Besonders bei rechtlichen, steuerlichen, sicherheitskritischen, datenschutzrelevanten oder verbindlichen Fragen sollte er an eine verantwortliche Person verweisen.
Das sollte bereits im Hauptprompt stehen.
Gute Fragen sammeln
Je besser die Fragen sind, desto besser wird der Nutzen sichtbar. Betriebe können typische Fragen aus dem Alltag sammeln und daraus eine kleine Startliste machen.
Beispiele:
Datenschutz
Betriebe sollten sorgfältig überlegen, welche Informationen sie hochladen. Nicht alles, was intern vorhanden ist, gehört automatisch in einen KI-Assistenten.
Nicht geeignet sind zum Beispiel:
Für die betriebliche Nutzung sollte außerdem geprüft werden, welcher Tarif und welche Datenschutzeinstellungen verwendet werden. OpenAI gibt an, dass Eingaben und Ausgaben aus Business-Produkten wie ChatGPT Business, ChatGPT Enterprise und der API standardmäßig nicht zum Training der Modelle genutzt werden.
Bei sensiblen Daten oder besonderen Anforderungen sollte der Betrieb die eigene IT, Datenschutzverantwortliche oder externe Beratung einbeziehen.
Accounts und Zugriff
Für einen ersten Test kann eine Person den Assistenten erstellen. Wenn mehrere Mitarbeitende regelmäßig damit arbeiten sollen, sollte aber sauber geklärt werden, wie der Zugriff organisiert wird.
Wichtig ist: Mitarbeitende sollten nicht einfach ein gemeinsames Konto nutzen. Für die professionelle Nutzung im Betrieb ist ein eigener Zugang pro Person deutlich sauberer. Für Teams kann ein Business-Workspace sinnvoll sein, weil dort Mitglieder, Zugriff und Verwaltung besser organisiert werden können. ChatGPT Business ist laut OpenAI für Organisationen und Teams gedacht und ab zwei Standard-ChatGPT-Seats verfügbar.
GPTs können je nach Tarif und Workspace-Einstellung geteilt werden, zum Beispiel per Link, mit bestimmten Personen oder innerhalb eines Workspaces.
Online oder offline?
Ein Custom GPT in ChatGPT ist eine einfache Online-Lösung. Für viele Betriebe ist das ein guter Einstieg, weil kein eigenes KI-System aufgebaut werden muss.
Wenn ein Betrieb besonders sensible Informationen verarbeiten möchte oder eine vollständig lokale Lösung ohne Cloud sucht, ist ein Custom GPT möglicherweise nicht die passende Variante. Dann sollte geprüft werden, ob eine lokale KI-Lösung, eine spezielle Unternehmenssoftware oder eine Lösung über einen IT-Dienstleister besser geeignet ist.
Für den Einstieg gilt: Erst mit unkritischem Wissen und klaren Grenzen testen. Danach kann entschieden werden, ob eine größere oder stärker abgesicherte Lösung sinnvoll ist.
Custom GPTs in ChatGPT sind eine einfache Möglichkeit, um schnell einen eigenen KI-Wissensassistenten mit Betriebswissen zu testen. Es gibt aber auch andere Anbieter und Lösungen, zum Beispiel Microsoft Copilot bzw. Copilot Studio, Google Gemini oder NotebookLM, Claude Projects, Notion AI oder spezielle Chatbot-Anbieter für Websites. Für den einfachen Alltagsgebrauch unterscheiden sich viele Lösungen weniger darin, ob sie grundsätzlich Fragen beantworten, Dokumente auswerten oder Texte erstellen können. Wichtiger ist oft die Frage, in welcher digitalen Umgebung der Betrieb bereits arbeitet. Wer Microsoft 365, Teams, SharePoint oder OneDrive nutzt, sollte prüfen, ob eine Microsoft-Lösung besser passt. Wer stark mit Google Workspace arbeitet, findet möglicherweise bei Gemini oder NotebookLM einen passenden Einstieg. Wenn Wissen bereits in Notion gepflegt wird, kann Notion AI interessant sein. Für öffentliche Website-Chatbots sind spezialisierte Chatbot-Anbieter oft geeigneter als ein interner Wissensassistent. Für den Einstieg gilt deshalb: Nicht zuerst nach der „perfekten“ KI suchen, sondern schauen, wo die eigenen Informationen liegen, wer den Assistenten nutzen soll und welche Lösung sich möglichst einfach in den bestehenden Arbeitsalltag einfügt.
Ein eigener KI-Wissensassistent muss kein großes Digitalprojekt sein. Schon mit einer guten Wissensdatei, klaren Anweisungen und einigen Testfragen können Betriebe ausprobieren, ob sich wiederkehrende Fragen schneller beantworten lassen.
Der größte Nutzen liegt nicht darin, dass „KI im Betrieb“ eingesetzt wird. Der eigentliche Nutzen entsteht, wenn Mitarbeitende schneller an die Informationen kommen, die sie im Alltag wirklich brauchen.
Wenn Betriebswissen nicht mehr nur in Ordnern, im Büro oder im Kopf einzelner Personen liegt, sondern einfacher zugänglich wird, kann das viele kleine Abläufe verbessern: Einarbeitung, Kundenkommunikation, Checklisten, interne Standards und Wissenssicherung.
Der beste Einstieg ist deshalb nicht der perfekte Assistent. Der beste Einstieg ist ein einfacher erster Helfer für wiederkehrende Fragen. Danach kann der Betrieb Schritt für Schritt ergänzen, verbessern und entscheiden, welche weiteren KI-Anwendungen wirklich sinnvoll sind.
Viele Handwerksbetriebe arbeiten im Alltag noch mit einer Mischung aus Excel, Papier, WhatsApp und einzelnen, nicht miteinander verbundenen Tools. Angebote werden beispielsweise in Word erstellt, Termine im Kalender oder teilweise im Kopf organisiert, Arbeitszeiten per Stundenzettel oder Zuruf erfasst und Rechnungen in einem separaten System geschrieben.
Dieses Vorgehen funktioniert in vielen Fällen erstaunlich lange – insbesondere in kleineren Betrieben oder bei überschaubaren Auftragslagen. Mit zunehmender Betriebsgröße und steigender Komplexität der Abläufe stößt dieses System jedoch an seine Grenzen.
Typische Folgen sind doppelte Dateneingaben, ein fehlender Überblick über laufende Projekte sowie Abstimmungsprobleme innerhalb des Teams. Gleichzeitig steigt der Zeitaufwand im Büro, da Informationen aus verschiedenen Quellen zusammengeführt und nachbearbeitet werden müssen.
Viele Betriebe versuchen dann, die bestehenden Prozesse durch zusätzliche Tools zu ergänzen. Das führt jedoch häufig zu noch mehr Komplexität, statt diese zu reduzieren.
An diesem Punkt wird deutlich: Die Lösung liegt nicht in weiteren Einzellösungen, sondern in einem System, das die zentralen Abläufe miteinander verbindet.
Genau hier setzen ERP-Systeme im Handwerk an.
ERP steht für „Enterprise Resource Planning“ und beschreibt ein System, das die wichtigsten Abläufe im Betrieb miteinander verbindet.
Im Handwerk bedeutet das: Angebote, Aufträge, Rechnungen, Planung, Zeiterfassung und Dokumentation laufen nicht mehr in verschiedenen Tools oder auf Papier, sondern in einer gemeinsamen Software zusammen.
Ein Angebot wird beispielsweise direkt zum Auftrag, daraus entsteht die Rechnung – ohne doppelte Dateneingaben. Alle Beteiligten greifen dabei auf dieselben Informationen zu.
Moderne ERP-Systeme beziehen außerdem den Außendienst mit ein. Zeiten, Fotos oder Leistungen können direkt vor Ort erfasst werden, sodass Büro und Baustelle auf dem gleichen Stand sind.
Der konkrete Funktionsumfang variiert je nach Lösung. Das Grundprinzip bleibt jedoch gleich:
Ein ERP bündelt zentrale Prozesse und sorgt für mehr Übersicht im Betrieb.
Ein ERP-System wird vor allem dann relevant, wenn die Abläufe im Betrieb komplexer werden und sich nicht mehr sauber mit einzelnen Tools oder manuellen Prozessen abbilden lassen.
Typische Anzeichen dafür sind mehrere parallellaufende Aufträge, Abstimmungsprobleme zwischen Büro und Baustelle sowie ein steigender Nachbearbeitungsaufwand im Büro. Häufig fehlt der Überblick über Projekte, Zeiten oder Kosten, und Informationen müssen mehrfach erfasst oder zwischen verschiedenen Systemen übertragen werden. Gerade diese manuellen Zwischenschritte kosten Zeit und sind fehleranfällig.
Ein ERP lohnt sich daher weniger als einzelne Lösung für ein konkretes Problem, sondern vor allem dann, wenn die Abläufe insgesamt unübersichtlich werden und sich nicht mehr effizient miteinander verzahnen lassen.
Wenn mehrere der folgenden Punkte auf deinen Betrieb zutreffen, solltest du dich mit dem Thema ERP beschäftigen:
Je mehr dieser Punkte zutreffen, desto größer ist das Potenzial, durch ein ERP-System Zeit zu sparen und Abläufe zu vereinfachen.
Ein ERP-System im Handwerk soll nicht möglichst viele Funktionen bieten, sondern die richtigen. Entscheidend ist, dass die zentralen Abläufe im Betrieb durchgängig abgebildet werden und ineinandergreifen.
Im Kern geht es darum, dass Informationen nicht mehrfach erfasst oder zwischen verschiedenen Tools hin- und herübertragen werden müssen. Ein ERP sorgt dafür, dass alle wichtigen Abläufe miteinander verbunden sind und Daten nur einmal eingegeben werden müssen.
Die folgenden Funktionen bilden dabei die Grundlage:
Ein Angebot sollte sich ohne erneute Eingabe direkt in einen Auftrag und anschließend in eine Rechnung überführen lassen. Alle relevanten Informationen bleiben dabei erhalten und müssen nicht neu erstellt werden. Das spart Zeit und reduziert Fehler.
Die Einsatzplanung sollte zentral organisiert werden können, sodass jederzeit ersichtlich ist, wer wann wo eingeplant ist. Änderungen müssen sich schnell und unkompliziert anpassen lassen, ohne dass Informationen verloren gehen.
Arbeitszeiten sollten direkt dort erfasst werden, wo sie entstehen. Eine mobile Zeiterfassung erleichtert nicht nur die Dokumentation, sondern schafft auch eine bessere Grundlage für Auswertungen und Nachkalkulationen.
Fotos, Notizen, Leistungen und relevante Informationen zu einem Auftrag sollten zentral gebündelt sein. So entsteht eine durchgängige Projektübersicht, auf die sowohl Büro als auch Baustelle zugreifen können.
Ein ERP sollte grundlegende Funktionen zur Verwaltung von Kund:innen bieten. Dazu gehören Kontaktdaten, Auftrags- und Kommunikationshistorie sowie ein schneller Überblick über bisherige Leistungen. Gerade bei wiederkehrenden Aufträgen oder im Servicebereich schafft das deutlich mehr Transparenz.
Ein ERP sollte sich in die bestehende Systemlandschaft integrieren lassen, etwa zur Buchhaltung (z. B. DATEV) oder zum Großhandel. Schnittstellen verhindern doppelte Arbeit und sorgen für einen reibungsloseren Ablauf.
Gerade im Handwerk ist es entscheidend, dass das System nicht nur im Büro funktioniert. Mitarbeitende im Außendienst sollten auf relevante Informationen zugreifen und Daten erfassen können – idealerweise direkt über Smartphone oder Tablet.
Für Betriebe mit größerem Materialeinsatz kann eine integrierte Lager- oder Materialverwaltung sinnvoll sein. In kleineren Betrieben ist dieser Punkt oft weniger entscheidend.
Der Markt für ERP-Systeme im Handwerk ist groß und auf den ersten Blick schwer zu überblicken. Es gibt sowohl moderne, cloudbasierte Lösungen für kleinere Betriebe als auch umfangreiche Systeme, die eher auf komplexere Strukturen ausgelegt sind.
Wichtig ist dabei: Es gibt nicht das eine „beste“ ERP, sondern immer nur eine Lösung, die besser oder schlechter zu den eigenen Abläufen passt.
Im Folgenden findest du eine Auswahl gängiger ERP-Systeme für das Handwerk, die unterschiedliche Anforderungen und Betriebsgrößen abdecken.
Bei ERP- und Handwerkersoftware lohnt es sich, die Systeme nicht nur nach Preis, sondern vor allem nach ihrer grundsätzlichen Ausrichtung zu unterscheiden. Je nach Betriebsgröße, Gewerk und gewünschtem Digitalisierungsgrad kommen unterschiedliche Arten von Software infrage.
Der folgende Überblick erhebt keinen Anspruch auf Vollständigkeit. Der Markt für ERP- und Handwerkersoftware ist vielfältig und entwickelt sich laufend weiter. Die genannten Anbieter stellen daher nur eine beispielhafte Auswahl dar und dienen einer ersten Orientierung.
Es handelt sich ausdrücklich nicht um eine abschließende Bewertung, Empfehlung oder Rangfolge einzelner Systeme. Die Darstellung erfolgt anbieterneutral und soll dabei helfen, unterschiedliche Arten von Softwarelösungen besser einzuordnen. Welche Lösung im Einzelfall geeignet ist, hängt immer von den konkreten Anforderungen, Prozessen, Betriebsgrößen und Rahmenbedingungen des jeweiligen Unternehmens ab.
Vor einer Entscheidung sollten Betriebe daher eigene Anforderungen prüfen, mehrere Angebote vergleichen und die Systeme möglichst im Rahmen einer Demo oder Testphase bewerten.
Zu dieser Gruppe zählen beispielsweise HERO, openHandwerk, plancraft, ToolTime, Bosch OfficeOn, craftboxx oder Das Programm. Diese Lösungen sind speziell auf typische Abläufe im Handwerk ausgerichtet und meist als cloudbasierte Abo-Modelle aufgebaut.
Innerhalb dieser Gruppe gibt es jedoch deutliche Unterschiede beim Funktionsumfang.
Umfangreichere Cloud-Lösungen wie HERO, openHandwerk, plancraft, ToolTime oder Bosch OfficeOn decken meist mehrere zentrale Betriebsprozesse ab: Angebotserstellung, Rechnungen, Auftragsverwaltung, Kundenverwaltung, Zeiterfassung, mobile Dokumentation und teilweise auch Einsatzplanung. Sie eignen sich vor allem für Betriebe, die Büro, Baustelle und Teamarbeit stärker in einem gemeinsamen System organisieren möchten.
Auch innerhalb dieser umfangreicheren Lösungen gibt es Unterschiede: HERO ist eher breit aufgestellt und bietet je nach Paket zusätzliche Funktionen wie KI-Telefonassistenz oder ein integriertes Zahlungssystem. plancraft wirkt besonders stark bei Angebotsprozessen, Aufmaß und moderner Bedienbarkeit. ToolTime, openHandwerk und Bosch OfficeOn richten sich ebenfalls klar an Handwerksbetriebe, unterscheiden sich aber in Details wie Lizenzmodell, mobiler Nutzung, Schnittstellen und Tiefe der einzelnen Funktionen.
Schlankere Cloud-Lösungen wie craftboxx oder Das Programm kann für kleinere Betriebe interessant sein, die zunächst vor allem Aufträge, mobile Nutzung, Kommunikation oder einfache Büroprozesse digitalisieren möchten. Sie sind meist günstiger und einfacher zugänglich, ersetzen aber nicht immer ein vollumfängliches ERP-System mit tiefer Kalkulation, Warenwirtschaft oder komplexer Einsatzplanung.
Diese Kategorie eignet sich insgesamt besonders für kleine und mittlere Betriebe, die eine praxisnahe Lösung suchen, die relativ schnell eingeführt werden kann und Büro sowie Baustelle besser miteinander verbindet.
In diese Kategorie fallen Anbieter wie STREIT, TAIFUN, Sander & Doll, WinWorker, Labelwin, MOS’aik, KWP oder pds. Diese Systeme sind häufig schon länger am Markt und richten sich stärker an bestimmte Gewerke oder komplexere handwerkliche Betriebsstrukturen.
Sie bieten meist umfangreichere Funktionen, etwa für Kalkulation, Warenwirtschaft, Lager, Projektabwicklung, Aufmaß, Kundendienst, Schnittstellen oder branchenspezifische Abläufe. Dafür sind sie oft erklärungsbedürftiger, modularer aufgebaut und müssen stärker an den jeweiligen Betrieb angepasst werden. Sie eignen sich besonders für Betriebe mit höheren Anforderungen, mehreren Mitarbeitenden, komplexeren Aufträgen oder gewerkespezifischen Prozessen.
Allgemeine ERP-Systeme wie Odoo, orgaMAX ERP oder weclapp sind nicht ausschließlich auf das Handwerk spezialisiert, können aber für bestimmte Betriebe trotzdem interessant sein. Sie decken häufig Bereiche wie CRM, Verkauf, Einkauf, Lager, Projekte, Buchhaltung, Marketing oder E-Commerce ab.
Der Vorteil liegt in der breiten Erweiterbarkeit. Betriebe können verschiedene Unternehmensbereiche in einem System bündeln. Gleichzeitig ist der Handwerksbezug nicht automatisch gegeben. Funktionen wie Aufmaß, mobile Baustellendokumentation, Monteursplanung oder branchentypische Kalkulation müssen daher genauer geprüft oder individuell angepasst werden.
Neben vollwertigen ERP- oder Handwerkssystemen gibt es auch schlankere Lösungen wie Lexware Office, WISO Mein Büro oder sevdesk. Diese Programme sind keine klassische Handwerkersoftware und ersetzen in der Regel kein vollständiges ERP-System. Sie können aber für kleinere Betriebe oder Soloselbstständige ein sinnvoller Einstieg sein.
Im Mittelpunkt stehen hier vor allem Angebote, Rechnungen, Buchhaltung, Belegverwaltung und die Zusammenarbeit mit dem Steuerbüro. Für Betriebe mit einfachen Abläufen kann das zunächst ausreichend sein. Sobald jedoch Themen wie Einsatzplanung, Zeiterfassung, Materialverwaltung, Aufmaß, Projektdokumentation oder mehrere Mitarbeitende dazukommen, stoßen reine Buchhaltungslösungen meist schneller an Grenzen.
Die Kosten für ERP-Systeme im Handwerk unterscheiden sich je nach Funktionsumfang, Anbieter und Betriebsgröße teilweise deutlich. Gleichzeitig zeigt sich in der Praxis, dass der Einstieg oft deutlich günstiger ist, als viele Betriebe vermuten.
Bei der Kostenbetrachtung zeigt sich, dass die meisten Anbieter inzwischen auf Abo-Modelle setzen. Die Einstiegspreise bewegen sich häufig im niedrigen bis hohen zweistelligen Bereich pro Monat und Nutzerlizenz. Oft wird dabei zwischen Büro- und Mobil-Lizenzen unterschieden: Die zentrale Bürolizenz ist meist teurer, während zusätzliche mobile Zugänge für Mitarbeitende im Außendienst günstiger hinzugebucht werden können.
Preislich sticht HERO bei den klassischen Handwerk-ERPs etwas heraus: Das umfangreichere Paket mit zusätzlichen Funktionen wie KI-Telefonassistenz und integriertem Zahlungssystem liegt etwas höher als viele klassische Einstiegslösungen. Dafür ist der Funktionsumfang entsprechend breiter angelegt.
Für Betriebe, die kein laufendes Abo-Modell bevorzugen, können Anbieter mit Kauf- oder Mietoptionen interessant sein. Dazu zählen beispielsweise STREIT, WinWorker oder Labelwin. Bei einigen klassischen und modularen Branchensystemen, etwa TAIFUN, Sander & Doll, pds oder MOS’aik, sind die Kosten dagegen nicht immer direkt öffentlich vergleichbar. Hier werden Preise häufig individuell auf Basis von Modulen, Nutzerzahl, Einrichtung und Support kalkuliert.
Größere ERP-Lösungen, die auf komplexere Betriebsstrukturen ausgelegt sind, werden häufig individuell kalkuliert. Die Kosten hängen hier stark vom Umfang der Einführung, der Anzahl der Arbeitsplätze und den gewünschten Modulen ab.
Wichtiger als der reine Preis ist jedoch die Frage, welchen Nutzen das System im Alltag bringt. Ein ERP spart in vielen Fällen Zeit bei der Datenerfassung, reduziert Fehler und verbessert die Abstimmung im Team. Diese Effekte lassen sich nicht immer direkt in Euro messen, wirken sich aber spürbar auf die Effizienz des Betriebs aus.
Entscheidend ist daher weniger, die günstigste Lösung zu finden, sondern eine, die die eigenen Abläufe sinnvoll unterstützt und langfristig stabil eingesetzt werden kann.
Die Auswahl eines ERP-Systems ist für viele Betriebe ein großer Schritt. Entsprechend hoch sind die Erwartungen und gleichzeitig die Gefahr, falsche Entscheidungen zu treffen. In der Praxis zeigen sich immer wieder ähnliche Muster.
Ein häufiger Fehler besteht darin, direkt zu einer sehr umfangreichen Lösung zu greifen. Viele Betriebe entscheiden sich für ein System, das deutlich mehr Funktionen bietet, als im Alltag tatsächlich genutzt werden. Das führt oft zu unnötiger Komplexität und erschwert den Einstieg für das Team.
Ebenso problematisch ist es, die Entscheidung ausschließlich über den Preis zu treffen. Ein günstiges System kann sinnvoll sein, wenn es die eigenen Anforderungen abdeckt. Wird jedoch an der falschen Stelle gespart, entstehen später zusätzliche Aufwände oder es müssen Systeme gewechselt werden.
Ein weiterer Punkt ist die fehlende Einbindung der Mitarbeitenden. Gerade im Handwerk entscheidet sich der Erfolg eines ERP-Systems häufig daran, ob es im Alltag tatsächlich genutzt wird. Wenn das Team nicht mitgenommen wird oder die Lösung zu kompliziert ist, bleibt das Potenzial ungenutzt.
Auch unklare Prozesse vor der Einführung sind ein häufiger Stolperstein. Eine Software kann bestehende Abläufe unterstützen, aber sie ersetzt keine strukturierte Organisation. Wer ein ERP einführt, ohne die eigenen Prozesse zu kennen, digitalisiert häufig nur bestehende Probleme.
Schließlich wird oft unterschätzt, dass ein ERP-System kein einmaliges Projekt ist, sondern ein laufender Bestandteil des Betriebs. Einführung, Schulung und Anpassung brauchen Zeit. Langfristig zahlt sich dieser Aufwand jedoch aus.
Ein ERP-System kann im Handwerk ein wichtiger Schritt sein, um Abläufe zu vereinfachen, Büro und Baustelle besser zu verbinden und Informationen zentral verfügbar zu machen. Besonders dann, wenn Angebote, Planung, Zeiterfassung, Dokumentation und Rechnungen bisher in unterschiedlichen Systemen oder auf Papier laufen, kann eine passende Software spürbar entlasten.
Entscheidend ist jedoch nicht, möglichst schnell irgendein System einzuführen. Vor der Auswahl sollte klar sein, welche Prozesse im Betrieb verbessert werden sollen, welche Funktionen wirklich gebraucht werden und wie das Team im Alltag mit der Lösung arbeiten kann. Denn ein ERP-System entfaltet seinen Nutzen nur dann, wenn es zu den tatsächlichen Abläufen passt und von den Mitarbeitenden genutzt wird.
Für viele Betriebe lohnt es sich daher, die Entscheidung gut vorzubereiten: Anforderungen sammeln, bestehende Prozesse prüfen, verschiedene Lösungen vergleichen und die Einführung realistisch planen. So wird aus der Software nicht nur ein weiteres Tool, sondern ein echter Schritt hin zu mehr Übersicht, weniger Doppelarbeit und effizienteren Abläufen.
Wenn ihr gerade vor der Entscheidung steht, eine neue Software oder ein ERP-System in eurem Betrieb einzuführen, müsst ihr diesen Schritt nicht allein gehen.
Ich unterstütze Handwerksbetriebe dabei, die eigenen Anforderungen einzuordnen, passende Lösungen zu vergleichen und die nächsten Schritte für eine sinnvolle Einführung zu planen. Dabei geht es nicht um eine pauschale Empfehlung, sondern um die Frage: Welche Software passt wirklich zu eurem Betrieb, euren Abläufen und eurem Team?
Meldet euch gerne für eine Digital-Impulsberatung (Termin bucht ihr hier). Gemeinsam schauen wir, wo ihr aktuell steht und welche digitalen Lösungen für euren Betrieb sinnvoll sein können.
Seit dem 17. Juli können Kleinst-, kleine und mittlere Unternehmen (KMU), freiberuflich Tätige sowie Soloselbstständige wieder eine Förderung in Höhe von bis zu 17.000 Euro für ihre Digitalisierungsvorhaben beantragen.
Die Digitalisierung bietet Handwerksbetrieben große Chancen: Moderne Anwendungen können ihnen zum Beispiel dabei helfen, Aufträge optimal und zeitsparend abzuarbeiten. Die Digitalisierung kann aber auch dazu beitragen, im Wettbewerb um Fachkräfte oder Auszubildende als moderner, attraktiver Arbeitgeber aufzutreten.
Die Veranstaltungen fanden am 16.08 und 17.08 Online statt.
Bei Fragen zur Förderung nehmen sie gerne Kontakt zu uns auf.
