Wir sind doch viel zu klein, als dass sich ein Cyberangriff bei uns lohnen würde.“ Dieser Gedanke ist gerade in kleineren Betrieben noch verbreitet. Das Problem: Viele Angriffe suchen sich ihr Ziel gar nicht gezielt aus. Automatisierte Angriffe, Phishing-Mails oder gestohlene Passwörter können grundsätzlich jeden Betrieb treffen, der digitale Systeme nutzt.
Und das betrifft heute fast alle: Angebote und Rechnungen werden digital erstellt, Termine online verwaltet, Kundendaten gespeichert, Mitarbeitende kommunizieren per E-Mail oder Smartphone und Branchensoftware unterstützt zentrale Arbeitsabläufe.
Wie relevant das Thema inzwischen ist, zeigen aktuelle Zahlen. In einer repräsentativen Bitkom-Befragung von mehr als 1.000 deutschen Unternehmen ab zehn Beschäftigten gaben, 58 Prozent an, innerhalb der vergangenen zwölf Monate einen Schaden durch Cyberangriffe erlitten zu haben. Besonders häufig verursachten Ransomware, Angriffe auf Passwörter und Phishing Schäden. (Quelle: Bitkom)
Das bedeutet allerdings nicht, dass jeder Betrieb eine eigene IT-Abteilung oder hochkomplexe Sicherheitstechnik benötigt. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) weist ausdrücklich darauf hin, dass bereits einfache und mit überschaubarem Aufwand umsetzbare Maßnahmen die Cyber-Sicherheit kleiner und mittlerer Unternehmen deutlich verbessern können.
Die folgenden zwölf Fragen helfen dabei, die wichtigsten Bereiche Schritt für Schritt zu überprüfen.
1 Welche IT-Risiken sind für meinen Betrieb überhaupt relevant?
2 Habe ich ein Backup – oder habe ich ein funktionierendes Backup?
3 Sind Computer, Smartphones und andere Geräte wirklich aktuell?
4 Wie gut sind unsere Passwörter und Benutzerkonten geschützt?
5 Woran erkenne ich Phishing und moderne Betrugsversuche?
6 Welche Rolle spielen meine Mitarbeitenden?
7 Ist unser Netzwerk ausreichend geschützt?
8 Was muss ich bei Cloud-Diensten und mobilen Geräten beachten?
9 Sind E-Mail und Internetdomain ausreichend geschützt?
10 Muss ich meine IT auch physisch schützen?
11 Was passiert, wenn es trotz aller Schutzmaßnahmen einen Vorfall gibt?
Der erste Schritt zu mehr IT-Sicherheit besteht nicht darin, neue Software zu kaufen. Zunächst sollte klar sein, wovon der eigene Betrieb eigentlich abhängig ist.
Stellen Sie sich beispielsweise einen Montagmorgen vor: Der Rechner im Büro startet nicht mehr. Auf die Branchensoftware kann niemand zugreifen. Kundendaten, Angebote und die Einsatzplanung der kommenden Tage sind nicht erreichbar.
Wie lange könnte der Betrieb trotzdem weiterarbeiten?
Für einen Friseursalon kann bereits ein Ausfall der digitalen Terminverwaltung große Probleme verursachen. Ein SHK-Betrieb benötigt möglicherweise seine Einsatzplanung und Kundendaten. Eine Kfz-Werkstatt ist auf Werkstattsoftware und Fahrzeugdaten angewiesen. In anderen Betrieben sind Kalkulation, Aufmaß, Rechnungswesen oder E-Mail die kritischen Systeme.
Das BSI empfiehlt Unternehmen deshalb, ihre besonders wichtigen Daten und Systeme zunächst zu identifizieren und entsprechend stärker zu schützen.
Dazu gehört auch ein Überblick darüber, welche Hard- und Software überhaupt eingesetzt wird. Welche Computer, Smartphones und Tablets gibt es? Welche Programme und Cloud-Dienste werden genutzt? Welche Systeme sind für den täglichen Betrieb unverzichtbar? Eine einfache Bestandsaufnahme schafft die Grundlage für fast alle weiteren Maßnahmen.
Viele Betriebe können diese Frage zunächst klar beantworten: Natürlich gibt es eine Datensicherung. Entscheidend ist allerdings eine andere Frage: Könnten Sie diese Daten morgen tatsächlich wiederherstellen?
Genau hier zeigt sich eine große Lücke. In der DIHK-Digitalisierungsumfrage 2026 geben 88 Prozent der befragten Unternehmen an, regelmäßig Backups zu erstellen. Aber nur 35 Prozent testen ihre Sicherungskopien regelmäßig.
Ein Backup kann vorhanden sein und im Ernstfall trotzdem wertlos sein.
Ein Beispiel: Ein Betrieb sichert jeden Abend seine wichtigsten Daten automatisch auf einem angeschlossenen Speicher. Schadsoftware verschlüsselt jedoch nicht nur die Dateien auf dem Server, sondern erreicht auch den verbundenen Backup-Speicher. Plötzlich sind Original und Sicherung gleichzeitig unbrauchbar.
Auch ein Brand oder Einbruch kann sowohl die Rechner als auch eine danebenliegende Sicherungsfestplatte betreffen. Deshalb sollten relevante Daten regelmäßig gesichert werden und mindestens eine Sicherung so getrennt aufbewahrt werden, dass sie nicht ohne Weiteres durch denselben Vorfall beschädigt oder verändert werden kann. Außerdem sollten mehrere ältere Sicherungsstände vorhanden sein. Denn manchmal wird ein Problem erst Tage oder Wochen später entdeckt.
Mindestens genauso wichtig ist der Test: Lässt sich eine Datei aus dem Backup tatsächlich öffnen? Könnte der IT-Dienstleister ein wichtiges System wiederherstellen?
Das BSI empfiehlt ausdrücklich, Sicherungskopien nicht nur anzulegen, sondern regelmäßig auf Funktionalität, Konsistenz und Aktualität zu prüfen.
Auch die notwendigen Zugangsdaten gehören zur Notfallvorsorge. Wenn nur eine Person das Kennwort zum Backup kennt und diese nicht erreichbar ist, hilft die beste Datensicherung wenig. Notfallzugänge oder Wiederherstellungscodes sollten deshalb sicher und unabhängig vom normalen Arbeitsgerät hinterlegt werden.
Ein Update-Fenster mitten im Arbeitstag ist lästig. „Später erinnern“ ist schnell angeklickt. Aus „später“ werden allerdings leicht mehrere Wochen.
Updates beheben nicht nur Programmfehler oder bringen neue Funktionen. Sie schließen regelmäßig bekannte Sicherheitslücken. Gerade ältere Systeme können deshalb mit der Zeit zu einem unnötigen Risiko werden. Das ist keine theoretische Gefahr. In der Bitkom-Studie Wirtschaftsschutz 2026 nannten 43 Prozent der Unternehmen, bei denen ein Cyberangriff tatsächlich Schäden verursacht hatte, veraltete Hard- oder Software als einen mitverantwortlichen Faktor.
Updates betreffen dabei nicht nur klassische Büro-PCs. Auch Laptops, Smartphones, Tablets, Server, Router, Firewalls, WLAN-Systeme und vernetzte Geräte benötigen regelmäßige Aktualisierungen.
Wo automatische Sicherheitsupdates möglich sind, sollten sie genutzt werden. Zusätzlich sollte klar geregelt sein, wer kontrolliert, ob besonders wichtige Systeme tatsächlich aktuell bleiben.
Auch ein aktueller Schutz vor Schadsoftware gehört zur Grundausstattung. Bei modernen Betriebssystemen sind entsprechende Schutzfunktionen teilweise bereits integriert. Wichtig ist weniger, möglichst viele Sicherheitsprogramme zu installieren, sondern vorhandene Schutzfunktionen aktiviert und aktuell zu halten.
Ein weiterer Punkt wird häufig vergessen: Was passiert mit alten Geräten?
Ein Laptop, der keine Sicherheitsupdates mehr erhält, sollte nicht einfach jahrelang weiterlaufen. Und bevor Computer, Smartphones oder Festplatten verkauft oder entsorgt werden, müssen darauf gespeicherte Unternehmensdaten zuverlässig gelöscht werden.
Bei mobilen Geräten wie Laptops ist zusätzlich eine Festplattenverschlüsselung sinnvoll. Das BSI weist darauf hin, dass verschlüsselte Daten bei Verlust oder Diebstahl eines Geräts wesentlich besser davor geschützt sind, von Dritten ausgelesen zu werden.
Ein einziges gestohlenes Passwort kann reichen, um Zugang zu E-Mail, Cloud-Speicher oder anderen Unternehmenssystemen zu erhalten.
Besonders problematisch wird es, wenn dasselbe Passwort mehrfach verwendet wird. Taucht es beispielsweise nach einem Datenleck bei einem externen Dienst im Internet auf, können Kriminelle automatisiert ausprobieren, ob es auch für andere Konten funktioniert. Deshalb sollten für unterschiedliche Dienste auch unterschiedliche und ausreichend lange Passwörter genutzt werden.
Niemand muss sich diese allerdings alle merken. Ein Passwortmanager kann individuelle Zugangsdaten erzeugen und sicher speichern. Auch das BSI empfiehlt Passwortmanager als Möglichkeit, mit vielen unterschiedlichen Passwörtern praktikabel umzugehen.
Noch wichtiger ist bei zentralen Konten die Mehr-Faktor-Authentifizierung, kurz MFA oder 2FA. Das Prinzip kennen viele bereits vom Onlinebanking: Selbst, wenn jemand das Passwort kennt, wird zusätzlich ein zweiter Faktor benötigt – beispielsweise eine Bestätigung in einer App oder ein Sicherheitsschlüssel. Das BSI empfiehlt, Zwei-Faktor-Authentifizierung grundsätzlich zu nutzen, sobald ein Dienst sie anbietet. Besonders relevant ist sie bei E-Mail-Konten, Cloud-Diensten und Zugängen mit weitreichenden Berechtigungen.
Auch voreingestellte Passwörter von Routern, Kameras oder anderen Geräten sollten direkt nach der Einrichtung geändert werden.
Für besonders wichtige Systeme sollte zudem geklärt sein, wie der Betrieb im Notfall wieder Zugriff erhält. Wiederherstellungscodes und zentrale Notfallzugänge gehören sicher dokumentiert – aber nicht offen in einer Datei mit dem Namen „Passwörter.xlsx“ auf dem Firmenserver.
Eine Rechnung eines bekannten Lieferanten kommt per E-Mail. Die Bankverbindung hat sich angeblich geändert. Die Nachricht sieht professionell aus, enthält das Logo des Unternehmens und klingt sprachlich völlig unauffällig. Würden Sie bezahlen?
Phishing funktioniert heute längst nicht mehr nur über schlecht geschriebene Nachrichten voller Rechtschreibfehler.
Die Bitkom-Erhebung 2026 zeigt, dass Phishing bei 16 Prozent der befragten Unternehmen innerhalb der vergangenen zwölf Monate einen Schaden verursacht hat. Bei 18 Prozent waren Angriffe auf Passwörter erfolgreich genug, um Schäden zu verursachen.
Hinzu kommt Künstliche Intelligenz. 38 Prozent der von Bitkom befragten Unternehmen, die Hinweise auf KI-gestützte Angriffe beobachteten, nannten die hohe Qualität gefälschter Texte und E-Mails als Merkmal. Auch gefälschte Audio- und Videoaufnahmen gewinnen an Bedeutung.
Misstrauisch sollten Sie vor allem werden, wenn eine Nachricht vom üblichen Ablauf abweicht: etwa wenn sich plötzlich eine Bankverbindung geändert hat, ein ungewöhnlicher Dateianhang mitgeschickt wird, Sie zur Eingabe eines Passworts aufgefordert werden oder eine Zahlung besonders dringend ausgeführt werden soll.
In solchen Fällen hilft eine einfache Regel: Prüfen Sie die Anfrage über einen zweiten, vertrauten Kommunikationsweg. Wenn ein Lieferant beispielsweise per E-Mail eine neue Bankverbindung mitteilt, rufen Sie ihn über die Ihnen bekannte Telefonnummer an und lassen Sie sich die Änderung bestätigen. Technische Schutzmaßnahmen wie Spamfilter oder Mehr-Faktor-Authentifizierung sind wichtig. Sie können aber nicht jeden Betrugsversuch erkennen. Gerade bei ungewöhnlichen Zahlungsaufforderungen kann eine kurze zusätzliche Rückfrage deshalb viel Schaden verhindern.
Wenn Mitarbeitende täglich mit E-Mails, Kundendaten, Smartphones und Software arbeiten, sind sie automatisch Teil der IT-Sicherheit. Dabei geht es nicht darum, Menschen als „Schwachstelle“ darzustellen. Gute IT-Sicherheit sorgt vielmehr dafür, dass Mitarbeitende verdächtige Situationen erkennen und wissen, wie sie reagieren sollen.
Ein Praxisbeispiel: Eine Mitarbeiterin öffnet einen verdächtigen Anhang und bemerkt kurz darauf ein ungewöhnliches Verhalten des Computers. Was passiert jetzt? Wird versucht, den Fehler zu verheimlichen? Wird einfach weitergearbeitet? Oder weiß die Person sofort, wen sie informieren und welche ersten Schritte sie durchführen soll? Genau dieser Unterschied kann darüber entscheiden, wie groß ein Schaden wird.
Trotzdem gibt es bei der Sensibilisierung weiterhin Lücken. Laut Gesamtverband der Versicherer (GDV) verzichten 64 Prozent der befragten mittelständischen Unternehmen auf Schulungen zur Sensibilisierung ihrer Belegschaft. In derselben Untersuchung begannen 68 Prozent der untersuchten erfolgreichen Angriffe mit einer Phishing-Mail oder einer E-Mail mit Schadsoftware.
Schulungen müssen dabei nicht immer mehrstündige Pflichtveranstaltungen sein. Kurze regelmäßige Hinweise, aktuelle Beispiele und klar kommunizierte Verhaltensregeln können bereits viel bewirken. Alle Mitarbeitenden sollten insbesondere wissen, wer bei einem Verdacht angesprochen wird, welche Software installiert werden darf und was bei Verlust eines Geräts oder verdächtigen Nachrichten zu tun ist.
Auch Onboarding und Offboarding gehören dazu. Neue Mitarbeitende erhalten gezielt die Zugänge, die sie für ihre Tätigkeit benötigen. Verlässt jemand den Betrieb, werden Accounts deaktiviert, Berechtigungen entzogen, Schlüssel und Geräte zurückgegeben und gemeinsame Passwörter gegebenenfalls geändert. Eine einfache Checkliste verhindert, dass Monate später noch ein ehemaliges Konto Zugriff auf Unternehmensdaten besitzt.
Im Betriebsnetzwerk hängen häufig weit mehr Geräte, als auf den ersten Blick sichtbar sind: PCs, Smartphones, Drucker, Scanner, Router, Kameras, Kassensysteme und möglicherweise Maschinen oder weitere vernetzte Geräte.
Deshalb sollte das Netzwerk nicht einfach „irgendwie funktionieren“, sondern grundsätzlich abgesichert sein. Dazu gehören eine aktuell gehaltene und sinnvoll konfigurierte Firewall sowie ein verschlüsseltes WLAN mit aktuellem Sicherheitsstandard. Voreingestellte Zugangsdaten sollten geändert werden.
Auch ein separates Gäste-WLAN ist sinnvoll. Das Smartphone eines Kunden oder einer Kundin muss nicht im gleichen Netzwerk unterwegs sein wie der Bürorechner mit Kundendaten und Rechnungen.
Ähnliches gilt für Zugriffe von außen. Wer aus dem Homeoffice, von der Baustelle oder unterwegs auf interne Unternehmenssysteme zugreifen muss, sollte dafür einen kontrollierten und sicher eingerichteten Zugang verwenden. Direkte, ungeschützte Freigaben ins Internet sollten vermieden werden. Bei internen Systemen kann dafür beispielsweise ein sicher eingerichteter VPN-Zugang zum Einsatz kommen.
Ein Aspekt wird ebenfalls leicht übersehen: Netzwerkdosen, Switches, Router und Firewalls sollten nicht dort hängen, wo jede Person problemlos darauf zugreifen kann. Ungenutzte Netzwerkanschlüsse können deaktiviert und zentrale Technik in einem abschließbaren Bereich untergebracht werden.
Gerade bei diesen technischen Punkten gilt: Die Geschäftsführung muss nicht selbst eine Firewall konfigurieren können. Sie sollte aber ihren IT-Dienstleister fragen können: Ist unsere Technik aktuell, wer kümmert sich darum und wann wurde das zuletzt überprüft?
E-Mail, Terminplanung, Zeiterfassung, Dateien oder Branchensoftware liegen heute häufig nicht mehr auf einem Server im eigenen Betrieb, sondern in der Cloud. Das kann die IT sogar vereinfachen. Es verschiebt aber die Sicherheitsfragen.
Stellen Sie sich einen Mitarbeiter vor, der auf seinem Smartphone Zugriff auf E-Mail, Teams, Kundendaten und den gemeinsamen Cloud-Speicher hat. Das Gerät bleibt nach einem Kundentermin im Transporter liegen und wird gestohlen. Welche Daten kann eine fremde Person jetzt erreichen?
Smartphones, Tablets und Laptops sollten deshalb durch PIN, Passwort oder biometrische Anmeldung geschützt, regelmäßig aktualisiert und soweit möglich verschlüsselt sein. Bei Verlust muss klar sein, wer informiert wird und wie Zugänge gesperrt werden können. Das BSI empfiehlt bei mobilen Geräten neben einer Zugangssperre insbesondere aktuelle Sicherheitsupdates und die Nutzung der integrierten Verschlüsselung.
Bei Cloud-Diensten ist mindestens genauso wichtig, wer überhaupt Zugriff besitzt. Nicht jede Person benötigt Administrationsrechte. Berechtigungen sollten nach Aufgabe vergeben und regelmäßig überprüft werden.
Außerdem sollte der Betrieb wissen, welche Dienste tatsächlich genutzt werden. Wenn Mitarbeitende ohne Abstimmung eigene Anwendungen installieren und dort Kundendaten oder Unternehmensdokumente speichern, entsteht schnell eine unübersichtliche Schatten-IT. Deshalb sollte auch geregelt sein, dass Software und Cloud-Dienste nicht beliebig selbst installiert oder eingeführt werden.
Für viele Betriebe ist die E-Mail inzwischen ähnlich wichtig wie früher das Telefon. Fällt das Postfach aus oder wird es übernommen, können Kommunikation, Rechnungsversand und teilweise sogar die Wiederherstellung anderer Benutzerkonten betroffen sein. E-Mail-Konten gehören deshalb zu den Konten, die besonders gut geschützt werden sollten, insbesondere durch Mehr-Faktor-Authentifizierung.
Der E-Mail-Anbieter sollte aktuelle Sicherheitsstandards für die verschlüsselte Übertragung unterstützen und Schutzmechanismen gegen Spam und Schadsoftware einsetzen. Je nach Lösung sollte auch geklärt sein, wie E-Mails gesichert beziehungsweise wiederhergestellt werden können.
Ein weiterer wichtiger Punkt ist die eigene Domain. Häufig wurden Website und Domain irgendwann von einer Agentur oder einem IT-Dienstleister eingerichtet. Jahre später weiß im Betrieb niemand mehr genau, bei welchem Anbieter die Domain registriert ist oder wer Zugang zum Konto besitzt.
Das kann zum Problem werden, wenn der Dienstleister gewechselt wird oder nicht mehr erreichbar ist. Der Betrieb sollte deshalb jederzeit nachvollziehen können, bei welchem seriösen Anbieter die eigene Domain liegt, wer als Vertragspartner hinterlegt ist und wie auf den Account zugegriffen werden kann.
Externe Dienstleistende dürfen die Technik verwalten. Der Betrieb sollte allerdings die Kontrolle über zentrale digitale Zugänge aber nicht vollständig aus der Hand geben.
Cyber-Sicherheit klingt nach Internet, Passwörtern und Schadsoftware. Einige Risiken sind wesentlich analoger. Ein Server steht offen im Abstellraum. Der Router hängt frei zugänglich im Kundenbereich. Ein Netzwerkschrank lässt sich ohne Schlüssel öffnen.
Wer direkten Zugriff auf zentrale Technik erhält, kann technische Schutzmaßnahmen unter Umständen umgehen oder Geräte schlicht beschädigen beziehungsweise entfernen. Server, Router, Switches und andere zentrale Systeme sollten deshalb vor unbefugtem Zugriff geschützt sein. Je nach Betrieb kann bereits ein abschließbarer Technikraum oder Netzwerkschrank ausreichen.
Auch andere Risiken gehören dazu: Feuer, Wasser oder Stromausfall.
Bei besonders wichtigen Systemen kann eine unterbrechungsfreie Stromversorgung sinnvoll sein. Sie hält die Technik bei einem kurzen Stromausfall vorübergehend am Laufen beziehungsweise ermöglicht ein kontrolliertes Herunterfahren.
Hier gibt es keine Einheitslösung. Ein Kosmetikstudio mit zwei Arbeitsplätzen benötigt andere Maßnahmen als ein Produktionsbetrieb mit eigenem Server und zahlreichen vernetzten Maschinen. Entscheidend ist, physische Risiken nicht vollständig auszublenden.
Kein Unternehmen kann jedes Risiko ausschließen. Deshalb entscheidet IT-Sicherheit nicht nur darüber, ob ein Vorfall verhindert werden kann. Genauso wichtig ist, wie schnell der Betrieb danach wieder arbeitsfähig wird.
Gerade hier besteht Nachholbedarf. In der DIHK-Digitalisierungsumfrage 2026 verfügen zwar 88 Prozent der befragten Unternehmen über regelmäßige Backups und 85 Prozent aktualisieren laufend ihre IT-Sicherheitsmaßnahmen. Einen Notfallplan haben dagegen nur 30 Prozent. Regelmäßige Notfallübungen führen sogar lediglich 13 Prozent durch.
Auch eine Forsa-Untersuchung für den GDV kommt zu einem ähnlichen Ergebnis: 48 Prozent der befragten mittelständischen Unternehmen hatten keinerlei Notfallplan für den Ernstfall entwickelt. Dabei muss ein Notfallplan kein hundertseitiges Handbuch sein.
Angenommen, am Dienstagmorgen sind plötzlich sämtliche Dateien verschlüsselt und auf mehreren Rechnern erscheint eine Lösegeldforderung.
Wer wird zuerst angerufen?
Wer entscheidet, ob Geräte vom Netzwerk getrennt werden?
Wo befindet sich das Backup?
Wie erreicht man den IT-Dienstleister?
Wie können Kundschaft und Mitarbeitende informiert werden, wenn E-Mail nicht funktioniert?
Diese Informationen sollten auch dann verfügbar sein, wenn die IT ausgefallen ist. Deshalb kann eine aktuelle Papierfassung mit Ansprechpartnern, wichtigen Telefonnummern und grundlegenden Abläufen durchaus sinnvoll sein.
Zu einem guten Notfallmanagement gehört außerdem, den Ernstfall gelegentlich zu testen. Das kann sehr einfach beginnen: Eine Datei wird testweise aus dem Backup wiederhergestellt oder die hinterlegten Ansprechpartner werden überprüft.
Zusätzlich kann ein Betrieb prüfen, ob eine Cyberversicherung für das eigene Risikoprofil sinnvoll ist. Wichtig ist dabei, nicht davon auszugehen, dass eine Versicherung grundlegende Sicherheitsmaßnahmen ersetzt.
„Das macht unser IT-Dienstleister.“ Dieser Satz ist verständlich – aber nur teilweise richtig.
Ein Dienstleister kann Backups einrichten, Geräte aktualisieren, Firewalls konfigurieren und im Notfall unterstützen. Die Entscheidung, wie wichtig IT-Sicherheit im Unternehmen genommen wird, welche Ressourcen dafür bereitgestellt werden und wer welche Verantwortung trägt, bleibt jedoch eine Führungsaufgabe.
Auch das BSI ordnet Informationssicherheit ausdrücklich als strategisches Thema und damit als Aufgabe der Unternehmensleitung ein.
Dafür muss niemand in der Geschäftsführung zum IT-Profi werden. Es reicht zunächst, regelmäßig einige zentrale Fragen stellen zu können: Welche Systeme sind für uns kritisch? Funktionieren unsere Backups? Wer kümmert sich um Updates? Sind wichtige Konten mit MFA geschützt? Was passiert bei einem IT-Ausfall? Wer ist unser Ansprechpartner? Welche Geräte und Anwendungen nutzen wir überhaupt?
Diese Fragen sollten nicht nur einmal beantwortet werden.
Neue Mitarbeitende kommen hinzu, Geräte werden ersetzt, neue Cloud-Dienste eingeführt und Arbeitsabläufe verändert. Deshalb sollte die IT-Sicherheit regelmäßig – beispielsweise mindestens einmal im Jahr und zusätzlich bei größeren Veränderungen – gemeinsam mit den verantwortlichen Personen überprüft werden.
So wird IT-Sicherheit nicht zu einem einmaligen Projekt, sondern zu einem normalen Bestandteil der Unternehmensorganisation.
Ein guter Basisschutz muss nicht kompliziert sein. Entscheidend sind vor allem diese Punkte:
Machen Sie das IT-Sicherheit zur festen Aufgabe im Betrieb und stimmen Sie sich regelmäßig mit Ihrem IT-Dienstleister ab.
Wichtige Systeme kennen: Verschaffen Sie sich einen Überblick über Geräte, Software, Cloud-Dienste und besonders wichtige Daten.
Backups erstellen und testen: Halten Sie mehrere Sicherungsstände vor und schützen Sie mindestens eine Sicherung vor demselben Schaden wie das Original.
Systeme aktuell halten: Installieren Sie Updates für Computer, Server, Smartphones, Router, Firewalls und andere vernetzte Geräte.
Konten schützen: Nutzen Sie individuelle Passwörter, einen Passwortmanager und für wichtige Dienste Mehr-Faktor-Authentifizierung.
Mitarbeitende einbeziehen: Vermitteln Sie regelmäßig, wie verdächtige Nachrichten erkannt und Vorfälle gemeldet werden.
Berechtigungen organisieren: Regeln Sie Zugriffe sowie On- und Offboarding und vermeiden Sie unnötige Administrationsrechte.
Netzwerk absichern: Nutzen Sie ein geschütztes WLAN, getrennte Gastzugänge, eine aktuell gehaltene Firewall und sichere Fernzugriffe.
Mobile Geräte und Cloud-Dienste berücksichtigen: Schützen und verschlüsseln Sie mobile Geräte und behalten Sie eingesetzte Anwendungen im Blick.
E-Mail und Domain sichern: Schützen Sie zentrale Konten und sorgen Sie dafür, dass der Betrieb selbst Zugriff auf wichtige digitale Zugänge besitzt.
Technik auch physisch schützen: Sichern Sie Server, Router, Switches und andere zentrale Geräte vor unbefugtem Zugriff sowie relevanten Umweltrisiken.
Einen Notfallplan vorbereiten: Halten Sie Kontakte, Zuständigkeiten und grundlegende Abläufe auch außerhalb Ihrer IT griffbereit.
Viele Schutzmaßnahmen sind technisch weniger kompliziert, als es zunächst klingt. Gleichzeitig zeigt die Praxis, dass gerade die Kombination entscheidend ist.
Ein aktueller Virenscanner hilft wenig, wenn dieselben Passwörter für mehrere Systeme verwendet werden. Ein Backup hilft wenig, wenn es im Ernstfall nicht wiederhergestellt werden kann. Und die beste technische Absicherung kann Probleme nicht verhindern, wenn bei einem Vorfall niemand weiß, was als Nächstes zu tun ist.
Ein guter erster Schritt ist deshalb eine strukturierte Bestandsaufnahme.
Gehen Sie die wichtigsten Bereiche Ihres Betriebs einmal systematisch durch: Was ist bereits geregelt? Wo sind Sie sich unsicher? Und welche zwei oder drei Punkte könnten Sie kurzfristig verbessern?
IT-Sicherheit muss nicht bedeuten, von heute auf morgen alles perfekt abzusichern. Entscheidend ist, die wichtigsten Risiken zu kennen, einen soliden Basisschutz aufzubauen und diesen regelmäßig weiterzuentwickeln.
