IT-Sicherheit für kleine Unternehmen: Was ist wirklich wichtig?

Warum auch kleine Unternehmen im Visier sind

Viele Angriffe richten sich nicht gezielt gegen große Namen. Automatisierte Programme suchen im Internet nach offenen Türen: veralteter Software, schwachen Passwörtern, ungesicherten Fernzugängen. Dazu kommen Betrugs-E-Mails, die an viele Empfänger gleichzeitig gehen. Ob ein Betrieb getroffen wird, hängt deshalb weniger von seiner Größe ab als davon, wie leicht er sich angreifen lässt.

Die Folgen sind für kleine Unternehmen oft besonders spürbar: Systeme stehen still, Daten sind verschlüsselt oder abgeflossen, Kunden müssen informiert werden. Ohne eigene IT-Abteilung fehlt häufig jemand, der sofort reagieren kann. Der beste Schutz ist deshalb Vorbereitung: wenige, aber verlässliche Maßnahmen, klare Zuständigkeiten und ein Plan für den Ernstfall.

Backups: die wichtigste Absicherung

Ein gutes Backup macht aus einer Katastrophe ein Ärgernis. Bewährt hat sich die 3-2-1-Regel: drei Kopien Ihrer Daten, auf zwei verschiedenen Speichermedien, davon eine Kopie an einem anderen Ort. Gegen Erpressungssoftware hilft zusätzlich eine Kopie, die vom Netzwerk getrennt oder unveränderbar ist, denn sonst werden die Sicherungen oft gleich mit verschlüsselt.

Ebenso wichtig ist der Test: Ein Backup, dessen Wiederherstellung nie geprüft wurde, ist ein Versprechen ohne Beleg. Probieren Sie in regelmäßigen Abständen, einzelne Dateien und im besten Fall ein ganzes System zurückzuholen. Denken Sie auch an Daten in der Cloud, etwa E-Mails, Dokumente und Buchhaltung: Der Anbieter betreibt die Plattform, für die Sicherung Ihrer Inhalte sind oft Sie verantwortlich.

Updates, Virenschutz und ausge­lau­fener Support

Ein großer Teil erfolgreicher Angriffe nutzt bekannte Schwachstellen, für die längst Updates existieren. Halten Sie deshalb Betriebssysteme, Browser, Büroprogramme, Router und Branchensoftware aktuell und aktivieren Sie automatische Updates, wo es möglich ist. Eine einfache Geräteliste mit Alter, Betriebssystem und Verantwortlichem zeigt, wo Handlungsbedarf besteht. Wer das Einspielen von Updates fest einplant, schließt diese Lücken, bevor sie ausgenutzt werden.

Besondere Aufmerksamkeit verdienen Geräte und Programme ohne Herstellersupport. Für Windows 10 endete der reguläre Support am 14. Oktober 2025; solche Rechner sollten ersetzt, umgestellt oder zumindest streng abgesichert werden. Ein aktueller Virenschutz gehört auf jedes Gerät, ersetzt aber weder Updates noch Aufmerksamkeit. Er ist eine Schicht in einem mehrstufigen Schutz, nicht der gesamte Schutz.

Passwörter, Zwei-Faktor-Anmeldung und Zugriffs­rechte

Gestohlene Zugangsdaten gehören zu den häufigsten Einfallstoren. Nutzen Sie lange, einzigartige Passwörter, am besten mit einem Passwortmanager, damit sich niemand Dutzende Kennwörter merken oder aufschreiben muss. Aktivieren Sie die Zwei-Faktor-Anmeldung zuerst dort, wo ein Einbruch den größten Schaden anrichtet: E-Mail-Konten, Cloud-Dienste, Online-Banking, Verwaltungszugänge der Website.

Vergeben Sie Rechte nach Bedarf. Nicht jeder Mitarbeiter braucht Administratorrechte oder Zugriff auf alle Ordner. Legen Sie fest, wer neue Konten einrichtet und wer sie sperrt, wenn jemand das Unternehmen verlässt oder die Rolle wechselt. Gemeinsam genutzte Zugänge sollten die Ausnahme sein, weil sich dann nicht nachvollziehen lässt, wer was getan hat.

• Passwortmanager statt Zettel und Wiederverwendung
• Zwei-Faktor-Anmeldung für E-Mail, Cloud und Verwaltungszugänge
• Administratorrechte nur für wenige, begründete Fälle
• Konten ausgeschiedener Mitarbeiter zeitnah sperren
• Gemeinsame Zugänge möglichst vermeiden

Mitar­bei­tende: Phishing erkennen und richtig reagieren

Technik allein genügt nicht, denn viele Angriffe beginnen mit einer E-Mail, die zum Klicken, Öffnen oder Bezahlen verleitet. Typische Hinweise sind Zeitdruck, ungewöhnliche Absenderadressen, unerwartete Anhänge und Links, die nicht zum angezeigten Text passen. Besonders heikel sind Zahlungsaufforderungen oder geänderte Bankverbindungen angeblicher Lieferanten oder Vorgesetzter. Im Zweifel hilft ein Rückruf unter einer bekannten Nummer.

Eine kurze, regelmäßige Unterweisung mit Beispielen aus dem eigenen Alltag wirkt besser als ein langes Merkblatt. Wichtig ist eine Fehlerkultur ohne Schuldzuweisung: Wer versehentlich geklickt hat, muss das sofort melden können, ohne Sanktionen zu fürchten. Legen Sie fest, an wen Verdachtsfälle gehen und was in den ersten Minuten zu tun ist.

Netzwerk, Website und Notfallplan

Sichern Sie Router und WLAN mit aktueller Firmware und starken Passwörtern, trennen Sie das Gäste-WLAN vom Firmennetz und schützen Sie Fernzugänge, etwa für Homeoffice oder Dienstleister, mit Zwei-Faktor-Anmeldung. Auch die eigene Website gehört dazu: Content-Management-System, Plugins und Zugänge müssen aktuell und abgesichert sein, sonst wird sie zum Einfallstor und zum Reputationsrisiko.

Schreiben Sie einen einfachen Notfallplan auf einer Seite: Wer wird zuerst informiert, welche Geräte werden vom Netzwerk getrennt, wo liegen die Backups, wer spricht mit Kunden? Bei Vorfällen mit personenbezogenen Daten ist zu prüfen, ob innerhalb von 72 Stunden eine Meldung an die Datenschutzaufsicht nötig ist. Dieser Ratgeber ersetzt keine Rechtsberatung. Als Unterstützung bieten wir mit unseren IT-Service-Partnern Betreuung vom 1st bis zum 3rd Level; die Leistung kalkulieren wir individuell nach Umfang.