Recht & Sicherheit
IT-Sicherheit im Kleinbetrieb: die 10 wichtigsten Basics
Von David Osman · · 8 Min. Lesezeit
Kurz gesagt
- Angriffe auf kleine Unternehmen sind fast immer automatisiert – Sie sind kein zu kleines Ziel.
- Mehrfaktor-Authentifizierung, Updates und geprüfte Backups verhindern den größten Teil der realistischen Schäden.
- Der wichtigste Faktor bleibt das Team: Die meisten erfolgreichen Angriffe beginnen mit einer E-Mail.
- Ein Notfallplan auf einer Seite ist im Ernstfall mehr wert als jede zusätzliche Software.
„Bei uns gibt es nichts zu holen“ ist der häufigste Satz vor einem Sicherheitsvorfall. Angriffe suchen sich kein Ziel aus, sie suchen Lücken – automatisiert und über alle Branchen hinweg. Die gute Nachricht: Mit zehn Maßnahmen decken kleine Unternehmen den größten Teil des realistischen Risikos ab.
1. Mehrfaktor-Authentifizierung überall
Der wirksamste einzelne Schritt. Selbst ein gestohlenes Passwort nützt Angreifern wenig, wenn ein zweiter Faktor fehlt. Aktivieren Sie MFA mindestens für E-Mail, Cloud-Speicher, Buchhaltung, Onlinebanking, Domain-Verwaltung und Administrationszugänge – App-basierte Verfahren sind SMS vorzuziehen.
2. Passwortmanager statt Merkstrategie
Ein Manager erzeugt für jeden Dienst ein eigenes langes Passwort und beendet die Wiederverwendung. Gemeinsam genutzte Zugänge gehören in einen geteilten Tresor, nicht in eine Tabelle oder in den E-Mail-Verlauf.
3. Updates automatisieren
Betriebssysteme, Browser, Office-Anwendungen, Router, NAS-Systeme und Website-Software: Ein großer Teil erfolgreicher Angriffe nutzt Lücken, für die es längst Updates gibt. Automatische Updates einschalten und einmal im Quartal prüfen, ob sie tatsächlich greifen.
4. Backups nach der 3-2-1-Regel
- Drei Kopien Ihrer Daten,
- auf zwei unterschiedlichen Medien,
- davon eine außer Haus oder offline.
Entscheidend ist die Wiederherstellung: Ein Backup, das nie zurückgespielt wurde, ist eine Vermutung. Testen Sie mindestens halbjährlich eine echte Wiederherstellung.
5. Team schulen – der Angriff kommt per E-Mail
Phishing bleibt der häufigste Einstieg. Wichtiger als Misstrauen gegenüber Rechtschreibfehlern ist ein fester Ablauf: Bei Zahlungs- oder Zugangsdatenanfragen wird über einen bekannten Kanal zurückgerufen. Und es muss selbstverständlich sein, einen Fehlklick sofort zu melden – ohne Angst vor Konsequenzen.
6. Rechte nach Bedarf vergeben
Nicht jede Person braucht Administratorrechte, und nicht jede muss jeden Ordner sehen. Prüfen Sie einmal jährlich, wer worauf Zugriff hat, und entziehen Sie Zugänge beim Austritt sofort – inklusive Weiterleitungen und geteilten Konten.
7. Geräte absichern
- Festplattenverschlüsselung auf allen Notebooks aktivieren.
- Bildschirmsperre mit kurzer Zeitspanne einrichten.
- Aktuellen Virenschutz nutzen – der eingebaute Schutz moderner Systeme reicht oft aus.
- Private und geschäftliche Nutzung klar trennen, besonders auf Smartphones.
- Alte Geräte vor der Entsorgung sicher löschen.
8. E-Mail-Domain schützen
Mit SPF, DKIM und DMARC verhindern Sie, dass Dritte in Ihrem Namen E-Mails versenden. Das schützt Ihre Kunden vor gefälschten Rechnungen und verbessert nebenbei die Zustellbarkeit Ihrer eigenen Nachrichten.
9. Website und Zugänge im Blick behalten
Auch die Website ist Teil Ihrer IT: HTTPS, aktuelle Software, starke Zugänge zur Verwaltung und Sicherungen gehören dazu. Ebenso wichtig ist der Zugang zur Domain – wer ihn verliert, verliert im Zweifel auch E-Mail und Website.
10. Notfallplan auf einer Seite
- 1Wer wird zuerst informiert, mit welcher Telefonnummer – auch offline verfügbar?
- 2Welche Systeme werden zuerst vom Netz genommen?
- 3Wo liegen Backups und wer darf sie zurückspielen?
- 4Welche Meldepflichten bestehen, etwa gegenüber der Datenschutzaufsicht?
- 5Wie informieren Sie Kunden, wenn E-Mail und Website ausfallen?
Ausgedruckt an einem bekannten Ort. Im Ernstfall funktioniert das Intranet vielleicht nicht mehr.
Häufige Fragen
Sind kleine Unternehmen wirklich Ziel von Angriffen?
Ja. Die meisten Angriffe sind automatisiert und suchen keine bestimmten Unternehmen, sondern erreichbare Schwachstellen. Kleine Betriebe sind oft attraktiv, weil Schutzmaßnahmen fehlen.
Reicht der eingebaute Virenschutz aus?
Für viele kleine Unternehmen ja, sofern das System aktuell ist und weitere Maßnahmen wie MFA, Backups und Schulung greifen. Virenschutz allein ist nie ausreichend.
Wie oft sollten Backups getestet werden?
Mindestens halbjährlich mit einer echten Wiederherstellung einzelner Dateien und, wenn möglich, einmal jährlich mit einem größeren Testfall.
Was leistet ein IT-Sicherheitsaudit?
Es prüft die wichtigsten Bereiche wie Konten, Mehrfaktor-Authentifizierung, Backups, Endgeräte und Cloud-Systeme und liefert einen Bericht mit priorisierten Handlungsempfehlungen – also eine Reihenfolge, was zuerst zu tun ist.
Sie möchten wissen, wo Ihre IT wirklich steht? Ich prüfe die zentralen Sicherheitsbereiche und liefere einen verständlichen Bericht mit klarer Priorisierung.
Zum IT-SicherheitsauditLassen Sie uns kurz sprechen
Ein kurzes Erstgespräch klärt meist mehr als lange E-Mails. Schreiben Sie mir oder rufen Sie einfach an.