Die meisten Angriffe auf KMU sind nicht raffiniert, sondern nutzen offene Türen. Wer die folgenden zehn Punkte umsetzt, reduziert das Risiko drastisch, ohne ein IT-Sicherheitsprojekt in Konzerngröße zu starten.
Die zehn Punkte
- Zwei-Faktor-Authentifizierung überall. Vor allem E-Mail, Cloud, Buchhaltung und Fernzugriff. Das E-Mail-Postfach zuerst: Wer es übernimmt, kann über „Passwort vergessen" fast jeden anderen Dienst kapern. App-basierte Verfahren (Authenticator) oder Hardware-Schlüssel sind SMS-Codes vorzuziehen. Der Aufwand liegt bei wenigen Minuten pro Konto — kaum eine Maßnahme hat ein besseres Aufwand-Nutzen-Verhältnis.
- Sichere Passwörter mit Manager. Kein Passwort mehrfach, keine Passwörter in Excel. Ein Team-Passwort-Manager erzeugt für jeden Dienst ein eigenes langes Passwort und löst nebenbei das Offboarding-Problem: Verlässt jemand das Unternehmen, wird ein Zugang entzogen statt zwanzig Passwörter geändert. Details zur Auswahl und Einführung im Artikel Passwort-Manager im Unternehmen.
- Automatische Updates. Für Betriebssysteme, Browser und alle eingesetzten Programme. Die meisten erfolgreichen Angriffe nutzen Lücken, für die es längst einen Patch gab. Automatik aktivieren, wo es sie gibt; für den Rest einen festen monatlichen Update-Termin einplanen — inklusive der gern vergessenen Geräte wie Router, Drucker und NAS.
- Datensicherung mit Trennung. Backups, die nicht dauerhaft mit dem System verbunden sind, sind resistent gegen Verschlüsselungsangriffe. Bewährt hat sich die 3-2-1-Regel: drei Kopien, zwei Medientypen, eine Kopie getrennt. Wie das konkret aussieht, steht im Artikel Backup-Strategie für kleine Unternehmen.
- Rollen und Rechte prüfen. Ehemalige Mitarbeiter entfernen, Admins reduzieren, Zugriffe auf das Nötigste begrenzen. Faustregel: Jeder bekommt die Rechte, die die Rolle braucht — nicht die, die bequem sind. Zweimal im Jahr eine halbe Stunde Konten durchgehen genügt in kleinen Teams.
- Phishing-Awareness. Kurze Schulungen, konkrete Beispiele, regelmäßige Auffrischung. Phishing ist der mit Abstand häufigste Einstiegsweg. Wichtiger als Perfektion ist eine Kultur, in der ein Klick auf einen falschen Link sofort gemeldet wird, statt aus Scham verschwiegen — die ersten Minuten entscheiden über den Schaden.
- Endgeräte-Schutz. Aktueller Virenschutz, Festplattenverschlüsselung, Bildschirmsperre. Verschlüsselung (BitLocker, FileVault) kostet nichts und macht ein verlorenes Notebook vom Datenleck zum reinen Sachschaden. Bildschirmsperre nach wenigen Minuten Inaktivität zentral erzwingen, nicht dem Einzelnen überlassen.
- Sichere Fernzugriffe. Kein direktes Öffnen von Ports, sondern geschützte Verbindungen mit Rechteverwaltung. Offene RDP-Ports werden automatisiert gefunden und angegriffen — oft innerhalb von Stunden. VPN oder moderne Zero-Trust-Zugänge sind der Standard, kombiniert mit Zwei-Faktor-Anmeldung.
- Notfallplan mit klaren Kontakten. Wer wird wann informiert, wer entscheidet, wer spricht mit der Öffentlichkeit. Eine Seite Papier genügt: Ansprechpartner mit Handynummern, Reihenfolge der ersten Schritte (Systeme trennen, nicht ausschalten, IT-Partner anrufen), Meldepflichten im Blick — eine DSGVO-Datenpanne muss binnen 72 Stunden gemeldet werden. Der Plan gehört ausgedruckt in den Schrank, nicht nur auf den Server, der im Ernstfall verschlüsselt ist.
- Externe Prüfung im Jahresrhythmus. Ein strukturierter Check deckt Lücken auf, die intern selten auffallen — vergessene Konten, offene Dienste, schwache Konfigurationen. Betriebsblindheit ist kein Vorwurf, sondern normal.
In welcher Reihenfolge umsetzen?
| Zeitrahmen | Maßnahmen | Aufwand |
|---|---|---|
| Diese Woche | Zwei-Faktor für E-Mail und Cloud, Bildschirmsperre, Update-Automatik | Wenige Stunden |
| Diesen Monat | Passwort-Manager einführen, Backup mit Trennung einrichten, Konten aufräumen | 1–2 Arbeitstage verteilt |
| Dieses Quartal | Phishing-Schulung, Notfallplan, Fernzugriffe absichern, externe Prüfung | Planbar, teils mit Partner |
Wer in dieser Reihenfolge vorgeht, deckt die häufigsten Angriffswege zuerst ab. Die Kosten bleiben für kleine Teams überschaubar: Zwei-Faktor und Verschlüsselung sind kostenlos, ein Team-Passwort-Manager und ein solides Backup liegen zusammen meist im niedrigen zweistelligen Eurobereich pro Monat — verglichen mit tage- oder wochenlangem Betriebsstillstand nach einem Verschlüsselungsangriff ist das keine echte Abwägung.
Was oft übersehen wird
- Alte Konten von Praktikanten und Aushilfen, die nie deaktiviert wurden.
- Router und Netzwerk-Hardware, die seit Jahren keine Firmware-Updates bekommen haben.
- Backups, die niemand jemals getestet hat.
- Vertragspartner mit Zugriff auf interne Systeme ohne klaren Prozess.
Wenn Sie das strukturiert prüfen lassen wollen: siehe IT-Sicherheitsaudit und die Awareness-Schulung.
