IT-Sicherheit für kleine und mittlere Unternehmen

IT-Sicherheit im KMU: Wo fange ich an?

Die meisten erfolgreichen Angriffe auf kleine und mittlere Unternehmen nutzen keine ausgefeilten Techniken, sondern fehlende Grundlagen: ein Passwort ohne zweiten Faktor, ein Server ohne Updates, ein Backup, das mitverschlüsselt wird. Wer diese zehn Punkte sauber umsetzt, schließt die häufigsten Einfallstore. Sie orientieren sich an den Basisempfehlungen des BSI für kleine Unternehmen.

1. Multi-Faktor-Authentifizierung für E-Mail, Microsoft 365 oder Google Workspace, VPN und alle Admin-Zugänge. Gestohlene Passwörter sind der häufigste Einstieg.
2. Updates zeitnah einspielen, besonders auf allem, was aus dem Internet erreichbar ist: Firewall, VPN, Webserver, Mailserver.
3. Backups, die ein Angreifer nicht erreicht: mindestens eine Kopie offline oder unveränderbar und regelmäßig getestet, ob die Wiederherstellung wirklich klappt.
4. Admin-Rechte trennen: Niemand arbeitet im Alltag mit einem Administratorkonto. Admin-Konten bekommen eigene, besonders geschützte Zugänge.
5. E-Mail-Domain absichern mit SPF, DKIM und DMARC, damit Ihre Domain nicht für Phishing im Namen Ihres Unternehmens missbraucht werden kann.
6. Wissen, was es gibt: eine aktuelle Liste von Geräten, Cloud-Diensten, Domains und extern erreichbaren Systemen. Was Sie nicht kennen, können Sie nicht schützen.
7. Fernzugänge prüfen: kein offener Remote-Desktop ins Internet, VPN nur mit zweitem Faktor, alte Zugänge ehemaliger Mitarbeitender und Dienstleister schließen.
8. Mitarbeitende schulen: Phishing-Mails erkennen, verdächtige Anrufe hinterfragen und wissen, wem man einen Fehler sofort meldet, ohne Angst vor Ärger.
9. Einen Notfallplan auf Papier haben: wer entscheidet, wer den IT-Dienstleister und die Versicherung anruft und wie der Betrieb ohne IT weiterläuft.
10. Regelmäßig von außen prüfen lassen: Die Liste oben wirkt nur, wenn jemand kontrolliert, ob sie tatsächlich umgesetzt ist, und zwar nicht einmalig, sondern im festen Rhythmus.

Punkt zehn ist der, an dem die meisten KMU scheitern. Genau dafür gibt es unseren Security-Check im Abo: Mit Startup Shield für 149 € im Monat wird Ihre externe Angriffsfläche jedes Jahr geprüft, mit CVSS-bewertetem Report als Nachweis. Growth Guard und Scale Secure prüfen häufiger und schulen Ihr Team mit.

DIN SPEC 27076 und CyberRisikoCheck

Für Unternehmen mit weniger als 50 Mitarbeitenden gibt es einen eigenen, bundesweit einheitlichen Standard: die DIN SPEC 27076, entwickelt unter Leitung des BSI zusammen mit dem Mittelstandsverband BVMW. Auf ihr basiert der CyberRisikoCheck. In einem ein- bis zweistündigen Interview mit einem IT-Dienstleister werden 27 Anforderungen aus sechs Themenbereichen abgefragt. Das Ergebnis ist ein Bericht mit Punktzahl und einer nach Dringlichkeit sortierten Empfehlung für jede nicht erfüllte Anforderung.

Wichtig für die Einordnung: Der CyberRisikoCheck ist ein Selbstauskunfts-Interview und ausdrücklich keine Zertifizierung. Er zeigt, welche organisatorischen Grundlagen fehlen, prüft aber nicht technisch, ob Ihre Systeme tatsächlich angreifbar sind. Unser Security-Check setzt genau dort an: Er schaut von außen auf das, was ein Angreifer sieht. Beides ergänzt sich. Mehr zum Verfahren erklärt das BSI auf seiner Seite zum CyberRisikoCheck.

Förderung für IT-Sicherheit in NRW

KMU mit Sitz in Nordrhein-Westfalen können Sicherheitsmaßnahmen über das Landesprogramm MID-Digitale Sicherheit der NRW.BANK mit bis zu 50 % bezuschussen lassen. Gefördert werden unter anderem Analysen wie Penetrationstests, die Behebung von Schwachstellen und Notfallpläne, ab 8.000 € Projektvolumen und vergeben per Losverfahren. Wie die Anmeldung abläuft und welche unserer Leistungen passen, steht auf der Seite zur NRW-Förderung.

Wer hinter den Prüfungen steht, lesen Sie auf Das Team. Für die technische Tiefe eines einzelnen Systems gibt es den Penetrationstest für KMU.