IT-Sicherheit für KMU: Die 15-Punkte-Checkliste

Ein erfolgreicher Cyberangriff kostet kleine Unternehmen in Deutschland im Durchschnitt zwischen 25.000 und 100.000 Euro. Dazu kommen Betriebsausfälle, Vertrauensverlust bei Kunden und im schlimmsten Fall Bußgelder wegen Datenschutzverstößen. Trotzdem ist IT-Sicherheit für viele KMU noch immer ein Thema, das aufgeschoben wird.

Diese Checkliste gibt Ihnen 15 konkrete Maßnahmen an die Hand, die Sie sofort umsetzen können, ohne IT-Studium und ohne großes Budget.

Warum KMU besonders gefährdet sind

Kleine und mittlere Unternehmen sind für Cyberkriminelle attraktive Ziele, gerade weil sie sich für zu klein halten:

43 Prozent aller Cyberangriffe richten sich gegen KMU
60 Prozent der betroffenen kleinen Unternehmen schließen innerhalb von 6 Monaten nach einem schweren Angriff
KMU haben oft keine dedizierte IT-Abteilung
Veraltete Software und fehlende Updates öffnen Angreifern Tür und Tor

Die gute Nachricht: 80 Prozent aller Angriffe lassen sich mit grundlegenden Maßnahmen verhindern. Genau diese Maßnahmen finden Sie in der folgenden Checkliste.

Die 15-Punkte-Checkliste

1. Starke Passwörter und Passwort-Manager

Das Einfachste zuerst, und trotzdem der häufigste Schwachpunkt:

Mindestlänge: 12 Zeichen, besser 16
Keine Wiederverwendung: Jedes Konto braucht ein eigenes Passwort
Passwort-Manager einsetzen: Bitwarden (kostenlos) oder 1Password (ab 3 Euro/Monat) speichern alle Passwörter verschlüsselt
Regelmäßiger Wechsel: Alle 6-12 Monate für kritische Systeme

Sofort-Maßnahme: Installieren Sie heute noch einen Passwort-Manager für Ihr Team und generieren Sie neue Passwörter für die drei wichtigsten Konten.

2. Zwei-Faktor-Authentifizierung aktivieren

Selbst wenn ein Passwort gestohlen wird, schützt ein zweiter Faktor vor unbefugtem Zugriff. Aktivieren Sie Zwei-Faktor-Authentifizierung (2FA) mindestens für:

E-Mail-Konten
Bankzugänge
Cloud-Dienste (Microsoft 365, Google Workspace)
Social-Media-Konten
CRM und ERP-Systeme

Nutzen Sie Authenticator-Apps (Microsoft Authenticator, Google Authenticator) statt SMS-basierter 2FA, die abgefangen werden kann.

3. Regelmäßige Backups nach der 3-2-1-Regel

Die 3-2-1-Regel schützt Sie vor Datenverlust bei Ransomware-Angriffen und Hardwareausfällen:

3 Kopien Ihrer Daten
2 verschiedene Speichermedien (z. B. lokale Festplatte und Cloud)
1 Kopie außerhalb des Unternehmens (Offsite-Backup)

Wichtig: Testen Sie regelmäßig, ob sich die Backups auch tatsächlich wiederherstellen lassen. Ein Backup, das im Ernstfall nicht funktioniert, ist wertlos.

4. Software und Betriebssysteme aktuell halten

Veraltete Software ist das häufigste Einfallstor für Angreifer. Richten Sie automatische Updates ein für:

Betriebssysteme (Windows, macOS)
Browser (Chrome, Firefox, Edge)
Office-Programme
Antiviren-Software
Alle geschäftskritischen Anwendungen

Windows-Nutzer: Aktivieren Sie Windows Update und erzwingen Sie die Installation innerhalb von 24 Stunden. Bei kritischen Sicherheitsupdates sofort.

5. Firewall richtig konfigurieren

Jedes Unternehmen braucht eine Firewall, und zwar richtig konfiguriert, nicht nur eingeschaltet:

Hardware-Firewall am Internetübergang (z. B. eine Business-Router-Lösung)
Software-Firewall auf jedem Rechner (Windows Defender Firewall ist ein guter Anfang)
Unnötige Ports schließen
Regelmäßig Firewall-Logs prüfen

6. E-Mail-Sicherheit erhöhen

Über 90 Prozent aller Cyberangriffe beginnen mit einer E-Mail. Schützen Sie Ihren wichtigsten Kommunikationskanal:

Spam-Filter professionell konfigurieren
Phishing-Schulungen für alle Mitarbeiter (mindestens einmal jährlich)
Anhänge: Makro-Ausführung in Office-Dokumenten deaktivieren
Links prüfen: Vor dem Klicken die URL überprüfen (Maus darüber halten)
Absender verifizieren: Bei ungewöhnlichen Anfragen telefonisch rückfragen

7. Mitarbeitersensibilisierung

Die beste Technik nützt nichts, wenn Mitarbeiter auf einen Phishing-Link klicken. Schulen Sie Ihr Team regelmäßig:

Jährliche Sicherheitsschulung (kann auch online sein)
Simulierte Phishing-Mails zur Awareness-Prüfung
Klare Anweisungen: Was tun bei verdächtigen Mails?
Meldewege definieren: An wen wendet man sich bei einem Verdacht?

8. Zugriffsrechte nach dem Minimalprinzip

Jeder Mitarbeiter sollte nur auf die Daten und Systeme zugreifen können, die er für seine Arbeit braucht:

Administratorrechte nur für IT-Verantwortliche
Gemeinsame Konten vermeiden (jeder bekommt eigene Zugangsdaten)
Zugänge ausscheidender Mitarbeiter sofort deaktivieren
Halbjährliche Überprüfung aller Zugriffsrechte

9. WLAN absichern

Ihr Firmen-WLAN ist ein häufig übersehenes Einfallstor:

WPA3-Verschlüsselung aktivieren (mindestens WPA2)
Standard-Passwort des Routers ändern
Gäste-WLAN einrichten (separates Netzwerk für Besucher und private Geräte)
SSID: Den Firmennamen nicht im WLAN-Namen verwenden
Regelmäßig das WLAN-Passwort ändern (mindestens jährlich)

10. Mobile Geräte schützen

Smartphones und Tablets sind vollwertige Computer mit Zugriff auf Firmendaten:

Bildschirmsperre mit PIN oder Biometrie auf jedem Gerät
Verschlüsselung aktivieren
Fernlöschung einrichten (Mobile Device Management)
Keine geschäftlichen Daten auf privaten Geräten ohne Absicherung
Öffentliche WLANs nur mit VPN nutzen

11. Datensicherung und Verschlüsselung

Sensible Geschäftsdaten müssen verschlüsselt gespeichert und übertragen werden:

Festplattenverschlüsselung: BitLocker (Windows) oder FileVault (macOS) aktivieren
E-Mail-Verschlüsselung für sensible Kommunikation
Cloud-Speicher: Nur Anbieter mit Serverstandort in der EU nutzen
USB-Sticks: Verschlüsselte Modelle verwenden oder den Einsatz verbieten

12. Notfallplan erstellen

Wenn ein Angriff passiert, zählt jede Minute. Ein Notfallplan spart im Ernstfall Zeit und Geld:

Ansprechpartner: Wer wird informiert? (IT-Dienstleister, Geschäftsführung, Datenschutzbeauftragter)
Sofortmaßnahmen: Betroffene Systeme vom Netzwerk trennen
Kommunikation: Wer informiert Kunden und Behörden?
Wiederherstellung: Wie werden Systeme aus Backups restauriert?
Meldepflichten: Bei Datenschutzverletzungen besteht eine 72-Stunden-Meldepflicht gemäß DSGVO

Profi-Tipp: Drucken Sie den Notfallplan aus. Wenn Ihre IT kompromittiert ist, können Sie nicht auf digitale Dokumente zugreifen.

13. Website-Sicherheit

Ihre Website ist ein öffentlich erreichbares System und damit ein potenzielles Angriffsziel:

SSL-Zertifikat: HTTPS ist Pflicht, nicht nur für Shops
CMS-Updates: WordPress und Plugins immer aktuell halten
Starke Zugangsdaten: Admin-Bereich mit starkem Passwort und 2FA schützen
Regelmäßige Scans: Auf Malware und Schwachstellen prüfen
Professionelles Webdesign: Sicherheit muss von Anfang an eingebaut sein, nicht nachträglich

14. Verträge und Versicherungen prüfen

IT-Sicherheit hat auch eine rechtliche und finanzielle Seite:

Auftragsverarbeitung: Haben Sie mit allen Dienstleistern, die Zugriff auf Kundendaten haben, einen AV-Vertrag?
Cyber-Versicherung: Ab 200 Euro pro Jahr können Sie sich gegen Schäden durch Cyberangriffe absichern
NIS2-Richtlinie: Ab Oktober 2024 gelten für viele Unternehmen verschärfte Pflichten. Prüfen Sie, ob Sie betroffen sind.

15. Regelmäßige Sicherheitsaudits

Mindestens einmal jährlich sollten Sie Ihre IT-Sicherheit professionell überprüfen lassen:

Schwachstellenanalyse: Externe Prüfung Ihrer Systeme
Penetrationstest: Simulierter Angriff, um Lücken zu finden
Prozessüberprüfung: Werden die definierten Sicherheitsmaßnahmen tatsächlich eingehalten?

Ein professioneller IT-Service kann diese Audits durchführen und Ihnen einen konkreten Maßnahmenplan liefern.

Wo anfangen? Die Sofort-Maßnahmen

Wenn Sie alle 15 Punkte auf einmal überfordern, starten Sie mit diesen fünf Maßnahmen. Sie kosten kein Geld und lassen sich heute noch umsetzen:

Passwort-Manager installieren und für die drei wichtigsten Konten neue Passwörter erstellen
2FA aktivieren für E-Mail und Cloud-Dienste
Automatische Updates aktivieren auf allen Rechnern
Backup prüfen: Existiert ein aktuelles Backup? Lässt es sich wiederherstellen?
Notfallkontakt definieren: Wen rufen Sie an, wenn etwas passiert?

Fazit

IT-Sicherheit muss weder kompliziert noch teuer sein. Die meisten Angriffe nutzen grundlegende Schwachstellen aus: schwache Passwörter, fehlende Updates, ungeschulte Mitarbeiter. Wenn Sie diese 15 Punkte systematisch abarbeiten, sind Sie besser geschützt als 90 Prozent aller KMU in Deutschland.

Sie wollen Ihre IT-Sicherheit professionell aufstellen? webAION bietet Managed IT-Services für kleine und mittlere Unternehmen: von der Sicherheitsanalyse über die Einrichtung bis zur laufenden Überwachung. Lassen Sie Ihre IT kostenlos checken und erfahren Sie, wo Ihr Unternehmen aktuell steht.