Kurz beantwortet
Für die IT-Sicherheit kleiner Unternehmen bringen wenige Maßnahmen am meisten: Updates sofort einspielen, starke und einzigartige Passwörter mit zweitem Faktor, eine regelmäßige Datensicherung, die vom Netz getrennt aufbewahrt und getestet wird, und geschulte Beschäftigte. Eine Datenpanne müssen Sie in der Regel binnen 72 Stunden der Datenschutzaufsicht melden.
Was IT-Sicherheit bedeutet: die Schutzziele
IT-Sicherheit heißt, Informationen und Systeme so zu schützen, dass drei Ziele erfüllt bleiben. Das BSI-Gesetz definiert „Sicherheit in der Informationstechnik“ über genau diese drei: Verfügbarkeit, Integrität und Vertraulichkeit (§ 2 Nr. 39 BSIG). Die DSGVO ergänzt für personenbezogene Daten die Belastbarkeit der Systeme (Art. 32 Abs. 1 Buchst. b DSGVO). In Fachbüchern und Schulungen kommen oft Authentizität und Verbindlichkeit hinzu; daher stammen Aufzählungen von vier oder fünf Schutzzielen.
| Schutzziel | Was es bedeutet | Beispiel im Betrieb |
|---|---|---|
| Vertraulichkeit | Nur Berechtigte sehen die Daten. | Lohnabrechnungen sind nur für die Buchhaltung lesbar; der verlorene Laptop ist verschlüsselt. |
| Integrität | Daten sind vollständig und unverändert. | Niemand kann unbemerkt die Bankverbindung in einer Rechnung austauschen. |
| Verfügbarkeit | Daten und Systeme sind nutzbar, wenn sie gebraucht werden. | Nach einem Ransomware-Angriff läuft die Kasse dank Sicherung am nächsten Tag wieder. |
| Authentizität | Absender und Gegenüber sind die, für die sie sich ausgeben. | Zwei-Faktor-Anmeldung; Rückruf beim Lieferanten unter bekannter Nummer. |
Die häufigsten Angriffe
- Phishing: E-Mails, SMS oder Anrufe, die sich als Bank, Paketdienst, Software-Anbieter oder Kollegin ausgeben und zur Eingabe von Passwörtern oder Kontodaten verleiten.
- Schadsoftware: Programme, die über Anhänge, Downloads oder Sicherheitslücken auf Rechner gelangen, Daten ausspähen oder den Betrieb stören.
- Ransomware: Schadsoftware, die Daten verschlüsselt und Lösegeld für die Freigabe verlangt; oft werden vorher Daten kopiert und mit Veröffentlichung gedroht.
- Zahlungsbetrug: gefälschte Rechnungen oder E-Mails mit „neuer Bankverbindung“ eines echten Lieferanten, angebliche Anweisungen der Geschäftsführung zu eiligen Überweisungen.
- Kontoübernahme: Zugang zu E-Mail, Cloud oder Online-Banking mit gestohlenen oder erratenen Passwörtern, häufig weil dasselbe Passwort mehrfach verwendet wird.
- Fake-Shops und Fake-Anbieter: Angebote, die zu gut klingen, mit Vorkasse und ohne Lieferung.
Woran Sie einen Angriff erkennen
Angriffe fallen oft erst spät auf. Hellhörig werden sollten Sie, wenn
- Rechner oder Handy plötzlich sehr langsam werden, heiß laufen oder der Akku schnell leer ist,
- unbekannte Programme, Pop-ups oder Browser-Erweiterungen auftauchen,
- Kundinnen oder Kunden E-Mails von Ihnen erhalten, die Sie nicht geschrieben haben,
- Sie Anmeldebenachrichtigungen bekommen, die nicht von Ihnen stammen, oder Passwörter plötzlich nicht mehr funktionieren,
- Dateien sich nicht mehr öffnen lassen oder ungewohnte Dateiendungen haben,
- auf dem Konto Buchungen erscheinen, die niemand veranlasst hat.
IT-Sicherheit: die wichtigsten Schutzmaßnahmen
Das BSI nennt kleinen Unternehmen fünf erste Schritte: Programme aktuell halten, richtig mit Passwörtern umgehen, Daten regelmäßig sichern, alle Beschäftigten schulen und den Ernstfall üben. Mit diesen Punkten und zwei Ergänzungen schließen Sie die meisten offenen Türen.
1. Updates sofort einspielen
Sicherheitslücken in Programmen gehören zu den Haupteinfallstoren. Schalten Sie automatische Updates ein, für Betriebssystem, Browser, Büroprogramme, Router, Drucker und Website. Führen Sie eine Liste, welche Geräte und Programme im Einsatz sind. Geräte, für die es keine Sicherheitsupdates mehr gibt, gehören ersetzt: Für Windows 10 hat Microsoft die kostenlosen Updates am 14.10.2025 eingestellt; das BSI rät zum Wechsel auf ein unterstütztes System.
2. Passwörter: stark, einzigartig, mit zweitem Faktor
Ein regelmäßiger Passwortwechsel ohne Anlass ist nach Einschätzung des BSI keine zeitgemäße Schutzmaßnahme mehr; er führt eher zu schwachen Passwörtern. Wichtig ist, dass jedes Konto ein eigenes, starkes Passwort hat, dass ein Passwort-Manager die Verwaltung übernimmt und dass für E-Mail, Cloud, Buchhaltung und Bank eine Zwei-Faktor-Anmeldung eingeschaltet ist. Wo Dienste Passkeys anbieten, sind sie eine sichere Alternative zum Passwort. Geändert wird ein Passwort, wenn es bei einem Datenleck oder Phishing in fremde Hände geraten sein könnte.
3. Daten sichern und Wiederherstellung testen
Die Datensicherung ist die wichtigste Vorsorge gegen Ransomware. Entscheidend ist, dass mindestens eine Sicherung nach dem Sichern vom Netz getrennt wird und dass Sie die Rücksicherung ausprobiert haben, bevor Sie sie brauchen. Mehr dazu im nächsten Abschnitt.
4. Beschäftigte schulen
Ein Klick auf einen falschen Anhang kann genügen. Erklären Sie im Team, woran man Phishing erkennt, dass niemand Passwörter per E-Mail oder Telefon herausgibt und dass geänderte Bankverbindungen immer über eine bekannte Telefonnummer rückgefragt werden. Wichtig ist eine Kultur, in der ein Fehlklick sofort gemeldet wird, statt verschwiegen.
5. Den Ernstfall vorbereiten
Legen Sie fest, wer entscheidet, ob Rechner heruntergefahren oder der Webshop vom Netz genommen wird, wer außerhalb der Bürozeiten erreichbar ist und wie Sie sich verständigen, wenn E-Mail und Netzwerk ausfallen. Eine ausgedruckte Notfallliste mit Telefonnummern von IT-Dienstleister, Bank, Versicherung und Polizei gehört in die Schublade.
6. Rechte begrenzen
Im Alltag arbeitet niemand mit Administratorrechten. Jede Person hat nur Zugriff auf die Ordner, die sie braucht. Konten ausgeschiedener Beschäftigter werden am letzten Arbeitstag gesperrt.
7. Geräte verschlüsseln
Laptops, Handys und externe Festplatten gehen verloren oder werden gestohlen. Mit eingeschalteter Geräteverschlüsselung und Bildschirmsperre bleibt dann nur der Verlust des Geräts, nicht der Daten. Die DSGVO nennt Verschlüsselung ausdrücklich als Schutzmaßnahme (Art. 32 Abs. 1 Buchst. a DSGVO).
Datensicherung, die im Ernstfall trägt
Eine Sicherung ist eine Kopie Ihrer Daten auf einem anderen Speicher als dem Gerät, mit dem Sie arbeiten. Betriebssystem und Programme lassen sich meist neu installieren; unersetzlich sind die Daten, die Sie selbst erstellt haben: Buchhaltung, Kundendaten, Verträge, Angebote, E-Mails, Fotos und Konfigurationen. Bewährt hat sich eine einfache Regel:
- Mehrere Kopien: neben den Arbeitsdaten mindestens zwei Sicherungen.
- Verschiedene Speicher: zum Beispiel externe Festplatte und Cloud-Sicherung, nicht zweimal dasselbe Gerät.
- Eine Kopie außer Haus und offline: eine Sicherung liegt an einem anderen Ort und ist nach dem Sichern vom Netz getrennt, damit Ransomware, Brand oder Einbruch sie nicht mit erwischen.
- Verschlüsselt: Sicherungen außer Haus und in der Cloud sind verschlüsselt, der Schlüssel liegt nicht auf demselben Medium.
- Getestet: Mindestens einmal im Jahr eine Datei und einmal ein ganzes System zurücksichern.
| Art der Sicherung | Was gesichert wird | Vor- und Nachteile |
|---|---|---|
| Vollsicherung | alle ausgewählten Daten jedes Mal komplett | einfache Wiederherstellung, braucht viel Zeit und Speicher |
| Inkrementelle Sicherung | nur, was sich seit der letzten Sicherung geändert hat | schnell und sparsam, Wiederherstellung braucht alle Teilsicherungen |
| Differenzielle Sicherung | alles, was sich seit der letzten Vollsicherung geändert hat | Mittelweg: Vollsicherung plus letzte differenzielle genügen |
| Synchronisation (Cloud-Ordner) | Spiegel des aktuellen Stands | keine echte Sicherung: Löschen oder Verschlüsseln wird mit gespiegelt, außer es gibt Versionen |
Wie oft gesichert wird, hängt davon ab, wie viel Arbeit Sie verlieren dürfen. Wer täglich bucht und Angebote schreibt, sichert täglich automatisch und zusätzlich wöchentlich offline. Denken Sie auch an Daten außerhalb der eigenen Rechner: Postfächer und Dokumente in Cloud-Diensten wie Microsoft 365 oder Google Workspace sind beim Anbieter nicht automatisch gegen eigenes Löschen oder Verschlüsseln gesichert. Prüfen Sie, welche Versionen und Aufbewahrung der Dienst bietet, und sichern Sie bei Bedarf zusätzlich.
Gesetzliche Pflichten zur IT-Sicherheit
Datenschutz-Grundverordnung
Wer personenbezogene Daten verarbeitet, und das tut jeder Betrieb mit Kundinnen, Kunden oder Beschäftigten, muss sie durch geeignete technische und organisatorische Maßnahmen schützen. Dazu zählt die Art. 32 DSGVO ausdrücklich Verschlüsselung, die dauerhafte Verfügbarkeit der Systeme, die rasche Wiederherstellung nach einem Zwischenfall und eine regelmäßige Überprüfung der Maßnahmen. Wird der Schutz verletzt, etwa durch Ransomware, einen gestohlenen Laptop oder eine E-Mail an den falschen Verteiler, ist die Panne unverzüglich und möglichst binnen 72 Stunden der Datenschutzaufsicht zu melden, außer sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen (Art. 33 DSGVO). Bei hohem Risiko sind auch die Betroffenen selbst zu benachrichtigen (Art. 34 DSGVO).
NIS2 und BSI-Gesetz
Mit der Umsetzung der europäischen NIS-2-Richtlinie im BSI-Gesetz haben bestimmte Unternehmen eigene Pflichten zu Risikomanagement, Registrierung und Meldung von Sicherheitsvorfällen. Als „wichtige Einrichtung“ gilt in der Regel, wer in einem der Sektoren der Anlagen 1 und 2 tätig ist und mindestens 50 Personen beschäftigt oder mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme hat (§ 28 Abs. 2 BSIG). Die meisten Betriebe mit bis zu 20 Beschäftigten fallen nicht darunter. Ausnahmen gelten unabhängig von der Größe, etwa für Vertrauensdiensteanbieter, DNS-Diensteanbieter und Top-Level-Domain-Registries. Ob Ihr Unternehmen betroffen ist, können Sie mit der anonymen NIS-2-Betroffenheitsprüfung des BSI einschätzen. Auch wer nicht betroffen ist, bekommt die Anforderungen oft über Kunden zu spüren, die selbst reguliert sind und von Zulieferern Nachweise verlangen.
Unterstützung holen und IT-Dienstleister auswählen
Einen guten Einstieg bietet der CyberRisikoCheck nach DIN SPEC 27076, den das BSI für kleine und Kleinstunternehmen entwickelt hat. Ein qualifizierter IT-Dienstleister prüft in einem ein- bis zweistündigen Gespräch 27 Anforderungen aus sechs Themenbereichen. Sie erhalten einen Bericht mit Punktzahl und, nach Dringlichkeit geordnet, einer Handlungsempfehlung für jede nicht erfüllte Anforderung, samt Hinweisen auf Förderprogramme. Eine Zertifizierung ist der Check nicht. Qualifizierte Dienstleister listet das BSI auf seiner Website.
Wenn Sie einen IT-Dienstleister für die laufende Betreuung suchen, fragen Sie nach:
- Erfahrung mit Betrieben Ihrer Größe und Branche und Referenzen, die Sie anrufen dürfen
- festen Reaktionszeiten im Notfall, auch außerhalb der Bürozeiten, schriftlich im Vertrag
- einer Dokumentation Ihrer Geräte, Konten und Zugänge, die Ihnen gehört und die Sie bei einem Wechsel bekommen
- regelmäßigen Berichten über Updates, Sicherungen und Wiederherstellungstests
- einem Vertrag zur Auftragsverarbeitung, wenn der Dienstleister auf personenbezogene Daten zugreift (Art. 28 DSGVO)
- der Bereitschaft, einen CyberRisikoCheck durchzuführen oder dessen Empfehlungen umzusetzen
Was tun nach einem Angriff?
- Ruhe bewahren und isolieren: betroffene Geräte vom Netz trennen (Kabel ziehen, WLAN aus), aber nicht ausschalten, damit Spuren erhalten bleiben.
- Hilfe rufen: IT-Dienstleister informieren; bei Überweisungsbetrug sofort die Bank anrufen, eine Rückholung ist nur kurzfristig möglich.
- Polizei einschalten: Unternehmen wenden sich an die Zentrale Ansprechstelle Cybercrime (ZAC) ihres Bundeslandes; sie berät und leitet die Strafverfolgung ein.
- Datenschutz prüfen: Sind personenbezogene Daten betroffen, läuft die 72-Stunden-Frist für die Meldung an die Aufsicht ab Kenntnis.
- Versicherung informieren: Wer eine Cyberversicherung hat, meldet den Schaden umgehend und stimmt weitere Schritte ab.
- Passwörter ändern und wiederherstellen: von einem sauberen Gerät aus alle betroffenen Zugänge ändern, Systeme neu aufsetzen und aus einer Sicherung vor dem Angriff zurückspielen.
- Nacharbeiten: festhalten, was passiert ist, und die Lücke schließen, durch die der Angriff kam.
Häufige Fragen
Was ist die wichtigste Maßnahme für IT-Sicherheit im kleinen Betrieb?
Es gibt nicht die eine Maßnahme, aber drei tragen am meisten: Updates sofort einspielen, Zwei-Faktor-Anmeldung für E-Mail, Cloud und Bank, und eine Datensicherung, die offline liegt und getestet ist. Das BSI nennt dazu Schulung der Beschäftigten und Vorbereitung auf den Ernstfall.
Welche Schutzziele hat die IT-Sicherheit?
Die drei Grundziele sind Vertraulichkeit, Integrität und Verfügbarkeit; so definiert auch das BSI-Gesetz die Sicherheit in der Informationstechnik (§ 2 Nr. 39 BSIG). Häufig werden Authentizität und Verbindlichkeit ergänzt, die DSGVO nennt zusätzlich die Belastbarkeit der Systeme (Art. 32 DSGVO).
Muss ich meine Passwörter regelmäßig ändern?
Nein, nicht ohne Anlass. Das BSI hält einen pauschalen Wechsel nicht mehr für zeitgemäß. Wichtiger sind ein eigenes starkes Passwort für jedes Konto, ein Passwort-Manager und ein zweiter Faktor. Ändern sollten Sie ein Passwort, wenn es in fremde Hände geraten sein könnte.
Betrifft NIS2 mein kleines Unternehmen?
Meist nicht. Betroffen sind Unternehmen in bestimmten Sektoren ab 50 Beschäftigten oder mit mehr als 10 Millionen Euro Umsatz und Bilanzsumme sowie einige Anbieter unabhängig von der Größe, etwa Vertrauens- und DNS-Diensteanbieter (§ 28 BSIG). Die NIS-2-Betroffenheitsprüfung des BSI gibt eine erste Einschätzung.
Muss ich einen Hackerangriff melden?
Wenn personenbezogene Daten betroffen sind, ja: an die Datenschutzaufsicht, unverzüglich und möglichst binnen 72 Stunden, außer es besteht voraussichtlich kein Risiko für die Betroffenen (Art. 33 DSGVO). Eine Anzeige bei der Polizei ist nicht Pflicht, aber empfehlenswert; für Unternehmen gibt es die Zentralen Ansprechstellen Cybercrime.
Ist eine Synchronisation mit der Cloud schon eine Datensicherung?
Nein. Eine Synchronisation spiegelt den aktuellen Stand; gelöschte oder verschlüsselte Dateien werden mit gespiegelt. Sie hilft nur, wenn der Dienst ältere Versionen aufbewahrt. Eine echte Sicherung liegt zusätzlich getrennt vom Netz.
Quellen
- Behörde Schritt 2: Erste Schutzmaßnahmen ergreifen
- Behörde Backups, Datensicherungskonzept und zentrale Datenhaltung (Top-10-Ransomware-Maßnahmen)
- Behörde Datensicherung – wie geht das?
- Behörde Wirksamer Schutz von Benutzerkonten: Der Ändere-dein-Passwort-Tag braucht ein Update (30.01.2026)
- Behörde Windows 10 wird unsicher – Zeit für den Wechsel (14.07.2025)
- Behörde CyberRisikoCheck nach DIN SPEC 27076
- Behörde NIS-2-Betroffenheitsprüfung
- Gesetz BSI-Gesetz
- Gesetz Datenschutz-Grundverordnung (EU) 2016/679
- Behörde Zentrale Ansprechstellen Cybercrime der Polizeien für Wirtschaftsunternehmen und Behörden
Mehr dazu
- Papierloses Büro Papierloses Büro: Ablage, Scannen, Aufbewahrung
- DSGVO: Datenschutz-Grundverordnung DSGVO: Grundbegriffe und Pflichten
- Versicherungen Versicherungen für Selbstständige und kleine Betriebe