Cyber Security für KMU: Was kleine Betriebe zuerst tun

Sie haben keine IT-Abteilung, aber zehn, zwanzig oder vierzig Rechner, ein Mailpostfach für Angebote und einen Server mit der Buchhaltung. Genau so sieht ein typisches Ziel aus. Cyber Security für KMU heißt nicht, alles auf einmal zu kaufen. Es heißt, die offenen Türen zu kennen und sie in der richtigen Reihenfolge zu schließen.

Warum kleine Unternehmen ein lohnendes Ziel sind

Viele Inhaber denken: „Bei uns gibt es nichts zu holen.“ Angreifer sehen das anders. Sie suchen nicht nach bestimmten Firmen, sondern nach schlecht geschützten Systemen. Ein Handwerksbetrieb, der nicht mehr an seine Kundendaten, Aufmaße und Rechnungen kommt, steht nach einem Tag still. Genau diesen Druck nutzen Erpresser.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt das in seinem Lagebericht 2025 deutlich: Kleine und mittlere Unternehmen machten 80 % der angezeigten Ransomware-Angriffe aus. Das BSI nennt KMU die am stärksten betroffene Gruppe und schreibt, dass Angreifer oft gezielt die am schwächsten geschützten Betriebe auswählen. Das Kernproblem sei weniger neue Technik der Angreifer, sondern dass Betriebe ihre eigene Angriffsfläche nicht im Griff haben, zum Beispiel durch versäumte Updates.

Die häufigsten Einfallstore in kleinen Betrieben

Phishing – per Mail und zunehmend per Messenger. Eine Mail „von DHL“, „von Microsoft“ oder vom Steuerbüro, ein Link, eine Anmeldeseite, die echt aussieht. Wer dort sein Passwort eingibt, gibt den Zugang zum Postfach weg. Das BSI beobachtet, dass Angriffe per E-Mail zuletzt zurückgegangen sind und sich teilweise auf soziale Medien und Messenger verlagern. Für Sie heißt das: Auch die WhatsApp-Nachricht auf dem Firmenhandy gehört dazu.

Gefälschte Rechnungen und geänderte Bankverbindungen. Ein Lieferant schreibt, er habe eine neue Kontoverbindung. Die Mail kommt scheinbar vom richtigen Absender, manchmal sogar aus seinem echten, gekaperten Postfach. Die Buchhaltung überweist, das Geld ist weg. Hier hilft keine Software allein, sondern eine feste Regel: Neue Bankdaten werden immer telefonisch unter der bekannten Nummer bestätigt.

Alte Software und fehlende Updates. Das BSI zählte im Berichtszeitraum durchschnittlich 119 neu bekannt gewordene Schwachstellen pro Tag. Ein Windows-Rechner, der seit Monaten keine Updates bekommen hat, eine nicht mehr unterstützte Server-Version oder ein vergessenes NAS im Keller sind offene Türen.

Fernzugänge und Geräte am Internetübergang. VPN-Zugänge, Firewalls, Fernwartungs-Tools für die Maschine oder die Heizung, der Zugang des Software-Herstellers für die Branchensoftware. Laut BSI waren Schwachstellen in solchen Perimetersystemen erneut ein wichtiges Einfallstor. Gerade Zugänge, die „mal eben“ für einen Dienstleister eingerichtet wurden, bleiben oft jahrelang offen.

IT-Sicherheit für kleine Unternehmen: die Maßnahmen in der richtigen Reihenfolge

Sie müssen nicht alles gleichzeitig machen. Diese Reihenfolge bringt den größten Schutz für den Aufwand:

Updates – regelmäßig und überwacht. Betriebssysteme, Office, Browser, Firewall, Server, NAS. Nicht „wenn jemand dran denkt“, sondern geplant, mit Kontrolle, ob sie wirklich installiert wurden.
Mehr-Faktor-Anmeldung (MFA). Für Microsoft 365, VPN, Fernzugänge und Admin-Konten. Ein gestohlenes Passwort allein reicht dann nicht mehr.
Backup mit Restore-Test. Eine Datensicherung, die niemand je zurückgespielt hat, ist eine Hoffnung, kein Backup. Mindestens eine Kopie gehört außer Haus und muss vor Löschung geschützt sein. Wichtig: Das BSI weist darauf hin, dass Backups gegen Verschlüsselung helfen, aber nicht gegen den Abfluss von Daten. Mehr dazu im Artikel Backup-Strategie für KMU: Restore-Tests sind Pflicht.
Firewall – gepflegt, nicht nur gekauft. Eine Firewall, deren Regeln seit der Installation niemand angesehen hat, schützt wenig. Regeln, Updates und offene Ports müssen laufend geprüft werden. Siehe Managed Firewall.
Überwachung mit XDR. Virenschutz erkennt bekannte Schadsoftware. Eine XDR-Lösung mit Sicherheitsleitstelle (SOC) erkennt auffälliges Verhalten auf Rechnern, Servern und Firewall und kann reagieren, auch nachts und am Wochenende, wenn Angriffe gern starten. Siehe Managed XDR.
Schulung Ihrer Leute. Kurz, regelmäßig, mit Beispielen aus Ihrem Alltag: Wie erkenne ich eine gefälschte Mail? Wen rufe ich an, wenn ich draufgeklickt habe? Wer sofort Bescheid gibt, begrenzt den Schaden.

Dazu kommt eine einfache Notfallliste auf Papier: Wen rufen Sie an, wenn nichts mehr geht? Wo liegen die Zugangsdaten? Wer entscheidet, ob Rechner vom Netz gehen?

Cybersicherheit im Handwerk: worauf es besonders ankommt

Im Handwerk ist die IT oft verteilt: Tablets auf der Baustelle, Handys mit Firmenmail, ein Büro-PC für Angebote, die Branchensoftware mit Fernzugang des Herstellers. Typische Lücken sind geteilte Passwörter („alle melden sich als Büro an“), private Handys ohne Sperre und Fernwartungszugänge ohne Ablaufdatum. Ein verlorenes Tablet ohne Sperrcode ist ein offenes Kundenarchiv. Was für Handwerksbetriebe sinnvoll ist, finden Sie auf der Seite IT für Handwerksbetriebe.

IT-Sicherheit im Mittelstand und NIS2: Betrifft Sie das?

Das deutsche NIS-2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft (Stand November 2026, laut BSI). Die Pflichten stehen im neuen BSI-Gesetz (BSIG). Das BSI beaufsichtigt damit rund 29.500 Einrichtungen.

Direkt betroffen ist ein Unternehmen, wenn es in einem der Sektoren aus den Anlagen 1 und 2 des BSIG tätig ist und eine Größenschwelle erreicht. Für „wichtige Einrichtungen“ sind das nach § 28 BSIG mindestens 50 Beschäftigte oder ein Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro. Betroffene Unternehmen müssen sich beim BSI registrieren, Risikomanagement-Maßnahmen umsetzen und dokumentieren und erhebliche Sicherheitsvorfälle melden: eine frühe Erstmeldung spätestens nach 24 Stunden, die Meldung nach 72 Stunden, eine Abschlussmeldung nach einem Monat. Die Geschäftsleitung muss die Maßnahmen billigen, überwachen und sich schulen lassen. Die gesetzliche Registrierungsfrist ist laut BSI bereits abgelaufen. Wer betroffen ist und sich noch nicht registriert hat, sollte das sofort nachholen. Ob Sie betroffen sind, können Sie mit der kostenlosen NIS-2-Betroffenheitsprüfung des BSI prüfen.

Indirekt betroffen sind viel mehr Betriebe. Das BSI schreibt ausdrücklich, dass sich die Regeln über Geschäftsbeziehungen mittelbar auch auf Unternehmen auswirken können, die selbst nicht unter NIS2 fallen. Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette berücksichtigen. Konkret: Wenn Sie Zulieferer, Dienstleister oder Handwerker für ein Krankenhaus, einen Energieversorger, einen Lebensmittelhersteller oder ein größeres Industrieunternehmen sind, kann Ihr Kunde Nachweise verlangen. Fragen nach Backup, MFA, Update-Prozess und Notfallplan kommen dann im Fragebogen oder im Vertrag.

Eine ausführliche Liste finden Sie in der NIS-2-Checkliste für KMU. Dieser Abschnitt ist eine Einordnung und ersetzt keine Rechtsberatung.

Wie Sie ohne eigene IT-Abteilung den Überblick behalten

Die Maßnahmen oben sind kein Projekt mit Enddatum. Updates kommen jede Woche, Mitarbeiter wechseln, neue Geräte kommen dazu. Ohne eigene IT-Abteilung hilft nur eines: Jemand ist dafür verantwortlich und schaut regelmäßig nach.

Bei Local-IT-Partner läuft das so: Firewall, Backup, Updates und Endgeräte werden überwacht, Auffälligkeiten landen bei einem Techniker, nicht in einem ungelesenen Postfach. Wird eine kritische Sicherheitslücke bekannt, bekommen Sie über den Sicherheitshinweise-Newsletter einen Hinweis mit konkreter Empfehlung. Und wenn Sie anrufen, meldet sich ein Mensch, der zuhört, die Dringlichkeit einschätzt und viele Probleme direkt im ersten Gespräch löst.

Häufige Fragen

Reicht ein Virenschutz für ein kleines Unternehmen? Nein. Virenschutz ist eine von mehreren Schichten. Er hilft nicht gegen ein gestohlenes Passwort, eine offene Fernwartung oder eine gefälschte Rechnung. Erst Updates, MFA, getestetes Backup und eine gepflegte Firewall zusammen ergeben einen brauchbaren Grundschutz.

Was kostet IT-Sicherheit für KMU? Das hängt von der Zahl der Arbeitsplätze, Server und Standorte ab. Sinnvoller als eine Pauschalzahl ist ein Blick auf Ihren Ist-Zustand. Im kostenlosen IT-Check sehen Sie, welche Lücken zuerst geschlossen werden sollten und was das kostet.

Wir haben weniger als 50 Mitarbeiter. Ist NIS2 dann egal? Nicht unbedingt. Direkt betroffen sind Sie dann meist nicht, außer in Sonderfällen, die das Gesetz regelt. Aber wenn Ihre Kunden unter NIS2 fallen, können sie von Ihnen Sicherheitsnachweise verlangen. Prüfen Sie Ihre Kundenliste.

Was tun, wenn jemand auf einen Phishing-Link geklickt hat? Sofort melden, nicht verstecken. Passwort ändern, aktive Anmeldungen beenden, Postfach-Regeln prüfen (Angreifer richten gern Weiterleitungen ein) und den betroffenen Rechner prüfen lassen. Je schneller das passiert, desto kleiner der Schaden.

Lassen Sie Ihre offenen Türen prüfen

Rufen Sie uns an: 06581 81 99 746, Mo–Fr 7:30–17:30 Uhr. Am Telefon sitzt ein Mensch, kein Sprachmenü. Im kostenlosen IT-Check schauen wir uns Updates, Backup, Firewall und Fernzugänge an und sagen Ihnen klar, was zuerst dran ist – für Betriebe in Trier, Saarburg, im Saarland und an der Nahe. Mehr zu unserem Vorgehen: IT-Sicherheit für KMU.

Cyber Security für kleine Betriebe: Wo Angreifer reinkommen und was Sie zuerst tun