Cyberangriffe treffen längst nicht mehr nur Konzerne. Gerade kleine und mittlere Unternehmen (KMU) im DACH-Raum geraten zunehmend ins Visier von Hackern — oft, weil grundlegende Sicherheitsmaßnahmen fehlen. Laut dem BSI-Lagebericht sind über 40 % der Cyberangriffe auf Unternehmen mit weniger als 250 Mitarbeitern gerichtet. Die gute Nachricht: Sie müssen kein IT-Experte sein, um Ihr Unternehmen deutlich besser zu schützen. In diesem Beitrag zeigen wir Ihnen konkrete, sofort umsetzbare Maßnahmen, mit denen Sie Ihre IT-Sicherheit auf ein professionelles Niveau heben.
1. Starke Passwörter und Passwort-Manager einsetzen
Schwache oder mehrfach verwendete Passwörter sind nach wie vor das Einfallstor Nummer eins für Cyberkriminelle. Begriffe wie „Firma2024!“ oder der Name des Haustiers bieten keinen ernsthaften Schutz. Dennoch nutzen laut Studien über 60 % der Angestellten in KMU dasselbe Passwort für mehrere Dienste.
So setzen Sie es sofort um:
- Passwort-Manager einführen: Tools wie 1Password oder Bitwarden generieren und speichern für jeden Dienst ein einzigartiges, komplexes Passwort. Ihre Mitarbeiter müssen sich nur noch ein einziges Master-Passwort merken. Bitwarden bietet eine kostenlose Variante, 1Password überzeugt mit besonders einfacher Team-Verwaltung.
- Mindeststandards definieren: Setzen Sie eine Passwortrichtlinie mit mindestens 16 Zeichen, bestehend aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen. Der Passwort-Manager erledigt das automatisch.
- Zwei-Faktor-Authentifizierung (2FA) aktivieren: Aktivieren Sie 2FA überall dort, wo es möglich ist — insbesondere bei E-Mail-Konten, Cloud-Diensten, Buchhaltungssoftware und Social-Media-Accounts. Nutzen Sie bevorzugt Authenticator-Apps (z. B. Microsoft Authenticator oder Authy) statt SMS-basierter Codes, da SMS abgefangen werden können.
- Geteilte Zugänge eliminieren: Jeder Mitarbeiter erhält einen eigenen Zugang. Geteilte Logins wie „[email protected]“ für mehrere Personen sind ein erhebliches Sicherheitsrisiko und machen eine Nachverfolgung bei Vorfällen unmöglich.
Bereits mit diesen Schritten reduzieren Sie das Risiko eines erfolgreichen Passwort-Angriffs um über 80 %.
2. Regelmäßige Updates konsequent durchführen
Jede Software enthält Sicherheitslücken — entscheidend ist, wie schnell Sie diese schließen. Viele der größten Cyberangriffe der letzten Jahre nutzten Schwachstellen aus, für die bereits seit Wochen oder Monaten Patches verfügbar waren. Updates sind kein lästiges Übel, sondern Ihre erste Verteidigungslinie.
So setzen Sie es sofort um:
- Betriebssysteme: Aktivieren Sie automatische Updates für Windows, macOS und Linux auf allen Arbeitsgeräten. Planen Sie einen festen Zeitpunkt (z. B. nachts oder am Wochenende), damit der Arbeitsalltag nicht gestört wird.
- Router und Firewall: Prüfen Sie mindestens monatlich, ob Firmware-Updates für Ihren Router verfügbar sind. Viele professionelle Systeme wie UniFi oder Lancom bieten automatische Update-Benachrichtigungen.
- NAS-Systeme: Wenn Sie ein Synology- oder QNAP-NAS einsetzen, aktivieren Sie die automatische DSM- bzw. QTS-Aktualisierung. NAS-Geräte sind ein beliebtes Angriffsziel, da sie oft rund um die Uhr erreichbar sind und sensible Daten speichern.
- Anwendungen und Browser: Halten Sie auch Drittanbieter-Software wie Browser, PDF-Reader, Office-Pakete und Videokonferenz-Tools aktuell. Veraltete Browser-Plugins sind ein häufig genutzter Angriffsvektor.
- Update-Inventar führen: Erstellen Sie eine einfache Liste aller eingesetzten Geräte und Software. So behalten Sie den Überblick und vergessen kein System beim nächsten Update-Zyklus.
Faustregel: Sicherheitsupdates sollten innerhalb von 72 Stunden nach Veröffentlichung eingespielt werden. Kritische Patches (mit CVSS-Score 9+) sofort.
3. Professionelles WLAN richtig absichern
Ein schlecht gesichertes WLAN ist wie eine offene Hintertür zu Ihrem gesamten Firmennetzwerk. Angreifer können sich im Umkreis Ihres Büros Zugang verschaffen, Datenverkehr mitlesen und Schadsoftware einschleusen — ohne jemals Ihr Gebäude betreten zu haben.
So setzen Sie es sofort um:
- WPA3-Verschlüsselung aktivieren: WPA3 ist der aktuelle Sicherheitsstandard für WLAN-Netzwerke. Falls Ihre Geräte WPA3 noch nicht unterstützen, nutzen Sie mindestens WPA2 mit einem starken, zufällig generierten Passwort (mindestens 20 Zeichen).
- Gäste-Netzwerk einrichten: Kunden, Lieferanten und Besucher erhalten ein separates WLAN, das keinen Zugriff auf Ihre internen Ressourcen hat. So bleibt Ihr Firmennetzwerk geschützt, auch wenn ein Gast-Gerät kompromittiert ist.
- VLANs für Netzwerksegmentierung: Trennen Sie Ihr Netzwerk in logische Segmente — beispielsweise ein VLAN für Arbeitsgeräte, eines für IoT-Geräte (Drucker, Kameras, smarte Thermostate) und eines für Gäste. Professionelle Lösungen wie UniFi machen die VLAN-Konfiguration auch für kleinere Unternehmen handhabbar.
- Standard-Zugangsdaten ändern: Ändern Sie sofort nach der Einrichtung das Standardpasswort Ihres Routers oder Access Points. Die werksseitigen Zugangsdaten sind öffentlich bekannt und werden von Angreifern systematisch durchprobiert.
- SSID-Name neutral wählen: Vermeiden Sie Firmennamen in der WLAN-Kennung. Ein neutraler Name erschwert es Angreifern, Ihr Netzwerk gezielt einem Unternehmen zuzuordnen.
Mit einer durchdachten Netzwerkarchitektur stellen Sie sicher, dass selbst bei einem erfolgreichen Eindringen der Schaden begrenzt bleibt.
4. Automatisierte Backups nach der 3-2-1-Regel
Ransomware-Angriffe haben sich in den letzten Jahren vervielfacht. Die Angreifer verschlüsseln Ihre Daten und fordern Lösegeld — oft fünfstellige Beträge. Ohne ein funktionierendes Backup stehen Sie vor der Wahl: zahlen oder alles verlieren. Ein durchdachtes Backup-Konzept macht Sie erpressungsresistent.
Die 3-2-1-Regel erklärt:
- 3 Kopien Ihrer Daten (das Original plus zwei Backups)
- 2 verschiedene Speichermedien (z. B. NAS und externe Festplatte oder Cloud)
- 1 Kopie an einem externen Standort (z. B. Cloud-Backup oder ein physisches Medium an einem anderen Ort)
So setzen Sie es sofort um:
- NAS als zentrale Backup-Lösung: Ein Synology- oder QNAP-NAS bietet integrierte Backup-Funktionen wie Hyper Backup oder Hybrid Backup Sync. Richten Sie tägliche automatische Backups aller wichtigen Daten ein.
- Versionierung aktivieren: Speichern Sie mehrere Versionen Ihrer Dateien. Falls Ransomware eine Datei verschlüsselt, können Sie auf eine ältere, saubere Version zurückgreifen. Bewahren Sie mindestens 30 Tage an Versionen auf.
- Offsite-Backup einrichten: Nutzen Sie verschlüsselte Cloud-Backups (z. B. Synology C2, Hetzner Storage Box oder Backblaze B2) als externen Speicherort. So sind Ihre Daten auch bei einem physischen Schaden (Brand, Einbruch, Wasserschaden) geschützt.
- Backups regelmäßig testen: Ein Backup, das sich nicht wiederherstellen lässt, ist wertlos. Testen Sie mindestens vierteljährlich die Wiederherstellung — am besten mit einem dokumentierten Testprotokoll.
- Immutable Backups: Moderne Backup-Lösungen bieten unveränderliche Snapshots, die auch ein Angreifer mit Admin-Rechten nicht löschen kann. Prüfen Sie, ob Ihre Lösung diese Funktion unterstützt.
Ein getestetes, automatisiertes Backup-System ist die beste Versicherung, die Sie für Ihre Unternehmensdaten abschließen können.
5. Mitarbeiter für Cybergefahren sensibilisieren
Die beste Technik nützt nichts, wenn der Mensch die Schwachstelle bleibt. Über 90 % aller erfolgreichen Cyberangriffe beginnen mit einer Phishing-E-Mail oder einem Social-Engineering-Angriff. Ihre Mitarbeiter sind die letzte — und oft wichtigste — Verteidigungslinie.
So setzen Sie es sofort um:
- Phishing-Erkennung schulen: Zeigen Sie Ihrem Team konkrete Beispiele für Phishing-E-Mails. Achten Sie auf typische Merkmale: Dringlichkeit („Ihr Konto wird gesperrt!“), unbekannte Absender mit leicht abgewandelten Domains, verdächtige Links und unerwartete Anhänge.
- Social Engineering erklären: Angreifer geben sich als IT-Support, Lieferanten oder sogar Geschäftsführer aus (CEO-Fraud). Etablieren Sie klare Verifizierungsprozesse: Keine Überweisung und keine Passwortänderung ohne telefonische Rücksprache über eine bekannte Nummer.
- Regelmäßige Awareness-Trainings: Führen Sie mindestens zweimal jährlich kurze Schulungen durch (15-30 Minuten). Nutzen Sie kostenlose Ressourcen wie die Schulungsmaterialien des BSI oder investieren Sie in Plattformen wie KnowBe4 oder SoSafe.
- Phishing-Simulationen durchführen: Testen Sie Ihr Team mit simulierten Phishing-Mails. Das ist kein Misstrauen, sondern praktisches Training. Mitarbeiter, die darauf hereinfallen, erhalten eine zusätzliche Kurzschulung.
- Meldekultur fördern: Schaffen Sie eine offene Atmosphäre, in der Mitarbeiter verdächtige E-Mails oder versehentliche Klicks sofort melden — ohne Angst vor Konsequenzen. Schnelle Meldung kann den Schaden eines Angriffs drastisch begrenzen.
Investitionen in Mitarbeiterschulungen haben den höchsten Return on Investment aller IT-Sicherheitsmaßnahmen. Ein geschultes Team erkennt Bedrohungen, bevor technische Systeme überhaupt eingreifen müssen.
6. E-Mail-Sicherheit: SPF, DKIM und DMARC richtig konfigurieren
E-Mail ist der Hauptkommunikationskanal in fast jedem Unternehmen — und damit auch der beliebteste Angriffsvektor. Ohne die richtigen Schutzmaßnahmen können Angreifer E-Mails in Ihrem Namen versenden (E-Mail-Spoofing), was zu Phishing-Angriffen auf Ihre Kunden und Partner führt. Drei Technologien schützen Sie davor:
SPF (Sender Policy Framework): Ein DNS-Eintrag, der festlegt, welche Mailserver im Namen Ihrer Domain E-Mails versenden dürfen. Empfangende Server prüfen, ob die eingehende E-Mail von einem autorisierten Server stammt. Unautorisierte E-Mails werden als verdächtig markiert oder abgewiesen.
DKIM (DomainKeys Identified Mail): Jede ausgehende E-Mail wird mit einer digitalen Signatur versehen. Der Empfänger kann anhand eines öffentlichen Schlüssels in Ihrem DNS prüfen, ob die E-Mail unterwegs manipuliert wurde. Das verhindert, dass Angreifer den Inhalt Ihrer E-Mails auf dem Weg zum Empfänger verändern.
DMARC (Domain-based Message Authentication, Reporting and Conformance): DMARC baut auf SPF und DKIM auf und legt fest, was mit E-Mails geschehen soll, die die Prüfung nicht bestehen. Sie können zwischen „keine Aktion“, „in Spam verschieben“ oder „ablehnen“ wählen. Zusätzlich erhalten Sie regelmäßige Berichte über Zustellversuche — so erkennen Sie Missbrauchsversuche frühzeitig.
So setzen Sie es sofort um:
- SPF-Eintrag erstellen: Fügen Sie einen TXT-Eintrag in Ihren DNS-Einstellungen hinzu, der alle legitimen Mailserver auflistet (z. B. Ihren E-Mail-Provider und eventuell Ihr CRM-System).
- DKIM aktivieren: Die meisten E-Mail-Provider (Microsoft 365, Google Workspace) bieten DKIM-Signierung an. Aktivieren Sie diese in den Admin-Einstellungen und hinterlegen Sie den öffentlichen Schlüssel als DNS-Eintrag.
- DMARC schrittweise einführen: Starten Sie mit der Policy „none“ (nur Monitoring), um keine legitimen E-Mails zu blockieren. Werten Sie die DMARC-Berichte aus, und verschärfen Sie die Policy dann auf „quarantine“ und schließlich „reject“.
- Kostenlose Prüfung nutzen: Tools wie MXToolbox oder Mail-Tester.com prüfen Ihre E-Mail-Konfiguration in Sekunden und zeigen Ihnen genau, wo Handlungsbedarf besteht.
Korrekt konfigurierte E-Mail-Authentifizierung schützt nicht nur Sie, sondern auch Ihre Kunden und Geschäftspartner — und verbessert nebenbei Ihre E-Mail-Zustellrate erheblich.
7. Endpunkt-Schutz: Antivirus, EDR und Geräteverschlüsselung
Jedes Gerät, das auf Ihre Unternehmensdaten zugreift — ob Desktop-PC, Laptop, Tablet oder Smartphone — ist ein potenzieller Angriffspunkt. Moderner Endpunkt-Schutz geht weit über klassische Antivirensoftware hinaus.
Antivirus vs. EDR — was brauchen Sie?
Klassische Antivirenlösungen erkennen bekannte Schadsoftware anhand von Signaturen. Das reicht heute nicht mehr aus, da Angreifer ihre Malware ständig verändern. EDR-Lösungen (Endpoint Detection and Response) überwachen das Verhalten auf Ihren Geräten in Echtzeit und erkennen auch neuartige Bedrohungen anhand verdächtiger Aktivitäten — zum Beispiel, wenn ein Programm plötzlich beginnt, massenhaft Dateien zu verschlüsseln.
So setzen Sie es sofort um:
- Mindeststandard setzen: Auf jedem Unternehmensgerät muss eine aktuelle Schutzlösung laufen. Für kleine Teams sind Lösungen wie Microsoft Defender for Business, Sophos Intercept X oder ESET Protect solide und bezahlbare Optionen.
- Zentrale Verwaltung einrichten: Nutzen Sie eine Lösung mit zentralem Dashboard, über das Sie den Schutzstatus aller Geräte überwachen können. So erkennen Sie sofort, wenn ein Gerät veraltet oder ungeschützt ist.
- Festplattenverschlüsselung aktivieren: Aktivieren Sie BitLocker (Windows) oder FileVault (macOS) auf allen Geräten. Falls ein Laptop gestohlen wird oder verloren geht, kann niemand auf die gespeicherten Daten zugreifen. Die Aktivierung dauert wenige Minuten und verlangsamt das Gerät nicht spürbar.
- Mobile Geräte einbeziehen: Wenn Mitarbeiter mit Smartphones oder Tablets auf Firmendaten zugreifen, gehören auch diese Geräte in Ihr Sicherheitskonzept. Mindestanforderungen: Bildschirmsperre, aktuelles Betriebssystem und die Möglichkeit zur Fernlöschung bei Verlust.
- USB-Richtlinie definieren: Unbekannte USB-Sticks sind ein klassischer Angriffsvektor. Definieren Sie, ob und unter welchen Bedingungen externe Speichermedien verwendet werden dürfen.
Endpunkt-Schutz ist besonders wichtig, wenn Ihre Mitarbeiter im Homeoffice oder unterwegs arbeiten — denn dort fehlt der Schutz des Firmennetzwerks.
Checkliste: Die wichtigsten IT-Sicherheitsmaßnahmen auf einen Blick
Nutzen Sie diese Checkliste als Ausgangspunkt für Ihre IT-Sicherheitsstrategie. Haken Sie ab, was bereits umgesetzt ist, und priorisieren Sie die offenen Punkte:
- Passwort-Manager für alle Mitarbeiter eingeführt
- Zwei-Faktor-Authentifizierung (2FA) für alle kritischen Dienste aktiviert
- Automatische Betriebssystem-Updates auf allen Geräten aktiviert
- Router- und NAS-Firmware auf dem aktuellen Stand
- WLAN mit WPA3 (oder mindestens WPA2) verschlüsselt
- Gäste-WLAN vom Firmennetzwerk getrennt
- Netzwerk in VLANs segmentiert (Arbeitsgeräte, IoT, Gäste)
- Automatisierte Backups nach der 3-2-1-Regel eingerichtet
- Backup-Wiederherstellung mindestens vierteljährlich getestet
- Offsite-Backup (Cloud oder externer Standort) vorhanden
- Mitarbeiter-Schulung zu Phishing und Social Engineering durchgeführt
- SPF-, DKIM- und DMARC-Einträge für die Firmendomain konfiguriert
- Antivirus- oder EDR-Lösung auf allen Endgeräten installiert
- Festplattenverschlüsselung (BitLocker/FileVault) auf allen Laptops aktiviert
- Fernlöschung für mobile Geräte eingerichtet
- Notfallplan für IT-Sicherheitsvorfälle dokumentiert
- Verantwortlichkeiten für IT-Sicherheit klar zugewiesen
- Regelmäßiger Sicherheits-Check (mindestens halbjährlich) eingeplant
Sie müssen nicht alle Punkte gleichzeitig umsetzen. Beginnen Sie mit den Maßnahmen, die den größten Schutz bei geringstem Aufwand bieten: Passwort-Manager, 2FA und automatische Updates. Arbeiten Sie die Liste dann Schritt für Schritt ab.
Fazit: IT-Sicherheit ist kein Luxus, sondern Pflicht
IT-Sicherheit muss weder teuer noch kompliziert sein. Die in diesem Beitrag vorgestellten Maßnahmen lassen sich mit überschaubarem Aufwand umsetzen und schützen Ihr Unternehmen vor den häufigsten Angriffsszenarien. Entscheidend ist, dass Sie heute damit beginnen — denn die Frage ist nicht, ob Ihr Unternehmen angegriffen wird, sondern wann.
Kleine und mittlere Unternehmen im gesamten DACH-Raum stehen vor denselben Herausforderungen: begrenzte IT-Ressourcen, wachsende Bedrohungen und steigende regulatorische Anforderungen durch die NIS-2-Richtlinie und die DSGVO. Wer jetzt in grundlegende Sicherheitsmaßnahmen investiert, vermeidet nicht nur kostspielige Vorfälle, sondern stärkt auch das Vertrauen von Kunden und Geschäftspartnern.
Sie möchten wissen, wo Ihr Unternehmen steht und welche Maßnahmen bei Ihnen Priorität haben? Wir unterstützen kleine und mittlere Unternehmen deutschlandweit und im gesamten DACH-Raum dabei, ihre IT-Sicherheit systematisch aufzubauen — praxisnah, verständlich und auf Ihre Unternehmensgröße zugeschnitten.