Blog · IT-Sicherheit für KMU
IT-Sicherheit für KMU: Der Leitfaden für den Mittelstand
Kleine und mittlere Unternehmen sind heute das häufigste Ziel von Cyberangriffen – nicht, weil sie besonders wertvoll sind, sondern weil sie oft leichter zu knacken sind als Konzerne. Gleichzeitig steigen die Anforderungen von Kunden, Versicherern und Gesetzgeber. Dieser Leitfaden zeigt, welche Maßnahmen wirklich zählen und in welcher Reihenfolge Sie sie angehen.
Das Wichtigste in Kürze
- Fünf Hebel verhindern die meisten Angriffe: Mehr-Faktor-Anmeldung, Updates, Endpoint-Schutz, Passwortmanager und ein getrenntes, getestetes Backup.
- IT-Sicherheit ist Chefsache – unter NIS2 haftet die Geschäftsleitung persönlich.
- Ein Notfallplan auf Papier ist im Ernstfall mehr wert als jedes Tool.
- Auch kleine Zulieferer müssen zunehmend Sicherheitsnachweise erbringen.
- Schritt für Schritt vorgehen: erst die Grundsicherung, dann Feinschliff.
Lage
Warum gerade der Mittelstand betroffen ist
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt in seinen Lageberichten seit Jahren dasselbe Muster: Angreifer arbeiten arbeitsteilig und automatisiert, und kleine und mittlere Unternehmen geraten besonders häufig ins Visier – vor allem durch Ransomware, also Schadsoftware, die Daten verschlüsselt und Lösegeld fordert. Der Grund ist einfach: Viele KMU nutzen dieselbe Cloud- und Office-Software wie Konzerne, haben aber keine eigene Sicherheitsabteilung.
Die Folgen eines Angriffs sind für ein mittelständisches Unternehmen oft gravierender als für einen Konzern: Tage oder Wochen ohne E-Mail, Warenwirtschaft und Buchhaltung, verlorene Aufträge, Meldepflichten nach DSGVO und ein Vertrauensschaden bei Kunden.
Die häufigsten Einfallstore
- Phishing und gestohlene Zugangsdaten, vor allem für Microsoft 365, VPN und Fernwartung.
- Ungepatchte Systeme – Firewalls, VPN-Gateways, Server und veraltete Arbeitsplätze wie Windows 10.
- Betrug per E-Mail: gefälschte Rechnungen, geänderte Bankverbindungen, angebliche Anweisungen der Geschäftsführung.
- Dienstleister und Lieferkette: Fernwartungszugänge von IT- oder Softwarepartnern.
- Fehlende Trennung zwischen Büro-Netz, Produktion, Gäste-WLAN und Kameras.
Technik
Die technische Grundsicherung
Diese Maßnahmen bringen den größten Schutz pro investiertem Euro. Sie sind auch das, was Cyber-Versicherer und Großkunden zuerst abfragen.
| Maßnahme | Wogegen sie schützt | Priorität |
|---|---|---|
| Mehr-Faktor-Anmeldung für alle Konten, besonders E-Mail, VPN und Admins | Gestohlene Passwörter, Phishing | Sofort |
| Patch-Management für Betriebssysteme, Programme, Firewall und Router | Bekannte Sicherheitslücken | Sofort |
| Getrenntes, getestetes Backup inklusive Microsoft 365 | Ransomware, Bedienfehler, Hardwaredefekt | Sofort |
| Endpoint-Schutz (EDR), zentral überwacht | Schadsoftware, verdächtiges Verhalten | Hoch |
| Passwortmanager für das Team | Schwache und mehrfach genutzte Passwörter | Hoch |
| Minimale Admin-Rechte und getrennte Admin-Konten | Ausbreitung nach einem Einbruch | Hoch |
| Netzwerktrennung und sichere Firewall-Konfiguration | Ausbreitung, unsichere Geräte | Mittel |
| E-Mail-Schutz mit SPF, DKIM und DMARC | Gefälschte Absender, Spoofing | Mittel |
Backup: die letzte Verteidigungslinie
Wenn alles andere versagt, entscheidet das Backup, ob Sie nach einem Angriff in Tagen oder in Wochen wieder arbeiten. Wichtig sind drei Punkte: Mindestens eine Kopie liegt getrennt von Ihren Systemen und ist vor Löschung geschützt, auch Cloud-Daten aus Microsoft 365 werden gesichert, und die Wiederherstellung wird regelmäßig getestet. Ein Backup, das nie zurückgespielt wurde, ist nur eine Hoffnung.
Microsoft 365 richtig absichern
In den meisten KMU ist Microsoft 365 das Herzstück – und damit das wichtigste Angriffsziel. Mit den Bordmitteln lässt sich viel erreichen:
- Mehr-Faktor-Anmeldung erzwingen, alte Anmeldeverfahren (Legacy Authentication) abschalten.
- Bedingter Zugriff (Conditional Access, ab Business Premium): Anmeldung nur von verwalteten Geräten oder aus erlaubten Ländern.
- Geräteverwaltung mit Intune: Verschlüsselung, Updates und Virenschutz per Richtlinie.
- Freigaben kontrollieren: Wer darf Dateien in OneDrive und SharePoint nach außen teilen? Gerade vor der Einführung von Copilot ist das wichtig.
- Unabhängiges Backup der E-Mails, Dateien und Teams-Daten, etwa mit Keepit.
Mehr dazu in unserem Ratgeber Microsoft 365 im Unternehmen.
Organisation
Organisation: Verantwortung, Regeln und Menschen
Technik allein reicht nicht. Mindestens genauso wichtig sind klare Zuständigkeiten und Abläufe:
Verantwortung festlegen
Benennen Sie eine Person, die für Informationssicherheit verantwortlich ist – intern oder bei einem externen Dienstleister. Die Gesamtverantwortung bleibt bei der Geschäftsleitung. Unter NIS2 ist das ausdrücklich geregelt: Geschäftsleitungen betroffener Unternehmen müssen Risikomanagement-Maßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen.
Mitarbeitende schulen
Die meisten Angriffe beginnen mit einer E-Mail oder einem Anruf. Kurze, regelmäßige Schulungen zu Phishing, Betrugsmaschen und dem Umgang mit KI-Tools wirken mehr als eine jährliche Pflichtveranstaltung. Eine einfache Regel verhindert viele Schäden: Zahlungen und geänderte Bankverbindungen werden immer telefonisch über eine bekannte Nummer bestätigt.
Ein- und Austritte
Legen Sie fest, wer neuen Mitarbeitenden welche Zugänge gibt – und wer sie am letzten Arbeitstag wieder entzieht. Verwaiste Konten ehemaliger Mitarbeitender sind ein häufig übersehenes Risiko.
Dienstleister im Blick
Führen Sie eine Liste aller Dienstleister mit Zugriff auf Ihre Systeme: IT-Partner, Softwarehersteller mit Fernwartung, Cloud-Anbieter. Fernzugänge sollten nur bei Bedarf freigeschaltet, mit Mehr-Faktor-Anmeldung geschützt und protokolliert werden. Auftragsverarbeitungsverträge nach DSGVO gehören dazu.
Ernstfall
Der Notfallplan: vorbereitet statt überrascht
Im Ernstfall fehlen oft die einfachsten Dinge: Wer entscheidet? Wen rufen wir an? Wo stehen die Telefonnummern, wenn E-Mail und Server nicht funktionieren? Ein Notfallplan beantwortet diese Fragen vorab – und liegt auch ausgedruckt vor.
- Notfallkontakte: IT-Dienstleister, Geschäftsleitung, Cyber-Versicherung, Bank, Datenschutzbeauftragte.
- Sofortmaßnahmen: betroffene Geräte vom Netz trennen, nicht ausschalten, nichts löschen.
- Entscheidungswege: Wer darf Systeme abschalten, wer kommuniziert mit Kunden und Mitarbeitenden?
- Meldepflichten: DSGVO-Datenpannen innerhalb von 72 Stunden an die Datenschutzaufsicht, für NIS2-Einrichtungen zusätzlich die Meldefristen gegenüber dem BSI.
- Wiederanlauf: Welche Systeme kommen zuerst zurück, und wie lange darf ein Ausfall höchstens dauern?
Als Einstieg eignet sich unsere kostenlose IT-Notfallkarte zum Ausfüllen und Aushängen.
Vorgaben
NIS2, DSGVO und Kundenanforderungen
NIS2
Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025. Direkt betroffen sind Unternehmen in bestimmten Sektoren ab 50 Mitarbeitenden oder mehr als 10 Mio. € Umsatz und Bilanzsumme – darunter Energie, Transport, Gesundheit, Digitale Infrastruktur, Abfallwirtschaft, Lebensmittel, Chemie und weite Teile des verarbeitenden Gewerbes. Sie müssen sich beim BSI registrieren, Risikomanagement-Maßnahmen umsetzen und erhebliche Sicherheitsvorfälle melden. Ob Ihr Unternehmen betroffen ist, sehen Sie in wenigen Minuten im NIS2-Check.
DSGVO
Unabhängig von NIS2 verlangt die DSGVO von jedem Unternehmen angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Viele der Maßnahmen aus diesem Leitfaden erfüllen genau diese Anforderung.
Kunden, Versicherer und Lieferkette
Auch wer nicht direkt unter NIS2 fällt, spürt die Anforderungen: Betroffene Kunden müssen ihre Lieferanten prüfen und verlangen Nachweise. Cyber-Versicherer machen Mehr-Faktor-Anmeldung, Backups und Patch-Management zur Voraussetzung. Hilfreiche Rahmenwerke für KMU sind der CyberRisikoCheck nach DIN SPEC 27076, die Richtlinie VdS 10000 und für höhere Anforderungen ISO 27001 oder BSI IT-Grundschutz.
Fahrplan
In welcher Reihenfolge Sie vorgehen sollten
Stufe 1: Grundsicherung (erste Wochen)
- Mehr-Faktor-Anmeldung für alle Konten, zuerst für E-Mail, Fernzugänge und Admins.
- Backup prüfen: getrennte Kopie, Microsoft 365 eingeschlossen, Wiederherstellung testen.
- Updates automatisieren, Systeme ohne Herstellersupport identifizieren und ersetzen.
- Notfallkarte ausfüllen und aushängen.
Stufe 2: Absicherung (erste Monate)
- Endpoint-Schutz mit zentraler Überwachung einführen.
- Passwortmanager für das Team einführen.
- Admin-Rechte bereinigen, Ein- und Austrittsprozess festlegen.
- Netzwerk trennen, Firewall und WLAN prüfen, E-Mail-Schutz mit DMARC einrichten.
Stufe 3: Organisation und Nachweis (laufend)
- Verantwortung festlegen, Sicherheitsrichtlinie und Notfallplan schreiben.
- Mitarbeitende regelmäßig schulen.
- Dienstleister und Fernzugänge erfassen und regeln.
- Maßnahmen dokumentieren und einmal im Jahr überprüfen – bei NIS2-Betroffenheit nach den gesetzlichen Vorgaben.
Unser Fazit: IT-Sicherheit im Mittelstand ist kein Großprojekt, sondern eine Reihe überschaubarer Schritte. Wer die Grundsicherung konsequent umsetzt, einen Notfallplan hat und Verantwortung klar regelt, wehrt die meisten Angriffe ab – und kann Kunden, Versicherern und Behörden mit gutem Gewissen zeigen, was er tut.
Häufige Fragen zur IT-Sicherheit im Mittelstand
Womit sollte ein KMU bei der IT-Sicherheit anfangen?
Mit der Grundsicherung: Mehr-Faktor-Anmeldung für alle Konten, automatische Updates, ein getrenntes und getestetes Backup, zentral überwachter Endpoint-Schutz und ein Passwortmanager. Diese fünf Maßnahmen verhindern die meisten Angriffe und werden auch von Versicherern und Kunden zuerst abgefragt.
Brauchen wir einen eigenen IT-Sicherheitsbeauftragten?
Gesetzlich vorgeschrieben ist eine solche Funktion für die meisten KMU nicht. Sinnvoll ist aber, eine verantwortliche Person zu benennen – intern oder bei einem externen Dienstleister. Die Gesamtverantwortung bleibt immer bei der Geschäftsleitung.
Reicht ein Virenschutz nicht aus?
Nein. Klassischer Virenschutz erkennt nur einen Teil der Angriffe. Viele Einbrüche laufen über gestohlene Zugangsdaten oder ungepatchte Systeme, gegen die ein Virenschutz nichts ausrichtet. Erst die Kombination aus Mehr-Faktor-Anmeldung, Updates, modernem Endpoint-Schutz und Backup schützt wirksam.
Wir sind zu klein für NIS2 – müssen wir trotzdem etwas tun?
Ja, aus drei Gründen: Die DSGVO verlangt angemessene Schutzmaßnahmen für jedes Unternehmen, NIS2-pflichtige Kunden fordern Nachweise von ihren Lieferanten, und Cyber-Versicherer setzen Mindeststandards voraus. Eine dokumentierte Grundsicherung zahlt sich deshalb für jedes Unternehmen aus.
Was tun wir, wenn wir angegriffen werden?
Betroffene Geräte vom Netz trennen, aber nicht ausschalten, und nichts löschen. Dann sofort den IT-Dienstleister und gegebenenfalls die Cyber-Versicherung informieren, die Geschäftsleitung einbinden und Meldepflichten prüfen. Unsere IT-Notfallkarte fasst die Schritte auf einer Seite zusammen.
Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Stand: Oktober 2026.
Kostenlos vorab prüfen
Erste Einschätzung in wenigen Minuten – kostenlos und ohne Anmeldung.