IT-Sicherheit für Start-ups: Von Tag eins richtig aufsetzen

Grundlagen

Warum Sicherheit für Start-ups früh zählt

Start-ups sind für Angreifer attraktiv: viele Cloud-Dienste, schnelle Einstellungen, wenig feste Prozesse und oft wertvolles geistiges Eigentum. Gleichzeitig hat ein junges Unternehmen wenig Puffer – ein gekapertes Konto, ein gelöschtes Repository oder eine Datenpanne kurz vor der Finanzierungsrunde kann existenzbedrohend sein.

Dazu kommt der Druck von außen. Spätestens wenn Sie an Mittelständler, Konzerne oder Behörden verkaufen, landet ein Sicherheitsfragebogen auf dem Tisch. Viele dieser Kunden unterliegen selbst NIS2 und müssen ihre Lieferkette prüfen. Und Investoren schauen in der Due Diligence zunehmend auf Informationssicherheit und Datenschutz.

Unsere Faustregel: Sicherheit, die Sie am Anfang einrichten, kostet Stunden. Sicherheit, die Sie mit 40 Mitarbeitenden und 30 Tools nachrüsten, kostet Wochen.

Fundament

Identitäten: das Fundament von allem

In einem Cloud-Start-up gibt es kein Firmennetz mehr, das man abschotten könnte. Der Perimeter ist die Anmeldung. Deshalb ist die wichtigste Entscheidung, wo Ihre Identitäten liegen:

• Ein zentrales Konto pro Person bei Microsoft 365 (Entra ID) oder Google Workspace – keine geteilten Logins wie info@ für Tools.
• Mehr-Faktor-Anmeldung für alle, ohne Ausnahme, am besten mit Passkeys oder einer Authenticator-App statt SMS.
• Single Sign-on (SSO): Melden Sie sich bei Slack, Notion, HubSpot, GitHub und Co. über das zentrale Konto an. Wer das Unternehmen verlässt, verliert mit einem Klick den Zugang zu allem.
• Admin-Rechte sparsam vergeben und für Admins getrennte Konten nutzen. Gründer brauchen nicht überall Vollzugriff.
• Passwortmanager für das Team für alles, was (noch) kein SSO kann – mit geteilten Tresoren statt Passwörtern im Chat.

Legen Sie außerdem fest, dass Firmendaten nur in Firmenkonten liegen. Das private Gmail-Konto des Mitgründers als Inhaber der Domain oder des AWS-Kontos ist ein Klassiker, der später viel Ärger macht.

Geräte und Arbeitsplätze

Laptops sind der zweite große Angriffsweg. Auch in kleinen Teams lohnt sich eine zentrale Geräteverwaltung (Mobile Device Management), etwa Microsoft Intune, Jamf oder Kandji für Macs. Damit setzen Sie per Richtlinie durch:

• Festplattenverschlüsselung (BitLocker oder FileVault) und Bildschirmsperre.
• Automatische Updates für Betriebssystem und Browser.
• Einen modernen Endpoint-Schutz, der verdächtiges Verhalten erkennt und zentral meldet.
• Fernlöschen bei Verlust oder Diebstahl – und sauberes Zurücksetzen beim Offboarding.

Private Geräte (Bring Your Own Device) sollten Sie bewusst regeln: Zugriff auf E-Mail und Chat über verwaltete Apps ist oft vertretbar, Zugriff auf Quellcode oder Kundendaten eher nicht.

Produkt

Cloud, Code und Secrets

Wer ein digitales Produkt baut, hat zusätzliche Angriffsflächen. Die häufigsten Fehler, die wir sehen:

• Zugangsdaten im Code: API-Schlüssel und Passwörter gehören in einen Secret-Manager oder in verschlüsselte Umgebungsvariablen, nie ins Repository. Aktivieren Sie das Secret Scanning von GitHub oder GitLab.
• Offene Cloud-Speicher und Datenbanken: Öffentlich erreichbare Buckets und Datenbanken ohne Passwort sind nach wie vor eine der häufigsten Ursachen für Datenlecks.
• Root-Konten im Alltag: Das Hauptkonto bei AWS, Azure oder Google Cloud mit Hardware-Schlüssel sichern und im Tresor lassen; gearbeitet wird mit eingeschränkten Rollen.
• Veraltete Abhängigkeiten: Werkzeuge wie Dependabot oder Renovate melden bekannte Lücken in Bibliotheken automatisch.
• Keine Trennung der Umgebungen: Entwicklung, Test und Produktion getrennt halten – und echte Kundendaten nicht zum Testen verwenden.

Für den Entwicklungsprozess genügt am Anfang wenig: geschützter Hauptbranch, Code-Review vor jedem Merge, Mehr-Faktor-Anmeldung für alle Repository-Konten und automatische Sicherheitsprüfungen in der Build-Pipeline.

Backup nicht vergessen

Auch in der Cloud können Daten verloren gehen – durch einen Bedienfehler, ein kompromittiertes Konto oder eine gekündigte Kreditkarte. Sichern Sie Datenbanken, Repositories und Ihre Microsoft-365- oder Google-Workspace-Daten zusätzlich, möglichst in einem getrennten Konto, und testen Sie die Wiederherstellung.

Recht

DSGVO, Cyber Resilience Act und NIS2

DSGVO gilt ab dem ersten Kunden

Sobald Sie personenbezogene Daten verarbeiten, gilt die DSGVO – unabhängig von der Unternehmensgröße. Dazu gehören ein Verzeichnis der Verarbeitungstätigkeiten, Auftragsverarbeitungsverträge mit allen Dienstleistern, angemessene technische und organisatorische Maßnahmen und ein Prozess für Datenpannen, die innerhalb von 72 Stunden an die Aufsichtsbehörde zu melden sind. Arbeiten Sie als Dienstleister für Kunden, brauchen Sie selbst eine saubere Vorlage für Auftragsverarbeitungsverträge.

Cyber Resilience Act: wichtig für Hersteller

Der Cyber Resilience Act (CRA) der EU richtet sich an Hersteller von Produkten mit digitalen Elementen – also Hardware mit Software und eigenständig vertriebene Software, einschließlich zugehöriger Cloud-Funktionen. Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle melden: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und einen Abschlussbericht. Die übrigen Pflichten, etwa Security by Design, Schwachstellenmanagement, Updates über den Support-Zeitraum und CE-Kennzeichnung, gelten ab dem 11. Dezember 2027.

Reine Software-as-a-Service-Angebote fallen in der Regel nicht unter den CRA. Wer aber eine App, ein IoT-Gerät oder installierbare Software verkauft, sollte jetzt einen Meldeprozess und eine Möglichkeit für externe Schwachstellenhinweise (etwa eine security.txt und eine Sicherheits-E-Mail-Adresse) einrichten.

NIS2 betrifft Start-ups meist indirekt

Direkt unter das NIS2-Umsetzungsgesetz fallen Unternehmen ab 50 Mitarbeitenden oder mehr als 10 Mio. € Umsatz und Bilanzsumme in bestimmten Sektoren. Für bestimmte digitale Dienste, etwa Cloud-Anbieter, Rechenzentren und DNS-Dienste, gelten teils besondere Regeln. Häufiger trifft NIS2 Start-ups indirekt: Ihre Kunden müssen die Sicherheit ihrer Lieferanten prüfen – und fragen Sie. Ob Sie selbst betroffen sind, klären Sie in wenigen Minuten mit unserem NIS2-Check.

Vertrauen

Sicherheitsfragebögen, ISO 27001 und Co.

Spätestens im B2B-Vertrieb wird Sicherheit zum Verkaufsargument. Wir empfehlen, früh eine kleine Sicherheitsdokumentation aufzubauen: Welche Maßnahmen gibt es, wer ist verantwortlich, wie läuft ein Notfall ab? Damit beantworten Sie die meisten Fragebögen in Stunden statt Tagen.

Eine Zertifizierung ist kein Selbstzweck. Sie lohnt sich, wenn Kunden sie verlangen oder sie Ihnen den Marktzugang öffnet – und sie ist deutlich leichter, wenn die Grundlagen von Anfang an stimmen.

Menschen

Team, Onboarding und Offboarding

Schnelles Wachstum bedeutet viele neue Konten – und oft vergessene. Legen Sie eine einfache Checkliste für Ein- und Austritte an: Welche Konten und Geräte bekommt eine neue Person, welche Rechte braucht sie wirklich, und wer sperrt am letzten Arbeitstag alle Zugänge? Mit SSO ist das zum großen Teil ein Klick.

Schulen Sie Ihr Team kurz, aber regelmäßig: gefälschte Login-Seiten, angebliche Zahlungsanweisungen der Gründer per E-Mail oder Messenger („CEO-Fraud“) und der Umgang mit KI-Tools und Kundendaten. Eine klare Regel hilft viel: Zahlungen und Änderungen von Bankverbindungen werden immer über einen zweiten Kanal bestätigt.

Fahrplan

Der 90-Tage-Fahrplan

Erste 30 Tage: Grundlagen

1. Microsoft 365 oder Google Workspace als zentrale Identität einrichten, Mehr-Faktor-Anmeldung für alle erzwingen.
2. Domain, Cloud- und Bankkonten auf Firmenkonten umziehen; Notfallzugänge sicher hinterlegen.
3. Passwortmanager für das Team einführen.
4. Laptops verschlüsseln und automatische Updates aktivieren.

Tage 31 bis 60: Absichern

5. SSO für die wichtigsten Tools aktivieren, geteilte Logins abschaffen.
6. Geräteverwaltung und Endpoint-Schutz ausrollen.
7. Repositories und Cloud absichern: Secret Scanning, Branch-Schutz, Abhängigkeits-Prüfung, eingeschränkte Rollen.
8. Backups für Datenbanken, Code und Office-Daten einrichten und testen.

Tage 61 bis 90: Dokumentieren

9. Kurzes Sicherheitskonzept und Notfallplan schreiben, inklusive Meldewegen für DSGVO und – als Hersteller – für den CRA.
10. Verarbeitungsverzeichnis und Auftragsverarbeitungsverträge vervollständigen.
11. Ein- und Austritts-Checkliste festlegen und das Team schulen.
12. Antworten auf einen Standard-Sicherheitsfragebogen vorbereiten.

Unser Fazit: Start-ups brauchen kein Sicherheitsteam, sondern ein paar gute Grundsatzentscheidungen: zentrale Identitäten, verwaltete Geräte, saubere Cloud und ein bisschen Dokumentation. Das bremst nicht – es macht Sie verkaufsfähig für die Kunden, die Sie gewinnen wollen.

Häufige Fragen zur IT-Sicherheit im Start-up

Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Stand: Oktober 2026.