Technische Schutzmaßnahmen helfen nur, wenn jemand sie aktiviert, prüft und testet. Für einen kleinen Betrieb beginnt der erste Schritt deshalb mit einer Zuständigkeit und einem Termin pro Aufgabe.
Viele Vorfälle beginnen mit manipulierten E-Mails oder kompromittierten Konten. Deshalb brauchen wichtige Konten und Sicherheitsaufgaben eine klar benannte verantwortliche Person.
Technik braucht Zuständigkeit
Bitkom bezifferte den durch Cybercrime verursachten Schaden in seiner Unternehmensbefragung 2024 auf 178,6 Milliarden Euro. Die Zahl ist ein gesamtwirtschaftlicher Schätzwert, keine Prognose für den möglichen Schaden eines einzelnen Betriebs.
Eine benannte Person braucht außerdem Zeit, passende Zugriffsrechte und bei Bedarf fachkundige Unterstützung. Sonst bleibt die Zuständigkeit nur auf dem Papier bestehen.
Was folgt, ist kein Abschluss in fünf Tagen, sondern ein belastbarer Startpunkt. Jeder Schritt bekommt einen Namen.
Tag 1 bis 2: Passwörter und Zwei-Faktor, eine Person aktiviert
Ein möglicher Angriffspfad: Ein wiederverwendetes Passwort taucht in einem früheren Datenleck auf. Angreifer testen es am geschäftlichen E-Mail-Konto und richten nach einem erfolgreichen Login eine Weiterleitung ein. Ein eigenes Passwort pro Dienst und Mehrfaktor-Anmeldung können diesen Pfad unterbrechen.
Die Gegenmaßnahme lässt sich mit vielen vorhandenen oder kostengünstigen Werkzeugen beginnen. Ein Passwort-Manager ermöglicht für jeden Dienst ein eigenes, starkes Passwort. Preise und Funktionsumfang unterscheiden sich je nach Anbieter und Tarif.
Noch wichtiger ist die Mehrfaktor-Anmeldung, kurz MFA. Neben dem Passwort verlangt das Konto einen weiteren Nachweis. Aktivieren Sie MFA zuerst für geschäftliche E-Mail-, Administrator- und Fernzugänge. Welche Methode unterstützt wird, hängt vom jeweiligen Dienst ab.
Heute erledigt: Eine benannte Person aktiviert 2FA auf dem E-Mail-Konto und richtet den Passwort-Manager für alle ein.
Tag 3: Backups, eine Person testet die Wiederherstellung
Ein möglicher Angriffspfad: Eine als Dokument getarnte ausführbare Datei verschlüsselt Arbeitsdaten und erreichbare Sicherungen. Eine getrennte Sicherung begrenzt den Ausfall nur dann, wenn die Wiederherstellung vorher getestet wurde.
Eine verbreitete Backup-Grundregel ist die von CISA beschriebene 3-2-1-Regel:
| Ziffer | Bedeutung |
|---|---|
| 3 | drei Kopien Ihrer Daten |
| 2 | auf zwei unterschiedlichen Medientypen |
| 1 | davon eine Kopie außerhalb des Betriebs |
Für den Betrieb heißt das: Sicherungen automatisieren, nach dem Lauf vom produktiven System trennen und mindestens eine Kopie an einem getrennten Ort aufbewahren. Legen Sie anschließend einen festen Termin für eine Testwiederherstellung fest.
Entscheidend: Ein Backup, das nie zurückgespielt wurde, ist kein Backup, sondern eine Hoffnung. Eine benannte Person stellt einmalig eine Testdatei wieder her.
Heute erledigt: Automatisches Backup eingerichtet und eine Testwiederherstellung durchgeführt.
Tag 4: Mitarbeiter schulen, Phishing erkennen
Keine Technik filtert Phishing vollständig weg, denn die Mail richtet sich an den Menschen, nicht an die Maschine. Eine kurze Einführung kann die Grundlagen vermitteln: gefälschte Absender prüfen, verdächtige Anhänge nicht öffnen und bei künstlichem Zeitdruck einen zweiten Kommunikationsweg nutzen. Das BSI nennt regelmäßige Sensibilisierung und Schulung als wichtigen Baustein der Cyber-Sicherheit.
Entscheidend ist die Wiederholung und die Zuständigkeit. Eine benannte Person prüft regelmäßig, ob neue Beschäftigte eingewiesen wurden. Vereinbaren Sie eine einfache Regel: Wer unsicher ist, klickt nicht, sondern fragt über einen zweiten Kommunikationsweg nach.
Heute erledigt: Schulung terminiert, eine Person übernimmt die monatliche Kontrolle.
Tag 5: Updates und Zugriffsrechte, eine Person prüft
Geräte und Software ohne Hersteller-Sicherheitsupdates erhöhen das Risiko durch bekannte Schwachstellen. Erfassen Sie deshalb, welche Systeme im Betrieb laufen, bis wann sie Sicherheitsupdates erhalten und wer verfügbare Updates prüft.
Stellen Sie automatische Sicherheitsupdates ein, wo der Hersteller das zuverlässig unterstützt. Trennen Sie Gastgeräte vom internen Netz, wenn Ihre Infrastruktur das zulässt. Prüfen Sie außerdem regelmäßig, wer auf welche Daten zugreifen darf.
Heute erledigt: Automatische Updates aktiv, Zugriffsrechte einmal durchgesehen.
Wo die fünf Schritte nicht reichen
Für Unternehmen, die personenbezogene Daten verarbeiten, kann Art. 33 DSGVO bei einer Datenschutzverletzung eine Meldung an die Aufsichtsbehörde binnen 72 Stunden verlangen, wenn ein Risiko für Betroffene besteht. Art. 83 nennt die möglichen Bußgeldrahmen. In Praxen, Kanzleien und anderen regulierten Berufen können zusätzliche Pflichten gelten; ihre Einordnung gehört in fachkundige Rechtsberatung.
Ob Beratung oder Umsetzung aktuell förderfähig sind, hängt vom jeweiligen Programm und Antragsfenster ab. Unsere Förderübersicht führt zu den maßgeblichen Stellen.
Die fünf Schritte können Sie am Montag selbst beginnen. Der IT-Sicherheitscheck ordnet dieselben Grundlagen in fünf Fragen, ohne auf Ihre Systeme zuzugreifen. Wenn Sie danach tiefer einsteigen wollen, klären wir den passenden Umfang im kostenlosen Audit.