Cybersicherheit für KMU — 7 Maßnahmen, die sofort wirken

Warum KMU das Lieblingsziel sind

Warum ausgerechnet kleine Betriebe? Weil Hacker wie Einbrecher denken: Lieber zehn offene Gartentore als ein Hochsicherheitszaun. Ein paar Zahlen zur aktuellen Lage:

• 91 % Anstieg bei Cyber-Erpressungen in Deutschland (Security Navigator 2026)
• 87 % der Unternehmen berichten von Diebstahl, Spionage oder Sabotage (Bitkom Wirtschaftsschutz)
• Deepfake-Angriffe haben sich laut BSI-Lagebericht vervielfacht. Der „Chef ruft an und braucht dringend eine Überweisung"-Trick funktioniert mit KI-generierten Stimmen erschreckend gut
• 66 % der Unternehmen merken, dass Phishing-Mails besser werden (Bitkom). Kein Wunder: Die Angreifer nutzen selbst KI, um fehlerfreie, persönliche Mails zu schreiben

7 Sofortmaßnahmen — kein IT-Studium nötig

Keine davon erfordert einen IT-Abschluss. Die meisten können Sie an einem Nachmittag umsetzen, und zusammen decken sie die häufigsten Angriffswege ab:

• 1. Passwort-Manager einführen (1Password, Bitwarden oder Keeper, ab 3 €/Monat/Nutzer). Damit ist das Thema „ein Passwort für alles" und die Post-its am Monitor erledigt.
• 2. 2-Faktor-Authentifizierung aktivieren. Überall: E-Mail, Cloud-Speicher, Online-Banking, Buchhaltung. Dauert 5 Minuten pro Dienst. Laut Microsoft-Sicherheitsstudie stoppt 2FA die überwiegende Mehrheit aller Kontoübernahmen.
• 3. Backups nach der 3-2-1-Regel: 3 Kopien, 2 verschiedene Medien, 1 davon extern. Und dann einmal im Monat testen, ob die Wiederherstellung auch wirklich funktioniert. Das vergessen die meisten.
• 4. Updates sofort installieren. Ja, auch die nervigen. „Später erinnern" hat schon vielen Betrieben den Hals gekostet. Aktivieren Sie automatische Updates für alles.
• 5. Eine Phishing-Schulung machen. Der Großteil aller Cyberangriffe beginnt mit einer E-Mail. 30 Minuten reichen: „Wie erkenne ich eine Fake-Mail?" Gibt es auch als kostenloses Video.
• 6. Virenschutz checken. Windows Defender reicht für Einzelplätze. Mehrere Rechner im Netzwerk? Dann Sophos, ESET oder G DATA. Achtung: Das BSI warnt seit März 2022 vor Kaspersky-Produkten (§ 7 BSI-Gesetz) — die Warnung besteht weiterhin. Besser auf europäische Alternativen umsteigen.
• 7. Einen Notfallplan ausdrucken. Ja, ausdrucken. Auf Papier. Bei einem Ransomware-Angriff kommen Sie nicht an digitale Dokumente. Drauf steht: Wer wird angerufen, wie werden Systeme isoliert, wo liegen die Backup-Zugänge.

Was ein Cyberangriff wirklich kostet

Rechenbeispiel für einen Handwerksbetrieb mit 5 Mitarbeitern:

Cyberversicherung — lohnt sich das?

Eine Cyberversicherung kann sinnvoll sein — aber erst, wenn der Basisschutz steht. Ohne nachweisbare Grundmaßnahmen verweigern Versicherer im Ernstfall die Leistung:

• Kosten: ab ca. 500 €/Jahr für kleine Betriebe
• Versicherer fordern zunehmend Basisschutz als Voraussetzung: 2FA, Backups, aktuelle Updates
• Deckung: Betriebsunterbrechung, IT-Forensik, Rechtsberatung, Krisenkommunikation
• Ohne Basisschutz kann der Versicherer im Schadensfall die Leistung verweigern

Gehackt? Sofort-Checkliste für den Ernstfall

Wenn es bereits passiert ist — keine Panik, aber schnell handeln. Drucken Sie diese Liste aus und hängen Sie sie neben den Bildschirm:

• 1. LAN-Kabel ziehen und WLAN deaktivieren — betroffene Geräte sofort vom Netzwerk trennen.
• 2. Rechner NICHT ausschalten — die IT-Forensik braucht den Arbeitsspeicher zur Analyse.
• 3. IT-Dienstleister anrufen — oder, falls keiner vorhanden: BSI-Servicezentrum (+49 228 99 9582-0) oder CERT-Bund für Vorfälle (+49 228 99 9582-5500).
• 4. Vorfall dokumentieren: Was ist passiert? Wann bemerkt? Welche Systeme betroffen? Fotos vom Bildschirm machen.
• 5. Datenschutzbehörde informieren: Bei personenbezogenen Daten innerhalb von 72 Stunden melden (Art. 33 DSGVO).
• 6. Passwörter ändern — von einem nicht betroffenen Gerät aus. Alle Zugänge, die auf dem kompromittierten System gespeichert waren.

Kostenlose Hilfe: BSI und Allianz für Cybersicherheit

Das BSI bietet kostenlose Ressourcen speziell für KMU, die in der Praxis wenig bekannt sind:

• BSI-Grundschutz-Profil für kleine Unternehmen: Eine vereinfachte Version des IT-Grundschutzes, zugeschnitten auf Betriebe unter 50 Mitarbeitern. Kostenlos als PDF beim BSI.
• Allianz für Cybersicherheit (ACS): Kostenloses Netzwerk des BSI mit Warnmeldungen, Lageberichten und Praxis-Leitfäden. Anmeldung unter allianz-fuer-cybersicherheit.de.
• Transferstelle IT-Sicherheit im Mittelstand (TISiM): Kostenloser Sec-O-Mat-Check — beantwortet in 15 Minuten, welche Maßnahmen für Ihren Betrieb am wichtigsten sind.
• IHK-Erstberatung: Viele Industrie- und Handelskammern bieten kostenlose IT-Sicherheitschecks und Workshops an.

Häufige Fragen