IT-Sicherheit für kleine und mittlere Betriebe muss nicht teuer oder kompliziert sein. Entscheidend ist die Reihenfolge: Zuerst kommen die Maßnahmen, die die meisten Angriffe stoppen, erst danach die Feinheiten. Diese Liste ist genau so sortiert – von der größten Wirkung zur kleineren.
1. Mehr-Faktor-Authentifizierung überall einschalten
MFA ist die Maßnahme mit dem besten Verhältnis von Aufwand zu Wirkung. Selbst wenn ein Passwort gestohlen wird, kommt der Angreifer ohne zweiten Faktor nicht ins Konto. Starte mit E-Mail (Microsoft 365, Google Workspace), Fernzugriff und Online-Banking. Am sichersten sind Authenticator-Apps mit Nummernabgleich oder Hardware-Schlüssel; SMS-Codes sind besser als nichts, aber die schwächste Variante.
2. Ein Backup, das Angreifer nicht erreichen
Ein Backup schützt nur, wenn es vom Firmennetz getrennt oder unveränderbar gespeichert ist. Ransomware verschlüsselt sonst die Sicherung gleich mit. Bewährt hat sich die 3-2-1-Regel: drei Kopien, zwei verschiedene Speichermedien, eine Kopie außer Haus oder offline. Genauso wichtig: die Wiederherstellung regelmäßig testen. Mehr dazu auf unserer Seite zum Cloud-Backup.
3. Updates automatisch und zeitnah einspielen
Die meisten erfolgreichen Angriffe nutzen bekannte Lücken, für die längst ein Update existiert. Aktiviere automatische Updates für Betriebssystem, Browser und Office – und denk an die Geräte, die gern vergessen werden: Firewall, Router, NAS, Drucker und Kameras. Geräte, für die der Hersteller keine Updates mehr liefert, gehören ausgetauscht.
4. Mitarbeiter schulen – kurz und regelmäßig
Phishing-Mails sind der häufigste Einstieg in ein Firmennetz. Eine jährliche Pflichtschulung bringt wenig, kurze Einheiten alle paar Monate mit echten Beispielen bringen viel. Wichtig ist eine Fehlerkultur: Wer auf einen Link geklickt hat, soll es sofort melden dürfen, ohne Ärger zu bekommen. Praktische Tipps findest du in unserem Beitrag Einfache Tricks für Mitarbeiter.
5. Einen Passwort-Manager für das ganze Team
Ein Passwort-Manager sorgt dafür, dass jedes Konto ein eigenes, langes Passwort bekommt – ohne dass sich jemand etwas merken muss. Zugänge lassen sich im Team teilen, ohne sie per Zettel oder WhatsApp weiterzugeben. Wie das im Betrieb aussieht, zeigen wir beim Passwortmanagement.
6. Moderner Endpoint-Schutz statt klassischem Virenscanner
Klassische Virenscanner erkennen bekannte Schadsoftware. Moderne EDR-Lösungen (Endpoint Detection and Response) erkennen zusätzlich verdächtiges Verhalten, etwa wenn ein Programm plötzlich hunderte Dateien verschlüsselt, und können das Gerät automatisch isolieren. Für Betriebe ohne eigene IT-Abteilung lohnt sich eine Variante mit Überwachung durch Fachleute rund um die Uhr. Details zu Schutzsoftware.
7. Admin-Rechte nur für Admins
Wer im Alltag mit Administratorrechten arbeitet, gibt jeder Schadsoftware dieselben Rechte. Normale Benutzerkonten für die tägliche Arbeit, ein separates Admin-Konto nur für Installationen – das ist das Prinzip der minimalen Rechte. Gleiches gilt für Ordner: Nicht jeder braucht Zugriff auf Buchhaltung und Personalakten.
8. Firewall und sicherer Fernzugriff
Fernzugriff ist praktisch, aber ein offener Remote-Desktop-Zugang ins Internet ist eine Einladung. Fernzugriff gehört hinter ein VPN oder eine Zero-Trust-Lösung mit MFA. Eine professionelle Firewall mit Angriffserkennung (IDS/IPS) und gefiltertem DNS blockiert bekannte schädliche Ziele, bevor eine Verbindung entsteht.
9. E-Mail-Schutz und eigene Domain absichern
Ein guter Spam- und Phishing-Filter fängt einen Großteil der gefährlichen Mails ab, bevor sie jemand sieht. Zusätzlich sollte deine Domain mit SPF, DKIM und DMARC abgesichert sein – das erschwert es Betrügern, Mails in deinem Namen an Kunden zu verschicken. Mehr zum Thema Phishing-Schutz.
10. Ein Notfallplan auf Papier
Wenn es passiert, zählt jede Stunde. Ein einseitiger Notfallplan beantwortet die wichtigsten Fragen: Wen rufe ich an? Welche Geräte trenne ich vom Netz? Wo liegt das Backup? Wer informiert Kunden und Behörden? Wichtig: ausgedruckt, denn bei einem Angriff ist der Server vielleicht nicht erreichbar. Eine Vorlage findest du im Beitrag Notfallplan bei Ransomware.
Womit anfangen? Wenn du diese Woche nur eine Sache machst: Schalte MFA für alle E-Mail-Konten ein. Nächste Woche prüfst du, ob dein Backup offline liegt und sich wiederherstellen lässt.
Häufige Fragen
Was kostet IT-Sicherheit für einen kleinen Betrieb?
Das hängt von der Anzahl der Geräte und Benutzer ab. Viele der Maßnahmen oben – MFA, Updates, Admin-Rechte – kosten vor allem Zeit für die Einrichtung. Für Beratung und Umsetzung gibt es in Österreich die Förderung KMU.DIGITAL. Unsere Pakete findest du unter Preise.
Reicht ein Antivirenprogramm nicht aus?
Nein. Ein Virenscanner ist ein Baustein von zehn. Warum ein gutes Backup im Ernstfall sogar wichtiger ist, erklären wir in Ist ein Backup wichtiger als Antiviren-Software?
