Wir arbeiten selbst in der IT-Sicherheit – und genau deshalb ärgern uns manche Aussagen der Branche. Nicht jede davon ist eine bewusste Lüge, oft ist es Verkaufsdruck oder Vereinfachung. Für dich als Betrieb ist das Ergebnis aber dasselbe: falsche Sicherheit oder Geld für das Falsche. Hier sind die Aussagen, bei denen du 2026 hellhörig werden solltest.
„Mit unserer Lösung sind Sie zu 100 % sicher.“
Hundertprozentige Sicherheit gibt es nicht – wer sie verspricht, kennt das Thema nicht oder will dir etwas verkaufen. Gute Sicherheit senkt die Wahrscheinlichkeit eines Angriffs und begrenzt seinen Schaden. Deshalb gehören zu jeder Lösung ein Backup und ein Notfallplan, auch wenn der Schutz noch so gut ist.
„Unsere KI erkennt jeden Angriff.“
Künstliche Intelligenz hilft tatsächlich, ungewöhnliches Verhalten schneller zu erkennen. Aber auch Angreifer nutzen KI – für bessere Phishing-Mails, gefälschte Stimmen und automatisierte Angriffe. KI ist ein Werkzeug auf beiden Seiten, kein Schutzschild. Frag nach, was passiert, wenn die KI Alarm schlägt: Reagiert ein Mensch, und wie schnell?
„Für Hacker sind Sie zu klein.“
Diesen Satz hören wir meist von Betrieben selbst – manchmal aber auch von Dienstleistern, die keine Sicherheitsleistungen anbieten. Die meisten Angriffe sind nicht gezielt, sondern automatisiert: Programme scannen das Internet nach Lücken und schlecht geschützten Konten. Ob du ein Konzern oder ein Tischlereibetrieb bist, spielt dafür keine Rolle. Kleine Betriebe sind oft sogar das leichtere Ziel.
„Wechseln Sie Ihre Passwörter alle 90 Tage.“
Das war lange Standard und ist heute überholt. Die US-Standardisierungsbehörde NIST empfiehlt in ihren Richtlinien zur digitalen Identität, Passwörter nicht mehr regelmäßig ohne Anlass zu wechseln – erzwungene Wechsel führen zu Mustern wie „Sommer2026!“. Besser sind lange, einzigartige Passwörter aus einem Passwort-Manager, MFA und ein Wechsel nur bei Verdacht auf Diebstahl.
„Die Cloud sichert Ihre Daten automatisch.“
Cloud-Anbieter garantieren, dass ihr Dienst verfügbar ist. Für deine Daten bist trotzdem du verantwortlich – das nennt sich Shared Responsibility. Wird eine Datei gelöscht, verschlüsselt oder überschrieben, hilft dir der Anbieter nach Ablauf der Papierkorb-Frist oft nicht mehr. Ein eigenes Backup für Microsoft 365 und Co. ist kein Luxus.
„Mit diesem Zertifikat sind Sie abgesichert.“
Zertifikate und Gütesiegel sind wertvoll, weil sie Grundlagen nachprüfbar machen – wir tragen selbst das Siegel Cyber Trust Austria. Aber ein Zertifikat ist eine Momentaufnahme. Es ersetzt nicht die laufende Pflege: Updates, Kontrolle der Backups, Schulungen. Wer nach der Zertifizierung aufhört, ist nach einem Jahr nicht mehr auf dem geprüften Stand.
„Mehr Tools bedeuten mehr Sicherheit.“
Fünf Sicherheitsprodukte, die niemand richtig konfiguriert und deren Warnungen niemand liest, schützen weniger als zwei gut betreute. Jedes zusätzliche Tool bringt Kosten, Wartung und Fehlalarme. Die richtige Frage lautet nicht „Was fehlt noch?“, sondern „Wer kümmert sich darum?“.
„NIS2 betrifft jedes Unternehmen.“
Das Gegenteil ist auch falsch: „NIS2 betrifft nur Konzerne“. Die Wahrheit liegt dazwischen und hängt von Branche und Größe ab – kleine Betriebe sind oft nicht direkt betroffen, aber als Lieferanten indirekt. Was wirklich gilt, steht in unserem Beitrag NIS2-Berater: Panikmache oder begründet?
Drei Fragen an jeden Anbieter: Was passiert, wenn Ihre Lösung versagt? Wer reagiert auf Alarme, und wie schnell? Welche Restrisiken bleiben – und wie gehen wir damit um?
Häufige Fragen
Woran erkenne ich einen seriösen IT-Sicherheitsberater?
Er beginnt mit einer Bestandsaufnahme statt mit einem Produkt, erklärt Risiken verständlich, nennt Restrisiken offen und legt seine Preise vorab fest.
Sind teure Lösungen automatisch besser?
Nein. Für die meisten KMU bringen saubere Grundlagen – MFA, Backup, Updates, Schulung – mehr als ein Spezialprodukt. Siehe Die 10 wichtigsten Maßnahmen.
