IT-Sicherheit für kleine Unternehmen: Die Basismaßnahmen, die oft fehlen

Viele kleine Unternehmen gehen davon aus, dass Cyberangriffe vor allem große Konzerne treffen. Die Praxis zeigt aber etwas ganz anderes. Gerade kleinere Betriebe geraten ins Visier, weil ihre Schutzmaßnahmen oft nicht so gut sind. Ein einziger falsch geöffneter Anhang reicht manchmal aus, um den gesamten Betrieb tagelang lahmzulegen.

Schritt eins: Das Firmennetzwerk prüfen

Ein häufiges Problem liegt schon im Firmennetzwerk selbst. Viele Betriebe wissen schlicht nicht, welche Geräte tatsächlich mit ihrem Netz verbunden sind. Ein alter Drucker, ein vergessener Router aus der Werkstatt, ein privates Smartphone eines Mitarbeiters. Und jedes dieser Geräte kann eben ein Einfallstor sein. Ein Netzwerktester hilft an dieser Stelle, den tatsächlichen Zustand der Verkabelung und der angeschlossenen Endpunkte einmal kurz zu prüfen, bevor größere Sicherheitsmaßnahmen überhaupt sinnvoll geplant werden können.

Passwörter: Noch immer das schwächste Glied

Trotz jahrelanger Warnungen bleibt das Passwort die häufigste Schwachstelle. In kleinen Betrieben teilen sich Mitarbeiter oft ein gemeinsames Login für Drucker, Kassensystem oder Kundendatenbank. Fällt dieses eine Passwort in falsche Hände, ist der Zugriff auf mehrere Systeme gleichzeitig offen. Ein Passwortmanager mit erzwungener Zwei-Faktor-Authentifizierung kostet wenig und schließt diese Lücke innerhalb weniger Tage.

Backups, die im Ernstfall nicht helfen

Fast jeder Betrieb sichert Daten. Weniger Betriebe prüfen, ob diese Sicherung im Ernstfall auch funktioniert. Ein Backup, das seit Monaten nicht getestet wurde, ist im schlimmsten Fall wertlos. Sinnvoll ist ein einfacher Test, bei dem eine einzelne Datei aus dem Backup wiederhergestellt wird, am besten einmal im Quartal. Und wer noch zusätzlich eine Kopie außerhalb des eigenen Netzwerks lagert, z. B. bei einem externen Anbieter, ist dann auch bei einem Verschlüsselungstrojaner nicht komplett aufgeschmissen.

Mitarbeiter als Teil der Verteidigung

Technische Maßnahmen greifen nur, wenn Mitarbeiter die Grundregeln kennen. Ein kurzes Beispiel aus der Praxis: Eine gefälschte Rechnungsmail, optisch kaum vom Original zu unterscheiden, hat in vielen kleinen Buchhaltungen schon zu echten Überweisungen geführt.

Eine kurze, wiederkehrende Schulung, keine einmalige Pflichtveranstaltung, senkt dieses Risiko schon sehr. Wichtig ist dabei, Fehler nicht zu bestrafen, sondern eine Kultur zu schaffen, in der Mitarbeiter verdächtige Mails einfach ohne Scheu melden.

Updates, die liegen bleiben

Viele Sicherheitslücken sind längst bekannt und durch Updates geschlossen, werden aber in kleinen Betrieben trotzdem nicht eingespielt. Der Grund ist meist Zeitmangel, nicht Nachlässigkeit.

Wer feste Update-Fenster einplant, etwa freitags nach Feierabend, reduziert den organisatorischen Aufwand erheblich. Für Systeme, die im Dauerbetrieb laufen müssen, lohnt sich eine gestaffelte Aktualisierung, damit nicht alle Geräte gleichzeitig ausfallen.

Dienstleister & Zugriffsrechte im Blick behalten

Kleine Betriebe arbeiten oft mit externen Dienstleistern; sei es der Steuerberater, die Marketingagentur oder ein IT-Support aus der Region. Jeder dieser Zugänge ist aber auch ein potenzielles Risiko, wenn er nicht regelmäßig überprüft wird.

Ein ehemaliger Dienstleister mit weiterhin aktivem Zugang zum Kundensystem ist keine Seltenheit, sondern eher die Regel, weil niemand im Betrieb so wirklich dafür zuständig ist, solche Zugänge wieder zu entziehen. Eine einfache Liste, wer worauf zugreifen darf und seit wann, reicht oft schon aus, um hier Ordnung zu schaffen.

Auch mobile Endgeräte gehören in diese Betrachtung. Immer mehr Mitarbeiter greifen über das eigene Smartphone auf Firmenmails oder Kundendaten zu. Ohne Mindeststandards, etwa eine Bildschirmsperre oder eine Verschlüsselung des Geräts, wird jedes verlorene Handy zum ernsten Sicherheitsproblem.

Diese Regelungen lassen sich mit wenig Aufwand in eine kurze Nutzungsrichtlinie fassen, die neue Mitarbeiter dann direkt zu Beginn unterschreiben.

Ein realistischer Einstieg

Kein kleiner Betrieb muss von Anfang an ein vollständiges Sicherheitskonzept vorweisen. Sinnvoller ist ein stufenweiser Einstieg. Zuerst die Bestandsaufnahme, welche Geräte und Zugänge überhaupt existieren. Danach Passwörter und Backups absichern. Erst im dritten Schritt folgt die Feinarbeit an Firewall-Regeln oder Verschlüsselung.

Diese Reihenfolge kostet wenig, verhindert aber die häufigsten und teuersten Zwischenfälle im Betriebsalltag. Wer diese Schritte einmal sauber dokumentiert, hat außerdem einen klaren Nachweis gegenüber Versicherern und Geschäftspartnern, falls doch mal etwas passiert.