Warum auch kleine Betriebe Ziel sind
Viele Inhaber denken: „Bei uns gibt es nichts zu holen.“ Das stimmt leider nicht. Ein großer Teil der Angriffe läuft automatisiert und sucht wahllos nach Schwachstellen: veraltete Software, schwache Passwörter, unvorsichtige Klicks. Wer betroffen ist, verliert oft Tage oder Wochen, etwa wenn Daten verschlüsselt werden oder das E-Mail-Konto missbraucht wird, um Kunden gefälschte Rechnungen zu schicken.
Die gute Nachricht: Mit wenigen, konsequent umgesetzten Grundlagen sinkt das Risiko deutlich. Perfekte Sicherheit gibt es nicht, aber Sie müssen es Angreifern nicht leicht machen.
Die fünf wichtigsten Grundlagen
- Updates einspielen: Betriebssystem, Browser, Office, Router, Website und Apps. Automatische Updates einschalten, wo es geht. Geräte ohne Updates gehören ausgetauscht.
- Backups machen: regelmäßig, automatisch, mindestens eine Kopie getrennt vom Netzwerk oder in einem Cloud-Speicher mit Versionierung.
- Passwort-Manager nutzen: für jedes Konto ein eigenes, langes Passwort, siehe Passwort-Manager im Betrieb.
- Zwei-Faktor-Anmeldung: mindestens für E-Mail, Online-Banking, Cloud-Speicher, Website und Social Media.
- Phishing erkennen: verdächtige Mails, Links und Anhänge nicht öffnen, siehe Phishing-Mails erkennen.
Diese fünf Punkte kosten wenig und schließen die häufigsten Einfallstore. Alles Weitere baut darauf auf.
Prüft, wie gut Google Ihre Website versteht – mit konkreten Punkten, die Sie verbessern können.
Backups, die im Ernstfall wirklich helfen
Ein Backup ist nur so gut wie seine Wiederherstellung. Viele Betriebe merken erst im Notfall, dass die Sicherung seit Monaten nicht mehr lief oder dass sie mitverschlüsselt wurde, weil die Festplatte dauerhaft angesteckt war.
- Mehrere Kopien: eine Kopie im Betrieb, eine außer Haus oder in der Cloud
- Getrennt aufbewahren: eine externe Festplatte nach der Sicherung abstecken
- Versionen behalten: damit Sie auch auf den Stand von vor zwei Wochen zurückkönnen
- Testen: mindestens zweimal im Jahr eine Datei und ein ganzes Verzeichnis wiederherstellen
- Nicht vergessen: E-Mails, Buchhaltung, Website und Kundendaten in Online-Diensten
Bei Cloud-Speichern achten Sie zusätzlich auf Datenschutz und Serverstandort, Details im Beitrag Cloud-Speicher und Datenschutz.
Geräte, Netzwerk und Zugänge
Neben den Grundlagen lohnt sich ein Blick auf die Geräte und wer worauf Zugriff hat:
- Getrenntes Gäste-WLAN für Kunden und private Handys, damit niemand ins Firmennetz kommt
- Router-Passwort ändern und Firmware aktuell halten
- Bildschirmsperre auf allen Computern, Tablets und Handys
- Festplattenverschlüsselung bei Laptops, die unterwegs sind
- Eigene Benutzerkonten für jede Person, keine geteilten Logins
- Nur nötige Rechte: Wer keine Programme installieren muss, braucht keine Administratorrechte
- Austritte: Zugänge am letzten Arbeitstag sperren und Passwörter ändern
Ein Beispiel: In einer Steuerkanzlei mit fünf Mitarbeitern nutzen Aushilfen bisher das Konto der Chefin. Mit eigenen Konten und eingeschränkten Rechten ist nachvollziehbar, wer was gemacht hat, und ein gestohlenes Aushilfspasswort öffnet nicht die gesamte Ablage.
Website, E-Mail und Online-Dienste absichern
Auch was außerhalb des Büros läuft, gehört dazu. Die Website ist öffentlich erreichbar und damit ständig Angriffsversuchen ausgesetzt. Halten Sie Systeme wie WordPress samt Erweiterungen aktuell, nutzen Sie HTTPS und sichern Sie den Zugang mit Zwei-Faktor-Anmeldung. Wer die Pflege nicht selbst machen will, gibt sie an einen Dienstleister.
Beim E-Mail-Konto gilt: Es ist der Generalschlüssel, weil sich darüber fast alle anderen Passwörter zurücksetzen lassen. Schützen Sie es besonders gut. Für Online-Dienste wie Buchhaltung, Cloud oder Kassensystem prüfen Sie, wer Zugriff hat, und entfernen alte Zugänge.
Ein einfacher Notfallplan
Wenn etwas passiert, zählt jede Stunde. Schreiben Sie auf eine Seite:
- Wer ist intern zuständig, wer extern (IT-Dienstleister, Website-Betreuung)?
- Telefonnummern, die auch ohne Computer erreichbar sind
- Erste Schritte: Gerät vom Netz trennen, nicht ausschalten, Dienstleister anrufen
- Wo liegen Backups, und wie werden sie zurückgespielt?
- Wer informiert Kunden, Bank, gegebenenfalls Polizei?
- Hinweis auf mögliche Meldepflicht bei Datenschutzverletzungen an die Datenschutzbehörde
Drucken Sie den Plan aus, denn im Ernstfall ist der Computer womöglich nicht nutzbar. Als allgemeine Orientierung bietet die Wirtschaftskammer Informationen zur IT-Sicherheit, zu Meldepflichten die Datenschutzbehörde. Wenn Sie Ihre Website auf Schwachstellen und Aktualität prüfen lassen wollen, ist der Website-Wartung-Service ein guter Startpunkt.
Häufige Fragen
Was ist das Wichtigste bei der IT-Sicherheit im kleinen Betrieb?
Die wichtigsten Grundlagen sind regelmäßige Updates auf allen Geräten, getrennt aufbewahrte und getestete Backups, ein Passwort-Manager mit eigenen Passwörtern für jedes Konto, Zwei-Faktor-Anmeldung bei wichtigen Diensten und Vorsicht bei verdächtigen E-Mails. Diese fünf Punkte kosten wenig und wehren einen großen Teil der üblichen Angriffe ab.
Wie oft sollte ein kleiner Betrieb ein Backup machen?
Das hängt davon ab, wie viel Arbeit Sie verlieren dürfen. Für die meisten Betriebe ist eine tägliche automatische Sicherung sinnvoll, mit mehreren Versionen und mindestens einer Kopie außer Haus oder in der Cloud. Ebenso wichtig ist, die Wiederherstellung regelmäßig zu testen, damit Sie im Notfall sicher sind, dass das Backup funktioniert.
Brauche ich als kleiner Betrieb einen Virenschutz?
Moderne Betriebssysteme bringen bereits einen eingebauten Schutz mit, der für viele kleine Betriebe ausreicht, wenn er aktiv und aktuell ist. Wichtiger als ein zusätzliches Programm sind Updates, Backups, sichere Passwörter und Vorsicht bei E-Mails. Bei vielen Geräten oder sensiblen Daten kann eine zentral verwaltete Sicherheitslösung über einen IT-Dienstleister sinnvoll sein.
Was tun bei einem Hackerangriff im Betrieb?
Trennen Sie betroffene Geräte vom Netzwerk, schalten Sie sie aber nicht aus, und informieren Sie sofort Ihren IT-Dienstleister. Ändern Sie von einem sauberen Gerät aus die wichtigsten Passwörter, besonders das E-Mail-Passwort. Prüfen Sie, ob personenbezogene Daten betroffen sind, weil dann eine Meldepflicht an die Datenschutzbehörde bestehen kann. Erstatten Sie bei Bedarf Anzeige.