---

Trotz der allgegenwärtig angesprochenen fehlenden Digitalisierung nutzen viele KMU bereits weitreichende IT- und digitale Systeme im Geschäftsablauf. Kaum noch etwas lässt sich ohne den PC bewerkstelligen. Cyberkriminelle haben KMU längst als lukratives Ziel entdeckt, gerade weil der Fachkräftemangel KMU in der Stärkung ihrer IT-Sicherheit erheblich behindert.

Für viele Unternehmen, mit denen wir sprechen, ist die aktuelle Lage unvorteilhaft. Der Wille, digitaler Vorreiter zu sein, ist vorhanden, und man hat bereits viel in die Digitalisierung investiert. Trotzdem wird überall von fehlender Digitalisierung gesprochen. Das kann frustrierend sein.

Die gute Nachricht: Sie müssen kein IT-Sicherheitsexperte sein und auch kein neues Personal einstellen, um einige grundlegende Bedrohungen zu verstehen und erste Schritte zum Schutz Ihres Unternehmens umzusetzen.

In diesem Beitrag beleuchten wir deshalb fünf häufige Sicherheitsrisiken für KMU und zeigen Ihnen direkt praxisnahe Lösungsansätze auf, die Sie bei sich im Unternehmen umsetzen können.

1. Phishing & Social Engineering: Wenn der Mensch zur Schwachstelle wird

Eines der größten Risiken lauert, entgegen vieler Annahmen, nicht in der Technik, sondern im Faktor Mensch. Beim Phishing und Social Engineering versuchen Angreifer durch geschickt gefälschte E-Mails, Webseiten oder sogar Anrufe, Mitarbeiter zur Preisgabe sensibler Daten wie Passwörter oder Bankinformationen zu bewegen.

Ein klassisches Beispiel ist eine E-Mail, die vorgibt, von Ihrer Bank oder einem bekannten Dienstleister zu stammen und Sie auffordert, über einen Link dringend Ihre Zugangsdaten zu bestätigen – der Link führt jedoch auf eine täuschend echt aussehende, aber gefälschte Webseite.

Eine andere gefährliche Variante ist der „CEO-Fraud“, bei dem sich Angreifer per E-Mail als Geschäftsführer ausgeben und Mitarbeiter zu dringenden, oft geheimen Aktivitäten anweisen. Da diese Angriffe immer professioneller werden, sind sie für Mitarbeiter oft schwer auf den ersten Blick zu erkennen.

Lösungsansätze

Die wichtigste Präventionsmaßnahme ist die regelmäßige Schulung und Sensibilisierung aller Mitarbeiter. Sie müssen lernen, verdächtige Absender, ungewöhnliche Aufforderungen, sprachliche Fehler oder gefälschte Links zu erkennen und im Zweifel lieber einmal zu viel nachzufragen. Es ist extrem wichtig, eine offene Kommunikation rund um das Thema Phishing zu etablieren. Es hilft Ihnen nicht, wenn ein Mitarbeiter sich dafür schämt, auf eine Fake-E-Mail geklickt zu haben.

Ein entscheidender technischer Schutz ist die Multi-Faktor-Authentifizierung (MFA). Selbst wenn ein Passwort durch Phishing erbeutet wurde, verhindert der zweite Faktor (z.B. ein Code aus einer App) den unbefugten Zugriff.

Aber Achtung: Da Angreifer ihre Taktiken ständig anpassen, sind einmalige Schulungen nicht ausreichend – kontinuierliche Wachsamkeit und wiederholte Trainings sind unerlässlich. Sie können auch eigene Phishing-Kampagnen starten, um Ihre Mitarbeiter zur Wachsamkeit zu bewegen.

2. Malware & Ransomware

Schadsoftware (Malware), insbesondere Erpressungstrojaner (Ransomware), stellen eine massive Bedrohung dar. Sie gelangen häufig über infizierte E-Mail-Anhänge (z.B. eine vermeintliche Rechnung als Word-Dokument mit Makros), manipulierte Webseiten, unsichere Downloads oder sogar über USB-Sticks ins Unternehmensnetzwerk.

Einmal aktiv, können Angreifer wertvolle Unternehmensdaten auf lokalen Rechnern und angebundenen Netzlaufwerken verschlüsseln, oder sogar stehlen. Oftmals wird zusätzlich ein hohes Lösegeld für deren Freigabe verlangt.
Für KMU bedeutet dies in der Regel einen kompletten Betriebsstillstand, hohe Wiederherstellungskosten und im schlimmsten Fall die Insolvenz.

Auch wenn Sie denken, dass Ihr Unternehmen kein interessantes Ziel darstellt, sollten Sie die IT-Sicherheit nicht vernachlässigen. Im schlimmsten Fall kann Sie das Ihre Existenz kosten!

Lösungsansätze:

Aktuelle Antiviren-Programme auf allen Endgeräten und Servern können helfen, jedoch schützen diese nur vor bereits bekannter Malware.

Besonders eine gut konfiguriertes Netzwerk und eine Netzwerk-Firewall sind grundlegende Schutzmaßnahmen. Der entscheidende Rettungsanker im Falle einer erfolgreichen Infektion sind jedoch regelmäßige, funktionierende Backups. Diese sollten idealerweise nach der 3-2-1-Regel (mindestens drei Kopien, auf zwei unterschiedlichen Medientypen, eine davon extern bzw. offline) aufbewahrt werden.

Ganz wichtig: Die Wiederherstellbarkeit dieser Backups muss regelmäßig getestet werden, sonst könnten Sie sich in falscher Sicherheit wiegen und im Notfall schlecht dastehen.

Zudem ist das zeitnahe Einspielen von Sicherheitsupdates für Betriebssysteme und Anwendungen kritisch, um bekannte Einfallstore für Angreifer zu schließen.

3. Schwache Authentifizierung

Passwörter sind oft die erste Verteidigungslinie – und leider häufig eine sehr schwache. Einfache Passwörter wie „Markus24!“ oder der Firmenname sind leicht zu erraten oder durch automatisierte Angriffe (Brute Force) zu knacken. Ein noch größeres Risiko ist die Wiederverwendung von Passwörtern über verschiedene Online-Dienste hinweg. Werden Zugangsdaten bei einem Datenleck auf einer privaten Plattform (z.B. einem Online-Shop) kompromittiert, versuchen Angreifer diese erbeuteten Kombinationen oft systematisch bei weiteren geschäftlichen Konten und Systemen.

Lösungsansätze:

Strikte Passwortrichtlinien sind unerlässlich: Passwörter müssen lang, komplex (Groß-/Kleinbuchstaben, Zahlen, Sonderzeichen) und vor allem für jeden Dienst einzigartig sein.

Da sich niemand Dutzende solcher Passwörter merken kann, ist der Einsatz eines Passwort-Managers für alle Mitarbeiter dringend zu empfehlen. In der Regel lässt sich ein Passwort-Manager sehr leich einrichten und erlaubt es Ihnen sogar zusätzlich den Zugriff auf Firmenaccounts zwischen Mitarbeitenden zu teilen. So erübrigt sich die Frage „Hast du das Post-It mit dem Passwort?“ an die Kollegen.

Die wichtigste technische Maßnahme ist jedoch der konsequente Einsatz von Multi-Faktor-Authentifizierung (MFA) für alle wichtigen Unternehmensanwendungen, E-Mail-Konten und Fernzugänge. MFA bedeutet, dass neben dem Passwort ein zweiter Faktor (z.B. ein Code aus einer Authenticator-App oder ein Sicherheitsschlüssel) zur Anmeldung benötigt wird.

Für Unternehmen ab 10+ Mitarbeitenden empfiehlt sich zudem ein zentrales Identitäts- und Zugriffsmanagement (IAM), um Berechtigungen effektiv zu verwalten und durchzusetzen.

4. Veraltete Software & Fehlende Updates

Jede Software, vom Betriebssystem über den Browser bis zur Fachanwendung oder der Firmware von Netzwerkgeräten, kann Sicherheitslücken enthalten. Hersteller entdecken diese Lücken (oft durch externe Hinweise) und schließen sie durch Updates, sogenannte Patches.

Werden diese Patches jedoch nicht zeitnah eingespielt, bleiben die Systeme verwundbar für Angreifer, die genau diese bekannten Schwachstellen gezielt ausnutzen.

Ein prominentes Beispiel hierfür war die Ransomware „WannaCry“, die sich rasant über eine längst bekannte, aber auf vielen Systemen ungepatchte Windows-Schwachstelle verbreitete und weltweit großen Schaden anrichtete.

Das Hauptproblem ist, dass Sie als Unternehmen in der Regel keinen umfassenden Überblick über die aktuellen Schwachstellen in Ihrer Unternehmensinfrastruktur haben. Das zeitnahe einspielen aller verfügbaren Updates & Patches ist somit die einfachste Methode für Sicherheit zu sorgen.

Lösungsansätze:

Ein systematisches und zeitnahes Patch-Management ist absolut notwendig. Das bedeutet: Sie müssen wissen, welche Software und welche Geräte (Server, PCs, Laptops, Router, Firewalls etc.) im Einsatz sind!

Sie sollten verfügbare Sicherheitspatches aktiv überwachen und diese – insbesondere kritische Updates – schnellstmöglich und kontrolliert installieren. Wo es sicher möglich ist, sollten automatische Updates aktiviert werden.

Auch sinnvoll ist es jedoch, Updates vor dem breiten Rollout stichprobenartig zu testen, um sicherzustellen, dass sie keine unerwünschten Nebenwirkungen auf andere Systeme haben. Dieser Prozess erfordert klare Verantwortlichkeiten und regelmäßige Durchführung. Haben Sie diese Verantwortung bei sich im Unternehmen bereits klar kommuniziert?

5. Fehlkonfigurationen der IT-Systeme

Nicht nur Cloud-Dienste, sondern auch die eigene IT-Infrastruktur birgt Risiken durch Fehlkonfigurationen. Offene Ports in der Firewall, die nicht benötigt werden, Standardpasswörter auf Routern oder Druckern, die nie geändert wurden, unsicher konfigurierte WLAN-Netzwerke oder falsch gesetzte Zugriffsrechte auf internen Dateiservern können Angreifern Tür und Tor öffnen. So können sensible Unternehmens- oder Kundendaten nach außen dringen oder Unbefugte erhalten Zugriff auf interne Systeme.

Lösungsansätze:

Ein gutes Grundverständnis der eingesetzten Systeme und ihrer Sicherheitsoptionen ist unerlässlich. Sie sollten die Konfigurationen ihrer IT-Systeme (Firewall-Regeln, Geräteeinstellungen, Benutzerberechtigungen) regelmäßig überprüfen oder überprüfen lassen. Setzen Sie Drittdienstleister ein um Teile ihrer Infrastruktur zu verwalten, sollten sie mit diesen Wartungsverträge vereinbaren um zu verhindern, dass Systeme verwundbar werden.

Es sollte stets das Prinzip der geringsten Rechtevergabe (Least Privilege) angewendet werden: Jeder Nutzer und jeder Dienst erhält nur genau die Berechtigungen, die für die jeweilige Aufgabe unbedingt notwendig sind. Standardpasswörter müssen bei Inbetriebnahme neuer Geräte sofort geändert werden. Die Verantwortung für die sichere Konfiguration der eigenen IT liegt immer beim Unternehmen selbst, auch wenn Sie Dienstleister einsetzen. Am Ende geht es um Ihr Unternehmen und dessen Sicherheit!

Reflektion

Die Absicherung der IT-Umgebung ist gerade für KMU eine aufwendige und fortlaufende Aufgabe, die Aufmerksamkeit und Ressourcen erfordert. Die von uns Angesprochenen Risiken – von menschlichen Fehlern über Malware bis hin zu technischen Schwachstellen – sind real und können gravierende Folgen haben.

Die Implementierung zumindest einiger der genannten Lösungsansätze wie Awareness-Kampagnen, MFA, regelmäßige Backups, etc. bieten eine solide Basis für mehr IT-Sicherheit. Angesichts der Komplexität und der sich ständig wandelnden Bedrohungslandschaft ist es jedoch entscheidend, dass KMU das Thema IT-Sicherheit ernst nehmen und kontinuierlich an der Verbesserung ihrer Schutzmaßnahmen arbeiten. Standards wie ISO27001 & ISO 22301 können Ihnen besonders bei der Koordination und Umsetzung dieser Maßnahmen in Ihrem Unternehmen helfen, da sie genau diese kontinuierliche Verbesserung implementieren.

Fragen oder Anregungen?

Haben Sie Fragen oder Anregungen zu diesem Artikel? Buchen Sie noch heute Ihr kostenloses Beratungsgespräch und lassen Sie sich von unseren Experten für eine sichere Zukunft Ihres Unternehmens beraten: