Produktion, Warenwirtschaft, E-Mail, Telefonie, Kundenakten: In den meisten Unternehmen hängt der Arbeitstag an der IT. Fällt ein zentraler Teil aus, stockt nicht nur die Technik. Aufträge bleiben liegen, Rechnungen gehen nicht hinaus, Termine verschieben sich.
IT-Sicherheit für Unternehmen bedeutet deshalb vor allem eines: den Geschäftsbetrieb arbeitsfähig halten. Dieser Leitfaden richtet sich an kleine und mittlere Unternehmen ohne eigene Sicherheitsabteilung. Er zeigt, in welcher Reihenfolge Sie vorgehen können, welche Rolle NIS2 spielt und wann ein externer Dienstleister sinnvoll ist.
Warum IT-Sicherheit Sache der Geschäftsführung ist
Der Digitalverband Bitkom befragt jedes Jahr Unternehmen zu Datendiebstahl, Spionage und Sabotage. In der Studie „Wirtschaftsschutz 2026“ beziffert er den Schaden für die deutsche Wirtschaft auf 211 bis 270,8 Milliarden Euro. Auf Cyberangriffe entfallen laut Bitkom 76 Prozent davon. Grundlage ist eine Befragung von 1.003 Unternehmen ab zehn Beschäftigten (Bitkom-Presseinformation vom 26.08.2026).
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) nennt in seinem Jahresbericht 2025 Erpressergruppen, die mit Ransomware arbeiten, weiterhin die größte Bedrohung. Ransomware ist Schadsoftware, die Daten verschlüsselt und erst gegen Lösegeld wieder freigeben soll. Kleinen und mittleren Unternehmen fehlen laut BSI oft die Ressourcen und das Bewusstsein für Schutzmaßnahmen. Bekannte Sicherheitslücken werden oft zu spät oder gar nicht geschlossen (BSI-Pressemitteilung vom 11.11.2025).
Für die Geschäftsführung ist das keine reine Technikfrage. Es geht um Lieferfähigkeit, Liquidität, Nachweise gegenüber Kunden und Versicherern sowie um das Vertrauen von Geschäftspartnern.
Schritt 1: Klären, was nicht ausfallen darf
Eine brauchbare Sicherheitsplanung beginnt nicht mit einer Produktliste. Sie beginnt mit der Frage, was für Ihr Unternehmen unverzichtbar ist. Halten Sie dazu vier Punkte fest:
- Geschäftsprozesse: zum Beispiel Produktion, Auftragsannahme, Warenwirtschaft, Abrechnung.
- Wichtige Daten: Kundenakten, Konstruktionsdaten, Personal- und Finanzdaten, E-Mail-Postfächer.
- Schlüsselzugänge: Administratorkonten, Fernzugänge, VPN, Zugänge zu Microsoft 365 und anderen Cloud-Diensten.
- Abhängigkeiten: Internetanbindung, Fachsoftware, externe Dienstleister, Cloud-Dienste.
Mit dieser Übersicht lassen sich Schwachstellen nach ihrer Bedeutung ordnen. Ein ungenutzter Testserver ist ärgerlich. Ein ungeschützter Zugang zur zentralen Dateiablage ist ein deutlich größeres Risiko.
Schritt 2: Den Ist-Stand bestimmen
Für kleine Unternehmen gibt es einen standardisierten Einstieg: den CyberRisikoCheck nach DIN SPEC 27076. Das BSI beschreibt ihn als Angebot für kleine und Kleinstunternehmen. Ein IT-Dienstleister führt dazu ein ein- bis zweistündiges Interview. Geprüft werden 27 Anforderungen aus sechs Themenbereichen. Das Unternehmen erhält einen Bericht mit Punktzahl und Handlungsempfehlungen zu jeder nicht erfüllten Anforderung, geordnet nach Dringlichkeit. Der Check ist ausdrücklich keine Zertifizierung (BSI: CyberRisikoCheck).
Größere Unternehmen brauchen meist eine ausführlichere Bestandsaufnahme. Das Ziel bleibt gleich: eine Liste der wichtigsten Lücken mit einer klaren Reihenfolge. Einen Sicherheitscheck für Ihr Unternehmen beschreiben wir auf der Seite IT-Sicherheit.
Schritt 3: Grundlegende Schutzmaßnahmen umsetzen
Wirksame IT-Sicherheit entsteht aus Organisation und Technik. Die folgenden Punkte sind unsere Empfehlung für den Anfang. Sie sind für die meisten kleinen und mittleren Unternehmen umsetzbar.
Organisation
- Zuständigkeiten festlegen: Wer entscheidet bei einem Vorfall? Wer richtet Konten ein und entzieht sie wieder?
- Einfache Regeln schreiben: Passwörter, Umgang mit Anhängen, private Geräte, Meldeweg bei Auffälligkeiten.
- Mitarbeitende sensibilisieren: regelmäßig und an echten Situationen, etwa geänderten Bankverbindungen oder ungewöhnlichen Zahlungsaufforderungen.
- Rechte begrenzen: Jede Person erhält nur die Zugriffe, die sie für ihre Aufgabe braucht. Das begrenzt den Schaden, wenn ein Konto übernommen wird.
Technik
- Mehr-Faktor-Authentifizierung: Die Anmeldung verlangt neben dem Passwort einen zweiten Nachweis, zum Beispiel eine App-Bestätigung. Das BSI rät, die Zwei-Faktor-Authentisierung zu nutzen, sobald ein Dienst sie ermöglicht (BSI: Zwei-Faktor-Authentisierung). Beginnen Sie mit E-Mail, Fernzugängen, Cloud-Diensten und Administratorkonten. Mehr dazu im Beitrag Multi-Faktor-Authentifizierung.
- Updates planen: Sicherheitsupdates für Server, Arbeitsplätze, Firewall und Anwendungen in einem festen Rhythmus einspielen und den Stand kontrollieren.
- Datensicherung und Wiederherstellung: Sicherungen allein reichen nicht. Testen Sie, ob und in welcher Reihenfolge sich Systeme wiederherstellen lassen.
- Netz und Zugänge absichern: eine gepflegte Firewall, verschlüsselte Fernzugänge und getrennte Netzbereiche, damit sich ein Angreifer nicht frei im Netz bewegen kann.
- Überwachung: Auffälligkeiten sollen früh bemerkt werden, nicht erst, wenn sich Mitarbeitende melden.
Eine Maßnahme wirkt nur, wenn sie dauerhaft betrieben wird. Eine Mehr-Faktor-Anmeldung mit vielen Ausnahmen oder eine Datensicherung, die nie zurückgespielt wurde, schützt weniger als gedacht. Die Grundlagen im Detail finden Sie im Beitrag Grundlagen der Cybersicherheit für Mittelständler.
Schritt 4: Den Ernstfall vorbereiten
Bei einem Vorfall ist die Zeit knapp. Was vorher nicht geklärt ist, muss dann unter Druck entschieden werden. Legen Sie deshalb schriftlich fest:
- wer einen Vorfall meldet und an wen,
- wer Systeme vom Netz trennen darf,
- welche externen Partner Sie anrufen,
- welche Systeme zuerst wieder laufen müssen,
- wer intern und gegenüber Kunden kommuniziert.
Wie ein solcher Plan aufgebaut sein kann, zeigt der Beitrag Incident Response Plan.
Was NIS2 für Ihr Unternehmen bedeutet
NIS2 ist eine EU-Richtlinie für mehr Cybersicherheit. In Deutschland wird sie durch das NIS-2-Umsetzungsgesetz umgesetzt. Es ist am 6. Dezember 2025 in Kraft getreten. Das BSI beaufsichtigt damit rund 29.500 Einrichtungen. Ob Ihr Unternehmen dazugehört, müssen Sie selbst prüfen. Das BSI bietet dafür eine Betroffenheitsprüfung an (BSI-Pressemitteilung vom 05.12.2025).
Betroffene Unternehmen müssen nach § 30 BSI-Gesetz (BSIG) geeignete technische und organisatorische Maßnahmen ergreifen und dokumentieren. Das Gesetz nennt Mindestinhalte, darunter Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Backup-Management und Notfallwiederherstellung, Sicherheit der Lieferkette, Schulungen sowie Multi-Faktor-Authentifizierung (§ 30 BSIG). Die Geschäftsleitung muss diese Maßnahmen umsetzen, die Umsetzung überwachen und regelmäßig an Schulungen teilnehmen (§ 38 BSIG).
Auch wenn Ihr Unternehmen nicht selbst betroffen ist, kann NIS2 Sie erreichen: Betroffene Unternehmen müssen auch die Sicherheit ihrer Lieferkette berücksichtigen, also die Beziehungen zu Lieferanten und Dienstleistern. Rechnen Sie deshalb mit Fragen betroffener Kunden zu Ihrer IT-Sicherheit. Die Schritte 1 bis 4 dieses Leitfadens decken sich in weiten Teilen mit den Mindestinhalten aus § 30 BSIG. Diese Einordnung ersetzt keine Rechtsberatung. Wie wir bei der Einordnung und Umsetzung unterstützen, lesen Sie auf der Seite NIS2 und Risikomanagement.
Selbst umsetzen oder an einen Dienstleister geben?
In vielen kleinen und mittleren Unternehmen ist das Wissen vorhanden. Es fehlt eher die Zeit. Dieselbe Person betreut Dienstleister, beschafft Hardware, hilft bei Benutzerproblemen und kümmert sich nebenbei um Sicherheit. Updates und Rechteprüfungen werden dann verschoben, weil das Tagesgeschäft vorgeht.
Ein IT-Dienstleister kann wiederkehrende Aufgaben verbindlich übernehmen: Updates, Datensicherung, Überwachung und Berichte. Bei den Managed Services der GSL Groß GmbH übernehmen wir den laufenden Betrieb Ihrer IT zum monatlichen Festpreis. Für die Erkennung von und Reaktion auf Angriffe gibt es Managed Detection and Response (MDR): Sicherheitsfachleute überwachen dabei Ihre Systeme auf Angriffsspuren und reagieren auf Alarme. Mehr dazu auf der Seite Managed Detection and Response.
Achten Sie bei jedem Dienstleister auf diese Punkte:
| Kriterium | Woran Sie es erkennen |
|---|---|
| Zuständigkeiten | Es ist schriftlich geregelt, wer überwacht, wer eskaliert und wer dokumentiert. |
| Feste Abläufe | Updates, Datensicherung und Benutzerverwaltung laufen nach festgelegten Prozessen. |
| Transparenz | Die Geschäftsführung erhält verständliche Berichte zu Stand und Risiken. |
| Erreichbarkeit | Es ist vereinbart, wie und wann Sie den Dienstleister im Ernstfall erreichen. |
Checkliste: Ihre nächsten Schritte
- Halten Sie fest, welche Prozesse, Anwendungen und Daten nach einem Ausfall zuerst wieder laufen müssen.
- Aktivieren Sie die Mehr-Faktor-Authentifizierung für E-Mail, Fernzugänge, Cloud-Dienste und Administratorkonten.
- Prüfen Sie Berechtigungen und entfernen Sie alte Konten und gemeinsam genutzte Zugänge.
- Testen Sie die Wiederherstellung Ihrer wichtigsten Systeme.
- Legen Sie einen Meldeweg fest, den alle Mitarbeitenden kennen.
- Prüfen Sie mit der Betroffenheitsprüfung des BSI, ob NIS2 für Sie gilt.
- Lassen Sie den Ist-Stand von außen prüfen und planen Sie die Maßnahmen in einer festen Reihenfolge.
Danach zählt der Rhythmus: Update-Stand prüfen, Rechte überprüfen, Wiederherstellung testen, Ergebnisse dokumentieren und der Geschäftsführung verständlich berichten.
Sprechen Sie mit uns
Sie möchten wissen, wo Ihr Unternehmen bei der IT-Sicherheit steht und womit Sie anfangen sollten? Die GSL Groß GmbH betreut kleine und mittlere Unternehmen in Rheinland-Pfalz und Hessen von Idar-Oberstein aus; im Raum Darmstadt arbeitet sie dafür mit einem Partnersystemhaus zusammen. Nehmen Sie Kontakt auf, und wir besprechen Ihre Ausgangslage in einem ersten Gespräch.