Viele mittelständische Unternehmen wissen, dass sie mehr für ihre Cybersicherheit tun sollten. Unklar ist oft, womit sie anfangen sollen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt in seinem Jahresbericht 2025 genau dieses Problem: Kleineren und mittleren Unternehmen fehlen oft die Ressourcen und das Bewusstsein für die eigene Verwundbarkeit (BSI-Pressemitteilung vom 11.11.2025).
Für den Einstieg hat das BSI deshalb eigene Angebote für kleine und mittlere Unternehmen (KMU) entwickelt. Zentral ist die Broschüre „Cybersicherheit für KMU“. Sie behandelt die Grundlagen in 14 Fragen (BSI-Broschüre „Cybersicherheit für KMU“, 3. Auflage, Stand Juli 2024). Dieser Beitrag fasst die Empfehlungen in sieben Themen zusammen. So sehen Sie schnell, wo Ihr Unternehmen steht.
1. Verantwortung klären und die eigene IT kennen
Das BSI beantwortet die Frage nach der Verantwortung eindeutig: Verantwortlich für Cybersicherheit ist die Unternehmensleitung. Sie muss sich nicht um Details kümmern. Das Thema sollte aber regelmäßig auf der Tagesordnung der Geschäftsleitung stehen. Außerdem empfiehlt das BSI festzulegen, wer für den IT-Betrieb und wer für die Informationssicherheit zuständig ist.
Danach folgt eine Bestandsaufnahme. Sie umfasst laut BSI:
- alle Geräte, vom Rechner über Server und Smartphones bis zu Druckern und Routern,
- die eingesetzte Software mit Version und gültigen Lizenzen,
- die Daten und Abläufe, ohne die Ihr Geschäftsbetrieb stillstehen würde,
- alle Zugriffsrechte, damit etwa ehemalige Beschäftigte oder Dienstleister keinen Zugang mehr haben,
- alle Verbindungen ins Internet und zu Partnern.
Das BSI empfiehlt, diese Übersicht mindestens zweimal im Jahr zu aktualisieren. Sie hilft auch einem Dienstleister, der im Ernstfall schnell handeln muss.
2. Daten sichern und die Wiederherstellung testen
Mit einer Datensicherung (Backup) können Sie den Betrieb nach einem Vorfall schneller wieder aufnehmen, gerade nach einem Angriff mit Ransomware. Ransomware ist Schadsoftware, die Daten verschlüsselt und erst gegen Lösegeld wieder freigeben soll. Das BSI rät:
- Häufigkeit festlegen: Das Intervall richtet sich nach der Menge neuer Daten und danach, wie lange Sie zum Nachpflegen verlorener Daten bräuchten.
- Speicherort wählen: Eine externe Festplatte, die nach der Sicherung vom System getrennt wird, ist für Ransomware von außen nicht erreichbar. Ein Cloud-Backup lässt sich leicht automatisieren. Für die wichtigsten Daten können Sie beides kombinieren.
- Unveränderliche Sicherungen: Achten Sie darauf, dass Sicherungen nachträglich nicht verändert werden können. Der Fachbegriff lautet „immutable backup“.
- Wiederherstellung testen: Prüfen Sie jede Sicherung direkt nach dem Erstellen auf Vollständigkeit und Funktion.
- Verschlüsseln: Verschlüsseln Sie Sicherungen und bewahren Sie eine Kopie des Schlüssels sicher auf.
3. Systeme aktuell und geschützt halten
Zu spät oder gar nicht installierte Updates gehören laut BSI zu den häufigsten Gründen für erfolgreiche Cyberangriffe auf Unternehmen. Die Empfehlungen im Überblick:
- Updates: Sicherheitsupdates einspielen, sobald der Hersteller sie bereitstellt, und automatische Updates aktivieren. Hard- und Software ohne Herstellerunterstützung ersetzen oder entfernen. Klar regeln, wer für Updates zuständig ist, bei einem Dienstleister auch im Vertrag.
- Virenschutz: Ein Virenschutzprogramm auf allen Systemen, vor allem auf solchen mit Internetverbindung, und stets aktuell halten. Das BSI betont, dass Virenschutz wichtig ist, die übrigen Punkte aber noch wichtiger sind.
- Firewall: Eine Firewall filtert Verbindungen zwischen Netzen. Das BSI empfiehlt, die lokale Firewall auf allen Arbeitsplatzrechnern zu aktivieren und zusätzlich eine zentrale Firewall zwischen Firmennetz und Internet einzusetzen.
- Makros: Makros sind kleine Programme in Office-Dateien. Laut BSI gehören sie zu den Haupteinfallstoren für Ransomware. Das BSI empfiehlt, die Ausführung zentral zu sperren, etwa per Gruppenrichtlinie, und nur benötigte, signierte Makros zuzulassen.
4. Zugänge und E-Mail absichern
Passwörter und Anmeldung
- Für jeden Dienst ein eigenes Passwort verwenden, vor allem nicht dasselbe für private und berufliche Konten.
- Einen Passwort-Manager nutzen, der sichere Passwörter erzeugt und verschlüsselt speichert.
- Mehr-Faktor-Authentifizierung aktivieren, wo sie angeboten wird. Dabei verlangt die Anmeldung neben dem Passwort einen zweiten Nachweis, zum Beispiel eine Bestätigung auf dem Smartphone.
- Passkeys prüfen: Bei diesem Verfahren ersetzen kryptografische Verfahren das Passwort. Das BSI bezeichnet es für die meisten KMU als das sicherste und am wenigsten fehleranfällige Verfahren.
Benutzerkonten und Rechte
- Für jede Person ein eigenes Konto, keine Gruppenkonten.
- Keine Administratorrechte für die tägliche Arbeit. Mit Administratorkonten wird nur verwaltet, nicht im Internet gesurft.
- Zugänge ausgeschiedener Beschäftigter zeitnah entfernen.
- In größeren Netzen direkte Verbindungen zwischen Arbeitsplatzrechnern standardmäßig unterbinden und das Netz in Zonen aufteilen, etwa für Server, Arbeitsplätze und Produktion.
- Im Zweifel die Echtheit einer Nachricht über einen anderen Weg prüfen, zum Beispiel per Telefon.
- Berufliche E-Mails nicht an private Postfächer weiterleiten.
- Den Postfächern einen Virenscanner vorschalten und die Transportverschlüsselung zwischen den Mailservern aktivieren.
5. Unterwegs und im Homeoffice sicher arbeiten
Für mobiles Arbeiten nennt das BSI unter anderem:
- Zugriff auf das Firmennetz von außen nur über ein VPN, also eine verschlüsselte Verbindung. Das gilt auch für den Zugriff auf E-Mail über den Browser.
- Sensible Daten oder die ganze Festplatte verschlüsseln.
- Mehr-Faktor-Authentifizierung nutzen.
- Geräte nicht unbeaufsichtigt lassen und Verlust oder Diebstahl sofort melden.
- Keine fremden oder geschenkten USB-Sticks verwenden.
6. Mitarbeitende einbinden
Das BSI empfiehlt, Beschäftigte regelmäßig über sichere Arbeitsweisen und aktuelle Bedrohungen zu informieren. Ein Hilfsmittel ist eine schriftliche IT-Richtlinie, die jede Person erhält. Sie beschreibt die erlaubte IT-Nutzung und den Weg, Vorfälle zu melden.
Wichtig ist der Ton: Meldungen sollen gefördert und nicht bestraft werden. Nur so erfährt das Unternehmen von möglichst vielen Vorfällen. Für den Aushang bietet das BSI eine kostenlose IT-Notfallkarte mit den wichtigsten Kontakten und Erstmaßnahmen an.
7. Auf den Ernstfall vorbereitet sein
Das BSI rät, schon vor einem Vorfall Dienstleister zu suchen, die bei der Bewältigung helfen. Für den Vorfall selbst nennt es unter anderem diese ersten Schritte:
- betroffene Geräte oder das Firmennetz vom Internet trennen,
- betroffene Geräte nicht ausschalten und nicht verändern, damit Spuren für die Untersuchung erhalten bleiben,
- nicht auf Lösegeldforderungen eingehen,
- einen Plan für die interne und externe Kommunikation bereithalten,
- Anzeige erstatten, zum Beispiel bei der Zentralen Ansprechstelle Cybercrime der Polizei.
Prüfen Sie außerdem, ob Ihre Versicherungen Cyberrisiken abdecken, und zwar die Risiken, die für den Fortbestand Ihres Unternehmens am wichtigsten sind. Wie Sie über diese ersten Schritte hinaus den Betrieb im Notfall weiterführen, beschreibt der Beitrag Cyberresilienz.
Der nächste Schritt: Standort bestimmen und ausbauen
Wenn die Grundlagen stehen, lohnt ein Blick von außen. Für kleine Unternehmen bietet das BSI den CyberRisikoCheck nach DIN SPEC 27076 an. Dabei prüft ein IT-Dienstleister in einem Interview 27 Anforderungen und gibt Empfehlungen nach Dringlichkeit. Wie Sie diesen Check in Ihr Vorgehen einordnen, zeigt unser Leitfaden IT-Sicherheit für Unternehmen.
Für Unternehmen mit eigenen IT-Fachkräften verweist das BSI auf den IT-Grundschutz. Er gilt laut BSI in Deutschland als Maßstab für Informationssicherheit und für den Aufbau eines Managementsystems für Informationssicherheit. Die Basis-Absicherung nach IT-Grundschutz nennt das BSI eine notwendige Voraussetzung für eine professionelle Absicherung. Für kleine und Kleinstunternehmen ist ein vollständiges Managementsystem nach IT-Grundschutz laut BSI in der Regel nicht geeignet (BSI: Fortgeschrittene Absicherung).
Selbst umsetzen oder einen Dienstleister beauftragen?
Viele der genannten Punkte lassen sich mit überschaubarem Aufwand umsetzen. Sie müssen aber dauerhaft gepflegt werden: Updates, Sicherungen, Konten und Rechte ändern sich laufend. Das BSI empfiehlt Unternehmen ohne Beschäftigte mit ausreichenden IT- und Sicherheitskenntnissen, dauerhaft einen IT-Dienstleister zu beauftragen (BSI: Leichter Einstieg für KMU).
Bei unseren Managed Services übernehmen wir den laufenden Betrieb Ihrer IT zum monatlichen Festpreis. Wo Ihr Unternehmen bei der Sicherheit steht, klären wir mit Ihnen im Rahmen unserer IT-Sicherheitsleistungen.
Sprechen Sie mit uns
Sie möchten wissen, welche dieser Grundlagen in Ihrem Unternehmen schon umgesetzt sind und wo Lücken bestehen? Die GSL Groß GmbH betreut kleine und mittlere Unternehmen in Rheinland-Pfalz und Hessen von Idar-Oberstein aus; im Raum Darmstadt arbeitet sie dafür mit einem Partnersystemhaus zusammen. Nehmen Sie Kontakt auf, und wir besprechen Ihre Ausgangslage in einem ersten Gespräch.