IT-Sicherheits-Checkliste für KMU: 10 Punkte, die jeder Betrieb prüfen sollte

IT-Sicherheit kostet Zeit? Nein – sie spart sie. Mit dieser 10-Punkte-Checkliste erkennen KMU die größten Sicherheitslücken und schützen sich vor teuren Ausfällen. Jetzt als PDF herunterladen.

Ein Warenwirtschaftssystem, das nach einem Verschlüsselungstrojaner nicht mehr startet. Ein Buchhaltungs-Postfach, das eine gefälschte Rechnung anstandslos durchwinkt. Ein Mitarbeiter-Laptop, der samt Kundendaten im Zug liegen bleibt. Keiner dieser Fälle beginnt mit einem gezielten Hackerangriff auf ein bestimmtes Unternehmen – die meisten Vorfälle bei kleinen und mittleren Unternehmen entstehen durch breit gestreute, automatisierte Angriffe, die einfach die nächste offene Tür finden. Genau das macht sie so gefährlich: Es trifft nicht die Großen zuerst, sondern die Unvorbereiteten.

Die gute Nachricht: Die wirksamsten Schutzmaßnahmen sind weder kompliziert noch teuer. Mit der folgenden 10-Punkte-Checkliste können Sie in wenigen Minuten einschätzen, wo Ihr Betrieb steht – und wo sich schnelles Handeln lohnt. Denn jede Stunde, die Sie heute in IT-Sicherheit investieren, spart Ihnen später Tage voller Ausfallzeit, Datenwiederherstellung und Ärger mit Kunden.

Am Ende des Artikels finden Sie die komplette Checkliste zum kostenlosen Download als PDF – zum Ausdrucken, Abhaken und für die nächste Teambesprechung.

1. Starke Passwörter und Zwei-Faktor-Authentifizierung

Gestohlene oder erratene Zugangsdaten sind nach wie vor einer der häufigsten Einfallstore für Angreifer. Ein Passwort-Manager sorgt dafür, dass jeder Account ein eigenes, langes Passwort erhält – ohne dass sich jemand zwanzig Kombinationen merken muss. Noch wichtiger: Aktivieren Sie überall dort, wo es möglich ist, die Zwei-Faktor-Authentifizierung (2FA). Selbst ein gestohlenes Passwort nützt Angreifern dann nichts mehr.

2. Software-Updates und Patch-Management

Veraltete Software mit bekannten Sicherheitslücken ist eines der beliebtesten Ziele automatisierter Angriffe – das bestätigt auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) als zentrale Grundschutzmaßnahme. Betriebssysteme, Browser, Buchhaltungssoftware, Router-Firmware: Alles, was online ist, braucht regelmäßige Updates. Am zuverlässigsten funktioniert das mit automatischen Update-Zeitplänen statt manueller „Ich mach’s, wenn ich Zeit habe“-Lösungen.

3. Regelmäßige Datensicherung nach der 3-2-1-Regel

Ein Backup ist Ihre Versicherung gegen Ransomware, Hardwaredefekte und menschliche Fehler – aber nur, wenn es auch funktioniert. Die 3-2-1-Regel ist dafür nach wie vor der Goldstandard und wird unter anderem vom BSI im Rahmen des Business Continuity Management ausdrücklich empfohlen: mindestens drei aktuelle Kopien Ihrer Daten, auf zwei unterschiedlichen Speichermedien beziehungsweise -technologien, davon eine an einem anderen Ort gelagert.

Für den Ernstfall reicht das heute aber nicht mehr ganz aus. Moderne Ransomware sucht gezielt nach erreichbaren Backups, um sie vor der eigentlichen Verschlüsselung zu löschen oder unbrauchbar zu machen. Deshalb empfiehlt etwa die US-Sicherheitsbehörde CISA, mindestens eine Kopie zusätzlich offline oder unveränderlich (immutable) zu speichern – und regelmäßig zu testen, ob Verfügbarkeit, Integrität und Wiederherstellung im Ernstfall tatsächlich funktionieren. Ein Backup, das im Ernstfall nicht einspielbar ist, ist keines.

Für die räumlich getrennte Kopie der 3-2-1-Regel eignet sich ein externes S3- beziehungsweise S3-kompatibles Backup besonders gut. Auch unsere eigenen Backups bei Röschi Systems & Security laufen ausschließlich in ein solches externes S3-Backup.

4. Moderne Endpoint-Security und Managed Detection & Response

Klassischer Virenschutz allein reicht heute nicht mehr aus. Moderne Endpoint-Security schützt Arbeitsplatzrechner, Notebooks und Server nicht nur vor bekannter Schadsoftware, sondern überwacht zusätzlich Prozesse, Netzwerkverbindungen und auffälliges Verhalten auf den Geräten.

Mit Endpoint Detection & Response (EDR) lassen sich dadurch auch komplexere Angriffe, Ransomware oder bislang unbekannte Bedrohungen erkennen – betroffene Systeme können bei Bedarf automatisiert isoliert werden. Noch umfassender arbeitet Extended Detection & Response (XDR): Hier werden zusätzlich Informationen aus unterschiedlichen Sicherheitsbereichen miteinander verknüpft, etwa aus Endgeräten, E-Mail, Benutzeridentitäten und Cloud-Diensten – so lassen sich einzelne verdächtige Ereignisse zu einem zusammenhängenden Angriff zusammenführen.

Bei Managed EDR beziehungsweise Managed XDR/MDR werden diese Systeme zusätzlich rund um die Uhr von Sicherheitsspezialisten überwacht: Auffälligkeiten werden bewertet, Fehlalarme herausgefiltert und tatsächliche Sicherheitsvorfälle untersucht und bearbeitet. Gerade für kleine und mittlere Unternehmen, die kein eigenes Security Operations Center betreiben können, bietet das einen erheblichen zusätzlichen Schutz.

Viren allein gibt es heutzutage nur noch beim Arzt.

5. Firewall und abgesichertes Netzwerk

Eine korrekt konfigurierte Firewall trennt Ihr internes Netzwerk vom offenen Internet und blockiert unerwünschte Zugriffsversuche. Prüfen Sie zusätzlich Ihr WLAN: Ist es mit einem starken, individuellen Passwort geschützt? Gibt es ein separates Gäste-WLAN, das keinen Zugriff auf interne Systeme hat? Diese Trennung verhindert, dass ein kompromittiertes Gästegerät zum Sprungbrett ins Firmennetz wird.

6. Mitarbeitersensibilisierung gegen Phishing

Die beste Technik nützt wenig, wenn eine gut gemachte Phishing-Mail eine unbedachte Sekunde findet. Phishing und Betrugsmaschen zählen laut BSI zu den größten Bedrohungen für Unternehmen jeder Größe. Regelmäßige, kurze Schulungen – etwa anhand echter Beispiele verdächtiger Mails – schaffen ein gesundes Misstrauen im Team, ohne den Arbeitsalltag zu lähmen. Eine klare Regel hilft besonders: Bei Zahlungsaufforderungen oder ungewöhnlichen Anfragen lieber einmal zu viel telefonisch nachfragen als einmal zu wenig.

7. Zugriffsrechte nach dem Prinzip der geringsten Berechtigung

Nicht jeder Mitarbeitende braucht Zugriff auf alle Daten und Systeme. Vergeben Sie Rechte gezielt nach Aufgabenbereich (Need-to-know-Prinzip) und überprüfen Sie diese regelmäßig – vor allem, wenn jemand das Unternehmen verlässt oder die Abteilung wechselt. Das begrenzt den möglichen Schaden erheblich, falls ein einzelner Account doch einmal kompromittiert wird.

8. Sichere mobile Geräte und Homeoffice-Arbeitsplätze

Laptops, Smartphones und Tablets verlassen das Büro – und damit auch die Daten darauf. Festplattenverschlüsselung, Bildschirmsperren, eine sichere VPN-Verbindung für den Zugriff auf Firmensysteme und klare Regeln für private Geräte (BYOD) sind hier Pflicht, nicht Kür. Ein verlorenes, aber verschlüsseltes Gerät ist ein Ärgernis; ein verlorenes, unverschlüsseltes Gerät kann ein meldepflichtiger Datenschutzvorfall werden.

9. Notfallplan und klare Verantwortlichkeiten

Wer ist im Ernstfall der erste Ansprechpartner? Wer darf Systeme vom Netz nehmen, wer informiert Kunden, wer meldet den Vorfall gegebenenfalls den Behörden? Ein kurzer, schriftlicher Notfallplan – auch ausgedruckt griffbereit, falls die IT selbst betroffen ist – verkürzt im Krisenfall die Reaktionszeit drastisch. Genau hier setzt auch das Business Continuity Management (BCM) an: der Vorbereitung darauf, kritische Geschäftsprozesse auch während eines IT-Ausfalls aufrechtzuerhalten.

10. Regelmäßige Überprüfung des eigenen Sicherheitsstands

IT-Sicherheit ist kein einmaliges Projekt, sondern ein fortlaufender Prozess. Eine strukturierte, wiederkehrende Standortbestimmung – etwa orientiert am CyberRisikoCheck nach DIN SPEC 27076, einem eigens für KMU entwickelten Prüfverfahren – zeigt zuverlässig, wo aktuell die größten Lücken liegen und wie dringend der Handlungsbedarf ist. Gerade weil sich Bedrohungslage und eigene IT-Landschaft ständig ändern, lohnt sich dieser Check mindestens einmal jährlich.

Fazit: Sicherheit ist eine Investition, kein Kostenfaktor

Die meisten Sicherheitsvorfälle in kleinen und mittleren Unternehmen ließen sich mit genau diesen zehn Grundmaßnahmen vermeiden oder zumindest deutlich abmildern. Der Aufwand dafür ist überschaubar – die Kosten eines tagelangen Systemausfalls, eines Datenverlusts oder eines Erpressungsversuchs dagegen nicht. Wer heute zehn Minuten investiert, um die eigene Checkliste durchzugehen, spart sich im Zweifel Wochen an Wiederherstellungsarbeit.