Die Liste möglicher IT-Sicherheitsmaßnahmen ist lang, das Budget und die Zeit sind es nicht. Viele Unternehmen investieren deshalb an der falschen Stelle: in das neue Werkzeug, während das Backup seit Monaten nicht getestet wurde, oder in die Firewall, während der Geschäftsführer sein Postfach ohne zweiten Faktor nutzt.
Wie groß die Lücke zwischen Selbsteinschätzung und Realität ist, zeigt der BSI-Lagebericht 2025: Rund 90 Prozent der kleinen und mittleren Unternehmen halten ihren Schutz für ausreichend, im CyberRisikoCheck erreichen sie im Schnitt aber nur 56 Prozent der Anforderungen.
Dieser Beitrag zeigt, worauf Unternehmen bei der IT-Sicherheit wirklich achten sollten: welche Maßnahmen den größten Nutzen bringen, in welcher Reihenfolge Sie vorgehen und woran Sie erkennen, ob Ihre Maßnahmen wirken. Was IT-Sicherheit grundsätzlich bedeutet, erklären wir im Beitrag Was ist IT Security?.
Die Kurzfassung: fünf Grundsätze
- Zuerst die Grundlagen: Updates, Backups, Multi-Faktor-Authentifizierung und eingeschränkte Adminrechte verhindern die meisten erfolgreichen Angriffe.
- Von einem Einbruch ausgehen: Planen Sie so, dass ein einzelner infizierter Rechner nicht das ganze Unternehmen lahmlegt.
- Jemand muss hinschauen: Schutz ohne Überwachung und Reaktion bleibt Stückwerk.
- Menschen einbeziehen: Die meisten Angriffe beginnen mit einer E-Mail oder einem Anruf.
- Regelmäßig prüfen: IT-Sicherheit ist kein Projekt mit Enddatum, sondern eine Daueraufgabe.
Die 15 wichtigsten IT-Sicherheitsmaßnahmen
| Nr. | Maßnahme | Bereich | Priorität |
|---|---|---|---|
| 1 | Verantwortung festlegen und Leitlinie beschließen | Organisation | Basis |
| 2 | Bestand aller Geräte, Anwendungen und Konten erfassen | Organisation | Basis |
| 3 | Updates zeitnah und kontrolliert einspielen | Technik | Basis |
| 4 | Multi-Faktor-Authentifizierung für alle Zugänge von außen | Technik | Basis |
| 5 | Administratorrechte trennen und begrenzen | Technik | Basis |
| 6 | Backups offline oder unveränderbar, Wiederherstellung testen | Technik | Basis |
| 7 | Moderner Schutz der Endgeräte mit Verhaltenserkennung | Technik | Basis |
| 8 | E-Mail-Schutz und Einschränkung von Makros | Technik | Basis |
| 9 | Beschäftigte regelmäßig schulen | Mensch | Basis |
| 10 | Notfallplan erstellen und üben | Organisation | Basis |
| 11 | Netzwerk segmentieren | Technik | Ausbau |
| 12 | Protokolle auswerten, Überwachung rund um die Uhr | Technik | Ausbau |
| 13 | Dienstleister und Lieferanten bewerten | Organisation | Ausbau |
| 14 | Daten und Geräte verschlüsseln | Technik | Ausbau |
| 15 | Wirksamkeit regelmäßig prüfen, etwa durch Audits und Penetrationstests | Organisation | Ausbau |
Die Maßnahmen mit Priorität „Basis“ decken sich weitgehend mit den Top 10 der Ransomware-Maßnahmen des BSI. Sie sollten in jedem Unternehmen umgesetzt sein, unabhängig von Größe und Branche.
Organisatorische Maßnahmen
Verantwortung und Leitlinie: IT-Sicherheit braucht eine verantwortliche Person in der Geschäftsleitung und eine kurze, verständliche Leitlinie: Was ist uns wichtig, wer entscheidet, welche Regeln gelten? Ohne diese Grundlage bleiben technische Maßnahmen Einzelaktionen.
Bestandsaufnahme: Sie können nur schützen, was Sie kennen. Ein aktuelles Verzeichnis aller Geräte, Server, Cloud-Dienste und Benutzerkonten ist die Basis für Updates, Rechteverwaltung und Backups. Vergessene Testserver und Konten ehemaliger Beschäftigter sind beliebte Einfallstore.
Notfallplan: Wer wird im Ernstfall informiert, wer entscheidet über das Abschalten von Systemen, welche Dienstleister werden gerufen, wie wird ohne E-Mail kommuniziert? Ein Plan auf Papier, der einmal im Jahr geübt wird, spart im Ernstfall Stunden.
Dienstleister und Lieferanten: Viele Angriffe kommen über Fernwartungszugänge oder kompromittierte Software. Prüfen Sie, wer Zugriff auf Ihre Systeme hat, und regeln Sie Sicherheitsanforderungen vertraglich.
Technische Maßnahmen
Updates: Das BSI zählte im Lagebericht 2025 im Schnitt 119 neue Schwachstellen pro Tag. Systeme, die aus dem Internet erreichbar sind, etwa Firewalls, VPN-Zugänge und Mailserver, sollten bei kritischen Lücken innerhalb weniger Tage aktualisiert werden.
Multi-Faktor-Authentifizierung: Gestohlene Passwörter sind einer der häufigsten Wege ins Unternehmen. Ein zweiter Faktor stoppt die meisten dieser Angriffe. Pflicht ist er für E-Mail, Cloud-Dienste, Fernzugänge und alle Administratorkonten. Mehr dazu im Beitrag Was ist Multi-Faktor-Authentifizierung?.
Administratorrechte: Wer im Alltag mit Adminrechten arbeitet, gibt Schadsoftware dieselben Rechte. Administratoren brauchen getrennte Konten, Beschäftigte keine lokalen Adminrechte.
Backups: Laut BSI ist ein Offline-Backup die wichtigste vorbeugende Maßnahme gegen Ransomware. Entscheidend ist, dass Angreifer die Sicherung nicht erreichen können und dass die Wiederherstellung regelmäßig getestet wird.
Endgeräteschutz: Klassischer Virenschutz reicht gegen heutige Angriffe nicht aus. Moderne Lösungen erkennen verdächtiges Verhalten und können infizierte Geräte automatisch isolieren. Mehr dazu im Beitrag Was ist Endpoint Security?.
E-Mail-Schutz: Filter gegen Phishing und Schadsoftware, Einschränkung von Makros und aktiven Inhalten, Kennzeichnung externer Absender.
Netzwerksegmentierung: Getrennte Bereiche für Büro, Server, Produktion und Gäste verhindern, dass sich ein Angriff ungehindert ausbreitet. Mehr dazu im Beitrag Was ist Mikrosegmentierung?.
Überwachung: Viele Angriffe laufen über Tage, bevor der eigentliche Schaden entsteht. Wer Protokolle auswertet und Alarme auch nachts bearbeitet, kann rechtzeitig eingreifen. Für die meisten Mittelständler ist dafür ein externer Dienst wie ein Security Monitoring realistischer als ein eigenes Team.
Mensch und Prozesse
Schulungen wirken, wenn sie regelmäßig, kurz und praxisnah sind. Einmal im Jahr eine lange Präsentation verpufft. Besser sind kurze Lerneinheiten über das Jahr, simulierte Phishing-Mails und eine Kultur, in der Beschäftigte Verdachtsfälle ohne Angst melden. Wie Sie verdächtige E-Mails erkennen, beschreibt unser Beitrag Woran erkenne ich Phishing-Mails?.
Maßnahmen richtig priorisieren
Nicht jedes Unternehmen kann alles gleichzeitig umsetzen. Eine einfache Bewertung hilft: Wie wahrscheinlich ist ein Angriff auf diesem Weg, und wie groß wäre der Schaden? Maßnahmen, die häufige Angriffswege mit großem Schaden schließen, kommen zuerst.
| Frage | Beispiel |
|---|---|
| Was würde den Betrieb am stärksten treffen? | Ausfall von ERP, Produktion oder E-Mail |
| Wo liegen die sensibelsten Daten? | Kundendaten, Personaldaten, Konstruktionsdaten |
| Welche Wege nutzen Angreifer am häufigsten? | Phishing, gestohlene Zugangsdaten, ungepatchte Systeme am Netzrand |
| Was fehlt heute komplett? | kein getestetes Backup, keine Multi-Faktor-Authentifizierung |
Eine gute erste Orientierung bietet der CyberRisikoCheck nach DIN SPEC 27076, den das BSI für kleine Unternehmen entwickelt hat. Einen schnellen Einstieg bietet auch unser IT-Security-Audit-Selbstcheck.
IT-Sicherheit im Homeoffice und unterwegs
Mobiles Arbeiten verschiebt die Sicherheit auf das Gerät und die Identität. Diese Punkte gehören dazu:
- Nur verwaltete Geräte greifen auf Firmendaten zu, mit Verschlüsselung, Updates und Endgeräteschutz.
- Fernzugriff nur mit Multi-Faktor-Authentifizierung, besser anwendungsbezogen statt auf das ganze Netz. Mehr dazu im Beitrag Was ist Zero Trust?.
- Klare Regeln für private Geräte, öffentliche WLANs und das Ausdrucken vertraulicher Unterlagen.
- Bildschirmsperre und Sichtschutz in Bahn, Hotel und Café.
Woran Sie erkennen, ob Ihre Maßnahmen wirken
Was sich nicht messen lässt, lässt sich schwer verbessern. Diese Kennzahlen sind auch für kleinere Unternehmen leicht zu erheben:
| Kennzahl | Zielrichtung |
|---|---|
| Anteil der Konten mit Multi-Faktor-Authentifizierung | 100 Prozent bei Fernzugriff, Cloud und Administratoren |
| Zeit bis zur Installation kritischer Updates | wenige Tage bei Systemen mit Internetzugang |
| Letzter erfolgreicher Wiederherstellungstest | nicht älter als ein Quartal |
| Abdeckung des Endgeräteschutzes | alle Arbeitsplätze und Server |
| Klickrate bei Phishing-Simulationen | sinkend, Melderate steigend |
| Offene Befunde aus Audits und Tests | sinkend, keine kritischen älter als 30 Tage |
Einmal im Jahr sollte zusätzlich ein unabhängiger Blick von außen erfolgen, etwa durch ein Audit oder einen Penetrationstest.
Was kosten IT-Sicherheitsmaßnahmen?
Viele Basismaßnahmen kosten vor allem Zeit, nicht Geld. Multi-Faktor-Authentifizierung, getrennte Adminkonten und automatische Updates sind in gängigen Lizenzen oft bereits enthalten und müssen nur konsequent eingerichtet werden. Investitionen fallen vor allem in diesen Bereichen an:
| Bereich | Typischer Aufwand |
|---|---|
| Endgeräteschutz mit Verhaltenserkennung | Lizenz pro Gerät und Jahr |
| Unveränderbares Backup | Speicher und Lizenz, abhängig von der Datenmenge |
| Überwachung rund um die Uhr | monatliche Pauschale bei einem Dienstleister |
| Schulungen und Phishing-Simulationen | Lizenz pro Beschäftigtem und Jahr |
| Audits und Penetrationstests | einmalig, je nach Umfang mehrere Personentage |
Der Vergleich lohnt sich: Laut Bitkom entstand der deutschen Wirtschaft 2025 durch Datendiebstahl, Spionage und Sabotage ein Schaden von rund 289 Milliarden Euro. Für ein einzelnes Unternehmen bedeutet ein erfolgreicher Ransomware-Angriff oft Tage oder Wochen Stillstand. Kleine und mittlere Unternehmen können für Beratung und Umsetzung zudem Fördermittel nutzen. Einen Überblick gibt unser Beitrag Förderung für IT-Sicherheit.
Künstliche Intelligenz: neue Angriffe, neue Abwehr
KI verändert beide Seiten. Angreifer nutzen sie, um fehlerfreie und persönlich zugeschnittene Phishing-Mails in großer Zahl zu schreiben, Stimmen für betrügerische Anrufe zu imitieren und Schwachstellen schneller zu finden. Die klassischen Erkennungszeichen wie Rechtschreibfehler verlieren damit an Bedeutung.
Auf der Abwehrseite helfen KI-gestützte Lösungen, auffälliges Verhalten auf Geräten und im Netz schneller zu erkennen. Für Unternehmen heißt das: Prozesse wie Rückrufe bei Zahlungsänderungen werden wichtiger, und Schutzlösungen sollten nicht nur bekannte Muster, sondern auch ungewöhnliches Verhalten erkennen. Zugleich braucht der Einsatz eigener KI-Werkzeuge klare Regeln, welche Daten dort eingegeben werden dürfen. Mehr dazu im Beitrag KI in der Cybersicherheit.
Was das Gesetz verlangt
Die DSGVO verpflichtet alle Unternehmen, personenbezogene Daten durch angemessene technische und organisatorische Maßnahmen zu schützen. Für rund 29.500 Einrichtungen gelten seit Dezember 2025 zusätzlich die Pflichten aus NIS2, darunter Risikomanagement, Meldepflichten und die Verantwortung der Geschäftsleitung. Welche das im Einzelnen sind, zeigt unsere NIS2-Checkliste. Auch Versicherer und Großkunden verlangen zunehmend Nachweise über konkrete Maßnahmen wie Multi-Faktor-Authentifizierung und Backups.
Typische Fehler
- Werkzeuge statt Grundlagen: Neue Produkte kaufen, während Updates und Backups lückenhaft sind.
- Ausnahmen für die Chefetage: Gerade Konten der Geschäftsleitung sind beliebte Ziele.
- Backup nie getestet: Viele merken erst im Ernstfall, dass die Sicherung unvollständig oder ebenfalls verschlüsselt ist.
- Alarme ohne Empfänger: Warnungen laufen auf, aber niemand reagiert, besonders am Wochenende.
- Einmalprojekt: Maßnahmen werden eingeführt und nie wieder überprüft.
Praxisbeispiel: Ein Logistikunternehmen mit 120 Beschäftigten
Ein Logistikunternehmen hat Firewall und Virenschutz, sonst wenig Struktur. Eine Bestandsaufnahme zeigt: 30 Prozent der Konten ohne Multi-Faktor-Authentifizierung, das Backup liegt im selben Netz wie die Server, drei Dienstleister haben dauerhafte Fernzugänge, und niemand wertet Protokolle aus.
Das Unternehmen geht in drei Etappen vor. In den ersten sechs Wochen werden Multi-Faktor-Authentifizierung für alle Konten, ein unveränderbares Backup mit Wiederherstellungstest und getrennte Adminkonten eingeführt. Danach folgen moderner Endgeräteschutz, eine Überwachung rund um die Uhr durch einen Dienstleister und befristete Fernzugänge. Im dritten Schritt wird das Netz segmentiert und ein Notfallplan geübt. Nach einem Jahr zeigen die Kennzahlen: alle Konten mit zweitem Faktor, Updates im Schnitt nach fünf Tagen, eine Phishing-Klickrate, die sich halbiert hat.
Unterstützung durch die Deutsche Cyberkom
Wir helfen Ihnen, die richtigen IT-Sicherheitsmaßnahmen in der richtigen Reihenfolge umzusetzen. Mit unserem IT-Security-Audit zum Festpreis erhalten Sie eine klare Bestandsaufnahme und einen priorisierten Maßnahmenplan. Auf Wunsch übernehmen wir anschließend die Umsetzung und den laufenden Betrieb, vom Endgeräteschutz über das Backup bis zur Überwachung rund um die Uhr. Einen Überblick über alle Bausteine finden Sie auf unserer Seite zur IT-Sicherheit für Unternehmen.
Fazit: Die richtigen Maßnahmen in der richtigen Reihenfolge
Gute IT-Sicherheit beginnt nicht mit dem teuersten Werkzeug, sondern mit soliden Grundlagen: aktuelle Systeme, starke Anmeldung, begrenzte Rechte, getestete Backups, geschützte Endgeräte und geschulte Beschäftigte. Darauf bauen Segmentierung, Überwachung und regelmäßige Prüfungen auf. Wer priorisiert, misst und dranbleibt, erreicht mit überschaubarem Aufwand ein Sicherheitsniveau, das den meisten Angriffen standhält.
Sie möchten wissen, welche Maßnahmen in Ihrem Unternehmen fehlen? Wir prüfen Ihren Stand und zeigen die wichtigsten nächsten Schritte. Jetzt kostenlose Erstberatung buchen.
