950 Ransomware-Angriffe. 80 Prozent gegen KMU. In einem einzigen Jahr.
Die Zahlen aus dem BSI-Lagebericht 2025 sind kein Alarmsignal mehr. Sie sind Realität. 119 neue Sicherheitslücken pro Tag, 24 Prozent mehr als im Vorjahr.
KMU erfüllen im Schnitt nur 56 Prozent der Basisanforderungen an IT-Sicherheit. Und 55 Prozent sagen, ein Cyberangriff mit Schäden unter 50.000 Euro würde sie existenziell bedrohen.
Das hier ist kein Panikmache-Artikel. Das hier ist ein IT-Sicherheitskonzept zum Mitnehmen: ein priorisierter Maßnahmenplan, den Sie ab heute abarbeiten können.
Quick Wins: In einer Woche umsetzbar
Multi-Faktor-Authentifizierung einführen
Für alle Administratorzugänge. Sofort. Kein Argument dagegen hält einer Kosten-Nutzen-Analyse stand.
90 Prozent aller erfolgreichen Angriffe beginnen mit kompromittierten Zugangsdaten. MFA blockiert den Großteil davon. Microsoft Authenticator, Google Authenticator oder Hardware-Tokens: die Implementierung dauert Stunden, nicht Wochen.
Passwortrichtlinien verschärfen
Mindestens 12 Zeichen. Keine Wiederverwendung. Passwort-Manager für alle Mitarbeiter bereitstellen.
“Passwort123” ist kein Scherz. Es ist der häufigste Grund, warum Unternehmen gehackt werden. Ein Passwort-Manager kostet 3 bis 5 Euro pro Mitarbeiter und Monat.
Backup-Konzept prüfen
Haben Sie Backups? Sind sie aktuell? Sind sie offline gespeichert? Haben Sie je einen Restore-Test gemacht?
Die 3-2-1-Regel: drei Kopien, auf zwei verschiedenen Medien, eine davon offline. Und mindestens einmal pro Quartal testen, ob der Restore funktioniert. Nicht “glauben”, sondern “wissen”.
Mittelfristige Maßnahmen: Ein bis drei Monate
Netzwerksegmentierung
Trennen Sie kritische Systeme vom Rest. Die Buchhaltung hat keinen Zugriff auf den Shopfloor. Das Gäste-WLAN ist von der Produktions-IT isoliert.
Klingt aufwändig, ist aber oft mit vorhandener Hardware umsetzbar. Ihr Firewall-System kann wahrscheinlich VLANs. Nutzen Sie die Funktion.
E-Mail-Sicherheit
Phishing ist der häufigste Angriffsvektor. SPF, DKIM und DMARC für Ihre Domain konfigurieren. Anti-Phishing-Filter aktivieren. Mitarbeiter schulen.
Ein einziger Klick auf einen falschen Link reicht. Schulungen müssen regelmäßig stattfinden, nicht einmal im Jahr. Simulierte Phishing-Mails zeigen, wo die Schwachstellen liegen.
Patch-Management
Bekannte Schwachstellen zeitnah schließen. Definieren Sie ein Zeitfenster: kritische Patches innerhalb von 48 Stunden, wichtige innerhalb von zwei Wochen.
Automatisierte Patch-Management-Tools erledigen das meiste im Hintergrund. Für Server, Workstations und Netzwerkgeräte. Die Kosten sind überschaubar, die Wirkung enorm.
Strategische Maßnahmen: Drei bis sechs Monate
Incident-Response-Plan
Wer ruft wen an, wenn es passiert? Welche Systeme werden zuerst isoliert? Wer informiert die Aufsichtsbehörde innerhalb von 24 Stunden (NIS2-Pflicht)?
Schreiben Sie es auf. Nicht in den Köpfen, auf Papier. Testen Sie den Plan mindestens einmal jährlich mit einer Tabletop-Übung.
Schwachstellenmanagement
Regelmäßige Schwachstellenscans Ihrer extern erreichbaren Systeme. Mindestens monatlich. Die Tools sind erschwinglich und oft als SaaS verfügbar.
Was gefunden wird, muss priorisiert und behoben werden. Nicht “zur Kenntnis genommen”. Behoben.
Lieferantenbewertung
NIS2 verlangt die Absicherung der Lieferkette. Bewerten Sie Ihre IT-Dienstleister nach Sicherheitskriterien. Fordern Sie SOC-2-Berichte oder vergleichbare Nachweise an.
Ihr Cloud-Provider, Ihr SaaS-Anbieter, Ihr Hosting-Dienstleister: alle sind potenzielle Angriffsvektoren. Prüfen Sie sie.
Der CyberRisikoCheck nach DIN SPEC 27076
Das BSI empfiehlt diesen Check als Einstieg für KMU. Er deckt 27 Anforderungen in sechs Themenbereichen ab und liefert einen konkreten Handlungsbericht.
Zertifizierte IT-Dienstleister führen den Check durch. Dauer: etwa vier Stunden. Die Kosten werden in vielen Bundesländern gefördert.
Der Check ersetzt kein vollständiges Sicherheitskonzept. Aber er zeigt, wo Sie stehen und wo die größten Lücken sind.
Vom Maßnahmenplan zum IT-Sicherheitskonzept und NIS2
Seit Dezember 2025 gilt das NIS2-Umsetzungsgesetz. Viele Mittelständler fallen jetzt unter die Regulierung und müssen Sicherheitsmaßnahmen nachweisen.
Die gute Nachricht: Wer diesen Maßnahmenplan umsetzt und dokumentiert, hat damit den Kern eines IT-Sicherheitskonzepts und erfüllt bereits einen großen Teil der NIS2-Anforderungen. Die Pflichten überschneiden sich.
Details zur NIS2-Umsetzung in unserem NIS2-Leitfaden. Zum regulatorischen Gesamtbild: EU-Compliance für Softwareteams.
Was IT-Sicherheit kostet (und was sie spart)
Ein Ransomware-Angriff kostet deutsche KMU im Durchschnitt zwischen 50.000 und 500.000 Euro. Dazu kommen Reputationsschäden und verlorene Kundenbeziehungen.
Dagegen: MFA einführen kostet fast nichts. Patch-Management-Tools kosten ein paar hundert Euro pro Monat. Selbst ein vollständiger Sicherheits-Audit kostet selten mehr als 20.000 Euro.
Die Rechnung ist einfach. Wer nicht investiert, zahlt später mehr.
Sie wollen Ihre IT-Sicherheit auf den Stand bringen, den NIS2 verlangt? Vereinbaren Sie ein Erstgespräch. Wir prüfen Ihre Systemlandschaft und helfen bei der Umsetzung der Maßnahmen.
