Warum trifft es gerade kleine Unternehmen?
Im Lagebericht zur IT-Sicherheit nennt das BSI kleine und mittlere Unternehmen als eine der drei Hauptzielgruppen von Angreifern, neben IT-Dienstleistern und Kommunen. Sie werden häufiger angegriffen, als ihr Anteil vermuten lässt. Der Grund ist selten, dass sie besonders interessant sind. Sie sind schlicht leichter zu knacken: keine eigene IT-Abteilung, alte Passwörter, keine geprüften Backups.
Welche Angriffe sind am häufigsten?
- Ransomware: Daten werden verschlüsselt, für die Freigabe wird Lösegeld verlangt. Laut BSI eine der zwei größten Bedrohungen für Unternehmen.
- Phishing und CEO-Fraud: gefälschte Mails, Rechnungen oder Anrufe, zunehmend mit KI und Deepfakes.
- Gestohlene Zugangsdaten: ein mehrfach genutztes Passwort reicht, um ins E-Mail-Konto oder die Cloud zu kommen.
- Angriffe über Dienstleister: Wer Zugriff auf Ihre Systeme hat, kann auch zum Einfallstor werden.
Was schützt am meisten?
Sie müssen nicht alles auf einmal machen. Diese Grundlagen haben die größte Wirkung:
- Zwei-Faktor-Anmeldung (MFA) für E-Mail, Cloud, Banking und alle Admin-Konten.
- Updates automatisch für Betriebssysteme, Programme, Router und Website.
- Backups nach der 3-2-1-Regel: drei Kopien, zwei Speicherorte, eine davon offline. Und regelmäßig testen, ob die Wiederherstellung funktioniert.
- Zugriffsrechte aufräumen: Jede Person bekommt nur, was sie braucht. Konten ehemaliger Mitarbeitender sofort sperren.
- Passwort-Manager statt Zettel und gleicher Passwörter überall.
- Mitarbeitende schulen: Phishing erkennen, verdächtige Mails melden, bei Zahlungsänderungen immer telefonisch nachfragen.
- Notfallplan: Wer ist zuständig, wen rufen wir an, welche Systeme sind am wichtigsten? Eine Seite reicht für den Anfang.
Was bedeutet NIS2 für mein Unternehmen?
Das Gesetz zur Umsetzung der NIS-2-Richtlinie ist am 6. Dezember 2025 in Kraft getreten. Betroffen sind in der Regel Unternehmen mit mehr als 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz, die in einem der genannten Sektoren tätig sind, zum Beispiel verarbeitendes Gewerbe, Lebensmittel, Abfallwirtschaft, Post und Kurier oder digitale Dienste. Unternehmen müssen selbst prüfen, ob sie dazugehören, und sich dann beim BSI registrieren.
Zu den Pflichten gehören unter anderem Risikomanagement (zum Beispiel Verschlüsselung und Zwei-Faktor-Anmeldung), Meldepflichten bei Vorfällen und Schulungen für die Geschäftsleitung. Auch wer selbst nicht betroffen ist, merkt NIS2 oft indirekt: Große Kunden verlangen zunehmend Nachweise von ihren Zulieferern.
Wie finde ich heraus, wo ich stehe?
Für kleine Unternehmen ohne eigene IT-Abteilung gibt es den CyberRisikoCheck nach DIN SPEC 27076, entwickelt mit dem BSI. In einem Interview werden 27 Anforderungen aus sechs Themenbereichen abgefragt. Danach bekommen Sie einen Bericht mit Risikobewertung und einer Liste der wichtigsten Maßnahmen.
Ein guter Einstieg ist auch eine einfache Bestandsaufnahme: Welche Geräte, Programme und Konten gibt es, wer hat worauf Zugriff, wo liegen die wichtigen Daten?
Was kostet IT-Sicherheit, und wer bezahlt?
Die Grundlagen sind günstig: Zwei-Faktor-Anmeldung und automatische Updates kosten oft nichts, ein Passwort-Manager und ein Backup-Dienst wenige Euro pro Person und Monat. Teurer ist der Ernstfall: Ausfall, Wiederherstellung, verlorene Aufträge.
Für größere Sicherheitsprojekte gibt es Förderung, zum Beispiel über den KfW-Förderkredit Digitalisierung: Für IT-Sicherheit gibt es dort zusätzlich einen Zuschuss.
Wie arbeiten wir bei Kosmo Team?
- Im IT-Check prüfen wir Sicherheit und DSGVO auf Basisniveau: Konten, Zugriffsrechte, Backups, Updates.
- Wir setzen die wichtigsten Maßnahmen um, in der Reihenfolge mit der größten Wirkung.
- Unser Partner schult Ihr Team im Umgang mit Phishing.
- Für NIS2-pflichtige Unternehmen und Förderanträge planen wir Projekte so, dass die Anforderungen dokumentiert sind.