Inhalt
Kurzantwort
Priorisieren Sie nicht nach Produkten, sondern nach Ihren geschäftskritischen Systemen und den größten Lücken. Schließen Sie zuerst grundlegende Lücken wie fehlende MFA, ungeprüfte Backups und veraltete Systeme, nutzen Sie vorhandene Funktionen und organisatorische Maßnahmen und investieren Sie erst danach in Speziallösungen. Eine allgemeingültige Summe oder Prozentvorgabe gibt es nicht.
Zuerst die richtigen Fragen
Geschäftskritische Systeme
Welche Systeme brauchen Sie, um zu arbeiten, zu liefern und abzurechnen?
Wichtige Daten
Welche Daten wären bei Verlust oder Offenlegung besonders problematisch?
Existenzbedrohende Ausfälle
Welcher Ausfall wäre über mehrere Tage nicht tragbar?
Externe Zugänge
Welche Zugänge bestehen von außen – Fernzugriff, Cloud, Dienstleister, Webshop?
Fehlende Grundlagen
Welche grundlegenden Maßnahmen fehlen heute noch?
Organisatorische Lösungen
Welche Risiken lassen sich durch Regeln statt durch teure Technik reduzieren?
Einfache Budgetfragen
- 1
Was würde uns nach einem Ausfall zuerst stoppen?
Dort liegt meist die höchste Priorität.
- 2
Welche Lücke ist aktuell am einfachsten auszunutzen?
Zum Beispiel ein Konto ohne MFA oder ein ungepatchtes System mit Internetzugang.
- 3
Welche Maßnahme reduziert mehrere Risiken gleichzeitig?
MFA oder geprüfte Backups wirken oft gegen mehrere Szenarien.
- 4
Welche Basisfunktion bezahlen wir bereits, nutzen sie aber nicht?
Lizenzen enthalten häufig Sicherheitsfunktionen, die nicht aktiviert sind.
- 5
Was können wir organisatorisch lösen?
Klare Zuständigkeiten und Freigaberegeln kosten vor allem Zeit.
- 6
Wo fehlt uns intern Know-how?
Dort kann externe Unterstützung sinnvoller sein als ein weiteres Produkt.
- 7
Welche Maßnahmen benötigen laufende Pflege?
Planen Sie Zeit und Kosten für Betrieb und Überwachung mit ein – nicht nur die Anschaffung.
Prioritätsstufen nach dem Cyberschutz.io-Stufenmodell
| Stufe | Beispiele |
|---|---|
| Stufe 1 – Grundschutz | MFA, Updates, Backups, Geräteschutz, Passwortmanagement, eingeschränkte Adminrechte |
| Stufe 2 – Erweiterter Schutz | E-Mail-Sicherheit, Geräteverwaltung (MDM), Monitoring, Security Awareness, Cloud-Backup, Notfallplan |
| Stufe 3 – Höhere Abhängigkeit oder höheres Risiko | EDR/MDR, SIEM, WAF/DDoS-Schutz, erweitertes Monitoring, Business Continuity, Lieferantenmanagement |
Schritt für Schritt
- 01
Kritisches erfassen
Listen Sie geschäftskritische Systeme, wichtige Daten und externe Zugänge auf.
- 02
Grundschutz prüfen
Prüfen Sie die Maßnahmen der Stufe 1 und notieren Sie Lücken.
- 03
Vorhandenes aktivieren
Schalten Sie bezahlte, aber ungenutzte Funktionen ein und regeln Sie Organisatorisches.
- 04
Lücken nach Wirkung ordnen
Priorisieren Sie mithilfe der Budgetfragen und nicht nach Produktangeboten.
- 05
Laufende Kosten einplanen
Berücksichtigen Sie Betrieb, Pflege und gegebenenfalls externe Betreuung.
- 06
Jährlich überprüfen
Bewerten Sie nach Änderungen im Unternehmen oder nach Vorfällen neu.
Investition nach Wirkung
Prüfen Sie vor teuren Speziallösungen, ob grundlegende Lücken bestehen. Beispiel: Ein kleines Unternehmen ohne MFA, mit ungeprüften Backups und veralteten Systemen sollte nicht automatisch mit einem komplexen SIEM beginnen. Das ist ein Beispiel, keine feste Regel – je nach Branche, Abhängigkeiten und Vorgaben kann eine andere Reihenfolge sinnvoll sein.
Organisatorisch, vorhanden oder zusätzlich?
Was in welche Gruppe fällt, hängt von Ihrer bestehenden Umgebung und Ihren Lizenzen ab.
Organisatorisch
Verantwortlichkeiten festlegen, Adminrechte reduzieren, Freigaberegeln für Zahlungen, Notfallplan.
Bereits vorhandene Funktionen
MFA, Geräteverschlüsselung, integrierter Geräteschutz, Protokollierung – soweit in Ihren Systemen und Lizenzen enthalten.
Zusätzliche Investition
Backup-Lösung, professionelle E-Mail-Sicherheit, MDM, EDR/MDR, externe Security-Unterstützung.
Checkliste
- Geschäftskritische Systeme und Daten sind bekannt.
- Lücken im Grundschutz sind dokumentiert.
- Vorhandene Sicherheitsfunktionen sind geprüft und aktiviert.
- Organisatorische Maßnahmen sind geregelt.
- Zusätzliche Investitionen sind nach Wirkung priorisiert.
- Laufende Pflege ist personell und finanziell eingeplant.
Typische Fehler
- Mit einer teuren Speziallösung beginnen, während Grundlagen fehlen.
- Nach Produktangeboten statt nach eigenen Risiken entscheiden.
- Nur Anschaffungskosten einplanen, nicht den Betrieb.
- Vorhandene Lizenzfunktionen übersehen.
- Eine pauschale Budgetquote übernehmen, die nicht zum eigenen Unternehmen passt.
Häufige Fragen
Wie viel Budget sollten wir für Cybersicherheit einplanen?
Eine allgemeingültige Summe oder Quote gibt es nicht. Maßgeblich sind Ihre Abhängigkeit von IT, Ihre Daten und Ihre bestehenden Lücken.
Womit sollten wir anfangen?
In vielen kleinen Unternehmen mit dem Grundschutz der Stufe 1. Das ist eine Orientierung, keine Garantie, dass diese Reihenfolge in jedem Fall richtig ist.
Brauchen wir EDR oder ein SIEM?
Das kann bei höherer Abhängigkeit sinnvoll sein. Prüfen Sie vorher, ob Grundlagen fehlen und ob Sie den Betrieb leisten können.
Was lässt sich ohne zusätzliche Kosten verbessern?
Oft Adminrechte, Zahlungsfreigaben, Notfallplan und bereits lizenzierte Funktionen wie MFA – abhängig von Ihrer Umgebung.
Ersetzt diese Einteilung eine Risikoanalyse?
Nein. Sie hilft beim Einstieg, ist aber keine verbindliche Risikoanalyse.
Quellen
- BSI – Cybersicherheit für KMU: Die TOP 14 Fragen (3. Auflage, PDF)
- ENISA – Cybersecurity guide for SMEs: 12 steps (2021)
Geprüft am 07.10.2026.
Die Stufen sind eine redaktionelle Orientierung – keine Zertifizierung, kein Score und keine verbindliche Risikoanalyse. Keine Maßnahme garantiert, dass ein Angriff verhindert wird.