Schutzmaßnahmen für kleine Unternehmen

In fast allen Diensten kostenlos enthalten. Für Admin-Konten phishingresistente Verfahren (Passkey, Sicherheitsschlüssel) bevorzugen und Ausnahmen dokumentieren.

Ein Team-Passwortmanager ermöglicht Freigaben je Person und das saubere Entziehen beim Ausscheiden. Für Ein-Personen-Betriebe kann ein guter Einzelmanager genügen.

Jede Person erhält nur die Rechte, die sie braucht. Separate Adminkonten ohne E-Mail-Nutzung senken das Risiko, dass ein Phishing-Klick das ganze System öffnet.

Viele Schutzfunktionen sind in den Lizenzen enthalten, aber nicht aktiv: MFA-Pflicht, Blockieren alter Anmeldeverfahren, Regeln für externe Freigaben und Warnungen bei verdächtigen Anmeldungen.

Ein klassisches VPN öffnet oft das ganze Netz. Zero-Trust-Ansätze prüfen jeden Zugriff einzeln nach Person, Gerät und Kontext. Für reine Cloud-Betriebe ohne interne Server ist oft keines von beidem nötig.

Integrierter Schutz moderner Betriebssysteme ist eine solide Basis. Zentral verwaltbare Lösungen helfen, sobald mehrere Geräte im Einsatz sind.

Automatische Updates wo möglich, für den Rest ein fester Rhythmus. Besonders kritisch: von außen erreichbare Systeme wie Shop, VPN oder Fernwartung.

In allen gängigen Betriebssystemen enthalten. Wiederherstellungsschlüssel zentral und getrennt vom Gerät ablegen.

Lohnt sich ab mehreren Mitarbeitenden oder dienstlich genutzten Privatgeräten. Teils in Bürolizenzen enthalten.

EDR zeichnet Aktivitäten auf Geräten auf und ermöglicht schnelle Reaktion. Sinnvoll nur, wenn jemand die Warnungen auch auswertet – sonst ist MDR die passendere Form.

Für Betriebe ohne eigenes Sicherheitsteam, deren Geschäft stark von IT abhängt. Wichtig: Reaktionszeiten, Befugnisse und Erreichbarkeit vertraglich klären.

Grundfilter sind in Business-Postfächern enthalten. Ergänzend: externe E-Mails kennzeichnen und eine einfache Möglichkeit, Verdachtsfälle zu melden.

SPF, DKIM und DMARC erschweren es, in Ihrem Namen gefälschte E-Mails zu versenden – kostenlos über die DNS-Einstellungen. Erweiterte Filter lohnen sich bei hohem E-Mail-Aufkommen oder gezielten Angriffen.

Mindestens eine Kopie getrennt vom Netz oder unveränderbar. Entscheidend ist ein dokumentierter, geübter Restore: Wie lange dauert es, bis Sie wieder arbeiten können?

Cloud-Anbieter sorgen für Verfügbarkeit, nicht automatisch für Wiederherstellung nach Löschung oder Verschlüsselung. Aufbewahrungsfristen der Anbieter prüfen und gegebenenfalls separat sichern.

Router und Betriebssysteme bringen Firewalls mit. Wichtig sind geschlossene, unnötige Portfreigaben und getrennte Netze für Gäste und Geräte.

Eine einfache, ergänzende Schutzschicht. Sinnvoll, wenn mehrere Geräte geschützt werden sollen, auch unterwegs per Geräteprofil.

Verliert ein Betrieb seine Domain, fallen Website und E-Mail aus. Registrar-Zugang absichern, automatische Verlängerung aktivieren und Domain-Sperre nutzen.

Relevant für Onlineshops und eigene Webanwendungen mit Kundendaten oder Umsatz. Ersetzt keine Updates von Shop-System und Plugins.

Häufig Teil von Hosting- oder CDN-Angeboten. Relevant, wenn ein Ausfall der Website direkt Umsatz kostet.

Viele Clouddienste bieten Anmeldewarnungen kostenlos. Protokolle sollten lange genug aufbewahrt werden, um einen Vorfall später nachvollziehen zu können.

Für die meisten kleinen Betriebe zu aufwendig. Relevant bei vielen Systemen, regulatorischen Anforderungen oder als Teil eines MDR-Dienstes.

Ein einseitiger Plan mit Ansprechpersonen, IT-Dienstleister, Versicherer und Bank reicht für den Anfang. Ein Rahmenvertrag mit einem Incident-Response-Dienstleister spart im Ernstfall Zeit.

Wirksamer als einmalige lange Schulungen: kurze Formate, ein klarer Meldeweg und eine Kultur, in der Fehler ohne Angst gemeldet werden. Kostenlose Materialien gibt es von BSI und Allianz für Cyber-Sicherheit.

Eine einfache Liste mit Zugriffen, Ansprechpersonen und Sicherheitszusagen genügt oft. Fernwartungszugänge nur bei Bedarf freischalten.

Kritische Prozesse benennen, Notbetrieb festlegen (z. B. Rechnungen manuell, Telefonliste offline). Kein Großprojekt nötig – eine Seite reicht für den Anfang.

Legt fest, in welcher Reihenfolge Systeme wiederhergestellt werden und wie lange das dauern darf. Baut auf getesteten Backups auf.

Wer entscheidet? Wer spricht mit Kunden? Wo liegen Kontaktdaten offline? Ergänzt den Incident-Response-Plan um die geschäftliche Seite.

Keine Kunden-, Personal- oder Geschäftsgeheimnisse in frei verfügbare KI-Tools ohne geprüfte Vertragsbedingungen. Ergebnisse vor Verwendung prüfen. Eine kurze interne Richtlinie genügt für den Anfang.