IT-Sicherheit im Unternehmen: Was wirklich schützt – und wo die meisten anfangen sollten
Inhaltsverzeichnis
Veröffentlicht: 10. August 2026 · Lesezeit: ca. 10 Minuten
„Bei uns ist noch nie etwas passiert“ – diesen Satz hören wir in Beratungsgesprächen regelmäßig. Und er stimmt ja auch: vielleicht tatsächlich noch nie. Aber er verdeckt eine andere Wahrheit, die wir genauso häufig erleben: Viele Unternehmen wissen schlicht nicht, ob etwas passiert ist. Kein Monitoring, keine Protokollierung, keine Anlaufstelle für Meldungen.
Das ist kein Vorwurf – das ist der Normalzustand in sehr vielen gut geführten Betrieben. Die Kernfrage lautet nicht „Wurden wir schon angegriffen?“, sondern: „Würden wir es überhaupt bemerken – und wären wir in der Lage, den Betrieb fortzuführen?“ Dieser Artikel hilft Ihnen, genau das einzuschätzen.
IT-Sicherheit ist für viele Unternehmer ein Thema, das irgendwo zwischen „wichtig“ und „zu komplex für heute“ hängt. Dabei entscheiden oft wenige konkrete Maßnahmen darüber, ob ein Betrieb einen Angriff unbeschadet übersteht oder tagelang stillsteht. Die gute Nachricht: Die wirksamsten Schritte sind keine Raketenwissenschaft – sie erfordern Entschlossenheit, aber kein Informatikstudium.
Angreifer haben ihre Methoden in den letzten Jahren erheblich professionalisiert. Das Bundesamt für Sicherheit in der Informationstechnik registriert täglich durchschnittlich 119 neue Sicherheitslücken – ein Anstieg von 24 % gegenüber dem Vorjahr. Gleichzeitig richten sich rund 80 % der ausgewerteten Ransomware-Angriffe gegen kleine und mittlere Unternehmen. Wer wartet, bis es „uns trifft“, wartet meist zu lang.
Dieser Ratgeber führt Sie durch die wesentlichen Handlungsfelder: Was Sie zuerst tun sollten, welche Maßnahmen den größten Hebel haben, was NIS2 auch für Betriebe unterhalb der Schwellenwerte bedeutet – und wie realistisch der Aufwand tatsächlich ist.
Worum es bei digitaler Sicherheit wirklich geht
IT-Sicherheit wird oft mit Firewall-Regeln und Antivirensoftware gleichgesetzt. Beides ist sinnvoll – greift aber zu kurz. Was Unternehmen tatsächlich schützt, ist ein Zusammenspiel aus Technik, Prozessen und dem Verhalten der Mitarbeitenden. Fällt eine dieser drei Ebenen weg, nützen die anderen wenig.
Ein konkretes Beispiel aus unserer täglichen Arbeit: Eine Kanzlei hatte eine aktuelle Firewall, gute Antivirensoftware – und gleichzeitig ein gemeinsam genutztes Postfach-Passwort, das seit Jahren nicht geändert worden war. Der Angreifer brauchte die Firewall gar nicht zu überwinden; er meldete sich einfach an. Solche Schwachstellen entstehen nicht aus Nachlässigkeit, sondern weil niemand systematisch danach gesucht hat.
Der sinnvolle Einstieg ist daher immer eine Bestandsaufnahme: Welche Systeme und Daten haben Sie? Wer hat Zugriff worauf? Wo liegen Ihre kritischsten Abhängigkeiten? Das muss kein aufwändiges Projekt sein. Die BSI-Basis-Absicherung bietet dafür einen strukturierten, praxistauglichen Rahmen – vollständige BSI-Grundschutz-Zertifizierung brauchen die meisten Betriebe nicht.
- Systeme und Daten vollständig inventarisieren (was läuft wo, wer hat Zugriff?)
- Zugriffsrechte nach dem Minimalprinzip vergeben: jeder Mitarbeitende nur so viel Zugriff wie nötig
- Kritische Geschäftsprozesse identifizieren – was darf auf keinen Fall ausfallen?
- Ergebnis dokumentieren, auch wenn es zunächst nur eine einfache Tabelle ist
Als ISO/IEC 27001 zertifiziertes IT-Systemhaus – TTG GmbH begleiten wir Unternehmen in Heilbad Heiligenstadt und der gesamten Region bei genau diesem ersten Schritt – strukturiert und ohne Überforderung.
Die vier Fakten, die Ihre Risikoeinschätzung verändern werden
Wer über IT-Sicherheit entscheiden soll, braucht keine Technikdetails – aber ein klares Bild der Lage. Vier Punkte sind dabei besonders relevant:
Menschen sind das häufigste Einfallstor. Social Engineering – also das gezielte Manipulieren von Mitarbeitenden per E-Mail, Telefon oder gefälschten Identitäten – ist effektiver als jeder technische Angriff. Angreifer nutzen dabei systematisch kognitive Muster: Zeitdruck („Bitte sofort überweisen“), Autorität („Ihr Geschäftsführer bittet Sie…“) und Vertrautheit (gefälschte Absenderadressen bekannter Kontakte). Schulungen helfen, aber nur wenn sie auf diese psychologischen Mechanismen eingehen – nicht wenn sie nur auf „klick nicht auf Links“ reduziert werden.
Lieferanten sind ein unterschätztes Risiko. Kompromittierte Dienstleister – von der Buchhaltungssoftware bis zum IT-Betreuer – öffnen Angreifern Tür und Tor in Ihre Systeme, ohne dass Sie direkt angegriffen werden. NIS2 hat dieses sogenannte Supply-Chain-Risiko ausdrücklich im Blick: Auch wenn Ihr Betrieb selbst nicht NIS2-pflichtig ist, können Ihre Auftraggeber verlangen, dass Sie Mindeststandards nachweisen.
Patches sind keine Kür. Aktuell werden täglich Dutzende neue Schwachstellen veröffentlicht – darunter kürzlich kritische Lücken in weit verbreiteter Netzwerkhardware wie TP-Link Omada (heise Security, August 2026) und Cisco-Netzwerkprodukten (heise Security, August 2026). Wer Updates aufschiebt, bietet Angreifern bekannte Lücken auf dem Silbertablett.
Der Schaden ist größer als der Datenverlust. Ausfallzeiten, Vertrauensverlust bei Mandanten oder Kunden, Bußgelder nach DSGVO – all das kommt zum eigentlichen Schaden hinzu.
- Mitarbeitende gezielt zu Social Engineering schulen – nicht nur einmalig
- Lieferanten- und Dienstleisterzugriffe regelmäßig überprüfen und protokollieren
- Automatische Updates für Betriebssysteme und Drittanbieter-Software aktivieren
- NIS2-Betroffenheit prüfen – auch wenn Ihr Betrieb unter den Schwellenwerten liegt
Die IT-Sicherheitslösungen der TTG GmbH decken alle vier Handlungsfelder ab – angepasst an den tatsächlichen Bedarf Ihres Betriebs.
Der pragmatische Weg: Fünf Maßnahmen mit dem größten Hebel
Nicht jede Maßnahme schützt gleich gut. Wer mit begrenztem Budget und begrenzter Zeit den größten Effekt erzielen will, sollte in dieser Reihenfolge vorgehen:
Multi-Faktor-Authentifizierung (MFA) ist die wirkungsvollste Einzelmaßnahme gegen Kontoübernahmen. Aktivieren Sie MFA auf allen extern erreichbaren Systemen: E-Mail (M365 oder Google Workspace), VPN, Remote-Desktop und Admin-Zugänge. Die meisten Cloud-Dienste bieten das kostenfrei an – der Einrichtungsaufwand liegt realistisch bei zwei bis vier Stunden. Unserer Erfahrung nach schützt MFA allein gegen die Mehrheit der Angriffe, die wir in der Praxis sehen.
Passwort-Manager lösen das Problem wiederverwendeter und schwacher Passwörter strukturell. Tools wie Bitwarden Teams kosten rund vier Euro pro Nutzer und Monat – weit weniger als ein einziger Sicherheitsvorfall.
Backup nach der 3-2-1-Regel: Drei Kopien, auf zwei verschiedenen Medien, eine davon offline oder extern. Entscheidend ist der Wiederherstellungstest – wer sein Backup nie getestet hat, weiß nicht, ob es funktioniert. Das klingt aufwändig, ist es aber nicht: ein halber Nachmittag pro Quartal reicht für einen Grundtest.
Patch-Management automatisieren. Bei 119 neuen Schwachstellen täglich – so der BSI Lagebericht Cybersicherheit – ist manuelles Aktualisieren schlicht kein tragfähiges Modell mehr. Automatische Updates einschalten, wo immer möglich.
Zugriffsrechte regelmäßig bereinigen. Ehemalige Mitarbeitende, externe Dienstleister, alte Test-Accounts – all das sind offene Türen.
- MFA auf allen extern erreichbaren Systemen aktivieren (Aufwand: 2–4 Stunden)
- Passwort-Manager unternehmensweit einführen und Schulung durchführen
- Backup einrichten und quartalsweise testen
- Automatische Updates für OS und Drittanbieter-Software konfigurieren
- Zugriffsrechte mindestens halbjährlich prüfen und bereinigen
Für die technische Umsetzung bietet die sichere IT-Infrastruktur für KMU – TTG GmbH passende Lösungen, die sich an Ihrer vorhandenen Umgebung orientieren.
Was IT-Sicherheit kostet – und was sie im Ernstfall spart
Die häufigste Frage in Erstgesprächen lautet: „Was kostet das?“ Die ehrliche Antwort: Es kommt darauf an – aber deutlich weniger, als viele befürchten. Und erheblich weniger als ein Angriff.
Der durch Cyberkriminalität verursachte Gesamtschaden in Deutschland liegt einer aktuellen Bitkom-Studie zufolge bei über 200 Milliarden Euro jährlich – allein durch digitale Angriffe. Selbst ein mittelgroßer Vorfall in einem kleineren Betrieb kann schnell fünf- bis sechsstellige Kosten verursachen, wenn Ausfallzeiten, Datenwiederherstellung und eventuelle Bußgelder eingerechnet werden.
Zur Orientierung eine realistische Einschätzung nach Unternehmensgröße:
| Situation | Empfehlung | Realistischer Aufwand |
|---|---|---|
| Bis 10 Mitarbeitende, keine sensiblen Daten | MFA, Passwort-Manager, Backup | Ca. 50–100 € / Monat + Einmalaufwand |
| 10–50 Mitarbeitende, DSGVO-relevante Daten | Zusätzlich: EDR, Patch-Management, Schulungen | Ca. 200–500 € / Monat |
| Ab 50 MA oder NIS2-pflichtig / Lieferant | Strukturiertes Sicherheitskonzept, ggf. ISO-Vorbereitung | Individuell – Gespräch empfohlen |
Wichtig: IT-Sicherheit ist kein Einmalprojekt. Ein gewisses monatliches Budget – ähnlich wie für Versicherungen – ist der realistischere Denkrahmen. Wer das versteht, trifft deutlich bessere Entscheidungen als jemand, der nur auf den nächsten Vorfall wartet.
- Basisschutz (MFA, Backup, Passwort-Manager) sofort umsetzen – Kosten überschaubar
- Laufende Kosten als feste Budgetposition einplanen, nicht als Sonderposten
- Cyberversicherung prüfen – aber erst nach grundlegenden Schutzmaßnahmen
- Fördermöglichkeiten recherchieren: BAFA-Förderung für Beratungsleistungen kann greifen
Die IT-Dienstleistungen der TTG GmbH lassen sich modular einsetzen – Sie zahlen für das, was Sie tatsächlich benötigen.
Fazit: Wo Sie jetzt ansetzen – und warum der erste Schritt der wichtigste ist
IT-Sicherheit ist kein Zustand, den man einmalig erreicht. Aber es gibt einen klaren Anfang – und der ist weniger einschüchternd, als er klingt. Ein Handwerksbetrieb aus unserer Region, der vor gut einem Jahr mit uns eine erste Bestandsaufnahme gemacht hat, hatte am Ende des Gesprächs drei konkrete Maßnahmen auf dem Tisch: MFA aktivieren, Backup-Test durchführen, ein veraltetes Dienstleisterkonto sperren. Aufwand: ein halber Tag. Ergebnis: drei geschlossene Einfallstore.
Genau das ist der Punkt: IT-Sicherheit wird nicht durch einen riesigen Sprung besser, sondern durch konsequente kleine Schritte. Wer anfängt, hat bereits einen erheblichen Vorsprung gegenüber Betrieben, die noch warten.
Für den strukturierten Einstieg empfehlen wir die Ressourcen des BSI – IT-Grundschutz für Unternehmen als verlässliche, kostenfreie Orientierung. Ergänzend lohnt ein Blick auf die Informationsangebote des Bitkom für KMU, die praxisnahe Checklisten und Leitfäden bereitstellen.
- Starten Sie mit der Bestandsaufnahme – auch eine einfache Liste ist besser als keine
- Setzen Sie MFA diese Woche auf Ihren wichtigsten Systemen auf
- Prüfen Sie, ob Ihr Backup wirklich funktioniert – testen Sie die Wiederherstellung
- Klären Sie Ihre NIS2-Betroffenheit, auch wenn Sie unter den Schwellenwerten liegen
Als ISO/IEC 27001-zertifizierter IT-Partner mit über 25 Jahren Erfahrung in der Region begleitet die TTG GmbH Unternehmen vom ersten Überblick bis zur dauerhaften Absicherung – ohne unnötige Komplexität, ohne Verkaufsdruck. Wenn Sie wissen möchten, wo Ihr Betrieb heute steht, ist ein erstes Gespräch der richtige Anfang.
Jetzt unverbindlich Kontakt aufnehmen – wir melden uns zeitnah bei Ihnen.
Ihre Checkliste: So starten Sie jetzt
- Inventarisieren Sie Ihre Systeme, Zugänge und kritischen Daten – eine einfache Tabelle genügt als Einstieg.
- Aktivieren Sie Multi-Faktor-Authentifizierung auf allen extern erreichbaren Systemen (E-Mail, VPN, Remote-Desktop) – Aufwand ca. 2–4 Stunden.
- Führen Sie einen unternehmensweiten Passwort-Manager ein und schulen Sie Ihre Mitarbeitenden in der Nutzung.
- Überprüfen Sie Ihr Backup: Liegt eine Kopie offline oder extern? Wann wurde zuletzt eine Wiederherstellung getestet?
- Aktivieren Sie automatische Updates für Betriebssysteme und alle verwendeten Softwareprodukte.
- Bereinigen Sie Zugriffsrechte: Sperren Sie Konten ehemaliger Mitarbeitender und externer Dienstleister, die keinen aktuellen Auftrag haben.
- Prüfen Sie Ihre NIS2-Betroffenheit – auch als Lieferant oder Dienstleister größerer Unternehmen können Anforderungen an Sie gestellt werden.
- Sprechen Sie mit einem IT-Dienstleister Ihres Vertrauens über eine erste strukturierte Risikoeinschätzung – idealerweise noch in diesem Quartal.
Häufig gestellte Fragen
Wir sind ein kleiner Betrieb mit zehn Mitarbeitenden – lohnt sich IT-Sicherheit überhaupt für uns?
Ja – und zwar gerade dann. Angreifer suchen sich bevorzugt Ziele, bei denen der Widerstand gering ist. Kleinere Betriebe werden nicht seltener angegriffen als größere; sie erholen sich nur langsamer, weil sie weniger Ressourcen für die Schadensbehebung haben. Die gute Nachricht: Die wirksamsten Maßnahmen – MFA, sicheres Backup, Passwort-Manager – kosten wenig und lassen sich ohne IT-Abteilung umsetzen.
Fällt unser Betrieb unter NIS2 – und was müssen wir tun, wenn wir Lieferant eines größeren Unternehmens sind?
NIS2 gilt direkt für Unternehmen ab 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz in 18 definierten Sektoren. Auch wenn Ihr Betrieb darunter liegt, können Ihre Auftraggeber von Ihnen Nachweise über Mindestsicherheitsstandards verlangen – das ist die sogenannte Lieferkettenpflicht. Klären Sie frühzeitig, ob Ihre wichtigsten Kunden NIS2-pflichtig sind und welche Anforderungen sie an Lieferanten stellen.
Was kostet eine professionelle IT-Sicherheitsberatung – und gibt es Förderung?
Eine erste Risikoeinschätzung durch einen externen IT-Dienstleister ist oft schon für wenige hundert Euro zu haben. Für strukturiertere Beratungsleistungen gibt es Fördermöglichkeiten: Das BAFA-Programm „Unternehmensberatung für KMU“ kann unter bestimmten Voraussetzungen greifen. Es lohnt sich, vor Beauftragung kurz zu prüfen, ob Ihr Vorhaben förderfähig ist – das senkt den Eigenanteil spürbar.
Unser bisheriger IT-Dienstleister kümmert sich doch schon darum – brauchen wir wirklich mehr?
Das kommt auf den Leistungsumfang an. Viele IT-Dienstleister halten die Infrastruktur am Laufen, ohne ein aktives Sicherheitskonzept zu verfolgen. Fragen Sie konkret nach: Gibt es ein dokumentiertes Backup-Konzept mit regelmäßigen Tests? Wird MFA auf Ihren Systemen durchgesetzt? Wie werden Schwachstellen und Updates gehandhabt? Wenn diese Fragen nicht klar beantwortet werden können, besteht Handlungsbedarf – unabhängig von der bisherigen Zusammenarbeit.
Wie lange dauert es, IT-Sicherheit im Betrieb auf ein vernünftiges Niveau zu bringen?
Die wichtigsten Basismaßnahmen – MFA, Passwort-Manager, Backup-Überprüfung – lassen sich innerhalb von ein bis zwei Wochen umsetzen, wenn die Entscheidung gefallen ist. Ein vollständiges Sicherheitskonzept braucht länger, aber der größte Schutzgewinn entsteht bereits in den ersten Wochen. Starten Sie mit den Maßnahmen, die den größten Hebel haben – und bauen Sie von dort aus weiter.
Martin Trappe ist Geschäftsführer der TTG Daten- und Bürosysteme GmbH in Dingelstädt. Mit über 25 Jahren Erfahrung im IT-Mittelstand betreut er kleine und mittelständische Unternehmen in Nordthüringen, Eichsfeld und Südniedersachsen. Die TTG GmbH ist ISO/IEC 27001 zertifiziert – dem höchsten Standard für Informationssicherheit.
Kontakt aufnehmen · Über TTG GmbH
Wissen Sie heute mit Sicherheit, ob Ihr Backup im Ernstfall funktioniert – und ob Ihr Betrieb einen Ausfall von drei Tagen überstehen würde?
Ihre IT-Sicherheit jetzt stärken
Schützen Sie Ihr Unternehmen vor Cyberangriffen und Datenverlust. Die TTG GmbH berät KMU in Nordthüringen und Eichsfeld – ISO/IEC 27001 zertifiziert, persönlich vor Ort.
