IT-Sicherheit im Unternehmen: Was tatsächlich schützt – und wo die größten Risiken lauern
Inhaltsverzeichnis
Veröffentlicht: 14. September 2026 · Lesezeit: ca. 10 Minuten
Mittwochnachmittag, kurz vor Feierabend. Der Betriebsleiter einer Fertigungsfirma will noch schnell ein Angebot fertigstellen – doch sein ERP-System reagiert nicht mehr. Ein Kollege aus der Buchhaltung meldet dasselbe. Die IT antwortet nicht sofort, weil der zuständige Mitarbeiter im Urlaub ist. Eine Stunde später steht fest: Ransomware hat sich über eine ungepatchte Fernwartungssoftware ins System gehangelt. Die Produktion steht still, Kundendaten sind verschlüsselt. Was folgt, sind nicht Stunden, sondern Tage der Wiederherstellung – und ein Schaden, der schnell in den sechsstelligen Bereich geht.
Das klingt nach einem Einzelfall. Ist es nicht. Allein im vergangenen Berichtszeitraum wurden knapp 950 Ransomware-Fälle beim BSI erfasst – und in 72 % der Fälle wurden dabei Daten öffentlich geleakt. Solche Szenarien sind für viele Unternehmer abstrakt, bis sie selbst betroffen sind. Dieser Ratgeber hilft Ihnen, genau das zu verhindern.
IT-Sicherheit ist längst kein Thema mehr, das Sie an Ihre IT-Abteilung delegieren und vergessen können. Seit NIS2 haften Geschäftsführer mit ihrem Privatvermögen, wenn grundlegende Schutzmaßnahmen fehlen – unabhängig davon, ob der Angriff abgewehrt wurde oder nicht. Das verändert die Frage von „Brauchen wir das?“ zu „Was passiert uns, wenn wir es nicht tun?“
Für kleine und mittelständische Unternehmen ist die Bedrohungslage real: Das BSI zählt aktuell durchschnittlich 119 neue Sicherheitslücken pro Tag – ein Anstieg von 24 % gegenüber dem Vorjahreszeitraum. Gleichzeitig richten sich 80 % aller ausgewerteten Ransomware-Anzeigen gezielt gegen Unternehmen Ihrer Größenordnung. Der Grund ist simpel: Angreifer wissen, dass die Schutzmaßnahmen dort oft lückenhaft sind.
Dieser Ratgeber erklärt kompakt, was hinter den gängigen Begriffen steckt, welche Maßnahmen wirklich wirken, was NIS2 konkret von Ihnen verlangt und wie Sie mit realistischem Aufwand ein belastbares Schutzniveau aufbauen – ohne Ihr Tagesgeschäft zu gefährden.
Was IT-Sicherheit für Ihr Unternehmen konkret bedeutet
Viele Unternehmer verstehen IT-Sicherheit als technisches Problem – Firewall an, Virenschutz installiert, fertig. Diese Sichtweise greift zu kurz. IT-Sicherheit umfasst alle Maßnahmen, die dafür sorgen, dass Ihre Daten, Systeme und Abläufe vor unbefugtem Zugriff, Manipulation und Ausfall geschützt sind. Das schließt Technik, Prozesse und Menschen gleichermaßen ein.
In der Praxis erleben wir, dass der größte Schwachpunkt selten das Netzwerk ist – sondern das Passwort, das ein Mitarbeiter seit Jahren für zwölf verschiedene Dienste nutzt, oder die Software, die seit Monaten kein Update mehr erhalten hat. Als ISO/IEC 27001 zertifiziertes IT-Systemhaus – TTG GmbH sehen wir täglich, wie weit Selbstwahrnehmung und tatsächliche Schutzlage auseinanderliegen.
Besonders relevant: IT-Sicherheit ist heute keine freiwillige Leistung mehr. Das BSI empfiehlt im Rahmen des IT-Grundschutzes für Unternehmen verbindliche Mindeststandards – von der Inventarisierung aller Systeme bis hin zu dokumentierten Notfallplänen. Unternehmen in Heilbad Heiligenstadt und der gesamten Region stellen oft fest, dass genau diese Dokumentation fehlt.
- Inventarisieren Sie alle IT-Systeme, Geräte und verarbeiteten Daten – das dauert in der Regel ein bis zwei Tage und ist die Basis für alles Weitere.
- Legen Sie fest, welche Systeme für Ihr Geschäft kritisch sind – ein Produktionsausfall wiegt anders als ein ausgefallener Drucker.
- Führen Sie eine einfache Risikoeinschätzung durch: Wo sind die Einfallstore? Wo fehlen Schutzmaßnahmen?
- Sichern Sie sich externe Unterstützung für die Erstaufnahme – ein erfahrener IT-Dienstleister braucht dafür oft weniger Zeit als gedacht.
Die vier Fakten zur Bedrohungslage, die Entscheider kennen müssen
Zahlen helfen, das Risiko greifbar zu machen. Erst wenn die Bedrohung konkret wird, entsteht Handlungsdruck. Hier sind die vier Fakten, die für Ihre Entscheidungen als Geschäftsführer tatsächlich relevant sind.
Sicherheitslücken entstehen täglich, nicht jährlich. Das BSI registriert im Schnitt 119 neue Schwachstellen pro Tag – das bedeutet, ein ungepatchtes System wird mit jeder Woche angreifbarer. Zuletzt schloss Microsoft an einem einzigen Patchday fast 1.000 Sicherheitslücken, zwei davon wurden bereits aktiv ausgenutzt (Bericht von heise Security, September 2026). Wer Updates aufschiebt, bietet Angreifern offene Türen.
Fernwartungssoftware ist ein unterschätzter Angriffsvektor. Die CISA warnte im September 2026 vor aktiven Angriffen auf ConnectWise ScreenConnect – ein Tool, das viele Betriebe direkt oder über ihren IT-Dienstleister nutzen (heise Security, September 2026). Prüfen Sie, welche Fernzugriffstools in Ihrer Umgebung aktiv sind.
Der finanzielle Schaden ist messbar. Bitkom beziffert den Gesamtschaden durch Diebstahl, Spionage und Sabotage auf 289,2 Milliarden Euro – davon entfallen 202,4 Milliarden auf Cyberangriffe (Quelle: IHK Lahn-Dill / Bitkom 2025).
Haftung trifft Sie persönlich. NIS2 (§ 38 BSIG) verankert die persönliche Haftung der Geschäftsleitung mit Privatvermögen. Bußgelder können bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes betragen. Die IT-Sicherheitslösungen der TTG GmbH helfen Ihnen, diese Haftungsrisiken systematisch zu reduzieren.
- Klären Sie, ob Ihr Unternehmen unter NIS2 fällt (ab 50 Mitarbeiter oder 10 Mio. € Umsatz in relevanten Sektoren).
- Prüfen Sie, welche Fernwartungstools in Ihrem Netzwerk aktiv sind und ob diese aktuell gepatcht sind.
- Besorgen Sie sich den aktuellen BSI-Lagebericht als Argumentationsgrundlage für interne Budgetgespräche.
Schritt für Schritt zu einem belastbaren Schutzniveau
Gute IT-Sicherheit entsteht nicht durch ein einzelnes Produkt, sondern durch das Zusammenspiel mehrerer Maßnahmen. Die folgenden Schritte sind in dieser Reihenfolge sinnvoll – weil jeder Schritt auf dem vorherigen aufbaut.
Schritt 1: Multi-Faktor-Authentifizierung (MFA) sofort aktivieren. Für alle extern erreichbaren Zugänge – E-Mail, VPN, Cloud-Dienste. Das Setup dauert in der Regel zwei bis vier Stunden und ist in den meisten bestehenden Lizenzen bereits enthalten. Kein anderes Einzelmittel reduziert das Risiko kompromittierter Zugangsdaten so effektiv.
Schritt 2: Backup nach der 3-2-1-Regel einrichten. Drei Datenkopien, auf zwei verschiedenen Medien, davon eine offline oder extern gelagert. Entscheidend: Testen Sie die Wiederherstellung regelmäßig – ein Backup, das sich im Ernstfall nicht einspielen lässt, ist wertlos.
Schritt 3: Patch-Management als festen Prozess verankern. Updates für Betriebssysteme, Anwendungen und Firmware sollten nicht dem Zufall überlassen werden. Definieren Sie, wer im Unternehmen dafür verantwortlich ist und in welchem Rhythmus Updates eingespielt werden. Kritische Patches – wie zuletzt bei Chrome 153 mit einer aktiv ausgenutzten Zero-Day-Lücke (heise Security, September 2026) – sollten innerhalb von 24 Stunden aufgespielt werden.
Die sichere IT-Infrastruktur für KMU – TTG GmbH zeigt, wie eine professionell betreute Umgebung aussieht, die diese Prozesse zuverlässig abdeckt.
- Aktivieren Sie MFA für alle Cloud- und Remote-Zugänge – noch diese Woche.
- Richten Sie ein Backup nach der 3-2-1-Regel ein und dokumentieren Sie, wer den Restore-Test durchführt.
- Bestimmen Sie eine verantwortliche Person für Patch-Management und legen Sie Reaktionszeiten fest.
- Prüfen Sie den Browser-Update-Status auf allen Unternehmensgeräten – Chrome und Edge müssen aktuell sein.
Was IT-Sicherheit kostet – und was Nicht-Handeln wirklich kostet
Viele Geschäftsführer schieben IT-Investitionen auf, weil die Kosten sichtbar sind – der Schaden eines Angriffs dagegen abstrakt bleibt. Diese Tabelle stellt beides gegenüber:
| Situation | Typische Kosten | Einschätzung |
|---|---|---|
| Bestandsaufnahme & Risikoanalyse (extern) | 500–1.500 € | Einmaliger Aufwand, Basis für alle Folgemaßnahmen |
| MFA-Einrichtung | meist 0 € (in Lizenz enthalten) | Höchstes Wirkungspotenzial bei geringstem Aufwand |
| Professionelle Backup-Lösung (p.a.) | 600–2.400 € je nach Datenmenge | Einzige verlässliche Absicherung gegen Ransomware |
| Ransomware-Angriff mit Betriebsausfall | 20.000–250.000 € und mehr | Schließt Wiederherstellung, Ausfall, Reputationsschaden ein |
| NIS2-Bußgeld bei fehlender Registrierung | bis 10 Mio. € oder 2 % Jahresumsatz | Bereits bußgeldbewehrt – Nachfrist lief ab |
Zur NIS2-Registrierung: Die Frist zur Anmeldung im BSI-MUK-Portal ist verstrichen, die Nachfrist bis Juli 2026 ebenfalls. Nicht-Registrierung ist ein eigenständiger Bußgeldtatbestand – unabhängig davon, ob Sie im Übrigen compliant sind. Wenn Ihr Unternehmen ab 50 Mitarbeitern oder 10 Mio. € Umsatz in einem relevanten Sektor tätig ist, handeln Sie jetzt.
Unserer Erfahrung nach reicht ein einfaches Antivirenprogramm für die meisten Betriebe nicht mehr aus. Die Angriffsfläche ist zu groß, die Methoden zu vielfältig. Die IT-Dienstleistungen der TTG GmbH bieten ein abgestuftes Schutzmodell, das sich an Ihrer tatsächlichen Risikolage orientiert – nicht an Pauschalangeboten.
- Kalkulieren Sie den Schaden eines mehrtägigen Betriebsausfalls – das gibt der IT-Investition eine konkrete Vergleichsgröße.
- Prüfen Sie, ob Ihre Cyberversicherung greift – viele Policen schließen Schäden aus, wenn Mindeststandards nicht eingehalten wurden.
- Klären Sie Ihre NIS2-Pflicht und holen Sie eine fehlende Registrierung nach.
Fazit: Wo Sie jetzt konkret ansetzen sollten
Ein Maschinenbauer aus unserer Region stand vor einigen Monaten vor einer typischen Situation: Drei verschiedene Cloud-Dienste, kein zentrales Passwortmanagement, Backups auf einer lokalen NAS ohne Offsite-Kopie. Nach einem professionellen IT-Sicherheits-Audit waren die wichtigsten Lücken innerhalb von zwei Wochen geschlossen – zu Kosten, die weit unter dem lagen, was ein einziger Ausfalltag bedeutet hätte. Das ist kein Ausnahmefall, sondern das, was strukturiertes Vorgehen leisten kann.
IT-Sicherheit ist kein Zustand, den man einmal erreicht und dann abhakt. Sie ist ein fortlaufender Prozess – weil Angreifer ihre Methoden ständig anpassen und neue Schwachstellen täglich hinzukommen. Der BSI-Lagebericht Cybersicherheit liefert dazu jährlich aktuelle Einordnungen, die auch für KMU-Entscheider gut lesbar sind.
Als ISO/IEC 27001-zertifizierter IT-Partner mit über 25 Jahren Erfahrung begleitet die TTG GmbH Unternehmen in der Region – von der ersten Bestandsaufnahme über die Umsetzung konkreter Schutzmaßnahmen bis hin zur Erfüllung gesetzlicher Anforderungen wie NIS2. Nicht als Pauschalpaket, sondern individuell abgestimmt auf Ihre Unternehmensgröße und Risikolage.
- Starten Sie mit einer ehrlichen Bestandsaufnahme Ihrer IT-Systeme – intern oder mit externer Unterstützung.
- Aktivieren Sie MFA als erste und wirkungsvollste Sofortmaßnahme.
- Überprüfen Sie Ihre Backup-Strategie: Gibt es eine Offsite-Kopie? Wurde der Restore zuletzt getestet?
- Klären Sie Ihre NIS2-Pflicht und reagieren Sie, bevor ein Bußgeld folgt.
- Sprechen Sie mit einem zertifizierten IT-Partner über ein strukturiertes Schutzkonzept – Über TTG GmbH – Ihr regionaler IT-Partner finden Sie alle relevanten Informationen.
Ihre Checkliste: So starten Sie jetzt
- Inventarisieren Sie alle IT-Systeme, Geräte und Softwarelizenzen in Ihrem Unternehmen – planen Sie dafür einen halben bis ganzen Arbeitstag ein.
- Aktivieren Sie Multi-Faktor-Authentifizierung für alle extern erreichbaren Zugänge (E-Mail, VPN, Cloud) – Setup dauert zwei bis vier Stunden, meist ohne Mehrkosten.
- Prüfen Sie Ihre Backup-Lösung: Liegen drei Kopien auf zwei Medien vor, davon eine offline? Wann wurde der letzte Restore-Test durchgeführt?
- Bestimmen Sie eine verantwortliche Person für Patch-Management und legen Sie fest, dass kritische Updates innerhalb von 24 Stunden eingespielt werden.
- Prüfen Sie den Browser- und Betriebssystem-Update-Status auf allen Unternehmensgeräten – ungepatchte Systeme sind das häufigste Einfallstor.
- Klären Sie Ihre NIS2-Pflicht: Beschäftigen Sie 50 oder mehr Mitarbeiter oder erzielen Sie 10 Mio. € Umsatz in einem relevanten Sektor? Dann ist Handlung jetzt erforderlich.
- Schulen Sie Ihre Mitarbeiter regelmäßig zu Phishing und sicheren Passwörtern – kein Einmal-Event, sondern kurze, wiederkehrende Einheiten.
- Sprechen Sie mit einem zertifizierten IT-Dienstleister über ein Schutzkonzept, das zu Ihrer tatsächlichen Risikolage passt – nicht zu einem Standardpaket.
Häufig gestellte Fragen
Bin ich als Geschäftsführer persönlich haftbar, wenn mein Unternehmen gehackt wird?
Ja – seit NIS2 (§ 38 BSIG) ist die persönliche Haftung der Geschäftsleitung gesetzlich verankert. Das bedeutet: Wenn grundlegende Schutzmaßnahmen fehlen und ein Schaden entsteht, können Sie mit Ihrem Privatvermögen haftbar gemacht werden. Bußgelder reichen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes. Entscheidend ist nicht, ob ein Angriff stattgefunden hat, sondern ob Sie nachweisbar angemessene Schutzmaßnahmen ergriffen haben.
Was kostet ein professionelles IT-Sicherheitskonzept für ein KMU?
Das hängt von Ihrer Ausgangslage ab. Eine erste Bestandsaufnahme mit Risikoanalyse ist für 500 bis 1.500 Euro extern umsetzbar. Laufende Schutzmaßnahmen wie Backup, Monitoring und Patch-Management kosten je nach Unternehmensgröße typischerweise zwischen 200 und 800 Euro pro Monat. Das klingt nach Aufwand – ist aber ein Bruchteil dessen, was ein Betriebsausfall durch Ransomware kostet, der schnell in den fünf- bis sechsstelligen Bereich geht.
Gilt NIS2 auch für kleinere Unternehmen mit weniger als 50 Mitarbeitern?
Die offiziellen NIS2-Schwellenwerte liegen bei 50 Mitarbeitern oder 10 Millionen Euro Umsatz in bestimmten Sektoren. Kleinere Unternehmen fallen in der Regel nicht direkt darunter – aber mittelbar: Wenn Sie Zulieferer oder Dienstleister eines NIS2-pflichtigen Unternehmens sind, können diese Anforderungen vertraglich auf Sie weitergereicht werden. Prüfen Sie daher Ihre Lieferkettenposition.
Reicht eine gute Antivirensoftware als Schutz aus?
Nein – Antivirensoftware ist eine von vielen Schutzschichten, aber allein nicht ausreichend. Moderne Angriffe nutzen legitime Tools, gestohlene Zugangsdaten oder ungepatchte Software, die ein Antivirenprogramm nicht zuverlässig erkennt. Ein belastbares Schutzniveau entsteht erst durch das Zusammenspiel von MFA, aktuellem Patch-Management, Backups und geschulten Mitarbeitern. Wer nur auf einen Virenschutz setzt, hat eine Lücke, die Angreifer gezielt ausnutzen.
Wie lange dauert es, IT-Sicherheit im Unternehmen auf ein akzeptables Niveau zu bringen?
Die wichtigsten Sofortmaßnahmen – MFA aktivieren, Backup prüfen, kritische Updates einspielen – sind innerhalb von ein bis zwei Arbeitstagen umsetzbar. Ein vollständiges IT-Sicherheitskonzept mit Dokumentation, Notfallplan und Mitarbeiterschulungen dauert realistisch vier bis acht Wochen. Das klingt nach viel, ist aber überschaubar, wenn man strukturiert vorgeht und sich Unterstützung holt. TTG GmbH begleitet diesen Prozess von der Analyse bis zur Umsetzung.
Martin Trappe ist Geschäftsführer der TTG Daten- und Bürosysteme GmbH in Dingelstädt. Mit über 25 Jahren Erfahrung im IT-Mittelstand betreut er kleine und mittelständische Unternehmen in Nordthüringen, Eichsfeld und Südniedersachsen. Die TTG GmbH ist ISO/IEC 27001 zertifiziert – dem höchsten Standard für Informationssicherheit.
Kontakt aufnehmen · Über TTG GmbH
Wissen Sie heute mit Sicherheit, dass Ihre Daten morgen noch zugänglich sind – auch wenn jemand in Ihrer IT einen Fehler macht?
Ihre IT-Sicherheit jetzt stärken
Schützen Sie Ihr Unternehmen vor Cyberangriffen und Datenverlust. Die TTG GmbH berät KMU in Nordthüringen und Eichsfeld – ISO/IEC 27001 zertifiziert, persönlich vor Ort.
