IT-Sicherheit im KMU – pragmatisch statt paranoid

Es gibt einen Satz, den ich in Gesprächen mit KMU-Geschäftsführern immer wieder höre: „Wir sind doch viel zu klein, um für Hacker interessant zu sein." Dieser Satz ist nachvollziehbar. Er ist auch gefährlich. Denn er basiert auf einer Annahme, die seit Jahren nicht mehr stimmt. Cyberangriffe auf KMU sind längst keine Ausnahme mehr – sie sind Alltag. Und die Folgen treffen kleinere Unternehmen oft härter als Grosskonzerne, weil die Reserven fehlen, um einen mehrtägigen Betriebsausfall oder einen Datenverlust abzufedern.

Dabei geht es bei IT-Sicherheit nicht darum, ein Unternehmen in eine digitale Festung zu verwandeln. Es geht darum, die grössten Risiken mit pragmatischen Massnahmen so weit zu reduzieren, dass ein Angriff nicht gleich existenzbedrohend wird. Und genau das ist für jedes KMU machbar – ohne Millionenbudget und ohne eigene Security-Abteilung.

Warum gerade KMU im Fokus stehen

Die Vorstellung, dass Cyberkriminelle gezielt nach grossen, lukrativen Zielen suchen, stimmt nur teilweise. Ein grosser Teil der Angriffe – insbesondere Ransomware und Phishing – läuft vollständig automatisiert ab. Angreifer scannen tausende Systeme gleichzeitig nach bekannten Schwachstellen. Ob dahinter ein Konzern mit 10'000 Mitarbeitenden steht oder eine Schreinerei mit 15, ist dem Skript egal. Es sucht nach offenen Türen, nicht nach bestimmten Firmennamen.

KMU sind dabei besonders verwundbar, weil sie typischerweise weniger in Schutzmassnahmen investieren, veraltete Systeme länger im Einsatz haben und das Bewusstsein für digitale Risiken im Team oft weniger ausgeprägt ist. Das macht sie nicht zum Hauptziel, aber zum leichten Ziel. Und leichte Ziele werden häufiger getroffen.

Dazu kommt ein Faktor, der oft übersehen wird: KMU haben in der Regel keine spezialisierten IT-Sicherheitsfachleute. Die IT wird nebenbei betreut – von einem Allrounder, einem externen Partner oder im schlimmsten Fall von niemandem. Das bedeutet, dass Sicherheitslücken länger unentdeckt bleiben und im Ernstfall die Reaktionsfähigkeit fehlt.

Die häufigsten Einfallstore – und warum sie offen stehen

Phishing bleibt das Einfallstor Nummer eins. Trotz aller Warnungen fallen Mitarbeitende nach wie vor auf gefälschte E-Mails herein – nicht aus Dummheit, sondern weil die Angriffe professioneller geworden sind. Eine E-Mail, die aussieht wie eine Nachricht vom Geschäftsführer mit der Bitte um eine dringende Überweisung, eine gefälschte Microsoft-365-Anmeldeseite, eine vermeintliche Rechnung im Anhang – das sind keine plumpen Versuche mehr. Sie sind visuell kaum von echten Nachrichten zu unterscheiden. Und es braucht nur einen einzigen Klick.

Veraltete Software und fehlende Updates. Jede Software hat Sicherheitslücken. Das ist unvermeidlich. Entscheidend ist, wie schnell diese Lücken geschlossen werden. In vielen KMU laufen Betriebssysteme, Anwendungen oder Netzwerkgeräte mit veralteten Versionen, weil Updates als störend empfunden werden, weil niemand zuständig ist oder weil man befürchtet, dass ein Update etwas kaputt macht. Jede nicht gepatchte Schwachstelle ist ein offenes Fenster, durch das Angreifer einsteigen können – und die Tools, um diese Fenster zu finden, sind frei verfügbar.

Schwache oder wiederverwendete Passwörter. Es klingt banal, aber Passwörter sind immer noch eine der grössten Schwachstellen. „Firmenname2024" als Passwort für den Admin-Zugang, dasselbe Passwort für E-Mail und ERP, kein zweiter Faktor bei der Anmeldung – das ist in vielen KMU Realität. Und es reicht einem Angreifer, ein einziges solches Passwort zu kennen, um sich durch das gesamte System zu bewegen.

Fehlende oder ungetestete Backups. Backups existieren in den meisten Unternehmen. Aber die entscheidende Frage lautet: Funktionieren sie? Wurde jemals getestet, ob man aus dem Backup tatsächlich ein System wiederherstellen kann? Und wie alt wäre der letzte Stand? In vielen Fällen stellt sich erst im Ernstfall heraus, dass das Backup unvollständig ist, auf demselben Server lag wie die Produktivdaten oder seit Wochen nicht mehr gelaufen ist.

Was ein Cyberangriff für ein KMU tatsächlich bedeutet

Die technischen Details eines Angriffs sind für die meisten Geschäftsführer weniger relevant als die geschäftlichen Konsequenzen. Und die sind bei einem KMU oft dramatisch.

Betriebsausfall. Wenn Ransomware die Systeme verschlüsselt, steht das Unternehmen still. Keine E-Mails, kein Zugriff auf Kundendaten, keine Rechnungsstellung, keine Produktion. Je nach Branche und Vorbereitung dauert das Tage bis Wochen. Für ein Unternehmen mit 20 bis 50 Mitarbeitenden kann schon ein Ausfall von drei Tagen existenzbedrohend sein.

Datenverlust und Datenschutzverletzung. Wenn Kundendaten, Mitarbeiterdaten oder Geschäftsgeheimnisse gestohlen werden, hat das nicht nur operative, sondern auch rechtliche Konsequenzen. In der Schweiz verpflichtet das neue Datenschutzgesetz Unternehmen, Verletzungen der Datensicherheit dem EDÖB zu melden. Die Folge können Bussen, Reputationsschäden und verlorenes Kundenvertrauen sein.

Finanzielle Schäden. Die Kosten eines Sicherheitsvorfalls gehen weit über das Lösegeld hinaus – das man ohnehin nicht bezahlen sollte. Wiederherstellung der Systeme, forensische Analyse, Kommunikation an Kunden, eventuell rechtliche Beratung, Umsatzausfall während des Stillstands. In Summe bewegen sich die Kosten für ein KMU schnell im sechsstelligen Bereich.

Die Grundlagen, die jedes KMU umsetzen sollte

IT-Sicherheit muss nicht kompliziert sein. Es gibt eine Reihe von Massnahmen, die mit überschaubarem Aufwand einen enormen Unterschied machen. Keine davon erfordert spezialisiertes Fachwissen oder grosse Investitionen.

Multi-Faktor-Authentifizierung aktivieren. Dieser eine Schritt ist vermutlich die wirksamste Einzelmassnahme überhaupt. Wenn neben dem Passwort ein zweiter Faktor erforderlich ist – eine Authenticator-App, ein SMS-Code, ein Hardware-Token – wird es für Angreifer massiv schwieriger, gestohlene Zugangsdaten zu nutzen. Microsoft 365, Google Workspace und praktisch jede relevante Cloud-Anwendung unterstützen MFA. Es gibt keinen Grund, es nicht zu aktivieren. Und es gibt keinen Grund, damit noch zu warten.

Updates konsequent einspielen. Betriebssysteme, Anwendungen, Router, Firewalls – alles muss aktuell sein. Das klingt selbstverständlich, aber die Realität zeigt, dass es in vielen KMU an genau diesem Punkt hapert. Ein automatisiertes Patch-Management, das Updates zeitnah einspielt, ist keine teure Enterprise-Lösung. Es ist eine Grundvoraussetzung, die auch mit einfachen Mitteln umgesetzt werden kann.

Backup-Strategie aufsetzen und testen. Ein funktionierendes Backup ist die letzte Verteidigungslinie. Es sollte automatisiert laufen, regelmässig geprüft werden und offline oder in einer getrennten Umgebung gespeichert sein – damit Ransomware nicht auch das Backup verschlüsselt. Der wichtigste Punkt: Testen Sie die Wiederherstellung. Ein Backup, das nicht wiederhergestellt werden kann, ist kein Backup.

Mitarbeitende sensibilisieren. Technik allein schützt nicht, wenn der Mensch die Tür öffnet. Regelmässige, kurze Schulungen zu Phishing, sicheren Passwörtern und dem Umgang mit verdächtigen E-Mails sind eine der effektivsten Massnahmen. Dabei geht es nicht darum, Angst zu machen, sondern darum, ein gesundes Bewusstsein zu schaffen. Eine kurze Schulung pro Quartal – 20 Minuten, praxisnah, mit aktuellen Beispielen – reicht, um das Risiko deutlich zu senken.

Berechtigungen einschränken. Nicht jeder Mitarbeitende braucht Zugriff auf alles. Das Prinzip der minimalen Berechtigung – jeder hat nur Zugriff auf das, was er für seine Arbeit braucht – klingt einfach, wird aber in der Praxis selten konsequent umgesetzt. Wenn ein Angreifer ein einzelnes Benutzerkonto kompromittiert, bestimmt der Umfang der Berechtigungen, wie weit er kommt. Weniger Rechte bedeuten weniger Schaden.

Warum ein Notfallplan wichtiger ist als die beste Firewall

Keine Sicherheitsmassnahme bietet hundertprozentigen Schutz. Deshalb ist es entscheidend, dass ein Unternehmen weiss, was zu tun ist, wenn es doch passiert. Ein IT-Notfallplan muss kein umfangreiches Dokument sein. Er sollte drei Fragen beantworten: Wer wird informiert? Was wird sofort abgeschaltet? Wie stellen wir den Betrieb wieder her?

In der Praxis bedeutet das: Es gibt eine Person oder einen externen Partner, der im Ernstfall erreichbar ist und weiss, was zu tun ist. Es gibt eine klare Liste der kritischen Systeme und der Reihenfolge, in der sie wiederhergestellt werden. Und es gibt einen getesteten Backup-Prozess, der die Wiederherstellung tatsächlich ermöglicht.

Unternehmen, die diesen Plan einmal erstellt und durchgespielt haben, reagieren im Ernstfall ruhiger, schneller und mit deutlich weniger Schaden. Unternehmen ohne Plan improvisieren – und Improvisation kostet in einer Krise Zeit, Geld und Nerven.

Cloud-Sicherheit – Verantwortung teilen, nicht abgeben

Viele KMU gehen davon aus, dass mit dem Wechsel in die Cloud auch die Sicherheitsverantwortung vollständig an den Anbieter übergeht. Das ist ein Missverständnis, das teuer werden kann. Cloud-Anbieter wie Microsoft oder Google sichern ihre Infrastruktur – aber für die Konfiguration, die Zugriffsrechte, die Daten und das Verhalten der Nutzer ist das Unternehmen selbst verantwortlich.

Ein Microsoft-365-Tenant mit deaktivierten Sicherheitsfunktionen, ohne Conditional Access, ohne MFA und mit globalen Admin-Rechten für den Geschäftsführer ist nicht sicherer als ein schlecht gewarteter lokaler Server. Die Cloud bietet exzellente Sicherheitswerkzeuge – aber sie müssen konfiguriert und genutzt werden. Die Standardeinstellungen reichen in den meisten Fällen nicht aus.

IT-Sicherheit ist kein Projekt – es ist eine Haltung

Der grösste Fehler, den Unternehmen bei der IT-Sicherheit machen, ist, sie als einmaliges Projekt zu betrachten. Eine Firewall installieren, ein Backup einrichten, eine Schulung durchführen – und dann abhaken. Sicherheit funktioniert so nicht. Bedrohungen verändern sich, Systeme verändern sich, Mitarbeitende wechseln.

IT-Sicherheit ist eine laufende Aufgabe, die in den Arbeitsalltag integriert werden muss. Nicht als grosses, belastendes Thema, sondern als selbstverständlicher Teil der Unternehmensführung. So wie man regelmässig die Bücher prüft, prüft man auch die IT-Sicherheit. So wie man neue Mitarbeitende einarbeitet, sensibilisiert man sie auch für digitale Risiken.

Die gute Nachricht ist: Der Aufwand dafür ist überschaubar. Die meisten der beschriebenen Massnahmen lassen sich innerhalb weniger Wochen umsetzen. Und sie machen den Unterschied zwischen einem Unternehmen, das einen Angriff übersteht, und einem, das monatelang mit den Folgen kämpft.