// Ratgeber · Sicherheit
Cybersecurity-Checkliste für kleine und mittlere Unternehmen
Zwölf Punkte in drei Blöcken — formuliert für Betriebe ohne eigene Sicherheitsabteilung, mit einer Reihenfolge, die den größten Effekt zuerst mitnimmt.
// Anspruch
Kein Katalog, sondern eine Arbeitsliste
Sicherheitslisten scheitern selten am Inhalt, sondern an der Länge. Wer mit hundert Punkten anfängt, hört bei dreißig auf — und die dreißig sind selten die wirksamen. Diese Liste ist deshalb auf zwölf Punkte begrenzt und so sortiert, dass die ersten Blöcke bereits einen spürbaren Unterschied machen.
Jeder Punkt ist eine Frage, die Sie mit Ja oder Nein beantworten können. Ein Nein ist kein Vorwurf, sondern eine Aufgabe. Was wir dazu im Betrieb umsetzen, beschreibt unsere Seite zur Cybersicherheit für Unternehmen.
Zwei Themen behandelt dieser Beitrag bewusst nur am Rand, weil sie eigene Beiträge haben: die Datensicherung nach der 3-2-1-Regel und das geordnete Vorgehen im Ernstfall. Beide sind unten verlinkt.
// Vorbereitung
Vier Dinge, die vor der Liste geklärt sein sollten
Ohne diese Grundlagen ist jede Sicherheitsmaßnahme eine Vermutung — man schützt dann Systeme, von denen man annimmt, dass es sie gibt.
-
Wissen, was da ist
Eine Liste aller Server, Rechner, Mobilgeräte, Netzwerkkomponenten und Cloud-Dienste. Was nicht auf der Liste steht, wird auch nicht aktualisiert und nicht überwacht.
-
Wissen, was wehtut
Benennen Sie die zwei oder drei Systeme, ohne die der Betrieb steht. Sie bekommen bei jedem Punkt der Liste Vorrang vor allem anderen.
-
Wissen, wer entscheidet
Eine Person mit Entscheidungsbefugnis, die im Ernstfall erreichbar ist und ein System vom Netz nehmen darf, ohne vorher Rücksprache halten zu müssen.
-
Wissen, wer hilft
Kontaktdaten von Dienstleister, Internetanbieter und Herstellern der Fachanwendungen — ausgedruckt oder auf einem Gerät, das unabhängig vom Firmennetz funktioniert.
// Die Checkliste
Zwölf Punkte in drei Blöcken
Arbeiten Sie die Blöcke in dieser Reihenfolge ab. Jeder einzelne Punkt ist für sich wirksam — Sie müssen nicht auf ein Gesamtprojekt warten.
Wer darf was
- Zweiter Faktor bei allen Anmeldungen von außen und bei E-Mail
- Getrennte Konten für administrative Arbeit und den Alltag
- Berechtigungen nach Aufgabe, regelmäßig gegengeprüft
- Fester Ablauf für Eintritt, Wechsel und Austritt von Beschäftigten
Was womit spricht
- Updates für Betriebssysteme und Anwendungen im festen Takt
- Schutzsoftware auf allen Endgeräten, zentral ausgewertet
- Netz getrennt: Verwaltung, Produktion, Gäste und Haustechnik
- Fernzugriff nur über gesicherte Verbindung, nie direkt freigegeben
Was bleibt, wenn etwas passiert
- Sicherung, von der eine Kopie außerhalb des Netzes liegt
- Wiederherstellung mindestens einmal jährlich echt geprüft
- Protokolle von Servern und Firewall werden ausgewertet
- Meldewege und Zuständigkeiten schriftlich festgehalten
// Reihenfolge
Was zuerst, wenn die Zeit knapp ist
Wenn Sie nicht alles auf einmal angehen können, hat sich diese Abfolge bewährt — sie priorisiert nach Wirkung, nicht nach Aufwand.
Anmeldung härten
Zweiter Faktor für alles, was von außen erreichbar ist. Diese eine Maßnahme entwertet gestohlene Passwörter — und gestohlene Zugangsdaten gelten als einer der wichtigsten Einstiegswege.
Sicherung überprüfen
Existiert eine Kopie, die ein Angreifer mit übernommenen Zugängen nicht löschen kann? Wenn nein, ist das die dringendste offene Aufgabe.
Updates in Takt bringen
Ein fester Rhythmus für Betriebssysteme, Anwendungen und Netzwerkkomponenten. Offene Schwachstellen gelten als der zweite typische Einstiegsweg.
Netz und Rechte aufräumen
Trennung der Netzbereiche und Durchsicht der Berechtigungen. Beides begrenzt, wie weit sich ein Vorfall im Haus ausbreiten kann.
// Grenzen
Was diese Liste nicht leistet
Eine Checkliste ist ein Startpunkt, kein Sicherheitskonzept. Diese Punkte bleiben offen und brauchen eine eigene Betrachtung.
- Branchenspezifische Auflagen, etwa im Gesundheitswesen oder bei kritischer Versorgung
- Anforderungen aus Verträgen mit Auftraggebern, die eigene Nachweise verlangen
- Die Absicherung von Maschinen- und Steuerungsnetzen, die eigenen Regeln folgt
- Schulung der Belegschaft — Technik allein fängt keine überzeugend gemachte E-Mail ab
- Die laufende Auswertung von Meldungen, die niemand nebenbei mitmacht
// Häufige Fragen
Sicherheitsfragen aus dem Mittelstand
01 Womit fangen wir an, wenn wir gar nichts haben?
Mit den Zugängen. Eine zweite Bestätigung beim Anmelden, aufgeräumte Berechtigungen und getrennte Administratorkonten wirken sofort und kosten wenig. Danach kommt die Sicherung, weil sie den Schaden begrenzt, wenn doch etwas durchkommt.
02 Reicht ein Virenschutz auf jedem Rechner nicht aus?
Er ist eine notwendige Schicht, aber keine Strategie. Ein Angriff läuft häufig über gültige Zugangsdaten oder eine seit Monaten offene Schwachstelle — beides sieht ein Virenschutz nicht, weil aus seiner Sicht nichts Verbotenes passiert.
03 Sind kleine Betriebe überhaupt ein Ziel?
Automatisierte Angriffe suchen nicht nach Namen, sondern nach erreichbaren Systemen. Kleine Betriebe geraten deshalb genauso in Massenangriffe wie große — oft mit weniger Puffer, um einen Ausfall abzufedern.
04 Wie oft sollten wir die Liste durchgehen?
Einmal jährlich vollständig und zusätzlich immer dann, wenn sich etwas Grundlegendes ändert: neuer Standort, neue Fachanwendung, Wechsel des Dienstleisters oder ein Vorfall. Dazwischen genügt es, die Punkte zu prüfen, die von der Änderung berührt sind.
05 Was ist mit Beschäftigten, die das Unternehmen verlassen?
Das ist ein besonders oft übersehener Punkt. Zugänge, Mobilgeräte, Fernzugriff und Weiterleitungen müssen zum letzten Arbeitstag gesperrt sein. Ein fester Ablauf zwischen Personalabteilung und IT verhindert, dass Konten monatelang unbemerkt aktiv bleiben.
06 Brauchen wir für all das eine eigene Fachkraft?
Nicht zwingend. Der größte Teil der Liste sind Einstellungen und Abläufe, die einmal sauber eingerichtet und danach überwacht werden. Was dauerhaft Aufmerksamkeit braucht, sind Updates, Protokolle und die Prüfung der Sicherungen.
Tiefer einsteigen
Alle Ratgeber
Wie viele Punkte konnten Sie mit Ja beantworten?
Bei den offenen Punkten sehen wir gemeinsam nach, was in Ihrer Umgebung realistisch umsetzbar ist — und in welcher Reihenfolge es den Betrieb am wenigsten stört.