IT-Sicherheit für kleine Unternehmen muss weder teuer noch kompliziert sein. Die meisten erfolgreichen Angriffe auf Startups und Selbstständige nutzen keine raffinierten Sicherheitslücken, sondern einfache Schwachstellen: wiederverwendete Passwörter, fehlende Updates, eine überzeugende Phishing-Mail oder ein Backup, das nie getestet wurde.
Gerade junge Unternehmen haben selten eine eigene IT-Abteilung. Umso wichtiger ist ein Grundschutz, der mit wenig Budget funktioniert und von Anfang an mitwächst. Dieser Leitfaden zeigt dir zehn Maßnahmen mit großer Wirkung, die rechtlichen Pflichten und kostenlose Unterstützungsangebote.
Warum IT-Sicherheit für kleine Unternehmen wichtig ist
Kleine Firmen gelten für Kriminelle als attraktive Ziele, weil sie oft schlechter geschützt sind als Konzerne, aber wertvolle Daten haben: Kundendaten, Zahlungsinformationen, Zugänge zu Bankkonten und Systemen von Geschäftspartnern. Ein Verschlüsselungstrojaner kann ein Startup tagelang lahmlegen, ein gekaperter E-Mail-Account zu gefälschten Rechnungen an Kunden führen.
Hinzu kommen rechtliche Folgen. Wer personenbezogene Daten verarbeitet, muss sie nach der DSGVO angemessen schützen. Und Kunden, vor allem größere Unternehmen, fragen bei Lieferanten zunehmend nach Sicherheitsmaßnahmen.
10 Maßnahmen mit großer Wirkung
1. Passwort-Manager für alle
Ein Passwort-Manager erzeugt für jeden Dienst ein eigenes, langes Passwort und speichert es verschlüsselt. Team-Versionen erlauben das sichere Teilen von Zugängen, ohne Passwörter per Chat zu verschicken.
2. Zwei-Faktor-Authentifizierung aktivieren
Aktiviere einen zweiten Faktor für E-Mail, Cloud-Speicher, Buchhaltung, Online-Banking, Shop- und Social-Media-Konten. Authenticator-Apps oder Hardware-Schlüssel sind sicherer als SMS-Codes.
3. Updates automatisieren
Betriebssysteme, Browser, Router, Website-Plugins und Apps sollten automatisch aktualisiert werden. Alte Geräte ohne Sicherheitsupdates gehören ausgetauscht.
4. Backups nach der 3-2-1-Regel
Drei Kopien deiner Daten auf zwei verschiedenen Medien, davon eine außerhalb des Büros oder offline. Wichtig: Teste regelmäßig, ob sich Daten tatsächlich wiederherstellen lassen. Ein Backup, das dauerhaft mit dem Netzwerk verbunden ist, kann von Ransomware mit verschlüsselt werden.
5. Mitarbeitende schulen
Kurze, regelmäßige Schulungen zu Phishing, Social Engineering und dem Umgang mit Anhängen wirken oft mehr als teure Technik. Vereinbare eine einfache Regel: Zahlungsänderungen und ungewöhnliche Anfragen werden immer telefonisch über eine bekannte Nummer bestätigt.
6. Geräte absichern
Festplattenverschlüsselung, Bildschirmsperre, aktuelle Virenschutzlösung und eine aktive Firewall sind auf Laptops und Smartphones Pflicht. Bei Verlust sollte sich ein Gerät aus der Ferne sperren oder löschen lassen.
7. Zugriffsrechte begrenzen
Jede Person bekommt nur die Rechte, die sie für ihre Arbeit braucht. Administratorkonten werden nicht für den Alltag genutzt. Beim Ausscheiden von Mitarbeitenden oder Freelancern werden Zugänge sofort entzogen.
8. Sichere Cloud-Dienste wählen
Etablierte Cloud- und Office-Pakete bringen Verschlüsselung, Backups und Sicherheitsfunktionen mit. Prüfe Serverstandort, Vertrag zur Auftragsverarbeitung und welche Sicherheitsfunktionen erst aktiviert werden müssen.
9. Netzwerk und Fernzugriff schützen
Ändere Standardpasswörter am Router, trenne Gäste-WLAN und Firmennetz und nutze für den Zugriff auf interne Systeme verschlüsselte Verbindungen. In öffentlichen WLANs kann ein VPN die Verbindung zusätzlich absichern. Ein VPN-Anbieter-Vergleich hilft bei der Auswahl.
10. Notfallplan schreiben
Lege auf einer Seite fest, was bei einem Vorfall passiert: Wen rufst du an, welche Systeme werden getrennt, wer informiert Kunden und Behörden? Drucke den Plan aus, denn im Ernstfall sind digitale Dokumente vielleicht nicht erreichbar.
Was IT-Sicherheit für kleine Unternehmen kostet
| Maßnahme | Kostenrahmen | Aufwand |
|---|---|---|
| Zwei-Faktor-Authentifizierung, automatische Updates, Router absichern | kostenlos | wenige Stunden |
| Passwort-Manager für das Team | gering, meist pro Nutzer und Monat | Einführung und Gewöhnung |
| Backup-Lösung (Cloud und externe Festplatte) | gering bis mittel | Einrichtung, regelmäßige Tests |
| Schulungen | kostenlos (öffentliche Angebote) bis mittel | regelmäßig kurze Einheiten |
| Externer IT-Dienstleister, Sicherheitscheck | mittel, teils förderfähig | einmalig plus Wartung |
Wirksame IT-Sicherheit für kleine Unternehmen entsteht vor allem durch die ersten drei Zeilen der Tabelle, und die kosten fast nichts außer Zeit. Teurere Maßnahmen lohnen sich erst, wenn diese Grundlagen sitzen.
Recht: DSGVO, Meldepflichten und NIS2
Auch rechtlich ist IT-Sicherheit kein freiwilliges Extra. Die wichtigsten Pflichten im Überblick:
- DSGVO: Du musst personenbezogene Daten durch geeignete technische und organisatorische Maßnahmen schützen. Mit Dienstleistern, die Daten in deinem Auftrag verarbeiten, brauchst du einen Auftragsverarbeitungsvertrag.
- Meldepflicht: Kommt es zu einer Datenpanne, musst du sie nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden der zuständigen Datenschutzaufsicht melden, sofern ein Risiko für Betroffene besteht. Jede Panne ist intern zu dokumentieren.
- NIS2: Die EU-Richtlinie, in Deutschland seit Dezember 2025 durch das NIS2-Umsetzungsgesetz in Kraft, richtet sich vor allem an mittlere und große Unternehmen in bestimmten Sektoren. Kleine Firmen sind meist nicht direkt erfasst, können aber als Zulieferer vertraglich zu Maßnahmen verpflichtet werden. Ob du betroffen bist, kannst du mit der Betroffenheitsprüfung des BSI klären. Mehr dazu im Beitrag NIS2 für SaaS-Startups.
- Produkte mit digitalen Elementen: Wer Software oder vernetzte Hardware anbietet, sollte den Cyber Resilience Act im Blick haben.
Kostenlose Hilfe für kleine Unternehmen
Wer das Thema nicht allein stemmen will, findet kostenlose oder geförderte Unterstützung.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bietet mit dem CyberRisikoCheck ein standardisiertes Beratungsformat speziell für kleine und Kleinstunternehmen an. Es basiert auf der DIN SPEC 27076: Ein IT-Dienstleister fragt in einem ein- bis zweistündigen Interview 27 Anforderungen aus sechs Themenbereichen ab. Du erhältst einen Bericht mit Punktzahl und nach Dringlichkeit sortierten Empfehlungen, inklusive Hinweisen auf Förderprogramme. Ein Zertifikat ist das nicht, aber eine gute Standortbestimmung.
Weitere Anlaufstellen sind die IHKs und Handwerkskammern, die Mittelstand-Digital-Zentren und die Polizei mit ihren Zentralen Ansprechstellen Cybercrime für Unternehmen. Wie Sicherheit zum Wettbewerbsvorteil wird, beschreibt der Beitrag Cybersicherheit als Wachstumstreiber.
30-Tage-Plan für den Grundschutz
Damit die Maßnahmen nicht auf der langen Liste landen, hilft ein fester Zeitplan. So lässt sich IT-Sicherheit für kleine Unternehmen innerhalb eines Monats auf ein solides Grundniveau bringen:
- Woche 1 – Bestandsaufnahme: Liste alle Geräte, Konten, Cloud-Dienste und Personen mit Zugriff auf. Notiere, wo Kundendaten, Rechnungen und Zugangsdaten gespeichert sind.
- Woche 2 – Zugänge sichern: Passwort-Manager einführen, Zwei-Faktor-Authentifizierung aktivieren, alte und unbekannte Konten löschen, Administratorrechte reduzieren.
- Woche 3 – Daten sichern: Backup einrichten, eine Wiederherstellung testen, automatische Updates auf allen Geräten prüfen, Router-Zugang absichern.
- Woche 4 – Menschen und Notfall: kurze Schulung zu Phishing durchführen, Notfallplan schreiben und ausdrucken, Auftragsverarbeitungsverträge mit Dienstleistern prüfen.
Danach genügt ein kurzer Check pro Quartal: Sind neue Tools oder Mitarbeitende hinzugekommen? Laufen die Backups? Haben alle Konten noch einen zweiten Faktor?
IT-Sicherheit für kleine Unternehmen im Homeoffice
Arbeitet dein Team ganz oder teilweise von zu Hause, gelten dieselben Grundregeln mit einigen Ergänzungen. Firmendaten gehören auf Firmengeräte oder zumindest in getrennte, verschlüsselte Bereiche. Private Router sollten aktuelle Firmware und ein starkes WLAN-Passwort haben.
Dokumente werden in der Firmen-Cloud statt auf USB-Sticks oder in privaten E-Mail-Postfächern gespeichert. Und Videokonferenzen mit vertraulichen Inhalten finden nicht im Café statt, wo andere mithören oder auf den Bildschirm schauen können.
Halte diese Regeln in einer kurzen, verständlichen Richtlinie fest. Das gilt auch für den Einsatz von KI-Tools: Lege fest, welche Daten dort eingegeben werden dürfen. Eine Vorlage liefert der Beitrag zur KI-Policy für Startups.
Häufige Fragen
Womit beginnt IT-Sicherheit für kleine Unternehmen?
Mit Zwei-Faktor-Authentifizierung für E-Mail und wichtige Konten, einem Passwort-Manager, automatischen Updates und einem getesteten Backup. Diese vier Maßnahmen schließen die häufigsten Einfallstore.
Reicht ein kostenloser Virenschutz?
Für einzelne Geräte kann der integrierte Schutz moderner Betriebssysteme ausreichen, wenn er aktuell gehalten wird. Bei mehreren Geräten lohnt eine zentral verwaltete Lösung.
Brauche ich als Kleinunternehmen eine Cyberversicherung?
Sie kann Kosten für Forensik, Wiederherstellung und Betriebsunterbrechung abdecken. Versicherer verlangen aber meist Grundmaßnahmen wie Backups und Zwei-Faktor-Authentifizierung. Vergleiche Leistungen und Ausschlüsse genau.
Fazit
IT-Sicherheit für kleine Unternehmen beginnt mit Gewohnheiten, nicht mit teurer Technik: eigene Passwörter, zweiter Faktor, Updates, getestete Backups und ein geschultes Team. Wer diese Grundlagen umsetzt, die DSGVO-Pflichten kennt und kostenlose Angebote wie den CyberRisikoCheck nutzt, schützt sein Startup wirksam – auch mit kleinem Budget.
