Cybersicherheit für kleine Unternehmen: praktischer Leitfaden

Warum sind kleine Unternehmen ein Ziel?

Die meisten Angriffe beginnen nicht damit, dass jemand Ihr Unternehmen gezielt ausgewählt hat. Automatisierte Skripte durchsuchen Websites, Mailserver und öffentlich erreichbare Dienste nach veralteter Software, schwachen Passwörtern oder falsch konfigurierten Konten.

Interessant wird ein Unternehmen, wenn es Zugriff auf Geld, Kundendaten, Rechnungen, Verträge oder Lager- und Handelsinformationen bietet. Bei einem kompromittierten E-Mail-Konto kann der Angreifer die Kommunikation mitlesen und im richtigen Moment eine überzeugende gefälschte Rechnung versenden.

Sicherheit ist nicht nur eine Frage der Website. Sie muss Microsoft 365 oder Google Workspace, Computer, Router, Buchhaltungs- und ERP-Software, den Online-Shop, Smartphones und die Personen umfassen, die diese Systeme nutzen.

Welche Angriffe kommen bei kleinen Unternehmen am häufigsten vor?

Phishing und gestohlene Passwörter

Sie erhalten eine E-Mail zu einer unbezahlten Rechnung, einer Lieferung oder einem gesperrten Konto. Der Link führt zu einer Kopie einer bekannten Seite, die das eingegebene Passwort speichert. Anschließend probiert der Angreifer dasselbe Passwort bei der E-Mail, der Website-Administration sowie bei Bank- oder Zahlungsdiensten aus.

Rechnungsbetrug oder Änderung der Bankverbindung

Der Angreifer kann einen echten Schriftwechsel nutzen, um eine Nachricht von einem kompromittierten E-Mail-Konto zu senden. Deshalb darf eine Änderung der IBAN nicht ausschließlich per E-Mail bestätigt werden. Rufen Sie den Lieferanten oder Kunden unter einer bekannten Telefonnummer an.

Ransomware und Dateiverlust

Schadsoftware verschlüsselt Dokumente, freigegebene Ordner und manchmal auch Backups, wenn diese dauerhaft aus dem Netzwerk erreichbar sind. Verlassen Sie sich nicht darauf, dass die Zahlung eines Lösegelds Ihre Dateien zurückbringt oder die Datenweitergabe beendet.

Verwundbare Website oder Online-Shop

Ein veraltetes CMS, Plugin, Theme oder eine veraltete Bibliothek kann Zugriff auf das Admin-Panel oder eine Datenbank ermöglichen. HTTPS ist notwendig, aber ein SSL-Zertifikat allein behebt keinen verwundbaren Code und schützt keine Administratorkonten.

Falsch vergebene oder nicht entfernte Zugriffsrechte

Das Problem ist oft ganz banal: Ein ehemaliger Mitarbeiter hat noch Zugriff, alle nutzen dasselbe Admin-Konto oder ein externer Dienstleister sieht mehr, als er benötigt. Solche Lücken behebt man mit klaren Prozessen, nicht mit noch einem Antivirenprogramm.

Welche grundlegenden Schutzmaßnahmen braucht jedes Unternehmen?

1. 01
   Erstellen Sie eine Übersicht der Systeme und Daten

   Erfassen Sie alle Dienste, die Sie nutzen: geschäftliche E-Mail, Website, Online-Shop, ERP, CRM, Buchhaltung, Dateien, Domain, Hosting, Kurierdienste und Zahlungsdienstleister. Geben Sie für jedes System den Verantwortlichen, den Administrator, die enthaltenen Daten und den Wiederherstellungsweg an.

2. 02
   Schützen Sie E-Mail und Administratorkonten

   Verwenden Sie einzigartige, lange Passwörter und einen Passwortmanager. Aktivieren Sie die Zwei-Faktor-Authentifizierung, besonders für E-Mail, Domain, Hosting, Social-Media-Profile, Werbekonten und Admin-Panels. Bevorzugen Sie Einmalcode-Apps oder einen Hardware-Sicherheitsschlüssel gegenüber SMS, wenn der Dienst dies ermöglicht.

3. 03
   Rollen und Zugriffsrechte trennen

   Jede Person sollte ein eigenes Konto haben, statt dass das gesamte Team ein gemeinsames Passwort nutzt. Vergeben Sie nur die erforderlichen Rechte: Ein Vertriebsmitarbeiter sollte kein Administrator der Datenbank sein, und ein externer Entwickler sollte nicht dauerhaft Zugriff auf Kundendaten haben.

4. 04
   Software kontrolliert aktualisieren

   Halten Sie Betriebssysteme, Browser, WordPress, Plugins, Serverkomponenten und Anwendungen aktuell. Erstellen Sie bei einem ERP oder Online-Shop zunächst ein Backup und prüfen Sie das Update in einer Testumgebung, wenn es Bestellungen, Lagerbestand oder Rechnungsstellung beeinträchtigen könnte.

5. 05
   Erstellen Sie Backups nach der 3-2-1-Regel

   Bewahren Sie mindestens drei Kopien wichtiger Daten auf zwei unterschiedlichen Medientypen auf, wobei sich eine Kopie außerhalb der Hauptumgebung befinden muss. Ein automatisches Backup ist kein Beleg dafür, dass eine Wiederherstellung funktioniert. Stellen Sie einmal im Monat ausgewählte Dateien oder eine Datenbank in einer getrennten Umgebung wieder her.

6. 06
   Schützen Sie Website und Netzwerk

   Prüfen Sie HTTPS, Administratorkonten, WAF-Einstellungen, die Begrenzung von Anmeldeversuchen und die Protokolle. Ändern Sie das werkseitige Routerpasswort, aktualisieren Sie die Firmware und trennen Sie das Gäste-WLAN von den Unternehmensgeräten.

7. 07
   Schulen Sie Ihr Team anhand realer Beispiele

   Zeigen Sie, wie eine gefälschte Rechnung aussieht, wie die Absenderadresse überprüft wird und wo eine verdächtige E-Mail gemeldet werden kann. Vereinbaren Sie eine Regel: Zahlungen, Änderungen der IBAN oder dringende Überweisungen werden über einen zweiten Kanal bestätigt.

8. 08
   Erstellen Sie einen Notfallplan

   Legen Sie fest, wer einen kompromittierten Computer vom Netz nimmt, wer die Passwörter ändert und wer mit der Bank, dem Hosting-Anbieter und den Kunden spricht. Bewahren Sie die Telefonnummern außerhalb des Hauptsystems auf. Bei personenbezogenen Daten sollten Sie gemeinsam mit einem Juristen und dem Datenschutzbeauftragten prüfen, ob eine Meldepflicht besteht.

Wie schützt man Website, Onlineshop und ERP-System?

Beginnen Sie bei der Website mit aktuellen Komponenten, einem eingeschränkten Administrationszugang, individuellen Konten sowie täglichen Backups der Dateien und der Datenbank. Bei einem Onlineshop sollten Sie außerdem die Zahlungsdienstleister, die Schnittstellen zu Versanddienstleistern, die API-Schlüssel sowie den Zugriff auf Kunden- und Bestelldaten kontrollieren.

API-Schlüssel dürfen nicht in öffentlich zugänglichem JavaScript-Code, in Chats oder in einer für alle zugänglichen Tabelle gespeichert werden. Ändern Sie sie, wenn ein Mitarbeiter oder Dienstleister das Unternehmen verlässt, und dokumentieren Sie, welche Integration welchen Schlüssel verwendet.

Das ERP-System sollte über Rollen, eine Änderungshistorie und getrennte Berechtigungen für Lager, Vertrieb, Fakturierung und Einstellungen verfügen. Bei einer maßgeschneiderten Lösung werden diese Regeln gemeinsam mit den Prozessen konzipiert. In Saitami ERP sind beispielsweise CRM, Tickets, Telefonintegration und Automatisierungen gebündelt. Bei einem solchen System muss im Voraus festgelegt werden, wer welche Informationen sehen und ändern darf.

Wenn die Betreuung einem anderen Team überlassen wird, fordern Sie eine Übersicht der Zugriffsrechte, einen Aktualisierungsplan, eine Backup-Richtlinie und ein Verfahren für den Ernstfall an. Die Übernahme einer Website oder eines Onlineshops, der von einem anderen Unternehmen entwickelt wurde, beginnt mit der Prüfung von Code, Hosting, Domain und Administratorkonten – nicht mit einer Änderung der Farben.

Was kostet grundlegende Cybersicherheit?

Die Kosten hängen von der Anzahl der Nutzer und Geräte, dem Datenvolumen, den Anforderungen an den unterbrechungsfreien Betrieb und der Frage ab, ob bereits eine Betreuung vorhanden ist. Die folgenden Spannen sind Richtwerte für ein kleines Unternehmen und enthalten kein DDS, sofern der Anbieter dieses berechnet.

Das HTTPS-Zertifikat ist häufig im Hosting enthalten oder wird ohne zusätzliche Gebühr ausgestellt. Das bedeutet nicht, dass die gesamte Website geschützt ist. Im Hosting-Angebot sollten Sie prüfen, was tatsächlich enthalten ist: Cloudflare oder eine andere Schutzschicht, Backups, Monitoring, Wiederherstellungszeit und wer über Administrationszugriff verfügt.

Wie prüfen Sie, ob Backup und Schutz funktionieren?

Fordern Sie konkrete Antworten auf fünf Fragen an: Wann wurde das letzte erfolgreiche Backup erstellt, wo wird es gespeichert, wie viele Versionen werden aufbewahrt, wie lange dauert die Wiederherstellung und wer hat Zugriff auf die Backups? Die Aussage „Wir machen jeden Tag ein Backup“ sagt nicht, ob jemals eine Wiederherstellung durchgeführt wurde.

Prüfen Sie die Zugriffsrechte auch in der Praxis. Erstellen Sie eine Liste aus den Administrationsbereichen von E-Mail, Domain, Hosting, Onlineshop, ERP-System und Werbekonten. Entfernen Sie alte Profile, ändern Sie gemeinsam genutzte Passwörter und dokumentieren Sie, wer neue Zugriffsrechte genehmigt.

Für eine Website oder einen Onlineshop können Sie mit Wartung und Prüfungen beginnen, die Aktualisierungen, Backups und kleinere Änderungen umfassen. In komplexeren Umgebungen braucht es einen eigenen Plan für Monitoring, Tests und Reaktion – nicht nur die monatliche Installation von Updates.

Was tun bei Verdacht auf einen Sicherheitsvorfall?

1. 01
   Verhindern Sie die weitere Verbreitung

   Isolieren Sie den betroffenen Computer oder das betroffene Konto, ohne Dateien und Protokolle zu löschen. Verwenden Sie ein kompromittiertes E-Mail-Konto nicht weiter zur Koordination.

2. 02
   Sichern Sie kritische Zugänge

   Ändern Sie von einem sauberen Gerät aus die Passwörter für E-Mail, Domain, Hosting, ERP-System und Zahlungsdienste. Beenden Sie aktive Sitzungen und laden Sie eine Liste der Administratoren herunter.

3. 03
   Wenden Sie sich an die richtigen Ansprechpartner

   Informieren Sie den IT-Support, den Hosting-Anbieter, bei Betrugsverdacht die Bank sowie den Rechtsanwalt oder Datenschutzbeauftragten. Verhandeln oder zahlen Sie kein Lösegeld ohne professionelle Einschätzung.

4. 04
   Stellen Sie die Systeme aus einer sauberen Kopie wieder her

   Stellen Sie zunächst fest, wie der Angriff erfolgt ist, und überprüfen Sie das Backup. Stellen Sie die Systeme in einer isolierten Umgebung wieder her, aktualisieren Sie sie und ersetzen Sie alle betroffenen Schlüssel und Passwörter.

5. 05
   Dokumentieren Sie den Vorfall

   Dokumentieren Sie Uhrzeiten, betroffene Konten, versendete Nachrichten, die Maßnahmen des Teams und die getroffenen Entscheidungen. Diese Informationen helfen bei der Benachrichtigung, der Wiederherstellung und der Vermeidung eines erneuten Vorfalls.

Häufig gestellte Fragen

Braucht ein kleines Unternehmen ein Antivirenprogramm?

Ja, aber ein Antivirenprogramm ist nur eine Schutzschicht. Es ersetzt weder die Zwei-Faktor-Authentifizierung noch Updates, eingeschränkte Berechtigungen, Schulungen und geprüfte Backups.

Reicht ein SSL-Zertifikat für einen Online-Shop aus?

Nein. HTTPS schützt die Verbindung zwischen Browser und Website, behebt aber weder unsicheren Code noch ein gestohlenes Administratorkennwort oder eine falsch konfigurierte Integration mit Versanddienstleistern und Zahlungsanbietern.

Wie oft sollte eine Sicherheitsprüfung durchgeführt werden?

Überprüfen Sie die wichtigsten Zugänge, Backups und Updates jeden Monat, bei einem Wechsel des Mitarbeiters oder Dienstleisters sofort. Eine gründlichere Prüfung sollte sinnvollerweise mindestens einmal jährlich sowie nach größeren Änderungen an der Website, dem ERP-System oder dem Netzwerk erfolgen.

Was sollte ich tun, wenn ein Mitarbeiter das Unternehmen verlässt?

Sperren Sie im Moment des Ausscheidens die geschäftliche E-Mail, VPN, ERP, CRM, das Hosting und alle gemeinsam genutzten Zugänge. Prüfen Sie die Protokolle, ändern Sie gemeinsame Passwörter und übertragen Sie das Eigentum an Dateien, der Domain und Werbekonten.

Kann sich ein kleines Unternehmen ohne IT-Abteilung schützen?

Ja, wenn es eine klare Liste der Systeme, einen Verantwortlichen und Support für kritische Dienste gibt. Ein externer Spezialist kann die Ersteinrichtung übernehmen, aber die täglichen Regeln für Passwörter, Zugänge und die Bestätigung von Zahlungen muss das Team einhalten.