Warum ein IT-Sicherheitskonzept kein „Nice-to-have" mehr ist
Letzte Woche hatte ich ein Gespräch mit dem Inhaber einer Steuerberatungskanzlei in Magdeburg. 15 Mitarbeiter, drei Standorte, Mandantendaten auf einem NAS im Keller. „IT-Sicherheitskonzept?", fragte er. „Wir haben doch einen Virenscanner." Das war zwei Tage bevor sein Büro von einer Ransomware-Attacke getroffen wurde.
Die Wahrheit ist: Ein IT-Sicherheitskonzept ist für KMU 2026 nicht optional – es ist geschäftskritisch. Die Frage ist nicht ob, sondern wann ein Angriff kommt. Und wer vorbereitet ist, überlebt ihn.
Was ein IT-Sicherheitskonzept eigentlich ist
Ein IT-Sicherheitskonzept ist kein 200-seitiges Dokument, das in der Schublade verstaubt. Es ist ein lebendiger Rahmen, der definiert:
- Welche IT-Assets Ihr Unternehmen hat (Hardware, Software, Daten, Cloud-Dienste)
- Welchen Bedrohungen diese ausgesetzt sind
- Welche Schutzmaßnahmen greifen
- Wer im Ernstfall was tut
- Wie regelmäßig alles überprüft wird
Denken Sie daran wie an einen Businessplan – nur für Ihre digitale Sicherheit. Und genau wie ein Businessplan sollte er regelmäßig aktualisiert werden.
Schritt 1: Bestandsaufnahme – Was haben Sie überhaupt?
Bevor Sie irgendetwas schützen können, müssen Sie wissen, was Sie schützen. Das klingt trivial, ist es aber nicht. In der Praxis wissen die meisten KMU nicht einmal genau, welche Geräte in ihrem Netzwerk hängen.
Erstellen Sie eine vollständige Asset-Liste:
- Server (physisch und virtuell)
- Arbeitsplatzrechner und Laptops
- Smartphones und Tablets
- Netzwerkgeräte (Router, Switches, Access Points)
- Cloud-Dienste und SaaS-Anwendungen
- Drucker und IoT-Geräte
Praxis-Tipp: Nutzen Sie Netzwerk-Scanner wie Nmap oder kommerzielle Tools wie Lansweeper, um alle Geräte automatisch zu erfassen. Sie werden überrascht sein, was alles in Ihrem Netzwerk aktiv ist.
Schritt 2: Risikoanalyse – Was kann schiefgehen?
Jetzt wird es spannend. Für jedes Asset bewerten Sie zwei Dinge:
- Eintrittswahrscheinlichkeit: Wie wahrscheinlich ist ein bestimmter Angriff?
- Schadensausmaß: Was passiert, wenn er eintritt?
Eine einfache Matrix hilft:
| Risiko | Wahrscheinlichkeit | Schaden | Priorität |
|---|---|---|---|
| Phishing-Angriff auf Mitarbeiter | Hoch | Hoch | Kritisch |
| Serverausfall durch Hardware | Mittel | Hoch | Hoch |
| Datenverlust durch Mitarbeiterfehler | Hoch | Mittel | Hoch |
| DDoS-Angriff | Niedrig | Mittel | Mittel |
| Physischer Einbruch in Serverraum | Niedrig | Hoch | Mittel |
| -------- | ------------------- | --------- | ----------- |
|---|---|---|---|
| Serverausfall durch Hardware | Mittel | Hoch | Hoch |
| Datenverlust durch Mitarbeiterfehler | Hoch | Mittel | Hoch |
| DDoS-Angriff | Niedrig | Mittel | Mittel |
| Physischer Einbruch in Serverraum | Niedrig | Hoch | Mittel |
| Phishing-Angriff auf Mitarbeiter | Hoch | Hoch | Kritisch |
|---|---|---|---|
| Datenverlust durch Mitarbeiterfehler | Hoch | Mittel | Hoch |
| DDoS-Angriff | Niedrig | Mittel | Mittel |
| Physischer Einbruch in Serverraum | Niedrig | Hoch | Mittel |
| Serverausfall durch Hardware | Mittel | Hoch | Hoch |
|---|---|---|---|
| DDoS-Angriff | Niedrig | Mittel | Mittel |
| Physischer Einbruch in Serverraum | Niedrig | Hoch | Mittel |
| Datenverlust durch Mitarbeiterfehler | Hoch | Mittel | Hoch |
|---|---|---|---|
| Physischer Einbruch in Serverraum | Niedrig | Hoch | Mittel |
| DDoS-Angriff | Niedrig | Mittel | Mittel |
|---|
Für KMU sind die Top-3-Risiken fast immer:
- Phishing und Social Engineering
- Ransomware
- Datenverlust durch fehlende Backups
Schritt 3: Schutzmaßnahmen definieren
Hier geht es ans Eingemachte. Für jedes identifizierte Risiko brauchen Sie mindestens eine Gegenmaßnahme. Die wichtigsten Bausteine für KMU:
Technische Maßnahmen
- Firewall mit aktuellen Regelsätzen und Intrusion Detection
- Endpoint Protection auf allen Geräten (nicht nur Virenscanner)
- Zwei-Faktor-Authentifizierung (2FA) für alle kritischen Systeme
- Verschlüsselung für Daten at rest und in transit
- Automatisiertes Patch-Management für Betriebssysteme und Software
- Netzwerksegmentierung zur Schadensbegrenzung
- E-Mail-Security mit SPF, DKIM und DMARC
Organisatorische Maßnahmen
- Security Awareness Training für alle Mitarbeiter (mindestens quartalsweise)
- Passwort-Richtlinie (besser: Passkeys oder Passwordless Authentication)
- Zugriffsrechte-Konzept nach dem Least-Privilege-Prinzip
- Clean-Desk-Policy für sensible Bereiche
- Onboarding/Offboarding-Prozesse für Mitarbeiterzugänge
Backup und Recovery
- 3-2-1-1-0 Backup-Regel: 3 Kopien, 2 Medientypen, 1 offsite, 1 immutable, 0 Fehler
- Regelmäßige Restore-Tests (mindestens monatlich)
- Definierte Recovery Time Objectives (RTO) und Recovery Point Objectives (RPO)
Schritt 4: Notfallplan erstellen
Ein IT-Sicherheitskonzept ohne Notfallplan ist wie ein Auto ohne Airbag. Sie brauchen klare Antworten auf:
- Wer wird informiert? (Geschäftsführung, IT-Dienstleister, Datenschutzbeauftragter, ggf. Behörden)
- Was wird sofort getan? (Systeme isolieren, Beweise sichern, Kommunikation)
- Wer hat welche Rolle? (Incident Commander, Kommunikation, Technik)
- Wie wird kommuniziert? (Nicht über möglicherweise kompromittierte Systeme!)
Wichtig: Nach DSGVO Art. 33 müssen Sie Datenschutzverletzungen innerhalb von 72 Stunden an die Aufsichtsbehörde melden. Planen Sie das ein!
Schritt 5: Dokumentation und Richtlinien
Halten Sie alles schriftlich fest. Nicht für die Schublade, sondern als lebendes Dokument:
- IT-Sicherheitsrichtlinie (Dachrichtlinie, maximal 10 Seiten)
- Netzwerkplan mit allen Komponenten
- Berechtigungsmatrix (Wer hat Zugriff auf was?)
- Notfallkontakte (immer aktuell halten!)
- Änderungsprotokoll für alle Anpassungen
Schritt 6: Regelmäßige Überprüfung
Ein IT-Sicherheitskonzept ist nie fertig. Planen Sie mindestens:
- Monatlich: Patch-Status prüfen, Backup-Tests durchführen
- Quartalsweise: Zugriffsrechte überprüfen, Awareness-Schulungen
- Halbjährlich: Risikoanalyse aktualisieren, Notfallplan üben
- Jährlich: Vollständiges Audit, Penetrationstest beauftragen
Was das kostet – realistisch betrachtet
Die gute Nachricht: Ein grundlegendes IT-Sicherheitskonzept für ein KMU mit 10-50 Mitarbeitern muss kein Vermögen kosten.
| Maßnahme | Kosten (ca.) |
|---|---|
| Bestandsaufnahme und Risikoanalyse | 2.000-5.000 € |
| Firewall (Hardware + Konfiguration) | 1.500-4.000 € |
| Endpoint Protection (pro Gerät/Jahr) | 30-80 € |
| Security Awareness Training (pro Jahr) | 1.000-3.000 € |
| Backup-Lösung (Cloud-basiert) | 100-500 €/Monat |
| Penetrationstest | 3.000-8.000 € |
| ---------- | ------------- |
|---|---|
| Firewall (Hardware + Konfiguration) | 1.500-4.000 € |
| Endpoint Protection (pro Gerät/Jahr) | 30-80 € |
| Security Awareness Training (pro Jahr) | 1.000-3.000 € |
| Backup-Lösung (Cloud-basiert) | 100-500 €/Monat |
| Penetrationstest | 3.000-8.000 € |
| Bestandsaufnahme und Risikoanalyse | 2.000-5.000 € |
|---|---|
| Endpoint Protection (pro Gerät/Jahr) | 30-80 € |
| Security Awareness Training (pro Jahr) | 1.000-3.000 € |
| Backup-Lösung (Cloud-basiert) | 100-500 €/Monat |
| Penetrationstest | 3.000-8.000 € |
| Firewall (Hardware + Konfiguration) | 1.500-4.000 € |
|---|---|
| Security Awareness Training (pro Jahr) | 1.000-3.000 € |
| Backup-Lösung (Cloud-basiert) | 100-500 €/Monat |
| Penetrationstest | 3.000-8.000 € |
| Endpoint Protection (pro Gerät/Jahr) | 30-80 € |
|---|---|
| Backup-Lösung (Cloud-basiert) | 100-500 €/Monat |
| Penetrationstest | 3.000-8.000 € |
| Security Awareness Training (pro Jahr) | 1.000-3.000 € |
|---|---|
| Penetrationstest | 3.000-8.000 € |
| Backup-Lösung (Cloud-basiert) | 100-500 €/Monat |
|---|
Zum Vergleich: Der durchschnittliche Schaden eines erfolgreichen Ransomware-Angriffs auf ein deutsches KMU liegt bei 150.000-250.000 €. Ohne Reputationsschaden.
Vorlagen und Frameworks nutzen
Sie müssen das Rad nicht neu erfinden. Diese Frameworks helfen:
- BSI-Grundschutz (speziell für deutsche Unternehmen, kostenlos)
- ISO 27001 (internationaler Standard, für Zertifizierung)
- VdS 10000 (speziell für KMU, pragmatischer Ansatz)
- CISIS12 (12-Schritte-Modell, ideal für Einsteiger)
Für KMU empfehle ich den Einstieg über VdS 10000 oder CISIS12 – beide sind praxisnah und überfordern nicht.
Fazit: Einfach anfangen
Das perfekte IT-Sicherheitskonzept gibt es nicht. Aber ein gutes, umgesetztes Konzept schlägt ein perfektes, das nie geschrieben wird. Starten Sie mit der Bestandsaufnahme, identifizieren Sie die drei größten Risiken und setzen Sie die Gegenmaßnahmen um. Dann erweitern Sie Schritt für Schritt.
Wenn Sie Unterstützung brauchen: Wir begleiten KMU in der Region Sachsen-Anhalt von der ersten Bestandsaufnahme bis zum fertigen Sicherheitskonzept. Sprechen Sie uns an – das Erstgespräch ist immer kostenlos.
