Sie müssen kein großes Unternehmen sein, um Ziel eines Cyberangriffs zu werden. Im Gegenteil können kleine Unternehmen attraktive Ziele sein, weil sie oft über begrenzte Sicherheitsressourcen verfügen, während sie gleichzeitig über wertvolle Daten und Zugang zu ihren Kunden verfügen.

Eine Website kann gehackt werden. Ein E-Mail-Konto kann übernommen werden. Ein Mitarbeiter kann dazu gebracht werden, auf einen gefälschten Link zu klicken. Ein Passwort kann in falsche Hände geraten. Oder ein Unternehmen kann Opfer von Ransomware werden und den Zugang zu wichtigen Dateien verlieren.

Die gute Nachricht ist, dass ein Großteil der grundlegenden Sicherheit nicht kompliziert sein muss.

Hier sind 10 konkrete Maßnahmen, die jedes Kleinunternehmen in Betracht ziehen sollte.

1. Verwenden Sie starke, einzigartige Passwörter

Einer der einfachsten Angriffe ist auch einer der häufigsten: Ein Passwort wird gestohlen – und anderswo wiederverwendet.

Wenn dasselbe Passwort für E-Mail, Facebook, Website, Microsoft 365, Google, Buchhaltungssystem, Hosting und Online-Shop genutzt wird, kann ein kompromittiertes Passwort Unbefugten Zugang zu mehreren Diensten verschaffen.

Tun Sie dies: Verwenden Sie lange, einzigartige Passwörter für jeden Dienst. Noch besser: Nutzen Sie einen Passwort-Manager. Dann müssen sich Mitarbeiter nur ein Hauptpasswort merken, während das System den Rest übernimmt.

2. Aktivieren Sie Zwei-Faktor-Authentifizierung

Passwörter allein sind keine ausreichende Sicherheitsbarriere mehr. Mit Zwei-Faktor-Authentifizierung – oft 2FA oder MFA genannt – wird eine zusätzliche Bestätigung beim Anmelden verlangt. Das kann zum Beispiel ein Code, eine Authentifizierungs-App, ein Sicherheitsschlüssel oder eine biometrische Bestätigung sein.

Wenn jemand Ihr Passwort in die Hände bekommt, hat er dennoch eine zusätzliche Hürde zu überwinden.

Priorisieren Sie besonders: E-Mail-Konten, Admin-Konten, Microsoft 365/Google Workspace, Website und Hosting, Finanzsysteme, Cloud-Speicher und soziale Medien. Beginnen Sie mit Admin- und E-Mail-Konten.

3. Aktualisieren Sie Website und Software

Eine veraltete Softwareversion kann bekannte Sicherheitslücken enthalten. Das betrifft unter anderem WordPress, Plugins, Themes, CMS-Systeme, PHP, Serversoftware, E-Commerce-Plattformen und Buchungslösungen.

Hacker müssen nicht unbedingt eine neue Sicherheitslücke finden. Sie können nach Unternehmen suchen, die noch eine alte Version mit einer bekannten Schwachstelle nutzen.

Deshalb: Aktualisieren. Entfernen Sie, was Sie nicht nutzen. Ersetzen Sie alte Plugins. Kontrollieren Sie den Server. Verfolgen Sie Sicherheitsupdates.

Automatische Updates können nützlich sein, wo es sicher ist, aber kritische Systeme sollten auch nach Updates überwacht werden.

4. Erstellen Sie ein Backup – und testen Sie es

Stellen Sie sich vor, alle Unternehmensdokumente werden plötzlich verschlüsselt. Kundenregister. Angebote. Buchhaltung. Bilder. Verträge. Projektdokumentation.

Wenn Sie kein funktionierendes Backup haben, kann die Situation ernst werden. Deshalb sollte das Unternehmen eine durchdachte Backup-Strategie haben. Eine gute Lösung sollte unter anderem berücksichtigen:

  • Was wird gesichert?
  • Wie oft?
  • Wo wird die Kopie gespeichert?
  • Wie lange wird sie aufbewahrt?
  • Ist das Backup vor Löschung oder Verschlüsselung geschützt?
  • Haben wir getestet, dass es tatsächlich wiederhergestellt werden kann?

Der letzte Punkt ist wichtig. Ein Backup, das Sie nie getestet haben, ist nicht unbedingt ein Backup, dem Sie vertrauen können.

5. Bringen Sie Mitarbeitern bei, Phishing zu erkennen

Viele Cyberangriffe beginnen nicht mit fortgeschrittenem Hacking. Sie beginnen mit einer E-Mail. Zum Beispiel:

"Ihre Rechnung ist bereit."
"Klicken Sie hier, um die Sperrung Ihres Kontos zu vermeiden."

Das Ziel kann sein, den Mitarbeiter dazu zu bringen, auf einen Link zu klicken, einen Anhang zu öffnen, ein Passwort einzugeben, eine gefälschte Rechnung zu bezahlen oder Software zu installieren.

Erstellen Sie eine einfache Regel: Im Zweifel – nicht klicken. Überprüfen Sie den Absender. Prüfen Sie die Adresse. Gehen Sie direkt zur Website des Dienstes, statt den Link in der E-Mail zu nutzen. Und fragen Sie einen Kollegen oder Verantwortlichen, wenn etwas verdächtig erscheint.

6. Schützen Sie E-Mail besonders gut

Das E-Mail-Konto ist oft einer der wichtigsten digitalen Schlüssel des Unternehmens. Wenn ein Angreifer die Kontrolle darüber erlangt, kann er versuchen, Nachrichten zu lesen, Passwörter zurückzusetzen, sich als das Unternehmen auszugeben, gefälschte Rechnungen zu senden, Kunden zu kontaktieren oder Zugang zu anderen Diensten zu erhalten.

Deshalb sollte E-Mail mit MFA, starkem Passwort, aktualisierten Systemen, Spam- und Phishing-Filtern und guten Zugriffsroutinen gesichert werden.

Unternehmen, die eigene Domains nutzen, sollten auch sicherstellen, dass relevante E-Mail-Sicherheitsmechanismen richtig konfiguriert sind.

7. Begrenzen Sie, wer Administratorrechte hat

Nicht jeder Mitarbeiter braucht Administratorrechte. Wenn ein normales Benutzerkonto kompromittiert wird, können die Folgen weit größer sein, wenn das Konto gleichzeitig Zugang zu kritischen Systemen hat.

Nutzen Sie daher das Prinzip:

Geben Sie Mitarbeitern nur den Zugang, den sie für ihre Arbeit brauchen.

Ein Mitarbeiter, der Website-Inhalte schreibt, braucht vielleicht keinen Server-Zugang. Ein Buchhaltungsmitarbeiter braucht vielleicht keinen Zugang zur Website-Verwaltung. Ein externer Lieferant braucht vielleicht nur vorübergehenden Zugang. Das wird oft als Prinzip der geringsten Rechte bezeichnet.

8. Sichern Sie Handy und PC

Sicherheit betrifft nicht nur den Server. Ein Laptop oder Handy kann Zugang zu E-Mail, Kundendaten, Dokumenten, Cloud-Speicher, Finanzsystem, sozialen Medien und internen Systemen des Unternehmens geben.

Deshalb sollten die Geräte des Unternehmens geschützt werden mit unter anderem:

  • Bildschirmsperre
  • Updates
  • Antivirus/Endpunktschutz, wo relevant
  • Verschlüsselung
  • Automatische Sperrung
  • Backup
  • Fernlöschung, wo relevant

Und wenn ein Mitarbeiter das Handy verliert: Wie schnell kann der Zugang gesperrt werden? Das sollte Teil der Unternehmensroutinen sein.

9. Behalten Sie den Überblick, wer Zugang zur Website hat

Das ist besonders wichtig für Unternehmen, die externe Webentwickler, Vermarkter oder andere Lieferanten nutzen. Mit der Zeit kann es viele Nutzer mit Zugang zu Website, Hosting, Domain, DNS, Datenbanken, Google-Konto, Analysewerkzeugen und sozialen Medien geben.

Das Problem entsteht, wenn Personen aufhören, mit dem Unternehmen zu arbeiten, aber weiterhin Zugang haben.

Erstellen Sie daher eine Zugriffsliste: Wer hat Zugang? Worauf haben sie Zugang? Warum? Ist der Zugang noch notwendig? Wann wurde er zuletzt überprüft?

Entfernen Sie Zugänge, die nicht mehr notwendig sind.

10. Erstellen Sie einen einfachen Plan für den Ernstfall

Keine Sicherheitslösung ist zu 100 Prozent risikofrei. Deshalb sollte das Unternehmen wissen, was zu tun ist, wenn etwas passiert. Denken Sie folgende Szenarien durch:

  • Die Website ist gehackt. Was tun wir?
  • Das E-Mail-Konto wurde übernommen. Wen kontaktieren wir?
  • Ein PC ist infiziert. Soll er vom Netzwerk getrennt werden?
  • Kundendaten könnten betroffen sein. Wer bewertet die Situation?
  • Wir vermuten einen Datenschutzverstoß. Wer ist für die Bearbeitung verantwortlich?

Ein einfacher Notfallplan kann wertvolle Zeit sparen.

Bonus: Vergessen Sie nicht die Menschen

Technologie allein löst die Sicherheit nicht. Ein Unternehmen kann Firewall, Antivirus, MFA, Backup und sichere Server haben – und trotzdem hereingelegt werden, wenn jemand nach einer gefälschten E-Mail Geld auf das falsche Konto überweist.

Deshalb sollte Sicherheit Teil der Unternehmenskultur sein. Mitarbeiter sollten wissen, was zu tun ist, wenn sie eine verdächtige E-Mail erhalten, und wen sie kontaktieren sollen. Letzteres ist besonders wichtig. Ein Mitarbeiter sollte sagen können:

"Ich glaube, ich habe einen Fehler gemacht."

ohne Angst haben zu müssen, die Schuld zu bekommen. Es ist besser, ein mögliches Sicherheitsproblem nach zwei Minuten zu entdecken als nach zwei Tagen.

Was ist mit KI?

Künstliche Intelligenz bietet neue Möglichkeiten – aber auch neue Sicherheitsherausforderungen. KI kann unter anderem genutzt werden, um sehr überzeugende Phishing-E-Mails, gefälschte Nachrichten, Stimmenklonung, Bilder, Dokumente und Nachrichten in anderen Sprachen zu erstellen.

Das bedeutet, dass "schlechte Sprache" nicht mehr unbedingt ein klares Anzeichen für Betrug ist. Gleichzeitig kann KI auch defensiv genutzt werden, unter anderem für Analyse, Überwachung und Automatisierung der Sicherheitsarbeit.

Für Kleinunternehmen bedeutet das vor allem: Vertrauen Sie nicht blind darauf, dass eine Nachricht professionell aussieht. Überprüfen Sie immer kritische Anfragen.

Eine einfache Sicherheitsprüfung für Ihr Kleinunternehmen

Beantworten Sie diese Fragen mit Ja oder Nein.

Konten

  • Nutzen alle Mitarbeiter einzigartige Passwörter?
  • Ist MFA auf wichtigen Konten aktiviert?
  • Haben ehemalige Mitarbeiter noch Zugang?

Website

  • Sind CMS und Plugins aktualisiert?
  • Wurden unnötige Plugins entfernt?
  • Hat der Webhost/Server zufriedenstellende Sicherheit?

Daten

  • Haben wir Backups?
  • Haben wir die Wiederherstellung getestet?
  • Wissen wir, wo wichtige Daten gespeichert werden?

Mitarbeiter

  • Wurden Mitarbeiter zu Phishing geschult?
  • Wissen sie, wen sie bei einem Vorfall kontaktieren sollen?

Notfallvorsorge

  • Wissen wir, was zu tun ist, wenn die Website gehackt wird?
  • Wissen wir, was zu tun ist, wenn ein E-Mail-Konto übernommen wird?
  • Wissen wir, wer für Sicherheit verantwortlich ist?

Wenn Sie mehrere dieser Fragen mit Nein beantwortet haben, hat das Unternehmen wahrscheinlich einige Bereiche, die überprüft werden sollten.

Was sollte ein kleines Unternehmen zuerst tun?

Sie müssen nicht alles an einem Tag lösen. Beginnen Sie mit diesen fünf:

1. MFA aktivieren
Bei E-Mail- und Admin-Konten.

2. Schwache und wiederverwendete Passwörter ersetzen
Nutzen Sie gerne einen Passwort-Manager.

3. Website und Software aktualisieren
Entfernen Sie alte und unnötige Komponenten.

4. Backup überprüfen
Und testen, dass Daten tatsächlich wiederhergestellt werden können.

5. Mit den Mitarbeitern sprechen
Alle sollten wissen, wie sie mit verdächtigen Nachrichten umgehen.

Das ist ein solides Fundament.

Sicherheit ist Teil des digitalen Betriebs

Eine Website ist nicht fertig, wenn sie veröffentlicht ist. Sie muss aktualisiert, gesichert, überwacht, gewartet, gesichert und über die Zeit kontrolliert werden. Dasselbe gilt für die übrigen digitalen Lösungen des Unternehmens.

Deshalb sollte Cybersicherheit als Teil des normalen Betriebs betrachtet werden – nicht als etwas, an das man erst nach einem Angriff denkt.

1Fremdrift – digitale Lösungen mit Fokus auf Sicherheit

Bei 1Fremdrift geht es bei der digitalen Entwicklung nicht nur darum, wie eine Website aussieht. Eine professionelle digitale Lösung muss auch Sicherheit, Updates, Zugriffsverwaltung, Backup, Datenschutz, Leistung, Barrierefreiheit, Benutzerfreundlichkeit sowie Betrieb und Wartung berücksichtigen.

Wenn wir digitale Lösungen entwickeln, sollte Sicherheit daher von Anfang an Teil des Ganzen sein.

Eine gute digitale Lösung soll nicht nur funktionieren, wenn alles normal läuft. Sie sollte auch mit Blick darauf gebaut sein, was schiefgehen könnte.

SIE HABEN EINE IDEE. WIR SCHAFFEN FREMDRIFT.

Mit 1FREMDRIFT sprechen →

Fazit

Kleinunternehmen brauchen kein enormes Sicherheitsbudget, um ihre digitale Sicherheit zu verbessern. Aber sie brauchen gute Routinen.

Die wichtigsten Maßnahmen sind oft überraschend einfach: starke und einzigartige Passwörter, MFA, aktualisierte Software, Backups, Schulung, begrenzte Zugänge, sichere Geräte, Kontrolle über Lieferanten und Administratoren, gute Routinen und ein Plan für den Ernstfall.

Es gibt keine Lösung, die alle Risiken eliminiert. Aber viele Angriffe können schwieriger durchzuführen sein – und die Folgen können geringer sein – wenn das Unternehmen über grundlegende Sicherheit verfügt.

Digitaler Fortschritt bedeutet auch, unterwegs sicher zu sein.