# IT-Sicherheit für kleine Unternehmen: Was zuerst zählt

> Für kleine Unternehmen bringen wenige Maßnahmen den größten Schutz: Zwei-Faktor-Anmeldung für Mail und Banking, automatische Updates, ein Backup, das offline liegt und getestet ist, getrennte Admin-Konten und ein Notfallzettel. Von NIS2 sind die meisten Kleinbetriebe nicht direkt betroffen. Einen strukturierten Einstieg bietet der CyberRisikoCheck nach DIN SPEC 27076.

- URL: https://spreesolutions.de/betrieb-digitalisieren/it-sicherheit-kleine-unternehmen/
- Sprache: de
- Aktualisiert: 2026-10-19
- Herausgeber: Spree Solutions (OnlineBuilders LLC, https://onlinebuilders.biz)

Ein typischer Angriff auf eine kleine Firma sieht unspektakulär aus. Eine Mail vom „Paketdienst“, ein Link, ein Login-Fenster, das aussieht wie das von Microsoft. Drei Tage später schreibt jemand aus dem echten Postfach der Chefin an die Buchhaltung und bittet um eine dringende Überweisung.

Gegen so etwas hilft keine teure Firewall. Es helfen ein paar Grundregeln, die wenig kosten und schnell eingerichtet sind. Dieser Text sortiert sie nach Wirkung, nicht nach Technikbegeisterung.

## Betrifft mich NIS2?

Die Frage liegt nahe, weil die deutsche Umsetzung der NIS2-Richtlinie in Kraft ist und das BSI-Gesetz neu gefasst wurde. Das BSI weist auf seiner Seite darauf hin, dass die gesetzliche Registrierungsfrist für betroffene Unternehmen bereits abgelaufen ist.

Für die allermeisten Berliner Kleinbetriebe ist die Antwort trotzdem: nicht direkt. Als „wichtige Einrichtung“ gilt nach § 28 BSIG, wer in einem der in den Anlagen gelisteten Sektoren tätig ist und mindestens 50 Beschäftigte hat oder einen Jahresumsatz und eine Bilanzsumme von jeweils mehr als 10 Millionen Euro.

**NIS2 und Kleinbetriebe: wer ist direkt betroffen?**

| | Direkt betroffen | Indirekt möglich |
|---|---|---|
| Café mit 6 Beschäftigten | nein | nein |
| IT-Dienstleister mit 15 Beschäftigten, betreut Arztpraxen | nein | ja, über Verträge |
| Logistikfirma mit 60 Beschäftigten | prüfen | ja |
| Handwerksbetrieb, Zulieferer eines Energieversorgers | nein | ja, über Verträge |

Quelle: § 28 BSIG; Einordnung beispielhaft, Prüfung im Einzelfall über die NIS-2-Betroffenheitsprüfung des BSI

Indirekt kann es dich trotzdem treffen. Betroffene Unternehmen müssen Risiken in ihrer Lieferkette berücksichtigen und geben Anforderungen an Dienstleister weiter, oft per Vertrag oder Fragebogen. Wer also Kunden aus Energie, Gesundheit oder Logistik hat, sollte auf solche Anfragen vorbereitet sein. Unabhängig von NIS2 verlangt die DSGVO in Art. 32 von jedem Betrieb, der personenbezogene Daten verarbeitet, angemessene technische und organisatorische Maßnahmen.

## Die zehn Maßnahmen mit der größten Wirkung

Die Reihenfolge ist eine Einschätzung nach Aufwand und Nutzen. Die ersten vier schaffst du an einem Nachmittag.

**IT-Grundschutz für den Kleinbetrieb, nach Priorität**

- [ ] Zwei-Faktor-Anmeldung für E-Mail, Online-Banking, Cloud-Speicher und Buchhaltung
- [ ] Automatische Updates für Betriebssysteme, Browser, Kassen- und Bürosoftware
- [ ] Passwortmanager statt Zettel und Wiederverwendung
- [ ] Getrennte Konten: niemand arbeitet im Alltag mit Admin-Rechten
- [ ] Backup nach 3-2-1: drei Kopien, zwei Medien, eine außer Haus oder offline
- [ ] Wiederherstellung einmal im Quartal testen
- [ ] Gäste-WLAN getrennt vom Netz mit Kasse und Rechnern
- [ ] Überweisungen auf neue Konten immer per Rückruf bestätigen
- [ ] Ausgeschiedene Mitarbeitende sofort aus allen Konten entfernen
- [ ] Notfallzettel mit Telefonnummern ausgedruckt am Arbeitsplatz

Punkt 8 klingt banal und ist trotzdem einer der wichtigsten. Bei der sogenannten CEO- oder Rechnungsbetrugsmasche ändert jemand die Bankverbindung eines echten Lieferanten. Ein Rückruf unter der bekannten Nummer, nicht der aus der Mail, stoppt das.

Das Backup verdient einen zweiten Blick. Ein Backup, das dauerhaft am Rechner hängt, verschlüsselt die Ransomware gleich mit. Eine Festplatte, die nach der Sicherung abgesteckt wird, oder ein Cloud-Backup mit Versionierung, das sich nicht einfach löschen lässt, schützt dagegen. Und ein Backup, dessen Wiederherstellung nie getestet wurde, ist eine Hoffnung, kein Backup.

## Mitarbeitende: der Teil, den keine Software abdeckt

In einem Betrieb mit fünf Leuten hat oft jeder Zugriff auf alles. Die Aushilfe am Tresen kennt das Kassenpasswort, der Azubi das Mailpasswort der Chefin, und das WLAN-Passwort hängt am Kühlschrank. Das ist bequem. Es ist auch das größte Risiko.

Drei einfache Regeln bringen viel. Jede Person bekommt eigene Zugänge, auch an der Kasse, damit nachvollziehbar bleibt, wer was getan hat. Passwörter werden nicht geteilt, sondern über den Passwortmanager freigegeben. Und es gibt eine klare Ansage, was bei einer seltsamen Mail passiert: nicht klicken, sondern kurz nachfragen. Niemand wird dafür ausgelacht.

Eine Schulung muss kein Tagesseminar sein. Eine halbe Stunde im Team, in der man zwei echte Phishing-Mails aus dem eigenen Postfach gemeinsam anschaut, prägt sich besser ein als jede Folie. Die Digitalagentur Berlin bietet zum Thema Phishing außerdem kostenlose Veranstaltungen an, die „Cyberwerkstatt“.

## Kasse, Tablet, Kartenterminal

In Läden und Cafés hängen oft mehr Geräte im Netz als im Büro: Kassen-Tablet, Kartenterminal, Bondrucker, Musikanlage, die Kamera über dem Eingang. Viele davon bekommen selten Updates.

Trenne diese Geräte vom Gäste-WLAN, am einfachsten über einen Router, der ein separates Gastnetz anbietet. Ändere Standardpasswörter von Kameras und Druckern. Und prüf beim Kassenanbieter, wie Updates eingespielt werden und wer dafür verantwortlich ist. Bei Abo-Kassen übernimmt das meist der Anbieter, bei gekauften Systemen nicht unbedingt.

## Cyberversicherung: sinnvoll oder nicht?

Eine Cyberversicherung kann die Kosten eines Angriffs abfedern, etwa für Forensik, Wiederherstellung oder Betriebsunterbrechung. Sie ersetzt aber keine Grundsicherung. Versicherungsverträge knüpfen die Leistung an Obliegenheiten, und wer vereinbarte Mindestmaßnahmen nicht umgesetzt hat, riskiert im Schadensfall Kürzungen. Lies deshalb vor dem Abschluss genau, welche Maßnahmen der Vertrag voraussetzt, und setz sie um, bevor du unterschreibst.

## Wenn der Ernstfall eintritt

Im Notfall zählen die ersten Stunden. Wer vorher weiß, wen er anruft, verliert weniger Zeit.

**Erste Schritte bei einem Cyberangriff**

1. **Trennen** Betroffene Geräte vom Netz nehmen, aber nicht ausschalten, damit Spuren erhalten bleiben.
2. **Anrufen** IT-Dienstleister, Cyberhotline der Digitalagentur Berlin oder ZAC beim LKA Berlin: 030 4664-972972.
3. **Bank informieren** Bei verdächtigen Überweisungen sofort, Rückholung ist manchmal noch möglich.
4. **Datenschutz prüfen** Sind personenbezogene Daten betroffen, Meldung an die Berliner Datenschutzbehörde binnen 72 Stunden.
5. **Dokumentieren** Was ist wann passiert, welche Mails, welche Geräte. Für Anzeige, Versicherung und Behörde.

Die Zentrale Ansprechstelle Cybercrime des LKA Berlin ist ausdrücklich für Unternehmen und Behörden da. Sie hilft bei der Einschätzung und bei der Strafanzeige. Die Digitalagentur Berlin bietet werktags von 9 bis 17 Uhr eine Cyberhotline mit Erster Hilfe und Vermittlung an Fachleute. Beide kosten nichts.

## Der CyberRisikoCheck als strukturierter Einstieg

Wer nicht weiß, wo er steht, kann den CyberRisikoCheck nach DIN SPEC 27076 machen lassen. Das [BSI beschreibt ihn](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/KMU/CyberRisikoCheck/CyberRisikoCheck_node.html) als ein- bis zweistündiges Interview, in dem ein IT-Dienstleister 27 Anforderungen aus sechs Themenbereichen abfragt. Am Ende steht ein Bericht mit Handlungsempfehlungen.

Das BSI selbst sagt, dass klassische Standards wie IT-Grundschutz oder ISO/IEC 27001 für Unternehmen mit weniger als 50 Beschäftigten nicht optimal geeignet sind. Genau für diese Lücke wurde der Check entwickelt. Eine Zertifizierung ist er nicht, eher eine Standortbestimmung.

Was der Check kostet, legt der Dienstleister fest. Hol dir einen Festpreis und frag, ob der Dienstleister bereits Checks nach DIN SPEC 27076 durchgeführt hat.

## Was es kostet und wer hilft

Die meisten Maßnahmen aus der Liste kosten wenig Geld, aber etwas Zeit. Zwei-Faktor-Anmeldung ist bei gängigen Diensten kostenlos. Passwortmanager gibt es als günstiges Abo, Backup-Festplatten als einmalige Anschaffung.

Größere Vorhaben, etwa ein umfassendes IT-Sicherheitskonzept, lassen sich über den ERP-Förderkredit Digitalisierung der KfW finanzieren. Virenschutz und Firewalls fallen dort in die Basisstufe, ein umfassendes Sicherheitskonzept in die Stufe 2 mit 3 Prozent Zuschuss. Mehr dazu in der Übersicht zur [Förderung der Digitalisierung in Berlin](https://spreesolutions.de/foerderung/foerderung-digitalisierung-berlin/). Kostenlose Orientierung gibt es bei den Stellen aus dem Ratgeber [Digitalisierungsberatung Berlin](https://spreesolutions.de/foerderung/digitalisierungsberatung-berlin/).

Wer über die Basis hinaus will, etwa bei Kundendaten in eigener Software oder einer Webanwendung mit Login, braucht Sicherheitsprüfungen auf Anwendungsebene. Ein Team für [Cyber Security](https://onlinebuilders.biz/solutions/cyber-security) kann das übernehmen. Für die Kasse gelten zusätzlich eigene Regeln, siehe [Kassensystem mit TSE](https://spreesolutions.de/betrieb-digitalisieren/kassensystem-tse-pflicht/).

Dein nächster Schritt: Richte heute die Zwei-Faktor-Anmeldung für dein E-Mail-Postfach und dein Online-Banking ein. Das dauert zusammen eine Viertelstunde und schließt das häufigste Einfallstor. Danach druckst du den Notfallzettel aus.

## Häufige Fragen

### Fällt mein kleiner Betrieb unter NIS2?

In aller Regel nicht. Als wichtige Einrichtung gilt nach § 28 BSIG nur, wer in einem der gelisteten Sektoren tätig ist und mindestens 50 Beschäftigte oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme hat. Ob das zutrifft, prüft die Betroffenheitsprüfung des BSI.

### Was kostet ein CyberRisikoCheck?

Das legt der IT-Dienstleister selbst fest. Das BSI stellt die Software für den Check kostenlos bereit, das Interview dauert ein bis zwei Stunden. Frag vorher nach einem Festpreis.

### Muss ich einen Hackerangriff melden?

Wenn personenbezogene Daten betroffen sind, in der Regel ja: binnen 72 Stunden an die Berliner Datenschutzbehörde, so verlangt es Art. 33 DSGVO. Eine Strafanzeige bei der Zentralen Ansprechstelle Cybercrime des LKA Berlin ist freiwillig, aber sinnvoll.

### Reicht ein Virenscanner?

Nein. Ein Virenscanner schützt weder vor gestohlenen Zugangsdaten noch vor einer gefälschten Überweisungsbitte aus einem gekaperten Postfach. Dagegen helfen Zwei-Faktor-Anmeldung, Rückrufe bei Kontoänderungen und ein geübter Blick.

Foto: Kim Scarborough from Chicago, IL, CC BY-SA 2.0 (https://commons.wikimedia.org/wiki/File:Server_Rack_with_Spaghetti-Like_Mass_of_Network_Cables.jpg)