Kleine Unternehmen brauchen keine Panik, sondern eine solide Basis: MFA, sichere Passwörter, Backups, klare Rechte und einfache Notfallwege.
Fachliche Einordnung, Quellenprüfung und betrieblicher Projektbezug durch Giorgi Okropiridze als Inhaber und Geschäftsführer von BetriebsIT by NovaHaus.
Fachliche Orientierung für kleine Unternehmen. Die konkrete Priorität ergibt sich aus Systemen, Zugängen, Daten und Risiken des jeweiligen Betriebs.
Eine belastbare Sicherheitsbasis für kleine Unternehmen beginnt mit sechs Dingen: verantwortliche Person, MFA, Passwortmanager, begrenzte Rechte, aktuelle Systeme und ein getesteter Wiederherstellungsweg. Erst wenn diese Basis dokumentiert ist, sind zusätzliche Security-Werkzeuge sinnvoll.
Empfehlungen, Abgrenzungen und Prüfpunkte sind nachvollziehbar aufgebaut. Quellenbezüge stehen an den belegten Prüfaussagen und vollständig im Quellenverzeichnis.
6 Prüfpunkte, mit denen Sie den aktuellen Stand im eigenen Betrieb konkret einordnen können.
Benennen Sie eine Person, die Zugänge, Updates, Backups und Sicherheitsvorfälle koordiniert und Entscheidungen dokumentiert.
QuellenBSI · Cybersicherheit für KMU – Die TOP 14 FragenSchützen Sie zuerst E-Mail, Microsoft 365, Banking, Website-Administration und weitere zentrale Konten mit einem zweiten Faktor.
QuellenBSI · Cybersicherheit für KMU – Die TOP 14 FragenBSI · Zwei-Faktor-AuthentisierungNutzen Sie einen Passwortmanager, eindeutige Passwörter und getrennte persönliche Konten statt gemeinsam verwendeter Logins.
QuellenBSI · 10 Tipps zur Cyber-Sicherheit für UnternehmenVergeben Sie Administratorrechte nur dort, wo sie wirklich benötigt werden, und entfernen Sie Zugänge ausgeschiedener Personen sofort.
QuellenBSI · Cybersicherheit für KMU – Die TOP 14 FragenErfassen Sie Geräte und zentrale Software, bestimmen Sie Wartungsfenster und kontrollieren Sie, ob sicherheitsrelevante Updates installiert wurden.
QuellenBSI · 10 Tipps zur Cyber-Sicherheit für UnternehmenDefinieren Sie wichtige Daten, Sicherungsrhythmus, Aufbewahrung und Verantwortliche und führen Sie einen dokumentierten Restore-Test durch.
QuellenBSI · Back-up: Doppelt gesichert hält besserBSI · Cybersicherheit für KMU – Die TOP 14 FragenMehrere Mitarbeitende nutzen gemeinsam bekannte Zugangsdaten. MFA ist nur teilweise aktiv, alte Konten bestehen weiter und niemand kann sicher sagen, welche Daten wiederherstellbar sind.
QuellenBSI · Cybersicherheit für KMU – Die TOP 14 FragenBSI · Back-up: Doppelt gesichert hält besserDas Beispiel zeigt einen möglichen Prüfablauf. Es ist kein veröffentlichter Kundenfall und enthält keine behauptete Wirkungskennzahl.
E-Mail, Cloud, Banking und Admin-Konten sollten nicht nur mit Passwort geschützt sein.
Sichere Passwörter werden nutzbar, wenn sie nicht improvisiert werden müssen.
Wichtig ist nicht nur Backup, sondern Wiederherstellung und Klarheit im Notfall.
Nicht jeder braucht Zugriff auf alles. Rollen und Rechte reduzieren Risiken.
Sicherheit funktioniert besser, wenn Website, Cloud, E-Mail, Geräte und Prozesse zusammen betrachtet werden.
Zugänge und Daten absichern.
Backups und Wiederherstellung planen.
Verantwortung und Notfallwege festhalten.
Praxisergänzung · · BetriebsIT
Beginnen Sie mit einem geschäftskritischen Ablauf, etwa dem Zugriff auf Kundenaufträge. Listen Sie die dafür benötigten Konten, Geräte und Daten auf. Prüfen Sie anschließend Anmeldung, Wiederherstellung und Zuständigkeit zusammen. Ein installierter Schutz allein zeigt noch nicht, wie Ihr Betrieb bei einem verlorenen Gerät weiterarbeitet.
Ein sinnvoller Abnahmetest verwendet einen vereinbarten Testzugang: Rechte entziehen, erneute Anmeldung prüfen und die dokumentierte Vertretung den nächsten Schritt finden lassen. Keine produktiven Konten unkoordiniert sperren. Maßnahmen werden nach Auswirkung und Aufwand priorisiert; verbleibende Risiken und Verantwortliche bleiben sichtbar.
MFA ergänzt die Anmeldung um einen weiteren Identitätsnachweis; Microsoft beschreibt die unterstützten Verfahren in der verlinkten Dokumentation. Für die eigentliche Aufgabe muss zusätzlich die passende Berechtigung vorhanden sein. Im eigenen Wiederherstellungsbeispiel darf deshalb eine Gastrolle auch mit bestätigter Test-MFA keine Datei zurückholen.
Probieren Sie beide Grenzen: Ohne Test-MFA bleibt die Wiederherstellung gesperrt. Wählen Sie anschließend die Gastrolle und bestätigen Sie den Testfaktor: Die Tätigkeit bleibt mangels Berechtigung gesperrt. Erst die passende Testrolle und der bestätigte Faktor öffnen den Weg. Alle Kontrollen sind ein Modell mit erfundenen Daten; es findet kein echter Login statt.
Für die Umsetzung empfehlen wir einen vereinbarten Testzugang, begrenzte Rechte, einen zuständigen Ansprechpartner und einen dokumentierten Weg bei fehlender Anmeldung. Prüfen Sie erlaubte und absichtlich gesperrte Aktionen. Zusätzliche Administratorrechte sind kein Ersatz für die Klärung, welche Tätigkeit eine Person tatsächlich ausführen soll.
Halten Sie Befunde, umgesetzte Maßnahmen und offene Punkte getrennt fest. Die Wiederherstellung ergänzt den Kontenschutz: Sie zeigt an einer vereinbarten Stichprobe, ob Daten zurückgeholt und genutzt werden können. Weder ein erfolgreicher Login noch ein einzelner Restore-Test bedeutet vollständige Sicherheit. Umfang, Abnahme und laufende Prüfroutine werden für die vorhandene Umgebung vereinbart.
Die Quellen erläutern die jeweils genannten Grundlagen. Die vorgeschlagenen Abläufe und Abnahmepunkte sind Praxisempfehlungen von BetriebsIT. Beschriebene Beispiele sind keine nachgewiesenen Kundenergebnisse.
MFA ergänzt die Anmeldung um einen weiteren Nachweis. Die konkrete Einrichtung und verfügbare Richtlinien hängen vom Microsoft-365-Tenant und den Lizenzen ab.
Microsoft beschreibt einen gesonderten Sicherungs- und Wiederherstellungsdienst für unterstützte Microsoft-365-Daten. Abdeckung und Kosten sind produktabhängig.
MFA fordert bei der Anmeldung einen zusätzlichen Identitätsnachweis. Die Berechtigung für eine bestimmte Tätigkeit muss ebenfalls passend eingerichtet sein.
Die Empfehlungen dieses Ratgebers wurden mit diesen offiziellen Materialien abgeglichen. Herstellerangaben gelten jeweils für die dort genannten Produkte und Tarife.
Offizielle BSI-Handreichung zu Backups, Updates, Zuständigkeiten und grundlegender IT-Sicherheitsvorsorge in kleinen und mittleren Unternehmen.
Offizielle Quelle öffnen Bundesamt für Sicherheit in der Informationstechnik (BSI)Zwei-Faktor-AuthentisierungDas BSI erklärt zusätzliche Anmeldefaktoren und empfiehlt deren Einsatz für wichtige Onlinekonten.
Offizielle Quelle öffnen Bundesamt für Sicherheit in der Informationstechnik (BSI)Back-up: Doppelt gesichert hält besserOffizielle BSI-Hinweise zu Backup-Plan, regelmäßiger Sicherung und Auswahl der zu sichernden Daten.
Offizielle Quelle öffnen Bundesamt für Sicherheit in der Informationstechnik (BSI)10 Tipps zur Cyber-Sicherheit für UnternehmenKompakte BSI-Empfehlungen zu Zuständigkeiten, Updates, Zugangsschutz, Datensicherung und Vorbereitung auf Sicherheitsvorfälle.
Offizielle Quelle öffnenBeginnen Sie mit E-Mail, Microsoft 365 oder anderer Cloud, Banking, Website-Administration und Passwortmanager. Diese Zugänge können weitere Konten oder zentrale Geschäftsdaten öffnen und haben deshalb die höchste Priorität.
Entscheidend ist, ob Umfang, Aktualität, Aufbewahrung und Wiederherstellung nachvollziehbar sind. Ein dokumentierter Restore-Test zeigt, ob die Sicherung im Ernstfall tatsächlich nutzbar ist.
Nein. Standardkonten reichen für den Arbeitsalltag. Administrative Rechte sollten getrennt, persönlich zugeordnet und nur für konkrete Aufgaben eingesetzt werden.
Für viele kleine Betriebe ist es eine Bestandsaufnahme von Konten, Geräten, Rechten, MFA und Backups mit klarer Prioritätenliste. Daraus entsteht ein begrenzter Maßnahmenplan statt eines unübersichtlichen Großprojekts.
Der Digital-Check zeigt erste Prioritäten für Ihre IT-Sicherheit.
