Sieben Mythen zur IT-Sicherheit im Mittelstand und was wirklich stimmt
Wir sind zu klein, wir haben Antivirus, die Cloud macht das schon: sieben verbreitete Irrtümer zur Cybersicherheit kleiner Unternehmen und wie Sie sie korrigieren.
Viele kleine und mittlere Unternehmen verlassen sich auf Annahmen, die sich gut anfühlen, aber nicht tragen: „Uns greift niemand an“, „Wir haben ja Antivirus“, „Das macht unser IT-Betreuer“. Dieser Beitrag nennt sieben Mythen und erklärt, was dahintersteckt und welche Maßnahmen sich wirklich lohnen. Wo Aussagen von der Größe oder Branche abhängen, ist das vermerkt.
Mythos 1: „Wir sind zu klein, uns greift niemand an“
Was stimmt: Viele Angriffe sind ungezielt und automatisiert. Angreifer suchen nach offenen Zugängen, schwachen Passwörtern und ungepatchten Systemen im Internet, nicht nach bestimmten Firmen. Auch kleine Unternehmen haben Daten, Geld und Kunden, die für Kriminelle interessant sind. Zudem dienen kleine Betriebe manchmal als Sprungbrett zu größeren Partnern. Die Größe schützt nicht, die Basishygiene schon.
Mythos 2: „Wir haben Antivirus, das reicht“
Was stimmt: Klassische Virenscanner erkennen bekannte Schadsoftware. Moderne Angriffe nutzen aber oft legitime Werkzeuge, gestohlene Zugangsdaten und Phishing. Schutz besteht aus mehreren Schichten: aktuelle Software, Mehr-Faktor-Authentifizierung, Rechtebeschränkung, Datensicherung, Erkennung und Reaktion. Eine Ergänzung durch Überwachung kann sinnvoll sein, siehe Managed SOC und MDR: Kostenmodelle.
Mythos 3: „Die Cloud ist automatisch sicher“
Was stimmt: Cloud-Anbieter sichern ihre Infrastruktur, Sie bleiben aber für Konfiguration, Zugriffsrechte und Daten verantwortlich. Das nennt man geteilte Verantwortung. Häufige Vorfälle entstehen durch offen konfigurierte Speicher, fehlende Mehr-Faktor-Authentifizierung und zu weite Berechtigungen. Prüfen Sie, welche Aufgaben beim Anbieter liegen und welche bei Ihnen.
Mythos 4: „Das macht unser IT-Betreuer“
Was stimmt: Ein IT-Betreuer sorgt für Betrieb und Funktion. Informationssicherheit ist eine Aufgabe der Geschäftsleitung, die Verantwortliche benennt, Risiken bewertet und Ressourcen bereitstellt. Zudem sollte, wer Systeme betreibt, nicht allein deren Sicherheit bewerten. Eine unabhängige Prüfung ergänzt den Betrieb, siehe Cybersecurity Dienstleister im Vergleich.
Mythos 5: „Ein Pentest macht uns sicher“
Was stimmt: Ein Penetrationstest ist eine Momentaufnahme. Er findet Schwachstellen im vereinbarten Umfang, beweist aber nicht, dass keine weiteren existieren, und verliert nach Änderungen an Aussagekraft. Wirksam wird er durch die Behebung der Befunde. Mehr dazu im Beitrag Schwachstellenscan oder Pentest.
Mythos 6: „Sicherheit ist teuer und lohnt sich nicht“
Was stimmt: Viele wirksame Maßnahmen sind günstig oder kostenlos: Updates einspielen, Mehr-Faktor-Authentifizierung aktivieren, Administratorrechte begrenzen, Backups testen, Mitarbeitende sensibilisieren. Teuer wird es, wenn ein Vorfall eintritt. Ob eine Maßnahme wirtschaftlich ist, lässt sich mit einer einfachen Erwartungswertrechnung abschätzen.
Rechenbeispiel (illustrativ)
Ein Szenario mit 150.000 Euro Schaden und 4 Prozent jährlicher Wahrscheinlichkeit ergibt 6.000 Euro erwarteten Schaden pro Jahr. Senkt eine Maßnahme die Wahrscheinlichkeit auf 1 Prozent, sinkt der Erwartungswert auf 1.500 Euro. Der Nutzen beträgt 4.500 Euro jährlich. Kostet die Maßnahme 2.000 Euro im Jahr, bleibt ein Netto-Nutzen von 2.500 Euro. Die Wahrscheinlichkeiten sind Schätzungen und keine Statistiken für Ihr Unternehmen. Im Investitionsrechner können Sie eigene Annahmen testen.
Mythos 7: „Wir sind versichert, also ist alles abgedeckt“
Was stimmt: Eine Cyberversicherung kann finanzielle Folgen mildern, aber sie hat Bedingungen. Viele Policen verlangen Mindestmaßnahmen, etwa Mehr-Faktor-Authentifizierung, Datensicherung und Updates, und schließen bestimmte Schäden aus. Falsche Angaben im Antrag können zum Verlust des Schutzes führen. Versicherung ersetzt Vorsorge nicht. Lesen Sie die Bedingungen genau.
Übersicht: Mythen und Gegenmaßnahmen
| Mythos | Realität | Erste Maßnahme |
|---|---|---|
| Zu klein für Angriffe | Automatisierte Angriffe treffen alle | Updates, Passwörter, Mehr-Faktor-Authentifizierung |
| Antivirus reicht | Schutz braucht mehrere Schichten | Konzept aus Prävention, Erkennung, Backup |
| Cloud ist sicher | Geteilte Verantwortung | Konfiguration und Rechte prüfen |
| IT-Betreuer regelt alles | Aufgabe der Leitung | Verantwortliche benennen |
| Pentest macht sicher | Momentaufnahme | Befunde beheben, regelmäßig prüfen |
| Sicherheit ist zu teuer | Viele Maßnahmen sind günstig | Basismaßnahmen zuerst |
| Versicherung deckt alles | Bedingungen und Ausschlüsse | Police prüfen, Vorsorge nachweisen |
Die ersten sechs Schritte für Unternehmen ohne Sicherheitsteam
- Bestandsaufnahme: Welche Geräte, Konten, Dienste und Daten gibt es?
- Mehr-Faktor-Authentifizierung für E-Mail, Fernzugang und Administratorkonten.
- Updates automatisieren, besonders für Systeme mit Internetzugang.
- Datensicherung nach dem Prinzip mehrerer Kopien, mindestens eine offline oder unveränderbar, Wiederherstellung üben.
- Rechte begrenzen: Administratorkonten nur für Administration, nicht für die tägliche Arbeit.
- Mitarbeitende schulen: Kurze, regelmäßige Hinweise zu Phishing und Meldewegen.
Die Allianz für Cyber-Sicherheit und das BSI stellen dazu kostenlose Materialien bereit.
Woran Sie erkennen, ob Ihre Annahmen noch stimmen
Prüfen Sie einmal im Jahr, ob sich Ihre Lage verändert hat: Gibt es neue Cloud-Dienste, Homeoffice-Zugänge, Zulieferer mit Zugriff auf Ihre Systeme oder Kunden, die Nachweise verlangen? Jede dieser Veränderungen vergrößert die Angriffsfläche. Stellen Sie sich zudem drei einfache Fragen: Wüssten wir innerhalb eines Tages, wenn jemand in unserem Netz wäre? Könnten wir den Betrieb aus Datensicherungen wiederherstellen, und wie lange würde das dauern? Wer entscheidet im Ernstfall, und ist diese Person erreichbar? Können Sie eine dieser Fragen nicht beantworten, haben Sie einen konkreten Handlungsbedarf, der wichtiger ist als jede Produktentscheidung.
Wann Sie sich beraten lassen sollten
Wenn Sie regulierten Pflichten unterliegen, besonders sensible Daten verarbeiten oder Kundenanforderungen erfüllen müssen, sollten Sie eine unabhängige Beratung hinzuziehen. Mit der Checkliste vor der Beauftragung bereiten Sie das Gespräch vor.
Häufige Fragen
Womit sollte ein kleines Unternehmen anfangen?
Mit den Basismaßnahmen: Mehr-Faktor-Authentifizierung, Updates, getestete Backups, Rechtebeschränkung und Schulung. Sie sind meist wirksamer pro Euro als teure Spezialwerkzeuge.
Brauchen wir trotzdem einen Dienstleister?
Für Spezialwissen, Überwachung rund um die Uhr, Prüfungen und gesetzliche Pflichten oft ja. Für Grundmaßnahmen reicht häufig der IT-Betreuer mit klarem Auftrag.
Wie finde ich heraus, ob wir gefährdet sind?
Ein einfacher Schwachstellenscan der von außen erreichbaren Systeme und eine Gap-Analyse zeigen die größten Lücken. Ein Beratungsgespräch kann den Einstieg erleichtern.
Quellen und weiterführende Stellen
- Bundesamt für Sicherheit in der Informationstechnik (BSI) — Basismaßnahmen und Empfehlungen für kleine Unternehmen
- Allianz für Cyber-Sicherheit — Kostenlose Praxishilfen
- Gesamtverband der Deutschen Versicherungswirtschaft (GDV) — Informationen zu Cyberversicherung und Anforderungen
