IT-Sicherheit für kleine Unternehmen beginnt mit sechs Bausteinen: Zuständigkeit und Schulung, sichere Anmeldung, Datensicherung, Updates, Schutz vor Schadsoftware und ein abgesichertes Netzwerk. Laut Bitkom sehen 45 % der Unternehmen in Deutschland ihre Existenz durch Cyberangriffe bedroht.
Nach der Bitkom-Studie Wirtschaftsschutz 2026 waren 96 % der befragten Unternehmen von Datendiebstahl, Spionage oder Sabotage betroffen oder vermutlich betroffen. 76 % des Schadens entfallen auf Cyberangriffe, Ransomware verursachte bei 25 % der Unternehmen einen Schaden. Den größten Schutz für kleine Betriebe bringen Zwei-Faktor-Anmeldung, Updates, getrennt gelagerte Backups und geschulte Mitarbeitende. Für Unternehmen ab 50 Beschäftigten oder 10 Mio. € Umsatz in bestimmten Sektoren gilt seit Dezember 2025 zusätzlich NIS2.
Wie gefährdet sind kleine Unternehmen durch Cyberangriffe?
Kleine Unternehmen sind genauso Ziel wie große, weil die meisten Angriffe automatisiert nach Schwachstellen suchen. Die Bitkom-Studie Wirtschaftsschutz 2026 beziffert den Schaden für die deutsche Wirtschaft auf 211 bis 270,8 Mrd. € im Jahr, davon 76 % durch Cyberangriffe.
Bitkom Research hat für die Studie 1.003 Unternehmen ab 10 Beschäftigten und 1 Mio. € Jahresumsatz befragt, im Zeitraum von Mitte April bis Anfang Juni 2026. Kleinstbetriebe und Solo-Selbstständige sind also nicht enthalten; für sie gibt es keine vergleichbar große Erhebung.
| Angriffsart | Anteil der Unternehmen mit Schaden in 12 Monaten |
|---|---|
| Ransomware (Daten verschlüsselt, Lösegeld gefordert) | 25 % |
| Angriffe auf Passwörter | 18 % |
| Phishing | 16 % |
| DDoS (Server durch Anfragen lahmgelegt) | 15 % |
Quelle: Bitkom, Studienbericht Wirtschaftsschutz 2026 (September 2026).
Typische Einfallstore in kleinen Betrieben beschreibt der Beitrag IT-Sicherheit für KMU: 7 Schwachstellen beheben.
Welche Schutzmaßnahmen sind für kleine Unternehmen am wichtigsten?
Die wichtigsten Schutzmaßnahmen folgen den sechs Bereichen der DIN SPEC 27076, des Standards für den CyberRisikoCheck kleiner Unternehmen: Organisation und Sensibilisierung, Identitäten und Berechtigungen, Datensicherung, Updates, Schutz vor Schadprogrammen sowie IT-Systeme und Netzwerke. Die Reihenfolge unten ordnet sie nach Aufwand.
Der 6-Bausteine-Basisschutz übersetzt diese Bereiche in Aufgaben, die ein kleiner Betrieb ohne eigene IT-Abteilung umsetzen kann:
| Baustein | Mindestmaßnahme | Aufwand |
|---|---|---|
| 1. Sichere Anmeldung | Zwei-Faktor-Anmeldung für E-Mail, Banking, Cloud und Website; Passwortmanager | 1 Tag |
| 2. Updates | automatische Updates für Betriebssystem, Browser, Router und Website | halber Tag, danach monatlich prüfen |
| 3. Datensicherung | 3-2-1-Regel: drei Kopien, zwei Speicherarten, eine Kopie getrennt vom Netz | 1 Tag, Wiederherstellung vierteljährlich testen |
| 4. Schadsoftware | aktiver Virenschutz, keine Makros aus E-Mail-Anhängen, Arbeit ohne Administratorrechte | halber Tag |
| 5. Netzwerk | Router-Passwort ändern, Gast-WLAN für Besucher, Fernzugänge nur verschlüsselt | halber Tag |
| 6. Zuständigkeit und Schulung | eine verantwortliche Person, jährliche Schulung, Notfallplan auf Papier | 1 Tag, danach jährlich |
Die meisten Betriebe haben ein Backup, wenige haben es je zurückgespielt. Ein Backup, dessen Wiederherstellung nie getestet wurde, ist eine Annahme, keine Sicherung. Der Test dauert eine Stunde: einen Ordner und ein E-Mail-Postfach aus der Sicherung auf einen anderen Rechner zurückholen und prüfen, ob die Dateien sich öffnen lassen. Wer das einmal im Quartal macht, weiß im Ernstfall, wie lange der Betrieb stillsteht.
Wie schützt du dich vor Phishing und Betrug per E-Mail?
Gegen Phishing helfen Zwei-Faktor-Anmeldung, geschulte Mitarbeitende und feste Regeln für Zahlungen. Selbst ein erbeutetes Passwort reicht dann nicht für den Zugang, und eine angebliche Chef-Anweisung zur Überweisung wird über einen zweiten Kanal geprüft, etwa per Rückruf unter der bekannten Nummer.
Phishing-Mails wirken heute oft fehlerfrei. Laut Bitkom bemerken 82 % der befragten Unternehmen einen verstärkten Einsatz von KI bei Angriffen, etwa durch automatisch angepasste Versuche und täuschend echte Audio- und Videofälschungen. Rechtschreibfehler sind deshalb kein verlässliches Warnzeichen mehr.
Drei Regeln senken das Risiko im Alltag:
- Absender prüfen: Die tatsächliche Adresse hinter dem Anzeigenamen ansehen, Links vor dem Klick mit dem Mauszeiger prüfen.
- Zahlungen absichern: Neue oder geänderte Bankverbindungen nur nach Rückruf unter einer bereits bekannten Nummer übernehmen.
- Melden statt löschen: Verdächtige Mails an die verantwortliche Person weiterleiten, damit andere gewarnt werden.
Für die eigene Domain schützen die DNS-Einträge SPF, DKIM und DMARC davor, dass Fremde E-Mails in deinem Namen verschicken. Wie gefälschte Anrufe und Videos erkannt werden, beschreibt Deepfakes erkennen: Was Software kann und was nicht.
Wie sichert man Daten richtig?
Daten sichert man nach der 3-2-1-Regel: drei Kopien, auf zwei verschiedenen Speicherarten, davon eine außer Haus oder vom Netz getrennt. Die getrennte Kopie schützt vor Ransomware, die alle erreichbaren Laufwerke verschlüsselt, auch angeschlossene Festplatten und verbundene Cloud-Ordner.
Ein synchronisierter Cloud-Ordner ist kein Backup: Verschlüsselt eine Schadsoftware die Dateien auf dem Rechner, werden die verschlüsselten Versionen in die Cloud übertragen. Ein echtes Backup hält ältere Versionen vor, die sich nicht nachträglich überschreiben lassen.
Für kleine Betriebe hat sich eine einfache Aufteilung bewährt:
- Kopie 1: die Arbeitsdaten auf Rechner oder Server.
- Kopie 2: automatische tägliche Sicherung auf ein Netzlaufwerk (NAS) oder eine externe Festplatte.
- Kopie 3: verschlüsselte Sicherung bei einem Cloud-Anbieter mit Versionierung oder eine wöchentlich getauschte Festplatte, die außer Haus liegt.
Website, Online-Shop und E-Mail-Postfächer gehören in die Sicherung, weil sie oft beim Hoster liegen und dort nur kurz vorgehalten werden.
Was müssen kleine Unternehmen zu NIS2 wissen?
NIS2 ist eine EU-Richtlinie für Cybersicherheit, die in Deutschland seit dem 6. Dezember 2025 mit dem NIS2-Umsetzungsgesetz gilt. Betroffen sind Unternehmen ab 50 Beschäftigten oder 10 Mio. € Jahresumsatz in einem der 18 erfassten Sektoren. Die meisten Kleinstbetriebe fallen nicht darunter.
Wer betroffen ist, muss sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren, Risikomaßnahmen umsetzen und erhebliche Sicherheitsvorfälle melden. Die Meldung läuft gestuft: Frühwarnung innerhalb von 24 Stunden, Bericht nach 72 Stunden, Abschlussbericht nach einem Monat. Die Geschäftsleitung muss die Maßnahmen billigen, überwachen und an Schulungen teilnehmen.
Die Registrierungsfrist endete am 6. März 2026; das BSI hat eine Nachfrist bis 31. Juli 2026 gesetzt. Eine verspätete Registrierung ist weiterhin möglich, die fehlende Registrierung ist aber ein eigener Bußgeldtatbestand.
Auch wer selbst nicht unter NIS2 fällt, spürt die Regeln oft als Zulieferer: Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette berücksichtigen und fragen deshalb bei Dienstleistern nach Schutzmaßnahmen. Ob dein Betrieb erfasst ist, klärst du über die Betroffenheitsprüfung auf der Website des BSI. Dieser Beitrag ersetzt keine Rechtsberatung.
Was tun nach einem Cyberangriff?
Nach einem Cyberangriff gilt: betroffene Geräte vom Netz trennen, nicht ausschalten, Zuständige informieren und den Vorfall dokumentieren. Ausschalten kann Spuren im Arbeitsspeicher löschen. Danach folgen Passwortwechsel, Wiederherstellung aus dem Backup und gegebenenfalls Meldungen an Behörden.
Ein Notfallplan auf einer Seite Papier verhindert, dass im Ernstfall erst gesucht wird. Er enthält:
- Kontakte: IT-Dienstleister, Hoster, Bank, Versicherung, Polizei (Zentrale Ansprechstelle Cybercrime des Bundeslands).
- Erste Schritte: Netzwerkkabel ziehen, WLAN trennen, Uhrzeit und Beobachtungen notieren.
- Meldepflichten: Bei einer Datenschutzverletzung mit Risiko für Betroffene muss die Datenschutzaufsicht nach Art. 33 DSGVO innerhalb von 72 Stunden informiert werden.
- Wiederanlauf: Welche Systeme zuerst zurückkommen und wo das getrennte Backup liegt.
Laut Bitkom betraf etwa jeder fünfte erfolgreiche Angriff auch Dritte wie Kunden oder Lieferanten. Eine frühe, ehrliche Information der Partner verhindert, dass sich der Schaden ausbreitet.
Wie prüfst du den Stand der eigenen IT-Sicherheit?
Den Stand prüfst du mit dem CyberRisikoCheck nach DIN SPEC 27076: Ein Dienstleister geht in einem Interview von ein bis zwei Stunden 27 Anforderungen durch und liefert einen Bericht mit Risikoeinschätzung und priorisierten Maßnahmen. Der Check ist meist innerhalb von zwei Tagen abgeschlossen.
Als Selbsttest vorab eignet sich die Tabelle mit den sechs Bausteinen oben: Jeder Baustein ohne umgesetzte Mindestmaßnahme ist eine offene Baustelle. Bei Betrieben mit eigenem Server, Kassensystem oder vielen Arbeitsplätzen geht ein Security-Audit tiefer, wie Security-Audit 2026: IT-Infrastruktur professionell prüfen beschreibt.
Sichere Kommunikation ist ein eigener Baustein: Europäische E-Mail-Anbieter vergleicht Die 5 besten E-Mail-Anbieter außerhalb der USA 2026, Verschlüsselung für Dateien zeigt Age statt PGP: Wie moderne Verschlüsselung E-Mail-Komfort und Sicherheit vereinbart. Wer eine eigene Website betreibt, findet die Grundlagen zu Hosting und Updates im Leitfaden Website erstellen für Selbstständige.
💬 Meine Einschätzung
Bei IT-Sicherheit denken viele kleine Betriebe zuerst an teure Software. Die Bitkom-Zahlen zeigen ein anderes Bild: Die häufigsten Schäden entstehen durch Ransomware, Passwortangriffe und Phishing. Gegen alle drei helfen Maßnahmen, die wenig oder nichts kosten: Zwei-Faktor-Anmeldung, eine getrennte Sicherung und eine Regel für Überweisungen. Gleichzeitig liegt der Anteil der IT-Sicherheit am IT-Budget laut Bitkom im Schnitt bei 18 % und stagniert. Das Problem ist selten das Geld, sondern dass niemand im Betrieb die Aufgabe übernimmt. Deshalb steht in meinem Basisschutz die Zuständigkeit als eigener Baustein.
- Bitkom 2026: 96 % betroffen oder vermutlich betroffen, 45 % sehen ihre Existenz bedroht.
- Häufigste Schäden: Ransomware 25 %, Passwortangriffe 18 %, Phishing 16 %, DDoS 15 %.
- 6-Bausteine-Basisschutz: Anmeldung, Updates, Backup, Schadsoftware, Netzwerk, Zuständigkeit.
- Backup nach 3-2-1-Regel, Wiederherstellung vierteljährlich testen.
- NIS2 gilt seit 6. Dezember 2025 ab 50 Beschäftigten oder 10 Mio. € Umsatz in 18 Sektoren.
Häufige Fragen zur IT-Sicherheit in kleinen Unternehmen
Diese vier Fragen ergänzen die Kapitel um Punkte, die bei der Planung der IT-Sicherheit regelmäßig auftauchen.
Reicht ein kostenloser Virenschutz?
Für einzelne Rechner bietet der eingebaute Schutz aktueller Betriebssysteme eine Grundsicherung. Er ersetzt aber weder Updates noch Backups oder Zwei-Faktor-Anmeldung. Bei mehreren Arbeitsplätzen erleichtert eine zentral verwaltete Lösung die Kontrolle, ob alle Geräte geschützt sind.
Lohnt sich eine Cyberversicherung für kleine Betriebe?
Eine Cyberversicherung übernimmt je nach Vertrag Kosten für Wiederherstellung, Betriebsunterbrechung und Krisenhilfe. Versicherer verlangen meist Mindestmaßnahmen wie Backups und Zwei-Faktor-Anmeldung. Der Basisschutz ist deshalb Voraussetzung, keine Alternative zur Versicherung.
Muss ich als Solo-Selbstständiger etwas für IT-Sicherheit tun?
Ja. NIS2 gilt für Solo-Selbstständige in der Regel nicht, die DSGVO verlangt aber angemessene Schutzmaßnahmen für Kundendaten. Zwei-Faktor-Anmeldung, Updates und ein getrenntes Backup sind mit wenigen Stunden Aufwand umsetzbar.
Wer hilft nach einem Hackerangriff?
Erste Anlaufstellen sind der eigene IT-Dienstleister und die Zentrale Ansprechstelle Cybercrime der Polizei im jeweiligen Bundesland. Bei einer Cyberversicherung gehört deren Notfallnummer auf den Notfallplan, weil viele Verträge eine sofortige Meldung verlangen.
Quellen und weiterführende Literatur
Die Zahlen stammen aus der Bitkom-Studie Wirtschaftsschutz 2026, die Angaben zu NIS2 und zum CyberRisikoCheck aus Fachbeiträgen zum Gesetz und zum Standard. Stand der Recherche: Oktober 2026.
- Wirtschaftsschutz 2026: Studienbericht · bitkom.org · Befragung von 1.003 Unternehmen, Befragungszeitraum KW 16 bis KW 23 2026 (September 2026).
- NIS2-Umsetzungsgesetz in der Praxis · secjur.com · Schwellenwerte, Registrierung, Meldepflichten und Bußgelder nach BSIG.
- CyberRisikoCheck nach DIN SPEC 27076 · e-recht24.de · Ablauf, 27 Anforderungen und sechs Themenbereiche (08.04.2026).
- DIN SPEC 27076: IT-Sicherheitsberatung für Klein- und Kleinstunternehmen · dinmedia.de · Standard für den CyberRisikoCheck.