Mobile-Menu

Informationssicherheit für mittelständische Unternehmen So erfüllen KMU neue Cybersecurity-Anforderungen

Ein Gastbeitrag von Janina Kiy 5 min Lesedauer

Anbieter zum Thema

Sector27 GmbH
Fsas Technologies GmbH
FAST LTA GmbH
FTAPI Software GmbH

Noch zu wenige KMU erfüllen alle notwendigen Anforderungen, um die Informationssicherheit umfassend zu gewährleisten. Zwar haben viele erste IT-Sicherheitsmaßnahmen umgesetzt und beziehen einzelne Dienstleistungen, doch ein Gesamtkonzept fehlt. Die Unternehmen laufen so Gefahr, Opfer von Datenmissbrauch zu werden oder regulatorische Strafen zu kassieren. Ein Leitfaden, worauf es für sie ankommt.

Die Lage im Cyberraum verschärft sich besonders für KMU. Einerseite technisch, durch KI-gestützte Angriffe, aber auch regulatorisch durch neue gesetzliche Vorgaben.(Bild: © Andrey Popov - stock.adobe.com)
Die Lage im Cyberraum verschärft sich besonders für KMU. Einerseite technisch, durch KI-gestützte Angriffe, aber auch regulatorisch durch neue gesetzliche Vorgaben.
(Bild: © Andrey Popov - stock.adobe.com)

2024 meldeten 74 Prozent und damit fast drei Viertel der deutschen Unternehmen einen Datendiebstahl. Das zeigt die Studie „Wirtschaftsschutz 2024“, für die der Bitkom stichprobenhaft 1.003 Betriebe mit über zehn Mitarbeitern und mindestens einer Million Euro Jahresumsatz befragt hat. Besonders kleine und mittlere Unternehmen (KMU) tun sich schwer, sich wirksam zu schützen. Es fehlen personelle und finanzielle Ressourcen für umfassende Sicherheitskonzepte oder gar Zertifizierungen wie ISO 27001 (Informationssicherheit).

Gleichzeitig professionalisieren sich Angreifer: Mit Künstlicher Intelligenz optimieren sie Phishing-Angriffe, entwickeln intelligente Malware und skalieren Social-Engineering-Angriffe. Nur mit weitreichenden Sicherheitsvorkehrungen können Unternehmen dem begegnen. Zudem verlangen längst auch externe Stellen wie Wirtschaftsprüfer, Versicherer und Banken zunehmend belastbare Nachweise für eine „gepflegte IT-Infrastruktur bzw. -Sicherheit“. Wer diese nicht vorweisen kann, riskiert Nachteile bei Finanzierung und Versicherungsschutz.

Und dann gibt es auch noch zahlreiche regulatorische Vorgaben, die KMU unter Handlungsdruck setzen. Die Anforderungen sind komplex, einfache „Checklisten“ gibt es nicht. Nur mit individuell passenden Maßnahmen gelingt es, eine vollumfängliche Informationssicherheit aufzubauen.

Audit als Basis: Schwachstellen erkennen, Risiken bewerten

Der erste Schritt zu einer umfassenden Informationssicherheit ist ein übergreifendes Sicherheitsaudit. (Bild: sector27 GmbH)
Der erste Schritt zu einer umfassenden Informationssicherheit ist ein übergreifendes Sicherheitsaudit.
(Bild: sector27 GmbH)

Der erste Schritt ist ein übergreifendes Sicherheitsaudit. Ziel ist es, bestehende IT-Systeme und -Prozesse systematisch auf Schwachstellen und mögliche Einfallstore zu prüfen. Zudem werden bestehende Prozesse und bisherige Schutzmaßnahmen dokumentiert. Zwar haben KMU oft bereits einzelne IT-Sicherheitsmaßnahmen umgesetzt, es gibt jedoch meist kein ganzheitliches Konzept. Beispielsweise ist eine Multi-Faktor-Authentifizierung (MFA) für Office 365 und den Passwortmanager eingeführt, es fehlen aber wirkungsvolle Schutzmaßnahmen für die API-Sicherheit oder den Zutritt für Fremde in ein Unternehmensgebäude.

Wichtig ist, dass das Audit nicht nur „klassische“ IT-Sicherheitsaspekte, sondern auch die Einhaltung aktueller oder nahender landes-, europaweiter oder branchenspezifischer Regulatorien berücksichtigt. Dazu zählen die europäische NIS-2-Richtlinie, die DSGVO oder der ab Ende 2027 geltende Cyber Resilience Act (Berichtspflicht schon ab September 2026). Mit der Verabschiedung von NIS-2 hat sich der Kreis der Unternehmen, die aufgrund ihres Schwellenwertes (Anzahl Mitarbeiter oder Jahresumsatz) oder ihrer Sektorentätigkeit ebenfalls verpflichtet sind, nochmals deutlich erweitert. KMU aus Bereichen wie Logistik, Energieversorgung oder Lebensmittelproduktion fallen nun unter die KRITIS-Regulierung und sind zur Umsetzung umfassender Sicherheitsmaßnahmen angehalten. Das KRITIS-Dachgesetz, das sich derzeit noch in der Entwurfsphase befindet, stellt nochmals weitere Anforderungen an die Unternehmen.

Für international tätige Unternehmen kommen zusätzlich länderspezifische Regularien ins Spiel, beispielsweise die GSGVO (Schweiz), der britische Data Protection Act oder Plattform­einschränkungen in China für zum Beispiel Microsoft Teams oder WhatsApp. All dies wird im Audit berücksichtigt, dessen Durchführung wenige Tage oder auch ein halbes Jahr dauern kann – je nach gewünschter Tiefe der „Lückenfüllung“.

Audit-Checkpoints für KMU

Diese Fragen sollte ein IT-Sicherheitsaudit beantworten:

  • Wo liegen technische Schwachstellen?
    → Bspw. fehlende Verschlüsselung, ungesicherte Schnittstellen (APIs), veraltete Systeme.
  • Sind physische Zutrittsregelungen definiert und kontrolliert?
    → Etwa für Dienstleister, Reinigungskräfte, Lieferanten.
  • Welche IT-Sicherheitsmaßnahmen sind dokumentiert – und funktionieren sie im Alltag?
  • Erfüllt das Unternehmen aktuelle Regulierungen?
    → DSGVO, NIS-2, Cyber Resilience Act, branchenspezifische Anforderungen.
  • Was gilt international?
    → Datenschutzvorgaben in anderen Ländern.
  • Wie gut ist das Unternehmen auf Meldepflichten vorbereitet?
    → Beispiel: Berichtspflichten aus dem Cyber Resilience Act ab 2026.

Informationssicherheit gewährleisten – mit gezielten Vorkehrungen

Im zweiten Schritt geht es darum, Dokumentations- und Sicherheitslücken mithilfe einer maßgeschneiderten Risikostrategie zu schließen. Halten die eingesetzten Schutzmechanismen bereits einer kritischen Überprüfung stand, beispielsweise durch einen externen Auditor? Sicherheitslösungen wie Firewalls, Antivirenprogramme oder Intrusion-Detection-Systeme (IDS) sind zwar wichtige Bausteine, reichen jedoch allein nicht aus.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Eine weitere wesentliche Säule ist die Kontrolle darüber, wer wann worauf zugreifen darf, um unbefugten Zugriff auf sensible Daten zu verhindern. Insbesondere hybride Arbeitsmodelle vergrößern die Angriffsfläche, weil Geräte wie Smartphones, Laptops oder Tablets standortunabhängig abgesichert sein müssen. Eine MFA und rollenbasierte Zugriffskontrollen stellen sicher, dass nur autorisierte Mitarbeiter Zugriff auf das Netzwerk erhalten; und auch nur auf die Systeme und Daten, die sie für ihre jeweilige Tätigkeit tatsächlich benötigen (Need-to-Know-Prinzip), beispielsweise Kundeninformationen für den Vertrieb oder Produktionsdaten für das technische Personal. Durch ein Single Sign-On (SSO) spart der Mitarbeiter zudem Zeit, weil er sich nicht für alle Systeme einzeln freischalten muss.

Technische Maßnahmen allein reichen jedoch nicht aus. Auch der physische Schutz der IT-Infrastruktur muss gewährleistet sein. Dazu gehört die Sicherung des Betriebsgeländes und besonders sensibler Bereiche wie Serverräume durch Stahltüren, Alarmanlagen oder Videoüberwachung. Auch müssen KMU regionale Begebenheiten, wie beispielsweise Hochwasserschutz in gefährdeten Gebieten, berücksichtigen.

Schlussendlich sind auch die eigenen Mitarbeiter ein oft unterschätzter Risikofaktor. Ob durch Unachtsamkeit, fehlende Sensibilisierung oder gezielte Social-Engineering-Angriffe – das menschliche Verhalten bleibt eines der größten Einfallstore für Cyberkriminelle. Das Risiko ist hoch, dass unwissentlich sensible Informationen preisgegeben werden. Daher sind regelmäßige Awareness-Schulungen, die auf reale Szenarien und aktuelle Bedrohungen eingehen, empfehlenswert.

Sicherheitsvorkehrungen für den Notfall

Selbst mit den besten Vorsorgemaßnahmen lässt sich ein Sicherheitsvorfall nicht vollständig ausschließen. Um im Ernstfall handlungsfähig zu bleiben, benötigen KMU ein durchdachtes Incident-Response-Management. Dazu zählen automatisierte Monitoring- und Alarmsysteme, die Auffälligkeiten in Echtzeit melden. Dienstleister bieten hierfür Managed-Security-Service-Modelle, damit sich das Unternehmen selbst auf sein Kerngeschäft konzentrieren kann. Zudem sollten Unternehmen klare personelle Zuständigkeiten definieren. Denn im Zweifelsfall muss es schnell gehen: Wer erst im Akutfall einen Krisennotfallplan aufsetzen will, riskiert weitere Datenverluste und Reputationsschäden. Zu empfehlen ist darüber hinaus die Zusammenarbeit mit IT-Forensik-Dienstleistern, um Cyberangriffe und (weitere) Sicherheitslücken schnellstmöglich aufarbeiten zu können.

Den richtigen Partner finden

KMU sehen sich mit einer Vielzahl von Anbietern und Lösungen konfrontiert, die Datenschutz, IT-Security oder Compliance abdecken. Die Herausforderung besteht darin, aus diesem Angebotsdschungel diejenigen Partner auszuwählen, die ganzheitliche und wirtschaftlich tragfähige Sicherheitskonzepte bieten. Bei Bedarf sollte ein Partner zudem auch bei notwendigen Zertifizierungen unterstützen, was besonders für KRITIS-Unternehmen von hoher Bedeutung ist. Gleichzeitig ist es wichtig, dass sich der IT-Aufwand personell und finanziell für das Unternehmen selbst in Grenzen hält, damit es sich ganz auf sein Kerngeschäft konzentrieren kann.

Fazit: Informationssicherheit strategisch angehen, statt punktuell reagieren

Die Lage im Cyberraum verschärft sich – technisch durch KI-gestützte Angriffe, regulatorisch durch neue gesetzliche Vorgaben. KMU stehen damit vor der Herausforderung, mit finanziell und personell begrenzten Ressourcen ihre IT-Systeme umfassend abzusichern und Compliance-Anforderungen effizient zu erfüllen. Einzelmaßnahmen reichen dafür oft nicht aus. Gefragt ist ein integrierter Sicherheitsansatz, der technische Schutzmaßnahmen und rechtliche Anforderungen strategisch miteinander verzahnt. Wer jetzt in strukturierte Audits, zielgerichtete Maßnahmenplanung und verlässliche Partner investiert, schafft nicht nur Sicherheit, sondern auch Zukunftsfähigkeit – und schützt sich vor finanziellen, operativen und Reputationsrisiken.

Über die Autorin: Janina Kiy ist Expertin für Informationssicherheit und stellvertretende Informationssicherheitsbeauftragte bei sector27. Als Compliance-Beauftragte hat sie das Team eGRC (external Governance, Risk & Compliance) bei dem international tätigen IT-Dienstleister aufgebaut und begleitet Unternehmen bei der Umsetzung von IT-Sicherheitsstrategien bis hin zur Zertifizierung nach ISO 27001.

(ID:50496833)

Weiterführende Inhalte