Computer-Security durch die Cloud

Viele kleine und mittlere Unternehmen betreiben ihre IT nebenbei: ein Admin in Teilzeit, ein externer Bekannter für Notfälle, ansonsten läuft es irgendwie. Für einen belastbaren IT-Grundschutz reicht das selten. Dieser Leitfaden zeigt Schritt für Schritt, wie Sie IT-Sicherheit für Ihr KMU aufbauen, auch ohne eigene Sicherheitsabteilung.

Warum gerade KMU im Fadenkreuz stehen

Kleine und mittlere Unternehmen gelten Angreifern als lohnendes Ziel, weil sie oft schlechter geschützt sind als Konzerne. Laut dem BSI-Lagebericht 2025 betrafen rund 80 Prozent der gemeldeten Angriffe – darunter Ransomware – kleine und mittlere Unternehmen. Häufig fehlen eigene Security-Ressourcen, um Angriffe früh zu erkennen und einzudämmen.

Die Datenlage bestätigt die Lücke: In seiner Studie zur IT-Sicherheit in KMU stellt das BSI (Bundesamt für Sicherheit in der Informationstechnik) fest, dass im Durchschnitt nur rund zwei Drittel der am IT-Grundschutz orientierten Sicherheitsmaßnahmen tatsächlich umgesetzt werden. Das verbleibende Drittel ist genau die Angriffsfläche, über die Vorfälle passieren.

Hinzu kommt regulatorischer Druck. Das NIS2-Umsetzungsgesetz gilt in Deutschland seit Dezember 2025 und verpflichtet Unternehmen ab 50 Beschäftigten oder 10 Millionen Euro Umsatz in einem der 18 regulierten Sektoren zu Risikomanagement und Meldepflichten. Nach Schätzung der IHK sind rund 30.000 Unternehmen betroffen. Wer bislang keine Struktur für IT-Sicherheit hatte, muss sie jetzt aufbauen – idealerweise nach den Bausteinen des IT-Grundschutzes des BSI.

Der Grundschutz in sieben Schritten

Ein solider Basisschutz braucht kein sechsstelliges Budget, sondern Konsequenz. Arbeiten Sie die folgenden Schritte der Reihe nach ab – jeder einzelne senkt Ihr Risiko spürbar, und keiner setzt eine große Abteilung voraus. Wichtig ist die Reihenfolge: Ohne Inventar und Backups nützt der beste Endpoint-Schutz wenig, weil Sie im Ernstfall weder wissen, was betroffen ist, noch sauber wiederherstellen können.

Schritt 1: Inventar und Verantwortlichkeiten

Sie können nur schützen, was Sie kennen. Erfassen Sie alle Geräte, Konten und eingesetzten Programme in einer Liste und legen Sie fest, wer wofür zuständig ist. Ohne dieses Inventar bleiben vergessene Alt-Rechner und verwaiste Zugänge dauerhaft offene Türen.

Schritt 2: Updates konsequent einspielen

Die meisten Angriffe nutzen bekannte Lücken, für die längst ein Patch existiert. Aktivieren Sie automatische Updates für Betriebssysteme und Anwendungen und prüfen Sie regelmäßig, ob sie auch auf allen Geräten ankommen. Ein zentrales Patch-Management nimmt Ihnen diese Kontrolle ab und dokumentiert zugleich, welcher Rechner auf welchem Stand ist – das brauchen Sie ohnehin für den NIS2-Nachweis. Besonders kritisch sind Router, Firewalls und Server, die selten neu gestartet werden und deshalb gern durch das Update-Raster fallen.

Schritt 3: Backups nach der 3-2-1-Regel

Drei Kopien Ihrer Daten, auf zwei verschiedenen Medien, eine davon außer Haus und offline. Testen Sie die Wiederherstellung mindestens quartalsweise. Ein Backup, das im Ernstfall nicht zurückspielbar ist, ist kein Backup. Gerade gegen Ransomware ist das saubere Offline-Backup die wichtigste Versicherung.

Schritt 4: Multi-Faktor-Authentifizierung überall

Passwörter allein reichen nicht. Aktivieren Sie MFA für E-Mail, Cloud-Dienste und Fernzugriffe. Der zweite Faktor stoppt den Großteil der Angriffe, die auf gestohlenen Zugangsdaten beruhen – mit überschaubarem Aufwand.

Schritt 5: Endpoint-Schutz und EDR

Klassischer Virenschutz erkennt bekannte Schadsoftware. Eine EDR-Lösung (Endpoint Detection and Response) geht weiter und meldet verdächtiges Verhalten, bevor daraus ein Vorfall wird. Auf Notebooks im Homeoffice und mobilen Geräten ist dieser Schutz besonders wichtig.

Schritt 6: Menschen sensibilisieren

Phishing bleibt das häufigste Einfallstor. Kurze, regelmäßige Schulungen und klare Meldewege für verdächtige Mails wirken mehr als jede Technik allein. Machen Sie es Ihren Leuten leicht, im Zweifel nachzufragen, statt zu klicken.

Schritt 7: Notfallplan schreiben

Legen Sie schriftlich fest, wen Sie im Ernstfall anrufen, welche Systeme Sie zuerst trennen und wie Sie kommunizieren. Ein Plan, der erst während des Angriffs entsteht, kostet wertvolle Stunden. Ein Blatt Papier im Ordner reicht als Start.

Grundschutz ohne eigene Sicherheitsabteilung umsetzen

Die sieben Schritte sind machbar – aber sie fortlaufend zu betreiben, kostet Zeit und Fachwissen, das viele Mittelständler intern nicht vorhalten. Genau hier setzt das Modell IT-als-Service an: Sie beziehen IT-Sicherheit und Grundschutz für Ihr KMU als Paket, statt jeden Baustein selbst zu bauen. Ein Anbieter wie kjello bündelt Geräte-Management, Identitäten, Endpoint-Schutz, Backup und Support in einem Portal und stellt das dahinterliegende Systemhaus für die Fälle bereit, die ein Skript nicht löst.

kjello ist die IT-Abteilung als Service für den Mittelstand — ein Self-Service-Portal für On-/Offboarding, Geräte-Management und IT-Support, betrieben vom Hamburger Systemhaus hagel IT (seit 2004). Der Grundschutz steckt dabei in der Architektur: zentrales Geräte- und Software-Inventar, Accounts mit sauberem On- und Offboarding, deutsches Hosting und ein DSGVO-konformer Betrieb. Der KI-gestützte Erstsupport (L0) liefert im Schnitt in vier Minuten eine erste Reaktion, komplexere Fälle übernehmen L2 und L3 im Systemhaus.

Wichtig für eine ehrliche Einordnung: Dieses Modell ist auf den deutschen Mittelstand mit 20 bis 250 Mitarbeitenden zugeschnitten – nicht auf Konzerne mit eigener großer IT-Abteilung und auch nicht auf reine Cloud-only-Startups ohne Betreuungsbedarf. Für die Zielgruppe dazwischen ist der Festpreis der eigentliche Hebel: Sicherheit wird zur planbaren Position, nicht zum Überraschungsposten.

Häufige Fragen