IT-Sicherheit für kleine Unternehmen: Warum 20 % Aufwand 80 % Schutz bringen

Stellen Sie sich folgendes Szenario vor: Montagmorgen in einer kleinen Praxis in Fürth. Die erste Patientin wartet schon, aber der Rechner an der Anmeldung zeigt nur eine Meldung: Alle Dateien verschlüsselt, Terminkalender weg, Abrechnungsdaten weg. Zahlung in Kryptowährung, sonst bleibt alles zu.

Kein spektakulärer Hackerangriff. Kein Geheimdienst, kein genialer Einbruch. Nur eine offene Tür, die seit Jahren niemand zugemacht hat – ein Rechner ohne aktuelle Updates, ein Passwort, das schon in drei Datenlecks aufgetaucht war, und ein Backup, von dem sich am Ende herausstellte, dass es seit Monaten nicht mehr lief.

Das Bittere daran: Die Tür zuzumachen hätte fast nichts gekostet.

„Wir sind doch viel zu klein, um interessant zu sein"

Diesen Satz höre ich in Gesprächen mit Inhabern kleiner Unternehmen in der Region Nürnberg, Fürth und Erlangen immer wieder. Und er klingt ja auch plausibel: Warum sollte sich jemand die Mühe machen, ausgerechnet einen Reinigungsbetrieb, eine kleine Kanzlei oder einen Handwerksbetrieb mit acht Mitarbeitern anzugreifen?

Die Antwort ist unbequem: Es macht sich niemand die Mühe. Die allermeisten Angriffe sind vollautomatisiert. Programme durchsuchen rund um die Uhr das Internet nach Systemen mit bekannten Schwachstellen – und greifen an, was sie finden. Ob dahinter ein Konzern steht oder ein Zwei-Personen-Büro, ist dem Programm egal.

Angreifer suchen sich nicht die wertvollsten Ziele. Sie suchen sich die einfachsten.

Und genau das ist – so seltsam es klingt – eine gute Nachricht. Denn es bedeutet: Sie müssen nicht unangreifbar sein. Sie müssen nur aufhören, ein einfaches Ziel zu sein. Und das ist deutlich günstiger, als die meisten denken.

Das Pareto-Prinzip der IT-Sicherheit

Vielleicht kennen Sie die 80/20-Regel aus anderen Bereichen: 20 % des Aufwands bringen 80 % des Ergebnisses. In der IT-Sicherheit gilt sie in bemerkenswerter Reinform.

Die überwältigende Mehrheit erfolgreicher Angriffe auf kleine Unternehmen nutzt immer dieselbe Handvoll Schwachstellen: veraltete Systeme, fehlende Updates, schwache oder mehrfach verwendete Passwörter, ungesicherte Fernzugänge, fehlende Backups. Keine Zauberei, keine Zero-Day-Exploits aus dem Hollywood-Film – nur die immergleichen offenen Türen.

Wer genau diese Türen schließt, ist besser geschützt als der Großteil der vergleichbaren Betriebe. Ohne neues Personal. Ohne monatelanges IT-Projekt. Und – das ist mir wichtig – ohne dass sich Ihr Arbeitsalltag spürbar verändert. Gute IT-Sicherheit merkt man im Alltag nämlich vor allem daran, dass man sie nicht merkt.

Die restlichen 20 % Schutz? Die werden teuer, aufwendig und sind für einen Betrieb mit fünf Mitarbeitern selten verhältnismäßig. Aber darum geht es hier auch nicht. Es geht um die 80 %, die günstig zu haben sind.

Die sechs Baustellen, die fast jeder kleine Betrieb hat

In den kommenden Wochen nehme ich hier im Blog jede dieser Baustellen einzeln unter die Lupe – mit konkreten Schritten, die Sie teilweise selbst umsetzen können. Hier der Überblick:

1. Windows 10 – das Betriebssystem ohne Zukunft

Seit Oktober 2025 bekommt Windows 10 keine kostenlosen Sicherheitsupdates mehr. Jede neu entdeckte Lücke bleibt damit dauerhaft offen. Trotzdem laufen in vielen Betrieben – auch hier in der Metropolregion Nürnberg – noch etliche Rechner damit. Wer darauf personenbezogene Daten verarbeitet, etwa Patienten- oder Mandantendaten, hat zusätzlich ein handfestes Datenschutzproblem. Der Umstieg ist überfällig, aber gut planbar.

2. Das Backup, das im Ernstfall nicht funktioniert

Die meisten Betriebe haben „irgendein Backup". Die wenigsten haben je ausprobiert, ob sich daraus tatsächlich etwas wiederherstellen lässt. Eine externe Festplatte, die dauerhaft am Rechner hängt, wird bei einem Verschlüsselungsangriff übrigens gleich mitverschlüsselt. Ein funktionierendes, getrenntes und getestetes Backup ist der Unterschied zwischen einem ärgerlichen Tag und einer Existenzbedrohung.

3. Passwörter und die fehlende zweite Hürde

„Firma2024!" ist kein Passwort, sondern eine Einladung. Das eigentliche Problem ist aber die Wiederverwendung: Ein einziges geleaktes Passwort öffnet dann gleich mehrere Konten. Die Lösung – Passwortmanager plus Zwei-Faktor-Authentifizierung – ist der günstigste Quick Win der gesamten Liste. Die Zwei-Faktor-Authentifizierung kostet in den meisten Fällen: nichts.

4. Updates, die auf „später" warten

Fast jeder erfolgreiche Angriff nutzt Sicherheitslücken, für die es längst einen Fix gab. Updates sind kostenloser Schutz, den Sie schon bezahlt haben – er muss nur ankommen. Der Trick ist nicht mehr Disziplin, sondern Automatisierung mit festen Zeitfenstern, damit das Update-Fenster nicht mitten in der Sprechstunde aufpoppt.

5. Der Router aus dem Gründungsjahr

Die Fritzbox in der Ecke tut seit Jahren klaglos ihren Dienst – und genau das ist das Problem. Veraltete Firmware, Portfreigaben von „damals, für das eine Programm", aktivierter Fernzugriff, Standardeinstellungen: Der Router ist die Haustür Ihres Unternehmens ins Internet, und bei vielen steht sie einen Spalt offen.

6. Ein Netz für alles und jeden

Das Kundentablet, die private Smartwatch, der Kartenleser, die Überwachungskamera und der Rechner mit den Buchhaltungsdaten – alle im selben WLAN, oft mit einem Passwort, das seit Jahren auf dem Whiteboard steht. Dabei kann schon eine einfache Trennung in Firmen- und Gästenetz, die fast jeder Router beherrscht, einen erheblichen Unterschied machen.

Der ehrliche Selbsttest

Sie müssen kein IT-Profi sein, um eine erste Standortbestimmung zu machen. Beantworten Sie diese Fragen ehrlich:

• Wissen Sie, auf welchen Ihrer Rechner noch Windows 10 läuft?
• Wurde Ihr Backup in den letzten sechs Monaten testweise wiederhergestellt?
• Verwenden Sie oder Ihre Mitarbeiter dasselbe Passwort für mehrere Dienste?
• Ist für Ihr E-Mail-Konto eine Zwei-Faktor-Authentifizierung aktiv?
• Werden Updates auf allen Geräten automatisch installiert – auch Browser und Office?
• Wann wurde zuletzt die Firmware Ihres Routers aktualisiert?
• Haben Gäste und Kunden Zugriff auf dasselbe WLAN wie Ihre Firmenrechner?
• Wüssten Sie, wen Sie anrufen, wenn morgen früh alle Bildschirme schwarz bleiben?

Wenn Sie bei mehr als zwei Fragen ins Grübeln kommen, sind Sie in guter Gesellschaft – so geht es vielen kleinen Betrieben. Der Unterschied liegt darin, was man daraus macht.

Vom Wissen zum Handeln – ohne Großprojekt

Einiges davon können Sie selbst angehen, und die kommenden Beiträge dieser Serie geben Ihnen dafür konkrete Anleitungen an die Hand. Anderes ist im Detail kniffliger, als es auf den ersten Blick wirkt – ein Backup ist schnell eingerichtet, aber ein Backup-Konzept, das im Ernstfall wirklich trägt, ist eine andere Liga.

Für eine systematische Standortbestimmung gibt es ein Werkzeug, das genau für Unternehmen wie Ihres gemacht wurde: den CyberRisikoCheck nach DIN SPEC 27076. Ein standardisiertes Verfahren, entwickelt für Betriebe mit weniger als 50 Mitarbeitern, das in wenigen Stunden ein klares Bild liefert – und als Ergebnis keinen hundertseitigen Bericht, sondern eine priorisierte Maßnahmenliste. Sozusagen das Pareto-Prinzip in Berichtform: Was bringt bei Ihnen konkret am meisten, und was kann warten.

Als IT-Dienstleister aus der Region Fürth, Nürnberg und Erlangen begleite ich kleine Unternehmen und Praxen genau auf diesem Weg – mit Fokus auf datenschutzkonforme, solide Lösungen ohne unnötigen Ballast. Wenn Sie wissen möchten, wo Ihr Betrieb steht: Kontaktieren Sie mich für ein unverbindliches Erstgespräch.

Oder lesen Sie erst einmal weiter: Im nächsten Beitrag geht es um das dringendste Thema der Liste – was das Support-Ende von Windows 10 für Ihr Unternehmen bedeutet und welche Wege jetzt offenstehen.

---

Diese Serie im Überblick:

1. IT-Sicherheit für kleine Unternehmen: Warum 20 % Aufwand 80 % Schutz bringen (dieser Beitrag)
2. Windows 10 ist tot – was das für Ihr Unternehmen bedeutet (folgt)
3. Das Backup, das Sie retten wird – oder auch nicht (folgt)
4. Ein Passwort, das Sie sich nicht merken können – und warum das gut so ist (folgt)
5. Updates: Die Schutzmaßnahme, die Sie schon bezahlt haben (folgt)
6. Die Fritzbox aus dem Gründungsjahr: Ihr Netzwerk in 90 Minuten sicherer (folgt)
7. Und jetzt? Vom Wissen zum Umsetzen (folgt)