46 % aller Cyberangriffe treffen KMU. Trotzdem denken viele Mittelständler: „Wir sind zu klein, uns greift niemand an.“ Ein gefährlicher Irrtum. Angreifer suchen nicht nach großen Zielen — sie suchen nach einfachen. Und ein Unternehmen ohne Passwort-Manager, ohne aktuelle Updates und ohne Backup-Strategie ist genau das: ein einfaches Ziel. Der durchschnittliche Schaden pro Angriff liegt bei 200.000 Euro. Dieser Leitfaden zeigt Ihnen die häufigsten Bedrohungen — und wie Sie sich mit überschaubarem Aufwand wirksam schützen.
1. Die 5 häufigsten Bedrohungen
Welche Angriffsvektoren treffen den Mittelstand am häufigsten — und warum sie funktionieren. Wer die Einfallstore kennt, kann sie gezielt schließen.
Phishing
90 % aller Angriffe starten per E-Mail. Gefälschte Absender, täuschend echte Layouts. Ein Klick reicht — und der Angreifer hat Zugang zu Ihrem System. Besonders gefährlich: gezielte Spear-Phishing-Mails an Geschäftsführer (CEO Fraud).
Ransomware
Verschlüsselt alle Dateien auf Ihrem Server. Lösegeldforderung folgt — oft sechsstellig. Ohne funktionierendes Backup stehen viele Unternehmen vor dem Aus. Im Schnitt dauert die Wiederherstellung 23 Tage.
Schwache Passwörter
„123456“ ist immer noch unter den Top 3. Viele Mitarbeiter verwenden dasselbe Passwort für E-Mail, ERP und Cloud. Ein einziger Leak reicht, um Zugang zu allem zu bekommen.
Veraltete Software
Ungepatchte Systeme sind offene Türen. Sicherheitslücken werden oft Wochen nach Bekanntwerden noch nicht geschlossen. Besonders kritisch: alte Windows-Server, veraltete PHP-Versionen und ungepflegte Plugins.
Insider-Bedrohungen
Ehemalige Mitarbeiter mit noch aktiven Zugängen. Fehlende Zugriffsbeschränkungen. Ein enttäuschter Mitarbeiter, der vor dem Ausscheiden Daten kopiert. Unterschätzt und schwer zu erkennen.
2. IT-Sicherheit in Zahlen
Die Datenlage ist eindeutig: Cyberangriffe sind kein abstraktes Risiko, sondern ein konkretes, teures Geschäftsrisiko für den Mittelstand.
3. Die 10 wichtigsten Maßnahmen
Von der Quick-Win-Lösung bis zum umfassenden Sicherheitskonzept — geordnet nach Wirksamkeit. Die ersten fünf Punkte schützen am meisten bei geringstem Aufwand.
Passwort-Manager einführen
Für alle Mitarbeiter. Keine Wiederverwendung. Tools wie Bitwarden (Open Source) oder 1Password sind in 30 Minuten eingerichtet. Kosten: ab 3 € pro Nutzer und Monat. Wirkung: enorm.
Zwei-Faktor-Authentifizierung aktivieren
Überall wo möglich — E-Mail, Cloud, ERP, Banking. Selbst wenn ein Passwort gestohlen wird, kommt der Angreifer ohne den zweiten Faktor nicht rein. Microsoft Authenticator oder TOTP-Apps sind kostenfrei.
Tägliche Backups — automatisch und getestet
Automatisiert, verschlüsselt, an einem zweiten Standort. Und das Wichtigste: regelmäßig die Wiederherstellung testen. Ein Backup das nicht funktioniert ist kein Backup. Folgen Sie der 3-2-1-Regel: 3 Kopien, 2 Medien, 1 extern.
Updates sofort einspielen
Nicht „morgen“. Nicht „nach dem Projekt“. Sofort. Aktivieren Sie automatische Updates wo möglich. Für Server: einen festen Patch-Day pro Woche einrichten (z. B. Mittwochmorgen).
Firewall und Antivirus — zentral verwaltet
Auf jedem Gerät. Nicht nur auf dem Server. Nutzen Sie eine zentrale Management-Konsole (z. B. Sophos Central, ESET Protect), damit Sie den Status aller Geräte im Blick haben. Endpoints sind die häufigsten Einfallstore.
Mitarbeiter schulen — vierteljährlich
Phishing erkennen, sichere Passwörter nutzen, verdächtige Anhänge melden. Machen Sie es praxisnah: simulierte Phishing-Mails zeigen, wer aufmerksam ist und wer Nachschulung braucht. 15 Minuten pro Quartal reichen.
Zugänge beschränken (Least Privilege)
Jeder sieht nur, was er für seine Arbeit braucht. Der Praktikant braucht keinen Admin-Zugang. Der Vertriebler braucht keinen Server-Zugriff. Beim Ausscheiden: Zugänge sofort sperren — nicht erst wenn die IT Zeit hat.
E-Mail-Filter und Spam-Schutz
Spam und Phishing automatisch erkennen, bevor sie im Postfach landen. Microsoft 365 hat guten integrierten Schutz. Für extra Sicherheit: zusätzlich Hornetsecurity oder Proofpoint vorschalten.
Notfallplan erstellen
Wer macht was, wenn es passiert? Schriftlich festhalten. An einem Ort der auch bei Systemausfall erreichbar ist (ausgedruckt!). Telefonnummern, Zuständigkeiten, Schritte. Einmal jährlich üben.
Cyberversicherung abschließen
Ab 10 Mitarbeitern empfehlenswert. Deckt Schäden durch Angriffe, Betriebsunterbrechung und Haftpflicht. Kosten: ab 500 € pro Jahr. Wichtig: Versicherer prüfen Ihre Maßnahmen — ohne Basisschutz gibt es keinen Vertrag.
Wer Passwort-Manager und Zwei-Faktor-Authentifizierung bereits nutzt, geht mit Single Sign-On einen Schritt weiter: Mitarbeiter melden sich einmal zentral an, statt Zugänge für jedes System einzeln zu verwalten. Wie Sie Single Sign-On im Mittelstand einführen, zeigt unser separater Leitfaden.
4. Was kostet IT-Sicherheit?
Orientierungswerte für ein Unternehmen mit 10–50 Mitarbeitern. Die Priorität zeigt, womit Sie zuerst beginnen sollten.
| Maßnahme | Kosten | Intervall | Priorität |
|---|---|---|---|
| Passwort-Manager | 3–5 €/Nutzer | Monatlich | Kritisch |
| Firewall + Antivirus | 50–200 € | Monatlich | Kritisch |
| Backup-Lösung | 30–150 € | Monatlich | Kritisch |
| E-Mail-Security | 2–5 €/Nutzer | Monatlich | Hoch |
| Mitarbeiterschulung | 500–2.000 € | Jährlich | Hoch |
| Sicherheitskonzept | 2.000–10.000 € | Einmalig | Mittel |
| Cyberversicherung | ab 500 € | Jährlich | Mittel |
Summe Basisschutz: ca. 150–500 € pro Monat für 20 Mitarbeiter. Vergleich: ein erfolgreicher Ransomware-Angriff kostet durchschnittlich 200.000 €.
5. Schnellcheck: Wie sicher sind Sie?
Beantworten Sie diese 7 Fragen ehrlich. Jedes „Nein“ ist ein konkretes Risiko, das Sie schließen sollten.
- Nutzen alle Mitarbeiter einen Passwort-Manager?
- Ist Zwei-Faktor-Authentifizierung für E-Mail und Cloud aktiviert?
- Werden Backups täglich erstellt und regelmäßig getestet?
- Werden Sicherheitsupdates innerhalb von 48 Stunden eingespielt?
- Wurden Mitarbeiter in den letzten 6 Monaten zu Phishing geschult?
- Werden Zugänge ehemaliger Mitarbeiter sofort gesperrt?
- Existiert ein schriftlicher Notfallplan für Cyberangriffe?
7/7? Sehr gut. Sie gehören zur Minderheit. 4–6? Guter Anfang — priorisieren Sie die offenen Punkte. 0–3? Handeln Sie jetzt. Jeder Tag ohne Schutz ist ein Risiko.
6. Fazit: Sicherheit ist ein System, kein Produkt
IT-Sicherheit ist kein einzelnes Produkt, das Sie kaufen und vergessen — sondern ein System aus Technik, Prozessen und geschulten Menschen. Die gute Nachricht: Mit Passwort-Manager, Zwei-Faktor-Authentifizierung, getesteten Backups und regelmäßigen Updates haben Sie die größten Hebel bereits in der Hand. Der Aufwand ist überschaubar, der Schutz wirksam. Und für Unternehmen in den 18 regulierten Sektoren sind viele dieser Maßnahmen seit Dezember 2025 sogar gesetzliche Pflicht — ob Ihr Betrieb dazugehört, klärt unser NIS-2-Betroffenheits-Check mit allen Pflichten.
Den technischen Unterbau dafür liefern eine saubere Server- und Webhosting-Infrastruktur, eine abgesicherte Office-365-Umgebung und ein verlässliches JTL Cloud Hosting. Gerne analysieren wir Ihre Infrastruktur und zeigen konkrete Schwachstellen — die Erstberatung ist kostenfrei und unverbindlich.
Sichere Zugriffsrechte und saubere Schnittstellen werden auch rechtlich relevanter: Der EU Data Act verlangt für vernetzte Produkte und Cloud-Dienste einen geregelten, technisch abgesicherten Datenzugang — ein weiterer Grund, Berechtigungen und Datenflüsse jetzt sauber zu dokumentieren. Und wer Software oder vernetzbare Geräte herstellt, importiert oder im Sortiment führt, bekommt mit dem Cyber Resilience Act ab September 2026 zusätzlich produktbezogene Cybersicherheits-Pflichten.
7. Häufige Fragen zur IT-Sicherheit im Mittelstand
Was kostet IT-Sicherheit für KMU?
Basis-Maßnahmen kosten 50–200 € monatlich. Ein professionelles Sicherheitskonzept kostet 2.000–10.000 € einmalig. Das klingt nach viel — ist aber ein Bruchteil der Kosten eines erfolgreichen Angriffs.
Welche Bedrohung ist am häufigsten?
Phishing. 90 % aller Cyberangriffe starten mit einer E-Mail. Der Grund: Es ist billig, skalierbar und funktioniert — weil Menschen Fehler machen. Schulungen und E-Mail-Filter sind der beste Schutz.
Reicht eine Firewall als Schutz?
Nein. Eine Firewall schützt den Netzwerk-Perimeter, aber die meisten Angriffe kommen per E-Mail oder über kompromittierte Zugangsdaten. Sie brauchen zusätzlich Endpoint-Schutz, Backups, Schulungen und Patch-Management.
Wie oft sollten Backups erstellt werden?
Täglich — mindestens. Kritische Datenbanken stündlich. Und mindestens einmal pro Quartal die Wiederherstellung testen. Die 3-2-1-Regel: 3 Kopien, 2 verschiedene Medien, 1 an einem anderen Standort.
Brauche ich eine Cyberversicherung?
Ab 10 Mitarbeitern empfehlenswert. Sie deckt Schäden, Betriebsunterbrechung und Haftpflicht. Aber: Versicherer prüfen, ob Sie grundlegende Maßnahmen umgesetzt haben. Ohne Basisschutz gibt es keinen Vertrag — oder nur zu horrenden Prämien.