IT-Sicherheit galt lange als rein technisches Thema. Firewalls, Passwörter, Updates und Backups wurden an externe Dienstleister oder interne IT-Verantwortliche delegiert.
Die Geschäftsleitung hatte damit wenig Berührungspunkte – solange Systeme liefen und keine offensichtlichen Probleme auftraten. Diese Sichtweise funktioniert heute nicht mehr.
Digitale Prozesse sind zum Rückgrat moderner Unternehmen geworden. E-Mail, Website, Cloud-Dienste, Kundendaten und Online-Kommunikation bilden die Grundlage für Vertrieb, Kundenkontakt und zahlreiche interne Abläufe.
Entsprechend gravierend können die Folgen sein, wenn diese Systeme ausfallen oder kompromittiert werden. IT-Sicherheit ist damit nicht mehr nur eine technische Frage, sondern ein Bestandteil der Unternehmensführung.
IT-Sicherheit ist ein Geschäftsrisiko
Für die Geschäftsleitung ist nicht entscheidend, welche Firewall-Regel gesetzt oder welche Softwareversion installiert wird.
Entscheidend sind die möglichen Auswirkungen:
- Kann das Unternehmen bei einem IT-Ausfall weiterarbeiten?
- Was passiert, wenn geschäftliche E-Mail ausfällt?
- Wie kritisch wäre der Verlust von Kunden- oder Unternehmensdaten?
- Wie schnell könnten Systeme wiederhergestellt werden?
- Wer entscheidet und handelt bei einem Sicherheitsvorfall?
Damit wird IT-Sicherheit zu einer klassischen unternehmerischen Risikofrage.
Die technische Umsetzung kann delegiert werden. Die Entscheidung, welches Risiko ein Unternehmen akzeptiert, kann die Geschäftsleitung jedoch nicht vollständig delegieren.
Warum KMU für Angreifer interessant sind
Cyberangriffe treffen längst nicht nur Banken, Konzerne oder öffentliche Institutionen.
Auch kleine und mittlere Unternehmen sind attraktive Ziele. Sie verfügen über verwertbare Informationen, arbeiten mit Zahlungsdaten und Rechnungen und besitzen Zugänge zu zahlreichen digitalen Diensten.
Gleichzeitig sind Sicherheitsstrukturen bei KMU häufig weniger ausgeprägt als bei grossen Unternehmen.
Für Angreifer muss ein einzelnes Unternehmen dabei nicht einmal gezielt ausgewählt werden. Viele Angriffe erfolgen automatisiert. Systeme werden nach bekannten Schwachstellen durchsucht, Login-Daten automatisiert getestet und Phishing-Nachrichten massenhaft versendet.
Ein Unternehmen kann deshalb betroffen sein, ohne jemals bewusst als Ziel ausgewählt worden zu sein.
E-Mail gehört zu den kritischsten Angriffspunkten
E-Mail ist für viele Unternehmen der wichtigste digitale Kommunikationskanal – und gleichzeitig einer der attraktivsten Angriffspunkte.
Über kompromittierte E-Mail-Konten können Angreifer beispielsweise:
- interne Kommunikation mitlesen
- Passwort-Resets durchführen
- gefälschte Rechnungen versenden
- Kunden und Geschäftspartner täuschen
- weitere Zugangsdaten erlangen
Besonders gefährlich sind professionell gestaltete Phishing-Nachrichten. Sie sehen häufig wie legitime Nachrichten von Banken, Lieferanten, Microsoft, Paketdiensten oder bekannten Geschäftspartnern aus.
Technische Schutzmechanismen können einen grossen Teil dieser Nachrichten bereits vor dem Posteingang abfangen.
Mehr dazu finden Sie im Ratgeber SpamExperts: professioneller Schutz vor Spam und Phishing .
SPF, DKIM und DMARC schützen die eigene E-Mail-Domain
Zur E-Mail-Sicherheit gehört nicht nur, eingehende Nachrichten zu filtern. Unternehmen sollten auch verhindern, dass ihre eigene Domain möglichst einfach für gefälschte Absender missbraucht werden kann.
Dafür spielen SPF, DKIM und DMARC eine wichtige Rolle. Diese Verfahren helfen Mailservern dabei zu überprüfen, ob eine Nachricht tatsächlich von einem autorisierten System stammt.
Sie verbessern damit sowohl die Sicherheit als auch die Vertrauenswürdigkeit der geschäftlichen E-Mail-Kommunikation.
Wie die drei Verfahren zusammenspielen, erklären wir im Beitrag SPF, DKIM und DMARC einfach erklärt .
Website und WordPress gehören ebenfalls zur Sicherheitsstrategie
Die Unternehmenswebsite wird bei IT-Sicherheit häufig weniger kritisch betrachtet als interne Systeme. Das ist ein Fehler.
Eine kompromittierte Website kann:
- Schadcode verbreiten
- Besucher auf fremde Seiten umleiten
- Kundendaten gefährden
- die Reputation des Unternehmens beschädigen
- zu Warnungen bei Browsern oder Suchmaschinen führen
Gerade bei WordPress entstehen Risiken häufig durch veraltete Plugins, Themes oder fehlende Wartung.
Regelmässige Updates gehören deshalb nicht zur kosmetischen Website-Pflege, sondern zur Sicherheitsstrategie.
Mehr dazu: Warum WordPress regelmässige Updates benötigt .
Backups sind Teil der IT-Sicherheit
Selbst gute Sicherheitsmassnahmen können einen Vorfall niemals vollständig ausschliessen.
Deshalb gehört zu einer vernünftigen Sicherheitsstrategie immer auch die Frage: Wie kommen wir nach einem Problem wieder in einen funktionierenden Zustand?
Genau hier werden Backups entscheidend.
Sie schützen nicht nur vor Cyberangriffen, sondern auch vor:
- versehentlich gelöschten Daten
- fehlgeschlagenen Updates
- technischen Defekten
- Fehlkonfigurationen
Dabei genügt es nicht, dass „irgendwo ein Backup“ existiert. Sicherungen müssen aktuell, verfügbar und tatsächlich wiederherstellbar sein.
Welche Punkte dabei wichtig sind, erklären wir im Ratgeber Backup-Strategien für KMU .
Menschen bleiben ein entscheidender Faktor
Technische Schutzmassnahmen sind wichtig, aber viele erfolgreiche Angriffe umgehen die Technik, indem sie Menschen manipulieren.
Ein angeblicher Lieferant meldet eine neue Bankverbindung. Ein vermeintlicher Microsoft-Hinweis fordert zur erneuten Anmeldung auf. Oder eine Nachricht der Geschäftsleitung verlangt eine dringende Zahlung.
Solche Social-Engineering-Angriffe funktionieren, weil sie Zeitdruck, Vertrauen oder Autorität ausnutzen.
Deshalb gehören auch organisatorische Regeln zur IT-Sicherheit.
Beispielsweise:
- ungewöhnliche Zahlungsanweisungen über einen zweiten Kanal bestätigen
- Passwörter niemals per E-Mail weitergeben
- verdächtige Nachrichten intern melden
- für wichtige Konten Zwei-Faktor-Authentifizierung verwenden
Sicherheit entsteht damit nicht nur im Serverraum, sondern im täglichen Verhalten des gesamten Unternehmens.
Passwörter und Zwei-Faktor-Authentifizierung
Gestohlene Zugangsdaten gehören zu den einfachsten Wegen, um in Unternehmenssysteme einzudringen.
Deshalb sollten wichtige Dienste nicht nur mit starken und individuellen Passwörtern geschützt werden. Wo immer möglich, sollte zusätzlich eine Zwei-Faktor-Authentifizierung eingesetzt werden.
Selbst wenn ein Passwort bekannt wird, benötigt ein Angreifer dadurch einen weiteren Faktor.
Besonders wichtig ist dies für:
- E-Mail-Konten
- WordPress-Administratoren
- Hosting- und Domain-Verwaltung
- Cloud-Dienste
- Backup-Systeme
Auch Domains sind ein Sicherheitsfaktor
Die Domain eines Unternehmens ist ein zentraler Bestandteil seiner digitalen Identität.
Wer Zugriff auf die Domainverwaltung oder DNS-Einstellungen erhält, kann im schlimmsten Fall Website und E-Mail-Verkehr manipulieren.
Domain-Sicherheit sollte deshalb ebenfalls Teil der unternehmerischen Sicherheitsstrategie sein.
Dazu gehören beispielsweise geschützte Zugänge, klare Zuständigkeiten und die regelmässige Kontrolle wichtiger DNS-Einstellungen.
Weitere Hintergründe finden Sie unter Domain-Sicherheit für KMU .
Was die Geschäftsleitung konkret wissen sollte
Chefsache bedeutet ausdrücklich nicht, dass Geschäftsführerinnen und Geschäftsführer Server konfigurieren oder Logdateien analysieren müssen.
Sie sollten aber Antworten auf einige grundlegende Fragen erhalten können:
- Welche Systeme sind für unseren Geschäftsbetrieb kritisch?
- Wer besitzt administrative Zugänge?
- Werden wichtige Systeme regelmässig aktualisiert?
- Existieren funktionierende Backups?
- Ist Zwei-Faktor-Authentifizierung für wichtige Zugänge aktiviert?
- Wie werden geschäftliche E-Mails geschützt?
- Wer ist bei einem Sicherheitsvorfall zuständig?
- Wie schnell könnten kritische Systeme wiederhergestellt werden?
Wenn diese Fragen nicht beantwortet werden können, besteht bereits organisatorischer Handlungsbedarf – unabhängig davon, wie modern die eingesetzte Technik ist.
Ein einfacher Notfallplan kann entscheidend sein
Bei einem Sicherheitsvorfall zählt Zeit. Trotzdem wird häufig erst im Ernstfall geklärt, wer eigentlich was tun soll.
Ein grundlegender Notfallplan muss für ein KMU kein hundertseitiges Dokument sein.
Er sollte zumindest festhalten:
- wer intern verantwortlich ist
- welcher IT- oder Hosting-Partner kontaktiert wird
- wo wichtige Zugangsdaten sicher verfügbar sind
- welche Systeme zuerst wiederhergestellt werden müssen
- wie Mitarbeitende bei einem Vorfall informiert werden
Allein diese Vorbereitung kann verhindern, dass während eines Vorfalls wertvolle Zeit mit organisatorischen Fragen verloren geht.
IT-Sicherheit muss zum Unternehmen passen
Nicht jedes KMU benötigt dieselben Sicherheitsmassnahmen wie eine Bank, ein Spital oder ein internationaler Konzern.
Umgekehrt ist „Wir sind zu klein für Cyberangriffe“ keine Sicherheitsstrategie.
Entscheidend ist eine angemessene Lösung, die sich am tatsächlichen Risiko orientiert.
Für viele KMU bedeutet das zunächst, die Grundlagen konsequent umzusetzen:
- aktuelle Systeme
- starke Zugänge und Zwei-Faktor-Authentifizierung
- E-Mail-Schutz
- regelmässige Backups
- sichere Domainverwaltung
- klare Zuständigkeiten
- einen einfachen Notfallplan
Diese Massnahmen sind weder spektakulär noch besonders kompliziert. Gerade deshalb sollten sie selbstverständlich sein.
Fazit: Technik delegieren, Verantwortung nicht
IT-Sicherheit ist heute Chefsache, weil digitale Risiken unmittelbar zu Geschäftsrisiken geworden sind.
Die Geschäftsleitung muss dafür weder Serveradministration beherrschen noch selbst Sicherheitssoftware konfigurieren.
Ihre Aufgabe besteht darin, Risiken zu verstehen, Verantwortlichkeiten festzulegen und sicherzustellen, dass angemessene Schutzmassnahmen vorhanden sind.
Die technische Umsetzung kann an Fachpersonen delegiert werden. Die Verantwortung dafür, dass IT-Sicherheit im Unternehmen ernst genommen wird, bleibt jedoch eine Führungsaufgabe.
