Welche Fehler machen KMU bei IT-Sicherheit häufig?

Ein einziger kompromittierter Zugang kann reichen, damit Produktion, Vertrieb und Buchhaltung gleichzeitig stillstehen. Die entscheidende Frage lautet daher nicht, ob ein Unternehmen grundsätzlich geschützt ist, sondern ob Schutzmaßnahmen im Alltag tatsächlich wirksam funktionieren. Welche Fehler machen KMU bei IT-Sicherheit am häufigsten? Meist sind es keine exotischen technischen Probleme, sondern vorhersehbare Lücken in Zuständigkeiten, Prozessen und Kontrollen.

Für Geschäftsführungen ist das mehr als ein IT-Thema. Ransomware, Datenschutzvorfälle oder längere Betriebsunterbrechungen können Lieferpflichten, Liquidität, Kundenbeziehungen und persönliche Organisationspflichten berühren. Prävention reduziert die Eintrittswahrscheinlichkeit. Technische Abwehr begrenzt Schäden. Eine passende Cyberversicherung übernimmt als dritte Säule Risiken, die trotz guter Sicherheitsmaßnahmen verbleiben.

Welche Fehler machen KMU bei IT-Sicherheit am häufigsten?

Die häufigsten Schwachstellen entstehen dort, wo Unternehmen wachsen, Systeme hinzukommen und Verantwortlichkeiten nicht mitwachsen. Ein externer IT-Dienstleister betreut die Infrastruktur, einzelne Fachbereiche beschaffen Cloud-Anwendungen, Mitarbeitende arbeiten mobil - doch niemand prüft regelmäßig, ob daraus ein stimmiges Sicherheitsniveau entsteht.

Versicherer betrachten diese Punkte nicht als Formalien. Sie wollen nachvollziehen können, ob ein Unternehmen zentrale Angriffswege kontrolliert, kritische Daten wiederherstellen kann und auf einen Vorfall vorbereitet ist. Wer Sicherheitsmaßnahmen nur für einen Fragebogen kurzfristig dokumentiert, schafft keine belastbare Versicherbarkeit. Entscheidend ist der gelebte Betrieb.

1. Multifaktor-Authentifizierung wird nur teilweise eingesetzt

Passwörter allein schützen besonders gefährdete Zugänge nicht ausreichend. Dennoch bleibt Multifaktor-Authentifizierung in vielen KMU auf einzelne Anwendungen beschränkt. E-Mail-Postfächer, Fernzugänge, Administrationskonten und Cloud-Dienste werden unterschiedlich behandelt - oft aus Sorge vor zusätzlichem Aufwand für die Belegschaft.

Diese Abwägung ist nachvollziehbar, aber riskant. Gerade E-Mail und privilegierte Konten sind zentrale Einstiegspunkte für Angriffe. Ein durchgängiges Konzept muss nicht jedes interne System gleich behandeln. Es sollte jedoch klar festlegen, welche Konten zwingend zusätzlichen Schutz benötigen, wie Ausnahmen genehmigt werden und wer die Umsetzung kontrolliert.

2. Backups existieren, wurden aber nie realistisch getestet

Viele Unternehmen sichern Daten täglich. Das ist nur die halbe Aufgabe. Im Ernstfall zählt, ob sich relevante Systeme innerhalb einer vertretbaren Zeit wiederherstellen lassen und ob die Sicherungen vom betroffenen Netzwerk getrennt geschützt sind.

Ein ungetestetes Backup ist eine Hoffnung, kein belastbarer Wiederanlaufplan. Sinnvoll sind regelmäßige Wiederherstellungstests mit klaren Fragen: Welche Anwendungen haben Priorität? Wer entscheidet über die Reihenfolge? Wie lange darf der Betrieb ausfallen? Sind neben Daten auch Konfigurationen, Zugriffsrechte und Dokumentationen verfügbar?

Die Antwort hängt vom Geschäftsmodell ab. Ein produzierendes Unternehmen benötigt andere Wiederanlaufzeiten als ein Beratungsunternehmen. Für beide gilt jedoch: Die maximale Ausfallzeit sollte nicht erst während eines Schadensfalls diskutiert werden.

3. Updates und Sicherheitslücken werden nicht verbindlich gesteuert

Nicht jede Aktualisierung muss sofort erfolgen. Kritisch wird es, wenn es überhaupt keinen geregelten Prozess gibt. In vielen Umgebungen ist unklar, welche Systeme vorhanden sind, wer für Updates verantwortlich ist und wie Ausnahmen dokumentiert werden. Besonders anfällig sind nicht mehr unterstützte Systeme, Geräte außerhalb der zentralen Verwaltung und Anwendungen, die aus Rücksicht auf Betriebsabläufe lange unverändert bleiben.

Ein praxistauglicher Prozess verbindet Inventarisierung, Bewertung und feste Fristen. IT-Verantwortliche benötigen dabei Rückendeckung aus der Geschäftsführung: Wartungsfenster, Tests und mögliche kurzfristige Einschränkungen sind betriebliche Entscheidungen, nicht nur technische Details. Wo ein IT-Dienstleister eingebunden ist, sollten Zuständigkeiten schriftlich abgestimmt sein. Die Verantwortung des Unternehmens lässt sich nicht vollständig auslagern.

4. Administratorrechte sind zu weit verteilt

Wenn Mitarbeitende im Tagesgeschäft dauerhaft weitreichende Rechte erhalten, steigt die Schadenswirkung eines kompromittierten Kontos erheblich. Häufig entstehen solche Berechtigungen aus Bequemlichkeit oder weil schnelle Hilfe benötigt wird. Später überprüft niemand mehr, ob sie noch erforderlich sind.

Das Prinzip der minimal notwendigen Rechte ist deshalb ein wirksamer Hebel. Normale Tätigkeiten sollten mit normalen Benutzerkonten erfolgen. Administrative Aufgaben gehören in getrennte, besonders geschützte Konten. Auch Dienstleisterzugänge, ehemalige Mitarbeitende und technische Konten brauchen eine regelmäßige Prüfung. Das schafft nicht nur Sicherheit, sondern verbessert zugleich die Nachvollziehbarkeit für Audits und Versichereranfragen.

5. Mitarbeitende werden sensibilisiert, aber nicht eingebunden

Eine jährliche Standardunterweisung allein verändert seltenes Verhalten dauerhaft. Phishing, falsche Rechnungen oder betrügerische Anrufe funktionieren oft, weil sie unter Zeitdruck glaubwürdig wirken. Wer Mitarbeitenden lediglich vorwirft, nicht aufmerksam genug gewesen zu sein, übersieht die organisatorische Aufgabe.

Wirksame Sensibilisierung ist kurz, konkret und wiederkehrend. Sie erklärt, welche Meldestelle bei Verdachtsfällen zuständig ist und warum schnelles Melden wichtiger ist als perfekte Fehlervermeidung. Führungskräfte sollten dieses Verhalten sichtbar unterstützen. Ein Mitarbeitender, der einen verdächtigen Vorgang früh meldet, muss mit Hilfe rechnen können - nicht mit Schuldzuweisungen.

6. Es gibt keinen belastbaren Notfallplan

Ein Sicherheitsvorfall ist zunächst ein Betriebsereignis. Neben der technischen Eindämmung müssen Entscheidungen zur Kommunikation, zur Betriebsfortführung und zur Einbindung externer Spezialisten getroffen werden. Ohne vorbereitete Rollen entstehen Verzögerungen, widersprüchliche Informationen und unnötige Folgeschäden.

Ein Notfallplan muss nicht lang sein, aber er muss erreichbar und erprobt sein. Er sollte Ansprechpartner, Eskalationswege, Entscheidungsbefugnisse und die Prioritäten für den Geschäftsbetrieb enthalten. Auch die Cyberversicherung gehört in diesen Ablauf: Viele Verträge sehen abgestimmte Prozesse für die Schadenmeldung und die Beauftragung geeigneter Dienstleister vor. Wer erst nach einem Vorfall in die Police schaut, riskiert vermeidbare Reibungsverluste.

7. Cyberversicherung wird als Ersatz für Sicherheit verstanden

Eine Cyberpolice ersetzt weder technische Maßnahmen noch organisatorische Sorgfalt. Sie kann Kosten für Krisenbewältigung, Wiederherstellung, Betriebsunterbrechung oder Haftpflichtansprüche abfedern - immer abhängig vom vereinbarten Versicherungsumfang und den konkreten Umständen des Schadens. Sie verhindert den Vorfall jedoch nicht.

Der umgekehrte Fehler ist ebenfalls verbreitet: Unternehmen investieren in IT-Sicherheit, prüfen ihren Risikotransfer aber gar nicht. Selbst gute Sicherheitskonzepte schließen Restrisiken nicht aus. Die wirtschaftliche Frage lautet daher: Welche Schäden kann das Unternehmen selbst tragen, welche Risiken sollen reduziert werden und welche Folgen müssen über eine passende Deckung abgesichert sein?

Versicherbarkeit beginnt mit einem ehrlichen Statusbild

Für KMU ist es selten sinnvoll, jedes denkbare Sicherheitsprojekt gleichzeitig umzusetzen. Entscheidend ist eine priorisierte Bestandsaufnahme. Zuerst sollten besonders kritische Zugänge, Datensicherungen, Update-Prozesse, Berechtigungen und Notfallorganisation bewertet werden. Danach lässt sich festlegen, welche Maßnahmen kurzfristig erforderlich sind, welche Risiken akzeptiert werden und wo eine Cyberversicherung den finanziellen Schutz ergänzt.

Dabei ist eine saubere Abstimmung zwischen Geschäftsführung, IT-Verantwortlichen, Datenschutzorganisation und IT-Dienstleister entscheidend. Versicherer stellen technische und organisatorische Fragen, die präzise beantwortet werden müssen. Unklare oder zu optimistische Angaben können im Schadenfall ebenso problematisch sein wie eine Police, deren Deckung nicht zu Lieferketten, Datenverarbeitung oder Betriebsmodell passt.

CyberShield unterstützt Unternehmen dabei, Sicherheitsstatus, Versicherererwartungen und Deckungskonzept zusammenzuführen. Das Ziel ist keine formale Erfüllung um ihrer selbst willen, sondern ein nachvollziehbarer Weg zu belastbarer Versicherbarkeit und passendem Risikotransfer.

Der nächste sinnvolle Schritt ist daher kein pauschaler Maßnahmenkatalog. Er ist ein offenes Gespräch über die Systeme, Prozesse und Ausfallfolgen, die für den eigenen Betrieb wirklich kritisch sind. Wer diese Zusammenhänge vor einem Vorfall klärt, schafft die Grundlage für handlungsfähige Entscheidungen, wenn Zeit und Informationen knapp werden.

Fachtexte und Ratgeberbeiträge entstehen unter Einsatz von KI und werden vor der Veröffentlichung fachlich geprüft. Die redaktionelle Verantwortung liegt bei uns.