Montagmorgen, kurz nach acht. Im Postfach liegt eine Mail vom größten Kunden, Betreff: „Lieferantenbewertung Informationssicherheit“. Im Anhang ein Fragebogen mit vierzig Fragen. Gibt es ein Backup-Konzept? Wer ist für Informationssicherheit zuständig? Werden die Mitarbeitenden regelmäßig geschult? Und ob man bitte bis Monatsende antworten könne.
So oder so ähnlich fängt das Thema für viele kleine Betriebe an. Nicht mit einer Strategie, sondern mit Druck von außen. Ein Elektrobetrieb mit zwölf Leuten, ein Steuerbüro mit acht, ein Ingenieurbüro mit fünf: Eine IT-Abteilung gibt es dort nicht. Meistens kümmert sich die Chefin selbst darum, oder ein externer Dienstleister, der einmal im Quartal vorbeischaut und die Drucker zum Laufen bringt.
Genau für diese Unternehmen ist dieser Beitrag gedacht. Er erklärt nicht, wie man ein vollständiges Managementsystem aufbaut, dazu gibt es hier auf der Seite einen eigenen Artikel. Es geht um die Frage davor: Womit fangen Sie an, wenn bisher wenig bis gar nichts passiert ist?
(Bild KI-generiert)
NIS-2 gilt nicht für Sie. Und landet trotzdem auf Ihrem Tisch.
Seit dem 6. Dezember 2025 ist in Deutschland das NIS-2-Umsetzungsgesetz in Kraft, ohne Übergangsfrist. Rund 30.000 Unternehmen müssen seitdem deutlich strengere Vorgaben zur IT-Sicherheit erfüllen und werden vom BSI beaufsichtigt. Kleine Betriebe gehören in aller Regel nicht dazu. Erfasst werden bestimmte Sektoren, und dort im Normalfall erst Unternehmen ab 50 Beschäftigten oder mit mehr als zehn Millionen Euro Jahresumsatz und Bilanzsumme. Ein paar Sonderfälle gibt es (etwa DNS- oder Vertrauensdienste, die unabhängig von der Größe erfasst sind), aber das betrifft den Malerbetrieb um die Ecke nicht. Wer unsicher ist, kann die Betroffenheitsprüfung des BSI in ein paar Minuten durchklicken.
Also aufatmen? Nur halb. Wer unter NIS-2 fällt, muss sich nämlich auch um die Sicherheit seiner Lieferkette kümmern. In der Praxis heißt das: Die großen Kunden reichen ihre Anforderungen weiter, über Rahmenverträge, Lieferantenfragebögen und Auditklauseln. Und genau da sehe ich den eigentlichen Hebel für kleine Unternehmen. Nicht das Bußgeld einer Behörde, sondern die ganz nüchterne Frage, ob man nächstes Jahr noch auf der Lieferantenliste steht.
Dazu kommt das, was ohnehin passiert, ganz ohne Gesetz. Erpressungssoftware fragt nicht nach der Mitarbeiterzahl. Kleine Betriebe sind oft sogar das leichtere Ziel, weil niemand hinschaut. Wie solche Angriffe ablaufen und was dagegen hilft, steht ausführlicher im Beitrag zu Ransomware-Angriffen.
Was Sie in den nächsten Wochen schaffen können
Die folgenden sechs Punkte sind keine Norm und kein vollständiges Konzept. Sie sind das, was ich in kleinen Betrieben am häufigsten fehlen sehe, und gleichzeitig das, was mit wenig Geld am meisten bringt.
Wissen, was Sie haben
Klingt banal. Ist aber oft schon die erste Stelle, an der es hakt. Welche Rechner, Laptops und Firmenhandys gibt es? Welche Cloud-Dienste werden genutzt, auch der, den eine Kollegin vor zwei Jahren „mal eben“ für den Dateiaustausch mit einem Kunden eingerichtet hat? Wer hat Zugang zu welchen Konten? Eine einfache Tabelle reicht völlig: Gerät oder Dienst, wer nutzt es, welche Daten liegen dort, wer hat Admin-Zugang. Ohne diese Liste schützen Sie Dinge, von denen Sie gar nicht wissen, dass es sie gibt.
Backups, die im Ernstfall wirklich funktionieren
Fast jeder Betrieb sagt, er habe ein Backup. Die spannendere Frage lautet: Wann wurde zuletzt etwas daraus zurückgespielt? Ein Backup, das nie getestet wurde, ist eine Hoffnung. Mindestens eine Kopie gehört außerdem getrennt vom Firmennetz gelagert, offline oder so, dass sie sich nicht verändern lässt. Moderne Erpressungssoftware sucht nämlich gezielt nach Sicherungen und verschlüsselt sie gleich mit. Machen Sie einmal im Quartal einen kleinen Test, eine Datei, ein Ordner, ein Postfach. Das dauert eine halbe Stunde und erspart im Ernstfall eine sehr unangenehme Überraschung.
Zwei-Faktor-Anmeldung für E-Mail und Cloud
Der größte Gewinn für den kleinsten Aufwand, da bin ich mir ziemlich sicher. Gestohlene Passwörter gehören zu den häufigsten Wegen in ein Firmennetz, und ein zweiter Faktor macht ein gestohlenes Passwort weitgehend wertlos. Fangen Sie beim E-Mail-Konto an (Microsoft 365, Google Workspace oder was auch immer Sie nutzen), dann folgen Buchhaltung, Onlinebanking und der Fernzugriff. Ja, die Belegschaft wird zwei Wochen lang meckern. Danach ist es Gewohnheit.
Updates einschalten, Admin-Rechte abschalten
Zwei Dinge, die zusammengehören. Automatische Updates für Betriebssystem, Browser und Office gehören auf jedes Gerät, auch auf den alten Rechner in der Werkstatt, an den seit Jahren keiner mehr gedacht hat. Ein Gerät, das gar keine Updates mehr bekommt, ist ein Fall für den Austausch und nicht für „läuft doch noch“. Und im Alltag arbeitet niemand mit Administratorrechten. Auch nicht der Chef. Das ist manchmal unbequem, verhindert aber, dass ein einziger falscher Klick gleich das ganze System übernimmt.
Ein Notfallzettel statt eines Notfallhandbuchs
Ein hundertseitiges Notfallhandbuch liest im Ernstfall niemand. Eine Seite schon. Was tun, wenn auf dem Bildschirm plötzlich eine Lösegeldforderung steht? Gerät vom Netz trennen, nicht ausschalten, den IT-Dienstleister anrufen (die Nummer steht auf dem Zettel), Geschäftsführung informieren. Wer entscheidet, ob die Polizei eingeschaltet wird? Wer prüft, ob personenbezogene Daten betroffen sind und eine Meldung an die Datenschutzaufsicht nötig ist? Dafür lässt die DSGVO nur 72 Stunden. Hängen Sie den Zettel ausgedruckt auf. Wenn die IT steht, kommt niemand mehr an das PDF auf dem Server.
Einer muss es machen
Informationssicherheit, für die alle zuständig sind, macht am Ende keiner. Benennen Sie eine Person, die sich kümmert. Das muss kein Experte sein, sondern jemand, der die Liste pflegt, an den Backup-Test erinnert und nachhakt, wenn etwas liegen bleibt. Und reden Sie mit Ihren Leuten. Eine Stunde im Jahr über Phishing-Mails, gefälschte Rechnungen und den Anruf vom angeblichen Microsoft-Support bringt mehr als so manche teure Software. Wie solche Schulungen und Sensibilisierung aussehen können, steht in einem eigenen Beitrag.
Wenn die Basis steht: der CyberRisikoCheck
Wer die sechs Punkte erledigt hat, ist weiter als ein großer Teil der kleinen Betriebe in Deutschland. Irgendwann reicht das Bauchgefühl aber nicht mehr, spätestens wenn der Kunde einen Nachweis sehen will. Für Unternehmen mit weniger als 50 Beschäftigten gibt es dafür einen Standard, der erstaunlich wenig bekannt ist: die DIN SPEC 27076. Erarbeitet wurde sie unter Leitung des BSI, gemeinsam mit dem Mittelstandsverband BVMW, dem DIN und rund 20 weiteren Partnern. Darauf baut der CyberRisikoCheck auf.
Der Ablauf ist angenehm überschaubar. Ein IT-Dienstleister geht mit Ihnen in einem ein- bis zweistündigen Gespräch 27 Anforderungen aus sechs Themenbereichen durch, von der Organisation über Berechtigungen und Datensicherung bis zum Schutz vor Schadsoftware. Am Ende bekommen Sie einen Bericht mit einer Punktzahl und, für jede nicht erfüllte Anforderung, einer Handlungsempfehlung, sortiert nach Dringlichkeit. Sie wissen danach also nicht nur, wo es klemmt, sondern auch, in welcher Reihenfolge Sie es angehen. Ein Zertifikat ist das ausdrücklich nicht. Aber es ist etwas Schriftliches, das Sie dem Kunden mit dem Fragebogen zeigen können. Der Aufwand liegt laut BSI bei etwa einem Beratertag, und je nach Bundesland gibt es Förderprogramme dafür. Ob gerade eines greift, weiß Ihre IHK oder Handwerkskammer.
Und danach? Wer ein echtes Managementsystem will, aber nicht gleich den vollen Aufwand einer ISO-Zertifizierung, findet zwei deutsche Ansätze für den Mittelstand. Die VdS 10000 stammt aus dem Umfeld der Versicherungswirtschaft und beschreibt ein ISMS speziell für kleine und mittlere Unternehmen. Sie gilt als guter Unterbau, falls später doch IT-Grundschutz oder ISO 27001 kommen sollen. CISIS12 geht einen ähnlichen Weg in zwölf Schritten. Für den Betrieb mit zehn Leuten ist beides meist noch zu viel, für den mit 60 oder 80 Beschäftigten oft genau das Richtige.
Und ISO 27001?
Hier lege ich mich fest: Für die meisten kleinen Unternehmen ist ISO 27001 am Anfang der falsche Weg. Nicht weil die Norm schlecht wäre, im Gegenteil, sie ist der internationale Maßstab, und hier auf der Seite gibt es einen eigenen Beitrag dazu. Aber eine Zertifizierung bindet über Monate Zeit, Geld und Aufmerksamkeit. Sie verlangt Dokumentation, interne Audits und jedes Jahr ein Überwachungsaudit. Selbst das BSI schreibt, dass solche Regelwerke gerade für Unternehmen unter 50 Beschäftigten nicht besonders gut passen.
Eine Ausnahme gibt es allerdings, und die ist wichtig. Wenn ein Kunde die Zertifizierung ausdrücklich verlangt, dann ist das eben so. Das betrifft vor allem IT-Dienstleister, Hosting-Anbieter oder Zulieferer, die tief in die Systeme großer Kunden eingebunden sind. Dann lohnt es sich, von Anfang an sauber zu planen, statt zweimal anzufangen. Für alle anderen gilt die Reihenfolge: erst die Grundlagen, dann der Check, und eine Norm nur, wenn es einen echten Grund dafür gibt.
Fangen Sie einfach an
Informationssicherheit im kleinen Unternehmen ist kein Projekt, das man einmal abhakt. Aber auch kein Berg, vor dem man ratlos stehen bleiben muss. Die sechs Punkte von oben schafft ein Betrieb mit zehn Leuten in wenigen Wochen, neben dem Tagesgeschäft. Und wenn dann der nächste Fragebogen kommt, fällt die Antwort ganz anders aus als beim ersten Mal.
Sie möchten wissen, wo Ihr Betrieb gerade steht? Oder suchen jemanden, der die Rolle der zuständigen Person von außen übernimmt, ohne dass Sie dafür eine Stelle schaffen müssen? Als externer Informationssicherheitsbeauftragter begleite ich kleine und mittlere Unternehmen in Göttingen und der Region, vom ersten Gespräch bis zur Antwort auf den Fragebogen Ihres Kunden. Sprechen Sie mich gern an.