Cybersicherheit ist eine Kernverantwortung des KMU-Managements
Cybersicherheit wird von kleinen Unternehmen manchmal als Spezialthema behandelt, das hauptsächlich Banken, Technologieunternehmen und Großkonzerne betrifft. Diese Annahme lässt sich zunehmend schwer rechtfertigen. KMU speichern Kundeninformationen, verarbeiten Zahlungen, nutzen Cloud-Dienste, sind auf E-Mail und Online-Banking angewiesen und stehen oft elektronisch mit größeren Kunden und Lieferanten in Kontakt. Diese Merkmale machen sie zu wirtschaftlich attraktiven Zielen, während relativ begrenzte Sicherheitsressourcen sie leichter angreifbar machen können. Cybersicherheit sollte daher als routinemäßige Aufgabe des Geschäftsmanagements und nicht als optionale technische Maßnahme verstanden werden.
Erfreulich ist, dass effektive Cybersicherheit nicht mit teuren Systemen beginnt. Eine relativ geringe Anzahl gut etablierter Kontrollen kann einen erheblichen Teil der häufigsten Risiken reduzieren. Die Multi-Faktor-Authentifizierung ist eine der wichtigsten. Passwörter können durch Phishing, die Wiederverwendung von Zugangsdaten oder Schadsoftware gestohlen werden; die Anforderung eines zusätzlichen Authentifizierungsfaktors macht ein gestohlenes Passwort für einen Angreifer weitaus weniger nützlich. MFA sollte überall dort aktiviert werden, wo es praktikabel ist, insbesondere für E-Mail, Online-Banking, Cloud-Speicher, Administratorkonten und andere Systeme, die sensible Informationen enthalten oder den Zugriff auf die gesamte Geschäftsumgebung steuern.
Grundlegende Kontrollen zur wesentlichen Risikoreduzierung
Das Passwortmanagement ist die nächste wesentliche Kontrolle. Mitarbeiter sollten Passwörter nicht für verschiedene Dienste wiederverwenden, und geteilte Konten sollten nach Möglichkeit vermieden werden. Ein Passwortmanager kann den praktischen Aufwand für die Verwaltung einzigartiger Zugangsdaten reduzieren und dem Management gleichzeitig eine klarere Grundlage für die Zugriffssteuerung bieten. Das Prinzip individueller Konten ist besonders wichtig, da es dem Unternehmen ermöglicht, zu erkennen, wer Zugriff hat, Berechtigungen bei Ausscheiden eines Mitarbeiters zu entziehen und ungewöhnliche Aktivitäten effektiver zu untersuchen.
Softwarewartung und Backups sind ebenso wichtig. Angreifer nutzen häufig Schwachstellen aus, für die bereits Updates verfügbar sind, sodass nicht unterstützte Software und lange überfällige Patches ein vermeidbares Risiko darstellen. Backups adressieren ein anderes Risiko: die Möglichkeit, dass Systeme oder Daten durch Ransomware, Hardwareausfälle, versehentliches Löschen oder andere Störungen nicht mehr verfügbar sind. Backups sollten automatisch erfolgen, angemessen von der Live-Umgebung getrennt sein und regelmäßig getestet werden. Von einem Backup, das noch nie erfolgreich wiederhergestellt wurde, sollte keine Zuverlässigkeit ausgegangen werden.
Die Zugriffssteuerung sollte sich an geschäftlichen Erfordernissen orientieren. Mitarbeiter benötigen keine Administratorrechte, nur weil diese praktisch sind, und ehemalige Mitarbeiter sollten nach Beendigung ihres Arbeitsverhältnisses keinen Zugriff mehr auf Systeme haben. Kleine Organisationen verzichten manchmal auf formelle Zugriffssteuerungen, weil das Team vertrauenswürdig ist, doch Cybersicherheit ist nicht allein eine Frage des Vertrauens. Konten können kompromittiert werden. Die Beschränkung von Berechtigungen reduziert den Schaden, der dadurch entstehen kann.
Menschliches Verhalten, Phishing und Lieferantenrisiken
E-Mail bleibt einer der häufigsten Zugänge zu einer Organisation, und Fortschritte bei generativer KI machen Social Engineering schwieriger zu erkennen. Schlechte Grammatik und offensichtlich generische Nachrichten können nicht länger als Warnzeichen verlässlich angesehen werden. Angreifer können überzeugende, personalisierte Nachrichten in mehreren Sprachen erstellen und den Stil eines Lieferanten, Managers oder Kunden nachahmen. Mitarbeiter müssen daher eine Verifizierungsgewohnheit entwickeln. Ungewöhnliche Anfragen, die Zahlungen, Änderungen von Bankkonten, Zugangsdaten oder sensible Informationen betreffen, sollten über einen unabhängigen Kanal geprüft werden, wobei vertrauenswürdige Kontaktdaten anstelle der in der verdächtigen Nachricht bereitgestellten Informationen verwendet werden.
Lieferantenrisiken verdienen ähnliche Aufmerksamkeit. KMU sind stark von Software-as-a-Service-Anbietern, Cloud-Plattformen, Zahlungsdiensten und anderen externen Systemen abhängig. Die Sicherheit dieser Anbieter wird daher zu einem Teil des eigenen Risikoumfelds des KMU. Das Management muss nicht bei jedem Lieferanten ein vollständiges Unternehmensaudit durchführen, sollte aber grundlegende Fragen stellen: Unterstützt der Dienst MFA, wie werden Daten geschützt, wie werden Vorfälle gemeldet, können Informationen exportiert werden und was würde das Unternehmen tun, wenn der Dienst nicht verfügbar wäre? Abhängigkeiten sollten verstanden und nicht als harmlos vorausgesetzt werden.
Auch Geräte benötigen einen grundlegenden Schutz. Laptops und Mobiltelefone sollten Bildschirmsperren, gegebenenfalls Verschlüsselung und zugelassene Software verwenden. Verlorene Geräte sollten gegebenenfalls aus der Ferne gesperrt oder gelöscht werden können. Persönliche und geschäftliche Konten sollten getrennt werden, da die zentrale Verwaltung deutlich schwieriger ist, wenn Mitarbeiter persönliche Dienste für Unternehmensinformationen nutzen.
KI bringt neue Bedrohungen sowie neue Verteidigungswerkzeuge mit sich
Künstliche Intelligenz verändert die Bedrohungslage auf zwei Arten. Sie hilft Verteidigern, verdächtige Aktivitäten zu analysieren, E-Mails zu filtern und Muster zu erkennen, aber sie hilft auch Angreifern, überzeugendes Phishing zu erstellen, Recherchen zu automatisieren und synthetische Audio- oder Videodateien zu generieren. Deepfake-Betrug ist besonders für Finanzautorisierungen relevant. Eine Anfrage, die über Sprache oder Video von einem bekannten leitenden Mitarbeiter zu kommen scheint, sollte nicht als ausreichender Nachweis für eine hochpreisige Transaktion akzeptiert werden. Unabhängige Genehmigungsprozesse bleiben erforderlich.
KI schafft auch eine neue Form des Informationsabflusses. Mitarbeiter könnten vertrauliche Kundeninformationen, Verträge oder geschäftlich sensible Materialien in öffentliche generative KI-Dienste einfügen, ohne die Folgen zu verstehen. KMU sollten daher neben ihren Cybersicherheitskontrollen eine kurze Richtlinie zur akzeptablen Nutzung von KI einführen. Sie sollte zugelassene Systeme benennen, verbotene Informationen definieren und Mitarbeiter daran erinnern, dass wichtige Ergebnisse überprüft werden müssen. Eine einseitige Richtlinie, die das Personal versteht, ist wertvoller als ein langes Dokument, das niemand liest.
Vorbereitung auf Vorfälle und betriebliche Resilienz
Prävention ist nur ein Teil der Cybersicherheit. Das Management sollte auch bedenken, was nach einem Vorfall geschieht. Wenn das primäre E-Mail-Konto kompromittiert ist, wer kontaktiert den Anbieter? Wenn der Verdacht besteht, dass Zugangsdaten für das Online-Banking offengelegt wurden, wer kontaktiert die Bank? Wenn Ransomware wichtige Dateien unzugänglich macht, welches Backup wird wiederhergestellt und von wem? Ein prägnanter Vorfallsplan kann entscheidende Zeit sparen. Er sollte externe Kontakte, interne Verantwortlichkeiten und alternative Kommunikationsmethoden enthalten, falls normalen Systemen nicht vertraut werden kann.
Die Geschäftskontinuität sollte auf die gleiche Weise angegangen werden. KMU sind zunehmend für Vertrieb, Finanzen und Kundenservice auf Cloud-Plattformen angewiesen. Das Management sollte wissen, welche Systeme kritisch sind und wie lange das Unternehmen ohne sie weiterarbeiten könnte. Dies erfordert kein aufwendiges Disaster-Recovery-Programm, aber es erfordert ein Bewusstsein für Abhängigkeiten und realistische Ausweichregelungen.
Die D4SME-Umfrage der OECD für 2026 identifiziert Cybersicherheit als eine fortlaufende Herausforderung für KMU, von denen viele berichten, dass sie Cybervorfälle erlebt haben. Die angemessene Reaktion ist weder Selbstgefälligkeit noch Panik. Eine kleine Organisation kann sich nicht gegen jeden raffinierten Angriff wehren, aber sie kann häufige Angriffe erheblich erschweren, verdächtiges Verhalten früher erkennen und ihre Fähigkeit zur Wiederherstellung verbessern. Diese Ergebnisse werden durch Schichten sinnvoller Kontrollen erreicht, nicht durch ein einziges Sicherheitsprodukt.
Cybersicherheit als Unternehmensfähigkeit
Die eBSI SME Academy behandelt Cybersicherheit als Teil der praktischen Managementkompetenz. Inhaber und Manager müssen keine Sicherheitstechniker werden, aber sie sollten in der Lage sein, die Risiken zu verstehen, die durch ihre Systeme, Lieferanten und die Praktiken ihrer Mitarbeiter entstehen. Vierteljährliche Überprüfungen von Zugriffsrechten, Backups, kritischer Software und Vorfallsprozessen können ausreichen, um grundlegende Kontrollen auf dem neuesten Stand zu halten. Sicherheit sollte auch in Beschaffung und Kundenbeziehungen einbezogen werden, da größere Kunden Lieferanten zunehmend nachweisen lassen, dass sinnvolle Maßnahmen vorhanden sind.
Gute Cybersicherheit hat daher einen wirtschaftlichen sowie einen defensiven Wert. Sie schützt den Cashflow, Kundeninformationen, den Ruf und die Fähigkeit der Organisation, weiterzuarbeiten. Für KMU macht das grundlegende Cyber-Hygiene zu einer Managementdisziplin in derselben Kategorie wie Finanzkontrolle, Versicherung und Arbeitsschutz. Prävention ist im Allgemeinen günstiger als Wiederherstellung, aber Resilienz ist das ultimative Ziel: die Fähigkeit, häufige Vorfälle zu verhindern, Probleme umgehend zu erkennen und den Betrieb wiederherzustellen, wenn Prävention nicht ausreicht.
Weiterführende Literatur
Für umfassendere Erkenntnisse über die Digitalisierung und das Cyberrisiko von KMU siehe OECD (2026), Empowering SMEs in the age of AI: The 2026 OECD D4SME Survey, verfügbar bei der OECD.