Informationssicherheit
IT-Sicherheit für Unternehmen
Auch KMU geraten ins Visier von Cyberkriminellen. Schützen Sie Ihr Unternehmen mit unseren Tipps für IT-Sicherheit.
Informationssicherheit
Auch KMU geraten ins Visier von Cyberkriminellen. Schützen Sie Ihr Unternehmen mit unseren Tipps für IT-Sicherheit.
Der Jahresanfang ist der ideale Zeitpunkt, um den Blick nach vorn zu richten und Ihre nächsten Weiterbildungen bewusst einzuplanen. Sichern Sie sich jetzt Ihre Seminarplätze für Führungskräfte, Mitarbeitende oder ganze Teams – schnell, unkompliziert und direkt.
Ein Schaden von rund 290 Milliarden Euro entstand der deutschen Wirtschaft 2025 durch Diebstahl von IT‑Ausrüstung und Daten, Spionage und Sabotage. Das ist über doppelt so viel wie in den Jahren 2018/2019. Dabei ist es eine Illusion, dass nur die „großen Firmen“ zum Ziel von Cyberkriminalität werden. Im Gegenteil: 87 Prozent aller Unternehmen waren betroffen. Für die Zukunft erwarten die meisten eine weitere Zunahme von Cyberangriffen.
Auch Thomas Kuhn von der Kuhn-Informatik GmbH, Sicherheitsbeauftragter/CISO, IT-Sicherheitsprofi und Trainer bei TÜV NORD, beobachtet einen deutlichen Wandel in Art und Qualität der Attacken: „Vor 30 Jahren gab es vor allem Hacker, die sich selbst und anderen lediglich beweisen wollten, dass sie in IT-Systeme eindringen können. Inzwischen ist eine organisierte Kriminalität herangewachsen, die das Ziel hat, Unternehmen zu erpressen und/oder zu schädigen.“
Nicht jedes Unternehmen hat die Mittel, ein umfassendes IT-Sicherheitsmanagementsystem zu realisieren. Trotzdem sind auch KMU keineswegs machtlos. Denn schon mit wenig Aufwand und einem guten Plan lassen sich Schutzmaßnahmen realisieren, die im Ernstfall das Schlimmste verhindern. Hier gehen wir darauf ein, welche das sind, was Unternehmen bei der Umsetzung beachten sollten und warum es nicht um absolute Sicherheit geht.
„Eine der Hauptbedrohungen im Bereich Cyberkriminalität sind derzeit Identitätsdiebstahl und Ransomware-Attacken“, stellt Thomas Kuhn fest. Dabei werden Unternehmen erpresst, indem zum Beispiel Daten verschlüsselt werden oder mit ihrer Veröffentlichung gedroht wird. Manchmal gelingt es Angreifer:innen auch, die zentralen Verzeichnisdienste (Active Directory bzw. Entra ID) zu übernehmen und so maximale Kontrolle über das Unternehmen auszuüben. Daneben häufen sich in den letzten Jahren zum Beispiel Spyware-Attacken oder Malware-Angriffe, die Schwachstellen ausnutzen (Zero Day Exploits). Einen Sonderfall stellt die absichtliche Sabotage oder versehentliche Nichtbeachtung von Vorgaben durch Mitarbeitende dar.
Der Schaden, der durch Cyberangriffe entsteht, kann immens sein. Dabei stehe der unmittelbare finanzielle Schaden, zum Beispiel durch ein Lösegeld, nicht im Vordergrund, betont Thomas Kuhn. Gravierender sei in der Regel der Produktionsausfall bzw. der Stillstand von Geschäftsprozessen. „Bei einer Active-Directory-Übernahme müssen die Unternehmen mit über einem Monat Unterbrechung rechnen.“
Das bedeute schon für große Unternehmen hohe Verluste. Kleinere Betriebe bekämen unter Umständen existenzielle und längerfristige Liquiditätsprobleme. Hinzu kommen unter Umständen ein gravierender Imageschaden und Strafen beim Diebstahl persönlicher Daten.
IT-Sicherheit ist Chefsache. Zwar kümmern sich Geschäftsführer:innen in der Regel nicht selbst um die Installation von Sicherheitsmechanismen oder das Monitoring, aber sie müssen die Entscheidung treffen, wie viel ihr Unternehmen in das Thema Cyberbedrohungen investiert und wie viel Risiko eingegangen werden darf. Dafür ist eine Risikoanalyse bzw. Risikoabschätzung erforderlich, die in einer klare Cybersicherheitsstrategie mündet.
Speziell bei kleinen Unternehmen spielen auch die Ressourcen eine zentrale Rolle. „Beispielsweise kosten ein ständiges Sicherheitsmonitoring, aktuelle Patchstände und Backup-/Restoremaßnahmen Zeit und Geld“, betont Thomas Kuhn. „Denn in diesen Fällen brauchen Sie eine oder mehrere Personen, die jeden (auch noch so kleinen) Verdachtsfall überprüfen und Sicherheitsmaßnahmen umsetzen. Deshalb konzentrieren sich die meisten kleinen Unternehmen eher auf einen reaktiven Schutz und vernachlässigen diesen Mehraufwand.“
Doch selbst wenn wenig Geld und personelle Ressourcen vorhanden sind, sollten Unternehmen auf einige Maßnahmen keinesfalls verzichten.
Für Thomas Kuhn besteht ein guter Grundschutz aus drei Bestandteilen:
Als eine Orientierung für KMU, die kein IT-Sicherheitsmanagementsystem einführen können, empfiehlt Thomas Kuhn ein leichtgewichtiges ISMS nach ISO 27001 oder den BSI-IT-Grundschutz, und hier speziell die Anforderungen für eine Basisabsicherung.
Wusstet ihr, dass in den letzten 12 Monaten 8 von 10 Unternehmen in Deutschland von Datendiebstahl, Spionage oder Sabotage betroffen waren? In wenigen Tagen tritt die Umsetzung der NIS-2-Richtlinie der EU in Deutschland in Kraft. Das bedeutet, dass Großunternehmen, vor allem solche, die zur Kritischen Infrastruktur gehören, strengere Auflagen in Sachen Cybersecurity erfüllen müssen. Aber auch als KMU solltet ihr euch spätestens jetzt besser aufstellen, denn nicht nur Großkonzerne sind von Cyberangriffen betroffen. Dabei können durch Produktionsstillstände und Leistungsausfall immense finanzielle Schäden entstehen. In dieser Folge von Wissen kompakt, dem Podcast der TÜV NORD Akademie, dreht sich alles um die neue NIS-2 Richtlinie und ihre Auswirkungen auf die Cybersicherheit von Unternehmen. Leslie und Max sprechen hierzu mit dem renommierten Rechtsanwalt Alexander Forssman, der auf IT- und Internetrecht sowie Cybersecurity spezialisiert ist. Gemeinsam beleuchten sie die Herausforderungen, die auf Unternehmen zukommen, und was Führungskräfte jetzt wissen und tun müssen, um die neuen Vorgaben zu erfüllen.
Wichtig: Egal ob IT-Sicherheitsbeauftragte:r in Teil- oder Vollzeit, Geschäftsführer:innen sind verantwortlich dafür, dass die jeweilige Person die erforderlichen Kompetenzen und Möglichkeiten der Gestaltung für ihre Aufgaben hat. Kurse können helfen, sie zu erwerben oder zu vertiefen. Außerdem stellen geeignete Tools eine wertvolle Unterstützung dar. Allerdings sei ihre Auswahl erst der zweite Schritt, betont Thomas Kuhn. „Ins eigene Personal zu investieren sowie eine geeignete Sicherheitsmanagementmethode für das Unternehmen zu finden und dann erst gezielt Tools oder Dienstleister:innen rauszusuchen, ist günstiger und zielgerichteter, als gleich zu Produkten von der Stange zu greifen.“
Die schlechte Nachricht: Egal wie viel Mühe sich Unternehmen mit IT-Sicherheit geben, Angreifer:innen mit ausreichenden Ressourcen und dem erforderlichen Know-how überwinden auch ausgefeilte Sicherheitsmaßnahmen.
Die gute Nachricht: Vor allem für KMU geht es nicht darum, unüberwindbare Mauern gegen Cyberbedrohungen und -angriffe zu errichten. Thomas Kuhn vergleicht dies gerne mit dem berühmten Schlossknacker, der auf die Frage nach dem Schloss an seiner eigenen Wohnung antwortete: „Ich habe auf jeden Fall ein Schloss, das besser ist als das meines Nachbarn.“ So sei es auch im IT-Sicherheitsmanagement. Ziel sei es hier, eine Hürde zu errichten, die hoch genug ausfällt, um Angreifer:innen abzuschrecken sowie ausreichend zu beschäftigen und damit ein möglichst hohes Maß an Informationssicherheit zu gewährleisten. Das funktioniert auch mit begrenzten Mitteln.
IT-Sicherheit ist die Lebensversicherung moderner Betriebe. Da Geschäftsprozesse heute fast vollständig digital ablaufen, schützen Sicherheitsmaßnahmen das Unternehmen vor: Existenzbedrohenden Ausfällen, Datenverlust und Spionage, Reputationsschäden und rechtlichen Konsequenzen.
Nein, eine absolute, 100%ige Sicherheit gibt es in der Informationstechnologie nicht. Da sich Angriffsmethoden ständig weiterentwickeln und der Faktor Mensch nie vollständig kontrollierbar ist, bleibt immer ein Restrisiko.
Das Ziel der IT-Sicherheit für Unternehmen ist es daher nicht, unbesiegbar zu sein, sondern:
Die Qualität Ihrer IT-Sicherheit lässt sich nicht an einem einzelnen Tool festmachen, sondern an der Beantwortung zentraler Fragen:
Tipp: Eine professionelle Standortbestimmung durch ein Audit oder einen Cyber-Security-Check hilft dabei, blinde Flecken in Ihrer Cybersicherheitsstrategie aufzudecken und Prioritäten richtig zu setzen. Für eine wirksame Verankerung auf Management-Ebene empfehlen sich zudem eine Schulung zur NIS-2-Richtlinie für Manager und Geschäftsleitung sowie zur strukturierten Bewertung und Priorisierung von Risiken die IT-Risikomanagement Schulung.
Bereit für den nächsten Karriereschritt? Wir bieten Ihnen praxisnahes Wissen und wertvolle Impulse!
Berufliche Weiterbildung hat viele Gesichter und trägt maßgeblich zum Erfolg der Mitarbeitenden sowie des ganzen Unternehmens bei. In unserem Blog "Wissen kompakt" lesen Sie Fachbeiträge zu aktuellen Fragestellungen, die jetzt und in der Zukunft Ihre Arbeitswelt bestimmen.
Unser Blog richtet sich an Fach- und Führungskräfte jeden Alters und jeder Unternehmensgröße, an berufliche Einsteiger genauso wie an erfahrene Arbeitskräfte.
Unser Podcast ist die Antwort auf den Wunsch, unsere Inhalte in einem modernen Format zugänglich zu machen, das bequem nebenbei konsumiert werden kann.
