IT-Sicherheit für KMU: Standard ist nicht sicher

7 Minuten

Der Geschäftsführer eines KMU sagte kürzlich zu mir: „Wir nutzen Microsoft 365, also kümmert sich Microsoft doch um die gesamte Sicherheit für uns?“ Das ist ein verständlicher Gedanke. Man bezahlt einen großen, zuverlässigen Anbieter für seine E-Mails, Dokumente und die Zusammenarbeit, also geht man davon aus, dass auch die Sicherheit ebenso gut geregelt ist. Doch diese Annahme ist falsch. Und genau darin liegt das Risiko, das viele Unternehmer nicht kommen sehen.

Eine standardmäßig eingerichtete IT-Umgebung ist nämlich nicht dasselbe wie eine sicher eingerichtete IT-Umgebung. Das gilt für einen Microsoft-Tenant, aber ebenso für Ihr Netzwerk, Ihre Laptops und die Art und Weise, wie sich Ihre Mitarbeiter anmelden. Die von Ihnen verwendete Software liefert die Bausteine. Was Sie damit machen, entscheidet darüber, ob Sie wirklich sicher sind.

Wie groß dieses Missverständnis ist, zeigen aktuelle Untersuchungen. Neun von zehn niederländischen KMU mit 10 bis 250 Mitarbeitern sind laut dem Cisco Cybersecurity Readiness Index 2025 ernsthaften Cyberrisiken ausgesetzt. Gleichzeitig sind 45 Prozent davon überzeugt, dass die derzeitige IT-Infrastruktur künftigen Angriffen problemlos standhalten kann. Diese Diskrepanz zwischen Wahrnehmung und Realität ist das eigentliche Problem. Wer glaubt, sicher zu sein, ergreift keine Maßnahmen.

Was ist der Unterschied zwischen „Standard“ und „sicher eingerichtet“?

Wenn Sie eine neue Umgebung in Betrieb nehmen, sind die Einstellungen auf Benutzerfreundlichkeit ausgerichtet. Vor allem muss alles funktionieren – schnell und ohne Umwege. Das ist logisch, denn ein Anbieter möchte, dass Sie sofort loslegen können. Sicherheitsmaßnahmen, die diesen ersten Eindruck beeinträchtigen könnten, sind daher standardmäßig oft deaktiviert oder flexibel eingestellt.

In einer sicher gestalteten Umgebung wird diese Reihenfolge umgekehrt. Dort steht die Sicherheit an erster Stelle, und die Benutzerfreundlichkeit wird sorgfältig darauf abgestimmt. Der Unterschied liegt selten in teurer Zusatzsoftware, sondern in den getroffenen Entscheidungen. Hier einige Beispiele:

• Standardmäßig hat jeder nahezu überall Zugriff, es sei denn, Sie sperren den Zugriff bewusst. Bei einer sicheren Konfiguration hat jeder nur Zugriff auf das, was er benötigt.
• Standardmäßig können Sie sich nur mit einem Passwort anmelden. Bei einer sicheren Konfiguration ist stets ein zweiter Schritt erforderlich.
• Standardmäßig sind alte, unsichere Anmeldemethoden noch aktiviert. In einer sicheren Konfiguration sind diese bewusst gesperrt.

Welche Risiken gehen Sie mit einer Standardumgebung ein?

Die Risiken sind konkreter, als viele Unternehmer glauben. In einer Standardumgebung stoße ich in der Praxis immer wieder auf dieselben Schwachstellen.

• Die Multi-Faktor-Authentifizierung wird nicht überall vorgeschrieben, sodass ein gestohlenes Passwort oft bereits ausreicht, um sich Zugang zu verschaffen.
• Veraltete Anmeldemethoden sind nach wie vor verfügbar, und gerade diese umgehen moderne Sicherheitsmaßnahmen.
• Externe Gäste und alte Konten verfügen über mehr Rechte als erforderlich.
• Die Protokollierung ist deaktiviert, sodass Sie nach einem Vorfall nicht nachvollziehen können, was geschehen ist.
• Es werden viele einzelne Sicherheitstools nebeneinander eingesetzt, ohne dass ein Zusammenhang zwischen ihnen besteht.

Letzteres ist ein unterschätztes Problem. Fast die Hälfte der KMU nutzt zwischen elf und vierzig verschiedene Sicherheitslösungen, und zwei Drittel betrachten diese Komplexität selbst als Hindernis für einen wirksamen Schutz (Cisco, 2025). Mehr Software bedeutet nicht automatisch mehr Sicherheit.

Dies sind keine Risiken, die nur auf dem Papier bestehen. Jedes dritte KMU wurde im vergangenen Jahr Opfer eines Cyberangriffs (Cisco, 2025). Ein solcher Angriff kann Ihren Geschäftsbetrieb lahmlegen, das Vertrauen Ihrer Kunden untergraben und Sie im Falle einer Datenpanne gemäß der DSGVO haftbar machen. Ich sage es ganz offen: Keine Umgebung lässt sich zu hundert Prozent sicher machen. Doch der Unterschied zwischen einer Standardumgebung und einer gut eingerichteten Umgebung ist enorm.

Was hilft tatsächlich dabei, Ihre Sicherheit auf Vordermann zu bringen?

Die gute Nachricht ist, dass der größte Gewinn in der Basis liegt und nicht in der teuersten Lösung. Das macht in der Praxis einen echten Unterschied:

Beginnen Sie mit der Identität. Erzwingen Sie die Multi-Faktor-Authentifizierung für alle Benutzer, auch für Administratoren. Microsoft gibt selbst an, dass MFA mehr als 99,2 Prozent der Angriffe auf Konten blockiert (Microsoft, 2026).

• Entfernen Sie veraltete Anmeldemethoden, damit Angreifer nicht über eine Hintertür eindringen können.
• Richten Sie den bedingten Zugriff so ein, dass sich Anmeldungen von unbekannten Standorten oder Geräten einer zusätzlichen Überprüfung unterzogen werden.
• Erteilen Sie den Mitarbeitern nur die Berechtigungen, die sie benötigen, und löschen Sie alte Konten und Gastzugänge.
• Aktivieren Sie die Protokollierung und Überwachung, damit Sie einen Vorfall erkennen und untersuchen können.
• Führen Sie Ihre Tools wieder zu einem zusammenhängenden Ganzen zusammen, anstatt sie als isolierte Inseln zu belassen.
• Investieren Sie in die Sensibilisierung. Der Mensch ist nach wie vor der am häufigsten angegriffene Zugangspunkt.

Eine bewährte Methode, dies strukturiert anzugehen, sind anerkannte Sicherheitsstandards wie die CIS-Benchmarks. Wie Sie damit Ihre Umgebung Schritt für Schritt sicherer machen können, erfahren Sie in diesem Artikel: Schützen Sie Ihre Umgebung mit Sicherheitsstandards.

Welche Einwände höre ich häufig, und sind diese berechtigt?

In Gesprächen höre ich immer wieder dieselben Einwände. Sie sind zwar verständlich, treffen aber oft nicht zu.

• „Wir sind zu klein, niemand greift uns an.“ Die meisten Angriffe sind automatisiert und prüfen nicht, wer Sie sind – sie suchen nach einer offenen Tür. Dass bereits jedes dritte KMU betroffen ist, zeigt, dass die geringe Größe keinen Schutz bietet.
• „MFA ist für meine Mitarbeiter zu kompliziert.“ Sie können es Schritt für Schritt einführen, und dank moderner Methoden ist die Einstiegshürde gering. Dieser geringe Aufwand wiegt das Risiko eines gehackten Kontos nicht auf.
• „Wir verfügen bereits über alle möglichen Sicherheitsmaßnahmen.“ Oftmals trifft das zu, doch es fehlt der Zusammenhang. Zwei Drittel der KMU empfinden dieses Wirrwarr an Tools selbst als Hindernis. Eine besser durchdachte Lösung ist wertvoller als eine größere Anzahl.
• „Das wird sicher zu teuer.“ Die Grundlagen in Ordnung zu bringen, erfordert vor allem Aufmerksamkeit, ist aber kein großes Projekt. Die Kosten eines Vorfalls sind um ein Vielfaches höher als die einer guten Prävention.

Konkrete Checkliste: Womit fangen Sie morgen an?

Möchten Sie sich selbst einen ersten Überblick darüber verschaffen, wo Sie stehen? Gehen Sie die folgenden Punkte durch.

1. Ist MFA für alle Benutzer, einschließlich der Administratoren, aktiviert?
2. Werden veraltete Anmeldemethoden blockiert?
3. Wurde der bedingte Zugang eingerichtet?
4. Wissen Sie genau, wer welche Rechte hat, und sind diese noch aktuell?
5. Sind Protokollierung und Überwachung aktiviert?
6. Haben Sie den Überblick über alle von Ihnen verwendeten Sicherheitstools?
7. Erhalten die Mitarbeiter regelmäßig Sensibilisierungsschulungen?

Können Sie nicht bei allen Punkten uneingeschränkt mit „Ja“ antworten? Dann gibt es noch einiges zu tun, und das ist keine Schande. Es ist vielmehr der richtige Zeitpunkt, etwas dagegen zu unternehmen.

Möchten Sie Ihre eigene Situation mit den niederländischen Zahlen vergleichen? Im Cybersecuritymonitor 2024: Wo steht Ihr Unternehmen? Wir helfen Ihnen dabei, festzustellen, wo Sie im Vergleich zu ähnlichen Unternehmen stehen.

Wie hilft Ihnen New Yard dabei, Ihre Sicherheit auf Vordermann zu bringen?

Bei New Yard schauen wir nicht darauf, was wir verkaufen können, sondern darauf, was Ihr Umfeld wirklich benötigt. Zunächst erfassen wir den aktuellen Stand Ihrer IT-Sicherheit – von Ihrem Microsoft-Tenant über Ihre Geräte bis hin zu Ihren Zugriffsrichtlinien. Anschließend legen wir eine solide Grundlage und helfen Ihnen dabei, die Vielzahl einzelner Tools auf ein System zu reduzieren, das funktioniert und verwaltbar ist. Kein Verkaufsgespräch, sondern ein ehrliches Bild der Lage und ein umsetzbarer Plan.

Dabei arbeiten wir nicht mit Einzelmaßnahmen, sondern mit einem klaren Sicherheitsfahrplan für 2026, sodass jeder Schritt einen Beitrag leistet und die Auswirkungen auf Ihre Mitarbeiter so gering wie möglich bleiben.

Sind Sie neugierig, wie sicher Ihre Umgebung wirklich ist?

Möchten Sie wissen, wo Ihre Organisation steht, ohne dass Ihnen dadurch sofort Kosten entstehen? Vereinbaren Sie ein unverbindliches Kennenlerngespräch mit New Yard. Gemeinsam betrachten wir Ihre aktuelle Situation und vermitteln Ihnen ein klares Bild der wichtigsten Verbesserungsmöglichkeiten. Sie gehen keinerlei Verpflichtung ein und wissen danach auf jeden Fall, wo Sie stehen. Besuchen Sie newyard.nl oder nehmen Sie Kontakt mit uns auf.