IT-Sicherheit-Checkliste für KMU: 25 Punkte
Die IT-Sicherheits-Checkliste für den Mittelstand: 25 konkrete Punkte in fünf Bereichen, mit Ampel-Selbstcheck – von MFA über Backup bis Notfallplan. Praxisnah statt Theorie.
- 87 Prozent der Unternehmen in Deutschland waren zuletzt von Datendiebstahl, Spionage oder Sabotage betroffen (Bitkom Wirtschaftsschutz 2025) – der Mittelstand ist ein Hauptziel.
- Die wichtigsten Schutzmaßnahmen für KMU lassen sich in fünf Bereiche gliedern: Zugänge, Geräte, Daten, Netzwerk und Mensch.
- Multi-Faktor-Authentifizierung, geprüfte Backups und zeitnahe Updates verhindern die häufigsten erfolgreichen Angriffe – sie gehören auf jede Prioritätenliste.
- Ein einfacher Ampel-Check zeigt schnell, wo Ihr Unternehmen steht: grün (erledigt), gelb (teilweise), rot (offen).
- Sicherheit ist kein Produkt, sondern ein laufender Betrieb – als betreuter Service bei kjello ab 29 € pro Arbeitsplatz und Monat, EDR optional für 10 € zusätzlich.
- Das BSI empfiehlt kleinen und mittleren Unternehmen einen strukturierten CyberRisikoCheck (DIN SPEC 27076) – diese Checkliste deckt einen großen Teil davon ab.
Der Mittelstand galt lange als „zu klein, um interessant zu sein”. Diese Annahme ist gefährlich falsch. Cybersicherheit gilt in vielen kleinen und mittleren Unternehmen (KMU) als Thema für Konzerne – dabei hängt der eigene Geschäftsbetrieb genauso an einer funktionierenden IT. Angreifer arbeiten automatisiert und nehmen, was sich leicht öffnen lässt – und schlecht gesicherte KMU sind genau das. Diese Checkliste bringt Ihre IT-Sicherheit auf 25 konkrete Punkte, die Sie selbst durchgehen können. Kein Fachchinesisch, sondern eine Liste zum Abhaken – mit einer einfachen Ampel-Logik am Ende.
Warum gerade der Mittelstand betroffen ist
Die Bedrohungslage 2026 ist keine Panikmache, sondern messbar. Laut der Bitkom-Studie Wirtschaftsschutz 2025 waren 87 Prozent der Unternehmen in den vergangenen zwölf Monaten von Datendiebstahl, Spionage oder Sabotage betroffen. Cyberangriffe sind dabei für rund zwei Drittel des Gesamtschadens verantwortlich, der der deutschen Wirtschaft entsteht.
Der Mittelstand ist besonders exponiert, weil hier oft eine einzelne Person die IT trägt und Sicherheit im Tagesgeschäft untergeht. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) benennt kleine und mittlere Unternehmen seit Jahren als lohnendes Ziel: Die Angriffsfläche wächst mit jedem Gerät und jeder Cloud-Anwendung, während die Ressourcen für Informationssicherheit begrenzt bleiben. Wer seine Schwachstellen nicht kennt, kann sie auch nicht schließen. Genau deshalb hilft eine strukturierte Liste: Sie macht sichtbar, was fehlt, bevor es jemand anderes findet.
Warum ein Sicherheitskonzept mehr ist als eine Checkliste
Eine Checkliste ist der Einstieg, kein Ersatz für ein Sicherheitskonzept. Der Unterschied: Ein Konzept betrachtet Ihre IT-Infrastruktur und Ihre Geschäftsprozesse als Ganzes und legt fest, welche Komponenten wie geschützt werden – technisch und organisatorisch. Zu den technischen Maßnahmen zählen Firewall, Verschlüsselung oder Endpoint-Schutz; die organisatorischen Maßnahmen regeln Verantwortlichkeiten, Zugriffsrechte und den Umgang mit sensiblen Daten.
Entscheidend ist, dass die Geschäftsführung – konkret die Geschäftsführerin oder der Geschäftsführer – das Thema trägt. Informationssicherheit ist keine reine IT-Aufgabe, sondern Chefsache: Sie schützt die Wettbewerbsfähigkeit und den laufenden Geschäftsbetrieb. Ein systematisch etabliertes Konzept beginnt damit, die wirklich schützenswerten Werte zu identifizieren und die Risiken zu analysieren, und definiert daraus ein angemessenes Sicherheitsniveau – nicht mehr, aber auch nicht weniger, als das Unternehmen braucht.
Häufige Schwachstellen im Mittelstand
Bevor Sie die Liste durchgehen, hilft ein Blick auf die Muster, die sich in vielen kleinen und mittleren Unternehmen wiederholen. Es sind selten exotische Angriffe, sondern immer wieder dieselben offenen Türen.
Am häufigsten sind veraltete Systeme: Werden Betriebssysteme, Clients und die weitere Hardware nicht konsequent gepatcht, bleiben bekannte Sicherheitslücken monatelang offen – genau nach solchen Schwachstellen sucht automatisierte Schadsoftware zuerst. Ein zweites Muster ist fehlende Multi-Faktor-Authentifizierung: Ein einziges erbeutetes Passwort genügt dann für den Zugang. Dazu kommen ungetestete Backups, zu weit vergebene Zugriffsrechte und ein Postfach ohne wirksamen Phishing-Filter. Oft übersehen wird Schatten-IT: Programme und Cloud-Dienste, die Mitarbeitende an der IT vorbei nutzen und die niemand absichert.
Was diese Punkte verbindet: Sie entstehen nicht aus fehlendem Wissen, sondern weil im Tagesgeschäft niemand die IT-Security systematisch im Blick behält. Die Bedrohung ist real, aber die Angriffsfläche lässt sich mit überschaubarem Aufwand deutlich verkleinern – vorausgesetzt, jemand kümmert sich verlässlich um Updates, Patch-Management und Monitoring. Genau diese Lücken deckt die folgende Checkliste Punkt für Punkt ab.
Die IT-Sicherheits-Checkliste für KMU (25 Punkte)
Gehen Sie jeden Punkt durch und markieren Sie ihn im Kopf – oder auf Papier – als grün (erledigt), gelb (teilweise) oder rot (offen).
A. Zugänge & Identität
Die meisten erfolgreichen Angriffe beginnen mit gestohlenen Zugangsdaten. Wer Zugriffsrechte sauber vergibt und jeden Zugang absichert, nimmt Angreifern die einfachste Tür. Ein sauberes Management der Identitäten – von der Vergabe bis zum sofortigen Entzug – gehört deshalb zu den wirksamsten organisatorischen Maßnahmen überhaupt.
- Multi-Faktor-Authentifizierung (MFA) ist für alle wichtigen Zugänge aktiv – besonders Microsoft 365, VPN und Admin-Konten.
- Passwortrichtlinie verhindert Trivial-Passwörter; ein Passwortmanager ist im Einsatz.
- Least Privilege: Jeder hat nur die Rechte, die er braucht – keine Admin-Rechte „zur Sicherheit”.
- Getrennte Admin-Konten: Administratoren arbeiten nicht mit ihrem Alltagskonto.
- Offboarding sperrt sofort: Wenn jemand geht, werden Konten und Zugänge am selben Tag deaktiviert. Wie das automatisiert läuft, zeigt unser Onboarding-/Offboarding-Ratgeber.
B. Geräte & Updates
Jeder Client, jedes mobile Gerät und jede weitere Hardware im Netz ist ein potenzielles Einfallstor. Werden Betriebssysteme und Anwendungen nicht regelmäßig gepatcht, bleiben bekannte Sicherheitslücken offen – konsequentes Patch-Management spielt Updates regelmäßig und möglichst automatisiert ein. Je mehr Geräte im Einsatz sind, desto größer die Angriffsfläche; eine zentrale Verwaltung hält sie klein und sorgt dafür, dass kein System übersehen wird.
- Updates zeitnah: Betriebssysteme und Programme werden automatisch und schnell gepatcht.
- Endpoint-Schutz: Auf jedem Gerät läuft moderner Schutz – idealerweise EDR statt nur klassischem Virenscanner.
- Festplattenverschlüsselung (BitLocker/FileVault) ist auf allen mobilen Geräten aktiv.
- Zentrale Geräteverwaltung: Alle Firmengeräte sind erfasst und verwaltbar – Grundlage ist ein sauberes Mobile Device Management.
- Keine veralteten Systeme ohne Sicherheitsupdates im produktiven Einsatz.
C. Daten & Backup
Eine funktionierende Datensicherung entscheidet, ob ein Sicherheitsvorfall ein Ärgernis oder eine Existenzfrage wird. Sie schützt nicht nur vor Ransomware, sondern auch vor dem Diebstahl von Hardware und vor versehentlichem Löschen – etwa in der Buchhaltung. Entscheidend ist die getestete Wiederherstellung, nicht das bloße Anlegen von Backups. Wo möglich, werden sensible Daten verschlüsselt gesichert und mindestens eine Kopie getrennt vom Tagesbetrieb aufbewahrt.
- 3-2-1-Backup: drei Kopien, zwei Medien, eine außer Haus beziehungsweise offline.
- Backups werden geprüft: Eine Wiederherstellung wurde tatsächlich getestet – ein ungetestetes Backup ist kein Backup.
- Ransomware-sicher: Mindestens eine Sicherung ist unveränderbar oder offline, sodass Angreifer sie nicht mitverschlüsseln.
- DSGVO-Grundlagen: Verzeichnis der Verarbeitungstätigkeiten und Auftragsverarbeitungsverträge liegen vor.
- Sensible Daten sind klassifiziert und zugriffsbeschränkt, nicht offen im Netzlaufwerk für alle.
D. Netzwerk & E-Mail
Das Netzwerk ist Ihre Angriffsfläche nach außen, E-Mail das häufigste Einfallstor. Schädliche Anhänge und Links landen täglich in Postfächern – Filter und ein sauber getrenntes Netz verkleinern das Risiko spürbar. Eine aktuelle, sinnvoll konfigurierte Firewall und ein laufendes Monitoring sorgen dafür, dass Auffälligkeiten früh bemerkt werden – nicht erst, wenn bereits Daten abfließen.
- Firewall ist vorhanden, aktuell und sinnvoll konfiguriert – nicht Werkseinstellung.
- Spam- und Phishing-Filter sind aktiv; E-Mail bleibt das häufigste Einfallstor.
- Gäste-WLAN getrennt vom Firmennetz.
- Fernzugriffe abgesichert über VPN mit MFA, keine offenen Remote-Desktop-Ports ins Internet.
- Monitoring: Auffälligkeiten im Netzwerk werden bemerkt, nicht erst nach Wochen.
E. Mensch & Notfall
Technik allein reicht nicht: Ein durchdachtes Notfallmanagement mit dokumentiertem IT-Notfallplan legt den Ablauf für den Ernstfall fest – wer als Ansprechpartner sofort informiert wird, wie die Kommunikation bei einer Störung läuft und wie der Geschäftsbetrieb weiterläuft. Ebenso wichtig ist die regelmäßige Sensibilisierung der Mitarbeitenden: Sie schützt vor Social Engineering, also dem Versuch, statt der Technik den Menschen zu überlisten.
- Awareness: Mitarbeitende wissen, wie sie Phishing erkennen und wo sie Verdächtiges melden.
- Meldeweg klar: Jeder weiß, wen er bei einem Sicherheitsvorfall sofort informiert.
- Notfallplan existiert – schriftlich, mit Zuständigkeiten und Kontakten, auch wenn die IT ausfällt.
- Dokumentation aktuell: Systeme, Zugänge und Verträge sind dokumentiert und nicht nur im Kopf einer Person.
- Verantwortung geklärt: Es ist eindeutig, wer für IT-Sicherheit zuständig ist – intern oder beim Dienstleister.
So werten Sie den Check aus
Zählen Sie Ihre Markierungen:
- Überwiegend grün: solide Basis. Halten Sie den Stand über eine regelmäßige Überprüfung und laufendes Monitoring.
- Viel gelb: Sie tun das Richtige, aber unvollständig. Priorisieren Sie die roten Punkte in den Bereichen A (Zugänge) und C (Backup) – dort ist der Hebel am größten.
- Mehrere rote Punkte bei MFA, Backup oder Updates: akuter Handlungsbedarf. Das sind die Lücken, durch die die meisten erfolgreichen Angriffe laufen.
Die Rolle von Schulungen und BSI-Empfehlungen
Kein Filter fängt alles ab – deshalb ist der Mensch die wichtigste Verteidigungslinie. Regelmäßige Schulungen zur Security-Awareness sensibilisieren Mitarbeitende für Social Engineering und Phishing, also für den Versuch, sich Zugänge zu erschleichen, statt Technik zu überwinden. Diese Sensibilisierung wirkt nur, wenn sie wiederholt wird – nicht als einmalige Pflichtübung.
Als Orientierung lohnt der Blick auf die Empfehlungen des BSI, allen voran das IT-Grundschutz-Kompendium mit seinen Bausteinen für einzelne Systeme und Abläufe. Für kleine Unternehmen gibt es mit dem CyberRisikoCheck nach DIN SPEC 27076 eine standardisierte Beratung, die den Ist-Stand aufnimmt und daraus konkrete Handlungsempfehlungen ableitet – häufig kostenlos oder gefördert und über einen spezialisierten IT-Dienstleister umsetzbar. Wer die Punkte dieser Checkliste abarbeitet, deckt bereits einen großen Teil dieser Empfehlungen ab.
Von der Liste zur Umsetzung
Eine Checkliste zeigt Lücken – schließen muss man sie trotzdem. Genau hier scheitern viele KMU: Die roten Punkte sind bekannt, aber im Tagesgeschäft bleibt keine Zeit. Sicherheit ist eben kein Produkt, das man einmal kauft, sondern ein laufender Betrieb aus Updates, geprüften Backups, Monitoring und aktueller Dokumentation.
Als betreuter Service übernimmt kjello diese Daueraufgabe: Endpoint-Schutz, Backup, Monitoring und eine nachweisbare Verwaltung Ihrer Geräte und Zugänge – zum planbaren Preis pro Arbeitsplatz. Der laufende Betrieb beginnt bei 29 € pro Arbeitsplatz und Monat, erweiterter Endpoint-Schutz (EDR) kostet 10 € pro Gerät und Monat zusätzlich. Wie das im Detail aussieht, sehen Sie auf der Seite IT-Sicherheit & Compliance, einen Überblick über die gesamte Plattform gibt die Produktseite.
Sie möchten die 25 Punkte in Ruhe im Team durchgehen? Fordern Sie unsere Grundschutz-Checkliste über das Formular an und laden Sie sie herunter, um die relevanten Maßnahmen strukturiert abzuhaken. Wenn Sie bei einzelnen Punkten unsicher sind, beraten Sie unsere Experten – ob intern begleitet oder als externe Unterstützung – zum weiteren Ablauf: vom schnellen Cyberrisiko-Blick bis zum umfassenden, professionell aufgesetzten Sicherheitskonzept.
Geschrieben von
Jens Hagel
Gründer & Geschäftsführer
Jens Hagel gründete 2004 das Systemhaus hinter kjello und betreut mit seinem Team über 150 mittelständische Unternehmen. Er schreibt über das, was er in echten Firmen erlebt – praxisnah, ehrlich und ohne Fachchinesisch.
Häufige Fragen
Was gehört zu einer IT-Sicherheits-Checkliste für den Mittelstand?
Was ist die wichtigste IT-Sicherheitsmaßnahme für KMU?
Wie oft sollte man die IT-Sicherheit überprüfen?
Reicht ein Virenscanner für die IT-Sicherheit aus?
Was kostet IT-Sicherheit für ein kleines Unternehmen?
Brauche ich als KMU ein Sicherheitskonzept oder reicht eine Checkliste?
Was empfiehlt das BSI kleinen und mittleren Unternehmen?
Welche Schwachstellen sind bei KMU am häufigsten?
IT-Sicherheit & Compliance ansehen
Endpoint-Schutz, Backup, Monitoring und nachweisbare Verwaltung – kjello bringt Ihre Sicherheit auf einen verlässlichen Stand und hält sie dort.
