IT-Sicherheitskonzept erstellen: Anleitung + Muster
IT-Sicherheitskonzept für den Mittelstand: Was hineingehört, eine Muster-Gliederung zum Kopieren und die Erstellung in 5 Schritten – angelehnt an BSI IT-Grundschutz.
- Ein IT-Sicherheitskonzept ist das Dokument, das festhält, welche Werte ein Unternehmen wie schützt – von der Risikoanalyse über die Maßnahmen bis zu Rollen und Notfallvorsorge.
- Die drei Schutzziele sind Vertraulichkeit, Integrität und Verfügbarkeit (englisch CIA) – jede Maßnahme lässt sich einem davon zuordnen.
- Ein gutes Konzept beginnt mit dem Geltungsbereich – in der BSI-Methodik Informationsverbund genannt – und der Schutzbedarfsfeststellung in den drei Stufen normal, hoch und sehr hoch, nicht mit dem Kauf von Technik.
- Für den Mittelstand reicht die Basis-Absicherung – eine der drei Vorgehensweisen im BSI-Standard 200-2. Den dazugehörigen Leitfaden zur Basis-Absicherung nach IT-Grundschutz weist das BSI ausdrücklich als besonders geeignet für kleine und mittelständische Unternehmen aus; ein Konzern-ISMS nach ISO 27001 ist nicht nötig.
- Treiber sind NIS2, Cyber-Versicherer und Auftraggeber – und die Schadenshöhe: Die Bitkom-Studie Wirtschaftsschutz 2025 beziffert den jährlichen Schaden für die deutsche Wirtschaft durch Datendiebstahl, Spionage und Sabotage auf 289,2 Milliarden Euro.
Ein IT-Sicherheitskonzept sollte kein Ordner sein, der die Prüfung besteht und danach im Regal verschwindet. Richtig gemacht, ist es die Landkarte Ihrer IT-Sicherheit: Es beschreibt, was geschützt wird, wovor, mit welchen Maßnahmen und durch wen. Dieser Beitrag zeigt, was in ein IT-Sicherheitskonzept gehört, liefert eine Muster-Gliederung zum Kopieren und führt Sie in fünf Schritten durch die Erstellung – pragmatisch, am BSI IT-Grundschutz orientiert, für den Mittelstand.
Warum ein IT-Sicherheitskonzept unverzichtbar ist
Cyberangriffe auf den Mittelstand nehmen zu, und die Täter werden professioneller. Die seit 2015 jährlich erhobene Studie Wirtschaftsschutz 2025 des Digitalverbands Bitkom (1.002 befragte Unternehmen) beziffert den Gesamtschaden für die deutsche Wirtschaft durch Datendiebstahl, Industriespionage und Sabotage auf 289,2 Milliarden Euro im Jahr – 70 Prozent davon entfallen auf Cyberattacken. 87 Prozent der Unternehmen waren in den vorangegangenen zwölf Monaten von Angriffen betroffen oder vermuten das.
Ein IT-Sicherheitskonzept ist die strukturierte Antwort darauf: Es schützt Systeme, Daten und Geschäftsprozesse planvoll statt punktuell. Ohne Konzept bleibt der Schutz Stückwerk – einzelne Maßnahmen ohne Zusammenhang, mit gefährlichen Lücken an den Schnittstellen zwischen Systemen.
Das Dokument führt durch alle Teilbereiche der IT-Infrastruktur – von den Endgeräten über Netze und Anwendungen bis zu den Schnittstellen nach außen – und macht sichtbar, wo sensible Daten liegen, welche Sicherheitslücken bestehen und mit welchem Sicherheitsstandard sie geschlossen werden. Kurz: Es verwandelt ein diffuses Sicherheitsgefühl in einen nachprüfbaren Zustand. Wo Sie heute stehen, zeigt in zehn Minuten der IT-Sicherheits-Check.
Die drei Schutzziele als Fundament
Jede Überlegung zur IT-Sicherheit dreht sich um drei Schutzziele: Vertraulichkeit (nur Berechtigte sehen die Daten), Integrität (Daten sind korrekt und unverändert) und Verfügbarkeit (Systeme und Daten sind da, wenn sie gebraucht werden). Im Englischen kürzt man sie als CIA ab – Confidentiality, Integrity, Availability.
Der praktische Nutzen: Jede Maßnahme, jede Regel, jede Investition lässt sich einem dieser Ziele zuordnen. Das schützt vor Aktionismus und macht Lücken sichtbar. Wer eine Maßnahme keinem Schutzziel zuordnen kann, hat entweder das Ziel nicht verstanden oder braucht die Maßnahme nicht.
Was in ein IT-Sicherheitskonzept gehört
Ein vollständiges Konzept deckt mehrere Bereiche ab. Angelehnt an die Methodik des BSI IT-Grundschutzes sind das:
- Geltungsbereich (Informationsverbund): Welche Systeme, Anwendungen, Daten, Standorte und Personen umfasst das Konzept?
- Strukturanalyse und Inventar: Was ist überhaupt vorhanden – Geräte, Software, Netze, Datenflüsse?
- Schutzbedarfsfeststellung: Wie schützenswert ist jeder Wert (normal, hoch, sehr hoch)?
- Risikoanalyse: Welche Bedrohungen und Schwachstellen bestehen, wie wahrscheinlich und wie schwer?
- Maßnahmen (TOMs): technische und organisatorische Maßnahmen, die den Risiken begegnen.
- Rollen und Verantwortlichkeiten: Wer ist wofür zuständig?
- Notfallvorsorge: Was passiert im Ernstfall? (Verweis auf den Notfallplan.)
- Schulung und Sensibilisierung: Wie werden Mitarbeitende einbezogen?
Der Geltungsbereich ist dabei kein formaler Vorspann, sondern die wichtigste Weichenstellung. Das BSI schreibt in seiner Lerneinheit zum Sicherheitskonzept, dass ein Sicherheitskonzept immer einen festgelegten Geltungsbereich hat, der in der IT-Grundschutz-Methodik Informationsverbund heißt, und dass dieser eine sinnvolle Mindestgröße haben muss – empfohlen wird grundsätzlich, die gesamte Institution zu betrachten.
Schutzbedarf feststellen: normal, hoch, sehr hoch
Die Schutzbedarfsfeststellung ist der Schritt, an dem sich ein brauchbares Konzept von einer Textsammlung trennt. Sie stuft jeden Wert – Anwendung, Datenbestand, System, Raum – für jedes der drei Schutzziele getrennt ein, und zwar über die Schadenshöhe, die bei einer Verletzung des Ziels entstünde:
| Schutzbedarf | Schadensauswirkung | Typisches Beispiel im Mittelstand |
|---|---|---|
| normal | begrenzt und überschaubar | Intranet-Seiten, allgemeine Vorlagen, Testsysteme |
| hoch | beträchtlich, spürbar für den Betrieb | ERP, Lohnbuchhaltung, Kundendaten im CRM |
| sehr hoch | existenziell bedrohlich | Konstruktionsdaten, Patientendaten, Produktionssteuerung |
Wo genau die Grenze zwischen den Stufen verläuft, legt jedes Unternehmen selbst fest: Das BSI liefert in Lerneinheit zu den Schutzbedarfskategorien bewusst nur allgemeine Definitionen zum Anpassen – was für einen Konzern „tolerabel” ist, kann einen Mittelständler in die Insolvenz führen.
Zwei Prinzipien der BSI-Vererbungsregeln helfen dabei, sich nicht zu verlieren. Nach dem Maximumprinzip erbt ein System den höchsten Schutzbedarf der Anwendungen, die darauf laufen – ein Server mit der Lohnbuchhaltung ist nicht mehr „normal”, nur weil daneben ein Testsystem liegt. Und der Kumulationseffekt hebt die Einstufung an, wenn viele Anwendungen mit normalem Bedarf auf einem System zusammenlaufen und gleichzeitig ausfallen können; ein Backup-Ziel, auf dem alles liegt, ist deshalb fast immer „hoch”.
Muster-Gliederung zum Kopieren
Diese Struktur können Sie als Ausgangspunkt für Ihr eigenes Dokument übernehmen:
- Einleitung und Ziele – Zweck, Geltungsbereich, Verantwortliche
- Geltungsbereich / Informationsverbund – Systeme, Standorte, Daten, Rollen
- Strukturanalyse – Inventar der Geräte, Anwendungen, Netze
- Schutzbedarfsfeststellung – Einstufung nach Vertraulichkeit, Integrität, Verfügbarkeit
- Risikoanalyse – Bedrohungen, Schwachstellen, Bewertung
- Technische und organisatorische Maßnahmen – Zugriffskontrolle, Verschlüsselung, Backup, Patch-Management, Firewall, MFA, Awareness
- Rollen und Verantwortlichkeiten – Leitung, IT, Datenschutz, Fachbereiche
- Notfallmanagement – Verweis auf den IT-Notfallplan, Meldewege
- Schulung und Sensibilisierung – Awareness-Programm
- Pflege und Aktualisierung – Review-Rhythmus, Auslöser für Anpassungen
Kopieren Sie diese Gliederung, aber füllen Sie sie mit Ihrer Realität. Ein abgeschriebenes Muster ohne Bezug zu Ihren tatsächlichen Systemen ist wertlos – der Wert entsteht bei der ehrlichen Bestandsaufnahme.
Das Konzept in fünf Schritten erstellen
Die Reihenfolge ist entscheidend: Wer bei den Maßnahmen anfängt, kauft Technik gegen Risiken, die er noch gar nicht kennt.
- Geltungsbereich festlegen. Grenzen Sie ein, was das Konzept abdeckt – anfangs lieber kleiner und vollständig als groß und lückenhaft.
- Bestandsanalyse und Schutzbedarf aufnehmen. Erfassen Sie Systeme und Daten und stufen Sie ihren Schutzbedarf ein. Hier zeigt sich, was wirklich kritisch ist – und welche Sicherheitslücken die dringendste Aufmerksamkeit brauchen.
- Risiken bewerten. Gleichen Sie Bedrohungen mit dem vorhandenen Schutz ab. Wo klafft die größte Lücke zwischen Schutzbedarf und Realität?
- Maßnahmen festlegen und umsetzen. Priorisiert: erst die großen Risiken mit einfachen Mitteln (MFA, Backup, Patches), dann die Feinheiten. Unsere IT-Sicherheits-Checkliste für den Mittelstand hilft bei der Priorisierung.
- Dokumentieren und pflegen. Halten Sie alles nachvollziehbar fest und legen Sie einen Review-Rhythmus fest – mindestens jährlich und bei größeren Änderungen.
Realistisch sind für einen Betrieb mit 20 bis 100 Arbeitsplätzen mehrere Personentage bis zur ersten belastbaren Fassung, verteilt über einige Wochen. Der größte Zeitfresser ist selten das Schreiben, sondern die Bestandsaufnahme – weil niemand mehr genau weiß, welche Altanwendung auf welchem Server noch läuft.
Wir starten jede Zusammenarbeit mit einer Risikoanalyse gemeinsam mit der Geschäftsführung. Nicht um Angst zu machen, sondern um ehrlich zu sehen, wo Sie stehen und was zuerst dran ist.
Jens HagelGründer & Geschäftsführer
Die Maßnahmen: technisch und organisatorisch
Das Herzstück jedes Konzepts sind die technischen und organisatorischen Maßnahmen (TOMs), die den erkannten Risiken begegnen. Technisch gehören dazu Firewalls und Netztrennung, aktuelle Updates gegen bekannte Schwachstellen, Schutz vor Schadsoftware per EDR sowie eine saubere Zugriffskontrolle mit Multi-Faktor-Authentifizierung. Für die Verfügbarkeit steht eine geprüfte Backup-Strategie ein; wie sie aufgebaut wird, beschreibt der Beitrag zur 3-2-1-Regel im Mittelstand.
Organisatorisch zählen Richtlinien, klare Zuständigkeiten und die Sensibilisierung der Mitarbeitenden – oft die wirksamste einzelne Maßnahme, weil die meisten Angriffe beim Menschen ansetzen. Wie das in der Praxis aussieht, zeigt der Leitfaden zum Erkennen von Phishing-Mails. Entscheidend ist die Passung: Die Maßnahmen folgen dem festgestellten Schutzbedarf, nicht einer Verkaufsbroschüre.
Datenschutz mitdenken: Privacy by Design
IT-Sicherheit und Datenschutz sind zwei Seiten derselben Medaille. Artikel 32 DSGVO verlangt für personenbezogene Daten „geeignete technische und organisatorische Maßnahmen” unter Berücksichtigung von Stand der Technik, Implementierungskosten und Eintrittswahrscheinlichkeit – und nennt Verschlüsselung, Pseudonymisierung, Belastbarkeit der Systeme und die regelmäßige Überprüfung der Wirksamkeit ausdrücklich. Genau diese Angemessenheitsprüfung lässt sich ohne dokumentierten Schutzbedarf nicht führen.
Wer ein Sicherheitskonzept erstellt, sollte deshalb Privacy by Design und Privacy by Default gleich mitdenken: Datenschutz von Anfang an in die Systeme einbauen, datensparsame Voreinstellungen wählen und Löschregeln festlegen.
Ein Konzept, das lebt: der PDCA-Zyklus
Ein IT-Sicherheitskonzept ist kein Zustand, sondern ein Prozess. Bewährt hat sich der PDCA-Zyklus (Plan – Do – Check – Act): planen, umsetzen, regelmäßig überprüfen, verbessern. Diese Denkweise verankert das Thema IT-Sicherheit dauerhaft, statt es einmal abzuhaken, und hält das Sicherheitsniveau auf der Höhe der Bedrohungslage. Auch Cyber-Versicherer honorieren einen nachweisbar gepflegten Sicherheitsstandard – zunehmend setzen sie ihn voraus.
Woran Sie merken, dass Ihr Konzept lebt statt zu verstauben:
- Änderungsnachweis vorhanden. Version, Datum und Verantwortliche stehen auf Seite 1, die letzte Änderung liegt weniger als zwölf Monate zurück.
- Inventar stimmt mit der Realität überein. Stichprobe: fünf Geräte ziehen, prüfen, ob sie im Konzept auftauchen.
- Maßnahmen haben einen Umsetzungsstand. Nicht „ist geplant", sondern offen, in Umsetzung oder umgesetzt – mit Datum.
- Wiederherstellung wurde getestet. Ein Backup, das nie zurückgespielt wurde, ist eine Annahme, keine Maßnahme.
- Rollen sind besetzt, nicht nur benannt. Jede Zuständigkeit hat eine Person und eine Vertretung.
Fällt einer dieser fünf Punkte durch, ist das kein Grund, das Konzept neu zu schreiben – wohl aber, den nächsten Review-Termin vorzuziehen.
Der häufigste Fehler ist nicht das fehlende Konzept, sondern das eingefrorene. Ein Dokument, das den Serverwechsel, die Cloud-Migration und drei Fachanwendungen nicht kennt, beschreibt ein Unternehmen, das es nicht mehr gibt – und deckt im Schadensfall nichts ab.
BSI-Grundschutz „light” für den Mittelstand
Der volle BSI IT-Grundschutz ist umfangreich – für viele Mittelständler zu umfangreich. Er ist aber ausdrücklich skalierbar. Der BSI-Standard 200-2 beschreibt drei Vorgehensweisen – Basis-Absicherung, Kern-Absicherung und Standard-Absicherung –, und das BSI weist den ergänzenden „Leitfaden zur Basis-Absicherung nach IT-Grundschutz” als besonders geeignet für kleine und mittelständische Unternehmen aus. Der BSI-Grundschutz in dieser Form setzt die wichtigsten Maßnahmen zuerst um, statt auf Vollständigkeit zu zielen: pragmatisch, nachweisbar, ausbaufähig.
Wichtig ist die Verzahnung mit den anderen Sicherheits-Dokumenten. Das Sicherheitskonzept beschreibt die Vorsorge, der IT-Notfallplan regelt den Ernstfall. Und weil das NIS2-Umsetzungsgesetz ein systematisches Risikomanagement verlangt, ist ein sauberes Sicherheitskonzept zugleich ein großer Schritt zur NIS2-Konformität. Ob Ihr Unternehmen überhaupt in den Anwendungsbereich fällt, klärt der NIS2-Check.
„Dafür haben wir kein Budget” – die ehrliche Rechnung
Der häufigste Einwand gegen ein Sicherheitskonzept ist nicht inhaltlich, sondern finanziell. Er hält der Rechnung selten stand: Die Erstellung kostet vor allem Zeit, und die laufenden Maßnahmen sind kalkulierbar. kjello ist die IT-Abteilung als Service für den Mittelstand — ein Self-Service-Portal für On-/Offboarding, Geräte-Management und IT-Support, betrieben vom Hamburger Systemhaus hagel IT (seit 2004). Darin sind Portal, Geräte- und Inventar-Management, Accounts und Support in 29 Euro pro Nutzer und Monat enthalten, Antivirus/EDR kostet 10 Euro pro Nutzer und Monat zusätzlich, Microsoft-365-Lizenzen laufen als Durchleitung (netto, Stand 08/2026; alle Angaben unter Preise). Ein einziger verschlüsselter Betriebstag kostet in der Regel mehr als ein Jahr dieser Beträge.
kjello ist dabei auf den Mittelstand mit 20 bis 250 Mitarbeitenden zugeschnitten – nicht auf Konzerne mit eigener IT-Abteilung und nicht auf reine Cloud-only-Startups. Für diese Größenklasse ist die Basis-Absicherung der richtige Maßstab, und die Maßnahmen daraus lassen sich in den laufenden Betrieb übernehmen, statt sie als Projekt zu führen.
Es ist immer nur ein Pflaster auf die Wunde geklebt worden, statt dass wir ein Konzept hatten.
Genau dieser Zustand ist der Normalfall, wenn Sicherheit reaktiv betrieben wird: Jeder Vorfall erzeugt eine Einzelmaßnahme, keine dieser Maßnahmen kennt die anderen, und nach drei Jahren weiß niemand mehr, welche Regel warum gilt.
30 Minuten, kostenlos, ohne Vertriebsdruck: Wir schauen uns Ihren Schutzbedarf an und sagen Ihnen, was zuerst dran ist.
Gespräch vereinbarenFazit: das lebende Dokument
Ein gutes IT-Sicherheitskonzept ist kein einmaliges Projekt, sondern ein lebendes Dokument: Sein Wert entsteht nicht durch die Existenz, sondern durch die Pflege. Wer es einmal sauber aufsetzt und danach jährlich fortschreibt, hat nicht nur ein Dokument für Prüfer und Versicherer, sondern eine echte Steuerung seiner IT-Sicherheit. Wie kjello die im Konzept beschriebenen Maßnahmen in den laufenden Betrieb bringt und ihren Umsetzungsstand nachweisbar hält, zeigt der Bereich Sicherheit & Compliance.
Geschrieben von
Jens Hagel
Gründer & Geschäftsführer
Jens Hagel gründete 2004 das Systemhaus hinter kjello und betreut mit seinem Team über 150 mittelständische Unternehmen. Er schreibt über das, was er in echten Firmen erlebt – praxisnah, ehrlich und ohne Fachchinesisch.
Häufige Fragen
Ist ein IT-Sicherheitskonzept Pflicht?
Was ist der Unterschied zwischen IT-Sicherheitskonzept und ISMS?
Wie umfangreich muss ein IT-Sicherheitskonzept sein?
Wer erstellt das IT-Sicherheitskonzept?
Wie oft muss ein IT-Sicherheitskonzept aktualisiert werden?
Was kostet ein IT-Sicherheitskonzept?
Sicherheit & Compliance mit kjello aufsetzen
Vom Sicherheitskonzept bis zur Umsetzung: kjello bringt die Maßnahmen in den laufenden Betrieb – und hält sie aktuell, statt sie im Ordner verstauben zu lassen.
