Die 5 häufigsten IT-Sicherheitsfehler von Unternehmen (und wie man sie vermeidet)

Kleine und mittelständische Unternehmen gelten oft als ein „uninteressantes Ziel“ für Cyberangriffe. Schließlich haben sie weder millionenschwere Umsätze noch umfangreiche Datenbanken. Die Realität ist jedoch anders: Angreifer wählen gerade diese Unternehmen aus, weil sie sich viel leichter angreifen lassen.

Warum Unternehmen verwundbar sind:

• Sie haben keine eigene IT-Abteilung oder keinen Spezialisten für Cybersicherheit
• Sie nutzen günstige oder nicht aktualisierte Lösungen, oft ohne grundlegenden Schutz
• Mitarbeitende werden häufig nicht geschult, riskante Situationen zu erkennen
• Sicherheit ist kein Teil der Unternehmenskultur, sondern „ein technisches Thema für jemand anderen“

Cybersicherheit ist jedoch nicht nur eine Frage des Budgets oder der Technologie – in erster Linie ist sie eine Frage von Disziplin, Verantwortungsbewusstsein und gesunden Gewohnheiten. Auch ein Unternehmen ohne Spezialisten kann viel erreichen, wenn es die Grundregeln klar hat.

Praktischer Tipp: Stellen Sie sich eine einfache Frage: „Wenn uns heute jemand alle Daten löschen oder den Zugriff auf ein Konto blockieren würde – wissen wir, was zu tun ist?“ Wenn die Antwort nicht eindeutig ist, hilft Ihnen der Artikel, den Sie gerade lesen, beim Einstieg.

1. Schwache, wiederverwendete oder geteilte Passwörter

Passwörter sind oft die erste und gleichzeitig einzige Barriere zwischen einem Angreifer und Ihren Unternehmensdaten. Trotzdem begegnen wir in vielen Unternehmen noch immer Praktiken wie:

• Verwendung einfacher Passwörter wie „Firma2023“ oder „admin123“,
• dasselbe Passwort für mehrere Dienste (E-Mail, CRM, Fakturierungssystem),
• Weitergabe von Zugangsdaten unter Kollegen, oft ohne Kontrolle.

Warum das ein Problem ist:

• Einfache Passwörter werden in wenigen Sekunden mit automatisierten Tools geknackt.
• Wenn ein Passwort nach außen gelangt (z. B. durch ein Leck bei einem anderen Dienst), hat der Angreifer Zugriff auf alle Systeme.
• Geteilte Konten machen es unmöglich nachzuvollziehen, wer was getan hat – und im Falle eines Vorfalls wissen Sie nicht, wo Sie nach dem Problem suchen sollen.

Was Sie dagegen tun können:

• Einzigartige Passwörter für jeden Benutzer und jeden Dienst einführen.
• Einen Passwortmanager nutzen, der Zugangsdaten sicher speichert (z. B. Bitwarden, KeePass, 1Password).
• Zwei-Faktor-Authentifizierung (MFA) aktivieren, insbesondere bei E-Mails, Cloud-Tools und Systemzugängen.

Praktischer Tipp: Wenn Sie nicht wissen, wo Sie anfangen sollen, wählen Sie ein zentrales Konto (z. B. E-Mail oder Fakturierungssystem) und aktivieren Sie dort noch heute die Zwei-Faktor-Authentifizierung. Das dauert nur ein paar Minuten, kann aber ein ernstes Problem verhindern.

2. Ignorieren von Updates für Software und Betriebssystem

Updates werden oft als nervige Pop-up-Fenster wahrgenommen, die die Arbeit verzögern. Tatsächlich sind sie jedoch ein kritischer Bestandteil der Cyberabwehr. Viele Angriffe nutzen Schwachstellen aus, die längst behoben wurden – nur haben Unternehmen die Updates einfach nicht installiert.

Die häufigsten Probleme:

• Verschobene Updates, insbesondere auf Arbeitsrechnern und Servern
• Nutzung veralteter Softwareversionen ohne Support (z. B. Windows 7, alte Versionen von Buchhaltungssoftware)
• Fehlende Verantwortung – niemand im Unternehmen verfolgt, was aktualisiert ist und was nicht

Warum das gefährlich ist:

• Jede nicht aktualisierte Anwendung oder jedes System enthält bekannte Schwachstellen, nach denen Angreifer aktiv suchen
• Ein Eindringen über ungepatchte Software ist oft eine Frage von Sekunden, nicht von Tagen

Wie Sie es einfach lösen:

• Automatische Updates in Windows, Office, Browsern und Antivirenprogrammen aktivieren
• Regelmäßig (z. B. einmal im Monat) prüfen, ob die wichtigsten Tools aktuell sind
• Eine Person oder einen externen Partner benennen, der klare Verantwortung für Updates übernimmt

Praktischer Tipp: Erstellen Sie eine einfache monatliche Checkliste – reservieren Sie sich zum Beispiel den letzten Freitag im Monat 15 Minuten, um Updates wichtiger Geräte und Anwendungen zu prüfen. So wenig reicht, und das Unternehmen ist einen großen Schritt sicherer.

3. Unzureichende oder fehlende Datensicherung

Datensicherung gehört zu den Dingen, die viele erst bemerken, wenn es zu spät ist. Und genau dann gibt es entweder kein Backup – oder es funktioniert nicht. Ob durch einen Ransomware-Angriff, einen technischen Ausfall oder einen einfachen menschlichen Fehler: Der Verlust von Unternehmensdaten kann ein Unternehmen lahmlegen.

Typische Fehler:

• Es werden gar keine Backups gemacht – man geht einfach davon aus, dass „es läuft“
• Backups werden nur gelegentlich, manuell und ohne Prüfung erstellt
• Backups werden auf demselben Gerät oder Datenträger gespeichert, der demselben Risiko ausgesetzt ist wie die Originaldaten

Warum das riskant ist:

• Ohne funktionierendes Backup kann ein Unternehmen Fakturierungsdaten, Verträge, Dokumentation oder Korrespondenz verlieren
• Die Wiederherstellung nach einem Vorfall ohne Backups kann Wochen an Ausfällen bedeuten – oder sogar das Ende des Unternehmens

So sichern Sie richtig:

• Halten Sie die 3-2-1-Regel ein:
  3 Kopien der Daten, auf 2 verschiedenen Medien, 1 außerhalb des Arbeitsumfelds (z. B. in der Cloud oder auf einer externen Festplatte außerhalb des Unternehmens)
• Regelmäßig sichern – idealerweise täglich oder zumindest wöchentlich, je nach Sensibilität der Daten
• Einmal im Monat eine Wiederherstellung testen – damit Sie wissen, dass das Backup nicht nur eine „tote Datei“ ist

Praktischer Tipp: Lassen Sie in Ihrem Unternehmen automatische Backups einrichten – selbst einfache Cloud-Lösungen bieten heute Planung, Verschlüsselung und Benachrichtigungen bei fehlgeschlagenen Backups. Eine maßgeschneiderte Lösung kann Ihnen auch ein externer IT-Partner ohne hohe Kosten vorbereiten.

4. Schwache Zugriffskontrolle und „freier“ Zugang zu sensiblen Daten

In vielen Unternehmen gilt eine unausgesprochene Regel: Jeder hat Zugriff auf alles – weil es einfacher ist. Systeme, Dokumente und geteilte Laufwerke sind für jeden zugänglich, der angemeldet ist. Geteilte Zugangsdaten und fehlende Kontrolle öffnen jedoch Tür und Tor für Fehler und Missbrauch.

Häufige Fehler in der Praxis:

• Geteilte Konten ohne individuelle Zugänge – niemand weiß, wer was getan hat
• Zugriff auf alle Daten auch für Mitarbeitende, die sie nicht benötigen
• Fehlende Dokumentation und Kontrolle der Zugriffsrechte – es ist unklar, wer worauf Zugriff hat und warum
• Vergessene Zugänge nach dem Ausscheiden eines Mitarbeiters – ein ehemaliger Kollege hat weiterhin Zugriff auf E-Mail, Cloud oder interne Systeme

Welche Risiken gehen Sie damit ein:

• Abfluss sensibler Daten – unbeabsichtigt (Kopieren, Weitergeben) oder absichtlich (Vergeltung nach Kündigung)
• Unbeabsichtigtes Löschen oder Ändern wichtiger Dokumente
• Verletzung gesetzlicher Pflichten im Bereich des Datenschutzes (z. B. DSGVO)

Wie Sie es zum Besseren verändern können:

• Das Prinzip der minimalen Berechtigungen einführen – jeder hat nur Zugriff auf das, was er wirklich benötigt
• Eine Übersicht über Zugriffsrechte führen – wer hat Zugriff auf was und auf welcher Grundlage
• Einen Prozess zum Entzug von Zugängen beim Ausscheiden eines Mitarbeiters festlegen – idealerweise innerhalb von 24 Stunden

Praktischer Tipp: Führen Sie einmal pro Quartal ein internes „Zugriffsaudit“ durch – gehen Sie die Liste der Mitarbeitenden und deren Berechtigungen durch und prüfen Sie, ob diese noch gerechtfertigt sind. Oft stellen Sie fest, dass viele Zugriff auf Dinge haben, die sie längst nicht mehr benötigen.

5. Unterschätzung der Schulung von Mitarbeitenden

Die Technologie kann noch so modern sein – wenn ein unbedachter Klick auf eine gefälschte E-Mail ausreicht, bricht die gesamte Sicherheitskette zusammen. Genau deshalb sind Mitarbeitende oft das schwächste, aber gleichzeitig das wichtigste Glied in der Kette der Cybersicherheit.

Typische Probleme:

• Die meisten Menschen wissen nicht, wie Phishing, Spoofing oder eine schädliche Anlage aussehen
• Schulungen finden gar nicht statt oder nur als formale Pflichtübung
• Ohne regelmäßige Erinnerung werden selbst gelernte Inhalte schnell vergessen

Welche Risiken daraus entstehen:

• Ein Klick auf einen betrügerischen Link kann Ransomware oder Datenabfluss ermöglichen
• Mitarbeitende können unwissentlich Zugangsdaten auf einer gefälschten Login-Seite eingeben
• Das Unternehmen verliert Vertrauen und kann rechtliche sowie finanzielle Konsequenzen tragen

Wie effektive Schulungen aussehen:

• Kurze und praxisnahe Schulungen durchführen – idealerweise 2–4× pro Jahr
• Mit realen Beispielen betrügerischer E-Mails arbeiten – auch aus dem eigenen Unternehmen
• Simulierte Phishing-Tests organisieren – damit sich Mitarbeitende daran gewöhnen, vor dem Klicken nachzudenken
• Einen einfachen internen Prozess erstellen, um verdächtige E-Mails oder Vorfälle zu melden

Praktischer Tipp: Nehmen Sie 2–3 betrügerische E-Mails, die Sie in der Vergangenheit erhalten haben, anonymisieren Sie sie und verwenden Sie sie als Test beim nächsten Firmentreffen. Es geht nicht um Kontrolle, sondern um Prävention – und das funktioniert besser als jedes E-Learning.

Cybersicherheit ist nicht nur eine Frage der Technologie, sondern vor allem der täglichen Gewohnheiten und einer gesunden Einstellung im Unternehmen. Auch ohne große Budgets kann ein kleines oder mittelständisches Unternehmen sein Risiko deutlich senken – wenn es die häufigsten Fehler vermeidet und einfache Maßnahmen umsetzt.

Worauf Sie nicht vergessen sollten:

• Starke und einzigartige Passwörter, nicht „admin2023“
• Regelmäßige Updates, auch wenn sie „bei der Arbeit stören“
• Backups außerhalb des Arbeitsrechners
• Zugriffe nur für diejenigen, die sie wirklich benötigen
• Mitarbeitende als aktiver Teil der Sicherheit, nicht als Schwachstelle

Aufruf: Nehmen Sie sich im kommenden Monat Zeit, diese 5 Punkte im Unternehmen durchzugehen – und richten Sie eine grundlegende Sicherheitsordnung ein. Manchmal reicht ein einziger Tag, um Probleme zu verhindern, die Sie sonst Tausende kosten würden.