Cyberangriffe sind kein Problem, das nur große Konzerne mit eigener IT-Abteilung betrifft. E-Mail-Konten, Cloudspeicher, Buchhaltung, Website und Smartphone eines kleinen Betriebs sind für Angreifer ebenso interessant, besonders wenn ein einziges Passwort viele Zugänge öffnet oder niemand für Updates und Backups verantwortlich ist. Die gute Nachricht: EPU und KMU müssen nicht mit einem riesigen Sicherheitsprojekt beginnen. Mehrere grundlegende Maßnahmen senken das Risiko deutlich und verbessern zugleich die Fähigkeit, nach einem Fehler rasch weiterzuarbeiten.
Aktuelle WKO-Hinweise nennen starke Zugänge, klare Rechte, regelmäßige Updates, funktionierende Datensicherungen, Aufmerksamkeit bei Phishing und einen vorbereiteten Notfallablauf als zentrale Grundlagen. Diese Punkte wirken nur, wenn sie im Alltag überprüfbar sind. Ein Passwort-Leitfaden im Ordner schützt kein Konto, wenn Mehrfaktor-Authentifizierung nicht aktiviert wurde. Ein Backup hilft nicht, wenn niemand eine Wiederherstellung getestet hat. Dieser Praxisleitfaden ordnet sieben Maßnahmen für kleine österreichische Betriebe und zeigt, wie daraus verlässliche Routinen entstehen.
1. Verantwortung und wichtigste Systeme festlegen
Cybersicherheit beginnt mit Zuständigkeit. Auch ein Ein-Personen-Unternehmen sollte wissen, wer bei Hosting, E-Mail, Buchhaltung und Geräten als technischer Ansprechpartner erreichbar ist. In einem KMU braucht es eine namentlich verantwortliche Person, die Änderungen koordiniert, Fristen überwacht und Entscheidungen dokumentiert. Das bedeutet nicht, dass sie alle Aufgaben selbst erledigen muss. Externe IT-Dienstleister können Betrieb und Support übernehmen, doch die Verantwortung für Prioritäten, Zugriffsfreigaben und Notfallkontakte bleibt beim Unternehmen.
Erstellen Sie eine kurze Liste der Systeme, ohne die der Betrieb nicht oder nur eingeschränkt arbeiten kann. Typische Einträge sind E-Mail, Domainverwaltung, Website, Kunden- und Auftragsdaten, Cloudlaufwerke, Fakturierung, Zahlungszugänge und zentrale Mobilgeräte. Ergänzen Sie Betreiber, verantwortliche Person, Administratorzugang, enthaltene Daten und maximale tolerierbare Ausfallzeit. Zugangsdaten selbst gehören nicht in diese offene Liste, sondern in einen geeigneten Passwortmanager oder einen gesicherten Übergabeprozess.
2. Updates und Geräteverwaltung zu einer Routine machen
Veraltete Betriebssysteme, Browser, Plugins und Serverdienste bleiben ein häufiges Einfallstor. Automatische Sicherheitsupdates sollten überall aktiviert werden, wo der Betriebsablauf es zulässt. Bei kritischer Software empfiehlt sich ein festes Wartungsfenster, in dem Updates geprüft und installiert werden. Wichtig ist, nicht nur Notebooks zu betrachten: Smartphones, Router, Netzwerkspeicher, Kassensysteme, Website-Erweiterungen und selten verwendete Geräte können ebenfalls verwundbar sein.
Eine einfache Inventarliste mit Gerät, Betriebssystem, verantwortlicher Person und letztem Prüfdatum reicht als Start. Geräte, die keine Sicherheitsupdates mehr erhalten, brauchen einen Austauschplan oder eine klare technische Abschottung. Mitarbeitende sollten Software nicht mit administrativen Rechten nach Belieben installieren können. Werden neue Geräte ausgegeben, gehören Bildschirmsperre, Verschlüsselung, Updates, Virenschutz und die Möglichkeit zur Fernsperre in einen standardisierten Einrichtungsablauf.
3. Einzigartige Passwörter und Mehrfaktor-Authentifizierung nutzen
Das gefährlichste Passwort ist oft nicht das kürzeste, sondern das mehrfach verwendete. Wird ein Zugang bei einem fremden Dienst kompromittiert, probieren Angreifer dieselbe Kombination automatisiert bei E-Mail, Cloud und Shopverwaltung aus. Jedes wichtige Konto braucht daher ein eigenes langes Passwort. Ein seriöser Passwortmanager hilft, diese Zugangsdaten zu erzeugen und sicher zu teilen, ohne sie in Tabellen, Chats oder unverschlüsselten Notizen abzulegen.
Für E-Mail, Domain, Hosting, Cloudspeicher, Buchhaltung und andere zentrale Dienste sollte zusätzlich Mehrfaktor-Authentifizierung aktiviert werden. Ein gestohlenes Passwort allein reicht dann nicht für die Anmeldung. Bevor die Funktion eingeschaltet wird, müssen Wiederherstellungscodes sicher hinterlegt und Vertretungen geregelt sein. Persönliche Privatkonten einzelner Mitarbeitender sind keine gute dauerhafte Notfalllösung. Der Betrieb braucht nachvollziehbare Unternehmenskonten und einen kontrollierten Weg, wenn ein Gerät verloren geht.
4. Zugriffsrechte klein halten und Austritte sofort bearbeiten
Nicht jede Person benötigt Administratorrechte oder Zugriff auf alle Kundendaten. Rollen sollten der tatsächlichen Aufgabe entsprechen und so klein wie sinnvoll gehalten werden. Das begrenzt nicht nur absichtlichen Missbrauch, sondern auch den Schaden eines kompromittierten Kontos. Gemeinsame Sammelkonten erschweren die Zuordnung und sollten durch persönliche Zugänge mit passenden Rollen ersetzt werden. Wo ein gemeinsamer Zugang technisch unvermeidbar ist, braucht es kontrollierte Speicherung und dokumentierte Änderungen.
Ein Eintritts-, Wechsel- und Austrittsprozess verhindert verwaiste Konten. Bei neuen Mitarbeitenden werden nur benötigte Rechte vergeben. Bei einem Aufgabenwechsel werden alte Rechte entfernt. Beim Austritt werden Konten, aktive Sitzungen, Weiterleitungen, Geräte und externe Freigaben am selben Tag geprüft. Auch Agenturen, Freelancer und frühere IT-Partner gehören in diese Kontrolle. Ein vierteljährlicher Rechte-Review ist für kleine Betriebe meist überschaubar und findet Zugänge, an die im Alltag niemand mehr denkt.
5. Backups nicht nur erstellen, sondern wiederherstellen
Datensicherung schützt nicht nur vor Angriffen. Auch Hardwaredefekte, versehentliches Löschen, fehlerhafte Updates oder ein gekündigter Clouddienst können wichtige Daten unbrauchbar machen. Legen Sie fest, welche Daten gesichert werden, wie oft die Sicherung erfolgt, wie lange Stände aufbewahrt werden und wer Fehler überwacht. Eine Synchronisierung ist nicht automatisch ein Backup: Wird eine Datei verschlüsselt oder gelöscht, kann sich diese Änderung sofort auf alle synchronisierten Geräte übertragen.
Mindestens eine Sicherung sollte so getrennt sein, dass ein kompromittiertes Administratorkonto sie nicht einfach mitlöschen kann. Verschlüsselung und Zugriffsschutz sind wichtig, weil Backups oft den gesamten Datenbestand enthalten. Der entscheidende Qualitätstest ist die Wiederherstellung. Wählen Sie regelmäßig einige Dateien oder ein Testsystem aus, stellen Sie sie zurück und dokumentieren Sie Dauer und Ergebnis. Erst dieser Test zeigt, ob Sicherung, Schlüssel, Zugang und Anleitung im Ernstfall wirklich zusammenpassen.
6. Phishing mit klaren Prüfwegen abfangen
Phishing-Nachrichten erzeugen Zeitdruck, drohen mit Kontosperren oder fordern zu Zahlungen und Passwortangaben auf. oesterreich.gv.at empfiehlt, keine Links in verdächtigen Nachrichten anzuklicken und vertrauliche Daten nicht als Antwort preiszugeben. Für Unternehmen ist zusätzlich ein interner Prüfweg hilfreich: Änderungen von Bankverbindungen, ungewöhnliche Zahlungsaufträge und dringende Passwortanforderungen werden über einen zweiten, bereits bekannten Kanal bestätigt. Die Telefonnummer aus der verdächtigen Nachricht ist dafür keine verlässliche Quelle.
Mitarbeitende brauchen eine einfache Möglichkeit, Verdachtsfälle zu melden, ohne Angst vor Vorwürfen zu haben. Schnelles Melden ist wichtiger als stilles Löschen, denn dieselbe Nachricht kann mehrere Personen erreicht haben. Kurze regelmäßige Übungen mit echten Merkmalen sind wirksamer als eine einmalige lange Schulung. Besprechen Sie Absenderadresse, ungewöhnliche Domain, unerwarteten Anhang, Sprachwechsel und künstlichen Zeitdruck. Auch QR-Codes, Chatnachrichten und gefälschte Freigabeanfragen gehören heute in diese Aufmerksamkeit.
7. Einen Notfallplan schreiben und einmal üben
Im Vorfall geht Zeit verloren, wenn niemand weiß, wen er anrufen, welches Gerät er trennen oder welche Information er sichern soll. Ein kompakter Notfallplan enthält interne und externe Kontakte, Prioritäten, Entscheidungsbefugnisse und erste Schritte für typische Szenarien. Dazu gehören verlorenes Gerät, kompromittiertes E-Mail-Konto, verdächtige Überweisung, verschlüsselte Dateien und ausgefallene Website. Der Plan muss offline verfügbar sein, weil E-Mail oder Cloudspeicher gerade nicht erreichbar sein könnten.
Allgemein gilt: Ruhe bewahren, weitere riskante Klicks vermeiden, betroffene Systeme kontrolliert isolieren und fachkundige Hilfe holen. Unüberlegte Löschaktionen können Spuren vernichten oder die Wiederherstellung erschweren. Welche Meldungen an Behörden, Datenschutzverantwortliche, Kunden, Versicherer oder Vertragspartner erforderlich sind, hängt vom konkreten Vorfall ab und sollte fachkundig beurteilt werden. Im Plan stehen deshalb nicht nur technische Schritte, sondern auch Eskalations- und Kommunikationswege.
Website, Domain und externe Dienstleister einbeziehen
Die öffentliche Website ist oft über mehrere Konten verteilt: Domainregistrar, DNS, Hosting, Content-Management-System, Analyse, Newsletter und Formulardienst. Erstellen Sie eine Übersicht dieser Abhängigkeiten und sichern Sie besonders Domain- und Hostingzugänge mit Mehrfaktor-Authentifizierung. Entfernen Sie ungenutzte Plugins und Benutzerkonten. Automatische Website-Backups sollten außerhalb derselben Installation liegen und durch einen echten Wiederherstellungstest geprüft werden.
Mit externen Dienstleistern sollten Verantwortlichkeiten, Supportwege, Reaktionszeiten und Datenexport geklärt sein. Fragen Sie, wie Sicherheitsupdates erfolgen, wer Administratorzugänge besitzt und wie ein Notfall gemeldet wird. Achten Sie darauf, dass das Unternehmen selbst über wesentliche Konten und Vertragsinformationen verfügt. Ein Dienstleisterwechsel darf nicht daran scheitern, dass Domain oder Cloudzugang auf eine nicht mehr erreichbare Privatadresse registriert wurden.
Die Maßnahmen nach Risiko priorisieren
Nicht alles muss am selben Tag umgesetzt werden. Beginnen Sie mit den Zugängen, deren Verlust den größten Schaden auslösen würde: E-Mail, Domain, Cloud, Buchhaltung und Zahlungsverkehr. Aktivieren Sie einzigartige Passwörter und Mehrfaktor-Authentifizierung, prüfen Sie Administratoren und sichern Sie Wiederherstellungscodes. Danach folgen Updates, Backuptest und Notfallkontakte. Kleinere Komfortverbesserungen kommen später.
Bewerten Sie jede offene Maßnahme nach möglichem Schaden, Wahrscheinlichkeit und Umsetzungsaufwand. Ein fehlendes Mehrfaktorverfahren am Hauptpostfach ist meist dringender als eine kosmetische Änderung in einer internen Richtlinie. Verantwortliche und Zieltermine machen aus Empfehlungen echte Aufgaben. Dokumentieren Sie außerdem, warum ein Risiko vorerst akzeptiert oder eine Maßnahme anders umgesetzt wird. Diese Entscheidungen sollten regelmäßig neu betrachtet werden, wenn Systeme, Personal oder Dienstleister wechseln.
Ein 30-Tage-Plan für kleine Betriebe
- Woche 1: Kritische Systeme, Konten, Geräte, Verantwortliche und Notfallkontakte erfassen.
- Woche 2: Passwortmanager und Mehrfaktor-Authentifizierung für zentrale Zugänge einrichten; alte Administratoren entfernen.
- Woche 3: Updatezustand prüfen, Backupumfang dokumentieren und eine Wiederherstellung testen.
- Woche 4: Phishing-Prüfweg und Notfallplan besprechen, einen kurzen Übungsfall durchführen und offene Aufgaben priorisieren.
Nach 30 Tagen sollte nicht nur eine Liste abgehakt sein. Der Betrieb braucht wiederkehrende Termine: monatlicher Update- und Backupstatus, vierteljährlicher Rechtecheck, regelmäßige Wiederherstellungstests und eine jährliche Notfallübung. Neue Systeme werden künftig nur aufgenommen, wenn Verantwortlichkeit, Zugangsschutz, Datensicherung und Ausstieg geklärt sind. So wächst die Sicherheitsstruktur mit dem Unternehmen, statt jeder neue Dienst eine weitere unbekannte Schwachstelle zu schaffen.
Sicherheit als betriebliche Qualität verstehen
Cybersecurity ist kein einmaliges IT-Produkt und keine Garantie gegen jeden Angriff. Sie ist die Fähigkeit, Risiken zu erkennen, Zugänge zu schützen, Fehler früh zu bemerken und nach einem Vorfall handlungsfähig zu bleiben. Gerade EPU und kleine Teams profitieren von einfachen Standards, weil Vertretung und Wissen sonst an einzelnen Personen hängen. Klare Routinen machen Sicherheit messbar und entlasten den Alltag.
Messbar bedeutet nicht, möglichst viele Kennzahlen zu sammeln. Wenige verlässliche Kontrollen genügen: der Anteil zentraler Konten mit Mehrfaktor-Authentifizierung, die Zahl überfälliger Sicherheitsupdates, das Datum des letzten erfolgreichen Wiederherstellungstests und die Anzahl ungeklärter Administratorzugänge. Diese Werte zeigen, ob vereinbarte Routinen tatsächlich umgesetzt werden. Sie sollten intern besprochen werden, ohne Mitarbeitende für gemeldete Fehler oder beinahe erfolgte Klicks an den Pranger zu stellen. Eine offene Meldekultur liefert früher Hinweise und ermöglicht schnellere Reaktion.
Auch die Geschäftsführung sollte an einem Übungsfall teilnehmen. Wenn das Hauptpostfach ausfällt, Rechnungsdaten verschlüsselt sind oder eine betrügerische Zahlung vermutet wird, braucht es Entscheidungen zu Betriebsunterbrechung, Kundeninformation und externer Hilfe. Technische Fachleute können Systeme analysieren, aber Prioritäten und Kommunikation nicht allein festlegen. Ein kurzer gemeinsamer Test zeigt, ob Telefonnummern aktuell sind, Vertretungen funktionieren und wichtige Unterlagen auch ohne Cloudzugang verfügbar bleiben. Gefundene Lücken werden als konkrete Verbesserungsaufgaben mit Verantwortlichkeit und Termin erfasst.
Der sinnvollste Start ist konkret: Wählen Sie heute das wichtigste Konto, aktivieren Sie dort einen zweiten Faktor, prüfen Sie die hinterlegte Wiederherstellung und dokumentieren Sie den zuständigen Kontakt. Danach folgt das nächste kritische System. Schritt für Schritt entsteht so ein Schutz, der nicht nur auf dem Papier steht, sondern im Betrieb tatsächlich funktioniert.
Nächster sinnvoller Schritt
Prüfen Sie zunächst Bedarf, Zuständigkeit und aktuellen Programmstand. Wer sein Unternehmen zusätzlich öffentlich sichtbar machen möchte, kann den Firmeneintrag auf firmenwebseiten.at anlegen oder aktualisieren.
Quellen und weiterführende Informationen
- Cybersicherheit: Mit einfachen Regeln viel Schaden verhindern (marie.wko.at)
- Cybersecurity-Check für EPU (wko.at)
- Schutzmaßnahmen zur Verhinderung von Phishing (oesterreich.gv.at)