IT-Grundschutz für kleine Betriebe: Passwörter, Sicherungen, Zugriffsrechte

Warum reichen Virenschutz und Firewall nicht?

Wer in einem kleinen Betrieb nach IT-Sicherheit fragt, hört meist: Wir haben einen Virenschutz, der Router hat eine Firewall, und der IT-Dienstleister kümmert sich. Das ist ein Anfang. Die Lage ist trotzdem ernst. In der Wirtschaftsschutzstudie 2026 des Digitalverbands Bitkom bestätigten 67 Prozent der befragten Unternehmen ab zehn Beschäftigten einen erfolgreichen Angriff in den letzten zwölf Monaten. Wie solche Angriffe ablaufen und über welche Einfallstore sie kommen, beschreibt der Beitrag Cyberangriffe auf kleine Betriebe.

Dort steht auch die Reihenfolge der ersten Schutzmaßnahmen. Dieser Beitrag vertieft drei davon, die im Alltag am häufigsten vernachlässigt werden: Passwörter, Sicherungen und Zugriffsrechte. Daraus folgt die Leitfrage: Welche Regeln zu Passwörtern, Sicherungen und Zugriffsrechten braucht ein kleiner Betrieb, damit ein einzelner Fehler nicht zum Stillstand führt?

Dafür klären wir zuerst die Schutzziele und das Denkmodell der minimalen Rechte. Danach sehen wir, wie kleine Betriebe ihr Risiko einschätzen, und wägen zwei Sichtweisen ab. Es folgen die drei Regelbereiche, ein Hinweis zu Pflichten und Prüfangeboten und ein Schritt für diese Woche.

Ein Backup, das nie zurückgespielt wurde, ist keine Sicherung, sondern eine Annahme.

Was heißt IT-Grundschutz? Die drei Schutzziele

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bezeichnet mit IT-Grundschutz eine Methode und ein umfangreiches Kompendium, mit denen Organisationen ein angemessenes Sicherheitsniveau erreichen. Für einen kleinen Betrieb ist das vollständige Kompendium zu groß. Der Gedanke dahinter ist aber übertragbar: zuerst die grundlegenden Maßnahmen, die gegen die häufigsten Gefahren schützen, dann erst die Besonderheiten.

Alle Maßnahmen dienen drei Schutzzielen, die in der Informationssicherheit seit Langem verwendet werden. Vertraulichkeit heißt, dass nur Berechtigte Daten sehen können. Integrität heißt, dass Daten nicht unbemerkt verändert werden. Verfügbarkeit heißt, dass Daten und Systeme da sind, wenn sie gebraucht werden. Die drei Regelbereiche dieses Beitrags lassen sich diesen Zielen zuordnen.

Das Denkmodell: das Prinzip der minimalen Rechte

Jerome Saltzer und Michael Schroeder haben 1975 Grundsätze für den Schutz von Informationen in Computersystemen beschrieben, die bis heute gelten. Einer davon ist das Prinzip der minimalen Rechte, englisch least privilege: Jedes Programm und jede Person soll nur die Rechte haben, die für die jeweilige Aufgabe nötig sind. Der Gedanke ist schlicht. Wenn ein Zugang missbraucht wird, durch einen Angreifer, ein Schadprogramm oder einen Fehler, reicht der Schaden nur so weit wie die Rechte dieses Zugangs.

Eine Analogie aus dem Betrieb macht das greifbar. Niemand würde jedem Mitarbeiter einen Generalschlüssel für alle Räume, den Tresor und das Lager geben, nur weil das bequemer ist. Jeder bekommt die Schlüssel, die er braucht. In der IT geschieht genau das Gegenteil oft stillschweigend: Alle arbeiten mit Administratorrechten, alle sehen alle Ordner, und ehemalige Mitarbeiter haben noch einen Zugang zur Cloud.

Das Prinzip ergänzt das Schweizer-Käse-Modell, das im Beitrag über Cyberangriffe beschrieben ist. Dort geht es darum, mehrere Schutzschichten übereinanderzulegen, damit ein Loch in einer Schicht nicht durchschlägt. Minimale Rechte sorgen dafür, dass der Schaden klein bleibt, wenn doch einmal alle Löcher übereinanderliegen.

Wie kleine Betriebe ihr Risiko einschätzen

Warum gerade die einfachen Regeln fehlen, haben Wilson und McDonald (2025) in Großbritannien untersucht. Sie führten Interviews mit 30 Beteiligten: zehn kleinen Betrieben, die von IT abhängen, zehn, deren Geschäft auf IT beruht, und zehn Anbietern von IT-Sicherheit. Als Rahmen diente das Health Belief Model aus der Gesundheitsforschung, nach dem Menschen Schutzmaßnahmen ergreifen, wenn sie sich für gefährdet halten und den Nutzen höher einschätzen als die Hürden.

Drei Befunde sind für kleine Betriebe aufschlussreich. Erstens hielten sich viele für zu unbedeutend, um angegriffen zu werden, weil sie gezielte Angriffe erwarteten. Tatsächlich laufen viele Angriffe wahllos und automatisiert ab, sie suchen offene Türen und nicht bestimmte Betriebe. Zweitens setzten die Betriebe vor allem auf Technik: 13 der Befragten nannten technische Maßnahmen wie Virenschutz, 11 Abläufe wie Sicherungen an einem anderen Ort, Schulung der Mitarbeiter kam dagegen kaum vor. Drittens kritisierten die Sicherheitsanbieter, dass Sicherungen oft nie zurückgespielt würden, sodass niemand wisse, in welchem Zustand die Daten im Ernstfall seien.

Die Grenzen der Studie sind deutlich: 30 Interviews in einem Land, keine Messung tatsächlicher Vorfälle. Sie zeigt aber ein Muster, das zur Erfahrung vieler IT-Dienstleister passt, und sie erklärt, warum die drei Regelbereiche dieses Beitrags so oft fehlen. Sie sind kein Produkt, das man kaufen kann.

Technik kaufen oder Regeln setzen? Zwei Sichtweisen

Es gibt zwei Lesarten, wo der Hebel liegt. Die erste sagt: Kleine Betriebe haben weder Zeit noch Fachwissen für Regeln. Sie sollen Technik kaufen, die automatisch schützt, und den Rest dem Dienstleister überlassen. Dafür spricht, dass automatische Updates und eine Zwei-Faktor-Anmeldung tatsächlich ohne tägliches Zutun wirken.

Die zweite sagt: Technik ohne Regeln ist ein Schloss ohne Schlüsselverwaltung. Die Sicherung läuft, aber niemand prüft sie. Der Passwortmanager ist gekauft, aber das Kennwort für das Bankprogramm hängt am Bildschirm. Die Zugriffsrechte wurden einmal eingerichtet und nie wieder angesehen. Dafür sprechen die Befunde von Wilson und McDonald und das Feldexperiment von Baillon und Kollegen (2019), das im Beitrag über Cyberangriffe beschrieben ist: Selbst nach Aufklärung gab ein Teil der Beschäftigten sein Passwort auf einer gefälschten Seite ein. Technik muss also so eingerichtet sein, dass ein solcher Fehler nicht ausreicht, und das ist eine Frage von Regeln.

Ich halte die zweite Lesart für tragfähiger, ohne die erste zu verwerfen. Die Technik ist die Voraussetzung, die Regel entscheidet über die Wirkung. Für einen kleinen Betrieb heißt das: wenige Regeln, schriftlich, mit einem Verantwortlichen und einem festen Prüftermin.

Die drei Regelbereiche: was konkret zu tun ist

Passwörter und Anmeldung

• Jede Person hat eigene Zugänge, gemeinsam genutzte Konten gibt es nur, wo es technisch nicht anders geht.
• Ein Passwortmanager für das Team speichert alle Kennwörter, niemand notiert sie auf Zetteln oder in Tabellen.
• Kennwörter sind lang und einmalig. Das BSI empfiehlt, sie nicht ohne Anlass regelmäßig zu wechseln, wohl aber nach einem Verdacht auf Missbrauch.
• E-Mail, Bank, Buchhaltung, Cloud und Fernzugänge sind mit einem zweiten Faktor gesichert, etwa per App.

Sicherungen

• Es gibt mindestens drei Kopien wichtiger Daten auf zwei verschiedenen Medien, eine davon außer Haus oder getrennt vom Netz. Diese sogenannte 3-2-1-Regel ist weit verbreitet.
• Eine Kopie ist für einen Angreifer im Netz nicht erreichbar, etwa weil sie nach der Sicherung getrennt wird oder nicht verändert werden kann.
• Einmal im Quartal wird eine Wiederherstellung getestet: eine Datei, ein Ordner, einmal im Jahr ein ganzes System.
• Auch Cloud-Dienste werden gesichert, denn ein versehentlich gelöschter Ordner ist dort ebenso weg wie lokal.

Zugriffsrechte

• Niemand arbeitet im Alltag mit Administratorrechten. Für Installationen gibt es ein eigenes Konto.
• Ordner mit Personal-, Finanz- und Kundendaten sind nur für die zuständigen Personen offen, wie es die Ablage-Satzung vorsieht.
• Beim Austritt eines Mitarbeiters werden alle Zugänge am letzten Arbeitstag gesperrt, nach einer festen Liste.
• Einmal im Halbjahr prüft eine verantwortliche Person, wer welche Rechte hat, und entfernt, was nicht mehr gebraucht wird.

Die Regeln zur Ablage und zu Zugriffsrechten hängen eng zusammen. Wie eine Ordnerstruktur mit drei Ebenen und beschränktem Zugriff auf Personalakten aussieht, zeigt der Leitfaden Digitale Ablage. Und eigene Zugänge für Vertretungen statt geteilter Passwörter sind zugleich eine Regel aus dem Beitrag Vertretungen regeln. Wer weniger Werkzeuge nutzt, muss auch weniger Zugänge verwalten, ein weiterer Grund, Werkzeug-Wildwuchs zu reduzieren.

Pflichten und Prüfangebote: NIS2 und der CyberRisikoCheck

Seit dem 6. Dezember 2025 gilt in Deutschland das Gesetz zur Umsetzung der europäischen NIS2-Richtlinie. Es verpflichtet Unternehmen bestimmter Branchen und Größen, in der Regel ab 50 Beschäftigten oder zehn Millionen Euro Umsatz, zu Maßnahmen des Risikomanagements, zur Meldung erheblicher Vorfälle und zur Registrierung beim BSI. Die meisten kleinen Betriebe fallen nicht unmittelbar darunter. Mittelbar können sie betroffen sein, wenn Kunden, die unter das Gesetz fallen, Sicherheitsanforderungen an ihre Lieferanten weitergeben. Ob dein Betrieb betroffen ist, klärst du anhand der Angaben des BSI und mit deiner Beratung.

Für Betriebe bis 50 Beschäftigte hat das BSI gemeinsam mit dem Mittelstandsverband BVMW und dem DIN einen eigenen Einstieg geschaffen: den CyberRisikoCheck nach DIN SPEC 27076. In einem Gespräch von ein bis zwei Stunden prüft ein Berater 27 Anforderungen anhand eines festen Fragenkatalogs und leitet daraus Empfehlungen ab. Eine Zertifizierung ist damit nicht verbunden. Für einen kleinen Betrieb ist das oft der passendere Weg als der vollständige IT-Grundschutz oder eine Zertifizierung nach ISO 27001.

Fazit: Welche Regeln braucht ein kleiner Betrieb?

Ausgangspunkt war die Frage, welche Regeln zu Passwörtern, Sicherungen und Zugriffsrechten ein kleiner Betrieb braucht, damit ein einzelner Fehler nicht zum Stillstand führt. Die Antwort folgt aus den drei Schutzzielen und dem Prinzip der minimalen Rechte: eigene Zugänge mit zweitem Faktor, Sicherungen, die getrennt liegen und getestet werden, und Rechte, die an Aufgaben gebunden sind und regelmäßig geprüft werden.

Wie gezeigt, unterschätzen kleine Betriebe ihr Risiko häufig und setzen eher auf gekaufte Technik als auf Regeln. Beides zusammen erklärt, warum gerade die einfachen Maßnahmen fehlen. Daraus folgt kein Großprojekt, sondern eine kurze Liste mit einem Verantwortlichen und festen Prüfterminen. Die nüchterne Feststellung lautet: Die wirksamsten Schutzmaßnahmen eines kleinen Betriebs kosten wenig Geld, aber regelmäßige Aufmerksamkeit.

So fängst du an

1. Lass deinen IT-Dienstleister eine einzelne Datei aus der Sicherung zurückspielen und miss, wie lange es dauert.
2. Prüfe, ob E-Mail, Bank und Buchhaltung mit einem zweiten Faktor gesichert sind, und schalte ihn dort ein, wo er fehlt.
3. Lass dir eine Liste aller Konten mit Administratorrechten geben und reduziere sie auf das Nötige.
4. Sperre alle Zugänge ehemaliger Mitarbeiter und lege eine Austrittsliste für die Zukunft an.
5. Prüfe, ob ein CyberRisikoCheck nach DIN SPEC 27076 für deinen Betrieb sinnvoll ist.