IT-Sicherheit für KMU, kurz gesagt: Für ein KMU beginnt der Schutz mit wenigen, sauber umgesetzten Maßnahmen (Zwei-Faktor-Authentifizierung, getestete Backups, Updates, Schulung) und mit Dienstleistern, die Daten nach überprüfbaren Regeln behandeln. Dieser Leitfaden erklärt die häufigsten Risiken, die Sofortmaßnahmen und was sich mit NIS2 ändert.
Viele Inhaber kleiner Unternehmen glauben, Cyberangriffe beträfen nur Großunternehmen. Das stimmt nicht: Kriminelle nutzen automatisierte Werkzeuge, die jeden treffen, der ein E-Mail-Postfach, einen erreichbaren Server oder ein wiederverwendetes Passwort hat. Ein KMU hat oft weniger Abwehr und weniger Personal für das Thema und ist deshalb ein bequemes Ziel. Die Folgen sind ganz praktisch: Tage mit Betriebsstillstand, offengelegte Kundendaten, Meldepflichten nach der DSGVO, Rechnungen, die von Hand rekonstruiert werden müssen.
Die häufigsten Risiken für die IT-Sicherheit von KMU
Phishing
Das ist das häufigste Einfallstor. Es kommt eine E-Mail, die scheinbar vom Paketdienst, von der Bank oder von einem bekannten Lieferanten stammt, mit einem Link oder einem Anhang. Wer klickt, gibt womöglich sein E-Mail-Passwort preis, installiert Schadsoftware oder gibt eine Zahlung an eine falsche IBAN frei. Eine in Unternehmen sehr verbreitete Variante ist die gefälschte Mitteilung eines Lieferanten über eine neue Bankverbindung: Der einzige echte Schutz ist eine interne Regel, nach der jede IBAN-Änderung telefonisch unter einer bereits bekannten Nummer bestätigt werden muss.
Ransomware
Das ist Schadsoftware, die Dateien verschlüsselt und für die Freigabe ein Lösegeld verlangt. Oft kopieren die Täter die Daten vor der Verschlüsselung und drohen mit ihrer Veröffentlichung. Ein Unternehmen ohne Backups, die vom Firmennetz getrennt sind, steht dann vor der Wahl, zu zahlen oder alles neu aufzubauen.
Schwache oder mehrfach verwendete Passwörter
Zugangsdaten, die auf irgendeiner Website gestohlen wurden, werden automatisch an E-Mail, ERP-Systemen und VPNs ausprobiert. Nutzt ein Mitarbeiter überall dasselbe Passwort, kann ein Datenleck in einem Forum die Tür zu Ihrem Unternehmen öffnen.
Vergessene Zugänge
Konten ehemaliger Mitarbeiter, die noch aktiv sind, Zugangsdaten, die sich mehrere Personen teilen, der externe Techniker, der seit Jahren einen Fernzugang hat. Das sind banale Probleme, die niemand prüft, bis daraus ein Vorfall wird.
Cybersicherheit im KMU: sechs Maßnahmen für sofort
Um das Schutzniveau deutlich zu erhöhen, braucht es kein Konzernbudget. Es braucht ein paar Regeln, die für alle gelten, auch für die Geschäftsführung.
1. Aktivieren Sie die Zwei-Faktor-Authentifizierung
Neben dem Passwort verlangt der Zugang einen Code aus einer App auf dem Smartphone oder einen physischen Schlüssel. Selbst wenn das Passwort gestohlen wird, reicht es allein nicht aus. Beginnen Sie mit der E-Mail, dann Onlinebanking, ERP-System, Cloud-Werkzeuge und Fernzugänge.
2. Machen Sie Backups, die Sie wiederherstellen können
Regelmäßige Kopien der wichtigen Daten, mindestens eine davon außerhalb des Firmennetzes oder in einem Dienst, der sich von einem infizierten PC aus nicht löschen lässt. Dazu alle paar Monate ein Wiederherstellungstest: Ein Backup, das nie jemand zurückgespielt hat, versagt womöglich genau an dem Tag, an dem Sie es brauchen.
3. Halten Sie Systeme und Software aktuell
Viele Angriffe nutzen Schwachstellen, die die Hersteller längst geschlossen haben. Aktivieren Sie automatische Updates, wo es geht, und führen Sie eine Liste dessen, was sich nicht selbst aktualisiert: Firewall, NAS, Server, Plugins der Website.
4. Verwalten Sie Zugänge und Berechtigungen
Jede Person hat ihr eigenes Konto mit genau den Rechten, die sie braucht. Verlässt jemand das Unternehmen, werden seine Zugänge am selben Tag gesperrt. Administratorkonten werden nur für die Administration genutzt.
5. Schulen Sie Ihre Mitarbeitenden mit echten Beispielen
Eine kurze, regelmäßig wiederholte Schulung mit Phishing-Mails, die denen ähneln, die wirklich im Unternehmen ankommen, wirkt besser als ein Kurs pro Jahr. Wer auf etwas Verdächtiges geklickt hat, muss das sofort sagen können, ohne Angst vor einem Rüffel: Zehn Minuten Vorsprung verändern den Ausgang eines Vorfalls.
6. Halten Sie schriftlich fest, was im Ernstfall zu tun ist
Eine Seite genügt: wen man anruft, welche Systeme man vom Netz nimmt, wo die Backups liegen, wer über eine Meldung an die Datenschutzbehörde entscheidet (in Italien der Garante privacy). Ein schriftlicher Plan verhindert improvisierte Entscheidungen in den ersten Stunden nach einem Vorfall.
NIS2: Betrifft das Ihr Unternehmen?
Die europäische NIS2-Richtlinie wurde in Italien mit dem Gesetzesvertretenden Dekret Nr. 138 vom 4. September 2024 umgesetzt, das seit dem 16. Oktober 2024 in Kraft ist. Zuständige Behörde ist die nationale Agentur für Cybersicherheit (ACN). Die folgenden Angaben betreffen die italienische Regelung, andere EU-Staaten haben eigene nationale Gesetze. Laut ACN erfasst das italienische Dekret 18 Sektoren, 11 mit hoher Kritikalität und 7 sonstige kritische, und gilt für alle mittleren und großen Unternehmen, die dort tätig sind, in einigen Fällen auch für Klein- und Kleinstunternehmen.
Betroffene Einrichtungen müssen sich jedes Jahr zwischen dem 1. Januar und dem 28. Februar auf dem Portal der ACN registrieren oder ihre Registrierung aktualisieren. Eine unterlassene Registrierung kann ein Bußgeld von bis zu 0,1 % des weltweiten Jahresumsatzes kosten. Die Pflichten greifen schrittweise: Für Einrichtungen, die 2025 in die Liste aufgenommen wurden, sieht der Zeitplan der ACN die Meldepflicht für Vorfälle ab Januar 2026 und die vollständige Umsetzung der grundlegenden Sicherheitsmaßnahmen im Herbst 2026 vor.
Zwei praktische Hinweise. Wenn Ihr in Italien tätiges Unternehmen betroffen sein könnte, prüfen Sie Ihren Fall auf den NIS-Seiten der ACN und mit einem Berater: Verlassen Sie sich nicht allein auf den ATECO-Code, die italienische Wirtschaftszweigklassifikation. Sind Sie selbst nicht betroffen, beliefern aber ein Unternehmen, das es ist, rechnen Sie mit Fragen zu Ihrer Sicherheit: Fragebögen, Anforderungen an Mindestmaßnahmen, Vertragsklauseln. Wenn die sechs oben beschriebenen Maßnahmen schon umgesetzt sind, werden diese Anfragen deutlich leichter.
Wie Sie Softwarelieferanten wählen, die Ihre Daten schützen
Die Sicherheit Ihres Unternehmens hängt auch davon ab, wer Ihre Software entwickelt und betreibt. Bevor Sie ein Projekt vergeben, fragen Sie, wie Zugänge, Backups und Updates gehandhabt werden, wo die Daten gehostet sind, wer sie einsehen kann und was bei einem Vorfall passiert.
Eine Zertifizierung nach ISO/IEC 27001 ist ein gutes Indiz, denn sie bedeutet, dass eine unabhängige Stelle das Informationssicherheits-Managementsystem des Anbieters jedes Jahr prüft. Man muss sie allerdings genau lesen: Sie bescheinigt, wie das Unternehmen mit Informationen umgeht, nicht die einzelne Software, die es Ihnen liefert. Selli hat ein Managementsystem, das von Kiwa Cermet Italia nach ISO/IEC 27001:2022 zertifiziert ist, mit Akkreditierung durch ACCREDIA, für die Herstellung und Entwicklung von Software und für IT-Beratungsleistungen. Zertifikat, Geltungsbereich und Gültigkeit sind auf der Seite Zertifizierungen veröffentlicht.
Bei Projekten für individuelle Unternehmenssoftware ist Sicherheit schon Teil der Analyse: welche Daten das System verarbeitet, wer sie sehen darf, welche Rollen nötig sind. Jede Auslieferung durchläuft eine Staging-Umgebung, in der der Kunde Neuerungen testet, bevor sie in Produktion gehen, und der Code bleibt Eigentum des Kunden, sodass er ihn jederzeit unabhängig prüfen lassen kann. Alte Software, die nie aktualisiert wird, ist für sich schon ein Risiko: Mehr dazu im Artikel über technische Schulden. Um einen Anbieter als Ganzes zu bewerten, nutzen Sie die Checkliste für die Wahl des technischen Partners.
Noch ein Hinweis zu den Kosten, falls Ihr Unternehmen seinen Sitz in Italien hat. Der Voucher 2026 der Handelskammer Florenz zum Beispiel förderte Projekte zu Cybersicherheit und Business Continuity, sofern sie mit einer Risikoanalyse begannen und sich nicht auf den Kauf von Geräten beschränkten. Den Stand dieser italienischen Förderungen finden Sie im Leitfaden zu den Digitalisierungsförderungen 2026.
Sprechen wir darüber
Wenn Sie kurz davor sind, ein Softwareprojekt zu vergeben, und wissen möchten, wie mit Ihren Daten umgegangen wird, oder wenn Sie den Sicherheitsfragebogen eines Kunden beantworten müssen, schreiben Sie uns, und wir vereinbaren ein Gespräch. Wir stellen Ihnen gern das ISO-27001-Zertifikat, den Geltungsbereich und die Maßnahmen zur Verfügung, die wir in unseren Projekten anwenden.