Die zehn Sicherheitsmaßnahmen, die wir jedem kleinen Unternehmen zuerst empfehlen

Die meisten Angriffe auf kleine Unternehmen sind nicht raffiniert. Sie sind automatisiert, opportunistisch und suchen das leichteste Ziel im Adressraum. Die gute Nachricht: Gegen opportunistische Angriffe helfen Grundmaßnahmen überproportional. Hier sind die zehn, mit denen wir praktisch jede Sicherheitsberatung beginnen: geordnet nach Wirkung, nicht nach Preis.

Zuerst die Identität (Maßnahmen 1–3)

1. Multi-Faktor-Authentifizierung auf allem, was von außen erreichbar ist. E-Mail zuerst, denn wer Dein Postfach hat, hat per „Passwort vergessen“ alles andere.
2. Ein Passwort-Manager fürs Team, damit „ein Passwort überall“ endlich stirbt.
3. Ein Offboarding-Ablauf, der Konten am letzten Arbeitstag schließt. Verwaiste Zugänge ehemaliger Mitarbeiter sind ein Klassiker in echten Vorfällen.

Dann die Geräte (4–6)

4. Automatische Updates für Betriebssysteme und Browser, ohne Ausnahmen für „das alte Notebook vom Chef“.
5. Festplattenverschlüsselung auf jedem mobilen Gerät. Ein verlorenes Notebook ist dann ein Hardwareschaden, kein Datenvorfall.
6. Getrennte Admin-Konten. Niemand liest E-Mails mit Rechten, die die Firma löschen können.

Dann das Überleben (7–8)

7. Backups nach der 3-2-1-Regel, mit mindestens einer Kopie, die ein Angreifer im Netz nicht erreichen kann.
8. Eine geübte Wiederherstellung, und das trennt Papier von Praxis. Ein Backup, aus dem noch nie zurückgespielt wurde, ist eine Vermutung. Miss, wie lange die Rückkehr dauert, bevor ein Vorfall es für Dich misst.

Dann die Menschen (9–10)

9. Kurze, regelmäßige Phishing-Übungen statt der jährlichen Pflichtschulung. Zehn Minuten pro Quartal schlagen zwei Stunden pro Jahr.
10. Eine feste Rückrufregel für Zahlungs- und Kontoänderungen. Die teuersten Vorfälle bei kleinen Unternehmen sind keine Hacks, sondern eine überzeugende E-Mail an die Buchhaltung, und eine Rückrufregel kostet nichts.

Was diese Liste nicht leistet

Sie macht Dich nicht unangreifbar, und sie ersetzt keine Pflichten aus Branchenvorgaben oder Behördenverträgen. Sie macht Dich zum harten Ziel unter weichen, und das genügt gegen den größten Teil der realen Bedrohungen. Vega Sky prüft in einem kompakten Assessment, welche der zehn bei Dir stehen und welche fehlen, priorisiert nach Risiko und begleitet die Umsetzung bis zum Nachweis.