Projekt Hibiskus · Informationssicherheit für KMU
Resilient.
Wie der Hibiskus.
Praxisnahe Leitfäden, Checklisten und Maßnahmen für kleine und mittlere Unternehmen – von einfachen Sofortmaßnahmen bis zu Themen, die eine IT-Abteilung erfordern.
Warum Hibiskus?
Ein Symbol für das, was gute Informationssicherheit ausmacht
Mehrschichtig
Die Hibiskusblüte schützt ihren Kern durch mehrere Lagen Blütenblätter. Informationssicherheit folgt demselben Prinzip: Defense in Depth – jede Schutzschicht macht es Angreifern schwerer, das Wesentliche zu erreichen.
Widerstandsfähig
Der Hibiskus gedeiht unter härtesten Bedingungen – Hitze, Trockenheit, tropische Stürme. Resiliente Systeme halten Angriffen stand, ohne den Betrieb dauerhaft zu unterbrechen. Nicht Unverwundbarkeit, sondern Standfestigkeit ist das Ziel.
Regenerativ
Nach einem Sturm treibt der Hibiskus neu aus – unversehrt, als wäre nichts gewesen. Business Continuity und Incident Response folgen dieser Logik: ein Vorfall ist kein Ende, sondern ein Wiederherstellungsprozess.
Bedrohungslage 2024
Aktuelle Zahlen aus dem BSI-Lagebericht
Quick-Check
Wie sicher ist Ihr Unternehmen? Beantworten Sie 10 Fragen.
Weniger als 7 Punkte? Die folgenden Abschnitte helfen Ihnen, die Lücken systematisch zu schließen.
Sofortmaßnahmen
6 Low-Hanging Fruits – maximale Wirkung, minimaler Aufwand, heute umsetzbar
MFA aktivieren
Multi-Faktor-Authentifizierung für alle Cloud- und E-Mail-Konten. Blockiert 99,9 % aller automatisierten Angriffe – auch bei gestohlenen Passwörtern.
Passwortmanager einführen
Einzigartige, starke Passwörter für jeden Dienst – ohne Merkaufwand. Bitwarden ist kostenlos und für Teams geeignet.
Phishing-Kurzschulung
60-Minuten-Pflichttermin für alle Mitarbeiter senkt die Klickrate auf Phishing-Mails von 30 % auf unter 5 %. BSI-Materialien kostenlos.
Admin-Konten trennen
Separate Konten für IT-Verwaltung und Alltagsarbeit. Verhindert, dass ein Phishing-Angriff sofort Vollzugriff auf alle Systeme gibt.
Offboarding-Prozess
Schriftliche Checkliste: Alle Zugänge werden am letzten Arbeitstag gesperrt. Verhindert Datenpannen durch Ex-Mitarbeiter.
Bildschirmsperre erzwingen
Automatische Sperre nach 5 Minuten auf allen Firmengeräten. Zentral über Gruppenrichtlinie oder MDM steuerbar – auch im Homeoffice wirksam.
Bedrohungsszenarien
Die häufigsten Angriffsvektoren auf KMUs – und wie Sie sich schützen
Phishing & Social Engineering
Manipulative E-Mails, SMS und Anrufe, die Mitarbeiter zur Herausgabe von Daten oder Klicks verleiten.
Ransomware
Schadsoftware verschlüsselt Unternehmensdaten und erpresst Lösegeld. Durchschnittlicher Schaden: 50.000 €+.
CEO-Fraud / BEC
Angreifer geben sich als Geschäftsführung aus und fordern Überweisungen oder sensible Informationen.
Unsichere Zugangsdaten
Schwache oder wiederverwendete Passwörter ermöglichen Brute-Force- und Credential-Stuffing-Angriffe.
Insider-Bedrohungen
Mitarbeiter – absichtlich oder unbeabsichtigt – als Sicherheitsrisiko. Least-Privilege verhindert großen Schaden.
Supply-Chain-Angriffe
Angriffe über Software-Lieferanten und Dienstleister, die Zugang zu Ihren Systemen haben.
DDoS-Angriffe
Massenhafte Anfragen überfluten Webseiten und Server, bis diese zusammenbrechen und für Kunden nicht mehr erreichbar sind.
Man-in-the-Middle
Angreifer schalten sich unbemerkt in die Kommunikation – lesen mit, manipulieren Inhalte oder stehlen Zugangsdaten.
Datenlecks
Sensible Daten gelangen durch Fehlkonfigurationen, falsch adressierte E-Mails oder ungeschützte Geräte nach außen – oft ohne böswillige Absicht.
Zero-Day-Exploits
Angreifer nutzen unbekannte Schwachstellen aus, bevor ein Patch existiert. Bekannte, ungepatchte Lücken sind jedoch noch häufiger das Einfallstor.
Malvertising
Schadcode wird über manipulierte Werbeanzeigen oder gefälschte Downloadseiten verbreitet – oft auf seriösen Websites.
Identitätsdiebstahl
Gestohlene Zugangsdaten ermöglichen Kontoübernahmen – oft unbemerkt über Wochen hinweg, während Angreifer mitlesen und manipulieren.
Deepfakes & KI-Angriffe
KI erzeugt täuschend echte Stimmen und Videos von Führungskräften für Betrug – und ermöglicht hochpersonalisiertes Phishing in großem Maßstab.
Physische Bedrohungen
Unbefugter Zutritt, Gerätediebstahl, Shoulder Surfing und USB-Baiting – digitale Sicherheit beginnt in der physischen Welt.
Cryptojacking
Angreifer kapern heimlich Rechenkapazität für Kryptomining – erhöhte Strom- und Cloud-Kosten, verlangsamte Systeme, oft lange unentdeckt.
Technische Maßnahmen
Konkrete Schutzmaßnahmen sortiert nach Wirksamkeit
Passwortmanagement & MFA
Ein Passwortmanager generiert und speichert starke, einzigartige Passwörter für jeden Dienst. Multi-Faktor-Authentifizierung (MFA) fügt eine zweite Sicherheitsebene hinzu und verhindert Kontoübernahmen selbst bei gestohlenen Passwörtern.
- › Empfohlen: Bitwarden (Open Source, kostenlos), 1Password (Business)
- › MFA-Apps: Microsoft Authenticator, Google Authenticator, Aegis (Android)
- › Mindestlänge für Passwörter: 16 Zeichen, keine Wiederverwendung
Patch-Management & Software-Updates
Ungepatchte Systeme sind die häufigste Einstiegsroute für Angreifer. Automatische Updates sollten für alle Systeme aktiviert sein. Kritische Patches innerhalb von 24 Stunden einspielen.
- › Windows: Automatische Updates aktivieren, WSUS für zentrale Verwaltung
- › Browser und Browser-Plugins sofort aktualisieren (hohe Angriffsfläche)
- › End-of-Life-Software (z.B. Windows 7) sofort ersetzen
Netzwerksicherheit (Firewall, VPN, WLAN)
Eine korrekt konfigurierte Firewall ist die erste Verteidigungslinie. WLAN-Segmentierung trennt Gäste vom Unternehmensnetz. VPN schützt remote arbeitende Mitarbeiter.
- › Separates WLAN für Gäste und IoT-Geräte (eigenes Netz, kein Zugang zum Firmennetz)
- › VPN für alle Homeoffice-Verbindungen auf Unternehmensressourcen
- › Standard-Passwörter auf Routern und Switches sofort ändern
Datensicherung & Backup-Strategie (3-2-1-Regel)
Die 3-2-1-Regel ist der Mindeststandard: 3 Kopien, auf 2 verschiedenen Medien, davon 1 extern. Nur geprüfte Backups schützen im Ernstfall.
- › Backup-Tests: Monatlich prüfen, ob die Wiederherstellung funktioniert
- › Offline-Backup (Air-Gap) ist der einzige zuverlässige Schutz vor Ransomware
- › Recovery Time Objective (RTO) und Recovery Point Objective (RPO) definieren
E-Mail-Sicherheit (SPF, DKIM, DMARC)
E-Mail-Spoofing – das Versenden von E-Mails im Namen Ihrer Domain – ist die Grundlage vieler Phishing- und CEO-Fraud-Angriffe. SPF, DKIM und DMARC verhindern dies.
- › SPF: Legt fest, welche Server E-Mails für Ihre Domain versenden dürfen
- › DKIM: Digitale Signatur beweist die Authentizität jeder E-Mail
- › DMARC: Definiert, was mit nicht authentifizierten E-Mails passiert (ablehnen/quarantäne)
Endpoint-Security (Antivirus, EDR)
Moderne Endpoint-Detection-and-Response-Lösungen (EDR) erkennen Angriffe auch ohne bekannte Signaturen durch Verhaltensanalyse.
- › Windows Defender ist für KMUs ein guter kostenloser Basisschutz
- › EDR-Lösungen (z.B. SentinelOne, CrowdStrike) für höhere Anforderungen
- › USB-Ports deaktivieren oder kontrollieren (häufiger Infektionsweg)
Cloud-Sicherheit & SaaS-Verwaltung
Cloud-Anbieter sichern ihre Infrastruktur – aber nicht Ihre Daten vor Ihren eigenen Fehlern. Zugriffsschutz, Backup und Shadow-IT-Kontrolle liegen in Ihrer Verantwortung.
- › MFA für alle Cloud-Konten erzwingen (Microsoft 365, Google Workspace, etc.)
- › Inventar aller genutzten SaaS-Dienste pflegen – Shadow IT erkennen und kontrollieren
- › Eigenes Backup für Cloud-Daten (M365, Google Workspace) – Anbieter-Backup reicht nicht
Mobile Device Management (MDM)
Smartphones und Tablets sind vollwertige Computer mit Zugang zu Unternehmensressourcen. MDM ermöglicht zentrale Verwaltung, Richtliniendurchsetzung und Fernlöschung bei Verlust.
- › Remote Wipe einrichten – bevor ein Gerät verloren geht, nicht danach
- › Microsoft Intune (in M365 Business Premium enthalten) für Windows, iOS und Android
- › BYOD: Container-Lösung trennt private und Geschäftsdaten auf demselben Gerät
Organisatorische Maßnahmen
Prozesse und Strukturen, die Sicherheit im Unternehmensalltag verankern
Sicherheitsrichtlinien
Schriftliche Regeln für den Umgang mit IT-Systemen, Daten und Passwörtern. Jeder Mitarbeiter muss sie kennen.
Least-Privilege-Prinzip
Mitarbeiter erhalten nur die Zugriffsrechte, die sie für ihre Arbeit tatsächlich benötigen – nicht mehr.
Onboarding & Offboarding
Klare Prozesse für neue und ausscheidende Mitarbeiter. Zugänge sofort sperren – eine der wirkungsvollsten Maßnahmen.
Inventarisierung
Was nicht bekannt ist, kann nicht geschützt werden. Vollständige Liste aller Geräte und Software-Lizenzen führen.
Notfallmanagement
Was tun, wenn es passiert ist?
Erkennen & Isolieren
Betroffene Systeme sofort vom Netz trennen (Kabel ziehen, nicht ausschalten). Angriff dokumentieren.
Melden
BSI-Meldepflicht prüfen. Datenschutzbehörde bei Datenpanne innerhalb 72 Stunden informieren (DSGVO Art. 33).
Wiederherstellen
Aus sauberem Backup wiederherstellen. Kompromittierte Zugangsdaten ändern. Systeme bereinigen lassen.
Analysieren & Lernen
Einfallstor identifizieren, schließen und dokumentieren. Wiederholung durch Prozessverbesserung verhindern.
Compliance & Rechtliches
Rechtliche Anforderungen, die KMUs kennen müssen
DSGVO
Datenschutz-Grundverordnung gilt für jedes Unternehmen, das personenbezogene Daten von EU-Bürgern verarbeitet. Bußgelder bis 20 Mio. €.
NIS2-Richtlinie
Ab Oktober 2024 für viele KMUs relevant. Erweiterte Meldepflichten und Sicherheitsanforderungen für kritische Sektoren.
BSI IT-Grundschutz
Kostenlose Leitfäden des BSI für systematische IT-Sicherheit. Der IT-Grundschutz-Kompendium ist der deutsche Standard.
ISO 27001
Internationaler Standard für Informationssicherheits-Managementsysteme (ISMS). Für Zertifizierung relevant bei Ausschreibungen.
VDA ISA
Fragenkatalog des Verbands der Automobilindustrie, auf dem TISAX-Assessments basieren. Deckt Informationssicherheit, Datenschutz und Prototypenschutz ab – auch als Self-Assessment-Werkzeug nutzbar.
SOC 2
System and Organization Controls 2 – US-amerikanischer Prüfstandard (AICPA) für Dienstleister, die Kundendaten verarbeiten. Relevant für SaaS-Anbieter und IT-Dienstleister mit US-Kunden oder -Investoren.
Ressourcen & Tools
Kostenlose Werkzeuge und offizielle Quellen
BSI-Grundschutz-Tools
Das BSI bietet kostenlose Tools, Checklisten und den IT-Grundschutz-Check für KMUs auf bsi.bund.de.
Have I Been Pwned
Prüfen Sie, ob Unternehmens-E-Mail-Adressen in bekannten Datenlecks aufgetaucht sind.
VirusTotal
Unbekannte Dateien und Links sicher prüfen – bevor sie auf Unternehmensgeräten geöffnet werden.
MITRE ATT&CK®
Wissensdatenbank realer Angriffstaktiken und -techniken, gepflegt von MITRE. Nützlich für Risikoanalysen und die Bewertung vorhandener Schutzmaßnahmen gegen bekannte Angriffsmuster.
Sicherheits-Checklisten
Druckfertige Checklisten für Sofortmaßnahmen, Backup-Check, Notfallplan und mehr.