Cybersecurity-FAQ für KMU

Weil die meisten Angriffe automatisiert ablaufen. Kriminelle suchen nicht gezielt nach großen Namen, sondern verschicken massenhaft Phishing-Mails und scannen das Internet nach veralteter Software, schwachen Passwörtern und offenen Zugängen. Kleine Unternehmen haben selten eine eigene IT-Abteilung, die solche Lücken schließt oder Angriffe früh bemerkt. Gleichzeitig verfügen sie über wertvolle Daten, Bankzugänge und Kundenkontakte. Für Angreifer ist ein KMU daher oft leichter und schneller zu knacken als ein Konzern.

Am häufigsten sind Phishing und andere Formen von Social Engineering, also Täuschung per E-Mail, SMS oder Telefon. Dazu kommen übernommene E-Mail- und Microsoft-365-Konten, gefälschte Zahlungsanweisungen (CEO-Fraud), Ransomware, die Daten verschlüsselt, sowie gehackte Websites über veraltete WordPress-Plugins. Viele dieser Angriffe beginnen mit einem einzigen gestohlenen Passwort.

Eine feste Zahl gibt es nicht, entscheidend ist das Risiko. Fragen Sie sich: Was kostet ein Tag Stillstand, wenn E-Mail, Buchhaltung oder Onlineshop nicht funktionieren? Was passiert, wenn Kundendaten abfließen? Viele wirksame Maßnahmen kosten wenig oder nichts, etwa Zwei-Faktor-Authentifizierung, automatische Updates und ein getestetes Backup. Für Überwachung und Hilfe im Ernstfall sind planbare Monatspauschalen meist sinnvoller als teure Einzelprojekte.

Nein. Die meisten KMU mit weniger als 50 Mitarbeitenden arbeiten mit einem externen IT-Dienstleister oder betreuen ihre IT nebenbei selbst. Wichtig ist, dass klar geregelt ist, wer Updates einspielt, Backups prüft und im Notfall erreichbar ist. Ergänzend helfen Werkzeuge, die verdächtige Vorgänge automatisch erkennen und verständlich melden, damit niemand täglich Logdateien lesen muss.

Mit fünf Schritten erreichen Sie viel: 1. Zwei-Faktor-Authentifizierung für E-Mail, Microsoft 365 oder Google und Onlinebanking aktivieren. 2. Betriebssysteme, Programme und WordPress regelmäßig aktualisieren (Patch-Management). 3. Backups nach der 3-2-1-Regel anlegen und die Wiederherstellung testen. 4. Einen Passwort-Manager einführen. 5. Mitarbeitende kurz schulen, wie man Phishing erkennt und wem man Verdachtsfälle meldet.

Typische Warnzeichen sind Zeitdruck („Ihr Konto wird heute gesperrt“), ungewöhnliche Absenderadressen, Links, deren Ziel nicht zur angeblichen Firma passt, unerwartete Anhänge und Aufforderungen, Passwörter oder Bankdaten einzugeben. Fahren Sie mit der Maus über einen Link, bevor Sie klicken, und prüfen Sie die Adresse. Im Zweifel rufen Sie den Absender über eine bekannte Telefonnummer an. Mehr dazu im Lexikon unter Phishing.

Ruhe bewahren und schnell handeln: Wurde ein Passwort eingegeben, ändern Sie es sofort und melden Sie alle aktiven Sitzungen ab. Prüfen Sie in Microsoft 365 oder Google, ob neue Weiterleitungsregeln oder unbekannte Anmeldungen auftauchen. Wurde eine Datei geöffnet, trennen Sie das Gerät vom Netzwerk und informieren Sie Ihren IT-Dienstleister. Wichtig ist eine Kultur, in der Mitarbeitende Fehler sofort melden, statt sie aus Angst zu verschweigen.

Beim CEO-Fraud geben sich Betrüger per E-Mail oder Telefon als Geschäftsführung oder bekannter Lieferant aus und fordern eine dringende Überweisung oder geänderte Kontodaten. Schützen können Sie sich mit einer einfachen Regel: Zahlungsanweisungen und Kontoänderungen werden immer über einen zweiten, bekannten Kanal bestätigt, etwa per Rückruf. Dazu kommt ein Vier-Augen-Prinzip für größere Beträge.

Mit den DNS-Einträgen SPF, DKIM und DMARC. SPF legt fest, welche Server für Ihre Domain senden dürfen, DKIM signiert Ihre E-Mails, und DMARC sagt empfangenden Servern, was mit gefälschten Nachrichten passieren soll. Richtig eingerichtet landen gefälschte Mails im Spam oder werden abgewiesen. Ihr Hosting- oder E-Mail-Anbieter kann die Einträge in der Regel in wenigen Minuten setzen.

Nein. Auch lange Passwörter können bei Datenlecks anderer Dienste gestohlen oder durch Phishing abgegriffen werden. Deshalb ist die Zwei-Faktor-Authentifizierung so wichtig: Selbst mit dem richtigen Passwort kommt ein Angreifer ohne den zweiten Faktor, etwa eine App am Handy, nicht ins Konto. Verwenden Sie außerdem für jeden Dienst ein eigenes Passwort, damit ein Leck nicht alle Zugänge gefährdet.

Ja. Ein Passwort-Manager erzeugt für jeden Dienst ein langes, einzigartiges Passwort und speichert alle Zugänge verschlüsselt. Mitarbeitende müssen sich nur noch ein gutes Masterpasswort merken. Für Teams gibt es Lösungen, mit denen sich gemeinsame Zugänge sicher teilen und beim Austritt einer Person zentral entziehen lassen. Achten Sie darauf, auch den Passwort-Manager selbst mit Zwei-Faktor-Authentifizierung abzusichern.

Am letzten Arbeitstag sollten alle persönlichen Konten gesperrt, gemeinsam genutzte Passwörter geändert und Geräte zurückgegeben werden. Prüfen Sie auch weniger offensichtliche Zugänge: WordPress-Benutzer, Social-Media-Konten, Bankzugänge, Cloud-Speicher und Weiterleitungsregeln im E-Mail-Postfach. Eine einfache Checkliste für Ein- und Austritte verhindert, dass ehemalige Zugänge jahrelang offen bleiben.

Warnzeichen sind Anmeldungen aus fremden Ländern, neue Posteingangsregeln, die E-Mails weiterleiten oder löschen, gesendete Nachrichten, die niemand geschrieben hat, und Kontakte, die sich über seltsame E-Mails von Ihnen wundern. Prüfen Sie im Microsoft-365-Konto die Anmeldeaktivitäten und die Postfachregeln. Ändern Sie bei Verdacht sofort das Passwort, beenden Sie alle Sitzungen und aktivieren Sie die Zwei-Faktor-Authentifizierung.

Bewährt hat sich die 3-2-1-Regel: drei Kopien Ihrer Daten, auf zwei verschiedenen Medien, davon eine außer Haus oder offline. Mindestens eine Sicherung sollte so gespeichert sein, dass sie von einem infizierten Computer aus nicht verändert werden kann, denn Ransomware verschlüsselt gezielt auch erreichbare Backups. Testen Sie regelmäßig, ob sich die Daten tatsächlich wiederherstellen lassen. Ein Backup, das nie getestet wurde, ist nur eine Hoffnung.

Behörden und Sicherheitsexpert:innen raten davon ab. Eine Zahlung garantiert nicht, dass Sie Ihre Daten zurückbekommen, sie finanziert weitere Angriffe und macht Sie zum lohnenden Ziel für Wiederholungstäter. Trennen Sie betroffene Geräte vom Netz, schalten Sie sie nicht aus, informieren Sie die Polizei und Ihren IT-Dienstleister und prüfen Sie die DSGVO-Meldepflicht. Mehr im Lexikon unter Ransomware.

Nur teilweise. Cloud-Speicher synchronisieren Dateien, und das gilt auch für verschlüsselte oder gelöschte Dateien. OneDrive und Google Drive bieten zwar Versionsverläufe und Papierkörbe, diese sind aber zeitlich begrenzt und kein vollständiger Ersatz für ein Backup. Für wichtige Unternehmensdaten empfiehlt sich eine zusätzliche, unabhängige Sicherung, auch für die Inhalte von Microsoft 365 oder Google Workspace.

Der WordPress-Kern selbst gilt als gut gewartet und erhält regelmäßig Sicherheitsupdates. Die meisten Einbrüche passieren über veraltete oder schlecht programmierte Plugins und Themes, schwache Admin-Passwörter oder fehlende Updates. Mit aktuellen Komponenten, wenigen und vertrauenswürdigen Plugins, Zwei-Faktor-Login für Admins und regelmäßigen Backups lässt sich WordPress sicher betreiben. Lücken in Plugins werden oft innerhalb weniger Tage nach Bekanntwerden ausgenutzt, siehe Exploit.

Sogenannte „Nulled“-Plugins, also geknackte Kaufplugins von Tauschseiten, enthalten häufig eingeschleusten Schadcode: Hintertüren, Spam-Links oder Skripte, die Besucher auf betrügerische Seiten umleiten. Außerdem erhalten sie keine Sicherheitsupdates. Installieren Sie Plugins nur aus dem offiziellen WordPress-Verzeichnis oder direkt beim Hersteller. Ein einziges manipuliertes Plugin kann die ganze Website und Ihren Ruf bei Google gefährden, siehe Malware.

Typische Anzeichen sind unbekannte Admin-Benutzer, Seiten oder Links, die Sie nicht angelegt haben, Weiterleitungen auf fremde Seiten (oft nur für Besucher vom Handy oder von Google), Warnungen von Google oder Ihrem Browser, ein plötzlich langsamer Server oder E-Mails Ihres Hosters wegen Spamversand. In der Google Search Console sehen Sie unter Sicherheitsprobleme, ob Google Schadcode gefunden hat.

Kleinere Sicherheitsupdates des WordPress-Kerns installiert WordPress standardmäßig automatisch, das ist sinnvoll. Bei großen Versionssprüngen, Themes und umfangreichen Plugins empfiehlt sich vorher ein Backup und danach ein kurzer Test, ob Formulare, Shop und Layout noch funktionieren. Wichtig ist vor allem, dass Updates nicht wochenlang liegen bleiben. Mehr dazu unter Patch-Management.

Direkt betroffen sind seit 1. Oktober 2026 vor allem mittlere und große Unternehmen (ab 50 Beschäftigten oder mehr als 10 Mio. Euro Umsatz und Bilanzsumme) in 18 Sektoren, etwa Energie, Gesundheit, Transport, digitale Infrastruktur oder Lebensmittel. Viele kleinere Betriebe fallen nicht direkt darunter, werden aber als Zulieferer oder Dienstleister betroffener Unternehmen nach ihren Sicherheitsmaßnahmen gefragt. Details finden Sie im Lexikon unter NIS2 und NISG 2026. Dies ist keine Rechtsberatung.

Wenn personenbezogene Daten betroffen sind, etwa Kunden-, Patienten- oder Mitarbeiterdaten, müssen Sie die Verletzung in der Regel binnen 72 Stunden ab Kenntnis an die österreichische Datenschutzbehörde melden, außer das Risiko für die Betroffenen ist voraussichtlich gering. Bei hohem Risiko sind auch die betroffenen Personen zu informieren. Dokumentieren Sie den Vorfall in jedem Fall intern, auch wenn keine Meldung nötig ist.

Straftaten wie Betrug, Erpressung oder Datendiebstahl können Sie bei jeder Polizeidienststelle anzeigen oder an die Meldestelle für Internetkriminalität des Bundeskriminalamts (against-cybercrime@bmi.gv.at) melden. CERT.at unterstützt bei IT-Sicherheitsvorfällen mit Informationen und Koordination. Betrügerische Websites und Maschen meldet man an die Watchlist Internet. Unternehmen, die unter das NISG 2026 fallen, haben zusätzlich Meldepflichten gegenüber dem Bundesamt für Cybersicherheit.

Eine Cyberversicherung kann Kosten für Forensik, Wiederherstellung, Betriebsunterbrechung und Rechtsberatung nach einem Angriff abdecken. Versicherer verlangen aber Grundschutz wie Zwei-Faktor-Authentifizierung, Backups und aktuelle Software, sonst drohen Leistungskürzungen. Prüfen Sie Ausschlüsse und Selbstbehalte genau. Eine Versicherung ersetzt keine Sicherheitsmaßnahmen, sie federt nur die finanziellen Folgen ab.

Kurz, regelmäßig und praxisnah funktioniert besser als ein jährlicher Vortrag. Zeigen Sie echte Beispiele von Phishing, Smishing und Vishing, erklären Sie, wem Verdachtsfälle gemeldet werden, und loben Sie Meldungen statt Fehler zu bestrafen. Viele Unternehmen nutzen kurze Lernvideos oder simulierte Phishing-Mails. Die Watchlist Internet und CERT.at veröffentlichen laufend aktuelle Betrugsmaschen als Gesprächsstoff.

Es kann eines sein, wenn private Geräte ohne Updates, unsichere Heimrouter oder geteilte Familien-Laptops genutzt werden. Sicher wird Homeoffice mit Firmengeräten oder klaren Mindeststandards, aktuellen Betriebssystemen, verschlüsselten Festplatten, Zwei-Faktor-Authentifizierung und Zugriff auf Unternehmensdaten über Microsoft 365, Google Workspace oder ein VPN statt über private E-Mail-Konten oder USB-Sticks.

Dank verschlüsselter Verbindungen (HTTPS) ist das Risiko geringer als früher, ganz unbedenklich ist öffentliches WLAN aber nicht. Angreifer können gefälschte Hotspots mit vertrauenswürdigen Namen aufstellen. Nutzen Sie für sensible Arbeiten lieber den Hotspot Ihres Handys oder ein VPN, achten Sie auf Zertifikatswarnungen im Browser und deaktivieren Sie die automatische Verbindung mit bekannten Netzwerken.

Ein Virenschutz ist eine wichtige Basis, erkennt aber vor allem bekannte Schadsoftware. Gegen gestohlene Passwörter, Phishing, übernommene Cloud-Konten oder gehackte Websites hilft er wenig. Deshalb braucht es zusätzliche Schichten: Zwei-Faktor-Authentifizierung, Updates, Backups und jemanden, der verdächtige Vorgänge wie Anmeldungen aus dem Ausland oder neue Admin-Konten bemerkt. Größere Unternehmen setzen dafür EDR und SIEM ein.