Wenn ich einen Betrieb übernehme, der seine IT jahrelang nebenbei gepflegt hat, sieht der erste Tag fast immer gleich aus. Es gibt keinen Plan, kein Verzeichnis, keine Übergabe — es gibt Menschen, die wissen, wie man Dinge zum Laufen bringt, und Lösungen, die irgendwann einmal funktioniert haben. Nichts davon ist böswillig oder nachlässig. Es ist gewachsen, so wie eine Werkstatt wächst, in der jeder Griff seinen Grund hatte.

Was ich in kleinen Betrieben regelmäßig vorfinde

Die folgende Liste ist keine Sammlung von Extremfällen, sondern die Normallage. Kaum ein Betrieb hat alles davon, kaum einer hat nichts davon:

• Ein Administrator-Passwort, das mehrere Leute kennen und das seit Jahren unverändert ist — meist steht es irgendwo, wo man es „im Notfall“ findet.
• Konten von Mitarbeitern, die längst ausgeschieden sind, teils noch mit gültigem Zugang von außen.
• Ein Backup, das zuverlässig läuft — und das noch nie jemand zurückgespielt hat.
• Alle arbeiten mit lokalen Administratorrechten, weil „sonst die Fachanwendung nicht läuft“.
• Kein zweiter Faktor auf den Microsoft-365-Konten, weil er bei der Einrichtung übersprungen wurde und danach niemand mehr daran ging.
• Ein Gerät, das niemand mehr anfasst, weil eine wichtige Software nur dort läuft — entsprechend alt ist sein Softwarestand.
• Fernwartungszugänge von Lieferanten und Dienstleistern, die niemand mehr vollständig überblickt.
• Router oder Firewall im Auslieferungszustand oder mit abgelaufener Wartung.

Jeder dieser Punkte hat eine nachvollziehbare Entstehungsgeschichte. Der zweite Faktor wurde übersprungen, weil an dem Tag drei Leute gleichzeitig eingerichtet werden mussten. Die Adminrechte kamen, weil die Fachanwendung sonst beim Update stehen blieb. Das alte Gerät läuft weiter, weil der Hersteller die Software nicht mehr pflegt und ein Wechsel Geld kostet. Wer das als Schlamperei behandelt, verliert die Leute, die er für das Aufräumen braucht.

Warum die Reihenfolge nicht aus dem Maßnahmenkatalog kommt

Es gibt gute Kataloge, und wenn Sie unter eine gesetzliche Pflicht fallen, führt an ihnen kein Weg vorbei — für betroffene Unternehmen habe ich das in NIS2-Maßnahmen nach Artikel 21 durchgearbeitet. Nur beantwortet ein Katalog eine andere Frage als die, die im kleinen Betrieb ansteht. Er sagt, was am Ende vorhanden sein soll. Er sagt nicht, womit man montagfrüh anfängt, wenn Budget und Zeit für genau zwei Dinge reichen.

Deshalb sortiere ich nach zwei Fragen: Was ändert die Lage sofort, ohne dass jemand etwas kaufen muss? Und was verhindert, dass ein einzelner Fehler den ganzen Betrieb trifft? Alles, was diese beiden Fragen nicht beantwortet, ist nicht unwichtig — es ist nur später dran.

Schritt 1: Wer kommt eigentlich herein?

Das ist die Frage, die ich zuerst stelle, und sie ist erstaunlich oft unbeantwortet. Sie umfasst drei Dinge: die Konten der eigenen Leute, die Zugänge von außen und die geteilten Passwörter.

• Ausgeschiedene Mitarbeiter: Konten deaktivieren, nicht löschen — Postfach und Dateien bleiben so erhalten, der Zugang ist aber zu. Das ist eine Sache von Minuten und schließt die Tür, die am längsten offen stand.
• Zweiter Faktor auf allen Konten, die von außen erreichbar sind. Das ist der Schritt mit dem besten Verhältnis von Aufwand zu Wirkung, den es im Kleinbetrieb überhaupt gibt: Er kostet in den gängigen Microsoft-365-Paketen nichts extra und macht ein gestohlenes Passwort weitgehend wertlos.
• Fernwartungszugänge auflisten: Wer von außen auf Ihre Systeme kommt, gehört auf eine Liste — mit Namen, Zweck und Ansprechpartner. Was nicht mehr gebraucht wird, wird abgeschaltet, und zwar sofort, nicht „wenn wir mal Zeit haben“.
• Geteilte Administrator-Passwörter auflösen: persönliche Konten für die Personen, die es brauchen, und ein Notfallzugang, der dokumentiert und verwahrt ist statt herumzuliegen.

Der Grund für diese Reihenfolge ist einfach: Solange unklar ist, wer hereinkommt, wirkt keine andere Maßnahme zuverlässig. Ein perfekt gepatchtes System hilft nicht gegen jemanden, der sich mit gültigen Zugangsdaten anmeldet.

Schritt 2: Kommen Sie nach einem Ausfall wieder hoch?

Fast jeder Betrieb hat ein Backup. Deutlich weniger Betriebe wissen, wie lange eine Wiederherstellung dauert, wer sie durchführt und ob sie überhaupt funktioniert. Genau das entscheidet aber, ob ein Zwischenfall ein Ärgernis oder eine Existenzfrage wird.

Wichtig ist dabei die Kopie, die ein Angreifer nicht mitlöschen kann. Wenn die Sicherung auf demselben Netzlaufwerk liegt, das auch die Arbeitsplätze beschreiben können, ist sie im Ernstfall genauso verschlüsselt wie alles andere. Eine getrennte, nicht dauerhaft beschreibbare Kopie ist der Unterschied zwischen zwei Tagen Arbeit und einem Neuanfang.

Schritt 3: Wer darf was — und warum arbeiten alle als Administrator?

Der Satz „das geht bei uns nicht anders“ stimmt seltener, als er gesagt wird. Meist stammt die Notwendigkeit aus einer alten Programmversion oder aus einem Installationsweg, den nie jemand hinterfragt hat. Ich prüfe deshalb zuerst, ob die Fachanwendung wirklich Adminrechte im laufenden Betrieb braucht oder nur bei der Installation und beim Update — das ist der häufigste Fall und lässt sich ohne Wechsel der Software lösen.

Wo es tatsächlich nicht anders geht, trenne ich: ein normales Konto für die tägliche Arbeit, ein zweites mit erweiterten Rechten für den Fall, dass sie gebraucht werden. Das ist kein Misstrauen gegenüber den Mitarbeitern. Es begrenzt schlicht, was ein unbedacht geöffneter Anhang anrichten kann — nämlich den Schaden an einem Arbeitsplatz statt im ganzen Netz.

Schritt 4: Was steht im Weg?

Jetzt erst kommen die Punkte, die Geld oder eine Entscheidung kosten. Das alte Gerät, auf dem eine unverzichtbare Software läuft, ist der Klassiker: Es lässt sich nicht einfach abschalten, aber es lässt sich einhegen — vom übrigen Netz trennen, den Internetzugang kappen, den Zugriff auf die Personen begrenzen, die ihn brauchen. Das ist keine schöne Lösung, aber eine ehrliche, und sie verschafft Zeit für die eigentliche Entscheidung: Software wechseln, Hersteller wechseln oder das Risiko bewusst tragen.

Der zweite Punkt ist der Übergang nach außen. Ein Router im Auslieferungszustand oder eine Firewall ohne gültige Wartung ist kein akutes Drama, aber sie altert gegen Sie: Ohne Aktualisierungen wird aus einem sicheren Gerät über die Jahre ein offenes. Das gehört auf die Liste der planbaren Ausgaben, nicht in die Notfallschublade. Wer ohnehin gerade vor dem Support-Ende von Windows 10 steht, plant beides sinnvollerweise zusammen.

Was aus meiner Sicht überbewertet wird

Dieser Abschnitt kostet mich möglicherweise Zustimmung, aber er spart Ihnen Geld:

• Erzwungener regelmäßiger Passwortwechsel. Er stammt aus einer Zeit vor den heutigen Empfehlungen und führt in der Praxis zu Passwort1, Passwort2, Passwort3 — er verschlechtert die Lage eher, als dass er sie verbessert. Ein langes, einmaliges Passwort je Dienst plus zweiter Faktor schlägt jeden Wechselrhythmus.
• Die jährliche Awareness-Schulung als Pflichttermin. Zwei Stunden Folien im Januar bewirken wenig. Fünf Minuten am konkreten Fall, wenn gerade eine verdächtige Mail im Haus war, bewirken viel.
• Aufwendige Sicherheitstechnik ohne jemanden, der sie betreut. Ein Werkzeug, das Meldungen erzeugt, die niemand liest, ist teurer Selbstbetrug. Lieber weniger Technik, die tatsächlich jemand ansieht.
• Die Fixierung auf das Virenschutzprogramm. Der eingebaute Schutz aktueller Windows-Systeme ist für den normalen Kleinbetrieb ausreichend; das Geld ist bei Backup-Test und zweitem Faktor besser angelegt.
• Zertifikate und Siegel als Selbstzweck. Sinnvoll, wenn ein Kunde sie verlangt. Als Beweis von Sicherheit gegenüber sich selbst taugen sie wenig.

Wenn Sie es strukturiert angehen wollen

Für Betriebe, die eine geordnete Bestandsaufnahme wollen, gibt es seit einigen Jahren einen passenden Rahmen: den CyberRisikoCheck nach DIN SPEC 27076. Das BSI beschreibt ihn ausdrücklich für kleine und Kleinstunternehmen mit weniger als 50 Beschäftigten. Geprüft werden 27 Anforderungen aus sechs Themenbereichen, in einem ein- bis zweistündigen Interview; das Ergebnis ist ein Bericht mit Punktzahl und einer Handlungsempfehlung für jede nicht erfüllte Anforderung, gegliedert nach Dringlichkeit und mit Hinweisen auf staatliche Fördermaßnahmen. Wichtig zur Einordnung: Das BSI stellt ausdrücklich klar, dass der CyberRisikoCheck keine IT-Sicherheitszertifizierung ist.

Der Wert liegt weniger im Punktestand als in der Systematik: Sie bekommen eine sortierte Liste statt eines Bauchgefühls, und Sie bekommen sie von außen. Nur ersetzt auch das nicht den ersten Schritt. Die Zugänge zu klären und einmal eine Wiederherstellung zu testen, können Sie nächste Woche beginnen — dafür braucht es keinen Termin und kein Budget.

Das ist ohnehin die Erfahrung, die ich aus den meisten Betrieben mitnehme: Der Abstand zwischen „gar nichts“ und „solide Grundlage“ ist deutlich kleiner, als die Leute befürchten. Er besteht aus vier oder fünf Entscheidungen, von denen die wichtigsten nichts kosten außer der Bereitschaft, einmal genau hinzusehen.