IT-Grundschutz für kleine Unternehmen
IT-Sicherheit für KMU mit dem IT-Grundschutz: welche Einstiege das BSI für kleine Betriebe bietet, wo man anfängt und welche Fehler man vermeiden sollte.
Der IT-Grundschutz des BSI wirkt auf den ersten Blick wie etwas für Behörden und Konzerne. Tatsächlich bietet er Wege, um IT-Sicherheit KMU-gerecht und mit überschaubarem Aufwand aufzubauen. Entscheidend ist, nicht mit dem vollen Programm zu beginnen, sondern mit dem Einstieg, der zur Größe Ihres Betriebs passt.
Drei Einstiege für kleine Betriebe
- WiBA, der «Weg in die Basis-Absicherung»: Checklisten des BSI mit einfachen Prüffragen zu Themen wie Datensicherung, Updates oder Büro-Arbeitsplatz. Gut für Betriebe, die selbst loslegen wollen.
- CyberRisikoCheck nach DIN SPEC 27076: ein strukturiertes Gespräch mit einem IT-Dienstleister, das in kurzer Zeit zeigt, wo die größten Risiken liegen.
- Basis-Absicherung: der schlanke Weg des IT-Grundschutzes für alle Bereiche des Betriebs.
Womit Sie anfangen sollten
- Eine verantwortliche Person benennen und Zeit dafür einplanen.
- Eine Liste der Geräte, Programme, Cloud-Dienste und Dienstleister erstellen.
- Die Grundlagen sichern: Updates, Datensicherung mit Test, Zwei-Faktor-Anmeldung, eigene Konten statt Sammelkonten, Schulung der Mitarbeitenden.
- Einen einfachen Notfallplan schreiben und ausdrucken.
Was es kostet
Die Unterlagen des BSI sind kostenlos. Kosten entstehen für Arbeitszeit, gegebenenfalls externe Unterstützung und einzelne technische Anschaffungen. Viele wirksame Maßnahmen kosten wenig, etwa eine Zwei-Faktor-Anmeldung oder das Abschalten nicht genutzter Zugänge.
Der nächste Schritt
Wählen Sie einen der drei Einstiege und setzen Sie sich ein Ziel für die nächsten drei Monate. Ein kleiner, abgeschlossener Schritt bringt mehr als ein großes Konzept, das liegen bleibt.
Passt der IT-Grundschutz überhaupt zu KMU?
Das IT-Grundschutz-Kompendium betont, dass der IT-Grundschutz sowohl von kleinen und mittleren als auch von großen Institutionen genutzt werden kann. Es weist aber auch darauf hin, dass eine erfolgreiche Umsetzung eine Organisationseinheit voraussetzt, die die interne IT einrichtet, betreibt, überwacht und wartet. In vielen kleinen Betrieben ist das ein externer Dienstleister. Diese Konstellation muss von Anfang an mitgedacht werden: Viele Anforderungen werden vom Dienstleister umgesetzt, verantwortet werden sie vom Betrieb.
Die Einstiege im Vergleich
| Einstieg | Aufwand | Ergebnis | geeignet für |
|---|---|---|---|
| WiBA | gering bis mittel | abgearbeitete Checklisten, Maßnahmenliste | Betriebe, die selbst starten wollen |
| DIN SPEC 27076 | gering | Risikoeinschätzung und priorisierte Empfehlungen durch einen Dienstleister | Betriebe, die eine schnelle Standortbestimmung wollen |
| Basis-Absicherung | mittel | Modellierung, Check der Basis-Anforderungen, Realisierungsplan | Betriebe, die systematisch nach IT-Grundschutz arbeiten wollen |
| Kern-Absicherung | mittel bis hoch für einen kleinen Bereich | vollständiger Schutz der Kronjuwelen | Betriebe mit klar abgrenzbaren, existenzkritischen Daten oder Prozessen |
| Standard-Absicherung | hoch | vollständiges Sicherheitskonzept, zertifizierbar | Betriebe mit Zertifizierungsbedarf oder hohem Reifegrad |
Der WiBA-Weg ist laut BSI speziell für kleine Institutionen gedacht; die dort erprobten Checklisten sollen fester Bestandteil des Grundschutz++ werden. Für die Kommunalverwaltung und für Handwerksbetriebe gibt es zudem IT-Grundschutz-Profile als vorbereitete Vorlagen.
Die Bausteine, die in fast jedem KMU zählen
Unabhängig vom Einstieg tauchen in kleinen Betrieben immer wieder dieselben Themen auf. Im Kompendium entsprechen sie unter anderem diesen Bausteinen:
- ISMS.1 Sicherheitsmanagement: Verantwortung der Leitung, ISB, Leitlinie.
- ORP.2 Personal, ORP.3 Sensibilisierung und Schulung, ORP.4 Identitäts- und Berechtigungsmanagement: Ein- und Austritt, Schulung, Konten und Rechte.
- CON.3 Datensicherungskonzept: regelmäßige, getestete Sicherung mit einer vom Netz getrennten Kopie.
- OPS.1.1.3 Patch- und Änderungsmanagement, OPS.1.1.4 Schutz vor Schadprogrammen.
- OPS.2.2 Cloud-Nutzung: für Microsoft 365, Branchensoftware als Dienst und Online-Speicher.
- DER.2.1 Behandlung von Sicherheitsvorfällen und DER.4 Notfallmanagement.
- SYS.2.1 Allgemeiner Client, SYS.3.1 Laptops, SYS.3.2.1 Smartphones und Tablets.
- NET.3.2 Firewall, NET.2.1 WLAN-Betrieb.
- INF.7 Büroarbeitsplatz, INF.8 Häuslicher Arbeitsplatz.
Ein realistischer Fahrplan
Erste vier Wochen
- Verantwortliche Person benennen, Leitung gibt Rückendeckung und Zeitbudget.
- Inventar: Geräte, Anwendungen, Cloud-Dienste, Dienstleister, externe Zugänge.
- Sofortmaßnahmen: Zwei-Faktor-Authentifizierung für E-Mail und Fernzugänge, ungenutzte Konten sperren, Updates prüfen, Backup-Wiederherstellung testen.
Bis drei Monate
- Einstieg wählen und durcharbeiten, etwa WiBA-Checklisten oder Basis-Absicherung.
- Kurze Leitlinie und Regeln für Mitarbeitende.
- Notfallplan mit Kontaktliste, Meldewegen und Wiederanlaufreihenfolge.
- Verträge mit IT-Dienstleistern auf Zuständigkeiten und Reaktionszeiten prüfen.
Laufend
- Sensibilisierung mindestens jährlich, zusätzlich anlassbezogen.
- Prüfung der Maßnahmen in festen Abständen und bei Änderungen.
- Ausbau in Richtung Standard-Anforderungen, wo der Schutzbedarf es verlangt.
Typische Fehler
- Alles an den Dienstleister delegieren. Er kann umsetzen, aber nicht entscheiden, was dem Betrieb wichtig ist.
- Mit Technik beginnen. Neue Produkte helfen wenig, wenn Konten, Rechte und Datensicherung ungeregelt sind.
- Zu viel Papier. Eine Leitlinie von einer Seite, die gelebt wird, ist besser als ein umfangreiches Konzept im Schrank.
- Kein Test. Backups und Notfallpläne, die nie geübt wurden, versagen oft im Ernstfall.
Woran Sie Fortschritt messen
Statt eines Prozentwerts helfen einfache, überprüfbare Aussagen:
- Für jedes Konto ist bekannt, wem es gehört; Konten ausgeschiedener Personen sind gesperrt.
- Die letzte erfolgreiche Wiederherstellung aus dem Backup ist datiert.
- Kritische Updates werden innerhalb einer festgelegten Frist eingespielt.
- Fernzugänge und E-Mail sind mit einem zweiten Faktor geschützt.
- Alle Mitarbeitenden wurden im letzten Jahr sensibilisiert.
- Der Notfallplan wurde mindestens einmal durchgespielt.
- Für jeden IT-Dienstleister ist schriftlich geregelt, wer im Notfall wann erreichbar ist.
Diese Punkte lassen sich in wenigen Minuten prüfen und eignen sich gut für einen kurzen Bericht an die Geschäftsführung, etwa zweimal im Jahr.
Rechtliche Einordnung
Für die meisten kleinen Unternehmen schreibt kein Gesetz den IT-Grundschutz vor. Pflichten ergeben sich aber aus der DSGVO, aus Verträgen und aus Bedingungen von Versicherern. Ob ein Betrieb unter die NIS-2-Umsetzung fällt, hängt vor allem von Sektor und Größe ab und sollte gesondert geprüft werden. Auch nicht unmittelbar betroffene Betriebe spüren NIS-2 häufig über Anforderungen ihrer Kunden an die Lieferkette.
Unterstützung
Die Dokumente des BSI sind kostenlos, ebenso der Online-Kurs IT-Grundschutz, der sich ausdrücklich auch an kleine und mittlere Unternehmen richtet. Externe Unterstützung lohnt sich vor allem für die Erstbewertung, die Modellierung und die Notfallplanung. Ziel sollte sein, dass der Betrieb den Stand danach selbst pflegen kann.
Häufige Fragen
Ist IT-Grundschutz für kleine Unternehmen geeignet?
Ja, über die schlanken Einstiege Basis-Absicherung und WiBA. Die vollständige Standard-Absicherung ist für kleine Betriebe meist erst ein späteres Ziel.
Was ist der Unterschied zwischen WiBA und DIN SPEC 27076?
WiBA sind Checklisten des BSI zum Selbstabarbeiten. Der CyberRisikoCheck nach DIN SPEC 27076 ist ein standardisiertes Gespräch mit einem Dienstleister, das eine Risikoeinschätzung und Empfehlungen liefert.
Was kostet IT-Sicherheit für KMU nach IT-Grundschutz?
Die BSI-Unterlagen sind kostenlos. Kosten entstehen vor allem durch Arbeitszeit, externe Unterstützung und einzelne Anschaffungen und hängen stark von der Ausgangslage ab.