Fünf Computer, eine Buchhalterin, ein E-Mail-Postfach voller Rechnungen — und niemand, der sich um die Technik kümmert. So sieht die IT in den meisten kleinen Unternehmen aus, die bei uns im Service vorbeikommen. Der Inhaber weiß, dass „man sich darum mal kümmern sollte”, aber zwischen den Aufträgen kommt es nie dazu.
Die gute Nachricht: Die IT-Grundsicherheit eines kleinen Unternehmens braucht weder eine IT-Abteilung noch teure Software. Fast alles Folgende schaffen Sie mit Tools, die Sie in Windows bereits haben. Zu jedem Schritt finden Sie drei Dinge: warum Sie ihn tun sollten, wie viel Zeit er tatsächlich kostet und was Sie riskieren, wenn Sie ihn auslassen.
Kurz gesagt: Wenn Sie nicht alles schaffen, halten Sie zumindest die Reihenfolge nach Wirkung ein — zuerst Backups mit getrennter Kopie (Schritt 4), dann Updates (Schritt 2) und die Arbeit ohne Admin-Rechte (Schritt 1). Den Rest ergänzen Sie nach und nach innerhalb weniger Wochen. Und falls Sie wissen, dass Sie selbst nicht dazu kommen werden — am Ende des Artikels finden Sie einen Weg, es uns zu überlassen.
1. Separate Konten ohne Admin-Rechte
Wenn alle unter einem einzigen Konto „Büro” mit Administratorrechten arbeiten, besitzt auch jedes Programm, das irgendjemand startet, dieselben Rechte. Schadcode unter einem Admin-Konto kann Schutzfunktionen deaktivieren, sich im System einnisten und auf alles zugreifen, was der Computer erreicht. Unter einem normalen Konto ist sein Spielraum deutlich kleiner — und Windows fragt nur dann nach dem Admin-Passwort, wenn tatsächlich etwas installiert oder geändert wird.
So geht’s: Legen Sie unter Einstellungen → Konten → Weitere Benutzer für jede Person ein eigenes Konto vom Typ Standardbenutzer an. Behalten Sie ein einziges Administratorkonto mit einem starken Passwort, das nur der Inhaber oder eine beauftragte Person kennt — und das nicht für die tägliche Arbeit verwendet wird. Schaffen Sie gemeinsam genutzte Konten ab: Wenn etwas schiefgeht, müssen Sie wissen, wer angemeldet war.
Dauer: Das Anlegen der Konten ist eine Sache von Minuten; für die Übertragung von Dokumenten und Einstellungen in die neuen Profile sollten Sie pro Computer eher bis zu einer Stunde einplanen.
Ohne das: Ein einziger Klick auf einen infizierten Anhang unter dem Admin-Konto übergibt dem Angreifer den gesamten Computer — inklusive der Möglichkeit, den Antivirus abzuschalten und alles Angeschlossene zu verschlüsseln oder zu löschen.
2. Updates für Windows und Programme
Kleine Unternehmen denken oft, dass sie für Angreifer nicht interessant sind. Doch ein Großteil der Angriffe läuft heute nicht manuell ab — Automaten durchsuchen flächendeckend Rechner nach bekannten, längst behobenen Schwachstellen. Updates schließen diese Lücken; wer sie aufschiebt, lässt eine offene Tür stehen, zu der die Anleitung öffentlich verfügbar ist.
So geht’s: Lassen Sie Windows Update aktiviert und schieben Sie Neustarts nicht wochenlang auf. Vergessen Sie die Programme nicht — Browser, PDF-Reader, Office-Paket und vor allem die Buchhaltungssoftware. Gesammelt aktualisiert sie der im Terminal ausgeführte Befehl winget upgrade --all. Und falls bei Ihnen noch Windows 10 läuft: Der reguläre Support endete im Oktober 2025 — ein Rechner ohne Sicherheitsupdates ist ein dauerhaftes Risiko, keine Ersparnis.
Dauer: Das erste Nachholen versäumter Updates kann durchaus ein paar Stunden dauern, läuft aber von selbst — es reicht, die Computer über Mittag oder über Nacht eingeschaltet zu lassen. Danach sind es nur noch Minuten pro Woche.
Ohne das: Der Angreifer muss niemanden austricksen. Ihm genügt eine Schwachstelle, für die es seit Monaten einen Patch gibt, den nur niemand installiert hat.
3. Defender und kontrollierter Ordnerzugriff
Microsoft Defender ist Bestandteil von Windows, kostet nichts und ist für ein kleines Unternehmen eine solide Grundlage. Wichtiger als der Kauf eines anderen Antivirenprogramms ist, Defender nicht abzuschalten — typischerweise wegen eines Cracks oder einer Anleitung aus dem Internet — und von Zeit zu Zeit zu prüfen, dass die Windows-Sicherheit kein Problem meldet.
Ergänzen Sie dazu die Funktion Kontrollierter Ordnerzugriff: Sie schützt ausgewählte Ordner (Dokumente, Buchhaltung, Fotos) vor Schreibzugriffen unbekannter Programme — genau das Verhalten von Ransomware. Die genaue Vorgehensweise zur Aktivierung und was Sie von der Funktion erwarten können, haben wir im Artikel Ransomware zu Hause: wie man sich wehrt beschrieben — das gilt genauso für Firmencomputer.
Dauer: Die Kontrolle von Defender und die Aktivierung des kontrollierten Zugriffs dauern ein paar Minuten pro Computer. Rechnen Sie in der ersten Woche mit Feinjustierung — manche seriösen Programme müssen Sie manuell freigeben.
Ohne das: Ein Programm, das anfängt, massenhaft Ihre Dokumente zu überschreiben, stößt auf keinerlei Hindernis. Und genau dort liegen die Rechnungen, Verträge und Unterlagen für die Buchhaltung.
4. 3-2-1-Backups mit getrennter Kopie
Backups sind die einzige Maßnahme auf dieser Liste, die auch dann funktioniert, wenn alles andere versagt. Festplattendefekt, gestohlenes Notebook, ein eigener Fehler oder Ransomware — mit Backup ist das ärgerlich, ohne Backup existenzbedrohend.
Halten Sie sich an die 3-2-1-Regel: drei Kopien der Daten, zwei Speicherarten, eine Kopie außerhalb des Unternehmens. Eine ausführliche Anleitung für Unternehmen und Privathaushalte bietet der Artikel 3-2-1-Backup, hier nur die zwei entscheidenden Grundsätze. Erstens: Mindestens eine Kopie muss physisch getrennt sein — eine externe Festplatte, die Sie nach dem Backup vom Computer abziehen, denn eine dauerhaft angeschlossene Sicherung kann Ransomware zusammen mit dem Original verschlüsseln. Zweitens: Ein Backup, das Sie nie wiederherzustellen versucht haben, ist nur ein gutes Gefühl — stellen Sie von Zeit zu Zeit tatsächlich eine ausgewählte Datei wieder her und prüfen Sie, ob sie lesbar ist.
Dauer: Die Einrichtung für ein kleines Unternehmen ist eine halbtägige Arbeit. Der laufende Betrieb kostet danach Minuten pro Woche (Wechseln und Abziehen der Festplatte) sowie alle paar Monate etwas Zeit für einen Wiederherstellungstest.
Ohne das: Wenn irgendetwas aus diesem Artikel richtig schiefgeht, steht die Firma ohne Buchhaltung, Verträge und laufende Aufträge nicht einen Tag still — sondern Wochen.
5. Passwort-Manager und Zwei-Faktor
Die häufigste Passwort-Situation in kleinen Unternehmen: ein Lieblingspasswort in drei Varianten überall. Sobald irgendein Dienst, bei dem Sie es verwenden, das Passwort durch ein Datenleck verliert, probieren es Automaten an Ihrer E-Mail, Ihrer Bank und Ihrem Buchhaltungssystem aus. Die geschäftliche E-Mail ist dabei der Generalschlüssel — wer sie übernimmt, setzt die Passwörter für alles andere zurück und kann in Ihrem Namen an Ihre Kunden schreiben.
So geht’s: Setzen Sie einen Passwort-Manager ein (Bitwarden bietet eine brauchbare kostenlose Version, KeePassXC funktioniert rein offline) und lassen Sie ihn lange, einzigartige Passwörter generieren. Sie müssen nicht alles auf einmal ändern — beginnen Sie bei E-Mail, Bank, Buchhaltungssystem und Microsoft-Konto. Aktivieren Sie für dieselben Konten die Zwei-Faktor-Authentifizierung, idealerweise über eine App auf dem Smartphone und nicht nur per SMS, und speichern Sie sich Backup-Codes für den Fall, dass Sie das Telefon verlieren.
Dauer: Die Einführung des Managers und die Absicherung der wichtigsten Konten ist die Arbeit eines Nachmittags; die restlichen Passwörter ergänzen Sie nach und nach, sobald Sie dazu kommen.
Ohne das: Ein einziges, anderswo geleaktes Passwort genügt zur Übernahme der E-Mail — und von dort zu betrügerischen Rechnungen, die an Ihre Kunden verschickt werden.
6. Festplattenverschlüsselung — BitLocker mit gespeichertem Schlüssel
Ein Notebook mit der Buchhaltung, im Zug vergessen oder aus dem Auto gestohlen: Ohne Verschlüsselung baut der Finder die Festplatte einfach aus, schließt sie an einen anderen Computer an und liest sie aus. Das Windows-Passwort verhindert das nicht — es schützt die Anmeldung, nicht die Daten auf der Festplatte. Die BitLocker-Verschlüsselung (in Windows Pro; die Home-Edition bietet auf unterstützter Hardware die vereinfachte Geräteverschlüsselung) macht aus einer gestohlenen Festplatte einen unlesbaren Datenblock. Bei Kundendaten ist das zugleich der Unterschied zwischen „wir haben ein Notebook verloren” und einer meldepflichtigen Verletzung des Schutzes personenbezogener Daten.
Eine große Warnung: Bevor Sie die Verschlüsselung aktivieren, klären Sie, wo der Wiederherstellungsschlüssel gespeichert wird — im Microsoft-Konto, ausgedruckt im Tresor, in der Unternehmensdokumentation. Windows kann ihn zum Beispiel nach einem gewöhnlichen Update verlangen, und ohne den Schlüssel kommt niemand mehr an die Daten heran, auch kein Servicetechniker. Warum das passiert und wie Sie sich nicht selbst aussperren, erklären wir im Artikel BitLocker verlangt nach einem Update den Recovery Key. Den Verschlüsselungsstatus prüfen Sie mit dem Befehl manage-bde -status.
Dauer: Die Aktivierung und das Speichern des Schlüssels dauern ein paar Minuten pro Computer; die eigentliche Verschlüsselung läuft dann Stunden im Hintergrund, währenddessen können Sie normal weiterarbeiten.
Ohne das: Ein verlorenes Firmen-Notebook bedeutet den Verlust von allem, was darauf gespeichert war. Und umgekehrt — eine aktivierte Verschlüsselung ohne gespeicherten Schlüssel ist ein zeitverzögerter Verlust der eigenen Daten.
7. Grundregeln für E-Mail und Phishing
Technik allein reicht nicht aus — das häufigste Einfallstor ins Unternehmen ist eine gewöhnliche E-Mail, die jemand in Eile geöffnet hat. Sie brauchen keine Schulung für zehntausende Kronen; Sie brauchen drei Regeln, auf die sich das Team einigt und die ausnahmslos gelten:
- Eine Änderung der Kontonummer oder eine dringende Zahlungsaufforderung wird immer telefonisch verifiziert — unter einer Nummer, die Sie von woanders als aus dieser E-Mail kennen. Auch wenn angeblich „der Chef schreibt”.
- Unerwartete Anhänge werden nicht geöffnet, bevor Sie über einen anderen Kanal bestätigt haben, dass der Absender sie tatsächlich geschickt hat. Aktivieren Sie im Explorer die Anzeige von Dateierweiterungen.
- Melden Sie sich nicht über Links aus E-Mails an. Rufen Sie Bank und andere Dienste immer über eine direkt im Browser eingegebene Adresse auf.
Woran Sie eine betrügerische E-Mail erkennen — von der Absenderadresse bis zum Zeitdruck — erklärt der Artikel Wie man eine Phishing-E-Mail erkennt. Schicken Sie ihn Ihren Kollegen.
Dauer: Eine einstündige Besprechung, in der Sie die Regeln anhand von Beispielen durchgehen, und danach gelegentliche Erinnerungen, wenn eine neue Betrugswelle auftaucht.
Ohne das: Eine gefälschte Rechnung wird bezahlt, weil sie niemand überprüft hat. Geld, das auf das Konto eines Betrügers überwiesen wurde, lässt sich nur sehr schwer zurückholen — wenn überhaupt.
Keine Zeit dafür? Lassen Sie Ihre Sicherheit überprüfen
Alle sieben Schritte schafft eine geschickte Person aus dem Unternehmen mit diesem Artikel in der Hand. Die Praxis sieht aber oft anders aus: Die Hälfte wird erledigt, die andere Hälfte „wartet” — und niemand weiß, ob sich die Backups wirklich wiederherstellen lassen und wo der BitLocker-Schlüssel gespeichert ist.
Für diesen Fall bieten wir eine einmalige Sicherheitsüberprüfung an: Wir gehen Konten und Passwörter, Updates, Backups inklusive eines echten Wiederherstellungstests, Festplattenverschlüsselung und E-Mail-Einstellungen durch, und Sie erhalten einen schriftlichen Bericht — was in Ordnung ist, was kritisch ist und was Sie einfach nur einplanen müssen. Kritische Punkte können wir gleich vor Ort beheben. Umfang und Preise finden Sie auf der Seite IT-Audit Brno; das Audit für ein kleines Unternehmen mit bis zu etwa zehn Geräten beginnt bei 3.588 CZK, die Erstberatung ist kostenlos.
Wenn Sie wissen, dass Sie die sieben Schritte selbst nicht schaffen werden, bestellen Sie eine Sicherheitsüberprüfung oder rufen Sie an unter 774 777 774 — wir gehen es gemeinsam mit Ihnen durch, und innerhalb einer Woche wissen Sie, woran Sie sind.