Warum ein IT-Sicherheitskonzept kein Papier für Konzerne ist
Die aktuelle Lage zeigt deutlich, dass Cyberangriffe kein Problem nur großer Konzerne sind. Laut Lagebericht 2025 des BSI (Bundesamt für Sicherheit in der Informationstechnik) entfielen nämlich 80 Prozent der angezeigten Angriffe auf kleine und mittlere Unternehmen. Zudem wurden im Berichtszeitraum täglich im Schnitt 119 neue Schwachstellen bekannt, was eine Steigerung von rund 24 Prozent gegenüber dem Vorjahreszeitraum bedeutet. Professionell organisierte Erpressergruppen mit Ransomware bleiben laut BSI die größte Bedrohung.
Auch die Schäden sind hoch. Die Bitkom-Studie Wirtschaftsschutz 2026 beziffert den Schaden durch Datendiebstahl, Industriespionage und Sabotage auf 211 bis 270,8 Milliarden Euro. Konkret gehen 76 Prozent dieser Verluste auf Cyberangriffe zurück. Ein strukturierter Plan lohnt sich deshalb auch im kleinen Betrieb.
Ein IT-Sicherheitskonzept ist im Grunde ein schriftlicher Plan. Darin haltet ihr fest, welche Daten und Systeme wichtig sind, welche Risiken bestehen und welche Maßnahmen ihr trefft. Zudem regelt das Dokument die Zuständigkeiten und das Vorgehen im Notfall. Die Basis bilden dabei die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit.
Für einen Betrieb mit 10 bis 50 Arbeitsplätzen reicht ein schlankes, gepflegtes Dokument völlig aus. Ein dicker Ordner ist nicht nötig, solange die Maßnahmen in der Praxis greifen. Zur Einordnung: Solche Konzepte erstellt netzwerkfähig für Betriebe in Köln, Langenfeld und dem Rheinland; dieser Text zeigt euch, wie ihr es selbst angeht. Bitte beachtet, dass dieser Text keine Rechtsberatung ist.
Wer ein IT-Sicherheitskonzept braucht
Kein Gesetz schreibt jedem kleinen Betrieb ein Dokument mit genau diesem Namen vor. Dennoch gibt es rechtliche Rahmenbedingungen, die ihr beachten müsst. Die Datenschutz-Grundverordnung (DSGVO) verlangt in Artikel 32 geeignete technische und organisatorische Maßnahmen (TOM) für ein dem Risiko angemessenes Schutzniveau. Dazu gehören die Fähigkeit, Daten nach einem Zwischenfall rasch wiederherzustellen, und ein Verfahren zur regelmäßigen Überprüfung der Maßnahmen.
Darüber hinaus muss ein Betrieb gemäß Artikel 5 Absatz 2 DSGVO die Einhaltung dieser Regeln nachweisen können. In der Praxis ist ein IT-Sicherheitskonzept daher der übliche Weg, um diese Rechenschaftspflicht zu erfüllen. Wer personenbezogene Daten verarbeitet, und das tut jeder Betrieb mit Mitarbeitenden und Kunden, muss angemessene Maßnahmen nachweisen können; das Dokument ist also nicht namentlich vorgeschrieben, der Nachweis aber schon.
Ein weiterer wichtiger Punkt ist das NIS-2-Umsetzungsgesetz, das seit dem 6. Dezember 2025 in Kraft ist. Dieses Gesetz erfasst Unternehmen in bestimmten Sektoren ab 50 Beschäftigten oder mit mehr als 10 Millionen Euro Jahresumsatz und zugleich mehr als 10 Millionen Euro Bilanzsumme. Das BSI schätzt die Zahl der betroffenen Einrichtungen auf rund 29.500, was knapp 1 Prozent der deutschen Wirtschaft entspricht. Betroffene Betriebe müssen sich innerhalb von drei Monaten beim BSI registrieren, wobei jeder Betrieb seine Betroffenheit selbst prüfen muss.
Die meisten kleinen und mittleren Unternehmen sind von NIS-2 nicht direkt betroffen. Allerdings sind sie oft mittelbar betroffen, weil regulierte Kunden die Sicherheit ihrer Lieferkette berücksichtigen müssen und deshalb bei Zulieferern nachfragen. Dazu kommen Auftraggeber, Versicherer und Auditoren, die oft einen Nachweis verlangen. Unterm Strich ist das Konzept also selten eine gesetzliche Pflicht im engen Wortsinn, aber fast immer eine geschäftliche Notwendigkeit.
Was in ein IT-Sicherheitskonzept gehört
Ein vollständiges Konzept besteht aus verschiedenen Bausteinen. Zuerst legt ihr den Geltungsbereich und die Verantwortlichen fest, wobei die Geschäftsführung die Gesamtverantwortung trägt. Anschließend folgt eine Bestandsaufnahme aller Geräte, Benutzerkonten, Cloud-Dienste wie Microsoft 365, der Branchensoftware sowie aller Dienstleister mit Systemzugang.
Danach bewertet ihr den Schutzbedarf für jedes System anhand der drei Schutzziele. Ihr nutzt dafür die Stufen normal, hoch und sehr hoch nach BSI-Standard 200-2. Die Leitfrage dazu lautet: Was passiert, wenn diese Daten oder dieses System einen Tag nicht verfügbar sind, unbemerkt verändert werden oder in falsche Hände geraten? Auf dieser Basis identifiziert ihr die Risiken und legt technische sowie organisatorische Maßnahmen fest.
Zu den technischen Maßnahmen gehören zum Beispiel die Mehrfaktor-Anmeldung (Anmeldung mit Passwort und zweitem Faktor, etwa einer App), regelmäßige Updates mit klarer Zuständigkeit und eine Datensicherung mit Offline-Kopie inklusive Rücksicherungstest. Organisatorisch regelt ihr Rollen, Passwortregeln sowie den Ein- und Austritt von Mitarbeitenden. Schließlich ergänzt ihr den Plan durch einen Notfallplan, Schulungen für das Team sowie einen Prozess zur regelmäßigen Prüfung und Fortschreibung.
| Baustein | Was drinsteht | Beispiel |
|---|---|---|
| Geltungsbereich und Verantwortliche | Was das Konzept umfasst, wer koordiniert und wer entscheidet | Büro und Lager; die Geschäftsführung entscheidet, die Büroleitung koordiniert |
| Bestandsaufnahme | Geräte, Benutzerkonten, Cloud-Dienste, Branchensoftware, wichtige Daten, Dienstleister mit Zugang | Notebooks, Microsoft 365, Warenwirtschaft, Firewall, Fernzugang des Softwareanbieters |
| Schutzbedarf | Je Schutzziel normal, hoch oder sehr hoch (BSI-Standard 200-2) | Kundendaten: Vertraulichkeit hoch; Warenwirtschaft: Verfügbarkeit hoch |
| Risiken | Was realistisch passieren kann und wie schwer es den Betrieb trifft | Gestohlenes Passwort nach einer Phishing-Mail, Ransomware, Ausfall der Internetleitung |
| Technische Maßnahmen | Mehrfaktor-Anmeldung, Updates, Datensicherung, Firewall, Schutz vor Schadprogrammen, Rechte | Mehrfaktor-Anmeldung für alle Konten, Datensicherung mit Offline-Kopie, Rücksicherung regelmäßig testen |
| Organisatorische Maßnahmen | Rollen, Regeln für Konten und Passwörter, Ein- und Austritt von Mitarbeitenden, Schulung | Checkliste für Ein- und Austritt, Phishing-Schulung für alle |
| Notfallplan | Wer wird angerufen, was muss zuerst wieder laufen, wo liegen die Zugänge | IT-Notfallkarte des BSI im Büro, Telefonliste, Reihenfolge für den Wiederanlauf |
| Prüfung und Fortschreibung | Wann und von wem das Konzept durchgesehen wird | Durchsicht einmal im Jahr und nach jeder größeren Änderung |
Ein wichtiger Hinweis betrifft die Überschneidung mit dem Datenschutz. Ein Datenschutzkonzept schützt primär personenbezogene Daten nach der DSGVO, während das IT-Sicherheitskonzept alle Daten und Systeme schützt, also auch Kalkulationen oder Maschinensteuerungen. Da sich beide Bereiche bei den TOM überschneiden, lässt sich beides effizient in einem einzigen Dokument verbinden.
So erstellt ihr euer IT-Sicherheitskonzept in sechs Schritten
Schritt 1: Verantwortliche und Geltungsbereich festlegen. Zunächst bestimmt ihr, wer das Konzept koordiniert und wer die finalen Entscheidungen trifft. Legt zudem genau fest, welche Standorte und Abteilungen in den Plan einbezogen werden.
Schritt 2: Bestand aufnehmen. Erfasst alle Hardware-Komponenten und Software-Lizenzen in eurem Betrieb. Als Einstieg eignet sich hierfür der kostenlose IT-Betreuungs-Check. Bei der Inventur der Benutzerkonten hilft euch die IT-Offboarding-Checkliste, denn vergessene Konten ehemaliger Mitarbeitender gehören zu den häufigsten Sicherheitslücken.
Schritt 3: Schutzbedarf und Risiken bewerten. Nutzt die Leitfrage aus dem vorigen Abschnitt, um zu entscheiden, welche Systeme kritisch sind. Überlegt euch konkret, welche Ausfälle oder Datenverluste euren Betrieb in Köln oder Langenfeld am härtesten treffen würden.
Schritt 4: Maßnahmen festlegen. Definiert für jedes Risiko eine passende technische oder organisatorische Gegenmaßnahme. Weist jeder Maßnahme eine verantwortliche Person und einen Termin zu und setzt die dringendsten Punkte zuerst um.
Schritt 5: Notfallplan und Schulung. Erstellt eine Liste mit Notfallnummern und hängt die IT-Notfallkarte des BSI im Büro aus. Übt zudem regelmäßig die Rücksicherung eurer Daten und schult eure Mitarbeitenden gezielt im Erkennen von Phishing-Mails.
Schritt 6: Prüfen und fortschreiben. Ein Konzept ist kein statisches Dokument, sondern muss aktuell bleiben. Als Faustregel empfiehlt netzwerkfähig eine Überprüfung mindestens einmal im Jahr sowie bei jeder größeren Änderung, zum Beispiel bei neuer Software oder einem Standortwechsel. Zudem verlangt die DSGVO ein solches Verfahren zur regelmäßigen Überprüfung explizit.
Welcher Rahmen zu eurem Betrieb passt
Ihr müsst das Rad nicht neu erfinden, da es bewährte Rahmenwerke gibt. Der CyberRisikoCheck nach DIN SPEC 27076 ist ein sehr schlanker Ansatz. Ein geschulter Dienstleister befragt euch etwa ein bis zwei Stunden zu 27 Anforderungen in sechs Themenbereichen. Das Ergebnis ist ein Bericht mit einer Punktzahl und priorisierten Empfehlungen, allerdings ist dies keine Zertifizierung. Laut BSI-Lagebericht 2025 erfüllten die Unternehmen im Schnitt nur knapp 56 Prozent der Anforderungen. Zudem gab es laut demselben Bericht Zuschüsse von 50 Prozent auf Bundesebene und in NRW, wobei ihr den aktuellen Förderstand vor dem Auftrag klären solltet.
Für einen einfachen Einstieg bietet das BSI mit WiBA (Weg in die Basis-Absicherung) themenspezifische Checklisten mit Ja/Nein-Fragen an. Diese wurden ursprünglich für Kommunen entwickelt, taugen aber auch für Betriebe als Einstieg. Wer es umfassender möchte, wählt den BSI IT-Grundschutz mit der Basis-Absicherung. Das BSI baut dieses System derzeit zum Grundschutz++ um, wobei die bisherigen Standards in einer mehrjährigen Übergangszeit anwendbar bleiben.
Wollen Kunden oder Versicherer mehr als eine Eigenerklärung sehen, ist VdS 10000 eine Möglichkeit, mit Zertifikat über VdS. Sie bietet ein schlankes Managementsystem speziell für kleine und mittlere Unternehmen an, das auf ISO 27001 und IT-Grundschutz basiert. Verlangen Kunden oder Ausschreibungen ein Zertifikat nach ISO 27001 oder liefert ihr an die Automobilindustrie (TISAX), führt an diesen Standards kein Weg vorbei.
| Rahmen | Was es ist | Passt, wenn ... | Nachweis |
|---|---|---|---|
| CyberRisikoCheck nach DIN SPEC 27076 | Gespräch von etwa ein bis zwei Stunden mit einem geschulten IT-Dienstleister, 27 Anforderungen in sechs Themenbereichen | ihr einen schnellen, strukturierten Einstieg mit priorisierten Empfehlungen wollt | Bericht mit Punktzahl, keine Zertifizierung |
| WiBA des BSI | Checklisten mit Prüffragen (Ja, Nein, Nicht relevant), für Kommunen entwickelt | ihr zuerst selbst prüfen wollt, was fehlt | keiner, WiBA ist kein eigener Standard |
| BSI IT-Grundschutz (Basis-Absicherung) | Methode und Anforderungen des BSI, derzeit im Umbau zum Grundschutz++ | ihr nach BSI-Methode arbeiten und später ausbauen wollt | Dokumentation nach BSI; Zertifikat nur mit deutlich mehr Aufwand (ISO 27001 auf Basis von IT-Grundschutz) |
| VdS 10000 | Schlankes Managementsystem für kleine und mittlere Unternehmen, abgeleitet aus ISO 27001 und IT-Grundschutz | Kunden oder Versicherer mehr als eine Eigenerklärung sehen wollen | Zertifikat über VdS möglich |
| ISO/IEC 27001 | Internationale Norm für ein Managementsystem für Informationssicherheit | Kunden oder Ausschreibungen das Zertifikat verlangen | Zertifikat einer akkreditierten Zertifizierungsstelle |
| TISAX | Prüfverfahren der Automobilindustrie für ihre Zulieferer | ihr an Autohersteller oder deren Zulieferer liefert | Prüfergebnis im TISAX-Verfahren |
In der Praxis nutzt netzwerkfähig oft die DIN SPEC 27076 als pragmatischen Rahmen für kleine und mittlere Unternehmen. Bei höheren Anforderungen begleiten wir unsere Kunden bei Audits nach ISO 27001 oder TISAX, wobei wir selbst nicht zertifizieren.
Drei mögliche Szenarien aus dem Rheinland
Die folgenden Beispiele sind keine echten Kunden, zeigen aber, wie die Umsetzung in der Praxis aussehen kann.
1. Der Handwerksbetrieb (12 Mitarbeitende, Langenfeld): Die IT verwaltet der Geschäftsführer nebenbei, doch ein Industriekunde verlangt plötzlich einen Nachweis zur IT-Sicherheit. Der Betrieb startet daher mit einem CyberRisikoCheck nach DIN SPEC 27076. Aus den Empfehlungen entsteht eine Liste mit Maßnahmen: Mehrfaktor-Anmeldung für alle Konten, eine Datensicherung mit Offline-Kopie inklusive Rücksicherungstest und die IT-Notfallkarte des BSI im Büro. Das Konzept umfasst nur wenige Seiten und wird einmal jährlich aktualisiert.
2. Der Zulieferer (35 Mitarbeitende, Leverkusen): Ein Großkunde fällt unter die NIS-2-Regulierung und sendet einen Fragebogen zur Sicherheit der Lieferkette. Obwohl der Betrieb selbst unter den Schwellenwerten liegt, benötigt er belastbare Antworten. Er baut sein Konzept daher nach VdS 10000 auf, um später eine Zertifizierung zu ermöglichen. Er legt Verantwortliche, Schutzbedarf und einen Notfallplan fest, während der externe IT-Dienstleister die technischen Maßnahmen umsetzt.
3. Die Steuerkanzlei (25 Arbeitsplätze, Köln): Hier haben Mandantendaten einen hohen Schutzbedarf bei der Vertraulichkeit. Gleichzeitig ist die Verfügbarkeit der Kanzleisoftware kritisch, da strikte Fristen gelten. Die Kanzlei verbindet deshalb das IT-Sicherheitskonzept mit den TOM aus dem Datenschutz in einem Dokument. Sie regelt präzise die Zugriffsrechte sowie die Vertretung und übt einmal im Jahr die vollständige Rücksicherung eines Mandantenordners.
Typische Lücken, die ein Konzept sichtbar macht
In der täglichen Arbeit von netzwerkfähig fallen immer wieder ähnliche Schwachstellen auf. Oft sind Benutzerkonten ehemaliger Mitarbeitender noch aktiv, was ein erhebliches Risiko darstellt. Zudem melden viele Datensicherungen zwar einen Erfolg, wurden aber in der Realität nie testweise zurückgespielt. Viele Anwender arbeiten zudem mit Administratorrechten, obwohl dies für ihre täglichen Aufgaben nicht nötig wäre.
Weitere Lücken sind fehlende Mehrfaktor-Anmeldungen bei einzelnen Konten oder veraltete Firmware in Firewalls und Routern. Oft weiß im Ernstfall niemand, wen man außerhalb der Bürozeiten anrufen kann. Das BSI betont im Lagebericht 2025, dass Backups gegen Ransomware unverzichtbar bleiben, aber nicht gegen Datenleaks helfen. Deshalb gehören Zugänge, Rechte und die Mehrfaktor-Anmeldung ins Konzept.
Zudem waren Schwachstellen in Perimetersystemen wie Firewall und VPN-Zugang laut BSI ein wichtiges Einfallstor. Daher gehört die Aktualisierung dieser Systeme inklusive einer klaren Zuständigkeit in jedes Konzept. Für den Ernstfall solltet ihr euch zudem die Ransomware-Sofortmaßnahmen ansehen.
Wann sich Unterstützung lohnt
Ihr könnt ein Basis-Konzept mit den kostenlosen Hilfen des BSI selbst erstellen. Eine professionelle Unterstützung lohnt sich jedoch in bestimmten Situationen. Das gilt insbesondere dann, wenn ein Kunde einen Nachweis bis zu einem festen Stichtag verlangt. Ebenso ist externe Hilfe sinnvoll, wenn im Betrieb niemand die Zeit für die Dokumentation hat oder wenn die festgelegten Maßnahmen technisch komplex umgesetzt werden müssen.
Für kleine und mittelständische Unternehmen in Köln und dem Rheinland erstellt netzwerkfähig IT-Sicherheitskonzepte. Wir begleiten euch von der Bestandsaufnahme über die Priorisierung der Risiken bis hin zur technischen Umsetzung und der Schulung eurer Mitarbeitenden. Mehr Informationen findet ihr unter IT-Sicherheitskonzept und Beratung in Köln.
Wer zunächst den eigenen Stand prüfen möchte, kann den IT-Betreuungs-Check nutzen. Die Grundlagen fasst der Artikel IT-Sicherheit für kleine und mittlere Unternehmen zusammen. Ein schlankes Konzept, das gepflegt wird, schützt mehr als ein dicker Ordner im Schrank.
