IT-Sicherheit für KMU: das Basis-Programm jenseits von NIS2

Veröffentlicht am 23. Juli 2026

Kurz gesagt: Die meisten kleinen und mittleren Unternehmen fallen nicht unter NIS2 – das betrifft weniger als ein Prozent aller Betriebe. Das heißt aber nicht, dass sie beim Thema IT-Sicherheit außen vor sind. Der Datenschutz verlangt von praktisch jedem Betrieb angemessene Schutzmaßnahmen, Cyber-Versicherer machen sie zur Bedingung, und Geschäftskunden fragen sie im Einkauf ab. Vor allem aber trifft die Realität ausgerechnet die Kleinen: Rund 80 Prozent der angezeigten Angriffe richten sich laut Bundesamt für Sicherheit in der Informationstechnik gegen KMU. Dieser Beitrag beschreibt das Basis-Programm, mit dem ein Betrieb ohne NIS2-Pflicht den größten Teil des Risikos abdeckt – ohne Panik und ohne teures Sicherheitsprojekt.

Keine NIS2-Pflicht – und trotzdem in der Verantwortung

Zuerst die Entlastung: Wenn Sie einen Handwerksbetrieb, eine Kanzlei, eine Agentur, eine Praxis oder einen Handel führen und nicht zufällig zu den in Anlage 1 oder 2 des BSI-Gesetzes genannten Branchen ab 50 Beschäftigten gehören, dann gelten die konkreten NIS2-Pflichten – Registrierung, Meldepflichten, die zehn Mindestmaßnahmen des § 30 BSIG – für Sie schlicht nicht. Wer Ihnen etwas anderes verkaufen will, sollte skeptisch machen. Die technischen Mindestanforderungen des § 30 BSIG sind ausdrücklich an regulierte Einrichtungen adressiert, nicht an den gesamten Mittelstand.

Das ordnungsrechtliche Argument fällt für Sie also weg. Drei andere Treiber bleiben – und die sind für den Alltag relevanter als jede Aufsichtsbehörde:

• Der Datenschutz. Sobald Sie personenbezogene Daten verarbeiten – Kunden, Mitarbeitende, Lieferanten –, verpflichtet Sie Artikel 32 der Datenschutz-Grundverordnung zu geeigneten technischen und organisatorischen Maßnahmen „nach dem Stand der Technik“. Ausdrücklich genannt sind dort Vertraulichkeit, Integrität und Verfügbarkeit der Systeme sowie die Fähigkeit, Daten nach einem Zwischenfall rasch wiederherzustellen. Das ist keine Kür, sondern geltendes Recht – und es gilt für nahezu jeden Betrieb.
• Die Cyber-Versicherung. Wer heute eine Police abschließt oder verlängert, muss in aller Regel Mindeststandards nachweisen: Mehr-Faktor-Authentifizierung, regelmäßige und getestete Backups, ein dokumentiertes Update-Management. Fehlen sie, gibt es je nach Versicherer keinen Schutz oder deutliche Zuschläge. Der Versicherungsmarkt setzt damit faktisch einen Sicherheitsstandard durch, den kein Gesetz vorschreibt.
• Die Lieferkette. Ihre größeren Kunden sind womöglich selbst von NIS2 betroffen und müssen die Sicherheit ihrer Zulieferer steuern. Das kommt bei Ihnen als Fragebogen, Vertragsklausel oder Nachweisanforderung an – auch wenn Sie selbst gar nicht reguliert sind.

Unterm Strich: Die Pflicht heißt bei Ihnen nicht „BSIG“, sondern „Sorgfalt“. Der gute Teil daran ist, dass die sinnvollen Maßnahmen für alle drei Treiber weitgehend dieselben sind – Sie müssen also nicht drei Programme fahren, sondern eines.

Die Lage, nüchtern betrachtet

Man kann IT-Sicherheit mit Angst verkaufen. Das ist unseriös, deshalb nur die belastbaren Zahlen. Im Lagebericht 2025 – Berichtszeitraum bis Ende Juni 2025 – bezeichnet das BSI die Lage als „auf angespanntem Niveau“. Es zählte rund 950 angezeigte Ransomware-Angriffe, bei 72 Prozent davon wurden zusätzlich Daten abgegriffen und mit Veröffentlichung gedroht. Pro Tag wurden im Schnitt 119 neue Schwachstellen bekannt, ein Viertel mehr als im Vorjahreszeitraum, und über 800 neue Phishing-Adressen. Entscheidend für den Mittelstand ist eine einzelne Zahl: Etwa 80 Prozent der angezeigten Angriffe trafen KMU – ausdrücklich, weil ihnen häufig Mittel und Wissen fehlen, sich selbst zu schützen.

Zur Größenordnung des Schadens: Die jährliche Wirtschaftsschutz-Studie des Branchenverbands Bitkom beziffert den Gesamtschaden für die deutsche Wirtschaft für 2025 auf rund 289 Milliarden Euro, wovon gut 202 Milliarden auf Cyberangriffe entfallen – ein Jahr zuvor waren es 179 Milliarden. Solche Summen sind für den einzelnen Betrieb abstrakt. Konkret wird es, wenn nach einem verschlüsselten Server die Aufträge stillstehen, die Buchhaltung nicht mehr zugänglich ist und die Wiederherstellung Tage dauert. Genau dieses Szenario adressiert das Basis-Programm – nicht den spektakulären Angriff auf einen Konzern.

Die gute Nachricht steckt in der Ursachenanalyse des BSI: Der wirksamste Hebel für 2026 ist unspektakulär. Es geht um „Angriffsflächenmanagement“ – zeitnahe Updates, ein restriktives Zugangsmanagement und das Minimieren öffentlich erreichbarer Systeme. Das ist keine Hochtechnologie, sondern Handwerk, und es ist für einen kleinen Betrieb genauso umsetzbar wie für eine Behörde.

Wo Sie stehen: der CyberRisikoCheck

Bevor Sie Geld ausgeben, sollten Sie wissen, wo Sie stehen. Dafür gibt es ein Angebot, das speziell für kleine und Kleinstunternehmen mit unter 50 Beschäftigten gemacht ist: den CyberRisikoCheck nach DIN SPEC 27076, entwickelt vom BSI gemeinsam mit dem Bundesverband mittelständische Wirtschaft. Ein qualifizierter IT-Dienstleister führt dabei ein ein- bis zweistündiges Interview und prüft 27 Anforderungen aus sechs Themenbereichen:

• Organisation und Sensibilisierung
• Identitäts- und Berechtigungsmanagement
• Datensicherung
• Patch- und Änderungsmanagement
• Schutz vor Schadprogrammen
• IT-Systeme und Netzwerke

Am Ende steht ein Bericht mit einer Punktzahl, einer konkreten Handlungsempfehlung zu jeder nicht erfüllten Anforderung – nach Dringlichkeit sortiert – und Hinweisen auf passende Fördermittel von Bund, Land und Kommune. Wichtig zur ehrlichen Einordnung: Der CyberRisikoCheck ist keine Zertifizierung und kein Nachweis, den Sie einem Kunden vorlegen. Er ist eine Standortbestimmung – und als solche der beste erste Schritt, weil er die Diskussion von „gefühlt sind wir sicher“ auf eine belegbare Liste priorisierter Lücken verschiebt.

Die sechs Maßnahmen, die den Unterschied machen

Unabhängig vom Ergebnis einer Standortbestimmung deckt eine Handvoll Basismaßnahmen den Großteil des realistischen Risikos ab. Sie decken sich fast vollständig mit dem, was Versicherer und Kunden ohnehin abfragen:

• Datensicherung mit getesteter Wiederherstellung. Ein Backup, das nie zurückgespielt wurde, ist eine Hoffnung, kein Backup. Mindestens eine Kopie muss von den produktiven Systemen aus unveränderbar sein – sonst verschlüsselt die Ransomware sie gleich mit. Die verbreitete 3-2-1-Regel (drei Kopien, zwei Medien, eine außer Haus) ist dabei eine bewährte Faustregel der Branche, keine gesetzliche Vorgabe – aber ein guter Maßstab.
• Mehr-Faktor-Authentifizierung für alles, was von außen erreichbar ist. E-Mail, VPN, Fernwartung, Cloud-Verwaltung. Ein gestohlenes Passwort allein darf keine Tür öffnen. Dies ist die Einzelmaßnahme mit dem besten Verhältnis von Aufwand zu Wirkung.
• Update- und Patch-Management auf Basis eines Inventars. Man kann nur aktualisieren, was man kennt. Eine schlichte Liste aller Geräte, Programme und Onlinedienste ist die Voraussetzung dafür, dass keine seit Monaten bekannte Lücke offensteht.
• Zugriffskontrolle mit getrennten Konten. Niemand arbeitet dauerhaft mit einem Administratorkonto. Jeder bekommt nur die Rechte, die er braucht, und Fernwartungszugänge von Dienstleistern sind dokumentiert und abschaltbar.
• Sensibilisierung der Beschäftigten. Die häufigste Eintrittstür bleibt die E-Mail. Kurze, regelmäßige Auffrischungen bringen mehr als eine einmalige Schulung, die nach zwei Wochen vergessen ist.
• Ein Notfallplan, der offline verfügbar ist. Wer im Ernstfall anzurufen ist, wie Systeme vom Netz getrennt werden, wo die Backups liegen – das muss auf Papier oder einem getrennten Gerät stehen. Ein Plan, der nur im verschlüsselten Dateiserver liegt, hilft genau dann nicht, wenn man ihn braucht.

Keine dieser Maßnahmen erfordert eine große Investition. Was sie erfordert, ist eine Zuständigkeit: eine Person, die verantwortlich ist, dass es passiert und passiert bleibt – intern oder über einen festen IT-Dienstleister.

Wenn es doch passiert

Kein Schutz ist vollständig, also gehört zum Basis-Programm auch die Antwort auf den Ernstfall. Das BSI und die Allianz für Cyber-Sicherheit stellen dafür eine IT-Notfallkarte bereit – einen Aushang nach dem Vorbild des „Verhalten im Brandfall“, als ausfüllbares PDF, in das Sie Ihre eigene Notfallnummer eintragen und den Sie an den Arbeitsplätzen aushängen. Ihre drei Botschaften sind bewusst simpel: Ansprechpartner kennen, im Verdachtsfall sofort Bescheid geben, und keine eigenmächtigen Gegenmaßnahmen ohne Rücksprache – denn ein vorschnelles Ausschalten kann Spuren vernichten, die für die Wiederherstellung wichtig wären.

Der wichtigste Reflex im Ernstfall ist der richtige: betroffene Systeme vom Netz trennen, nicht ausschalten, und Hilfe holen, bevor man selbst herumprobiert. Wer das vorher einmal durchgespielt hat, verliert im Ernstfall keine Stunden mit der Frage, wer eigentlich zu informieren ist.

Werkzeuge und Fördermittel

Wer nach der Standortbestimmung strukturiert weiterarbeiten will, findet beim BSI kostenlose Hilfen. Der IT-Grundschutz ist die etablierte Methodik für Informationssicherheit; für den Einstieg gibt es mit dem „Weg in die Basis-Absicherung“ (WiBA) niedrigschwellige Checklisten mit rund 250 Prüffragen. Eine ehrliche Einordnung gehört dazu: WiBA wurde vom BSI ursprünglich für Kommunen entwickelt, die Checklisten lassen sich aber ausdrücklich auf vergleichbare Umgebungen übertragen – für ein KMU sind sie ein brauchbares Gratis-Werkzeug, aber kein maßgeschneidertes Programm. Das direkt an KMU adressierte Angebot bleibt der CyberRisikoCheck.

Bei den Fördermitteln ist Vorsicht vor veralteten Ratgebern geboten: Die früher beliebten Bundesprogramme go-digital und Digital Jetzt nehmen keine neuen Anträge mehr an – die Antragstellung für Digital Jetzt endete Ende 2023, go-digital lief Ende 2024 aus. Für Beratungsleistungen verbleibt auf Bundesebene die BAFA-Förderung unternehmerischen Know-hows, die auch Sicherheits- und Digitalisierungsberatung abdecken kann und bis Ende 2026 läuft; dazu kommen wechselnde Landesprogramme. Der sauberste Weg ist ohnehin der CyberRisikoCheck-Bericht selbst: Er weist auf die im Einzelfall passenden, aktuell gültigen Programme hin, statt dass Sie einer Liste hinterherrecherchieren, die morgen schon überholt sein kann.

Die Reihenfolge, wenn Sie unsicher sind, wo Sie anfangen sollen, ist damit klar: erst die Standortbestimmung, dann die sechs Basismaßnahmen abarbeiten, den Notfallplan aufsetzen – und erst danach über weitergehende Schritte wie eine Zertifizierung nachdenken, falls ein Kunde sie verlangt.

Häufige Fragen

Wir fallen nicht unter NIS2 – müssen wir überhaupt etwas tun?
Nach dem BSI-Gesetz nicht, denn die NIS2-Pflichten gelten nur für regulierte Einrichtungen. Verpflichtet werden Sie aber an anderer Stelle: Artikel 32 der Datenschutz-Grundverordnung verlangt von jedem, der personenbezogene Daten verarbeitet, angemessene technische und organisatorische Schutzmaßnahmen nach dem Stand der Technik. Hinzu kommen faktische Anforderungen Ihrer Cyber-Versicherung und Ihrer Geschäftskunden. Und unabhängig von jeder Vorschrift treffen rund 80 Prozent der angezeigten Angriffe kleine und mittlere Unternehmen.

Was ist der günstigste erste Schritt?
Eine Standortbestimmung. Der CyberRisikoCheck nach DIN SPEC 27076 ist speziell für Betriebe mit unter 50 Beschäftigten gedacht: ein ein- bis zweistündiges Interview mit einem IT-Dienstleister zu 27 Anforderungen aus sechs Themenbereichen, am Ende ein Bericht mit priorisierten Handlungsempfehlungen und Förderhinweisen. Er ersetzt keine Umsetzung und ist keine Zertifizierung, verschafft Ihnen aber eine belegbare Liste, statt eines diffusen Bauchgefühls.

Was ist die wichtigste Einzelmaßnahme?
Wenn nur eine Sache passieren kann, dann Mehr-Faktor-Authentifizierung für alle von außen erreichbaren Zugänge – E-Mail, VPN, Fernwartung, Cloud-Verwaltung. Sie sorgt dafür, dass ein gestohlenes oder erratenes Passwort allein keine Tür öffnet, und hat das beste Verhältnis von Aufwand zu Wirkung. Gleich dahinter kommt ein getestetes Backup mit einer unveränderbaren Kopie.

Reicht ein gutes Antivirenprogramm nicht aus?
Nein. Schutz vor Schadprogrammen ist einer von mehreren Bausteinen, aber allein nicht ausreichend – viele Versicherer akzeptieren reines Virenschutz-Software inzwischen nicht mehr als Mindeststandard. Entscheidend ist das Zusammenspiel: aktuelle Updates, Mehr-Faktor-Authentifizierung, getrennte Konten, getestete Backups und sensibilisierte Beschäftigte. Der häufigste erfolgreiche Angriff nutzt keine technische Lücke, sondern eine E-Mail und ein wiederverwendetes Passwort.

Ein Kunde verlangt einen Sicherheitsnachweis. Was können wir vorlegen?
Der CyberRisikoCheck ist eine Standortbestimmung, keine Zertifizierung, und taugt daher nicht als formaler Nachweis. Verlangt werden in der Praxis meist eine ausgefüllte Selbstauskunft, der Nachweis konkreter Maßnahmen oder – bei höheren Anforderungen – eine Zertifizierung nach ISO/IEC 27001. Für die meisten Zuliefer-Beziehungen genügt eine ehrliche, belegbare Selbstauskunft über die umgesetzten Basismaßnahmen. Eine „NIS2-Zertifizierung“ gibt es nicht.

Wie oft muss man sich um das Thema kümmern?
IT-Sicherheit ist kein Projekt mit Enddatum, sondern ein laufender Betrieb. Updates und Backups sind Daueraufgaben, die Sensibilisierung braucht Wiederholung, und einmal im Jahr sollte jemand prüfen, ob Inventar, Zugänge und Notfallplan noch stimmen. Entscheidend ist weniger die Frequenz als die klare Zuständigkeit – eine benannte Person intern oder ein fester IT-Dienstleister, der dafür geradesteht.

Quellen

• BSI: CyberRisikoCheck nach DIN SPEC 27076
• BSI: Weg in die Basis-Absicherung (WiBA)
• BSI: IT-Grundschutz
• BSI/ACS: IT-Notfallkarte „Verhalten bei IT-Notfällen“
• BSI: Die Lage der IT-Sicherheit in Deutschland 2025
• Bitkom: Wirtschaftsschutz-Studie
• Art. 32 DSGVO – Sicherheit der Verarbeitung
• BAFA: Förderung unternehmerischen Know-hows

Stand: Juli 2026. Dieser Beitrag gibt einen allgemeinen Überblick und stellt keine Rechts- oder IT-Sicherheitsberatung im Einzelfall dar. Welche Maßnahmen für Ihren Betrieb angemessen sind, hängt von Ihrer Größe, Branche und Datenlage ab.

Dieser Beitrag ist Teil unseres Leitfadens Digitalisierung im KMU – dort finden Sie alle Themen im Überblick.