IT-Sicherheit

Das Passwort deines Postfachs ist der Generalschlüssel zu deiner Firma. Bei den meisten Gründern lautet es wie das von Netflix. Drei Gewohnheiten schützen ein kleines Unternehmen besser als jede teure Software: sichere Anmeldung, aktuelle Geräte, geprüfte Sicherung. Dieser Text fasst zusammen, was unser Kurs in drei Lerneinheiten erklärt.

Wovor schützen wir uns?

• Kontoübernahme: Jemand meldet sich mit deinem Passwort bei Postfach, Bank oder Google an – meist mit einem Passwort, das bei einem anderen Dienst geleakt wurde.
• Verschlüsselungstrojaner: Alle Dateien sind weg, es erscheint eine Lösegeldforderung. Ohne Sicherung ist der Betrieb still.
• Betrug mit gefälschten Rechnungen und geänderten Bankverbindungen.
• Datenpanne: Kundendaten liegen offen – mit Meldepflicht innerhalb von 72 Stunden.

Passwörter: drei Regeln, die reichen

1. Für jeden Dienst ein eigenes. Ein geleaktes Passwort darf nur eine Tür öffnen. Wer dasselbe Passwort beim Postfach und im Online-Shop nutzt, verliert beim Shop-Leak das Postfach – und damit alles, denn über das Postfach lässt sich jedes andere Passwort zurücksetzen.
2. Lang statt kompliziert. Vier zufällige Wörter schlagen „P@ssw0rt!“.
3. Ein Passwortmanager ist der einzige Weg, Regel 1 und 2 im Alltag durchzuhalten. Bitwarden ist kostenlos, quelloffen, auf allen Geräten und erlaubt Freigaben im Team; KeePassXC hält die Datei bei dir ohne Cloud.

Zwei-Faktor-Anmeldung gehört mindestens an Postfach, Google- oder Microsoft-Konto, Bank, Elster und Social Media: nach dem Passwort ein zweiter Nachweis aus einer Authenticator-App. SMS ist besser als nichts, aber angreifbar. Die Wiederherstellungscodes ausdrucken und zu den Papieren legen – wer sein Handy verliert und keine Codes hat, kommt in sein eigenes Konto nicht mehr hinein.

Updates und Sicherung

Die meisten Angriffe nutzen Lücken, für die es seit Wochen ein Update gibt: Betriebssystem, Browser und Apps auf automatische Updates stellen. Beim Backup gilt die 3-2-1-Regel:

• Drei Kopien: das Original und zwei Sicherungen.
• Auf zwei verschiedenen Medien – Cloud und externe Festplatte, nicht zwei Ordner auf demselben Laptop.
• Eine Kopie außer Haus und nicht dauerhaft verbunden. Ein Trojaner verschlüsselt auch die angesteckte Festplatte und den synchronisierten Cloud-Ordner.

Entscheidend ist der Teil, den fast alle auslassen: einmal im Quartal eine Datei aus der Sicherung zurückholen. Eine Sicherung, die nie geprüft wurde, ist eine Hoffnung.

Phishing: fünf Fragen an jede Mail

1. Wer schreibt wirklich? Nicht der angezeigte Name zählt, sondern die Adresse dahinter.
2. Wohin führt der Link? Mit der Maus darüberfahren, am Handy lange drücken.
3. Warum die Eile? Druck und Fristen sind das wichtigste Werkzeug der Betrüger.
4. Was soll ich tun? Anmelden, zahlen, Anhang öffnen – genau das sind die drei gefährlichen Aufforderungen.
5. Passt das überhaupt? Eine Paketbenachrichtigung ohne Bestellung passt nicht.

Die vier Maschen, die Gründer treffen

Wenn es passiert ist: Netzwerk trennen, Gerät aber nicht ausschalten – bei Verschlüsselung lassen sich manchmal noch Daten retten. Passwörter ändern, Bank anrufen, Anzeige erstatten, und bei Kundendaten die Meldung an die Datenschutzbehörde innerhalb von 72 Stunden prüfen.

Sicher unterwegs und mit Kundendaten

• Öffentliches WLAN nur für https-Seiten; für Bank und Buchhaltung lieber den eigenen Handy-Hotspot.
• Gäste ins Gäste-WLAN, Router-Passwort vom Aufkleber ändern.
• Handy und Laptop verschlüsseln und mit Code sperren – ein Gerätediebstahl ist sonst eine Datenpanne.
• Datensparsamkeit: nur speichern, was du brauchst, und nach Ablauf der Aufbewahrungsfrist löschen. Kein Geburtsdatum ohne Grund.

KI-Werkzeuge sicher nutzen

Was du in einen Chatbot tippst, hast du aus der Hand gegeben. Und: KI klingt immer überzeugt, auch wenn sie falsch liegt.

• Gut geeignet: Texte entwerfen und umformulieren, lange Dokumente zusammenfassen, Ideen sammeln, übersetzen, Begriffe erklären.
• Nicht geeignet: verbindliche Rechts- und Steuerauskünfte, Zahlen ohne Quelle, alles, was ohne Prüfung hinausgeht.
• Tabu im kostenlosen Chatbot: personenbezogene Daten, Gesundheitsdaten, Kalkulationen, Passwörter, Geschäftsgeheimnisse. Faustregel: Was nicht auf eine Postkarte gehört, gehört nicht hinein.
• Versionen unterscheiden: Bei kostenlosen Privatkonten werden Eingaben häufig zum Training genutzt. Für den Betrieb braucht es eine Geschäftsversion mit Vertrag zur Auftragsverarbeitung und abgeschaltetem Training – die Bedingungen ändern sich oft, also vor dem Start beim Anbieter prüfen.
• KI-Verordnung: Seit Februar 2025 müssen Beschäftigte, die KI nutzen, geschult werden, und das ist zu dokumentieren. Eine kurze, festgehaltene Unterweisung ist ein guter Anfang.
• Verantwortung: Die KI ist wie ein Praktikant – fleißig und schnell, aber unterschreiben musst du. Ein Fehler im KI-Text ist dein Fehler gegenüber dem Kunden.

Eine Seite Regeln reicht: erlaubte Werkzeuge, Tabu-Daten, Prüfpflicht, Kennzeichnung, und wer bei Zweifeln entscheidet. Wichtig ist nur, dass alle sie kennen.

Häufige Fragen

Reicht ein Virenschutz nicht? Nein. Die häufigsten Schäden entstehen durch geleakte Passwörter und durch Menschen, die auf einen Link klicken – dagegen hilft kein Virenscanner, sondern Zwei-Faktor und eine geprüfte Sicherung.

Muss ich die Register-Rechnung bezahlen? Nein, wenn kein Vertrag zustande gekommen ist. Diese Schreiben sind Angebote im Gewand einer Rechnung. Nicht zahlen, Frist notieren, im Zweifel bei der IHK oder der Verbraucherzentrale nachfragen.

Darf ich eine Kundenanfrage in ChatGPT einfügen? Nicht mit Namen, Adresse oder Telefonnummer. Anonymisieren ist der einfachste Datenschutz – oder eine Geschäftsversion mit Vertrag nutzen.

Dieser Text fasst den Kurs IT-Sicherheit der Gründerberatung der DKMU GmbH zusammen. Über den AVGS der Agentur für Arbeit ist er für dich kostenlos. Weiter geht es mit Rechtliche Risiken bei Websites und Büromanagement. Alle Themen stehen in der Übersicht Gründerwissen.

Stand der Angaben: Oktober 2026. Dieser Text gibt den Inhalt unseres Kurses wieder und ersetzt keine Rechtsberatung.