> IT-Sicherheit für KMU ohne Panikmache: Security-Schnellcheck, Absicherung von Website und Servern, Backups, Notfallplan, Schulung und NIS2-Orientierung. # IT-Sicherheit für KMU: hinschauen, bevor es knallt Die meisten Angriffe auf kleine und mittlere Unternehmen sind keine Hollywood-Hacks. Es sind offene Türen: veraltete Software, schwache Passwörter, ein Klick auf die falsche Mail. Wir finden die Türen und machen sie zu. [Sicherheits-Check anfragen](https://mediabrandcast.com/kontakt/?anliegen=security) 150 € pro Stunde, pauschal für alles. Für Unternehmen, zzgl. USt. - [Security-Schnellcheck starten](https://mediabrandcast.com/leistungen/cybersecurity/#check) Kurz gesagt IT-Sicherheit für KMU bedeutet, die wichtigsten Risiken mit vertretbarem Aufwand zu senken: aktuelle Software, sichere Zugänge, Backups, ein Notfallplan und geschulte Mitarbeitende. mediabrandcast prüft und härtet Websites, Server und Abläufe, schult Teams und gibt Orientierung zu NIS2. Für die Einordnung nutzen wir Empfehlungen des BSI. Orientierung, keine Rechtsberatung. ## Was bedeutet IT-Sicherheit für KMU? IT-Sicherheit für KMU ist der Schutz von Daten, Systemen und Abläufen eines kleinen oder mittleren Unternehmens vor Ausfall, Diebstahl und Manipulation, mit Maßnahmen, die zu Größe und Budget passen. Es geht nicht um eine Festung, sondern darum, die naheliegenden Wege zu verschließen, über die tatsächlich etwas passiert. Konzerne haben dafür eigene Abteilungen. Im Mittelstand kümmert sich oft eine Person nebenbei, oder der Dienstleister, der auch die Drucker betreut. Das ist kein Vorwurf, das ist Alltag. Genau deshalb fangen wir mit einer ehrlichen Bestandsaufnahme an und sortieren danach, was am meisten bringt und am wenigsten kostet. Cybersecurity ist dabei kein Projekt, das irgendwann fertig ist. Software bekommt neue Lücken, Mitarbeitende kommen und gehen, Dienstleister wechseln. Gute IT-Sicherheit ist deshalb ein kurzer Plan plus regelmäßige Pflege, keine einmalige Aktion. Wie IT-Sicherheit in die größere Informationssicherheit passt und wie du den Schutzbedarf deiner Daten festlegst, steht unter [Informationssicherheit](https://mediabrandcast.com/leistungen/cybersecurity/informationssicherheit/). 12 Fragen im Security-Schnellcheck, von Updates bis Verantwortung 27 Anforderungen in 6 Themen prüft der CyberRisikoCheck des BSI nach DIN SPEC 27076 150 €/h für Check, Härtung, Schulung und Pflege. Für Unternehmen, zzgl. USt. ## Die offenen Türen Keine davon ist exotisch. Genau deshalb werden sie so oft übersehen. Kennst du eine davon aus deinem Unternehmen? - Veraltete Software: Systeme, Plugins und Geräte ohne aktuelle Sicherheitsupdates. - Schwache Zugänge: geteilte Passwörter, keine Zwei-Faktor-Anmeldung, alte Konten von ehemaligen Mitarbeitenden. - Phishing: täuschend echte Mails, die zu Klicks, Zahlungen oder Logins verleiten. - Fehlende Backups: oder Backups, die im Ernstfall genauso verschlüsselt sind wie das System. - Kein Plan: Wenn etwas passiert, weiß niemand, wer was tut. ## Security-Schnellcheck: Wo stehst du? Zwölf Fragen, drei Minuten. Du bekommst eine Ampel und eine Liste mit Maßnahmen, sortiert nach Wirkung und Aufwand, jeweils mit Verweis auf die passende BSI-Empfehlung. Du kannst die Fragen auch ohne Werkzeug durchgehen: Rechts steht jede Frage mit der Antwort, die du dir wünschst. Jeder Punkt, bei dem du nicht ehrlich „ja“ sagen kannst, ist eine offene Tür. Fang mit Updates, Zwei-Faktor-Anmeldung und getesteten Backups an. Diese drei bringen oft den größten Effekt für den kleinsten Aufwand. Nichts wird gespeichert. Der Check ist eine Selbsteinschätzung und ersetzt weder eine Prüfung vor Ort noch eine Rechtsberatung. Die zwölf Fragen zum Selbermachen Zähle die Zeilen, bei denen du nicht „ja“ sagen kannst. Jede ist eine offene Tür. Security-Schnellcheck, statische Fassung. Einordnung nach den KMU-Empfehlungen des BSI, Stand 13.11.2026 | Thema | Grün, wenn … | |---|---| | Updates | Betriebssysteme, Programme, Plugins und Geräte bekommen Sicherheitsupdates automatisch oder zeitnah. | | Passwörter und Zwei-Faktor | Jede Person hat eigene Zugänge, wichtige Konten sind mit Zwei-Faktor-Anmeldung geschützt. | | Backups | Sicherungen liegen getrennt vom System, und die Wiederherstellung wurde schon einmal getestet. | | Notfallplan | Es steht schriftlich fest, wer im Ernstfall was tut und wen informiert. | | Zugänge | Konten ehemaliger Mitarbeitender werden gesperrt, Adminrechte haben nur die, die sie brauchen. | | Mail-Sicherheit | Deine Domain ist gegen gefälschte Absender geschützt (SPF, DKIM, DMARC), verdächtige Anhänge werden gefiltert. | | Website | TLS ist aktiv, die Software ist aktuell, Formulare sind gegen Spam und Missbrauch geschützt. | | Schulung | Dein Team erkennt Phishing und weiß, wem es einen Verdacht meldet. | | Dienstleister | Du weißt, welche Dienstleister Zugriff auf deine Systeme haben, und hast es geregelt. | | Inventar | Es gibt eine aktuelle Liste deiner Geräte, Systeme und Konten. | | Verschlüsselung | Laptops und Handys sind verschlüsselt, sensible Daten werden verschlüsselt übertragen. | | Verantwortung | Eine Person ist für IT-Sicherheit zuständig, mit Zeit und Rückendeckung der Geschäftsführung. | Mehr als drei offene Punkte? Dann lohnt sich ein gemeinsamer Blick. Wir priorisieren mit dir, was zuerst dran ist. Der Check braucht JavaScript. [Zum IT-Sicherheitscheck](https://mediabrandcast.com/tools/it-sicherheitscheck/) ## Was wir für deine Sicherheit tun Wir prüfen von außen, was jeder sehen kann, und schließen, was offen ist. Dann sorgen wir dafür, dass es zu bleibt. Die Szene zeigt einen Sicherheits-Check an einer Beispiel-Website: TLS, Sicherheits-Header, Updates und Backups werden nacheinander abgehakt, am Ende steht die Ampel. ### Website und Server prüfen und härten TLS, Sicherheits-Header, offene Dienste, veraltete Komponenten, Formulare. Wir prüfen von außen, was jeder sehen kann, und schließen, was offen ist. Wer seine Website auf [reines HTML](https://mediabrandcast.com/leistungen/statische-website/) umstellt, entfernt dabei die meisten typischen Angriffsflächen gleich mit: keine Datenbank, kein Login, keine Plugins. ### Backups und Wiederherstellung Sicherungen, die getrennt vom System liegen, und ein getesteter Weg zurück. Ein Backup, das nie zurückgespielt wurde, ist eine Hoffnung, kein Backup. Mehr dazu unter [Hosting mit Backups und Überwachung](https://mediabrandcast.com/leistungen/hosting/). ### Notfallplan Wer wird informiert, welche Systeme werden getrennt, wer spricht mit Kundschaft und Behörden? Ein kurzer Plan, der im Ernstfall funktioniert, weil er auf eine Seite passt und vorher einmal geübt wurde. ### Schulung und Awareness Die meisten Angriffe beginnen beim Menschen. Wir schulen dein Team praxisnah zu Phishing, Passwörtern und dem richtigen Verhalten im Verdachtsfall. Online live oder inhouse bei dir. Mehr unter [Schulungen für dein Team](https://mediabrandcast.com/leistungen/schulungen/). ### NIS2-Orientierung Viele Unternehmen fallen neu unter die Pflichten der NIS2-Richtlinie. Ob du betroffen bist und was das bedeutet, findest du unter [NIS2: Betroffenheit prüfen und umsetzen](https://mediabrandcast.com/leistungen/cybersecurity/nis2/). ## Sicherheit von Anfang an mitgedacht Wir sind die Agentur, die deine Websites, Software und Abläufe baut und betreibt. Deshalb kommt Sicherheit bei uns nicht als Zusatzpaket obendrauf, sondern ist Teil der Bauweise: Security-Header, Updates, Backups und ein Notfallplan bilden den Schutzkreis um alles, was wir live bringen. Unsere eigenen Systeme laufen auf Servern in der EU und werden laufend überwacht. Bei Problemen geht eine Nachricht an die zuständige Person, mit dem, was sie wissen muss. So einen Wächter betreiben wir für unsere eigene Infrastruktur, und genau so einen richten wir auch für deine Website ein. ### Was wir prüfen, wenn wir von außen draufschauen - Ist die Verbindung verschlüsselt, und läuft das Zertifikat bald ab? - Senden Website und Server die gängigen Sicherheits-Header? - Welche Dienste und Ports sind aus dem Internet erreichbar, die es nicht sein müssten? - Verraten Seiten oder Dateien Versionen von Software mit bekannten Lücken? - Sind Formulare gegen Spam, Missbrauch und automatisierte Angriffe geschützt? - Ist deine Mail-Domain gegen gefälschte Absender abgesichert? Das Ergebnis ist keine endlose Liste roter Punkte, sondern eine Maßnahmenliste, sortiert nach Wirkung und Aufwand. Oben steht, was du diese Woche erledigen solltest. Fakten: BSI-Angebote für KMU - Das BSI bündelt Informationen und Empfehlungen speziell für kleine und mittlere Unternehmen auf einer Einstiegsseite. Quelle: [BSI, Informationen für KMU](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/KMU/KMU_node.html), Stand 13.11.2026 - Der CyberRisikoCheck nach DIN SPEC 27076 ist ein Interview von 1 bis 2 Stunden zu 27 Anforderungen in 6 Themen. Ergebnis ist ein Bericht mit Punktzahl, keine Zertifizierung. Quelle: [BSI, CyberRisikoCheck](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/KMU/CyberRisikoCheck/CyberRisikoCheck_node.html), Stand 13.11.2026 - Für den systematischen Einstieg in den IT-Grundschutz gibt es den Leitfaden Basis-Absicherung. Quelle: [BSI, Leitfaden Basis-Absicherung](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/BSI-Standards/BSI-Standard-200-2-IT-Grundschutz-Methodik/Leitfaden-Basis-Absicherung/leitfaden-basis-absicherung_node.html), Stand 13.11.2026 - Das NIS2-Umsetzungsgesetz ist seit 6. Dezember 2025 in Kraft (BGBl. 2025 I Nr. 301). Das BSI rechnet mit rund 29.500 betroffenen Einrichtungen. Quelle: [BGBl. 2025 I Nr. 301](https://www.recht.bund.de/bgbl/1/2025/301/VO.html); BSI, Pressemitteilung vom 05.12.2025 ## Das Ritual, auf Sicherheit zugeschnitten Vier Schritte, auf allen unseren Leistungen gleich benannt. Bei der IT-Sicherheit heißen sie konkret: ### Lesen Bestandsaufnahme: Wir schauen von außen auf Website, Server und Mail-Domain und sprechen mit dir über Zugänge, Backups, Dienstleister und Geräte. ### Brauen Maßnahmenliste nach Wirkung und Aufwand, mit Stundenschätzung je Punkt. Du entscheidest, was wann drankommt. ### Ausschenken Wir härten, richten Backups und Überwachung ein, schreiben mit dir den Notfallplan und schulen dein Team. ### Nachwürzen Regelmäßig nachprüfen, Updates einspielen, den Plan nach jedem Vorfall und jeder Änderung anpassen. ## Was wir nicht sind Wir sind kein Security Operations Center, das rund um die Uhr Netzwerke überwacht, und wir ersetzen keine zertifizierte Prüfung oder Rechtsberatung. Wir sind die Agentur, die deine Websites, Software und Abläufe baut und betreibt und dabei Sicherheit von Anfang an mitdenkt. Für tiefe Sicherheitsprüfungen und Zertifizierungen empfehlen wir spezialisierte Partner. Wie du einen Penetrationstest so beauftragst, dass er sich lohnt, mit Scope-Vorlage und Vertrags-Checkliste nach BSI, steht unter [Penetrationstest beauftragen](https://mediabrandcast.com/leistungen/cybersecurity/penetrationstest/). Du brauchst uns auch nicht, wenn du schon ein eigenes Sicherheitsteam oder einen Dienstleister für Informationssicherheit hast, der deine Systeme kennt und pflegt. Wenn du einen standardisierten Bericht mit Punktzahl willst, ist der CyberRisikoCheck nach DIN SPEC 27076 ein guter Einstieg. Und wenn du eine Zertifizierung deiner Informationssicherheit anstrebst, führt der Weg über eine Zertifizierungsstelle, nicht über eine Agentur. 150 €/h pauschal für alles. Für Unternehmen, zzgl. USt. ## Was IT-Sicherheit kostet Ein Security-Check mit Maßnahmenliste ist in wenigen Stunden erledigt. Umsetzung, Schulung und laufende Pflege planen wir im Servicevertrag: 150 € pro Stunde, pauschal für alles, für Unternehmen, zzgl. USt. Abgerechnet wird monatlich nach Aufwand. Liegt deine Website bei uns im Hosting, läuft das als fester Monatsbetrag. Lizenzen, etwa für Sicherheitswerkzeuge, geben wir transparent 1:1 weiter. [So läuft der Servicevertrag](https://mediabrandcast.com/servicevertrag/) ## Verwandte Leistungen Sicherheit hängt an allem, was du online betreibst. Hier geht es weiter. ### [NIS2](https://mediabrandcast.com/leistungen/cybersecurity/nis2/) Bist du betroffen, und was musst du tun? Schnellcheck, Pflichten und Umsetzung. NIS2 ansehen ### [Hosting](https://mediabrandcast.com/leistungen/hosting/) Betreut, überwacht, gesichert. Auf Servern in der EU. Zum Hosting ### [Statische Website](https://mediabrandcast.com/leistungen/statische-website/) Reines HTML: keine Datenbank, kein Login, kaum Angriffsfläche. Statische Website ansehen ### [Security-Awareness-Schulung](https://mediabrandcast.com/leistungen/cybersecurity/security-awareness-schulung/) Phishing und KI-Täuschung erkennen, online live oder inhouse, mit Teilnahmezertifikat. Zur Schulung ### [Cyber-Versicherung](https://mediabrandcast.com/leistungen/cybersecurity/cyber-versicherung/) Welche IT-Pflichten Versicherer vorab verlangen, als Checkliste nach den GDV-Musterbedingungen. Zur Checkliste ## Häufige Fragen zur IT-Sicherheit für KMU ### Wie sicher muss ein kleines Unternehmen sein? So sicher, dass die naheliegenden Risiken abgedeckt sind: aktuelle Software, Zwei-Faktor-Anmeldung, getrennte Backups, ein Notfallplan und geschulte Mitarbeitende. Das BSI bietet dafür speziell für KMU Empfehlungen und Checklisten. Je nach Branche und Größe können gesetzliche Pflichten wie NIS2 dazukommen. ### Was kostet IT-Sicherheit für KMU? Bei mediabrandcast 150 € pro Stunde, für Unternehmen, zzgl. USt. Der größte Effekt entsteht oft mit wenig Aufwand, etwa durch Zwei-Faktor-Anmeldung, Updates und getestete Backups. Wir priorisieren Maßnahmen nach Wirkung und Aufwand, damit dein Budget zuerst dorthin fließt, wo es am meisten schützt. ### Bietet ihr Penetrationstests an? Wir prüfen Websites und Server von außen und härten, was wir finden. Umfassende Penetrationstests und Zertifizierungsprüfungen führen spezialisierte Anbieter durch, die wir dir empfehlen können. Die Ergebnisse solcher Tests setzen wir anschließend gern mit dir um. ### Überwacht ihr meine Systeme rund um die Uhr? Nein, wir sind kein Security Operations Center. Wir richten für Websites und Server, die wir betreuen, eine automatische Überwachung ein, die bei Problemen die zuständige Person benachrichtigt. Eine permanente Überwachung ganzer Firmennetzwerke durch Analysten bieten spezialisierte Dienstleister an. ### Was ist der CyberRisikoCheck des BSI? Ein standardisiertes Verfahren nach DIN SPEC 27076 für kleine Unternehmen: ein Interview von etwa ein bis zwei Stunden zu 27 Anforderungen in sechs Themen. Am Ende steht ein Bericht mit Punktzahl und Empfehlungen. Eine Zertifizierung ist er ausdrücklich nicht, aber ein guter, vergleichbarer Startpunkt. ### Was ist der erste Schritt zu mehr IT-Sicherheit? Eine ehrliche Bestandsaufnahme. Unser Security-Schnellcheck zeigt dir in drei Minuten, wo du stehst, und welche drei Maßnahmen du zuerst angehen solltest. Danach lohnt sich ein Blick von außen auf Website, Server und Mail-Domain, um die offenen Türen zu finden. ## Quellen 1. [BSI: Informationen und Empfehlungen für kleine und mittlere Unternehmen](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/KMU/KMU_node.html), abgerufen am 13.11.2026. 2. [BSI: CyberRisikoCheck nach DIN SPEC 27076](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/KMU/CyberRisikoCheck/CyberRisikoCheck_node.html), abgerufen am 13.11.2026. 3. [BSI: Leitfaden Basis-Absicherung nach IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/BSI-Standards/BSI-Standard-200-2-IT-Grundschutz-Methodik/Leitfaden-Basis-Absicherung/leitfaden-basis-absicherung_node.html), abgerufen am 13.11.2026. 4. [NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, BGBl. 2025 I Nr. 301](https://www.recht.bund.de/bgbl/1/2025/301/VO.html), abgerufen am 13.11.2026. 5. BSI: Pressemitteilung vom 05.12.2025 zum Inkrafttreten des NIS2-Umsetzungsgesetzes (rund 29.500 betroffene Einrichtungen). Geschrieben von [Alexander Scharff](https://mediabrandcast.com/team/alexander-scharff/) Mitgründer von Juice 9, Marketing, IT und KI Marketing-Master (KI-Studie, Note 1,0), IT-Ausbildung, KI-Manager. Baut Websites, Software und KI-Automatisierungen, die im Live-Betrieb laufen. [Alexander Scharff auf LinkedIn](https://www.linkedin.com/in/alexander-scharff-de/) ## Mach die offenen Türen zu, bevor jemand reinkommt. Wir prüfen deine Website und deine Abläufe und sagen dir, was zuerst dran ist. [Sicherheits-Check anfragen](https://mediabrandcast.com/kontakt/?anliegen=security) 150 € pro Stunde, pauschal für alles. Für Unternehmen, zzgl. USt.