Cybersicherheit für Unternehmensdaten: Der vollständige Leitfaden

Ein Cyberangriff ist in 2026 die wahrscheinlichste operative Krise, die ein DACH-Unternehmen durchmachen wird. Statistiken von BSI und A-SIT zeigen, dass jedes dritte mittelgroße Unternehmen in der DACH-Region im Jahr 2025 einen schwerwiegenden Sicherheitsvorfall erlebt hat, und 12 % davon erlitten einen finanziellen Schaden über 50.000 EUR. Ein Großteil dieser Vorfälle war durch Standardmaßnahmen zu einem Bruchteil der Schadenskosten vollständig vermeidbar.

Dieser Pillar-Artikel führt Unternehmensinhaber und IT-Manager durch das gesamte Spektrum der Cyberabwehr — von Grundbegriffen (Virus, Malware, Phishing, Ransomware) über konkrete technische Maßnahmen (2FA, SSL, VPN, EDR, Backups) bis hin zu Prozessaspekten (Schulung, Incident Response, regulatorische Meldepflicht). Keine abstrakte Theorie, sondern konkrete Schritte, die in einem mittelgroßen DACH-Unternehmen tatsächlich funktionieren.

Für den breiteren regulatorischen Kontext: Sicherheit und Compliance in Cloud-ERP 2026, das ISO 27001, DSGVO, NIS2 und DORA abdeckt.

Bedrohungslandschaft in 2026: Was sich geändert hat

Cyberbedrohungen für DACH-KMU haben sich in den letzten drei Jahren qualitativ verschoben. Vor der Pandemie waren 80 % der Angriffe opportunistisch — automatisierte Schwachstellenscans, massenhafte Phishing-Kampagnen ohne Zielauswahl. Heute ist das Bild anders:

1. Gezielte Ransomware-Gruppen (LockBit, BlackCat, Cl0p) zielen systematisch auf mittelgroße Unternehmen in der EU mit einem Umsatz von 10–100 Mio. EUR. DACH-Unternehmen befinden sich in ihrer Reichweite.
2. KI-generierte Phishing-Kampagnen können den Unternehmensstil, die Sprache eines bestimmten Managers nachahmen und den Angriff kontextbezogen anpassen — Grammatikfehler und verdächtige URLs gehören der Vergangenheit an.
3. Supply-Chain-Angriffe auf ICT-Dienstleister betreffen auch Unternehmen, die selbst kein interessantes Ziel wären.
4. Insider Threats nehmen mit Homeoffice und häufigerer Fluktuation zu — ein ehemaliger Mitarbeiter mit aktiven Konten ist in 2026 ein reales Problem.
5. Regulatorischer Druck (NIS2, DORA, DSGVO) erhöht den Preis des Versagens — zur eigentlichen Schaden kommen Bußgelder und gesetzliche Meldepflichten hinzu.

Für den Unternehmensinhaber bedeutet das, dass Cyberhygiene nicht mehr optional ist — es ist ein operatives Minimum vergleichbar mit Brandschutz oder Arbeitssicherheit.

Bedrohungslexikon: Was ist was

In den Medien werden Begriffe wie Virus, Malware, Ransomware und Phishing oft synonym verwendet, aber technisch stellen sie unterschiedliche Klassen von Bedrohungen mit unterschiedlicher Abwehr dar.

Malware (Oberbegriff)

Malware (malicious software) ist der Oberbegriff für jeglichen Schadcode. Darunter:

• Virus — Programm, das sich durch Anhängen an andere Dateien verbreitet und eine Benutzeraktion erfordert (Öffnen). Der klassische PC-Virus der 90er ist heute ein Randphänomen.
• Worm (Wurm) — selbst-verbreitend, benötigt keine Host-Datei. Verbreitet sich über Netzwerkschwachstellen. Beispiel: WannaCry (2017).
• Trojan — als legitime Software getarnt. Nach dem Start führt er eine Schadaktion aus. Häufigster Einstieg in Unternehmen.
• Ransomware — spezieller Malware-Typ, der Dateien verschlüsselt und Lösegeld für den Entschlüsselungsschlüssel verlangt. In 2026 die dominante Bedrohung.
• Spyware — sammelt Daten über den Benutzer (Schlüssel zu anderen Konten, vertrauliche Dokumente).
• Rootkit — verbirgt seine Präsenz auf tiefer OS-Ebene, persistiert oft auch nach der Neuinstallation.
• Keylogger — zeichnet Tastatureingaben auf, besonders Passwörter und Zahlungsdaten.

Einen ausführlicheren Überblick finden Sie im Cluster-Artikel Viren und Malware im Unternehmen: So schützen Sie sich.

Phishing und Social Engineering

Phishing ist der Versuch, Daten (typischerweise Anmeldedaten) über eine betrügerische Nachricht zu erlangen — E-Mail, SMS (Smishing), Telefonanruf (Vishing) oder soziale Netzwerke. Der Angreifer imitiert einen vertrauenswürdigen Absender (Bank, IT-Support, Geschäftsführer).

Fortgeschrittene Varianten:

• Spear Phishing — gezieltes Phishing auf eine bestimmte Person mit personalisiertem Inhalt.
• Whaling — Phishing auf Top-Management (CEO, CFO).
• Business E-Mail Compromise (BEC) — Angreifer imitiert die E-Mail eines Managers und weist die Buchhalterin an, Geld zu überweisen. In DACH betrug der durchschnittliche BEC-Schaden im Jahr 2025 45.000 EUR.

Angriffe auf die Infrastruktur

• DDoS (Distributed Denial of Service) — Überlastung von Web/Dienst durch gefälschten Datenverkehr. Für B2B-ERP-nutzende Unternehmen meist keine primäre Bedrohung (im Gegensatz zu Online-Shops).
• Man-in-the-Middle (MitM) — Abhören der Netzwerkkommunikation. Hauptrisiko bei öffentlichen WLAN-Netzen und schwach verschlüsselten Kanälen.
• Brute Force / Credential Stuffing — automatisiertes Erraten von Passwörtern oder Ausprobieren gestohlener Name+Passwort-Kombinationen aus anderen Diensten.

Insider Threats

• Malicious Insider — unzufriedener Mitarbeiter mit Zugang schadet absichtlich (Datendiebstahl, Sabotage).
• Negligent Insider — unbeabsichtigter Verstoß (vertrauliches Dokument an falsche Adresse senden, schwaches Passwort, Klick auf Phishing).

In DACH umfassen laut BSI-Statistiken 40 % der Sicherheitsvorfälle eine Insider-Komponente, meist negligent.

Sieben Säulen der Unternehmens-Cyberabwehr

Keine einzelne Technologie reicht aus. Ein widerstandsfähiges Unternehmen baut auf sieben Schichten, von denen jede eine andere Bedrohung adressiert.

Säule 1: Identität und Authentifizierung

Die häufigste Ursache eines erfolgreichen Angriffs in 2026 ist kein ausgeklügelter Hack, sondern ein kompromittiertes Passwort. Gegenmaßnahmen:

• Passwort-Manager für das gesamte Unternehmen (1Password, Bitwarden, Dashlane). Generiert einzigartige 20+ Zeichen Passwörter, eliminiert Wiederverwendung.
• 2FA / MFA verpflichtend für alle Benutzer, idealerweise Passkey/WebAuthn für kritische Konten (Admin, Finanzen, HR).
• Single Sign-On (SSO) über Azure AD, Google Workspace oder Okta — ein Anmeldepunkt, ein Audit-Log, schnelle Deaktivierung beim Ausscheiden.
• Prinzip der minimalen Rechte (Least Privilege) — Benutzer hat nur die Rechte, die er tatsächlich benötigt.
• Regelmäßige Zugriffsprüfung (1× vierteljährlich) — wer hat welchen Zugriff, wird er noch benötigt?

Eine detaillierte Anleitung zur 2FA-Implementierung finden Sie im Cluster-Artikel Zwei-Faktor-Authentifizierung (2FA): warum und wie einsetzen.

Säule 2: Updates und Patch-Management

70 % der erfolgreichen Angriffe im Jahr 2025 nutzten Schwachstellen aus, für die ein Patch länger als 30 Tage verfügbar war. Diszipliniertes Patch-Management eliminiert den Großteil davon.

• Betriebssysteme — automatische Updates, monatlicher Zyklus für Windows, kontinuierlich für macOS/Linux.
• Anwendungen — besonders Browser (Chrome, Edge, Firefox), Office-Pakete, PDF-Reader, Java/Adobe-Runtime.
• Netzwerkgeräte — Firewalls, Router, VPN-Gateways. Oft vergessen, oft angegriffen.
• Spezialsoftware — ERP, CRM, E-Mail-Server, Webserver. Monatlicher Kontrollzyklus.
• End-of-Life (EOL) Software — Windows 10 (Oktober 2025), Windows Server 2012, alte PHP/Node-Versionen. Ausnahmslos ersetzen — keine Patches, vollständiger Angriffsvektor.

Cloud-SaaS-Lösungen (einschließlich Modulario) nehmen diese Aufgabe dem Unternehmen ab — der Provider patcht Infrastruktur und Anwendung kontinuierlich.

Säule 3: Endpoint Protection (EDR)

Klassisches Antivirus aus 2010 ist in 2026 unzureichend. Moderne Endpunkte benötigen EDR (Endpoint Detection and Response) — kontinuierliches Verhaltensmonitoring, Anomalieerkennung, automatische Reaktion.

Unterschied:

Aspekt	Antivirus (signaturbasiert)	EDR (verhaltensbasiert)
Erkennung bekannter Bedrohungen	Ja	Ja
Erkennung unbekannter (Zero-Day)	Eingeschränkt	Ja (Heuristik, ML)
Forensische Daten nach Angriff	Minimal	Vollständig (komplette Timeline)
Ferngesteuerte Isolierung des Endpunkts	Nein	Ja (1 Klick)
Preis (jährlich, pro Seat)	30–60 EUR	60–180 EUR

Empfohlene Anbieter für DACH-KMU: Microsoft Defender for Endpoint (oft in M365 enthalten), CrowdStrike, SentinelOne, ESET PROTECT.

Säule 4: E-Mail-Sicherheit

90 % der gezielten Angriffe beginnen per E-Mail. Ohne gute E-Mail-Sicherheit ist alles andere ein Kompromiss.

Schichten:

• SPF, DKIM, DMARC — Absenderauthentifizierung, eliminiert Spoofing Ihrer Domain.
• Anti-Phishing-Engine — Inhalts-, URL-, Anhangsanalyse. Microsoft Defender for Office 365, Google Workspace Security, Proofpoint, Mimecast.
• Sandbox für Anhänge — gefährliche Anhänge werden in einer isolierten Umgebung vor der Zustellung geöffnet.
• URL-Rewriting — Klicks in E-Mails laufen über einen Sicherheits-Proxy, der das Ziel in Echtzeit überprüft.
• Banner für externe E-Mails — visuelle Kennzeichnung von E-Mails außerhalb des Unternehmens.

Säule 5: Backups und Wiederherstellbarkeit

Ein Backup ist die letzte Verteidigung gegen Ransomware. Ohne funktionierende, immutable und getestete Backups kann Ransomware das Ende des Unternehmens bedeuten.

Regel 3-2-1-1-0:

• 3 Kopien der Daten (1 Produktiv + 2 Backups)
• 2 verschiedene Medien / Anbieter
• 1 off-site (geografisch getrennt)
• 1 offline oder immutable (S3 Object Lock, air-gapped)
• 0 Fehler beim Recovery-Test (mindestens 1× jährlich durchführen)

Beim Cloud-ERP liegt das primäre Backup in der Verantwortung des Anbieters, aber das Unternehmen muss ein eigenes unabhängiges Backup haben — Datenexport in einen S3-Bucket unter eigener Kontrolle oder Offline-Backup. Modulario bietet nativen Export aller Daten über API und UI-Dump, sodass ein unabhängiges Backup automatisiert erstellt werden kann.

Säule 6: Netzwerksicherheit

• Firewall — Perimeter und hostbasiert (Windows Defender Firewall auf jedem Endpunkt).
• VPN für Fernzugriff, idealerweise ZTNA (Zero Trust Network Access) statt klassischem IPsec/SSL-VPN. ZTNA überprüft jeden Zugriff separat, nicht das gesamte Netzwerk auf einmal.
• Netzwerksegmentierung — Trennung von Produktions-, Büro- und Gäste-WLAN. IoT-Geräte (Kameras, Drucker) in separatem VLAN.
• DNS-Filtering (Cisco Umbrella, Cloudflare Gateway) — blockiert Zugriff auf bekannte schädliche Domains auf DNS-Ebene.

Zu VPN-Grundlagen: Glossar /de/glossar/vpn.

Säule 7: Mitarbeiterschulung

Das schwächste Glied ist fast immer der Mensch. Regelmäßige Schulung macht ihn von der schwächsten Stelle zur ersten Verteidigungslinie.

• Onboarding-Schulung für jeden neuen Mitarbeiter (1–2 Stunden).
• Jährliches Refresher für alle Pflicht.
• Phishing-Simulationen 4–12× jährlich mit personalisiertem Feedback (KnowBe4, Hoxhunt, SoSafe).
• Just-in-Time-Schulung — wenn ein Mitarbeiter bei einer Phishing-Simulation klickt, erhält er sofort eine kurze Lektion, warum das Phishing war.

Investition von 25–50 EUR/Mitarbeiter/Jahr in qualitatives Training rentiert sich beim ersten verhinderten Vorfall.

Verschlüsselung: SSL/TLS, VPN, Datenverschlüsselung

Verschlüsselung schützt die Vertraulichkeit (wer kann lesen) und Integrität (wer kann ändern) von Daten. Drei Kontexte sind in der Praxis am wichtigsten.

SSL/TLS für Web-Kommunikation

SSL/TLS sichert die Kommunikation zwischen Browser und Server. In 2026 ist TLS 1.3 das Minimum für öffentliche Websites, TLS 1.2 wird für Legacy-Clients toleriert.

Praktische Konsequenzen für das Unternehmen:

• Jede Firmenwebsite muss ein gültiges SSL-Zertifikat haben (HTTPS, nicht HTTP). Kostenloses Let’s Encrypt ist für die meisten Use-Cases ausreichend.
• HSTS (HTTP Strict Transport Security) Preload — erzwingt HTTPS auch beim ersten Zugriff.
• Mixed Content Audit — keine HTTP-Ressourcen (Bilder, Skripte) auf HTTPS-Seiten.
• Certificate Transparency Monitoring — Alert, wenn jemand ein Zertifikat für Ihre Domain ausstellt (möglicher Angriff).

Details im Cluster-Artikel SSL-Zertifikat: vollständiger Leitfaden für die Firmenwebsite und im Glossar /de/glossar/ssl.

VPN und Zero Trust

Klassisches VPN gibt dem angemeldeten Benutzer Zugriff auf das gesamte interne Netzwerk. Das ist ein Sicherheits-Antipattern — ein kompromittiertes Konto öffnet Türen zu allem.

Zero Trust Network Access (ZTNA) ist in 2026 der bessere Ansatz:

• Jeder Zugriff wird separat verifiziert (Identität, Gerät, Kontext).
• Anwendungen sind individuell zugänglich, nicht über das „gesamte Netzwerk”.
• Default-Deny — explizite Erlaubnis, kein implizites Vertrauen.

Anbieter: Cloudflare Access, Tailscale, Twingate, Microsoft Entra Internet Access.

Datenverschlüsselung at Rest

• Festplattenverschlüsselung — BitLocker (Windows), FileVault (macOS), LUKS (Linux). Pflicht für Laptops.
• Datenbankverschlüsselung — TDE (Transparent Data Encryption) in PostgreSQL, MySQL, SQL Server.
• Backup-Verschlüsselung — Backup-Software verschlüsselt vor dem Upload in die Cloud, Schlüssel hält das Unternehmen oder verwaltetes KMS.
• E-Mail-Verschlüsselung (S/MIME oder PGP) — für sensible Korrespondenz, besonders rechtliche oder HR-Inhalte.

In Modulario sind primäre Daten AES-256 at rest verschlüsselt und die Kommunikation durch TLS 1.3 in transit geschützt. Details auf der Sicherheitsseite.

Hardware, Software und Netzwerk: Technische Grundlagen für den Unternehmensinhaber

Einige Sicherheitsentscheidungen trifft der Unternehmensinhaber noch vor dem IT-Manager — zum Beispiel die Wahl von Laptops, ERP, Cloud-Diensten. Hier ist ein kurzer Überblick der Begriffe, die dafür benötigt werden. Eine tiefergehende Erklärung finden Sie im Pillar-Artikel IT-Grundlagen für Unternehmensinhaber.

Hardware

Physische Geräte: Server, Laptops, Mobiltelefone, Netzwerkgeräte, IoT-Sensoren, Lesegeräte, Drucker. Sicherheitsaspekte:

• Lifecycle Management — Kauf, Inventur, Wartung, Ausmusterung. Ziel: Gerät verschwindet nie aus der Evidenz.
• Festplattenverschlüsselung Pflicht für alle Laptops.
• MDM (Mobile Device Management) — Microsoft Intune, Jamf. Zentrale Verwaltung, Remote-Lockout bei Verlust.
• Sichere Ausmusterung — Festplattenlöschung oder physische Vernichtung, kein Verkauf auf dem Gebrauchtmarkt.

Glossar: /de/glossar/hardver.

Software

Programme und Anwendungen. Sicherheitsaspekte:

• Inventar der installierten Software — was läuft auf Firmengeräten.
• Whitelisting — explizit erlaubte Anwendungen, andere blockiert (Microsoft Defender Application Control, AppLocker).
• Open Source vs. Commercial — Open Source ist nicht schlechter, benötigt aber aktive Wartung (wer überwacht Patches?).
• SaaS Shadow IT — Mitarbeiter registrieren sich mit Firmen-E-Mails bei SaaS-Diensten ohne IT-Wissen. CASB (Cloud Access Security Broker) hilft, das zu kartieren.

Glossar: /de/glossar/softver.

Netzwerk: IP-Adressen, DNS, Ports

Sicherheitsrelevante Begriffe:

• IP-Adresse — identifiziert ein Gerät im Netzwerk. Öffentlich (aus dem Internet routbar) vs. privat (LAN). Eine statische IP des Unternehmens kann als Identität beim Whitelisting verwendet werden (z. B. „Zugriff auf ERP nur von der Firmen-IP”). Glossar: /de/glossar/ip-adresa.
• DNS — Übersetzung von Domainnamen in IP-Adressen. DNS-Poisoning ist ein Angriff, bei dem ein schlechter Server eine falsche IP zurückgibt. Abwehr: DNSSEC, DNS over HTTPS/TLS.
• Ports — Kommunikationskanäle innerhalb einer IP. Offener Port = Einstiegspunkt. Firewall öffnet nur die notwendigen.

Incident Response: Wenn Prävention versagt

Unabhängig von der Qualität der Prävention wird irgendwann etwas passieren. Ein vorbereiteter Incident-Response-Plan entscheidet, ob es eine 24-Stunden-Episode oder eine 3-monatige operative Krise wird.

Struktur des IR-Plans

1. Vorbereitungsphase — Kontaktliste (intern + extern: Forensikexperte, Anwalt, PR, Versicherung, Regulierungsbehörde), Runbooks für Top-5-Szenarien, Rollenmatrix (wer macht was).
2. Erkennung und Triage — Meldekanäle (interner #security-incident-Kanal, E-Mail security@firma.de, Telefonleitung), Klassifizierungskriterien (Schweregrad 1-4).
3. Containment — sofortige Maßnahmen je nach Szenario (Endpunkt-Isolierung, Konto-Deaktivierung, Schlüsselrotation).
4. Eradication — Bedrohungsbeseitigung (Malware-Entfernung, Patch, Konto-Reset).
5. Recovery — Systemwiederherstellung, Integritätsprüfung, schrittweiser Start.
6. Lessons Learned — Post-mortem innerhalb von 2 Wochen, Aktualisierung der Maßnahmen.

Kritische Entscheidungen in Echtzeit

• Lösegeld bei Ransomware zahlen? Polizei und BSI empfehlen es nicht. 35 % der Unternehmen, die gezahlt haben, erhalten einen funktionierenden Entschlüsselungsschlüssel. 65 % erhalten nichts oder nur einen Teilschlüssel. Besser in Recovery aus immutable Backup investieren.
• Kunden benachrichtigen? DSGVO Art. 34: wenn hohes Risiko für Rechte und Freiheiten der betroffenen Personen besteht, ja, innerhalb von 72 Stunden. NIS2: Early Warning an die Behörde (BSI/BMUV) innerhalb von 24 Stunden, offizielle Meldung innerhalb von 72 Stunden.
• Öffentlichkeit / Medien benachrichtigen? Strategisch — Gerüchte neutralisieren, aber keine Details preisgeben, die dem Angreifer helfen. Ein PR-Berater im IR-Team ist eine Investition, die sich rentiert.

Cyber-Versicherung

Eine Cyber-Versicherung deckt in 2026 typischerweise:

• Forensische und IT-Recovery-Kosten
• Rechtliche und Benachrichtigungskosten
• Betriebsunterbrechungsschäden
• Bußgelder und regulatorische Sanktionen (teilweise)
• Lösegeld (mit strengen Bedingungen)

Preis: 0,1–0,4 % der Versicherungssumme jährlich. Für ein mittelgroßes DACH-Unternehmen typischerweise 5.000–25.000 EUR jährlich für eine Deckung von 1–5 Mio. EUR. Pflicht für regulierte Sektoren und B2B mit Großkunden.

Compliance und Regulierung: Kontext

Cyberhygiene basiert nicht auf einer einzelnen Regulierung. Für DACH-KMU sind in 2026 relevant:

• DSGVO — primärer Rahmen für personenbezogene Daten
• NIS2 — Cybersicherheit für 18 Sektoren
• DORA — Finanzsektor + deren ICT-Dienstleister
• EU KI-Gesetz — Hochrisiko-KI-Systeme (HR-Scoring, Kredit-Scoring)
• eIDAS 2 — elektronische Signaturen, digitale Identität
• Sektorregulierungen — Gesundheitswesen, Energie, Telko

Eine detaillierte Erklärung des Regulierungsrahmens finden Sie im Pillar-Artikel Sicherheit und Compliance in Cloud-ERP 2026 und in den Cluster-Artikeln NIS2-Richtlinie, DORA-Richtlinie und ISO 27001 für KMU.

Wie Modulario Cybersicherheit löst

Modulario als EU-native ERP/CRM-Plattform bietet Sicherheitsmaßnahmen out of the box:

• 2FA / SSO unterstützt (TOTP, WebAuthn, SAML 2.0, OIDC) — Administratoren können für das gesamte Unternehmen erzwingen
• Role-Based Access Control mit Field-Level-Granularität für sensible Module (HR, Finanzen)
• Nativer Audit-Log jeder Änderung in jedem Modul, Retention 12 Monate, Export in SIEM
• Verschlüsselung AES-256 at rest, TLS 1.3 in transit, mTLS intern
• EU-Hosting mit ISO 27001-Zertifizierung, kein CLOUD Act-Risiko
• Standardisierter AVV bei jedem Vertrag, ohne rechtliche Verhandlungen nötig
• Backup mit stündlichen Incrementals, Multi-Region-Replikation, immutable Storage 7 Tage
• DSAR-Unterstützung — Export personenbezogener Daten auf Antrag innerhalb von 30 Tagen
• Incident Response SLA 24 Stunden für Sicherheitsvorfälle

Für eine detaillierte Beschreibung: Sicherheitsseite.

Cluster-Index: Tiefer in die Themen

Dieser Pillar hat die Agenda auf hoher Ebene zusammengefasst. Für spezifische Themen:

• Internet-Sicherheit für Unternehmen — praktische Hygiene für Mitarbeiter, häufigste Fehler und wie man sie vermeidet.
• Viren und Malware im Unternehmen — Bedrohungstypologie, EDR-Auswahl, Vorgehen bei Infektion.
• Zwei-Faktor-Authentifizierung (2FA) — TOTP vs. SMS vs. Passkey, Unternehmensmigration auf 2FA.
• SSL-Zertifikat: vollständiger Leitfaden für die Firmenwebsite — Typen, Auswahl, Installation, Monitoring.

Zusammenfassung und Empfehlungen

Cybersicherheit für DACH-KMU in 2026 ist kein Luxus — es ist das operative Minimum. Jedes Unternehmen, das einen schwerwiegenden Vorfall erlebt hat, würde rückblickend mehr in Prävention investieren, als es tatsächlich getan hat. Pragmatischer Mindeststandard:

1. 2FA für alle, Passkey für Administratoren und das Finanzteam
2. Monatlicher Patch-Zyklus für OS-Anwendungen + EOL-Ersatz ohne Ausnahme
3. EDR statt klassischem Antivirus auf allen Endpunkten
4. E-Mail-Sicherheit mit Anti-Phishing, SPF/DKIM/DMARC konfiguriert
5. Backups 3-2-1-1-0 mit jährlichem Recovery-Test
6. Mitarbeiterschulung jährlich + 4 Phishing-Simulationen
7. Incident-Response-Plan mit Kontaktliste und Runbooks für Top-5-Szenarien

Investition: 8–25.000 EUR jährlich für ein mittelgroßes Unternehmen. Amortisation: ein einziger verhindeter Vorfall.

Cloud-ERP mit primären Daten bei einem EU-nativen ISO 27001-zertifizierten Anbieter (wie Modulario) nimmt dem Unternehmen 50–60 % dieser Agenda ab — primäre Infrastruktur, Verschlüsselung, Audit-Log, Backup und Incident Response liegen in der Verantwortung des Anbieters. Das Unternehmen kann sich auf Endpoint-Sicherheit, E-Mail, Identität und Schulung konzentrieren.

Wenn Sie die konkrete Cyberhygiene Ihres Unternehmens oder ein Modulario-Deployment in einer regulierten Umgebung besprechen möchten, kontaktieren Sie uns über eine kostenlose Beratung.

Häufige Fragen

Wie gelangen Hacker am häufigsten in ein Unternehmensnetzwerk? In 2026 dominieren drei Vektoren: Phishing (ca. 60 % der Angriffe beginnen mit dem Klick auf eine betrügerische E-Mail), kompromittierte Zugangsdaten (aus anderen Diensten gestohlene Passwörter, die am Arbeitsplatz wiederverwendet werden) und Schwachstellen in nicht aktualisierter Software (besonders VPN-Gateways, E-Mail-Server, ERP mit eigenem Hosting). Ransomware-Angriffe beginnen fast immer mit einem dieser drei Einstiegspunkte.

Reicht ein Antivirusprogramm oder brauche ich mehr? Antivirus ist nur eine Schicht. Moderne Unternehmensverteidigung steht auf sechs Säulen: (1) sicheres Login via 2FA/SSO, (2) aktualisierte Software, (3) EDR, (4) immutable Backups, (5) E-Mail-Gateway mit Anti-Phishing, (6) Mitarbeiterschulung. Ohne 2FA und Updates ist Antivirus nur marginal nützlich.

Was ist der Unterschied zwischen 2FA und Passkey? Klassisches 2FA (TOTP) ist zweifaktorig — Passwort + Einmalcode. Passkey (FIDO2/WebAuthn) ist passwortlos — der kryptografische Schlüssel kann weder ausgephisht noch abgehört werden. Passkey ist 2026 der empfohlene Standard für kritische Konten. 2FA per SMS ist die schwächste Form.

Was kostet die Erholung von einem Ransomware-Angriff? Reale Kosten für DACH-KMU mit 50–200 Mitarbeitern: 80.000–350.000 EUR (Downtime, Forensik, rechtliche Kosten, Neuinstallation, DSGVO-Bußgelder, Vertrauensverlust). Das Lösegeld macht nur 15–25 % der Gesamtkosten aus.

Wie oft sollte ich Backups erstellen und wo aufbewahren? Regel 3-2-1-1-0: 3 Kopien, 2 verschiedene Medien/Anbieter, 1 off-site, 1 offline/immutable, 0 Fehler beim Recovery-Test. Für kritische Daten: stündliche Incrementals mit 30-Tage-Retention. Backups müssen mindestens 1× jährlich getestet werden.