Monatsanfang, die Rechnung von Microsoft liegt im Postfach. 34 Lizenzen, ein Betrag, bei dem du kurz schluckst. Beschäftigt sind bei dir aber nur 30 Leute. Für wen bezahlst du die restlichen vier? Welcher Tarif steckt eigentlich hinter welchem Konto? Ehrlich gesagt weiß das in deiner Firma niemand so genau.

So geht es vielen Geschäftsführern in Köln und Bonn. Microsoft 365 läuft im Hintergrund, alle arbeiten damit. Irgendwann hat mal jemand Lizenzen gekauft, danach kamen immer neue dazu. Ob die Mischung noch zu deinem Betrieb passt, hat seitdem keiner mehr geprüft.

Die gute Nachricht vorweg. Microsoft 365 Lizenzen lassen sich mit überschaubarem Aufwand sortieren. Oft zahlst du danach weniger für Dinge, die keiner nutzt. Gleichzeitig bekommst du Schutzfunktionen, die dir heute vielleicht fehlen. Welche Tarife es gibt, wo die Unterschiede liegen und wie du die richtige Auswahl triffst, erfährst du hier.

Welche Microsoft 365 Lizenzen gibt es überhaupt?

Die vier Business-Tarife im Überblick

Microsoft 365 Lizenzen sind Nutzungsrechte, die du pro Person im Monat oder im Jahr bezahlst. Sie entscheiden, welche Programme, wie viel Speicher und welche Schutzfunktionen ein Mitarbeiter bekommt. Für Betriebe bis 300 Beschäftigte bietet Microsoft vier Business-Tarife an.¹ Die Preise gelten laut Microsoft pro Person und Monat im Jahresabo, zuzüglich Mehrwertsteuer (Stand November 2026).

• Business Basic für 6,07 € enthält E-Mail, Teams, Speicher in der Cloud sowie Word, Excel und Co. als Web- und Handyversion.¹
• Business Standard für 12,13 € bringt zusätzlich die klassischen Office-Programme für den Computer mit.²
• Business Premium für 19,06 € umfasst alles aus Standard plus umfangreiche Sicherheitsfunktionen für Geräte, Konten und Daten.³
• Apps for Business für 11,00 € liefert die Desktop-Programme, bietet laut Microsoft aber weder Teams-Chat noch Anrufe.¹

Was alle Tarife gemeinsam haben

Egal für welchen Tarif du dich entscheidest, bei maximal 300 Personen ist Schluss.¹ Wer mehr Mitarbeiter hat, braucht Microsoft 365 Lizenzen aus den Enterprise-Plänen. Für die meisten Betriebe rund um Köln und Bonn spielt diese Grenze aber keine Rolle. Jede Person bekommt außerdem 1 TB Cloudspeicher in OneDrive. Das Postfach fasst bei Basic, Standard und Premium jeweils 100 GB.¹

Inzwischen gehört bei Basic, Standard und Premium auch ein KI-Chat dazu, Microsoft nennt ihn Copilot Chat.¹ Für den vollen Copilot direkt in Word, Excel und Outlook zahlst du dagegen extra. Dazu später mehr.

Warum so viele Betriebe die falschen Microsoft 365 Lizenzen haben

Gewachsen statt geplant

In den meisten Firmen entsteht die Lizenzlandschaft nebenbei. Der erste Admin kauft Business Standard, weil das damals für alle passte. Neue Kollegen bekommen einfach dasselbe. Die Aushilfe im Lager auch, obwohl sie nur ab und zu eine Mail liest. Verlässt jemand die Firma, bleibt sein Konto oft aktiv, damit das Postfach erhalten bleibt. Die Lizenz läuft weiter.

Nach ein paar Jahren hast du so ein Sammelsurium an Microsoft 365 Lizenzen, das niemand mehr durchschaut. Jede einzelne Entscheidung war damals sinnvoll. Zusammen kosten sie dich jeden Monat Geld.

Die versteckte Lücke bei der Sicherheit

Das zweite Problem fällt weniger auf. Viele Betriebe haben bei den Microsoft 365 Lizenzen gespart, als die Sicherheit noch eine kleinere Rolle spielte. Business Basic und Standard bringen einen Grundschutz gegen Spam, Schadsoftware und gefährliche Links mit.¹ Die Verwaltung von Firmenhandys und Laptops gehört aber nicht dazu. Den Virenschutz Defender for Business sucht man dort ebenfalls vergeblich.¹

Also wird nachgerüstet, statt die Microsoft 365 Lizenzen anzupassen. Ein separater Virenscanner hier, ein Tool für die Handyverwaltung da. Am Ende zahlst du für mehrere Einzelprodukte, die nicht richtig zusammenarbeiten. Manchmal schützen sie trotzdem weniger als ein Paket, das alles schon an Bord hat.

Wo liegt der Unterschied zwischen Standard und Premium?

Was in Business Premium zusätzlich steckt

Bei den Büroprogrammen sind Standard und Premium gleich. Der Aufpreis von 6,93 € pro Person bezahlt vor allem zusätzliche Sicherheit.²³ Laut Microsoft enthält Premium unter anderem diese Bausteine.³

• Microsoft Intune verwaltet Laptops, Smartphones und Tablets zentral. Geht ein Gerät verloren, lassen sich die Firmendaten darauf aus der Ferne löschen.
• Microsoft Entra ID P1 schützt die Anmeldung. Mit dem sogenannten bedingten Zugriff legst du fest, von welchen Geräten und Orten aus sich jemand anmelden darf.
• Defender for Business ist ein Virenschutz, der auffälliges Verhalten auf Rechnern erkennt und Angriffe automatisch stoppen kann.
• Defender for Office 365 prüft Anhänge und Links in E-Mails noch gründlicher auf Phishing.
• Microsoft Purview hilft dabei, vertrauliche Dateien zu kennzeichnen und E-Mails zu verschlüsseln.

Premium oder Standard mit Zusatzschutz?

Manche Betriebe überlegen, bei Standard zu bleiben und nur den Virenschutz dazuzukaufen. Defender for Business gibt es laut Microsoft auch einzeln für 2,60 € pro Person und Monat.³ Zusammen mit Standard landest du dann bei 14,73 €. Bis zu Premium fehlen nur noch 4,33 €. Für diesen Unterschied bekommst du die Geräteverwaltung, den geschützten Login, den erweiterten Phishing-Schutz und die Kennzeichnung vertraulicher Daten dazu. Wer seine Microsoft 365 Lizenzen ohnehin neu sortiert, sollte diese Rechnung kennen.

Warum das für Geschäftsführer wichtig ist

Klingt nach Technik für die IT-Abteilung? Dann schau dir an, wie Angreifer heute vorgehen. Der Sicherheitsanbieter Sophos hat über 400 echte Angriffsfälle untersucht. In 56 Prozent davon haben sich die Täter schlicht mit gültigen Zugangsdaten angemeldet.⁴ Ein geklautes Passwort reicht in vielen Firmen also schon aus.

Genau hier setzt Premium an. Der bedingte Zugriff kann einen Login aus dem Ausland oder von einem unbekannten Gerät blockieren, selbst wenn das Passwort stimmt. Eine Garantie gegen jeden Angriff ist das natürlich nicht. Aber es macht Angreifern das Leben deutlich schwerer. Falls deine Cyberversicherung nach solchen Maßnahmen fragt, hast du außerdem gleich eine gute Antwort.

Wie du bei Microsoft 365 Lizenzen Geld sparst

Nicht jeder braucht dasselbe

Der wichtigste Spartipp ist einfach. Innerhalb der Grenze von 300 Personen lassen sich die Business-Tarife kombinieren. Nicht jede Person im Betrieb braucht dieselben Microsoft 365 Lizenzen. Der Kollege in der Werkstatt, der nur Dienstpläne abruft, kommt oft mit Business Basic aus. Die Buchhaltung mit vielen Excel-Tabellen braucht die Desktop-Programme. Wer mit sensiblen Kundendaten arbeitet oder viel unterwegs ist, profitiert am meisten vom Schutz in Premium.

Ein Punkt verdient dabei Aufmerksamkeit. Konten mit Basic oder Standard fehlen die Premium-Schutzfunktionen. Ein Angreifer sucht sich gern genau das Konto aus, das am schwächsten geschützt ist. Wer hier mischt, sollte sich also gut überlegen, welche Konten ein lohnendes Ziel für Angreifer sind.

Laufzeit, Teams und verwaiste Konten

Auch die Vertragsform macht einen Unterschied. Bei Business Basic kostet die monatlich kündbare Variante laut Microsoft 7,28 € statt 6,07 € im Jahresabo.² Für eine feste Belegschaft lohnt sich die Jahresbindung also fast immer. Für Saisonkräfte kann die flexible Variante trotzdem sinnvoll sein.

Weitere Ersparnis bringen die Varianten ohne Teams. In der EU bietet Microsoft die Tarife auch ohne Teams an, Business Basic kostet dann 4,67 € statt 6,07 €.¹ Das lohnt sich aber nur, wenn dein Team für Besprechungen ohnehin ein anderes Programm nutzt.

Der schnellste Hebel sind verwaiste Konten. Prüfe einmal im Quartal, welche Microsoft 365 Lizenzen noch an ehemaligen Mitarbeitern hängen. Das geht meist schnell, wenn Personalabteilung und IT kurz ihre Listen abgleichen. Für das Postfach gibt es meist eine Lösung ohne laufende Lizenz, etwa eine Archivierung. Lass das vorher fachlich prüfen, damit keine wichtigen Mails verloren gehen.

Was hat sich 2026 bei den Preisen geändert?

Preiserhöhung seit Juli

Zum 1. Juli 2026 hat Microsoft die Preise für Geschäftskunden angehoben. Laut dem IT-Fachblog BornCity stieg Business Basic um 16 Prozent, Business Standard um 12 Prozent. Der Preis für Business Premium blieb unverändert.⁵

Für dich bedeutet das ganz praktisch, dass der Abstand zwischen Standard und Premium kleiner geworden ist. Wer vor einem Jahr den Wechsel auf Premium zu teuer fand, sollte seine Microsoft 365 Lizenzen heute neu durchrechnen. Gerade wenn du nebenbei einzelne Sicherheitsprodukte bezahlst, kann sich das Bild komplett drehen.

Copilot als Zusatzpaket

Microsoft begründet die neuen Preise vor allem mit neuen KI-Funktionen.⁶ Der einfache Copilot Chat ist in Basic, Standard und Premium enthalten.¹ Den vollen Copilot, der direkt in deinen Dokumenten, Mails und Besprechungen mitarbeitet, buchst du als Microsoft 365 Copilot Business dazu. Microsoft nennt dafür derzeit einen Einstiegspreis von 15,60 € pro Person und Monat.¹ Für einige KI-Funktionen können zusätzlich nutzungsabhängige Kosten anfallen.¹

Microsoft bietet Premium auch direkt im Paket mit Copilot Business an, laut Preisliste für 27,73 € pro Person und Monat.¹ Brauchen das alle im Team? Wahrscheinlich nicht. Ein guter Weg ist, Copilot erst für wenige Personen zu buchen und zu beobachten, ob er dort wirklich Zeit spart. Die übrigen Microsoft 365 Lizenzen bleiben davon unberührt.

So findest du die passenden Microsoft 365 Lizenzen für deinen Betrieb

Erst die Bestandsaufnahme, dann der Tarif

Am Anfang steht eine ehrliche Liste. Wer arbeitet mit welchen Programmen? Wer braucht die Desktop-Versionen, wer kommt mit dem Browser aus? Welche Konten gehören zu Personen, die gar nicht mehr da sind? Welche Geräte nutzen deine Leute, auch private Handys?

Mit diesen Antworten lässt sich die Belegschaft grob in Gruppen einteilen. Typisch sind das Büro, der Außendienst, die Werkstatt oder das Lager sowie die Geschäftsführung selbst. Daraus ergibt sich, welche Microsoft 365 Lizenzen jede Gruppe braucht. Oft zeigt sich schon hier, dass ein Teil der Kosten gar nicht nötig wäre.

Am besten hältst du das Ergebnis in einer einfachen Tabelle fest. Pro Person gibt es eine Zeile mit Aufgabe, genutzten Programmen, Geräten und aktuellem Tarif. So siehst du auf einen Blick, wo Microsoft 365 Lizenzen zu groß oder zu klein gewählt sind. Die Tabelle hilft dir auch später. Fängt jemand neu an oder verlässt die Firma, ist sofort klar, welche Lizenz er bekommt oder welche frei wird.

Kosten ehrlich gegenüberstellen

Beim Preisvergleich zählen mehr als die reinen Lizenzkosten. Schreib auch auf, was du heute zusätzlich für Virenschutz, Gerätverwaltung oder E-Mail-Filter ausgibst. Stell diese Summe den Microsoft 365 Lizenzen mit Premium gegenüber. Erst dann siehst du, was dich ein Wechsel unterm Strich wirklich kostet.

Vor einem Angebot lohnen sich ein paar Fragen. Laufen deine bestehenden Verträge noch? Gibt es Kündigungsfristen bei anderen Sicherheitsprodukten? Wer richtet die neuen Schutzfunktionen ein? Premium bringt nämlich wenig, solange Intune und bedingter Zugriff nur gekauft, aber nie eingerichtet werden.

Ein Beispiel aus unserer Region

Ein Gedankenspiel mit einem Kölner Ingenieurbüro

Stell dir ein Ingenieurbüro in Köln mit 30 Beschäftigten vor. Alle Konten laufen auf Business Standard. Dazu kommen vier Lizenzen von ehemaligen Mitarbeitern, deren Postfächer man vorsichtshalber behalten hat. Für den Virenschutz bezahlt das Büro einen separaten Anbieter. Firmenhandys werden gar nicht verwaltet.

Bei der Bestandsaufnahme zeigt sich ein klares Bild. 22 Personen arbeiten im Büro mit Plänen, Angeboten und Kundendaten. Acht Kollegen sind meist auf Baustellen unterwegs und nutzen fast nur Mail und Teams auf dem Handy.

Was die Umstellung bringen kann

Die vier verwaisten Konten werden archiviert. Das spart bei Standard 48,52 € im Monat, also rund 582 € im Jahr.² Die acht Kollegen von der Baustelle wechseln auf Business Basic. Das spart weitere 48,48 € monatlich.¹² Die 22 Büroarbeitsplätze bekommen Premium, was gegenüber Standard rund 152 € im Monat mehr kostet.²³

Unterm Strich kosten die Microsoft 365 Lizenzen danach 467,88 € im Monat statt bisher 412,42 €.¹²³ Das Büro zahlt für Microsoft 365 also rund 55 € mehr als vorher. Dafür fällt der separate Virenschutz weg. Firmenhandys lassen sich bei Verlust sperren, verdächtige Logins lassen sich blockieren. Ob die Rechnung am Ende niedriger ausfällt, hängt davon ab, was die bisherigen Zusatzprodukte gekostet haben. Ganz sicher ist danach aber, wofür jeder Euro bezahlt wird. Gleichzeitig ist das Büro deutlich besser gegen den häufigsten Angriffsweg geschützt, den Login mit gestohlenem Passwort.

Deine nächsten Schritte mit IT-Deol

Der Lizenzcheck als Startpunkt

Du musst nicht alles auf einmal umstellen. Der erste Schritt ist ein Blick auf den Ist-Zustand. Genau dafür bietet IT-Deol aus Lohmar einen eigenen Lizenzcheck an. Gemeinsam mit dir wird geprüft, welche Microsoft 365 Lizenzen in deinem Betrieb laufen, wer sie wirklich nutzt und welche Zusatzprodukte daneben bezahlt werden. Danach weißt du, wo Geld verloren geht und wo Schutz fehlt.

Viele Betriebe in Köln und Bonn sind überrascht, wie viel sich bei den Microsoft 365 Lizenzen schon mit kleinen Änderungen bewegen lässt. Manchmal sind es nur ein paar verwaiste Konten. Manchmal lohnt sich der Wechsel auf ein ganz anderes Paket.

Sicherheit gleich richtig einrichten

Neue Microsoft 365 Lizenzen allein machen deinen Betrieb noch nicht sicherer. Die Schutzfunktionen müssen eingerichtet, getestet und gepflegt werden. Genau das übernimmt IT-Deol im Rahmen seiner Managed Services. So holst du aus jedem bezahlten Euro auch den versprochenen Schutz heraus.

Am Ende stehen Microsoft 365 Lizenzen, die zu deinem Betrieb passen. Du zahlst für das, was deine Leute wirklich brauchen. Deine Daten sind dabei besser geschützt als vorher.

---

Häufige Fragen zum Thema Microsoft 365 Lizenzen

Was kostet Microsoft 365 für ein Unternehmen pro Mitarbeiter?

Laut Microsoft kosten die Business-Tarife im Jahresabo zwischen 6,07 € und 19,06 € pro Person und Monat zuzüglich Mehrwertsteuer (Stand November 2026). Business Basic ist die günstigste Stufe, Business Standard liegt bei 12,13 € und Business Premium bei 19,06 €. Welche Microsoft 365 Lizenzen sich für deinen Betrieb rechnen, klärt IT-Deol aus Lohmar mit Unternehmen in Köln und Bonn im Lizenzcheck.

Was ist der Unterschied zwischen Microsoft 365 Business Basic, Standard und Premium?

Business Basic enthält E-Mail, Teams, Cloudspeicher sowie Word, Excel und PowerPoint als Web- und Handyversion. Business Standard bringt zusätzlich die Office-Programme für den Computer mit. Business Premium umfasst alles aus Standard plus erweiterte Sicherheit, etwa eine zentrale Verwaltung der Firmengeräte und einen Virenschutz für die Rechner. IT-Deol aus Lohmar hilft Firmen in der Region dabei, die passenden Microsoft 365 Lizenzen für jede Aufgabe auszuwählen.

Brauche ich für jeden Mitarbeiter ein eigenes Microsoft 365 Abo?

Ja, die Business-Tarife werden pro Person abgerechnet. Jeder Mitarbeiter mit eigenem Postfach und eigenen Programmen braucht deshalb eine eigene Lizenz. Microsoft 365 Lizenzen lassen sich aber innerhalb einer Firma mit bis zu 300 Personen frei auf die Beschäftigten verteilen. IT-Deol aus Lohmar zeigt Betrieben in Köln und Bonn, wie viele Zugänge sie wirklich benötigen.

Auf wie vielen Geräten darf ein Mitarbeiter Microsoft 365 installieren?

Laut Microsoft darf jede Person die Programme auf bis zu 15 Geräten installieren. Das sind fünf Computer, fünf Tablets sowie fünf Smartphones. Für Büro, Homeoffice und Außendienst reichen Microsoft 365 Lizenzen damit in aller Regel aus. IT-Deol aus Lohmar richtet die Geräte für Unternehmen in der Region so ein, dass sie sicher verwaltet werden.

Kann ich in meiner Firma verschiedene Microsoft 365 Pakete kombinieren?

Ja, innerhalb der Business-Familie lassen sich die Tarife kombinieren, insgesamt sind bis zu 300 Personen möglich. Die Werkstatt bekommt dann zum Beispiel Business Basic, das Büro Business Standard oder Premium. Eine gut durchdachte Mischung der Microsoft 365 Lizenzen spart oft spürbar Geld. IT-Deol aus Lohmar plant solche Mischungen für Betriebe in Köln und Bonn.

Kann ich Microsoft 365 für Unternehmen monatlich kündigen?

Microsoft bietet drei Varianten an. Es gibt ein monatlich kündbares Abo, ein Jahresabo mit monatlicher Zahlung sowie ein Jahresabo mit Vorauszahlung. Das Monatsabo ist flexibel, kostet aber mehr. Bei Business Basic zahlst du dann 7,28 € statt 6,07 € pro Person und Monat. Wer Microsoft 365 Lizenzen im Jahresabo vorzeitig kündigt, muss je nach Variante mit Kosten rechnen. IT-Deol aus Lohmar berät dich, welche Laufzeit für deine Belegschaft passt.

Was passiert mit dem Microsoft 365 Zugang, wenn ein Mitarbeiter die Firma verlässt?

Die Lizenz endet nicht automatisch mit dem Arbeitsvertrag. Sie läuft weiter, bis jemand sie im Verwaltungsbereich vom Konto entfernt. Danach kann sie einer neuen Person zugewiesen werden. Vorher solltest du klären, was mit dem Postfach und den Dateien passieren soll. Verwaiste Microsoft 365 Lizenzen gehören zu den häufigsten Kostenfallen. IT-Deol aus Lohmar spürt sie für Firmen in Köln und Bonn im Lizenzcheck auf.

Ist Microsoft Teams bei Microsoft 365 für Unternehmen dabei?

In Business Basic, Standard und Premium ist Teams enthalten. In der EU gibt es diese Tarife auch ohne Teams zu einem günstigeren Preis, Business Basic kostet dann zum Beispiel 4,67 € statt 6,07 €. Diese Microsoft 365 Lizenzen lohnen sich aber nur, wenn deine Firma für Besprechungen ein anderes Programm nutzt. IT-Deol aus Lohmar prüft mit dir, welche Variante in deinem Betrieb sinnvoll ist.

Ist Copilot in Microsoft 365 für Unternehmen schon enthalten?

Ein einfacher KI-Chat namens Copilot Chat gehört laut Microsoft zu Business Basic, Standard und Premium. Den vollen Copilot direkt in Word, Excel und Outlook gibt es als Zusatzpaket Copilot Business, derzeit ab 15,60 € pro Person und Monat. Du musst ihn nicht für alle Microsoft 365 Lizenzen buchen. IT-Deol aus Lohmar hilft Unternehmen in der Region, Copilot erst mit wenigen Personen zu testen.

Wie finde ich heraus, welches Microsoft 365 Paket meine Firma wirklich braucht?

Am besten mit einem ehrlichen Blick auf den Ist-Zustand. Wer arbeitet mit welchen Programmen, wer nutzt welche Geräte, welche Konten gehören zu ehemaligen Mitarbeitern? IT-Deol aus Lohmar bietet dafür einen Lizenzcheck an und stellt deine Microsoft 365 Lizenzen für Betriebe in Köln und Bonn passend zusammen. Das Erstgespräch ist kostenlos, ohne Fachchinesisch und ohne Verpflichtung.

---

Quellen

1 Microsoft, Microsoft 365 for Business Pläne und Preise, Primärquelle: https://www.microsoft.com/de-de/microsoft-365/business/microsoft-365-plans-and-pricing

2 Microsoft, Microsoft 365 Business Basic und Business Standard, Primärquelle: https://www.microsoft.com/de-at/microsoft-365/business/microsoft-365-business-basic

3 Microsoft, Sicherheit für kleine und mittlere Unternehmen, Preise, Primärquelle: https://www.microsoft.com/de-de/security/small-medium-business/pricing?market=de

4 Sophos, Pressemitteilung zum Sophos Active Adversary Report 2025, Primärquelle: https://www.sophos.com/de-de/press/press-releases/2025/04/sophos-report-56-sophos-ir-and-mdr-cases-adversaries-logged-instead

5 BornCity, Microsoft 365 Preiserhöhungen bis 33 % ab 1. Juli, Primärquelle: https://borncity.com/news/microsoft-365-preiserhoehungen-bis-33-ab-1-juli/

6 Netzwoche, Microsoft schraubt Preise für 365-Suiten hoch, Primärquelle: https://www.netzwoche.ch/news/2025-12-09/microsoft-schraubt-preise-fuer-365-suiten-hoch

Freitag, kurz nach drei. In deinem Postfach liegt eine Mail von deinem größten Kunden, einem Industriebetrieb aus dem Kölner Norden. Im Anhang steckt ein Fragebogen mit vierzig Fragen zu Cybersicherheit, Meldewegen und Lieferkette. Ganz oben steht NIS-2. Du liest die erste Seite zweimal und denkst nur „Davon hab ich noch nie gehört.“

So geht es gerade vielen Geschäftsführern in Köln, Bonn und im Rhein-Sieg-Kreis. In den letzten zwei Jahren sind mehrere Gesetze dazugekommen, die direkt oder über Umwege die IT kleiner Firmen betreffen. Das Sammelwort dafür heißt IT-Compliance. Es klingt nach Konzern, nach Rechtsabteilung und nach Papierbergen.

Die gute Nachricht vorweg. Für die meisten kleinen und mittleren Betriebe ist IT-Compliance gut machbar, sobald klar ist, welche Regeln wirklich gelten. Genau diesen Überblick bekommst du hier, ohne Juristendeutsch und mit klaren Stichtagen.

Was bedeutet IT-Compliance für ein kleines Unternehmen?

IT-Compliance einfach erklärt

IT-Compliance heißt, dass deine IT die Gesetze und Verträge einhält, die für dein Unternehmen gelten. Dazu gehören Datenschutz, Cybersicherheit, Rechnungsstellung und der Umgang mit KI. In manchen Fällen zählt auch die Barrierefreiheit deiner Website dazu. Am Ende geht es vor allem um Nachweise. Du musst zeigen können, dass du die Risiken kennst und etwas dagegen tust.

Diese Gesetze gehören aktuell zur IT-Compliance

Wer sich mit IT-Compliance beschäftigt, stößt im Moment auf sieben Regelwerke.

• die Datenschutz-Grundverordnung (DSGVO) als Basis für alle Betriebe
• das NIS-2-Umsetzungsgesetz für mehr Cybersicherheit
• die Pflicht zur E-Rechnung aus dem Umsatzsteuerrecht
• die europäische KI-Verordnung
• der Data Act für Daten und Cloud-Dienste
• das Barrierefreiheitsstärkungsgesetz für digitale Angebote an Verbraucher
• der Cyber Resilience Act für Produkte mit Software

Nicht jedes Gesetz trifft jeden Betrieb. Für einen Handwerksbetrieb mit zwölf Leuten zählen oft nur zwei oder drei davon. Welche das sind, findest du mit ein paar einfachen Fragen heraus. Die stehen weiter unten.

NIS-2 betrifft dich auch dann, wenn du gar nicht unter das Gesetz fällst

Wer direkt betroffen ist

Seit dem 6. Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz. Bundesweit müssen rund 30.000 Unternehmen neue Sicherheitsmaßnahmen umsetzen und Vorfälle melden¹. Betroffen sind Firmen aus bestimmten Sektoren wie Energie, Gesundheit, Transport oder dem verarbeitenden Gewerbe, sobald sie mindestens 50 Beschäftigte haben oder Jahresumsatz und Bilanzsumme jeweils über zehn Millionen Euro liegen. Wer dazugehört, muss einen erheblichen Sicherheitsvorfall innerhalb von 24 Stunden melden, nach 72 Stunden nachlegen und nach einem Monat einen Abschlussbericht liefern².

Eigentlich hätten sich alle betroffenen Firmen bis zum 6. März 2026 beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren müssen. Weil ein erheblicher Teil das nicht geschafft hatte, setzte das BSI eine Nachfrist bis zum 31. Juli 2026³. Auch die ist inzwischen vorbei. Wer betroffen ist und sich noch nicht registriert hat, sollte das sofort nachholen. Das BSI bietet dafür eine kostenlose Online-Betroffenheitsprüfung an. Halte das Ergebnis schriftlich fest, auch wenn es „nicht betroffen“ lautet³. Für deine IT-Compliance zählt dieser Nachweis genauso wie die Registrierung selbst.

Warum die Lieferkette kleine Firmen mitzieht

Jetzt wird es für kleine Betriebe spannend. Das Gesetz verlangt von betroffenen Unternehmen, auch die Sicherheit ihrer Lieferkette im Blick zu behalten, einschließlich ihrer direkten Anbieter und Dienstleister⁴. In der Praxis heißt das, dass dein Großkunde in Köln wissen will, wie du seine Daten schützt. Er schickt Fragebögen, schreibt Sicherheitsklauseln in Verträge oder will Nachweise sehen.

Du fällst vielleicht gar nicht unter NIS-2 und musst trotzdem liefern. Das fühlt sich ungefähr so an, als müsste ein Schreiner plötzlich für jede Schraube ein Prüfzeugnis vorlegen. Ärgerlich, aber lösbar. Wer bei der IT-Compliance sauber aufgestellt ist, sichert sich seinen Platz in der Lieferkette. Wer keine Antworten hat, setzt im schlimmsten Fall den Auftrag aufs Spiel.

Was die Geschäftsführung persönlich betrifft

Für betroffene Unternehmen legt das BSI-Gesetz die Verantwortung ausdrücklich in die Hände der Geschäftsleitung. Sie muss die Sicherheitsmaßnahmen umsetzen, deren Umsetzung überwachen und regelmäßig selbst an Schulungen teilnehmen. Verletzt sie diese Pflichten, haftet sie gegenüber der eigenen Firma für den entstandenen Schaden⁵. Diese Aufgabe lässt sich auch mit einem guten IT-Dienstleister an der Seite nicht komplett abgeben. Genau das unterscheidet die neue IT-Compliance von früheren Regeln. Wer unsicher ist, ob das eigene Unternehmen betroffen ist, kann sich in Nordrhein-Westfalen kostenlos bei einer Anlaufstelle des Landes beraten lassen, die sich gezielt an kleine und mittlere Unternehmen richtet¹.

Die DSGVO bleibt das Fundament jeder IT-Compliance

Was das Gesetz von deiner IT verlangt

Die Datenschutz-Grundverordnung gilt für jedes Unternehmen, das personenbezogene Daten verarbeitet. Das sind praktisch alle. Kundendaten, Bewerbungen, Lohnabrechnungen. Die DSGVO verlangt geeignete technische und organisatorische Maßnahmen, damit diese Daten sicher sind. Wer die Sicherheit vernachlässigt, riskiert Bußgelder bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes. Bei Verstößen gegen die Grundsätze der Verarbeitung sind es sogar bis zu 20 Millionen Euro oder vier Prozent. Die Behörde muss ihre Strafe dabei immer verhältnismäßig bemessen⁶.

Wo kleine Betriebe genauer hinschauen sollten

Die Höchstbeträge sind Obergrenzen. Ärger kann es trotzdem schnell geben, etwa nach einem Hackerangriff mit Datenabfluss. Dann fragt die Aufsichtsbehörde, welche Schutzmaßnahmen vorhanden waren. Spätestens in diesem Moment zeigt sich, ob es die nötigen Unterlagen gibt. Gemeint sind ein dokumentiertes Backup-Konzept, sauber vergebene Zugriffsrechte, regelmäßige Updates und Verträge mit Dienstleistern, die in deinem Auftrag Daten verarbeiten.

Diese Grundlagen decken gleichzeitig einen großen Teil dessen ab, was NIS-2 und viele Kundenfragebögen wissen wollen. Wer hier ordentlich arbeitet, erledigt also mehrere Punkte seiner IT-Compliance auf einen Schlag.

Die E-Rechnung wird im Januar 2027 für viele zur Pflicht

Wer ab 2027 umstellen muss

„Ich wollte doch einfach nur Rechnungen schreiben.“ So ähnlich klingt es oft, wenn das Thema E-Rechnung auf den Tisch kommt. Seit dem 1. Januar 2025 müssen alle Unternehmen in Deutschland E-Rechnungen von anderen Firmen empfangen können. Ab dem 1. Januar 2027 dürfen nur noch Betriebe mit höchstens 800.000 Euro Gesamtumsatz im Jahr 2026 Papierrechnungen oder ein normales PDF verschicken, wenn der Empfänger zustimmt. Ab 2028 gilt die Pflicht für alle Geschäfte zwischen inländischen Unternehmen. Eine PDF-Rechnung per E-Mail zählt übrigens schon heute nur als „sonstige Rechnung“. Ausgenommen bleiben unter anderem Kleinbetragsrechnungen. Kleinunternehmer müssen E-Rechnungen nicht ausstellen, wohl aber empfangen können⁷.

Warum die E-Rechnung zur IT-Compliance gehört

Eine E-Rechnung ist eine strukturierte Datei, die Programme automatisch auslesen können. Deine Buchhaltungssoftware muss sie erzeugen, empfangen und ordnungsgemäß archivieren. Wer Rechnungen heute noch mit einer Word-Vorlage schreibt oder ein älteres Warenwirtschaftssystem nutzt, sollte jetzt prüfen, ob das Programm die neuen Formate beherrscht. Bis Januar bleiben nur noch wenige Wochen. Auch das Postfach für eingehende Rechnungen gehört zur IT-Compliance, denn dort müssen die Dateien zuverlässig ankommen und in der Buchhaltung landen.

Was ändern die KI-Verordnung und der Data Act im Alltag?

KI im Team braucht klare Regeln

Ob ChatGPT für Angebotstexte oder ein KI-Werkzeug in der Buchhaltung, künstliche Intelligenz ist in vielen Büros angekommen. Die europäische KI-Verordnung verlangt von Unternehmen, die KI einsetzen, dass sie die KI-Kompetenz ihrer Leute fördern. Diese Pflicht wurde im Sommer 2026 durch den sogenannten Digital-Omnibus abgeschwächt, sie gilt aber weiterhin. Die strengen Regeln für Hochrisiko-KI in besonders sensiblen Bereichen greifen jetzt erst ab dem 2. Dezember 2027 oder dem 2. August 2028. Unverändert bleiben die Transparenzpflichten für Nutzer, die Deepfakes verwenden⁸.

Für den normalen Büroalltag bedeutet das vor allem zwei Dinge. Dein Team braucht eine kurze KI-Richtlinie und eine Schulung, damit niemand Kundendaten in einen öffentlichen Chatbot kopiert. Beides ist schnell umgesetzt und ein solider Baustein deiner IT-Compliance.

Mehr Freiheit beim Wechsel des Cloud-Anbieters

Der Data Act gilt seit dem 12. September 2025. Er erleichtert den Wechsel zwischen Cloud-Anbietern und die parallele Nutzung mehrerer Dienste. Ab dem 12. Januar 2027 dürfen Anbieter keine Wechselentgelte mehr verlangen⁹. Für deine IT-Compliance ist das eher eine gute Nachricht als eine neue Last. Wer mit seinem Cloud-Speicher oder seiner Branchensoftware unzufrieden ist, kommt künftig leichter raus. Ein Blick in die eigenen Verträge lohnt sich trotzdem, damit du weißt, welche Laufzeiten und Kündigungsfristen gelten.

Barrierefreiheit und Cyber Resilience Act betreffen mehr Firmen als gedacht

Dein Online-Shop muss für alle nutzbar sein

Seit dem 28. Juni 2025 verpflichtet das Barrierefreiheitsstärkungsgesetz erstmals auch private Unternehmen zur Barrierefreiheit. Betroffen sind bestimmte Produkte und Dienstleistungen für Verbraucher, darunter Online-Shops. Kleinstunternehmen mit weniger als zehn Beschäftigten und höchstens zwei Millionen Euro Jahresumsatz oder Bilanzsumme sind bei Dienstleistungen ausgenommen. Für Produkte gilt diese Ausnahme nicht¹⁰. Wer in Bonn einen Webshop für Privatkunden betreibt, sollte also prüfen, ob Kontraste, Schriftgrößen, Formulare und die Bedienung per Tastatur den Anforderungen genügen. Barrierefreiheit gehört damit für viele Shopbetreiber ganz selbstverständlich zur IT-Compliance.

Wenn du Geräte oder Software verkaufst

Der Cyber Resilience Act richtet sich an Hersteller und Anbieter von Produkten mit digitalen Komponenten. Dazu zählen vernetzte Maschinen genauso wie eine selbst entwickelte App. Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Die vollständigen Sicherheitsanforderungen greifen ab 2027¹¹.

Viele Unternehmen haben das noch gar nicht auf dem Schirm. In einer Bitkom-Umfrage unter 1.003 Firmen ab zehn Beschäftigten wussten nur 29 Prozent, was der Cyber Resilience Act für sie bedeutet. 28 Prozent kannten ihn überhaupt nicht¹². Gerade Maschinenbauer und Softwarehäuser im Rheinland sollten deshalb früh klären, welche ihrer Produkte betroffen sind. Ein eingespielter Ablauf für Sicherheitsmeldungen gehört dann fest zur IT-Compliance.

So bringst du Ordnung in deine IT-Compliance

Fünf Fragen für den schnellen Überblick

Mit diesen fünf Fragen startest du deine IT-Compliance und grenzt ein, welche Regeln für dich gelten.

• Arbeitest du in einem NIS-2-Sektor mit mindestens 50 Beschäftigten oder mehr als zehn Millionen Euro Umsatz? Oder belieferst du Kunden, die darunter fallen?
• Lag dein Gesamtumsatz im Jahr 2026 über 800.000 Euro?
• Verkaufst du online an Privatkunden?
• Bringst du Geräte oder Software mit digitalen Funktionen auf den Markt?
• Nutzt dein Team KI-Tools wie ChatGPT oder Copilot?

Jedes Ja markiert ein Gesetz, das du dir genauer ansehen solltest. Die DSGVO gilt ohnehin für alle.

Vom Überblick zum Plan

Am Anfang steht eine Bestandsaufnahme deiner Systeme, Benutzerkonten und Dienstleister. Dann legst du fest, wer im Haus für welche Aufgabe zuständig ist. Es folgen die technischen Grundlagen wie Backups, Updates, Virenschutz und eine Anmeldung mit zweitem Faktor. Schulungen fürs Team sorgen dafür, dass weniger Leute auf Phishing-Mails hereinfallen. Zum Schluss dokumentierst du alles so, dass du es einem Kunden, einer Behörde oder deiner Versicherung vorlegen kannst. Das ist der Kern einer praktischen IT-Compliance.

Wovon der Aufwand abhängt

Was IT-Compliance kostet, lässt sich pauschal nicht sagen. Entscheidend sind die Zahl der Arbeitsplätze, die Menge an Programmen und Cloud-Diensten, der Stand deiner Dokumentation und die Frage, welche Gesetze überhaupt greifen. Ein Büro mit 15 Rechnern und Microsoft 365 hat einen ganz anderen Aufwand als ein Zulieferer mit eigener Fertigung. Frag vor einem Angebot deshalb nach, welche Leistungen einmalig anfallen und welche laufend.

Wo die Grenzen liegen

Ehrlich gesagt kann kein IT-Dienstleister jede Rechtsfrage der IT-Compliance klären. Ob dein Betrieb unter NIS-2 fällt, ist im Zweifel eine juristische Bewertung. IT-Deol kümmert sich um die technische Seite. Bei Auslegungsfragen gehört ein Anwalt oder die Anlaufstelle des Landes mit an den Tisch. Dazu kommt, dass sich die Regeln bewegen. Der Digital-Omnibus hat gerade erst Fristen der KI-Verordnung verschoben. Was davon in zwei Jahren noch gilt, kann heute niemand sicher sagen.

Ein Beispiel aus unserer Region

Ein Gedankenspiel aus dem Rhein-Sieg-Kreis

Stell dir einen Metallbaubetrieb in Siegburg mit 28 Beschäftigten vor. Er fertigt Bauteile für einen großen Maschinenbauer in Köln, der unter NIS-2 fällt. Eines Tages kommt der Fragebogen. Wie werden Backups gemacht? Gibt es eine Anmeldung mit zweitem Faktor? Wer meldet einen Angriff und wie schnell?

Beim Durchlesen merkt der Inhaber, dass vieles schon da ist. Aufgeschrieben ist davon aber kaum etwas. Mit einem IT-Partner geht er die Fragen Punkt für Punkt durch. Fehlende Bausteine wie die Zwei-Faktor-Anmeldung für das E-Mail-Postfach kommen dazu, ein einfacher Notfallplan entsteht. Nebenbei taucht die E-Rechnung auf, denn der Umsatz liegt deutlich über 800.000 Euro. Also wandert auch die Buchhaltungssoftware mit auf die Liste. Am Ende gibt es einen Ordner, mit dem der nächste Fragebogen an einem Nachmittag erledigt ist. So könnte IT-Compliance im echten Betriebsalltag aussehen.

Deine nächsten Schritte mit IT-Deol

So unterstützt dich IT-Deol in Köln und Bonn

IT-Deol aus Lohmar begleitet kleine und mittlere Unternehmen in Köln, Bonn und dem Rhein-Sieg-Kreis bei der technischen Seite der IT-Compliance. Dazu gehören Managed Security Services, technische Schutzmaßnahmen, Security-Awareness-Trainings mit Phishing-Simulationen, der sichere Betrieb von Microsoft 365 und Schulungen zur KI-Kompetenz. Du musst das Thema also nicht allein stemmen. Schon ein erstes Gespräch zeigt, welche Gesetze für dich gelten und wo du bereits gut aufgestellt bist.

---

Häufige Fragen zum Thema IT-Compliance

Welche Gesetze muss ich als kleine Firma bei meinen Computern und Programmen beachten?

Das hängt von deinem Betrieb ab. Die Datenschutzregeln gelten für jede Firma. Dazu kommen je nach Größe, Branche und Kundschaft Vorgaben zur Cybersicherheit, zur elektronischen Rechnung, zum Einsatz von KI oder zur Barrierefreiheit deines Onlineshops. All diese Regeln zusammen nennt man IT-Compliance. IT-Deol aus Lohmar findet mit dir heraus, welche davon für deinen Betrieb in Köln oder Bonn wirklich gelten.

Mein Großkunde schickt mir einen Fragebogen zur Datensicherheit. Was mache ich jetzt?

Erst mal durchatmen. Viele große Firmen müssen seit Ende 2025 auch die Sicherheit ihrer Zulieferer im Blick behalten und fragen deshalb nach Backups, Zugriffsrechten oder Notfallplänen. Geh die Fragen in Ruhe durch und schreib auf, was es schon gibt. Lücken lassen sich meist schnell schließen. IT-Deol aus Lohmar hilft Betrieben im Rheinland dabei, diese Fragebögen sauber zu beantworten und die eigene IT-Compliance nachweisbar zu machen.

Hafte ich als Geschäftsführer persönlich, wenn meine Firma gehackt wird?

Bei Unternehmen, die unter das neue BSI-Gesetz fallen, muss die Geschäftsleitung die Sicherheitsmaßnahmen umsetzen, überwachen und sich regelmäßig schulen lassen. Verletzt sie diese Pflichten, haftet sie gegenüber der eigenen Firma für den Schaden. Auch bei kleineren Betrieben hilft eine dokumentierte IT-Compliance, im Ernstfall zu zeigen, dass du deine Sorgfaltspflichten ernst genommen hast. Für die rechtliche Bewertung im Einzelfall ist ein Anwalt die richtige Adresse.

Darf ich meine Rechnungen ab 2027 noch als PDF per Mail verschicken?

Das hängt von deinem Umsatz ab. Lag dein Gesamtumsatz 2026 über 800.000 Euro, musst du ab dem 1. Januar 2027 strukturierte E-Rechnungen an andere Firmen schicken. Kleinere Betriebe dürfen noch bis Ende 2027 Papier oder PDF nutzen, wenn der Empfänger zustimmt. Empfangen können muss jede Firma solche Rechnungen schon seit 2025. Die passende Software gehört damit zur IT-Compliance. IT-Deol prüft mit dir, ob deine Programme bereit sind.

Dürfen meine Mitarbeiter ChatGPT im Büro einfach so benutzen?

Grundsätzlich ja. Die europäische KI-Verordnung verlangt aber, dass Firmen das Wissen ihrer Leute im Umgang mit KI fördern. Sinnvoll sind eine kurze schriftliche Richtlinie und eine Schulung, damit niemand Kundendaten in öffentliche Chatbots kopiert. Beides ist schnell umgesetzt und ein wichtiger Teil deiner IT-Compliance. IT-Deol aus Lohmar bietet dafür Schulungen zur KI-Kompetenz für Teams in Köln, Bonn und dem Rhein-Sieg-Kreis an.

Muss mein Onlineshop auch für Menschen mit Behinderung gut nutzbar sein?

Wenn du online an Privatkunden verkaufst, sehr wahrscheinlich ja. Seit Juni 2025 gilt das Barrierefreiheitsstärkungsgesetz auch für private Unternehmen. Ausgenommen sind nur Kleinstunternehmen mit weniger als zehn Beschäftigten bei Dienstleistungen. Prüfe Kontraste, Schriftgrößen, Formulare und die Bedienung per Tastatur. Damit gehört die Gestaltung deiner Website ebenfalls zur IT-Compliance. IT-Deol kann dir Ansprechpartner für eine fachliche Prüfung nennen.

Was passiert, wenn nach einem Hackerangriff Kundendaten aus meiner Firma verschwunden sind?

Dann musst du den Vorfall in der Regel der Datenschutzbehörde melden, die anschließend nach deinen Schutzmaßnahmen fragt. Fehlen Backups, saubere Zugriffsrechte oder aktuelle Updates, drohen Bußgelder. Die Behörde bemisst sie nach Schwere und Umständen des Falls. Eine gelebte IT-Compliance mit dokumentierten Maßnahmen ist deshalb dein bester Schutz. IT-Deol aus Lohmar sichert die IT von Betrieben in Köln und Bonn mit Managed Security Services ab.

Wie finde ich heraus, ob die neuen Sicherheitsgesetze aus Brüssel für meinen Betrieb gelten?

Für das neue Cybersicherheitsgesetz NIS-2 bietet das BSI eine kostenlose Online-Prüfung an. In Nordrhein-Westfalen gibt es zusätzlich eine kostenfreie Anlaufstelle des Landes für kleine und mittlere Unternehmen. Halte das Ergebnis schriftlich fest, auch wenn du nicht betroffen bist. Dieser Nachweis ist ein erster Baustein deiner IT-Compliance. IT-Deol unterstützt dich anschließend bei der technischen Umsetzung.

Was kostet es, die IT in meiner Firma gesetzeskonform aufzustellen?

Eine pauschale Zahl gibt es nicht. Der Aufwand hängt von der Zahl der Arbeitsplätze, den genutzten Programmen und Cloud-Diensten, dem Stand deiner Dokumentation und den geltenden Gesetzen ab. Frag vor einem Angebot nach, welche Leistungen einmalig anfallen und welche laufend. IT-Deol aus Lohmar schaut sich deine Ausgangslage an und erstellt dir ein Angebot für deine IT-Compliance, das zu deinem Betrieb passt.

Wie fange ich an, wenn ich bei den ganzen neuen Vorschriften den Überblick verloren habe?

Mit einer ehrlichen Bestandsaufnahme. Schreib auf, welche Systeme, Benutzerkonten und Dienstleister es gibt. Kläre dann mit wenigen Fragen, welche Gesetze für dich gelten. Danach arbeitest du die Punkte in Ruhe nacheinander ab. Du musst das nicht allein machen. IT-Deol aus Lohmar begleitet kleine und mittlere Unternehmen in Köln, Bonn und dem Rhein-Sieg-Kreis Schritt für Schritt zu einer verständlichen IT-Compliance, ohne Fachchinesisch und ohne Verpflichtung.

---

Quellen

1 IHK Aachen, NIS-2 Neue Pflichten für Unternehmen, Primärquelle: https://www.ihk.de/aachen/nis2

2 IHK Wuppertal-Solingen-Remscheid, NIS-2-Richtlinie Das kommt auf betroffene Unternehmen zu, Primärquelle: https://www.ihk.de/bergische/innovation-und-umwelt/innovation-und-technologie/innovation-und-technologie-industrie-digitalisierung/it-sicherheit/nis-2-richtlinie-das-kommt-auf-betroffene-unternehmen-zu-6272172

3 IHK Bodensee-Oberschwaben, NIS-2 Registrierungspflicht beim BSI bis 31. Juli 2026, Primärquelle: https://www.ihk.de/bodensee-oberschwaben/innovation/e-commerce-und-e-business/news/nis-2-registrierungspflicht-beim-bsi-bis-31-juli-2026-7093990

4 Bundesministerium der Justiz, BSI-Gesetz § 30 Risikomanagementmaßnahmen, Primärquelle: https://www.gesetze-im-internet.de/bsig_2025/__30.html

5 Bundesministerium der Justiz, BSI-Gesetz § 38 Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen, Primärquelle: https://www.gesetze-im-internet.de/bsig_2025/__38.html

6 Wissenschaftliche Dienste des Deutschen Bundestages, Sanktionen bei Verstößen gegen die DSGVO (WD 3 111/18), Primärquelle: https://www.bundestag.de/resource/blob/560930/8db4ab7b083ff142d9e9b08ebba0943c/WD-3-111-18-pdf-data.pdf

7 IHK Köln, E-Rechnung Einführungsschreiben und FAQs des BMF, Primärquelle: https://www.ihk.de/koeln/hauptnavigation/recht-steuern/recht/e-rechnungen-5943094

8 IHK Lüneburg-Wolfsburg, Digital-Omnibus-Verordnung zur KI in Kraft getreten (03.08.2026), Primärquelle: https://www.ihk.de/ihklw/produkte/beratung-und-service/ecommerce-und-internet/digital-omnibus-verordnung-zur-ki-tritt-in-kraft-7142858

9 Bundesnetzagentur, Factsheet Data Act auf einen Blick, Primärquelle: https://www.bundesnetzagentur.de/DE/Fachthemen/Digitales/DataAct/DL/Factsheet1.pdf

10 IHK Bonn/Rhein-Sieg, Merkblatt Barrierefreiheitsstärkungsgesetz, Primärquelle: https://www.ihk-bonn.de/fileadmin/dokumente/Downloads/Recht_und_Steuern/Recht_Allgemein/Barrierefreiheitsstaerkungsgesetz.pdf

11 IHK Nürnberg für Mittelfranken, Cyber Resilience Act (CRA) Meldepflichten ab 11. September 2026, Primärquelle: https://www.ihk-nuernberg.de/meldungen/details/cyber-resilience-act-cra-meldepflichten-ab-11-september-2026

12 Bitkom, Cyber Resilience Act Nur 3 von 10 Unternehmen sind vorbereitet (10.09.2026), Primärquelle: https://www.bitkom.org/Presse/Presseinformation/Cyber-Resilience-Act-3-von-10-Unternehmen-vorbereitet

Es ist Donnerstagabend, kurz nach zehn. Dein Büro in Köln ist längst leer, die Rechner laufen im Ruhemodus. Irgendwo in Osteuropa tippt jemand das Passwort deiner Buchhalterin ein. Er kommt problemlos rein, schaut sich in Ruhe um und kopiert ein paar Ordner. Am nächsten Morgen startet alles wie immer. Niemand merkt etwas. Vielleicht auch eine ganze Woche lang nicht.

Klingt nach Hollywood? Leider ist genau das bei vielen Angriffen auf kleine und mittlere Unternehmen der Normalfall, auch hier in Köln und Bonn. Die Täter brechen selten mit Getöse ein. Sie schleichen sich leise rein und warten auf den passenden Moment.

Die gute Nachricht vorweg. Du kannst solche Eindringlinge sichtbar machen, lange bevor sie echten Schaden anrichten. Das Werkzeug dafür heißt SIEM. Dafür brauchst du weder ein eigenes Sicherheitsteam noch ein Konzernbudget. Ein SIEM sammelt die Protokolle aller IT-Systeme an einer Stelle, wertet sie automatisch aus und meldet sich, sobald sich ein Angriff abzeichnet. Ob sich das für einen Betrieb deiner Größe lohnt und wie der Einstieg gelingt, liest du hier.

Warum Angreifer oft tagelang unbemerkt bleiben

Einbrechen war gestern, heute loggen sie sich ein

Viele Geschäftsführer stellen sich einen Hackerangriff wie einen Einbruch vor. Jemand knackt die Tür, die Alarmanlage heult los, alle wissen sofort Bescheid. In der Praxis läuft es meistens ganz anders. Der Sicherheitsanbieter Sophos hat über 400 echte Angriffsfälle ausgewertet. In 56 Prozent davon haben sich die Täter schlicht mit gültigen Zugangsdaten angemeldet.¹ Das Passwort hatten sie vorher per Phishing abgegriffen, im Darknet gekauft oder einfach erraten.

Für deine Firewall sieht so ein Login völlig normal aus. Ein Mitarbeiter meldet sich an, also darf er rein. Genau hier liegt das Problem. Der Virenscanner schlägt nicht an, weil kein Virus im Spiel ist. Das Postfach meldet nichts, weil das Passwort ja stimmt.

Die Spuren sind da, nur schaut niemand hin

Spurlos bleibt so ein Besuch trotzdem nicht. Jeder Server, jeder Laptop und jedes Microsoft-365-Konto schreibt mit, was passiert. Diese Protokolle nennt man Logdateien. Darin steht zum Beispiel, wer sich wann von wo angemeldet hat, welche Dateien geöffnet wurden oder wann jemand neue Rechte bekommen hat.

Das Problem ist die Menge. Schon in einem kleinen Betrieb kommen jeden Tag sehr viele solcher Einträge zusammen. Niemand hat Zeit, das alles zu lesen. In vielen Unternehmen landen die Logdateien deshalb ungelesen im Archiv, bis sie irgendwann automatisch gelöscht werden. Die Beweise für den Einbruch existieren also. Sie liegen nur da, wo nie jemand nachsieht. Genau hier setzt SIEM an.

Was ist SIEM überhaupt?

Die Leitstelle für deine IT

SIEM steht für Security Information and Event Management. Übersetzt heißt das ungefähr Verwaltung von Sicherheitsinformationen und Ereignissen. Die Idee dahinter ist zum Glück viel leichter zu verstehen als der Name.

Stell dir die Leitstelle eines großen Bürogebäudes vor. Dort laufen die Bilder aller Kameras zusammen, dazu die Meldungen der Türsensoren und Brandmelder. Statt dass ein Wachmann durch alle Etagen läuft, sieht die Leitstelle auf einen Blick, wo etwas nicht stimmt. Ein SIEM macht genau das für deine IT. Es sammelt die Logdateien von Servern, Firewall, Laptops, E-Mail-Konten und Cloud-Diensten an einer zentralen Stelle.

Wie SIEM aus vielen kleinen Hinweisen ein klares Bild macht

Die eigentliche Stärke liegt im Verknüpfen. Fachleute sprechen von Korrelation. Ein einzelner Login um drei Uhr nachts kann harmlos sein, vielleicht arbeitet jemand im Urlaub. Ein Login um drei Uhr nachts aus einem fremden Land, gefolgt von hunderten geöffneten Dateien in fünf Minuten, sieht schon ganz anders aus. SIEM erkennt solche Muster, weil es die Ereignisse aus verschiedenen Quellen zusammenführt.

Dafür arbeitet das System mit Regeln. Manche kommen fertig vom Hersteller, andere werden passend zu deinem Betrieb eingerichtet. Moderne Lösungen lernen zusätzlich, was in deinem Unternehmen normal ist. Weicht etwas deutlich davon ab, gibt es eine Warnung. In Konzernen ist SIEM seit vielen Jahren im Einsatz. Neu ist, dass die Technik heute auch für kleinere Betriebe bezahlbar ist.

Woran ein SIEM einen Angriff erkennt

Typische Warnsignale aus dem Alltag

Was genau schlägt eigentlich Alarm? Hier ein paar Beispiele, die in mittelständischen Netzwerken rund um Köln und Bonn typisch sind.

• Jemand meldet sich innerhalb einer Stunde aus Köln und aus Singapur an.
• Ein Benutzerkonto probiert hunderte Passwörter durch, bevor es plötzlich klappt.
• Ein Mitarbeiter aus dem Vertrieb erhält auf einmal Administratorrechte.
• Ein Rechner verschickt nachts große Datenmengen an eine unbekannte Adresse.
• Auf einem Server wird die Sicherungssoftware abgeschaltet.

Jedes dieser Ereignisse wäre für sich allein schon ein Grund, genauer hinzuschauen. Treten zwei oder drei davon kurz nacheinander auf, wird aus einem Verdacht ein ernster Vorfall. Das SIEM sortiert die Meldungen nach Dringlichkeit, damit die wirklich gefährlichen nicht im täglichen Rauschen untergehen.

Warum die Zeit der entscheidende Faktor ist

Laut dem Sophos-Report vergehen vom ersten Schritt eines Angreifers bis zum Zugriff auf das Active Directory im Schnitt nur elf Stunden.¹ Das Active Directory ist sozusagen der Schlüsselkasten deines Windows-Netzwerks. Wer dort drin ist, kommt fast überall hin. Bis die ersten Daten abfließen, dauert es durchschnittlich rund 73 Stunden, also etwa drei Tage.¹

Jetzt kommt der unangenehme Teil. In Fällen, bei denen Firmen erst nach dem Vorfall Hilfe holten, blieben Angreifer ohne Erpressungssoftware im Mittel 11,5 Tage unentdeckt. Bei Unternehmen mit einem Team, das rund um die Uhr Warnmeldungen auswertete, war es nur ein Tag.¹ Rechne kurz nach. Zwischen drei Tagen bis zum Datendiebstahl und elf Tagen bis zur Entdeckung liegt mehr als eine Woche. In dieser Woche entscheidet sich, ob du am Ende einen Schreck oder einen Schaden hast.

Ist SIEM nur etwas für Konzerne?

Warum der Mittelstand längst im Visier ist

Lange galt SIEM als Werkzeug für Banken und Großkonzerne. Teure Lizenzen, eigene Server, ein ganzes Team aus Sicherheitsanalysten. Für einen Handwerksbetrieb in Siegburg oder eine Steuerkanzlei in Bonn war das schlicht nicht drin.

Die Bedrohungslage hat sich aber verschoben. Der Digitalverband Bitkom beziffert den Schaden durch Diebstahl, Spionage und Sabotage in der deutschen Wirtschaft für 2025 auf 289,2 Milliarden Euro. Rund 202,4 Milliarden davon gehen auf Cyberangriffe zurück.² 59 Prozent der befragten Unternehmen sehen sich durch Cyberangriffe sogar in ihrer Existenz bedroht.² Befragt wurden Betriebe ab zehn Beschäftigten. Das sind also Zahlen, die dich direkt betreffen.

NIS2 und die Frage nach der Pflicht

Dazu kommt der Gesetzgeber. Am 6. Dezember 2025 ist in Deutschland das NIS2-Umsetzungsgesetz in Kraft getreten.³ Rund 30.000 Unternehmen müssen sich seitdem beim BSI registrieren, Sicherheitsvorfälle melden und ein Risikomanagement nachweisen.³ Betroffen sind Firmen aus bestimmten Branchen mit mehr als 50 Beschäftigten oder mehr als zehn Millionen Euro Jahresumsatz. Ob dein Betrieb dazugehört, musst du selbst prüfen. Das BSI meldet sich nicht von allein bei dir.³

Ein SIEM steht nicht wörtlich im Gesetz. Wer aber Vorfälle innerhalb kurzer Fristen melden muss, braucht zuerst einmal die Möglichkeit, sie überhaupt zu bemerken. Auch wenn NIS2 für dich nicht gilt, fragen Versicherer und große Auftraggeber immer öfter nach, wie du Angriffe erkennst.

Warum ein SIEM allein noch nicht reicht

Ohne Menschen bleibt jeder Alarm folgenlos

Hier kommt der Teil, den manche Hersteller gern etwas leiser sagen. Ein SIEM erzeugt Warnmeldungen. Es entscheidet aber nicht selbst, ob ein Login aus Lissabon ein Angriff ist oder ob dein Vertriebsleiter gerade auf einer Messe steht. Dafür braucht es jemanden, der die Meldung prüft, nachfragt und im Ernstfall sofort handelt. Am besten rund um die Uhr, weil Angreifer gern dann loslegen, wenn niemand im Büro sitzt.

Viele Unternehmen haben genau hier ihr Problem. Auch ein gut eingestelltes SIEM erkennt nicht jeden Angriff, es braucht immer jemanden, der reagiert. Die IT liegt bei einer oder zwei Personen, die ohnehin schon genug zu tun haben. Wer dann noch nachts Alarme auswerten soll, ist nach ein paar Wochen ausgebrannt. Irgendwann werden die Warnungen weggeklickt. Das SIEM läuft weiter, aber niemand schaut mehr richtig hin.

Managed SIEM als Lösung für kleinere Teams

Für die meisten mittelständischen Betriebe ist deshalb ein Managed SIEM der sinnvollere Weg. Ein Dienstleister betreibt das System für dich, pflegt die Regeln und wertet die Meldungen aus. Du bekommst nur dann einen Anruf, wenn wirklich etwas los ist. Dazu gibt es eine verständliche Erklärung, was passiert ist und was jetzt zu tun ist.

Für dich heißt das, dass du keine eigenen Sicherheitsexperten einstellen musst. Die Kosten bleiben planbar, weil du einen festen monatlichen Betrag zahlst. Wie hoch er ausfällt, hängt vor allem von der Zahl der angeschlossenen Systeme, der Datenmenge und der gewünschten Bereitschaftszeit ab. IT-Deol aus Lohmar verbindet das SIEM mit seinen Managed Security Services, damit aus einer Warnung schnell eine konkrete Gegenmaßnahme wird.

So läuft die Einführung ab

Erst klären, was wirklich geschützt werden muss

Ein SIEM einzuführen, klingt nach einem riesigen Projekt. Das muss es gar nicht sein. Am Anfang steht ein ehrliches Gespräch. Welche Daten sind für deinen Betrieb überlebenswichtig? Wo liegen sie? Wer hat Zugriff darauf? Bei einem Planungsbüro in Bonn sind das vielleicht die Projektdaten auf dem Server, bei einem Onlinehändler aus Köln eher die Kundenkonten im Shop.

Danach wird festgelegt, welche Systeme ihre Logdateien an das SIEM schicken. Meist sind das die Firewall, die Server, Microsoft 365 und die Endgeräte. Mehr ist dabei nicht automatisch besser. Ein System, das mit unwichtigen Daten zugeschüttet wird, produziert vor allem eins, nämlich Fehlalarme.

Testphase, Feinschliff, Regelbetrieb

In den ersten Wochen lernt das SIEM, wie dein Betrieb tickt. Wann arbeiten die Leute? Von wo melden sie sich an? Welche Programme laufen normalerweise? In dieser Phase gibt es noch einige Fehlalarme. Die werden Stück für Stück aussortiert, bis nur noch die Meldungen übrig bleiben, die wirklich zählen.

Danach geht das SIEM in den Regelbetrieb. Du bekommst regelmäßig einen kurzen Bericht, was im letzten Monat los war. Der Bericht ist in normaler Sprache geschrieben, damit du ihn auch ohne IT-Studium verstehst. Für Gespräche mit deiner Versicherung oder eine Prüfung nach NIS2 hast du damit gleich die passenden Nachweise in der Hand.

Ein Beispiel aus unserer Region

Ein ganz normaler Dienstag in einem Bonner Großhandel

Stell dir einen Großhandel aus Bonn mit rund 40 Beschäftigten vor. Die Einkäuferin bekommt eine E-Mail, die genauso aussieht wie eine Nachricht von Microsoft. Ihr Passwort laufe ab, sie solle es bitte erneuern. Sie klickt auf den Link, gibt ihre Daten ein und denkt nicht weiter darüber nach.

Kurz nach zwei Uhr nachts meldet sich jemand mit ihrem Konto an. Der Login kommt über einen Server in den Niederlanden. Der Unbekannte richtet im Postfach eine Regel ein, die alle Mails heimlich an eine fremde Adresse weiterleitet. Danach durchsucht er die freigegebenen Ordner nach Rechnungen und Kundenlisten.

Das SIEM verknüpft diese Ereignisse innerhalb weniger Minuten. Ungewöhnliche Uhrzeit, fremdes Land, neue Weiterleitungsregel. Der Bereitschaftsdienst sperrt das Konto, löscht die Regel und setzt das Passwort zurück. Am Morgen ruft er den Geschäftsführer an. Der Gesamtschaden? Ein kalt gewordener Kaffee, weil das Telefonat länger dauerte als geplant.

Was ohne Überwachung passiert wäre

Ohne SIEM hätte der Angreifer vermutlich in aller Ruhe weitergemacht. Die Weiterleitung hätte ihm wochenlang jede Mail der Einkäuferin geliefert. Irgendwann wäre eine gefälschte Rechnung mit geänderter Bankverbindung an einen Kunden gegangen. Solche Betrugsfälle werden schnell teuer. Dazu kommt der Ärger mit Kunden, die ihr Geld an Kriminelle überwiesen haben.

Hätte der Geschäftsführer ohne diesen Vorfall jemals in Überwachung investiert? Schwer zu sagen. Ganz ehrlich, viele tun es erst, wenn es einmal richtig geknallt hat.

Deine nächsten Schritte mit IT-Deol

Ein ehrlicher Blick auf den Ist-Zustand

Du musst nicht morgen ein komplettes Sicherheitszentrum aufbauen. Der erste Schritt ist eine einfache Frage. Würdest du heute merken, wenn sich jemand mit einem gestohlenen Passwort in deinem Netzwerk bewegt? Wenn du darauf keine klare Antwort hast, bist du in guter Gesellschaft. So geht es vielen Geschäftsführern in Köln, Bonn und Lohmar.

IT-Deol schaut sich gemeinsam mit dir an, welche Protokolle in deinem Betrieb heute schon entstehen, wer sie auswertet und wo die größten blinden Flecken liegen. Danach weißt du genau, wie gut du Angriffe aktuell erkennen kannst. Auch wenn das Ergebnis nicht gefällt, ist es der beste Ausgangspunkt.

Klein anfangen und mitwachsen

Ein SIEM lässt sich gut schrittweise aufbauen. Ein bewährter Einstieg sind Microsoft 365 und die Firewall, weil viele Angriffe genau dort beginnen. Später kommen Server und Endgeräte dazu. Parallel lohnt sich ein Security-Awareness-Training für dein Team. Das beste SIEM der Welt ersetzt keine Mitarbeitenden, die eine gefälschte Login-Seite auf den ersten Blick erkennen.

Die Angreifer werden nicht verschwinden. Du kannst aber dafür sorgen, dass sie bei dir nicht mehr unbemerkt bleiben. Mit SIEM bekommt dein Netzwerk endlich eine Leitstelle, die auch nachts wach ist.

---

Häufige Fragen zum Thema SIEM

Wie merke ich, ob gerade ein Hacker in meinem Firmennetzwerk ist?

Von allein merkst du es meistens nicht, weil Angreifer sich oft ganz normal mit gestohlenen Passwörtern anmelden. Die Spuren stehen in den Protokollen deiner Server, Laptops und Konten. Ein SIEM sammelt diese Protokolle an einer Stelle, wertet sie automatisch aus und schlägt Alarm, wenn etwas nicht zusammenpasst. IT-Deol aus Lohmar richtet so eine Überwachung für Betriebe in Köln und Bonn ein.

Warum schlägt mein Virenschutz nicht an, wenn jemand mit einem gestohlenen Passwort in mein System kommt?

Der Virenschutz sucht nach Schadprogrammen. Wer sich mit einem echten Passwort anmeldet, bringt oft gar keins mit und sieht deshalb aus wie ein Kollege. Erst ein SIEM erkennt, wenn dieser Kollege sich nachts aus dem Ausland anmeldet und plötzlich hunderte Dateien öffnet. Genau diese Lücke schließt IT-Deol für Unternehmen in der Region.

Wie lange bleiben Hacker in einer Firma meistens unentdeckt?

Laut dem Sicherheitsanbieter Sophos blieben Angreifer ohne Erpressungssoftware in Firmen ohne ständige Überwachung im Mittel 11,5 Tage unbemerkt. Wo ein Team rund um die Uhr Warnungen auswertete, war es ein Tag. Ein SIEM mit Betreuung verkürzt diese Zeit, weil auffällige Muster sofort gemeldet werden. IT-Deol aus Lohmar kümmert sich darum, dass solche Meldungen auch wirklich gelesen werden.

Lohnt sich eine Überwachung rund um die Uhr auch für eine kleine Firma mit 20 Mitarbeitern?

Ja, denn kleine Betriebe werden genauso angegriffen wie große und haben selten eigenes Sicherheitspersonal. Ein Managed SIEM wird von einem Dienstleister betrieben, du zahlst dafür einen festen monatlichen Betrag. So bekommst du Schutz auf Konzernniveau, ohne selbst Fachleute einzustellen. IT-Deol bietet das für kleine und mittlere Unternehmen in Köln, Bonn und Umgebung an.

Was kostet es, mein Firmennetzwerk ständig auf Angriffe überwachen zu lassen?

Das hängt vor allem davon ab, wie viele Systeme angeschlossen werden, wie viele Daten anfallen und ob jemand rund um die Uhr bereitsteht. Ein SIEM als Dienstleistung kostet einen planbaren Monatsbetrag statt einer großen Investition. IT-Deol aus Lohmar rechnet dir in einem kostenlosen Erstgespräch durch, was für deinen Betrieb sinnvoll ist.

Muss ich als Mittelständler gesetzlich nachweisen, dass ich Cyberangriffe erkennen kann?

Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz. Rund 30.000 Unternehmen aus bestimmten Branchen müssen Sicherheitsvorfälle melden und ein Risikomanagement nachweisen. Ob du dazugehörst, musst du selbst prüfen. Ein SIEM steht nicht wörtlich im Gesetz, hilft dir aber, Vorfälle rechtzeitig zu bemerken. IT-Deol prüft mit dir, ob dein Betrieb betroffen ist.

Wer kümmert sich nachts um eine Warnung, wenn mein IT-Mitarbeiter schläft?

Genau das ist bei vielen Firmen der Schwachpunkt. Eine Warnung nützt nichts, wenn sie erst am Montag gelesen wird. Bei einem Managed SIEM wertet ein Bereitschaftsteam die Meldungen aus und handelt im Ernstfall sofort, etwa durch das Sperren eines Kontos. IT-Deol aus Lohmar übernimmt diese Aufgabe für Betriebe in Köln und Bonn.

Reichen Firewall und Virenscanner nicht aus, um meine Firma zu schützen?

Sie bleiben wichtig, weil sie viele Angriffe schon an der Tür abfangen. Sie zeigen dir aber nicht, ob trotzdem jemand hereingekommen ist. Diese Aufgabe übernimmt ein SIEM, das wie eine Leitstelle alle Meldungen zusammenführt. IT-Deol kombiniert beides zu einem Schutz, der zu deinem Betrieb in der Region passt.

Wie lange dauert es, bis die Überwachung meiner IT einsatzbereit ist?

Zuerst wird geklärt, welche Daten und Systeme am wichtigsten sind. Danach lernt das SIEM einige Wochen lang, was in deinem Betrieb normal ist, bis kaum noch Fehlalarme übrig bleiben. Den genauen Zeitplan legt IT-Deol aus Lohmar gemeinsam mit dir fest.

Wie fange ich an, wenn ich wissen will, ob meine Firma einen Hackerangriff überhaupt bemerken würde?

Am besten mit einem ehrlichen Blick auf den Ist-Zustand. IT-Deol aus Lohmar schaut sich mit dir an, welche Protokolle heute schon entstehen, wer sie auswertet und wo blinde Flecken liegen. Danach weißt du, ob ein SIEM für dich sinnvoll ist und wo du am besten anfängst. Das Erstgespräch ist kostenlos, ohne Fachchinesisch und ohne Verpflichtung.

---

Quellen

1 Sophos, Pressemitteilung zum Sophos Active Adversary Report 2025, Primärquelle: https://www.sophos.com/de-de/press/press-releases/2025/04/sophos-report-56-sophos-ir-and-mdr-cases-adversaries-logged-instead

2 Bitkom, Wirtschaftsschutz 2025, Primärquelle: https://www.bitkom.org/Bitkom/Publikationen/Wirtschaftsschutz-2025

3 IHK Darmstadt, NIS-2 Pflichten für Unternehmen, Primärquelle: https://www.ihk.de/darmstadt/produktmarken/digitalisierung/datenschutz-und-it-sicherheit2/nis-2-pflichten-fuer-unternehmen-6218248

Eine eigene IT im Haus fühlt sich erst einmal richtig gut an. Jemand ist greifbar, kennt den Betrieb und kümmert sich, wenn etwas klemmt. Auf dem Gehaltszettel steht eine überschaubare Zahl, und damit scheint die Sache für viele erledigt. Für zahlreiche Geschäftsführer in Köln und Bonn ist genau das der Denkfehler. Was die eigene IT wirklich kostet, steht nämlich nicht auf diesem Zettel, und am Ende des Jahres ist sie oft teurer als gedacht.

Die gute Nachricht vorweg. Du musst deine Leute nicht entlassen, um Geld zu sparen, und auch nicht von heute auf morgen alles umkrempeln. Du musst nur die echten Kosten kennen und sie ehrlich mit der Alternative vergleichen. Dieser Beitrag zeigt dir ohne Fachchinesisch und Schritt für Schritt, was deine interne IT tatsächlich kostet und warum IT-Outsourcing für viele Betriebe am Ende die günstigere Wahl ist.

Was deine eigene IT wirklich kostet

Fangen wir beim Offensichtlichen an, dem Gehalt. Ein Systemadministrator verdient in Deutschland im Schnitt rund 53.500 Euro brutto im Jahr, je nach Erfahrung und Region sind es oft zwischen 46.000 und 63.000 Euro.¹ Das ist aber nur der Anfang. Auf das Bruttogehalt kommen die Arbeitgeberanteile zur Sozialversicherung obendrauf, sodass du schnell bei über 65.000 Euro reiner Personalkosten pro Jahr landest.

Und dann geht es erst richtig los. Dein IT-Mensch braucht Weiterbildungen, denn die Technik ändert sich ständig. Er hat Urlaub und wird auch mal krank, in dieser Zeit braucht es trotzdem jemanden. Er benötigt eigene Werkzeuge, Lizenzen und Zugänge, um seine Arbeit zu machen. Dazu kommen die Kosten, überhaupt erst jemand Passenden zu finden, denn Stellenanzeigen, Bewerbungsgespräche und eine lange Suche kosten ebenfalls Zeit und Geld. Rechnet man das alles zusammen, ist eine einzige interne IT-Stelle oft deutlich teurer, als die nackte Gehaltszahl vermuten lässt.

Ein grobes Rechenbeispiel macht das deutlich. Nimmst du die rund 53.500 Euro Bruttogehalt, rechnest die Arbeitgeberanteile, ein paar tausend Euro für Weiterbildung und Werkzeuge sowie die Vertretung bei Urlaub und Krankheit dazu, landest du schnell bei 75.000 bis 85.000 Euro im Jahr. Und in dieser Summe ist noch kein einziger Spezialist für Themen wie IT-Sicherheit enthalten, die heute eigentlich dazugehören.

Warum die Rechnung oft nicht aufgeht

Jetzt kommt der Punkt, den viele Geschäftsführer komplett übersehen. Diese hohen Fixkosten zahlst du das ganze Jahr, egal wie viel tatsächlich zu tun ist. In den meisten kleinen und mittleren Betrieben fällt aber gar nicht genug IT-Arbeit an, um eine volle Stelle sinnvoll auszulasten. Du bezahlst also eine Vollzeitkraft, obwohl die eigentliche Arbeit vielleicht nur zwei oder drei Tage die Woche braucht. Den Rest zahlst du mit, ohne einen echten Gegenwert zu bekommen.

Dazu kommt ein zweites Problem, das richtig teuer werden kann. Eine einzelne Person deckt niemals alle Bereiche gleich gut ab, von der Sicherheit über die Cloud bis zur Strategie. Und wenn sie ausfällt oder kündigt, steht dein Betrieb schnell ohne IT da. Genau diese Lücken schließt du mit der eigenen Stelle nicht, du bezahlst sie nur teuer. Hier wird IT-Outsourcing interessant, weil es beide Probleme auf einmal löst.

Dazu kommt, dass du überhaupt erst jemand Passenden finden musst. Laut der Bitkom-Studie von 2026 sind in Deutschland rund 79.000 Stellen für IT-Fachkräfte unbesetzt, und gute Leute sind entsprechend schwer zu bekommen und teuer zu halten.² Wer lange sucht, zahlt in der Zwischenzeit doppelt, weil die Arbeit ja trotzdem erledigt werden muss. Auch dieses Risiko entfällt beim IT-Outsourcing, weil der Partner sein Team selbst stellt und sich um Ersatz kümmert.

Was IT-Outsourcing eigentlich bedeutet

IT-Outsourcing heißt schlicht, dass du einen Teil deiner IT oder die gesamte Betreuung an einen externen Partner übergibst, statt alles selbst im Haus zu erledigen. Ein IT-Systemhaus übernimmt dann die Aufgaben, die sonst dein interner IT-Mensch allein stemmen müsste, von der Wartung über die Sicherheit bis zum Support, wenn im Alltag etwas klemmt.

Wichtig ist, dass IT-Outsourcing kein Alles-oder-nichts ist. Du kannst die komplette IT abgeben oder nur die Bereiche, die dir am meisten Kopfzerbrechen bereiten, etwa die Sicherheit oder die Server-Wartung. Für die meisten Betriebe ist eine solche Mischung der sinnvollste Weg. Statt einer einzigen Person hast du beim IT-Outsourcing ein ganzes Team im Rücken, in dem jeder sein Spezialgebiet hat, und das zu einem planbaren monatlichen Preis.

In der Praxis läuft das unkompliziert ab. Dein Partner kennt deine Systeme, überwacht sie im Hintergrund und ist erreichbar, wenn etwas ist. Für dich ändert sich im Alltag vor allem eines, nämlich dass du einen festen Ansprechpartner hast statt einer einzelnen Person, die auch mal nicht da ist. Gutes IT-Outsourcing fühlt sich deshalb nicht nach anonymer Fremdvergabe an, sondern eher wie eine eigene IT-Abteilung, die du dir mit anderen teilst.

Ein Beispiel aus unserer Region

Stell dir einen Handelsbetrieb aus dem Raum Köln vor, rund 35 Mitarbeiter. Jahrelang gab es eine feste IT-Stelle, die mit allem drum herum über 70.000 Euro im Jahr kostete. Der Kollege war gut, aber oft unterfordert, und wenn er in Urlaub war, blieb bei einem Problem einfach alles liegen. Als er in Rente ging, rechnete die Geschäftsführung zum ersten Mal ehrlich nach.

Das Ergebnis war ernüchternd. Für einen Bruchteil der bisherigen Kosten bekam der Betrieb über IT-Outsourcing ein ganzes Team, das sich um Wartung, Sicherheit und Support kümmert, und das ohne Ausfälle durch Urlaub oder Krankheit. Die IT läuft heute stabiler als vorher, und unterm Strich bleibt mehr Geld übrig. Genau diesen Weg gehen gerade viele Betriebe in Köln und Bonn.

Spannend ist dabei, dass die Geschäftsführung diesen Schritt jahrelang nicht gemacht hat, einfach weil die eigene Stelle sich vertraut und sicher anfühlte. Erst der Blick auf die echten Zahlen hat das Bild gedreht. Genau das ist der Grund, warum sich der nüchterne Vergleich für fast jeden Betrieb lohnt, lange bevor der eigene IT-Mensch in Rente geht oder kündigt.

Wie IT-Outsourcing die Kosten planbar macht

Der größte Unterschied liegt in der Art, wie du zahlst. Bei einer eigenen Stelle hast du hohe, feste Kosten, egal ob viel oder wenig zu tun ist. Beim IT-Outsourcing zahlst du eine monatliche Pauschale, die du genau kennst und die zu deinem Bedarf passt. Du bezahlst für die Leistung, die du wirklich brauchst, und nicht für Leerlauf.

Das macht deine Planung einfacher, denn du weißt jeden Monat, woran du bist, ohne böse Überraschungen. Und wenn dein Betrieb wächst oder sich etwas ändert, lässt sich die Leistung flexibel anpassen, nach oben wie nach unten. Diese Flexibilität bekommst du mit einer festen Stelle nie, denn einen Mitarbeiter stellst du nicht mal eben für drei Monate mehr oder weniger ein. Genau hier spielt IT-Outsourcing seine Stärke aus.

Dazu kommt ein Effekt, den du nicht sofort siehst. Viele versteckte Kosten der eigenen IT verschwinden beim IT-Outsourcing ganz, etwa Weiterbildungen, Lizenzen für Spezialwerkzeuge oder die teure Suche nach Ersatz. All das trägt dein Partner, und es steckt bereits in der Pauschale. Was vorher als viele kleine Einzelposten über das Jahr verteilt und schwer zu überblicken war, wird so zu einer einzigen, klaren Zahl.

Wann sich IT-Outsourcing lohnt und wann nicht

Damit das Bild ehrlich bleibt, gehört auch dazu, wann sich der Schritt nicht unbedingt lohnt. Sehr große Unternehmen mit einer stark spezialisierten IT, die rund um die Uhr gefordert ist, fahren mit einer eigenen Abteilung oft gut. Auch wer besondere Anforderungen hat, die ein externer Partner nicht abdecken kann, sollte genau hinschauen. In diesen Fällen ist eine eigene Mannschaft manchmal die bessere Wahl.

Für die allermeisten kleinen und mittleren Betriebe sieht die Rechnung aber anders aus. Wenn die IT wichtig ist, aber keine volle Stelle rechtfertigt, wenn Sicherheit und Stabilität zählen und wenn du planbare Kosten willst, ist IT-Outsourcing meist die günstigere und ruhigere Lösung. Die ehrlichste Antwort bekommst du, indem du beide Varianten einmal sauber durchrechnest, statt dich auf das Gefühl zu verlassen, die eigene IT sei automatisch billiger.

Auch die Mischung aus beidem ist möglich und für manche Betriebe ideal. Du behältst deinen bewährten IT-Mitarbeiter im Haus und gibst nur die Bereiche ab, die er allein nicht stemmen kann, etwa die Sicherheit oder die Rufbereitschaft am Wochenende. So wird IT-Outsourcing nicht zum Ersatz, sondern zur Verstärkung, und dein Mitarbeiter wird entlastet statt ersetzt.

Häufige Denkfehler, die dich Geld kosten

Bei vielen Betrieben wiederholen sich dieselben Denkfehler. Der häufigste ist, nur auf das Gehalt zu schauen und die vielen Nebenkosten auszublenden, die eine eigene Stelle mit sich bringt. Ein zweiter Fehler ist zu glauben, eine Person könne alles abdecken, was moderne IT heute verlangt. Und drittens wird IT-Outsourcing oft mit Kontrollverlust verwechselt, obwohl du jederzeit Herr der Entscheidungen bleibst und nur die Arbeit abgibst. Wer diese drei Denkfehler vermeidet, trifft eine deutlich bessere Entscheidung.

Noch ein Fall aus der Praxis

Ein wachsendes Ingenieurbüro aus dem Raum Bonn mit rund 20 Mitarbeitern stand vor einer anderen Frage. Es gab noch nie eine eigene IT-Stelle, bisher sprang bei Problemen mal der eine, mal der andere Kollege ein. Mit dem Wachstum wurde das zu unsicher, und die Geschäftsführung überlegte zum ersten Mal, jemanden fest einzustellen.

Beim Nachrechnen zeigte sich schnell, dass eine volle Stelle für den tatsächlichen Bedarf zu groß und zu teuer gewesen wäre. Statt eine Fachkraft zu suchen, die ohnehin schwer zu finden ist, entschied sich der Betrieb für IT-Outsourcing. Seitdem kümmert sich ein festes Team um Wartung, Sicherheit und Support, zu einer Pauschale, die gut ins Budget passt.

Das Ergebnis überzeugt bis heute. Die Mitarbeiter müssen sich nicht mehr nebenbei um Technik kümmern, die Systeme laufen zuverlässig, und die Kosten sind endlich kalkulierbar. Für viele junge und wachsende Betriebe in Köln und Bonn ist IT-Outsourcing genau deshalb der einfachere Einstieg als die eigene erste IT-Stelle.

Was du mit IT-Outsourcing gewinnst

Der größte Gewinn ist die Kombination aus weniger Kosten und mehr Leistung, die auf den ersten Blick widersprüchlich klingt. Weil du dir ein ganzes Team teilst, statt eine volle Stelle allein zu bezahlen, bekommst du breiteres Wissen für weniger Geld. Du zahlst nicht mehr für Leerlauf und auch nicht für teure Vertretungen bei Urlaub oder Krankheit.

Dazu kommt die Ruhe. Deine IT läuft stabiler, weil mehrere Fachleute vorausschauend warten und Probleme oft lösen, bevor du überhaupt etwas merkst. Du bist nicht mehr von einer einzigen Person abhängig und musst dich als Geschäftsführer nicht selbst um Technikfragen kümmern. Diese gewonnene Zeit und die fehlende Dauersorge sind ein Wert, der sich nicht sofort auf dem Konto zeigt, aber im Alltag enorm spürbar ist. Gerade im Wettbewerbsraum Köln und Bonn macht das auf Dauer einen echten Unterschied.

Nicht zu unterschätzen ist auch, dass du dir Entscheidungen nicht mehr allein zutrauen musst. Ob eine neue Software sinnvoll ist oder wie du auf einen Sicherheitsvorfall reagierst, beim IT-Outsourcing hast du Fachleute, die dich beraten. Du triffst die Entscheidung weiterhin selbst, aber auf einer soliden Grundlage statt aus dem Bauch heraus.

Deine nächsten Schritte mit IT-Deol

Verschaff dir zuerst ein ehrliches Bild vom aktuellen Stand. Was kostet dich deine IT heute wirklich, wenn du Gehalt, Nebenkosten, Tools und Weiterbildung zusammenrechnest? Wie gut ist die IT ausgelastet, und was passiert, wenn die zuständige Person ausfällt? Diese Fragen kosten wenig Zeit und zeigen schnell, ob sich der Vergleich für dich lohnt.

Auf dieser Grundlage entscheidest du, ob IT-Outsourcing für dich sinnvoll ist. Als IT-Systemhaus aus Lohmar rechnen wir bei IT-Deol ehrlich mit dir durch, was deine interne IT kostet und was ein externer Partner kosten würde, ohne dir etwas aufzudrängen. Wir übernehmen so viel oder so wenig, wie du möchtest, von der reinen Wartung bis zur kompletten Betreuung, und sorgen dafür, dass deine IT in Köln, Bonn und der Umgebung stabil und bezahlbar läuft.

Eine eigene IT-Abteilung ist nicht automatisch die günstigste Lösung, sie fühlt sich nur so an. Wer ehrlich nachrechnet, stellt oft fest, dass IT-Outsourcing mehr Leistung für weniger Geld bringt und die eigene IT zugleich stabiler macht. Für Unternehmen in Köln und Bonn ist das eine Investition, die sich fast immer schnell auszahlt.

---

Häufige Fragen zum Thema IT-Outsourcing

Was kostet mich ein eigener IT-Mitarbeiter im Jahr wirklich?

Rechne mit deutlich mehr als dem reinen Gehalt, denn Lohnnebenkosten, Weiterbildung und Ausfälle kommen noch dazu. Mit IT-Outsourcing über IT-Deol aus Lohmar zahlst du als Unternehmen in Köln und Bonn nur das, was du wirklich brauchst.

Lohnt sich eine eigene IT-Abteilung für meinen kleinen Betrieb überhaupt?

Für viele kleine Betriebe ist das zu teuer, weil eine einzelne Kraft selten ausgelastet ist. IT-Outsourcing mit IT-Deol gibt Unternehmen in Köln und Bonn das volle Fachwissen, ohne eine ganze Abteilung bezahlen zu müssen.

Unser IT-Mann hat oft wenig zu tun, zahlen wir zu viel?

Wenn eine Vollzeitkraft nicht ausgelastet ist, verschenkst du Geld. Mit IT-Outsourcing zahlst du bei IT-Deol aus Lohmar nur für geleistete Arbeit, was für Betriebe in Köln und Bonn oft deutlich günstiger ist.

Wenn ich meine IT abgebe, verliere ich dann die Kontrolle darüber?

Nein, du behältst alle Entscheidungen und bekommst dazu klare Berichte. IT-Outsourcing mit IT-Deol bedeutet für Unternehmen in Köln und Bonn mehr Überblick statt weniger, weil alles sauber dokumentiert wird.

Kann ich bei einem externen Partner meine Kosten überhaupt planen?

Ja, denn du vereinbarst eine feste monatliche Pauschale statt unvorhersehbarer Einzelrechnungen. Genau diese Planbarkeit ist einer der größten Vorteile von IT-Outsourcing mit IT-Deol für Betriebe in Köln und Bonn.

Wir finden einfach keinen guten IT-Fachmann, was können wir tun?

Angesichts des Fachkräftemangels geht es vielen so, und langes Suchen kostet Zeit und Nerven. IT-Outsourcing mit IT-Deol aus Lohmar bringt Unternehmen in Köln und Bonn sofort ein komplettes Team, ohne mühsame Suche.

Muss ich meinen bisherigen IT-Mitarbeiter entlassen, wenn ich das auslagere?

Nein, oft ergänzt ein externer Partner dein vorhandenes Personal, statt es zu ersetzen. IT-Outsourcing mit IT-Deol entlastet deine Leute in Köln und Bonn bei Routineaufgaben, damit sie sich auf das Wichtige konzentrieren können.

Ist mein Unternehmen zu klein, um die IT abzugeben?

Nein, gerade kleinere Betriebe profitieren besonders, weil sie sich kein eigenes Team leisten können. IT-Outsourcing mit IT-Deol aus Lohmar ist für Unternehmen jeder Größe in Köln und Bonn passend zugeschnitten.

Woran merke ich, dass meine interne IT mich zu viel kostet?

Warnzeichen sind häufige Ausfälle, teure Notfalleinsätze und eine Kraft, die ständig überlastet oder unterfordert ist. Ein Kostenvergleich mit IT-Outsourcing zeigt Betrieben in Köln und Bonn schnell, ob IT-Deol die günstigere Lösung ist.

Wer rechnet mir ehrlich aus, ob sich ein Wechsel für uns lohnt?

Ein seriöser Partner macht das transparent und ohne Verkaufsdruck. IT-Deol aus Lohmar prüft für Unternehmen in Köln und Bonn in einer kostenlosen Erstberatung, ob sich IT-Outsourcing für dich wirklich rechnet.

---

Quellen

¹ jobvector, Gehaltsanalyse „Systemadministrator“ (Stand 2026, durchschnittlich rund 53.500 Euro Bruttojahresgehalt, typische Spanne etwa 45.800 bis 63.500 Euro). https://www.jobvector.de/gehalt/systemadministrator/

² Bitkom e. V., Studie „Der Arbeitsmarkt für IT-Fachkräfte 2026″ (rund 79.000 offene Stellen für IT-Fachkräfte in Deutschland). https://bitkom-research.de/studien/der-arbeitsmarkt-fuer-it-fachkraefte-2026

Es gibt diesen einen Menschen im Betrieb, der sich mit der IT auskennt. Der weiß, wo die Server stehen, wer welche Zugänge hat und was zu tun ist, wenn das Netzwerk mal wieder streikt. Solange er da ist, läuft alles. Aber was passiert, wenn er zwei Wochen im Urlaub ist, krank wird oder kündigt? Für viele Betriebe in Köln und Bonn ist das eine unangenehme Frage, auf die niemand so recht eine Antwort hat. Die ganze IT hängt an einer einzigen Person.

Die gute Nachricht vorweg. Du musst dafür keine große IT-Abteilung aufbauen und auch nicht zum Technikexperten werden. Du musst nur wissen, welche Fähigkeiten moderne Unternehmens-IT heute wirklich braucht und wie du sie dir sicherst, ohne von einer Person abhängig zu sein. Dieser Beitrag zeigt dir ohne Fachchinesisch, welche IT-Kompetenzen das sind und wie du dein Unternehmen Schritt für Schritt breiter aufstellst.

Warum ein IT-Mitarbeiter allein nicht mehr ausreicht

Vor fünfzehn Jahren war die Firmen-IT überschaubar. Ein paar Rechner, ein Server, ein Drucker und eine E-Mail-Adresse. Das konnte ein einzelner Allrounder gut betreuen. Heute ist die Lage eine völlig andere. Zur klassischen Technik sind Cloud-Dienste, mobiles Arbeiten, strenge Datenschutzregeln, ständige Cyberangriffe und jetzt auch noch KI dazugekommen. Jedes dieser Themen ist für sich ein eigenes Fachgebiet.

Von einer einzigen Person zu erwarten, dass sie in all dem gleich gut ist, ist schlicht unrealistisch. Wer den ganzen Tag Anwenderprobleme löst, hat keine Zeit, sich tief in IT-Sicherheit einzuarbeiten. Und wer sich um die Cloud kümmert, ist nicht automatisch Experte für Datenschutz. Die nötigen IT-Kompetenzen sind heute so breit gefächert, dass sie fast nie in einem einzigen Kopf zusammenkommen. Genau hier beginnt das Risiko für dein Unternehmen.

Das ist übrigens keine Kritik an deinem IT-Menschen, im Gegenteil. Die wenigsten Allrounder sind schlecht in ihrem Job, sie sind nur hoffnungslos überladen. Von einem Einzelnen alle heute nötigen IT-Kompetenzen zu verlangen, ist ungefähr so, als würdest du von einem Hausarzt erwarten, gleichzeitig Chirurg, Zahnarzt und Radiologe zu sein. Jedes Gebiet braucht eigene Erfahrung und ständige Weiterbildung, und genau die kann eine Person über so viele Felder hinweg kaum aufbringen.

Welche IT-Kompetenzen moderne Unternehmen heute brauchen

Damit du ein Gefühl für die Bandbreite bekommst, hier die wichtigsten Felder, die moderne Unternehmens-IT abdecken muss. Keine Firma kommt heute ohne sie aus.

• IT-Sicherheit. Schutz vor Angriffen, sichere Passwörter, Backups und ein Plan für den Notfall. Das ist längst die wichtigste aller IT-Kompetenzen.
• Cloud und Microsoft 365. Zusammenarbeit, E-Mail und Dokumente sicher in der Cloud, damit dein Team auch mobil arbeiten kann.
• Datenschutz und Compliance. Die DSGVO und neue Vorgaben wie die KI-Verordnung sauber einhalten, ohne das Tagesgeschäft auszubremsen.
• Netzwerk und Infrastruktur. Ein stabiler Betrieb, bei dem Internet, Server und Geräte zuverlässig laufen.
• KI und Automatisierung. Neue Werkzeuge sinnvoll und sicher einführen, statt sie zu ignorieren oder planlos einzusetzen.
• Anwender-Support. Jemand, der schnell hilft, wenn im Alltag etwas klemmt, damit niemand lange aufgehalten wird.
• IT-Strategie. Der Weitblick, Technik und Budget so zu planen, dass die IT zum Unternehmen passt und nicht nur Löcher gestopft werden.

Wenn du diese Liste durchgehst und merkst, dass bei euch vieles davon an einer Person hängt oder ganz fehlt, ist das kein gutes Zeichen. Es bedeutet, dass wichtige IT-Kompetenzen entweder gar nicht vorhanden oder viel zu stark von einem einzelnen Menschen abhängig sind.

Wichtig ist dabei, dass diese IT-Kompetenzen zusammenspielen müssen. Sicherheit ohne funktionierende Backups bringt wenig, und die beste Cloud nützt nichts, wenn der Datenschutz nicht stimmt. Genau dieses Zusammenspiel der einzelnen IT-Kompetenzen überfordert eine einzelne Person am Ende am meisten, weil sie überall gleichzeitig am Ball bleiben müsste.

Woran du merkst, dass dir IT-Kompetenzen fehlen

Ob dir wichtige Fähigkeiten fehlen, erkennst du oft an ganz konkreten Anzeichen im Alltag. Diese Signale sind ziemlich deutlich.

• Es gibt nur einen, der sich auskennt. Fällt diese Person aus, steht die IT praktisch still.
• Nichts ist dokumentiert. Passwörter, Zugänge und Abläufe stecken nur in einem Kopf.
• Sicherheit läuft nebenbei. Für Backups, Updates und den Schutz vor Angriffen bleibt kaum Zeit.
• Neue Themen bleiben liegen. Cloud, KI oder Datenschutz werden aufgeschoben, weil niemand sie betreut.
• Es gibt keine Strategie. Es wird nur repariert, aber nichts vorausschauend geplant.

Je mehr dieser Punkte zutrifft, desto klarer fehlen dir wichtige IT-Kompetenzen, und desto größer ist das Risiko, dass dich das irgendwann teuer zu stehen kommt.

Das Risiko, wenn alles an einer Person hängt

Solange der eine IT-Mensch da ist, fällt das Problem gar nicht auf. Gefährlich wird es genau dann, wenn er ausfällt. Ist er im Urlaub und es gibt einen Sicherheitsvorfall, steht niemand bereit, der schnell reagieren kann. Kündigt er, geht oft wertvolles Wissen mit ihm aus der Tür, das nirgends dokumentiert ist. Und solange er bleibt, bist du in gewisser Weise erpressbar, weil du es dir kaum leisten kannst, ihn zu verlieren.

Dazu kommt ein zweites Problem. Eine einzelne Person hat niemanden, mit dem sie sich austauschen kann. Gerade bei der IT-Sicherheit oder bei großen Entscheidungen ist das ein echter Nachteil, denn vier Augen sehen mehr als zwei. Ohne Sparringspartner werden Fehler seltener bemerkt und wichtige Themen schlicht übersehen. Die fehlende Breite an IT-Kompetenzen wird so zum doppelten Risiko, fachlich und menschlich.

Ein Beispiel aus unserer Region

Stell dir einen Handwerksbetrieb aus dem Raum Bonn vor, rund 40 Mitarbeiter. Die komplette IT lief jahrelang über einen einzigen langjährigen Mitarbeiter, der sich das meiste selbst beigebracht hatte. Als er von heute auf morgen das Unternehmen verließ, stand der Betrieb vor einem Scherbenhaufen. Niemand kannte die Passwörter für die wichtigsten Systeme, es gab keine Dokumentation, und ob die Backups überhaupt funktionierten, wusste auch niemand.

Es dauerte Wochen und kostete viel Geld, das alles wieder zu ordnen. Mit einer breiteren Aufstellung und ein paar zusätzlichen IT-Kompetenzen im Rücken wäre das nie passiert. Genau diese Erfahrung machen gerade viele Betriebe in Köln und Bonn, wenn der eine IT-Mensch plötzlich nicht mehr da ist.

Warum der Fachkräftemangel das Problem verschärft

Jetzt könnte man sagen, dann stellt man eben ein paar IT-Leute mehr ein. Nur ist genau das kaum möglich. Laut der Bitkom-Studie von 2026 sind in Deutschland rund 79.000 Stellen für IT-Fachkräfte unbesetzt, und auch wenn die Zahl zuletzt gesunken ist, bleiben es weiterhin Zehntausende.¹ Für einen Mittelständler in Köln oder Bonn heißt das, dass er auf dem Arbeitsmarkt kaum alle nötigen IT-Kompetenzen zusammenbekommt, selbst wenn er wollte und das Budget hätte.

Gleichzeitig steigen die Anforderungen gerade bei der Sicherheit. Laut dem BSI-Lagebericht 2025 sind bei Ransomware-Angriffen rund 80 Prozent der Betroffenen kleine und mittelgroße Betriebe, und im Schnitt erfüllen kleinere Firmen nur etwa 56 Prozent der Basisanforderungen an IT-Sicherheit.² Die Lücke zwischen dem, was nötig wäre, und dem, was eine einzelne Person leisten kann, wird also immer größer, und sie lässt sich nicht einfach durch mehr Einstellungen schließen.

So stellst du dein Unternehmen breiter auf

Die gute Nachricht ist, dass du nicht sieben Spezialisten einstellen musst, um gut aufgestellt zu sein. Es gibt mehrere Wege, und meist ist eine Mischung am sinnvollsten.

Der erste Schritt ist, das vorhandene Wissen zu sichern. Sorge dafür, dass Zugänge, Abläufe und wichtige Entscheidungen dokumentiert sind und nicht nur im Kopf einer Person stecken. Allein das senkt dein Risiko spürbar. Der zweite Hebel ist Weiterbildung. Deine Leute müssen nicht alles können, aber ein solides Grundverständnis für Sicherheit und moderne Werkzeuge hilft jedem im Team.

Der wirksamste Weg für die meisten kleinen und mittleren Betriebe ist aber, sich die fehlenden IT-Kompetenzen von außen dazuzuholen. Ein IT-Systemhaus bringt ein ganzes Team mit, in dem jeder sein Spezialgebiet hat, von der Sicherheit über die Cloud bis zur Strategie. So bist du nicht mehr von einer einzigen Person abhängig und hast trotzdem Zugriff auf das volle Spektrum, das moderne Unternehmens-IT braucht. Dein eigener IT-Mensch wird dadurch nicht überflüssig, sondern bekommt endlich die Unterstützung, die er allein nie leisten könnte.

Welcher Weg der richtige ist, hängt von deiner Größe und deinem Budget ab. Ein sehr kleiner Betrieb fährt oft am besten, wenn er die meisten IT-Kompetenzen nach außen gibt und sich auf einen festen Partner verlässt. Ein größerer Mittelständler kombiniert einen eigenen Ansprechpartner im Haus mit einem externen Team im Rücken. Entscheidend ist in beiden Fällen, dass keine wichtige Fähigkeit mehr allein an einer einzigen Person hängt.

Häufige Fehler, die du vermeiden solltest

Bei vielen Betrieben wiederholen sich dieselben Fehler. Der häufigste ist, das Thema erst anzugehen, wenn der IT-Mensch bereits gekündigt hat, denn dann ist das Wissen oft schon weg. Ein zweiter Fehler ist, alles auf eine Person zu häufen, weil es bequem und billig erscheint, und dabei das Ausfallrisiko komplett auszublenden. Und drittens wird oft nur auf den Alltag geschaut, während die strategischen IT-Kompetenzen wie Planung und Sicherheit hinten runterfallen. Wer diese drei Fehler vermeidet, steht schon deutlich stabiler da.

Was du gewinnst, wenn die IT auf mehreren Schultern ruht

Der Aufwand lohnt sich an mehreren Stellen gleichzeitig. Du schläfst ruhiger, weil ein Urlaub oder eine Kündigung deinen Betrieb nicht mehr lahmlegt. Du bist sicherer, weil mehrere Fachleute auf deine Systeme schauen und Angriffe schneller erkannt werden. Und du triffst bessere Entscheidungen, weil Fragen rund um Technik, Sicherheit und KI von Leuten beantwortet werden, die sich wirklich auskennen.

Dazu kommt ein Effekt, den viele unterschätzen. Wenn die nötigen IT-Kompetenzen verlässlich vorhanden sind, wird IT vom ständigen Sorgenkind zum echten Vorteil. Statt nur Probleme zu löschen, kann deine IT dann vorausschauend geplant werden und dein Wachstum unterstützen. Gerade im Wettbewerbsraum Köln und Bonn macht das auf Dauer einen spürbaren Unterschied.

Nicht zu unterschätzen ist auch, was das für dich als Geschäftsführer bedeutet. Du musst nicht mehr selbst einschätzen, ob bei der IT alles richtig läuft, und auch nicht hoffen, dass die eine Person schon an alles denkt. Verlässliche IT-Kompetenzen im Rücken nehmen dir genau diese stille Dauersorge ab, mit der viele Unternehmer herumlaufen, ohne es offen auszusprechen.

Deine nächsten Schritte mit IT-Deol

Verschaff dir zuerst ein ehrliches Bild vom aktuellen Stand. Was passiert bei euch, wenn der IT-Mensch zwei Wochen ausfällt? Sind Zugänge und Abläufe dokumentiert, oder stecken sie nur in einem Kopf? Und welche der wichtigen IT-Kompetenzen sind bei euch gar nicht abgedeckt? Diese Fragen kosten wenig Zeit und zeigen schnell, wo es hakt.

Auf dieser Grundlage entscheidest du, ob du das intern angehst oder dir Unterstützung holst. Als IT-Systemhaus aus Lohmar bringen wir bei IT-Deol genau die IT-Kompetenzen mit, die Unternehmen in Köln, Bonn und der Umgebung heute brauchen, von der Sicherheit über die Cloud bis zur Strategie. Wir sichern das vorhandene Wissen, schließen die Lücken und betreuen deine IT als Team, damit dein Betrieb nicht mehr von einer einzigen Person abhängt.

Eine IT, die nur an einer Person hängt, ist ein Risiko, das sich leicht entschärfen lässt. Wer die nötigen IT-Kompetenzen auf mehrere Schultern verteilt, arbeitet ruhiger, sicherer und zukunftsfester. Für Unternehmen in Köln und Bonn ist das eine Investition, die sich fast immer schnell auszahlt.

---

Häufige Fragen zum Thema IT-Kompetenzen

Was mache ich, wenn in meiner Firma nur eine Person die ganze IT betreut?

Das ist ein echtes Risiko, denn fällt diese Person aus, steht oft alles still. IT-Deol aus Lohmar verteilt die nötigen IT-Kompetenzen für Unternehmen in Köln und Bonn auf ein ganzes Team, sodass du nicht mehr von einem Einzelnen abhängst.

Unser einziger IT-Mitarbeiter hat gekündigt, wie geht es jetzt weiter?

Wichtig ist, zuerst Zugänge und Wissen zu sichern, bevor beides ganz verloren geht. IT-Deol übernimmt genau das und bringt anschließend die fehlenden IT-Kompetenzen mit, damit dein Betrieb in Köln und Bonn ohne Unterbrechung weiterläuft.

Was passiert mit unseren Systemen, wenn der IT-Zuständige im Urlaub oder krank ist?

Ohne Vertretung bleibt im Ernstfall vieles liegen, und bei einem Sicherheitsvorfall kann niemand schnell reagieren. IT-Deol aus Lohmar stellt die wichtigen IT-Kompetenzen als Team bereit, sodass dein Unternehmen in Köln und Bonn jederzeit abgesichert ist.

Welche Aufgaben gehören heute eigentlich alles zur Firmen-IT?

Von Sicherheit über Cloud und Datenschutz bis zu KI und Strategie ist die Bandbreite riesig geworden. IT-Deol deckt genau diese IT-Kompetenzen gebündelt ab, damit Betriebe in Köln und Bonn kein wichtiges Feld mehr vernachlässigen.

Kann ein einzelner Mitarbeiter unsere komplette IT heute überhaupt noch alleine stemmen?

In den meisten Fällen nicht mehr, weil die Themen zu zahlreich und zu speziell geworden sind. IT-Deol aus Lohmar ergänzt die fehlenden IT-Kompetenzen, sodass dein IT-Mensch in Köln und Bonn entlastet wird statt überfordert zu sein.

Wir finden einfach keine neuen IT-Leute, was können wir tun?

Angesichts des Fachkräftemangels geht es vielen Betrieben so, und Einstellen ist oft keine Lösung. IT-Deol bringt die benötigten IT-Kompetenzen als externes Team mit, sodass Unternehmen in Köln und Bonn ohne langes Suchen gut aufgestellt sind.

Woran merke ich, dass bei uns in der IT etwas Wichtiges fehlt?

Typische Warnzeichen sind fehlende Dokumentation, nebenbei laufende Sicherheit und liegengebliebene Themen wie Cloud oder KI. IT-Deol aus Lohmar deckt mit einer Bestandsaufnahme auf, welche IT-Kompetenzen deinem Betrieb in Köln und Bonn fehlen.

Bei uns kennt nur eine Person die Passwörter und Abläufe, ist das gefährlich?

Ja, denn geht diese Person, ist das Wissen oft unwiederbringlich weg. IT-Deol sichert und dokumentiert diese Informationen und verteilt die nötigen IT-Kompetenzen für Unternehmen in Köln und Bonn auf mehrere Schultern.

Lohnt sich ein externer IT-Partner auch für einen kleinen Betrieb?

Gerade für kleine Betriebe ist das oft die günstigste Lösung, weil man die IT-Kompetenzen nicht teuer selbst aufbauen muss. IT-Deol aus Lohmar bietet dafür passende Pakete für Unternehmen in Köln und Bonn.

An wen kann ich mich wenden, wenn unsere IT komplett an einer Person hängt?

IT-Deol aus Lohmar ist dein Ansprechpartner, der die fehlenden IT-Kompetenzen als Team mitbringt, das vorhandene Wissen sichert und deine IT dauerhaft betreut, und bietet Unternehmen in Köln und Bonn eine kostenlose Erstberatung an.

---

Quellen

¹ Bitkom e. V., Studie „Der Arbeitsmarkt für IT-Fachkräfte 2026″ (aktuell rund 79.000 offene Stellen für IT-Fachkräfte in Deutschland, Rückgang von 149.000 im Jahr 2023 über 109.000 im Jahr 2025). https://bitkom-research.de/studien/der-arbeitsmarkt-fuer-it-fachkraefte-2026

² BSI, „Die Lage der IT-Sicherheit in Deutschland 2025″ (rund 80 Prozent der Ransomware-Betroffenen sind KMU; kleinere Betriebe erfüllen im Schnitt nur etwa 56 Prozent der Basisanforderungen an IT-Sicherheit). https://www.bsi.bund.de/

Die Buchhaltung lässt sich von ChatGPT eine Mahnung formulieren, der Vertrieb kippt eine Kundenliste in ein KI-Tool, um sie sortieren zu lassen, und im Marketing entstehen Texte und Bilder per Knopfdruck. Alles läuft nebenbei, ohne dass jemand gefragt hätte, was eigentlich erlaubt ist. Für viele Betriebe in Köln und Bonn ist das längst der ganz normale Alltag, und genau das ist das Problem. Die Technik ist in Windeseile im Haus gelandet, die Regeln dazu fehlen bis heute.

Die gute Nachricht vorweg. Du musst KI nicht verbieten, um wieder Ordnung reinzubringen. Du brauchst nur klare, verständliche Leitplanken, an denen sich alle orientieren können. Genau das ist eine KI-Richtlinie. Dieser Beitrag zeigt dir ohne Fachchinesisch und Schritt für Schritt, warum fast jeder Betrieb heute eine braucht, was hineingehört, wie du sie einführst und welche Fehler du dabei vermeiden solltest.

Was eine KI-Richtlinie ist

Eine KI-Richtlinie ist ein kurzes, schriftliches Regelwerk, das festhält, wie in deinem Unternehmen mit künstlicher Intelligenz umgegangen wird. Sie beantwortet die Fragen, die sich im Alltag ständig stellen. Welche Tools dürfen genutzt werden, welche nicht. Welche Daten dürfen in ein KI-Tool und welche auf keinen Fall. Und wer ist Ansprechpartner, wenn jemand unsicher ist. Eine gute KI-Richtlinie ist dabei kein dickes Handbuch, sondern ein paar klare Seiten, die jeder im Team versteht.

Wichtig ist der Zweck dahinter. Eine KI-Richtlinie soll die Arbeit nicht ausbremsen, sondern absichern. Sie gibt deinen Mitarbeitern die Freiheit, KI produktiv zu nutzen, ohne dass dabei versehentlich sensible Daten abfließen oder rechtliche Grenzen überschritten werden. Sie schützt also das Unternehmen und gleichzeitig die Mitarbeiter, die sonst im Zweifel selbst entscheiden müssten, was gerade noch in Ordnung ist und was nicht mehr.

Warum eine mündliche Absprache nicht reicht

Viele Geschäftsführer winken beim Thema Regeln erst mal ab, weil man das doch auch so bespricht. In der Praxis funktioniert das selten. Was nicht aufgeschrieben ist, versteht jeder anders, und im stressigen Alltag greift ohnehin jeder zu dem Tool, das gerade am schnellsten hilft. Erst wenn die Regeln schwarz auf weiß stehen, entsteht eine gemeinsame Linie, auf die sich alle berufen können. Dazu kommt, dass du eine schriftliche KI-Richtlinie im Zweifel auch vorzeigen kannst, wenn es um Datenschutz oder gesetzliche Vorgaben geht.

Ein weiterer Punkt wird oft übersehen. Mitarbeiter wünschen sich sogar klare Regeln, weil sie gar nicht unsicher sein wollen, ob sie gerade etwas Verbotenes tun. Eine mündliche Absprache lässt genau diese Unsicherheit bestehen, denn niemand weiß im Zweifel, woran er sich halten soll. Klare Leitplanken nehmen dem Team diesen Druck und sorgen dafür, dass KI nicht aus Angst gemieden, sondern selbstbewusst und sicher genutzt wird.

Warum fast jeder Betrieb längst eine KI-Richtlinie braucht

Der Grund ist einfach. KI wird in deinem Betrieb längst genutzt, ob du es aktiv steuerst oder nicht. Laut einer Bitkom-Befragung aus dem Jahr 2025 gehen rund vier von zehn Unternehmen davon aus, dass ihre Beschäftigten private KI-Tools für die Arbeit verwenden, oft ohne Wissen der Geschäftsführung.¹ Diese sogenannte Schatten-KI ist der eigentliche Risikofaktor, denn niemand hat im Blick, welche Daten dort eingegeben werden.

Gleichzeitig hat die große Mehrheit noch gar keine Spielregeln dafür. In derselben Befragung hatten erst 23 Prozent der Unternehmen eine KI-Richtlinie aufgestellt.¹ Der Rest verlässt sich auf Zufall und Bauchgefühl. Wer hier früh handelt, verschafft sich also einen echten Vorsprung und schließt eine Lücke, durch die bei vielen Mitbewerbern noch sensible Daten nach außen sickern.

Die KI-Kompetenzpflicht macht es fast zur Pflicht

Es gibt noch einen zweiten Grund, warum das Thema gerade jetzt drängt. Seit dem 2. Februar 2025 gilt die sogenannte KI-Kompetenzpflicht aus der KI-Verordnung der EU.² Sie verlangt, dass Mitarbeiter, die mit KI arbeiten, ein ausreichendes Grundverständnis davon haben, also wissen, was die Tools können, wo ihre Grenzen liegen und welche Risiken es gibt. Eine KI-Richtlinie ist der einfachste Weg, dieser Pflicht nachzukommen und sie auch nachweisen zu können, denn sie hält genau diese Spielregeln fest.

Ein Beispiel aus unserer Region

Stell dir eine Steuerkanzlei aus dem Raum Köln vor, rund 30 Mitarbeiter. Die Mitarbeiter nutzen KI längst, um Schreiben vorzuformulieren und Texte zu kürzen. Eines Tages kopiert jemand einen kompletten Mandantenvorgang mit Namen und Zahlen in ein kostenloses KI-Tool, um sich eine Zusammenfassung erstellen zu lassen. Gut gemeint, aber ein klarer Datenschutzverstoß, von dem die Kanzlei nicht einmal etwas ahnt.

Der Handlungsbedarf ist real, aber überschaubar. Mit einer klaren KI-Richtlinie, die festlegt, welche Tools erlaubt sind und dass Mandantendaten niemals in ein öffentliches Tool gehören, wäre das nicht passiert. Eine kurze Schulung dazu, und das Team weiß, woran es ist. Genau diesen Schritt gehen gerade viele Betriebe in Köln und Bonn.

Das Beispiel zeigt auch, wie wenig es oft braucht. Der Mitarbeiter wollte nichts Böses, im Gegenteil, er wollte nur schneller fertig werden. Ohne Leitplanken wird aus so einem gut gemeinten Handgriff schnell ein ernstes Problem, über das im Zweifel der Chef den Kopf hinhalten muss. Mit klaren Regeln bleibt die gleiche Hilfsbereitschaft erhalten, nur eben auf sicherem Boden.

Woran du merkst, dass dir eine KI-Richtlinie fehlt

Nicht jeder Betrieb merkt sofort, dass ihm Regeln fehlen. Diese Anzeichen sind aber ziemlich deutlich.

• Du weißt nicht, welche KI-Tools im Einsatz sind. Niemand hat einen Überblick, wer womit arbeitet.
• Es gibt keine klare Antwort auf die Frage, was erlaubt ist. Jeder Mitarbeiter entscheidet im Zweifel selbst.
• Sensible Daten landen in kostenlosen Tools. Kundendaten oder interne Zahlen werden einfach eingegeben.
• KI-Ergebnisse gehen ungeprüft raus. Texte oder Zahlen werden übernommen, ohne dass jemand gegenliest.
• Niemand ist zuständig. Es gibt keinen festen Ansprechpartner für Fragen rund um KI.

Wenn dir mehrere dieser Punkte bekannt vorkommen, ist eine KI-Richtlinie längst überfällig. Je länger du wartest, desto mehr gewöhnt sich das Team an Abläufe, die du später wieder mühsam zurückdrehen musst.

Was in eine gute KI-Richtlinie gehört

Eine KI-Richtlinie muss nicht kompliziert sein. Ein paar klare Bausteine reichen aus, damit sie im Alltag wirklich hilft. Wichtig ist, dass jeder Baustein eine Frage beantwortet, die sich deine Mitarbeiter sonst selbst beantworten müssten. Je konkreter du wirst, desto weniger Graubereiche bleiben übrig.

• Erlaubte und verbotene Tools. Lege fest, welche KI-Dienste genutzt werden dürfen, am besten geprüfte Geschäftsversionen, und welche tabu sind.
• Umgang mit Daten. Halte klar fest, welche Daten niemals in ein KI-Tool gehören, vor allem Kundendaten, Personaldaten und Geschäftsgeheimnisse.
• Kennzeichnung. Regle, ob und wie mit KI erstellte Inhalte markiert werden, gerade im Kundenkontakt.
• Verantwortung und Ansprechpartner. Benenne, an wen sich Mitarbeiter bei Unsicherheit wenden können.
• Prüfung der Ergebnisse. Mach deutlich, dass KI-Ausgaben immer von einem Menschen gegengelesen werden, weil KI auch falsch liegen kann.

Mehr braucht es für den Anfang oft nicht. Entscheidend ist, dass die KI-Richtlinie verständlich bleibt und zu deinem Betrieb passt, statt eine Vorlage aus dem Internet blind zu übernehmen.

Lieber ermöglichen als verbieten

Ein häufiger Reflex ist, KI am liebsten ganz zu verbieten. Das geht in der Praxis fast immer schief, weil die Mitarbeiter dann einfach heimlich weitermachen und die Schatten-KI noch größer wird. Eine gute KI-Richtlinie sagt deshalb nicht nur, was verboten ist, sondern vor allem, wie KI sicher genutzt werden darf. So holst du die heimliche Nutzung ans Licht, machst aus einem Risiko einen echten Vorteil und gibst deinem Team ein gutes Gefühl dabei.

So führst du eine KI-Richtlinie ein

Damit die Richtlinie nicht in der Schublade verschwindet, kommt es auf das Vorgehen an. Ein paar klare Schritte bringen dich am weitesten, und keiner davon ist aufwändig oder teuer.

Verschaff dir zuerst einen Überblick, welche KI-Tools in deinem Betrieb überhaupt genutzt werden, auch die inoffiziellen. Erst dann weißt du, was du regeln musst. Danach legst du gemeinsam mit den wichtigsten Beteiligten die Regeln fest, hältst sie kurz und verständlich schriftlich fest und stellst sie dem ganzen Team vor. Entscheidend ist der letzte Schritt, nämlich eine kurze Schulung, damit jeder die KI-Richtlinie nicht nur kennt, sondern auch versteht. Und weil sich KI rasant weiterentwickelt, solltest du die Richtlinie einmal im Jahr überprüfen und anpassen.

Hilfreich ist außerdem, die Mitarbeiter früh einzubinden, statt ihnen die KI-Richtlinie einfach vorzusetzen. Wer mitreden darf, welche Tools im Alltag wirklich helfen, hält sich später auch eher an die Regeln. Gibt es einen Betriebsrat, solltest du ihn frühzeitig beteiligen, denn Regeln zur Nutzung von Software berühren die Mitbestimmung. Das klingt nach Aufwand, ist in der Praxis aber schnell geklärt, wenn von Anfang an klar ist, dass es ums Ermöglichen geht und nicht ums Kontrollieren.

Häufige Fehler, die du vermeiden solltest

Bei vielen Betrieben wiederholen sich dieselben Fehler. Der häufigste ist, die KI-Richtlinie viel zu kompliziert zu machen, sodass sie niemand liest. Kurz und klar schlägt lang und juristisch. Ein zweiter Fehler ist, sie einmal zu schreiben und dann nie wieder anzufassen, obwohl sich die Tools ständig ändern. Und drittens wird oft die Schulung vergessen, sodass die beste KI-Richtlinie wirkungslos bleibt, weil keiner sie wirklich kennt. Wer diese drei Fehler vermeidet, hat schon viel gewonnen.

Was du mit einer KI-Richtlinie gewinnst

Der Aufwand lohnt sich an mehreren Stellen gleichzeitig. Du schützt sensible Daten, weil klar ist, was in welche Tools darf und was nicht. Du reduzierst dein rechtliches Risiko, weil du Datenschutz und die KI-Kompetenzpflicht ein gutes Stück weit abdeckst. Und du gibst deinem Team Sicherheit, weil niemand mehr im Graubereich arbeiten muss.

Dazu kommt ein Effekt, den viele unterschätzen. Eine klare KI-Richtlinie macht KI im Betrieb erst richtig nutzbar. Statt dass jeder heimlich sein eigenes Tool verwendet, arbeiten alle mit denselben sicheren Werkzeugen, und das Wissen darüber bleibt im Unternehmen. So wird aus unkontrolliertem Wildwuchs ein echter Produktivitätsgewinn, auf den du dich verlassen kannst.

Nicht zu unterschätzen ist auch der Eindruck nach außen. Wenn ein Kunde fragt, wie ihr mit seinen Daten und mit KI umgeht, macht es einen großen Unterschied, ob du nur mit den Schultern zuckst oder eine klare Antwort geben kannst. Gerade im Wettbewerbsraum Köln und Bonn wird ein verantwortungsvoller Umgang mit KI zunehmend zum Argument, das Vertrauen schafft und dich von Mitbewerbern abhebt.

Deine nächsten Schritte mit IT-Deol

Verschaff dir zuerst ein ehrliches Bild vom aktuellen Stand. Weißt du, welche KI-Tools in deinem Betrieb genutzt werden, auch inoffiziell? Gibt es bei euch schon Regeln dazu, und kennt sie auch jeder? Und ist dein Team im sicheren Umgang mit KI geschult? Diese Fragen kosten wenig Zeit und zeigen schnell, wo es hakt.

Auf dieser Grundlage entscheidest du, ob du das intern angehst oder dir Unterstützung holst. Als IT-Systemhaus aus Lohmar helfen wir bei IT-Deol Unternehmen in Köln, Bonn und der Umgebung dabei, KI sicher nutzbar zu machen. Wir verschaffen dir den Überblick über die genutzten Tools, erstellen mit dir eine praxistaugliche KI-Richtlinie und schulen dein Team, damit die Regeln im Alltag auch ankommen. So wird aus einem diffusen Risiko ein Thema, das du im Griff hast.

Eine KI-Richtlinie klingt zunächst nach Bürokratie, ist für die meisten Betriebe aber schnell erledigt und zahlt sich sofort aus. Wer die wenigen richtigen Regeln festlegt, nutzt die Chancen der KI und bleibt trotzdem auf der sicheren Seite. Für Unternehmen in Köln und Bonn ist das eine kleine Investition mit großer Wirkung, und je früher du anfängst, desto leichter fällt es.

---

Häufige Fragen zum Thema KI-Richtlinie

Brauche ich als kleiner Betrieb wirklich schon feste Regeln für KI?

Ja, denn sobald auch nur einzelne Mitarbeiter Tools wie ChatGPT nutzen, entstehen Risiken für deine Daten, und eine KI-Richtlinie schafft hier klare Leitplanken, die IT-Deol aus Lohmar gemeinsam mit Unternehmen in Köln und Bonn praxistauglich aufsetzt.

Reicht es nicht, wenn wir die Nutzung von KI mündlich besprechen?

Nein, denn was nicht aufgeschrieben ist, versteht jeder anders, und im Zweifel kannst du nichts belegen, weshalb IT-Deol dir hilft, deine Regeln in einer kurzen, schriftlichen KI-Richtlinie festzuhalten, auf die sich dein ganzes Team berufen kann.

Was genau sollte in so einem Regelwerk überhaupt drinstehen?

Eine gute KI-Richtlinie klärt, welche Tools erlaubt sind, welche Daten tabu sind, wie KI-Inhalte gekennzeichnet werden und wer Ansprechpartner ist, und IT-Deol aus Lohmar bringt genau diese Bausteine mit und passt sie an deinen Betrieb in Köln und Bonn an.

Sollte ich meinen Mitarbeitern die Nutzung von ChatGPT einfach verbieten?

Davon ist abzuraten, denn ein Verbot führt meist nur dazu, dass heimlich weitergemacht wird, weshalb eine KI-Richtlinie besser regelt, wie KI sicher genutzt werden darf, und IT-Deol zeigt dir, wie du so die heimliche Nutzung ans Licht holst.

Was ist diese Schatten-KI, von der alle reden?

Damit ist gemeint, dass Mitarbeiter private KI-Tools für die Arbeit nutzen, ohne dass die Geschäftsführung davon weiß, was laut Bitkom rund vier von zehn Unternehmen betrifft, und eine KI-Richtlinie von IT-Deol aus Lohmar bringt genau diese unkontrollierte Nutzung wieder unter Kontrolle.

Hat eine KI-Richtlinie etwas mit der neuen EU-KI-Verordnung zu tun?

Ja, denn seit Februar 2025 gilt die KI-Kompetenzpflicht, nach der dein Team den sicheren Umgang mit KI beherrschen muss, und eine KI-Richtlinie ist der einfachste Weg, dieser Pflicht nachzukommen, wobei IT-Deol dich bei der Umsetzung in Köln und Bonn begleitet.

Wie aufwändig ist es, so eine Richtlinie einzuführen?

Deutlich geringer als viele denken, denn eine KI-Richtlinie sind nur ein paar klare Seiten plus eine kurze Schulung, und IT-Deol aus Lohmar nimmt dir die Erstellung ab, sodass dein Betrieb in Köln und Bonn in kurzer Zeit abgesichert ist.

Welche Daten dürfen meine Leute auf keinen Fall in ein KI-Tool eingeben?

Vor allem Kundendaten, Personaldaten und Geschäftsgeheimnisse gehören niemals in ein öffentliches KI-Tool, und eine KI-Richtlinie hält genau das verbindlich fest, weshalb IT-Deol diese roten Linien für Unternehmen in Köln und Bonn klar definiert.

Muss ich den Betriebsrat einbeziehen, wenn ich KI-Regeln aufstelle?

Wenn es einen Betriebsrat gibt, solltest du ihn früh beteiligen, denn Regeln zur Softwarenutzung berühren die Mitbestimmung, und IT-Deol aus Lohmar sorgt dafür, dass deine KI-Richtlinie von Anfang an sauber und akzeptiert aufgesetzt ist.

Wer hilft mir in Köln und Bonn dabei, eine KI-Richtlinie zu erstellen?

IT-Deol aus Lohmar ist dein Ansprechpartner für eine praxistaugliche KI-Richtlinie, die passende Tool-Auswahl und die Schulung deines Teams, und bietet dazu eine kostenlose Erstberatung an, in der ihr gemeinsam den größten Handlungsbedarf klärt.

---

Quellen

¹ Bitkom e. V., Presseinformation „Beschäftigte nutzen vermehrt Schatten-KI“ (21.10.2025, Befragung 2025; rund 4 von 10 Unternehmen vermuten die Nutzung privater KI-Tools, erst 23 Prozent haben eine KI-Richtlinie aufgestellt). bitkom.org/Presse/Presseinformation/Beschaeftigte-nutzen-Schatten-KI

² Europäische Kommission, KI-Verordnung (Verordnung (EU) 2024/1689), KI-Kompetenzpflicht nach Artikel 4 seit dem 2. Februar 2025. digital-strategy.ec.europa.eu/de/policies/regulatory-framework-ai

Es ist Montagmorgen, und deine Vertriebsleiterin steht mit ernstem Gesicht in deiner Tür. Im CRM hat jemand am Wochenende die komplette Kundenliste exportiert. Der Login gehört Markus. Markus hat vor vier Monaten gekündigt und arbeitet inzwischen bei der Konkurrenz. Niemand hat daran gedacht, sein Konto zu sperren. Die Mail-Adresse wurde umgeleitet, der Laptop kam zurück, und das Konto im CRM lief einfach weiter.

So etwas passiert öfter, als man denkt. In vielen Unternehmen in Köln und Bonn wachsen Benutzerkonten, Passwörter und Zugriffsrechte über Jahre mit, ohne dass jemand den Überblick behält. Genau hier setzt Identity and Access Management an. Der Begriff klingt nach Konzern und Großprojekt. In der Praxis geht es um eine einfache Frage, die du für deinen Betrieb beantworten können solltest. Wer darf bei uns eigentlich was?

Die gute Nachricht vorweg. Für ein funktionierendes Identity and Access Management brauchst du weder eine teure Speziallösung noch ein halbes Jahr Projektarbeit. Mit klaren Abläufen und den Werkzeugen, die du wahrscheinlich schon hast, bekommst du dein Identity and Access Management in den Griff. Wie das geht, zeigen wir dir in diesem Beitrag.

Was Identity and Access Management eigentlich bedeutet

Wer bist du, und was darfst du?

Hinter Identity and Access Management, kurz IAM, stecken zwei Fragen. Die erste lautet, wer sich gerade anmeldet. Das ist die Identität. Die zweite lautet, was diese Person im System tun darf. Das sind die Zugriffsrechte. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt das Ziel recht nüchtern. Beschäftigte und IT-Komponenten sollen nur auf die Informationen zugreifen, die sie für ihre Arbeit brauchen, und alle anderen bleiben draußen.¹

Klingt selbstverständlich. Ist es in vielen Betrieben aber nicht. Jede neue Software bringt eigene Konten mit, jeder neue Mitarbeiter bekommt Zugänge, und mit jeder Beförderung kommen zusätzliche Rechte dazu. Weggenommen wird dagegen selten etwas.

Warum das Thema gerade kleine Betriebe betrifft

Konzerne haben eigene Abteilungen, die sich um Identity and Access Management kümmern. Im Mittelstand erledigt das oft der Geschäftsführer nebenbei, eine engagierte Assistenz oder der Kollege, der sich halt ein bisschen mit Computern auskennt. Das funktioniert, solange zehn Leute im Büro sitzen und jeder jeden kennt. Ab etwa 25 Beschäftigten, mit Außendienst, Homeoffice und einer Handvoll Cloud-Diensten, wird es unübersichtlich. Dann weiß irgendwann niemand mehr genau, wer auf die Lohnbuchhaltung zugreifen kann oder wer noch Admin-Rechte auf dem Server hat.

Wo in vielen Betrieben die Lücken entstehen

Der Austritt, an den keiner denkt

Wenn jemand neu anfängt, ist die Motivation groß. Laptop, Mail-Adresse, Zugang zum ERP, alles soll am ersten Tag funktionieren. Beim Austritt zeigt sich, ob ein Betrieb sein Identity and Access Management ernst nimmt. Die Personalabteilung kümmert sich um Zeugnis und Resturlaub, die IT erfährt manchmal erst Wochen später davon. Und selbst wenn das Windows-Konto gesperrt wird, laufen Zugänge zu Cloud-Diensten, zum Lieferantenportal oder zum Firmenprofil in den sozialen Netzwerken oft einfach weiter.

Rechte, die sich über Jahre ansammeln

Fachleute nennen das Phänomen „Privilege Creep“, also das schleichende Anwachsen von Berechtigungen. Eine Mitarbeiterin fängt im Einkauf an, wechselt nach drei Jahren in den Vertrieb und übernimmt später die Teamleitung. Bei jedem Wechsel kommen neue Rechte dazu. Die alten bleiben. Am Ende kann sie Bestellungen freigeben, Preise ändern und Gehaltsdaten einsehen, obwohl sie nur einen Bruchteil davon braucht. Ein gutes Identity and Access Management schiebt dem einen Riegel vor. Das BSI fordert deshalb, Kennungen und Rechte nur nach dem tatsächlichen Bedarf für die jeweilige Aufgabe zu vergeben.¹

Geteilte Passwörter und Sammelkonten

„Das Passwort steht auf dem Zettel unter der Tastatur.“ Diesen Satz hören wir bei IT-Deol häufiger, als uns lieb ist. Sammelkonten wie „lager“ oder „buchhaltung“ werden von fünf Leuten mit demselben Passwort genutzt. Das ist bequem. Es bedeutet aber auch, dass sich im Ernstfall nicht nachvollziehen lässt, wer welche Änderung gemacht hat. Und wenn einer der fünf das Unternehmen verlässt, müsste eigentlich das Passwort geändert werden. Passiert das? Meistens nicht.

Dienstleister und externe Kräfte

Der Steuerberater, die Werbeagentur, der Techniker für die Maschinensteuerung. Viele Externe bekommen irgendwann Zugriff auf Teile deiner IT, oft mit weitreichenden Rechten und ohne Ablaufdatum. Nach dem Projekt denkt niemand mehr daran. So entstehen Hintertüren, die du selbst nie bewusst geöffnet hast. Im Identity and Access Management bekommen Externe deshalb Konten mit festem Ablaufdatum.

Homeoffice und private Geräte

Viele Teams arbeiten inzwischen zumindest teilweise von zu Hause. Da meldet man sich schnell mal vom privaten Laptop am Firmenportal an, und im Browser bleibt das Passwort gespeichert. Ein modernes Identity and Access Management kann solche Anmeldungen erkennen und etwa nur von geprüften Geräten zulassen. Ohne solche Regeln verschwimmt die Grenze zwischen Firmenrechner und Familien-PC.

Was fehlendes Identity and Access Management kosten kann

Gestohlene Zugangsdaten als häufigstes Einfallstor

Angreifer brechen heute selten spektakulär durch Firewalls. Sie melden sich einfach an. Laut dem Data Breach Investigations Report 2025 von Verizon war der Missbrauch von Zugangsdaten mit 22 Prozent der häufigste Einstiegsweg bei den untersuchten Datenpannen.² Genau deshalb wirkt Identity and Access Management so direkt. Jedes überflüssige Konto und jedes vergessene Passwort vergrößert also die Fläche, auf der Kriminelle ansetzen können.

Die Schäden sind enorm. Der Digitalverband Bitkom beziffert den Schaden durch Datendiebstahl, Spionage und Sabotage für die deutsche Wirtschaft auf 289,2 Milliarden Euro im Jahr, rund 70 Prozent davon gehen auf Cyberangriffe zurück.³ Für einen Betrieb mit 40 Leuten reicht schon ein einziger Vorfall, um Wochen an Arbeit und viel Vertrauen bei Kunden zu kosten.

Pflichten aus DSGVO und NIS2

Dazu kommt die rechtliche Seite. Die Datenschutz-Grundverordnung verlangt in Artikel 32 geeignete technische und organisatorische Maßnahmen, um personenbezogene Daten zu schützen.⁴ Wer nicht belegen kann, wer Zugriff auf Kundendaten oder Personalakten hat, steht bei einer Prüfung schlecht da.

Seit dem 6. Dezember 2025 gilt außerdem das neu gefasste BSI-Gesetz, mit dem Deutschland die europäische NIS2-Richtlinie umgesetzt hat. Paragraf 30 verpflichtet betroffene Unternehmen unter anderem zu Konzepten für die Zugriffskontrolle und zum Einsatz von Multi-Faktor-Authentifizierung.⁵ Ob dein Betrieb direkt darunter fällt, hängt von Branche und Größe ab. Auch wenn nicht, fragen große Kunden ihre Zulieferer immer genauer nach solchen Nachweisen. Ein sauberes Identity and Access Management wird dann schnell zum Argument im Wettbewerb.

Woran du erkennst, dass dein Identity and Access Management Lücken hat

Die Fünf-Minuten-Probe

Mach einen kleinen Test. Nimm dir fünf Minuten und versuche, ein paar Fragen ohne Nachschauen zu beantworten. Wie viele aktive Benutzerkonten gibt es in deinem Microsoft 365? Wer hat Admin-Rechte? Welche ehemaligen Mitarbeiter hatten Zugriff auf das Online-Banking? Wenn du bei einer dieser Fragen ins Grübeln kommst, bist du in guter Gesellschaft. Den meisten Geschäftsführern, mit denen wir sprechen, geht es genauso.

Typische Warnsignale im Alltag

Neue Kollegen warten tagelang auf ihre Zugänge. Passwörter werden per Mail oder Messenger verschickt. Es gibt Sammelkonten, deren Passwort seit Jahren gleich ist. Und wenn jemand fragt, wer eigentlich die Freigaben auf dem Server verwaltet, zucken alle mit den Schultern. Einzeln wirken diese Signale harmlos. Zusammen zeigen sie, dass dein Identity and Access Management über die Jahre eher zufällig gewachsen ist.

Die Bausteine von Identity and Access Management

Eine zentrale Identität für jede Person

Die Grundlage ist simpel. Jeder Mensch im Unternehmen hat genau ein Benutzerkonto, das an einer zentralen Stelle gepflegt wird. In vielen Betrieben ist das Microsoft Entra ID, das frühere Azure Active Directory, das ohnehin zu Microsoft 365 gehört. Von dort aus werden weitere Anwendungen angebunden. Wird das zentrale Konto gesperrt, ist die Person überall draußen.

Rollen statt Einzelrechte

Anstatt jedem Mitarbeiter einzeln Rechte zuzuweisen, definierst du Rollen wie Vertrieb, Buchhaltung, Lager oder Geschäftsführung. Jede Rolle bekommt ein festes Paket an Berechtigungen. Kommt eine neue Kollegin in den Vertrieb, erhält sie die Rolle Vertrieb, fertig. Wechselt sie in die Buchhaltung, tauschst du die Rolle aus, und die alten Rechte verschwinden automatisch. So wird Identity and Access Management auch für kleine Teams handhabbar.

Mehr-Faktor-Authentifizierung als Pflichtprogramm

Zu jedem Identity and Access Management gehört ein zweiter Faktor, denn ein Passwort allein reicht heute nicht mehr. Mit einem zweiten Faktor, etwa einer Bestätigung per Smartphone-App, bleibt ein gestohlenes Passwort für Angreifer weitgehend wertlos. Wir empfehlen die Mehr-Faktor-Authentifizierung für alle Konten, und ganz besonders für Admin-Zugänge und den Fernzugriff.

Single Sign-on gegen das Passwortchaos

Mit Single Sign-on meldet sich deine Belegschaft einmal an und kommt dann in alle angebundenen Programme. Und es löst ganz nebenbei das Zettelproblem, weil sich niemand mehr zwanzig verschiedene Passwörter merken muss. Für dich als Geschäftsführer bedeutet das vor allem eines. Du hast einen zentralen Schalter, mit dem du Zugänge an- und abschaltest.

Regelmäßige Überprüfung der Rechte

Einmal einrichten und dann vergessen funktioniert leider nicht. Einmal im Quartal oder zumindest zweimal im Jahr sollten die Führungskräfte prüfen, ob die Rechte in ihren Teams noch stimmen. Mit einer übersichtlichen Liste dauert es pro Abteilung aber oft nur eine halbe Stunde. Ehrlich gesagt ist das der Teil, der in der Praxis am häufigsten einschläft. Und wir haben noch kein Patentrezept gefunden, wie man Führungskräfte dauerhaft dazu motiviert.

Ein Beispiel aus unserer Region

Die Ausgangslage

Stell dir ein Ingenieurbüro in Siegburg mit rund 35 Mitarbeitern vor. So oder so ähnlich erleben wir es regelmäßig. Über die Jahre sind Microsoft 365, eine CAD-Software, ein Projektmanagement-Tool in der Cloud, ein Zeiterfassungssystem und ein Datenraum für Bauherren dazugekommen. Jedes System hatte eigene Konten. Bei der Bestandsaufnahme tauchen 58 aktive Benutzerkonten auf, obwohl nur 35 Leute im Büro arbeiten. Darunter drei ehemalige Werkstudenten, ein Praktikant aus dem Vorjahr und zwei Konten eines Planungspartners, dessen Auftrag seit über einem Jahr abgeschlossen ist. Vier Personen haben volle Admin-Rechte, obwohl nur eine sie wirklich braucht.

Was sich verändert

Gemeinsam mit der Geschäftsführung werden zuerst alle verwaisten Konten gesperrt und nach einer kurzen Wartezeit gelöscht. Danach definieren wir fünf Rollen und binden die wichtigsten Anwendungen per Single Sign-on an Microsoft Entra ID an. Mehr-Faktor-Authentifizierung gilt ab sofort für alle. Für Ein- und Austritte gibt es eine kurze Checkliste, die Personalverantwortliche und IT gemeinsam abarbeiten.

Drei Monate später sind neue Kollegen am ersten Tag arbeitsfähig, und beim Austritt reicht ein Klick, um alle Zugänge zu sperren. Für das Identity and Access Management in diesem Büro brauchte es ein paar Wochen, klare Regeln und vor allem gründliches Aufräumen. Die Geschäftsführung gewinnt dabei etwas, das sich schlecht in Euro ausdrücken lässt. Sie weiß wieder, wer was darf.

So startest du mit Identity and Access Management ohne Großprojekt

1. Verschaff dir einen Überblick

Der erste Schritt zu einem guten Identity and Access Management ist eine ehrliche Bestandsaufnahme. Welche Programme und Cloud-Dienste nutzt ihr? Wer hat dort ein Konto? Wer hat Admin-Rechte? Schon eine einfache Tabelle bringt oft erstaunliche Dinge ans Licht.

2. Regle Eintritt, Wechsel und Austritt

Fachleute sprechen vom Joiner-Mover-Leaver-Prozess. Dahinter steckt eine kurze Checkliste für drei Momente, nämlich wenn jemand anfängt, wenn jemand die Abteilung wechselt und wenn jemand geht. Lege fest, wer die IT informiert, wer die Rechte vergibt und wer das Sperren kontrolliert. Besonders der Austritt braucht eine feste Frist, am besten den letzten Arbeitstag.

3. Nutze, was schon da ist

Viele Betriebe in Köln, Bonn und im Rhein-Sieg-Kreis arbeiten bereits mit Microsoft 365. Je nach Lizenz sind Werkzeuge wie Mehr-Faktor-Authentifizierung, bedingter Zugriff und Zugriffsüberprüfungen schon enthalten. Oft fehlt nur jemand, der sie sinnvoll einrichtet. Bevor du also in zusätzliche Software investierst, lohnt sich ein Blick in die vorhandenen Lizenzen.

4. Fang klein an und bleib dran

Du musst nicht alles auf einmal lösen. Starte mit den kritischsten Systemen wie E-Mail, Buchhaltung und Kundendaten. Führe dort Mehr-Faktor-Authentifizierung ein und räume verwaiste Konten auf. Danach folgen Schritt für Schritt die übrigen Anwendungen. Identity and Access Management ist ein Prozess, der mit deinem Betrieb mitwächst, und das ist völlig in Ordnung.

Deine nächsten Schritte mit IT-Deol

Warum ein Partner vor Ort hilft

Als IT-Systemhaus aus Lohmar betreuen wir Unternehmen in Köln, Bonn, Siegburg und der ganzen Region. Wir kennen die typischen Stolperfallen beim Identity and Access Management im Mittelstand, weil wir sie jeden Tag sehen. Bei IT-Deol verbinden wir Identity and Access Management mit unseren Managed Security Services, mit Microsoft 365 und mit Security-Awareness-Trainings für deine Belegschaft. Denn die beste Technik hilft wenig, wenn niemand weiß, warum das Passwort nicht auf den Zettel gehört.

So läuft der Einstieg

Wir starten mit einem Gespräch, in dem du uns erzählst, wie dein Betrieb aufgestellt ist. Danach prüfen wir deine vorhandenen Konten und Berechtigungen und zeigen dir, wo die größten Risiken liegen. Du bekommst einen klaren Plan mit Prioritäten, den wir auf Wunsch gemeinsam umsetzen und danach laufend betreuen. Und falls Markus vom Anfang dieses Beitrags irgendwann doch auf die Idee kommt, sich einzuloggen, weißt du, dass sein Konto längst gesperrt ist.

---

Häufige Fragen zum Thema Identity and Access Management

Wie stelle ich sicher, dass ehemalige Mitarbeiter keinen Zugriff mehr auf unsere Systeme haben?

Am zuverlässigsten klappt das mit einem zentralen Benutzerkonto pro Person, über das alle Anwendungen laufen. Beim Austritt sperrst du dieses eine Konto und die Person ist überall draußen. Genau das ist der Kern von Identity and Access Management. IT-Deol aus Lohmar richtet solche Abläufe für Betriebe in Köln und Bonn ein, inklusive einer Checkliste für den letzten Arbeitstag.

Wer in meinem Betrieb sollte eigentlich welche Zugriffsrechte bekommen?

Jede Person sollte nur die Rechte haben, die sie für ihre Aufgabe wirklich braucht. Praktisch lässt sich das über Rollen wie Vertrieb, Buchhaltung oder Lager lösen, die jeweils ein festes Rechtepaket bekommen. Im Identity and Access Management ordnest du dann nur noch Rollen zu. IT-Deol aus Lohmar hilft dir, passende Rollen für deinen Betrieb zu definieren.

Reicht ein sicheres Passwort, um unsere Firmenkonten zu schützen?

Leider nicht mehr. Gestohlene Zugangsdaten gehören zu den häufigsten Einfallstoren für Angreifer. Mit einem zweiten Faktor, etwa einer Bestätigung per App, bleibt ein erbeutetes Passwort weitgehend wertlos. Diese Mehr-Faktor-Authentifizierung ist ein fester Baustein im Identity and Access Management, den IT-Deol für Unternehmen in Köln, Bonn und Lohmar einführt.

Brauche ich für eine saubere Rechteverwaltung eine teure Zusatzsoftware?

In vielen Fällen nicht. Wenn du Microsoft 365 nutzt, stecken je nach Lizenz schon viele Werkzeuge für Identity and Access Management drin, etwa Mehr-Faktor-Authentifizierung und bedingter Zugriff. Oft fehlt nur die richtige Einrichtung. IT-Deol aus Lohmar prüft deine vorhandenen Lizenzen, bevor du Geld für zusätzliche Software ausgibst.

Wie oft sollte ich prüfen, wer bei uns worauf zugreifen darf?

Für die meisten kleinen und mittleren Betriebe ist eine Überprüfung pro Quartal oder zumindest zweimal im Jahr sinnvoll. Die Führungskräfte schauen dabei, ob die Rechte in ihren Teams noch stimmen. Mit einem gepflegten Identity and Access Management dauert das pro Abteilung oft nur eine halbe Stunde. IT-Deol unterstützt Firmen in Köln und Bonn mit übersichtlichen Berichten dafür.

Ist es schlimm, wenn sich mehrere Kollegen ein Benutzerkonto teilen?

Bequem ist es, sicher aber nicht. Bei geteilten Konten lässt sich im Ernstfall nicht nachvollziehen, wer welche Änderung gemacht hat, und das Passwort wird selten geändert, wenn jemand geht. Ein Identity and Access Management setzt deshalb auf persönliche Konten für jede Person. IT-Deol aus Lohmar hilft dir, Sammelkonten schrittweise abzulösen.

Muss mein Unternehmen wegen NIS2 etwas an der Rechtevergabe ändern?

Das hängt von Branche und Größe ab. Seit dem 6. Dezember 2025 verlangt das neue BSI-Gesetz von betroffenen Unternehmen unter anderem Konzepte für die Zugriffskontrolle und Multi-Faktor-Authentifizierung. Auch wer nicht direkt betroffen ist, wird von großen Kunden zunehmend danach gefragt. Ein dokumentiertes Identity and Access Management hilft in beiden Fällen, und IT-Deol aus Lohmar prüft gern, was für dich gilt.

Wie gebe ich externen Dienstleistern sicher Zugriff auf unsere IT?

Externe sollten eigene Konten mit genau den Rechten bekommen, die sie für ihren Auftrag brauchen, und diese Konten sollten ein festes Ablaufdatum haben. So bleiben keine vergessenen Hintertüren offen. Im Identity and Access Management lässt sich das sauber regeln. IT-Deol richtet solche Gastzugänge für Unternehmen in Köln, Bonn und der Region ein.

Wie bekommen neue Mitarbeiter schon am ersten Tag alle Zugänge, die sie brauchen?

Mit einer festen Checkliste für den Eintritt und klar definierten Rollen. Sobald feststeht, in welcher Abteilung jemand anfängt, bekommt die Person automatisch das passende Rechtepaket. So spart ein gutes Identity and Access Management Zeit und Nerven. IT-Deol aus Lohmar baut solche Abläufe gemeinsam mit deiner Personalabteilung auf.

Woran erkenne ich, dass die Zugriffsrechte in meinem Betrieb aus dem Ruder gelaufen sind?

Typische Warnsignale sind mehr aktive Konten als Beschäftigte, Passwörter auf Zetteln oder im Messenger und mehrere Personen mit vollen Admin-Rechten. Wenn du nicht sofort sagen kannst, wer Zugriff auf das Online-Banking hat, ist es Zeit für eine Bestandsaufnahme. IT-Deol aus Lohmar prüft dein Identity and Access Management und zeigt dir die größten Baustellen in deinem Betrieb in Köln oder Bonn.

---

Quellen

¹ Bundesamt für Sicherheit in der Informationstechnik, IT-Grundschutz-Kompendium, Baustein ORP.4 Identitäts- und Berechtigungsmanagement (Edition 2023): https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-Kompendium_Einzel_PDFs_2023/02_ORP_Organisation_und_Personal/ORP_4_Identitaets_und_Berechtigungsmanagement_Editon_2023.html

² Verizon, 2025 Data Breach Investigations Report, Pressemitteilung: https://www.verizon.com/about/node/928927

³ Bundesamt für Verfassungsschutz, Vorstellung der Bitkom-Studie „Wirtschaftsschutz 2025″: https://www.verfassungsschutz.de/SharedDocs/kurzmeldungen/DE/2025/2025-09-18-studie-bitkom.html

⁴ EUR-Lex, Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Artikel 32: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679

⁵ Bundesministerium der Justiz, BSI-Gesetz § 30 Risikomanagementmaßnahmen: https://www.gesetze-im-internet.de/bsig_2025/__30.html

Du sitzt mit deinem IT-Dienstleister beim Kaffee, und er fragt, wann der letzte Sicherheitscheck deiner Systeme war. Deine Antwort kommt schnell, „wir lassen doch regelmäßig einen Scan laufen, das reicht doch“. Genau dieser Satz fällt in vielen Geschäftsführerbüros zwischen Köln und Bonn, und genau dieser Satz sorgt später für böse Überraschungen. Ein automatisierter Scan ist ein guter erster Schritt. Er ist aber kein Penetrationstest, auch wenn beide Begriffe im Alltag munter durcheinander geworfen werden. Der Unterschied klingt zunächst nach Fachchinesisch, entscheidet im Ernstfall aber darüber, ob ein Angreifer an deiner Firewall abprallt oder mitten in deinem Netzwerk landet.

Die gute Nachricht vorweg, sobald du den Unterschied einmal verstanden hast, kannst du gezielt entscheiden, was dein Unternehmen wirklich braucht, statt dich auf ein trügerisches Gefühl von Sicherheit zu verlassen. Gerade als Geschäftsführerin oder Geschäftsführer eines mittelständischen Betriebs zwischen Köln, Bonn und Siegburg hast du selten Zeit, dich tief in IT-Fachbegriffe einzuarbeiten, und genau deshalb lohnt sich ein kurzer, ruhiger Blick auf die Unterschiede, bevor die nächste Rechnung für einen „Sicherheitscheck“ auf deinem Tisch landet.

Was ein Schwachstellenscan wirklich leistet

Ein Schwachstellenscan ist ein automatisiertes Verfahren. Eine Software durchsucht deine Server, Firewalls, Webanwendungen und Netzwerkgeräte nach bekannten Sicherheitslücken und gleicht die Ergebnisse mit Datenbanken ab, in denen tausende dokumentierte Schwachstellen hinterlegt sind. Das Verfahren läuft weitgehend von selbst, dauert wenige Stunden bis Tage und liefert am Ende einen Bericht mit einer Liste gefundener Probleme.¹

Der große Vorteil liegt in der Geschwindigkeit und den überschaubaren Kosten. Ein Schwachstellenscan eignet sich hervorragend, um regelmäßig, zum Beispiel monatlich, den aktuellen Zustand deiner IT zu überwachen und neue Lücken schnell aufzuspüren, bevor sie sich häufen. Für viele kleine Unternehmen ist ein solcher Scan der erste sinnvolle Baustein einer IT-Sicherheitsstrategie, und niemand sollte darauf verzichten.

Wo die Grenzen eines Scans liegen

Ein Scanner erkennt nur, was er kennt. Er sucht nach bekannten Mustern und Signaturen, testet aber nicht aktiv, ob sich eine gefundene Schwachstelle tatsächlich ausnutzen lässt. Kombinierte Angriffswege, bei denen mehrere kleine Schwachstellen zusammen ein großes Einfallstor ergeben, bleiben für einen automatisierten Scan meist unsichtbar. Genauso wenig erkennt ein Scan menschliche Schwachpunkte wie großzügige Berechtigungen im echten Betrieb oder schlecht abgesicherte Prozesse in der Softwareentwicklung.

Das Ergebnis ist häufig eine lange Liste mit vermeintlichen Problemen, von denen einige in der Praxis harmlos sind, sogenannte Fehlalarme, während echte kritische Lücken in der Kombination übersehen werden.² Wer sich allein auf diese Liste verlässt, bekommt ein unvollständiges Bild seiner tatsächlichen Angriffsfläche. Für die IT-Abteilung oder den externen Dienstleister ist das kein Vorwurf, sondern liegt schlicht an der Natur des Werkzeugs, eine Software kann eben nur das prüfen, wofür sie programmiert wurde, und sie denkt nicht kreativ mit wie ein Mensch, der gezielt nach Umwegen sucht.

Was einen echten Penetrationstest ausmacht

Ein Penetrationstest geht einen entscheidenden Schritt weiter. Erfahrene Sicherheitsexperten schlüpfen für einen begrenzten Zeitraum in die Rolle eines Angreifers und versuchen mit denselben Methoden wie echte Hacker, in dein System einzudringen. Anders als beim Scan werden gefundene Schwachstellen nicht nur aufgelistet, sondern aktiv ausprobiert. Die Tester kombinieren mehrere kleinere Lücken zu einem realistischen Angriffsszenario und zeigen dir am Ende genau, wie weit ein Angreifer tatsächlich kommen würde und welche Daten er einsehen könnte.

Die fünf Phasen eines professionellen Penetrationstests

Das Bundesamt für Sicherheit in der Informationstechnik hat mit seinem Praxis-Leitfaden einen anerkannten Ablauf für einen seriösen Penetrationstest beschrieben.³ Vereinfacht läuft ein solcher Penetrationstest in fünf Phasen ab. Zuerst sammeln die Tester Informationen über dein Unternehmen und deine Systeme. Danach bewerten sie, welche Angriffswege vielversprechend erscheinen. Es folgt die eigentliche aktive Phase, in der die Tester versuchen, tatsächlich einzudringen. Anschließend werden die Ergebnisse ausgewertet und schließlich in einem verständlichen Bericht mit konkreten Handlungsempfehlungen zusammengefasst.

Am Ende bekommst du also nicht nur eine technische Liste, sondern eine echte Einschätzung deines Risikos, formuliert so, dass auch du als Geschäftsführer ohne IT-Hintergrund genau verstehst, wo dringender Handlungsbedarf besteht.

Black-Box, Grey-Box und White-Box, drei unterschiedliche Testtiefen

Nicht jeder Penetrationstest läuft gleich ab. Beim Black-Box-Test bekommen die Tester vorab keinerlei Informationen und starten wie ein echter, fremder Angreifer bei null. Beim White-Box-Test erhalten sie dagegen vollen Einblick in Dokumentation, Netzpläne und Quellcode und können dadurch besonders tief prüfen. Der Grey-Box-Test liegt dazwischen und orientiert sich häufig an dem Wissen, das ein ehemaliger Mitarbeiter oder ein kompromittiertes Nutzerkonto mitbringen würde, ein Szenario, das in der Praxis erstaunlich oft zutrifft. Für die meisten mittelständischen Unternehmen bietet ein Grey-Box-Penetrationstest das beste Verhältnis aus Aufwand und Aussagekraft.

Warum die Verwechslung schnell teuer wird

Angreifer nutzen genau das, was ein Scan übersieht

Kriminelle interessieren sich nicht für einzelne, isolierte Schwachstellen. Sie suchen nach Kombinationen, mit denen sie sich Schritt für Schritt durch dein Netzwerk bewegen können, von einem schwach gesicherten Drucker über ein veraltetes Content-Management-System bis zum Zugriff auf sensible Kundendaten. Laut dem aktuellen BSI-Lagebericht werden täglich rund 119 neue Softwareschwachstellen bekannt, ein Anstieg von 24 Prozent gegenüber dem Vorjahr, und rund 80 Prozent der registrierten Ransomware-Angriffe treffen kleine und mittlere Unternehmen.⁴ Wer sich allein auf einen automatisierten Scan verlässt, übersieht damit genau die Angriffswege, die in der Praxis am häufigsten ausgenutzt werden. Ein Penetrationstest deckt diese Kombinationen gezielt auf, bevor es ein Angreifer tut.

Compliance verlangt mehr als einen Klick auf Scan starten

Auch aus rechtlicher Sicht reicht ein reiner Schwachstellenscan oft nicht aus. Artikel 32 der Datenschutzgrundverordnung verpflichtet Unternehmen dazu, ein regelmäßiges Verfahren zur Überprüfung, Bewertung und Evaluierung der technischen Sicherheitsmaßnahmen einzurichten, und ein Penetrationstest gilt in der Praxis als anerkannter Nachweis für diese Pflicht.⁵ Seit Dezember 2025 kommt für viele Unternehmen eine weitere Ebene hinzu. Mit dem NIS2-Umsetzungsgesetz sind inzwischen rund 29.500 Unternehmen in Deutschland zu einem strukturierten Risikomanagement verpflichtet, wozu regelmäßige Sicherheitsüberprüfungen wie ein Penetrationstest ausdrücklich gehören.⁶ Auch wenn dein Unternehmen selbst nicht direkt betroffen ist, lohnt sich ein Blick auf die eigene Lieferkette, denn größere Kunden verlangen zunehmend einen Nachweis, dass ihre Zulieferer die eigene IT regelmäßig mit einem Penetrationstest überprüfen lassen.

Wie oft dein Unternehmen einen Penetrationstest braucht

Ein Penetrationstest ist kein einmaliges Projekt, das du abhakst und danach vergisst. Für den Mittelstand hat sich ein Rhythmus von zwei bis drei Jahren bewährt, ergänzt um einen zusätzlichen Penetrationstest nach größeren Veränderungen, etwa nach der Einführung einer neuen Software, einem Umzug in die Cloud oder einem größeren Umbau deiner Netzwerkstruktur. Webanwendungen mit direktem Kundenkontakt solltest du nach jedem größeren Release erneut prüfen lassen, weil dort mit jeder neuen Funktion auch neue Angriffsflächen entstehen.

Scan und Penetrationstest ergänzen sich, statt sich zu ersetzen

Die beste Lösung ist selten ein Entweder-oder. Ein regelmäßiger, automatisierter Scan hält die offensichtlichen Lücken klein und günstig unter Kontrolle, während ein Penetrationstest in größeren Abständen die wirklich kritischen Fragen beantwortet. Kombiniert bekommst du ein realistisches, laufend aktuelles Bild deiner IT-Sicherheit, ohne bei jeder kleinen Änderung gleich ein aufwendiges Testteam beauftragen zu müssen.

Woran du einen seriösen Anbieter erkennst

Qualifikation und Erfahrung zählen mehr als der Preis

Der Markt für Penetrationstests ist unübersichtlich, und als Laie fällt es schwer, gute von schlechten Anbietern zu unterscheiden. Achte auf anerkannte Zertifizierungen der Tester, auf nachvollziehbare Referenzen aus deiner Branche und auf einen Bericht, der nicht nur eine automatisch generierte Fundliste ist, sondern verständlich erklärte, priorisierte Handlungsempfehlungen enthält. Ein günstiges Angebot, das im Kern nur einen Schwachstellenscan mit anderem Namen verkauft, hilft dir im Ernstfall wenig.

Ein klarer, rechtssicherer Vertrag schützt beide Seiten

Ein Penetrationstest darf ausschließlich mit ausdrücklicher, schriftlicher Vereinbarung stattfinden, denn ohne einen klar abgegrenzten Auftrag bewegt sich ein Tester sonst schnell im Bereich strafbarer Handlungen. Ein seriöser Anbieter legt dir vor Beginn genau fest, welche Systeme getestet werden, in welchem Zeitraum getestet wird und welche Angriffsmethoden ausdrücklich erlaubt sind. Diese Klarheit schützt nicht nur den Tester, sondern vor allem dich als Auftraggeber, falls während des Penetrationstests unerwartet etwas ausfällt.

Was ein Penetrationstest kostet

Realistische Preisspannen für den Mittelstand

Viele Geschäftsführer schrecken schon beim Gedanken an ein Angebot zurück, weil sie eine fünfstellige Summe erwarten. Am deutschen Markt üblich sind Tagessätze zwischen 1.000 und 1.800 Euro, und je nach Umfang dauert ein Penetrationstest zwischen zwei und zehn Tagen.⁷ Für ein einzelnes Netzwerk oder eine überschaubare Webanwendung bewegt sich ein solider Penetrationstest damit häufig im niedrigen bis mittleren vierstelligen Bereich, während ein umfassender Test über mehrere Systeme hinweg entsprechend mehr kostet. Wichtiger als der reine Preis ist, was am Ende im Bericht steht, denn ein Angebot deutlich unter diesen Spannen ist in der Regel nur ein umbenannter Schwachstellenscan mit hübscherem Namen.

Die Investition zahlt sich im Ernstfall aus

Verglichen mit den Folgekosten eines echten Sicherheitsvorfalls, von Betriebsunterbrechung über Wiederherstellung bis zu möglichen Bußgeldern, ist ein Penetrationstest eine überschaubare, gut planbare Ausgabe. Wer den Test zusätzlich mit dem eigenen Cyber-Versicherer bespricht, kann die Ergebnisse mitunter sogar für bessere Konditionen nutzen, weil ein nachgewiesener Penetrationstest das versicherte Risiko aus Sicht des Versicherers senkt. Gerade für Unternehmen in Köln und Bonn, die eng mit größeren Auftraggebern verflochten sind, wird ein dokumentierter Penetrationstest zunehmend auch zur Voraussetzung, um überhaupt an bestimmten Ausschreibungen teilnehmen zu dürfen.

Ein Beispiel aus unserer Region

Ein Kölner Maschinenbaubetrieb mit rund 60 Mitarbeitenden hatte über Jahre einen monatlichen Schwachstellenscan im Einsatz und fühlte sich damit gut aufgestellt. Als wir gemeinsam mit dem Unternehmen einen ersten Penetrationstest durchführten, zeigte sich schnell ein anderes Bild. Der Scan hatte zwar mehrere veraltete Softwareversionen erkannt, aber niemand hatte bemerkt, dass ein Mitarbeiter im Vertrieb noch mit einem alten VPN-Zugang arbeitete, der eigentlich seit einem Teamwechsel längst hätte gesperrt werden müssen. Unsere Tester kombinierten diesen vergessenen Zugang mit einer veralteten Softwarekomponente und waren innerhalb weniger Stunden mitten im internen Netzwerk, inklusive Zugriff auf Konstruktionsdaten und Kundenlisten.

Genau solche Kombinationen aus mehreren kleinen, für sich genommen harmlos wirkenden Lücken sind es, die ein reiner Schwachstellenscan praktisch nie aufdeckt. Nach dem Penetrationstest wurden die betroffenen Zugänge geschlossen, das interne Rechtekonzept überarbeitet, und das Unternehmen aus dem Kölner Umland konnte seinen nächsten Kunden gegenüber erstmals einen belastbaren Nachweis über die eigene IT-Sicherheit vorlegen. Ähnliche Fälle erleben wir regelmäßig auch bei Unternehmen aus Bonn und der weiteren Region, und fast immer ist die Überraschung groß, wie wenig ein reiner Scan von der eigentlichen Angriffsfläche zeigt.

Besonders bemerkenswert war in diesem Fall, wie unaufgeregt die Geschäftsführung am Ende reagierte. Statt Panik gab es eine klare Priorisierung, welche Lücken sofort geschlossen werden mussten und welche Maßnahmen etwas Zeit hatten, weil sie mit dem nächsten geplanten Softwareupdate ohnehin erledigt wurden. Genau dieses ruhige, planbare Vorgehen ist es, was wir uns für jedes Unternehmen in der Region wünschen, unabhängig davon, ob es zehn oder zweihundert Mitarbeitende beschäftigt.

Deine nächsten Schritte mit IT-Deol

Ein Schwachstellenscan ist ein sinnvoller Anfang, aber eben nur ein Anfang. Wenn du wirklich wissen willst, ob deine Firewalls, deine Webanwendungen und dein internes Netzwerk einem echten Angriff standhalten, führt an einem professionellen Penetrationstest kein Weg vorbei. Als IT-Systemhaus aus Lohmar begleiten wir Unternehmen in Köln, Bonn, Siegburg und der gesamten Region dabei, genau diesen Unterschied in der Praxis zu schließen, von der ersten Bestandsaufnahme über den eigentlichen Penetrationstest bis zur Umsetzung der empfohlenen Maßnahmen. Du musst dafür kein IT-Experte sein, das übernehmen wir für dich, verständlich erklärt und ohne unnötigen Fachjargon.

---

Häufige Fragen zum Thema Penetrationstest

Was ist der Unterschied zwischen einem Penetrationstest und einem Schwachstellenscan?

Ein Schwachstellenscan läuft automatisiert und listet bekannte Sicherheitslücken auf, ohne sie auszunutzen. Ein Penetrationstest geht weiter, denn erfahrene Tester versuchen aktiv, in dein System einzudringen, und kombinieren dabei mehrere kleine Lücken zu einem realistischen Angriffsszenario. IT-Deol aus Lohmar erklärt dir gern, welche Variante zu deinem Unternehmen in Köln oder Bonn passt.

Reicht ein Schwachstellenscan nicht aus, um mein Unternehmen zu schützen?

Ein Scan ist ein guter Anfang und deckt viele bekannte Probleme zuverlässig auf. Er übersieht aber häufig genau die Kombinationen aus mehreren kleinen Lücken, mit denen echte Angreifer arbeiten. Deshalb empfehlen wir Unternehmen aus der Region Köln und Bonn, einen regelmäßigen Scan mit einem gelegentlichen Penetrationstest zu ergänzen.

Wie lange dauert ein Penetrationstest?

Je nach Umfang deiner Systeme dauert ein Penetrationstest meist zwischen zwei und zehn Arbeitstagen. Ein einzelnes Netzwerk oder eine überschaubare Webanwendung sind schneller geprüft als eine komplexe Umgebung mit vielen Anwendungen. IT-Deol stimmt den genauen Umfang vorab gemeinsam mit dir ab.

Was kostet ein Penetrationstest für ein kleines oder mittleres Unternehmen?

Am deutschen Markt sind Tagessätze zwischen 1.000 und 1.800 Euro üblich, sodass ein Penetrationstest je nach Umfang häufig im niedrigen bis mittleren vierstelligen Bereich liegt. Ein Angebot deutlich darunter ist in der Regel nur ein umbenannter Schwachstellenscan. IT-Deol erstellt dir ein transparentes Angebot passend zu deiner Unternehmensgröße in Köln, Bonn oder Umgebung.

Wie oft sollte ich einen Penetrationstest durchführen lassen?

Für den Mittelstand hat sich ein Rhythmus von zwei bis drei Jahren bewährt, ergänzt um einen zusätzlichen Penetrationstest nach größeren Änderungen wie einem Umzug in die Cloud oder einer neuen Software. Webanwendungen mit Kundenkontakt solltest du nach jedem größeren Release erneut prüfen lassen.

Ist ein Penetrationstest gesetzlich vorgeschrieben?

Direkt vorgeschrieben ist ein Penetrationstest selten, er gilt aber als anerkannter Nachweis für die technischen Sicherheitsmaßnahmen nach Artikel 32 der Datenschutzgrundverordnung. Seit dem NIS2-Umsetzungsgesetz müssen zudem viele Unternehmen in Deutschland ein strukturiertes Risikomanagement nachweisen, wozu regelmäßige Sicherheitsüberprüfungen gehören. IT-Deol prüft mit dir gemeinsam, ob dein Unternehmen betroffen ist.

Was passiert, wenn bei einem Penetrationstest eine kritische Lücke gefunden wird?

Du bekommst die Information nicht erst im fertigen Bericht, sondern bei wirklich kritischen Funden meist umgehend, damit du sofort reagieren kannst. Anschließend erhältst du eine klare Priorisierung, welche Lücken zuerst geschlossen werden sollten. IT-Deol unterstützt dich bei Bedarf direkt bei der Umsetzung der Maßnahmen.

Kann ein Penetrationstest meinen laufenden Betrieb stören?

Ein sorgfältig geplanter Penetrationstest wird so abgestimmt, dass dein Tagesgeschäft in Köln, Bonn oder Siegburg möglichst nicht beeinträchtigt wird. Zeitraum, Systeme und erlaubte Methoden legt IT-Deol vorab schriftlich mit dir fest, damit es keine Überraschungen gibt.

Welche Systeme sollte ein Penetrationstest umfassen?

Das hängt von deinem Unternehmen ab, typischerweise gehören aber dein externes Netzwerk, deine Webanwendungen und, je nach Szenario, auch interne Systeme wie Active Directory dazu. IT-Deol legt den passenden Umfang gemeinsam mit dir fest, orientiert an dem, was für dein Unternehmen wirklich relevant ist.

Wie läuft die Zusammenarbeit mit IT-Deol bei einem Penetrationstest ab?

Wir starten mit einem unverbindlichen Erstgespräch, in dem wir gemeinsam den Umfang und die passende Testtiefe klären. Danach erhältst du ein transparentes Angebot, und nach Abschluss des Penetrationstests einen verständlichen Bericht mit konkreten Handlungsempfehlungen für dein Unternehmen in Köln, Bonn oder der Region.

---

Quellen

1 Trend Micro, „Was ist Penetration Testing (Pentest)?“, https://www.trendmicro.com/de_de/what-is/penetration-testing.html

2 Computer Weekly, „So unterscheiden sich Pentests und Schwachstellenscans“, https://www.computerweekly.com/de/tipp/So-unterscheiden-sich-Pentests-und-Schwachstellenscans

3 Bundesamt für Sicherheit in der Informationstechnik, „Ein Praxis-Leitfaden für IS-Penetrationstests“, https://www.bsi.bund.de

4 Bundesamt für Sicherheit in der Informationstechnik, „Die Lage der IT-Sicherheit in Deutschland 2025“, https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Lageberichte/Lagebericht2025_Achtseiter.pdf

5 Verordnung (EU) 2016/679 (Datenschutzgrundverordnung), Artikel 32, https://eur-lex.europa.eu/eli/reg/2016/679/oj

6 SECJUR, „NIS2 Umsetzung in Deutschland, Gesetz, Fristen und nächste Schritte“, https://www.secjur.com/blog/nis2umsucg

7 Channelpartner, „Was kostet ein professioneller Penetrationstest?“, https://www.channelpartner.de/a/was-kostet-ein-professioneller-penetrationstest,3049113

Du öffnest morgens den Laptop und brauchst erst mal fünf verschiedene Logins. Die Warenwirtschaft läuft beim einen Anbieter, die Buchhaltung in einem anderen Tool, die E-Mails über einen dritten Dienst, und wer eigentlich den Server im Keller betreut, weiß so ganz genau auch niemand mehr. Für viele Geschäftsführer in Köln und Bonn ist das der ganz normale Alltag geworden, und genau das ist das eigentliche Problem. Über die Jahre ist nach und nach ein Flickenteppich entstanden, den im Betrieb keiner mehr vollständig überblickt.

Die gute Nachricht vorweg. Du musst nicht alles auf einmal umkrempeln, um da wieder herauszukommen. Mit ein paar gezielten Schritten kannst du deine IT-Komplexität reduzieren und dir Überblick, Zeit und Nerven zurückholen. Dieser Beitrag zeigt dir ohne Fachchinesisch und Schritt für Schritt, wie das geht und worauf du dabei als Geschäftsführer besonders achten solltest.

Was mit IT-Komplexität eigentlich gemeint ist

IT-Komplexität bedeutet, dass in deinem Betrieb viele einzelne Systeme, Programme, Geräte und Dienstleister nebeneinander laufen, die schlecht zusammenpassen und schwer zu überblicken sind. Jedes Tool für sich mag sinnvoll sein. In der Summe entsteht daraus aber ein Gewirr, in dem niemand mehr genau sagen kann, welche Software wofür da ist, wer worauf Zugriff hat und was passiert, wenn ein Teil ausfällt.

Wichtig ist der Unterschied zwischen gesunder und ungesunder Komplexität. Eine gewisse Vielfalt ist normal, denn kein Betrieb kommt mit einem einzigen Programm aus. Kritisch wird es erst, wenn die Teile nicht mehr zusammenspielen, Daten doppelt gepflegt werden und jede kleine Änderung zur Zitterpartie wird. Dann ist es Zeit, die IT-Komplexität zu reduzieren.

Warum IT-Komplexität fast immer schleichend entsteht

Kaum ein Unternehmer entscheidet sich bewusst für ein IT-Chaos. Es wächst von selbst. Mal wird schnell ein neues Tool eingeführt, weil eine Abteilung es gerade braucht. Mal bleibt eine alte Software liegen, weil die Umstellung zu aufwändig scheint. Mal springt ein Mitarbeiter auf einen Cloud-Dienst um, von dem die Geschäftsführung gar nichts weiß. Jede dieser Entscheidungen ist für sich harmlos, aber Stück für Stück wächst die IT-Komplexität, bis sie zur Last wird. Genau deshalb lohnt es sich, das Thema aktiv anzugehen, statt zu warten, bis es von selbst schlimmer wird.

Warum zu viel IT-Komplexität dich als Geschäftsführer ausbremst

Auf den ersten Blick ist Komplexität ein abstraktes Wort. Im Alltag ist sie aber sehr konkret spürbar. Wenn niemand mehr den Überblick hat, dauert jede Aufgabe länger. Ein neuer Mitarbeiter braucht Zugänge zu einem halben Dutzend Systemen. Eine einfache Auswertung wird zur Puzzlearbeit, weil die Daten in drei Programmen verstreut liegen. Und wenn etwas ausfällt, sucht erst mal jeder, wer überhaupt zuständig ist.

Dazu kommt das Risiko. Je mehr Systeme unkoordiniert nebeneinander laufen, desto mehr Einfallstore gibt es für Angreifer und desto leichter geht etwas verloren. Ein vergessenes Tool ohne Updates oder ein alter Zugang eines längst ausgeschiedenen Mitarbeiters wird schnell zur offenen Tür. Hohe IT-Komplexität ist damit nicht nur unbequem, sondern auch ein echtes Sicherheitsproblem. Und schließlich kostet sie Geld, denn für jedes System zahlst du Lizenzen, Wartung und Zeit, oft auch für Funktionen, die sich längst überschneiden.

Der Fachkräftemangel macht Komplexität besonders teuer

Es gibt noch einen Grund, warum sich das Thema gerade jetzt lohnt. Komplexe IT braucht Spezialisten, die sie am Laufen halten, und die sind schwer zu bekommen. Laut der Bitkom-Studie von 2025 fehlen in Deutschland rund 109.000 IT-Fachkräfte, und eine offene IT-Stelle bleibt im Schnitt 7,7 Monate unbesetzt.¹ Für einen Mittelständler in Köln oder Bonn heißt das, dass er sich kaum darauf verlassen kann, das ganze Gewirr mit eigenem Personal zu beherrschen. Je einfacher deine IT aufgebaut ist, desto weniger bist du von schwer zu findenden Spezialisten abhängig. Auch das ist ein starkes Argument, die IT-Komplexität zu reduzieren.

Ein Beispiel aus unserer Region

Stell dir einen Handelsbetrieb aus dem Raum Köln vor, rund 50 Mitarbeiter, über zwanzig Jahre gewachsen. Im Laufe der Zeit sind ein Warenwirtschaftssystem, zwei getrennte E-Mail-Umgebungen, ein selbst gebautes Excel-Konstrukt für die Lagerplanung und drei verschiedene Cloud-Speicher zusammengekommen. Jeder Mitarbeiter hat seine eigenen kleinen Umwege, um trotzdem arbeiten zu können. Als der langjährige Mitarbeiter, der das meiste im Kopf hatte, in Rente geht, steht die Firma plötzlich vor einem Rätsel, weil niemand sonst die Zusammenhänge kennt.

Der Aufwand, das wieder zu ordnen, ist real, aber er lohnt sich. Nach einer Bestandsaufnahme und ein paar klaren Entscheidungen laufen die wichtigsten Aufgaben über eine einheitliche Umgebung, die Zahl der Systeme ist deutlich kleiner, und der Betrieb ist nicht mehr vom Wissen einer einzigen Person abhängig. Genau diesen Weg gehen gerade viele Betriebe in Köln und Bonn.

Woran du merkst, dass deine IT zu komplex geworden ist

Ganz eindeutig lässt sich Komplexität nicht messen, aber es gibt verlässliche Warnsignale. Wenn dir mehrere davon bekannt vorkommen, ist es Zeit zu handeln.

• Niemand hat den vollen Überblick. Es gibt keine Liste, welche Programme, Geräte und Zugänge überhaupt im Einsatz sind.
• Onboarding dauert ewig. Ein neuer Mitarbeiter braucht Tage, bis er alle Zugänge und Tools hat.
• Daten liegen mehrfach. Dieselben Informationen werden in verschiedenen Systemen gepflegt und stimmen dann doch nicht überein.
• Jede Änderung macht Angst. Keiner traut sich, etwas anzufassen, weil unklar ist, was davon abhängt.
• Viele Dienstleister, keiner verantwortlich. Bei Problemen schiebt einer die Schuld auf den anderen.

Je mehr dieser Punkte zutreffen, desto dringender solltest du deine IT-Komplexität reduzieren, bevor sie im Ernstfall zum echten Problem wird.

So kannst du deine IT-Komplexität reduzieren

Die gute Nachricht ist, dass du dafür keine große Revolution brauchst. Ein strukturiertes Vorgehen in klaren Schritten bringt dich am weitesten.

Zuerst Überblick schaffen

Am Anfang steht immer die Bestandsaufnahme. Schreib auf, welche Programme, Geräte, Zugänge und Dienstleister in deinem Betrieb tatsächlich im Einsatz sind. Oft ist das mehr, als die Geschäftsführung vermutet, weil einzelne Abteilungen ihre eigenen Tools nutzen. Erst wenn du weißt, was alles läuft, kannst du sinnvoll entscheiden, was bleibt und was weg kann. Dieser erste Überblick ist der wichtigste Schritt, um IT-Komplexität zu reduzieren.

Standardisieren und zusammenlegen

Im nächsten Schritt schaust du, was sich zusammenführen lässt. Häufig erledigen zwei oder drei Tools fast dasselbe. Wenn dein Team ohnehin schon mit einer Umgebung wie Microsoft 365 arbeitet, lassen sich E-Mail, Dokumente, Chat und Videokonferenzen oft dort bündeln, statt für jedes davon einen eigenen Anbieter zu haben. Weniger Systeme bedeuten weniger Schnittstellen, weniger Passwörter und weniger Stellen, an denen etwas schiefgehen kann. Jedes Tool, das du streichst, senkt die IT-Komplexität spürbar.

Dass sich das lohnt, zeigt auch ein Blick auf den Arbeitsalltag. Einer viel zitierten Untersuchung der Harvard Business Review zufolge wechseln Mitarbeiter am Tag hunderte Male zwischen verschiedenen Anwendungen und verlieren damit rund vier Stunden pro Woche allein durch das ständige Hin und Her.² Wer die Zahl der Tools reduziert, gewinnt also nicht nur Übersicht, sondern auch echte Arbeitszeit zurück.

Automatisieren und zentral verwalten

Viel IT-Komplexität entsteht durch Handarbeit, die eigentlich niemand machen müsste. Wenn Daten von einem System ins nächste übertragen werden, sollte das automatisch geschehen und nicht per Copy und Paste. Genauso hilft es, Geräte und Zugänge zentral zu verwalten, statt jeden Rechner einzeln zu pflegen. So behältst du auch bei vielen Mitarbeitern den Überblick, wer worauf Zugriff hat, und kannst einen Zugang im Ernstfall mit einem Klick sperren.

Aufgaben bündeln statt verzetteln

Der wohl größte Hebel ist, die Verantwortung zu bündeln. Wenn ein einziger Partner deine IT betreut, statt drei verschiedener Anbieter, hast du einen festen Ansprechpartner, der die Zusammenhänge kennt. Du musst nicht mehr selbst zwischen Dienstleistern vermitteln, und im Problemfall ist klar, wer sich kümmert. Genau das nimmt dir im Alltag am meisten ab und ist oft der entscheidende Schritt, um die IT-Komplexität dauerhaft zu reduzieren.

Dafür sorgen, dass die Komplexität nicht zurückkommt

Die IT-Komplexität einmal zu reduzieren ist das eine, sie dauerhaft klein zu halten das andere. Ohne feste Regeln wächst der Flickenteppich sonst einfach von Neuem, und in zwei Jahren stehst du wieder am selben Punkt. Hilfreich ist eine ganz einfache Absprache, dass neue Tools erst nach kurzer Rücksprache eingeführt werden und nicht mehr unbemerkt an der Geschäftsführung vorbei. So verhinderst du, dass jede Abteilung wieder ihre eigenen Insellösungen aufbaut.

Genauso gehört ein regelmäßiger Blick auf die Liste der Systeme dazu. Einmal im Jahr durchzugehen, was noch genutzt wird und was weg kann, hält die IT schlank. Das kostet wenig Zeit und sorgt dafür, dass die mühsam gewonnene Übersicht erhalten bleibt. So bleibt die IT-Komplexität dauerhaft im Griff, statt Jahr für Jahr weiter anzuwachsen.

Häufige Fehler, die du vermeiden solltest

Bei vielen Betrieben wiederholen sich dieselben Fehler. Der häufigste ist, immer nur neue Tools oben draufzusetzen, ohne je etwas abzuschalten. So wächst die IT-Komplexität immer weiter. Ein zweiter Fehler ist, alles auf einmal umstellen zu wollen, was schnell zu Chaos und Frust führt. Besser ist ein Schritt nach dem anderen. Und drittens wird die Bestandsaufnahme oft übersprungen, obwohl niemand sinnvoll aufräumen kann, der gar nicht weiß, was alles da ist. Wer diese drei Fehler vermeidet, kommt deutlich leichter voran.

Was du gewinnst, wenn du die IT-Komplexität reduzierst

Der Aufwand lohnt sich, weil du an vielen Stellen gleichzeitig profitierst. Am deutlichsten spürst du es bei der Zeit. Weniger Systeme bedeuten weniger Handgriffe, weniger Passwörter und weniger Wechsel zwischen Programmen, und dein Team kann sich wieder auf die eigentliche Arbeit konzentrieren.

Dazu kommt die Sicherheit. Wer die IT-Komplexität reduziert, verkleinert automatisch die Angriffsfläche, weil es weniger vergessene Tools, veraltete Zugänge und ungeschützte Schnittstellen gibt. Eine schlanke, überschaubare IT lässt sich schlicht besser absichern als ein gewachsener Flickenteppich.

Auch finanziell zahlt es sich aus. Jedes System, das du einsparst, spart Lizenzkosten, Wartung und Zeit. Und schließlich wirst du unabhängiger, denn eine einfache IT braucht weniger seltene Spezialisten und macht dich damit weniger anfällig für den Fachkräftemangel. Nicht zuletzt schaffst du eine saubere Grundlage für alles, was noch kommt, denn wer heute die IT-Komplexität reduziert, kann neue Themen wie moderne Cloud-Lösungen oder KI später viel leichter aufsetzen.

Deine nächsten Schritte mit IT-Deol

Verschaff dir zuerst ein ehrliches Bild vom aktuellen Stand. Gibt es bei euch eine aktuelle Liste aller Programme, Geräte und Zugänge? Weißt du, welche Tools sich in ihren Funktionen überschneiden? Und hast du einen festen Ansprechpartner, wenn etwas nicht läuft? Diese Fragen kosten wenig Zeit und zeigen schnell, wo es hakt.

Auf dieser Grundlage entscheidest du, ob du das intern angehst oder dir Unterstützung holst. Als IT-Systemhaus aus Lohmar helfen wir bei IT-Deol Unternehmen in Köln, Bonn und der Umgebung dabei, ihre IT zu entwirren. Wir verschaffen dir den Überblick über alles, was läuft, legen doppelte Systeme zusammen und betreuen deine IT anschließend aus einer Hand. So wird aus einem gewachsenen Flickenteppich eine Umgebung, die du wieder verstehst und die im Alltag einfach funktioniert.

Zu viel IT-Komplexität kostet dich Zeit, Geld und Sicherheit, ohne dass du im Tagesgeschäft merkst, wie sehr sie dich ausbremst. Wer sie gezielt reduziert, arbeitet ruhiger, sicherer und günstiger. Und je früher du anfängst, desto kleiner ist der Aufwand, weil ein überschaubarer Flickenteppich sich leichter entwirren lässt als ein über weitere Jahre gewachsener. Für Unternehmen in Köln und Bonn ist das eine Investition, die sich fast immer schnell auszahlt.

---

Häufige Fragen zum Thema IT-Komplexität reduzieren

Woran erkenne ich, dass meine IT zu komplex geworden ist?

Typische Anzeichen sind ein fehlender Überblick über alle Systeme, ewig langes Onboarding neuer Mitarbeiter, doppelt gepflegte Daten und die Angst, etwas zu verändern, und genau hier setzt IT-Deol aus Lohmar an, um für Unternehmen in Köln und Bonn die IT-Komplexität sichtbar zu machen und zu reduzieren.

Wie entsteht diese IT-Komplexität in meinem Betrieb überhaupt?

Sie wächst fast immer schleichend, weil über die Jahre immer neue Tools dazukommen und alte nie abgeschaltet werden, und IT-Deol hilft dir, diesen gewachsenen Flickenteppich zu entwirren, statt ihn einfach weiter anwachsen zu lassen.

Muss ich für weniger IT-Komplexität gleich alles auf einmal umstellen?

Nein, ein großer Umbau auf einen Schlag führt meist nur zu Chaos, und IT-Deol aus Lohmar geht deshalb Schritt für Schritt vor, sodass du deine IT-Komplexität reduzieren kannst, ohne dass der Betrieb in Köln und Bonn dabei stillsteht.

Womit fange ich am besten an, wenn ich meine IT vereinfachen will?

Der erste und wichtigste Schritt ist eine ehrliche Bestandsaufnahme aller Programme, Geräte und Zugänge, denn niemand kann sinnvoll aufräumen, ohne zu wissen was alles läuft, und genau diese Bestandsaufnahme übernimmt IT-Deol für dich.

Was hat der IT-Fachkräftemangel mit meiner IT-Komplexität zu tun?

Komplexe IT braucht Spezialisten, die laut Bitkom kaum zu bekommen sind, denn in Deutschland fehlen rund 109.000 IT-Fachkräfte, und je einfacher deine IT ist, desto weniger bist du davon abhängig, weshalb IT-Deol aus Lohmar dir diese Last als Partner abnimmt.

Spare ich durch weniger Systeme wirklich Geld?

Ja, denn jedes System kostet Lizenzen, Wartung und Zeit, und wer die IT-Komplexität reduziert, spart an all diesen Stellen gleichzeitig, weshalb IT-Deol gemeinsam mit dir prüft, welche Tools sich in Köln und Bonn zusammenlegen oder ganz einsparen lassen.

Ist weniger IT-Komplexität auch besser für die Sicherheit?

Deutlich sogar, denn eine schlanke IT bietet weniger vergessene Tools, veraltete Zugänge und offene Schnittstellen, und IT-Deol aus Lohmar sorgt dafür, dass deine überschaubare Umgebung in Köln und Bonn zugleich sauber abgesichert ist.

Bringt es wirklich etwas, meine IT bei einem Partner zu bündeln?

Ja, denn mit einem festen Ansprechpartner statt drei verschiedener Anbieter entfällt das ständige Vermitteln, und im Problemfall ist klar, wer sich kümmert, weshalb die Betreuung aus einer Hand durch IT-Deol oft der größte Hebel ist, um IT-Komplexität dauerhaft zu reduzieren.

Wie verhindere ich, dass die Komplexität nach dem Aufräumen wieder zurückkommt?

Mit einer einfachen Regel, dass neue Tools erst nach kurzer Rücksprache eingeführt werden, und einem jährlichen Blick auf die Systemliste, und IT-Deol aus Lohmar begleitet Unternehmen in Köln und Bonn dabei, die einmal gewonnene Übersicht dauerhaft zu halten.

Wer hilft mir in Köln und Bonn dabei, meine IT-Komplexität zu reduzieren?

IT-Deol aus Lohmar ist dein Ansprechpartner, um deine IT zu entwirren, doppelte Systeme zusammenzulegen und deine gesamte IT anschließend aus einer Hand zu betreuen, und bietet dazu eine kostenlose Erstberatung an, in der ihr gemeinsam den größten Handlungsbedarf klärt.

---

Quellen

¹ Bitkom e. V., Studie „Der Arbeitsmarkt für IT-Fachkräfte 2025″ (rund 109.000 offene Stellen für IT-Fachkräfte in Deutschland, im Schnitt 7,7 Monate bis zur Besetzung einer freien IT-Stelle). https://www.bitkom.org/Presse/Presseinformation/Deutschland-fehlen-IT-Fachkraefte

² Harvard Business Review, „How Much Time and Energy Do We Waste Toggling Between Applications?“ (2022) (Beschäftigte wechseln pro Tag mehrere hundert Mal zwischen Anwendungen und verlieren dadurch rund vier Stunden pro Woche). https://hbr.org/2022/08/how-much-time-and-energy-do-we-waste-toggling-between-applications

Dienstagmorgen, kurz nach halb neun. Eine Mitarbeiterin in einem Handwerksbetrieb in Lohmar öffnet den Browser, um eine Lieferantenrechnung herunterzuladen. Der Bildschirm färbt sich rot. Eine Sicherheitswarnung meldet fünf Virenfunde, eine Telefonnummer blinkt, ein Countdown läuft. Sie ruft an. Zwanzig Minuten später hat ein Fremder Fernzugriff auf ihren Rechner, und im Betrieb weiß niemand davon.

Über genau diesen Ablauf reden wir bei IT-Deol öfter, als uns lieb ist. Die Technik im Hintergrund ist selten das Problem. Das Problem ist die halbe Sekunde zwischen dem Auftauchen einer Sicherheitswarnung und dem Klick darauf.

Warum der erste Klick über alles entscheidet

Eine Sicherheitswarnung ist erst mal nur ein Bild auf einem Bildschirm. Sie kann vom Betriebssystem kommen, vom Virenschutz, vom Browser, vom Monitoring oder von einem Kriminellen, der genau weiß, wie eine echte Meldung aussieht. Der Unterschied steckt in Details, die niemand kennt, dem sie nie jemand gezeigt hat.

Der Reflex kostet mehr als die Schadsoftware

Menschen reagieren auf Alarm mit Handlung. Das Popup drängt, der Countdown macht Druck, und die Zahl der angeblichen Funde steigt, während man noch liest. Das Bundeskriminalamt zählt für 2024 rund 131.391 in Deutschland verübte Cybercrime-Fälle und beziffert den jährlichen Schaden durch Cyberattacken auf 178,6 Milliarden Euro¹. Ein großer Teil davon fängt mit einer einzigen Handlung an einem einzigen Arbeitsplatz an.

Die Schadsoftware richtet oft weniger an als die Panik danach. Klingt hart, ist aber so. Wer aus Reflex eine Nummer anruft, eine Fernwartung freigibt oder Zugangsdaten eintippt, macht die Tür selbst auf. IT-Deol sieht in der Region Köln Bonn regelmäßig Fälle, in denen der technische Schutz sauber funktioniert hat und trotzdem alles schiefging. Weil die Person davor halt nicht wusste, was sie da eigentlich vor sich hat.

Was in Lohmar und Umgebung typischerweise passiert

Ein Fliesenleger in Siegburg, eine Steuerkanzlei in Sankt Augustin, ein Pflegedienst in Hennef. Drei völlig verschiedene Betriebe, ein identischer Ablauf. Der Bildschirm zeigt eine Sicherheitswarnung, die Person klickt sie weg, arbeitet weiter und erzählt niemandem davon. Die Sicherheitswarnung war echt. Wochen später fällt auf, dass Daten abgeflossen sind.

Wenn wir nach so einem Vorfall in den Betrieb kommen und nach der Meldekette fragen, hören wir fast immer denselben Satz: Da hätte man halt beim Chef Bescheid sagen können. Hätte. Da liegt die Lücke.

Echte Meldungen vom System und gefälschte Popups auseinanderhalten

Die gute Nachricht für jeden Betrieb im Rhein-Sieg-Kreis: Den Unterschied kann man lernen, in einer halben Stunde. Es braucht kein IT-Studium, um eine gefälschte Sicherheitswarnung zu erkennen. Es braucht drei Merkmale, die man einmal gesehen hat.

So sieht eine echte Sicherheitswarnung von Windows aus

Eine echte Meldung des Betriebssystems erscheint außerhalb des Browsers. Kein Werbebanner, keine Telefonnummer, kein Countdown, keine bunte Grafik mit Sirenen. Der Windows-Sicherheitsdienst meldet sich in einem eigenen Fenster oder als kleine Benachrichtigung rechts unten. Er verlangt nie eine Zahlung, und er nennt nie eine Rufnummer. Eine Sicherheitswarnung mit Bezahlaufforderung gibt es bei Windows schlicht nicht.

Der Virenschutz im Betrieb ist genauso unspektakulär. Er meldet einen Fund, schiebt die Datei in Quarantäne, fertig. Eine echte Sicherheitswarnung braucht keine Dramaturgie. Unsere Kunden bekommen deshalb eine kurze Übersicht, wie ihre eigenen Meldungen aussehen, mit Screenshot aus dem eigenen System und nicht aus einem Lehrbuch.

Woran du Scareware im Browser erkennst

Das Bundesamt für Sicherheit in der Informationstechnik beschreibt die Masche direkt. Kriminelle zeigen Meldungen, die denen seriöser Antivirenprogramme täuschend ähnlich sehen, und behaupten, der Rechner sei infiziert. Die angebotenen Programme haben laut BSI häufig überhaupt keine Funktion und dienen lediglich dazu, an Kreditkartendaten zu gelangen².

Praktisch heißt das: Jede Sicherheitswarnung, die im Browserfenster auftaucht, ist erst mal verdächtig. Eine Webseite kann gar nicht wissen, ob dein Rechner infiziert ist. Sie kann es nur behaupten. Und wenn eine Sicherheitswarnung dich zum Telefonieren auffordert, ist sie gefälscht. Immer.

Der Test mit der Taskleiste

Es gibt einen simplen Handgriff, den wir jedem Mitarbeitenden zeigen. Windows-Taste drücken. Erscheint das Startmenü über der angeblichen Sicherheitswarnung, war das Ganze nur eine Webseite im Vollbildmodus. Danach schließt man den Browser über den Task-Manager, ohne irgendwas im Fenster anzuklicken.

• Kein Klick auf Schaltflächen im Popup, auch kein Klick auf das X
• Kein Anruf bei einer angezeigten Nummer
• Kein Download einer angeblichen Reinigungssoftware
• Browser über den Task-Manager beenden
• Vorgang melden, auch wenn scheinbar nichts passiert ist

Ein Autohaus in Troisdorf hat diese fünf Punkte ausgedruckt an jedem Arbeitsplatz hängen. Seitdem kommt jede Sicherheitswarnung bei uns an, bevor jemand etwas anklickt.

Zertifikatswarnungen im Browser richtig lesen

Die zweite Kategorie sorgt für die meiste Verwirrung. Der Browser blockiert eine Seite und zeigt eine Sicherheitswarnung zum Zertifikat. Diese Meldung ist echt, sie kommt vom Browser selbst, und sie bedeutet etwas ganz anderes als ein Virenfund.

Was der Browser dir wirklich sagt

Der Browser prüft, ob die Verschlüsselung zur aufgerufenen Adresse passt. Passt sie nicht, kann das an einem abgelaufenen Zertifikat liegen, an einer falsch gestellten Uhr im Rechner oder daran, dass sich jemand zwischen dich und die Webseite geschaltet hat. Die Sicherheitswarnung sagt dir, dass die Verbindung gerade nicht überprüfbar ist. Mehr sagt sie nicht.

Das BSI weist bei Phishing darauf hin, dass gefälschte Seiten sich optisch kaum vom Original unterscheiden lassen und die Adresszeile der entscheidende Prüfpunkt bleibt. Wenn eine Bank, ein Lieferantenportal oder das Steuerprogramm plötzlich eine Sicherheitswarnung auslöst, gehört das gemeldet, bevor irgendwer weiterklickt.

Wann du weiterklicken darfst und wann nicht

Bei internen Systemen mit eigenem Zertifikat, etwa einem Terminalserver oder einer Steuerungsoberfläche in der Produktion, ist die Meldung oft harmlos und längst bekannt. Bei allem, was im Internet liegt und mit Geld, Kundendaten oder Zugangsdaten zu tun hat, gilt das Gegenteil. Da wird nicht weitergeklickt.

Diese Unterscheidung kann kein Mitarbeitender aus dem Bauch heraus treffen. Deshalb pflegt IT-Deol für Betriebe zwischen Rösrath und Bad Honnef eine kurze Liste der internen Systeme, bei denen eine Sicherheitswarnung erwartbar ist. Alles außerhalb dieser Liste geht an die IT. Für einen Maschinenbauer in Overath hat diese Liste sieben Zeilen. Mehr braucht es nicht.

Anrufe, Mails und die Nummer im Popup

Der gefährlichste Teil der Masche kommt gar nicht vom Bildschirm. Er kommt aus dem Telefonhörer. Und er funktioniert, weil er höflich ist.

Der angebliche Microsoft-Support

Die Polizeiliche Kriminalprävention der Länder und des Bundes wird deutlich. Angebliche Microsoft-Mitarbeiter behaupten, der Rechner des Angerufenen sei von Viren befallen oder gehackt worden. Über Fernwartungssoftware bekommen die Täter Zugriff und können sensible Daten wie Passwörter für das Online-Banking ausspähen. Der zentrale Satz der Polizei lautet: Seriöse Unternehmen wie Microsoft nehmen nicht unaufgefordert Kontakt zu ihren Kunden auf³.

Die Verbraucherzentrale beschreibt dieselbe Masche mit dem Popup als Einstieg. Betrügerische Fenster sehen aus, als handele es sich um eine Sicherheitswarnung von Windows, und fordern zum Anruf beim angeblichen Support auf. Danach sollen Betroffene bis zu 400 Euro für ein angebliches Wartungspaket zahlen und Fernzugriff gewähren. Die Empfehlung ist eindeutig: Reagiere nicht auf vermeintliche Warnhinweise, die im Browser erscheinen⁴.

Für dich als Inhaber folgt daraus eine einzige Regel. Jede Fernwartung im Betrieb läuft ausschließlich über bekannte Wege. Wer bei IT-Deol im Vertrag ist, weiß, welche Software wir nutzen und wie wir uns ankündigen. Ein unangekündigter Anruf mit einer angeblichen Sicherheitswarnung ist damit sofort als Betrug erkennbar.

Phishing-Mails mit Sicherheitshinweis

Die Mail-Variante arbeitet mit denselben Hebeln. Betreff: Sicherheitswarnung für dein Konto. Inhalt: Ungewöhnliche Anmeldung festgestellt, Konto wird in 24 Stunden gesperrt, bitte hier bestätigen. Der Link führt auf eine Seite, die aussieht wie das Original.

Drei Prüfschritte reichen für den Anfang. Erstens: Erwarte ich diese Nachricht überhaupt? Zweitens: Stimmt die Absenderadresse bis hinter das at-Zeichen? Drittens: Wohin führt der Link, wenn ich mit der Maus draufzeige, ohne zu klicken? Eine echte Sicherheitswarnung deines Providers überlebt es problemlos, wenn du dich stattdessen selbst über die dir bekannte Adresse einloggst.

Bei einer Zahnarztpraxis in Neunkirchen-Seelscheid war es eine angebliche Sicherheitswarnung des Abrechnungsdienstleisters, die den Vorfall ausgelöst hat. Die Praxis hat es am selben Tag gemeldet. Deshalb blieb es bei einem gesperrten Zugang statt einer Datenpanne.

Wenn das Netzwerk-Monitoring Alarm schlägt

Nicht jede Sicherheitswarnung landet auf einem Bildschirm im Büro. Ein Teil entsteht im Hintergrund, da, wo niemand hinschaut.

Warnungen ohne Bildschirm

Monitoring erkennt Dinge, die kein Mensch bemerkt. Ein Rechner, der nachts um drei größere Datenmengen ins Ausland schiebt. Eine Firewall, die auffällig viele blockierte Verbindungen zählt. Ein Benutzerkonto, das sich innerhalb von Minuten aus zwei Ländern anmeldet. So eine Sicherheitswarnung kommt per Ticket oder Mail bei der IT an, und der Betrieb merkt davon erst mal nichts.

Für Betriebe in Much, Ruppichteroth oder Wiehl mit wenigen Arbeitsplätzen lohnt sich das genauso wie für größere Häuser in Bergisch Gladbach. Wir richten das Monitoring so ein, dass es meldet und nicht rauscht. Zu viele Meldungen sind so schlecht wie keine.

Warum Monitoring ohne Reaktionsplan wenig bringt

Eine Sicherheitswarnung, die keiner bearbeitet, ist ein Protokolleintrag. Zu jedem Alarm gehört deshalb eine festgelegte Reaktion, ein zuständiger Mensch und eine Zeitvorgabe. Wer meldet an wen, wer entscheidet, wer informiert die Geschäftsführung. Das passt auf eine halbe Seite. Aufgeschrieben hat es trotzdem fast keiner, und dann steht bei der ersten ernsten Sicherheitswarnung jeder ratlos im Flur.

Die Meldekette im Betrieb

Hier liegt der wunde Punkt in den meisten kleinen Betrieben der Region. Technik ist da, Zuständigkeit nicht.

Eine Nummer, die jeder kennt

Das BSI hat dafür die IT-Notfallkarte entwickelt, ausdrücklich als Hinweisschild analog zum bekannten Format Verhalten im Brandfall. Sie nennt drei Punkte: Kenntnis der Ansprechpartner für IT-Notfälle und deren Erreichbarkeit, sofortige Weitergabe entscheidender Informationen und Gegenmaßnahmen nur nach Absprache mit den zuständigen Ansprechpartnern⁵.

So setzen wir das auch um. IT-Deol hinterlegt auf der Karte eine einzige Rufnummer, die im Flur, in der Werkstatt und in der Küche hängt. Wer eine Sicherheitswarnung sieht, ruft diese Nummer an. Das war die ganze Regel.

Die Regel gegen Eigenmaßnahmen

Der zweite Punkt ist der unbequeme. Niemand im Betrieb repariert selbst. Kein Neustart, keine Reinigungssoftware aus dem Netz, kein eigenständiges Löschen von Dateien. Das BSI formuliert es so, dass die Entscheidung in die richtigen Hände gehört, weil nicht jeder IT-Notfall leicht zu erkennen ist⁵.

Für eine Spedition in Sankt Augustin hat das den Unterschied gemacht. Der Disponent sah eine Sicherheitswarnung, fasste nichts an und griff zum Telefon. Wir waren innerhalb von zwölf Minuten auf dem System und konnte den betroffenen Rechner isolieren, bevor sich etwas ausbreitete.

Fehlerkultur statt Schuldsuche

Der häufigste Grund für verschwiegene Vorfälle ist Angst vor Ärger. Wer Ärger befürchtet, meldet nichts. Damit verlierst du als Unternehmer die wertvollste Ressource im Ernstfall, nämlich Zeit. Sag deinem Team einmal deutlich, dass eine gemeldete Sicherheitswarnung nie zu Vorwürfen führt, auch dann nicht, wenn schon geklickt wurde. Dieser eine Satz ist mehr wert als manche Software.

Was in den ersten 15 Minuten passieren muss

Wenn der Verdacht im Raum steht, zählt die Reihenfolge. Sie ist kurz und immer gleich.

Was sofort passiert

• Hände weg von der Tastatur, Bildschirm anlassen
• Foto der Sicherheitswarnung mit dem Handy, samt Uhrzeit
• Anruf bei der hinterlegten Nummer, kurz und sachlich
• Notieren, was genau vorher gemacht wurde: Mail, Link, Datei, Anruf
• Netzwerkkabel oder WLAN trennen, sobald die IT es anweist
• Betroffene Zugangsdaten von einem anderen Gerät aus ändern

Das Foto klingt banal und ist es nicht. Eine Sicherheitswarnung verschwindet, sobald jemand den Browser schließt. Danach fehlt genau die Information, die uns sagt, welche Masche gelaufen ist. Bei IT-Deol fängt die Analyse fast immer mit so einem Handyfoto an.

Was warten kann

Die Suche nach dem Schuldigen wartet. Die Diskussion über neue Software wartet. Die Rundmail an alle wartet, bis klar ist, was die Sicherheitswarnung überhaupt ausgelöst hat. In den ersten 15 Minuten geht es ums Eingrenzen und ums Sichern von Spuren.

Netzstecker ziehen oder nicht

Der beliebteste Ratschlag aus dem Internet ist auch der gefährlichste, wenn man ihn pauschal befolgt.

Wann Trennen sinnvoll ist

Die Netzwerkverbindung zu kappen ist richtig, wenn Verschlüsselung sichtbar läuft, wenn eine Fernwartung durch Fremde aktiv ist oder wenn Dateien reihenweise umbenannt werden. Verbraucherzentrale und Polizei empfehlen bei bestätigtem Fremdzugriff ausdrücklich, den Rechner vom Internet zu trennen und danach alle Passwörter zu ändern³⁴.

Gemeint ist damit das Netzwerkkabel oder das WLAN. Der Unterschied zum Stromstecker ist wichtig, aber kaum jemand kennt ihn.

Warum Ausschalten Beweise vernichtet

Das BSI erklärt in den FAQ zur IT-Notfallkarte, warum dort bewusst keine Empfehlung zum Ziehen von Strom- oder Netzwerkkabeln steht. IT-Notfälle sind zu unterschiedlich, weitere Maßnahmen lassen sich nur individuell empfehlen und entscheiden. Als wesentlicher erster Schritt gilt die schnelle Erreichbarkeit von qualifiziertem IT-Personal⁶.

Technisch dahinter steckt der Arbeitsspeicher. Dort stehen im Ernstfall Schlüssel, aktive Verbindungen und laufende Prozesse, die nach dem Ausschalten weg sind. Bei manchen Verschlüsselungsfällen ließ sich genau daraus etwas retten. Wer den Strom zieht, entscheidet das ungewollt vorweg. Die Regel bei uns lautet deshalb: Netzwerk trennen darf jeder auf Anweisung, Strom trennen entscheidet die IT.

Meldepflichten, die viele Betriebe übersehen

Nach dem technischen Teil kommt der rechtliche. Er wird gern verdrängt und hat Fristen.

Artikel 33 DSGVO und die 72 Stunden

Wenn bei einem Vorfall personenbezogene Daten betroffen sein könnten, greift die Meldepflicht. Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen schreibt es so: Der Verantwortliche muss die Datenpanne unverzüglich, möglichst innerhalb von 72 Stunden nach dem Bekanntwerden, an die zuständige Aufsichtsbehörde melden, sofern ein mehr als geringes Risiko für die betroffenen Personen besteht. Auftragsverarbeiter müssen ihre Auftraggeber unverzüglich informieren⁷.

Die Frist läuft ab Kenntnis. Wird eine Sicherheitswarnung am Montag weggeklickt und der Vorfall erst am Freitag bekannt, hast du vier Tage verloren, die dir keiner zurückgibt. Für Betriebe mit Kunden- oder Patientendaten in Lohmar, Siegburg und Umgebung ist das der teuerste Teil einer fehlenden Meldekette.

Anzeige bei der Polizei

Die Polizei empfiehlt Betroffenen ausdrücklich, Anzeige zu erstatten³. Das gilt auch dann, wenn kein Geld geflossen ist. Anzeigen sind die Grundlage für Ermittlungen, und sie sind oft Voraussetzung für Leistungen aus einer Cyber-Versicherung. Wir bereiten Kunden dafür die technische Dokumentation auf, damit die Anzeige nicht aus drei Sätzen besteht.

Vorbereitung schlägt Improvisation

Alles bisher Beschriebene funktioniert nur, wenn es vor dem Ernstfall festgelegt wurde. Danach ist es Improvisation.

Übung im Betriebsalltag

Eine Übung dauert 20 Minuten. Du schickst deinem Team eine harmlose Testmail mit Sicherheitshinweis oder zeigst im Meeting den Screenshot einer gefälschten Sicherheitswarnung und fragst, wer jetzt wen anruft. Kommen drei verschiedene Antworten, kennst du dein Ergebnis. Wiederhol das zweimal im Jahr.

Ein Architekturbüro in Bad Honnef macht das im Rahmen der Sicherheitsunterweisung, direkt nach dem Feuerlöscher. Der Vergleich passt gut, denn die IT-Notfallkarte des BSI ist genau daran angelehnt⁵.

Was IT-Deol dabei übernimmt

Wir richten das Monitoring ein, hinterlegen die Notfallnummer, schulen das Team an echten Beispielen aus dem eigenen Betrieb und legen fest, welche Sicherheitswarnung intern erwartbar ist. Im Vorfall übernimmt IT-Deol die Analyse, grenzt den Schaden ein und dokumentiert alles, inklusive der Unterlagen für Aufsichtsbehörde und Anzeige.

Was wir dir nicht abnehmen können, ist die halbe Sekunde am Bildschirm. Die entscheidet immer noch jemand aus deinem Team, allein, unter Druck, morgens um halb neun. Ob diese Person dann die Nummer im Popup anruft oder die Nummer an der Wand, hängt davon ab, was ihr vorher miteinander vereinbart habt. Die meisten Betriebe im Rhein-Sieg-Kreis haben diese Vereinbarung bis heute nicht getroffen. Und die nächste Sicherheitswarnung wartet nicht, bis ihr euch einig seid.

---

Auf dem Rechner meiner Buchhalterin blinkt ein rotes Fenster mit einer Telefonnummer. Was soll sie tun?

Finger weg von der Nummer. Ein rotes Fenster mit Rufnummer und Countdown ist eine gefälschte Sicherheitswarnung, also eine Meldung, die dir vorgaukelt, dein Gerät sei in Gefahr. Windows und dein Virenschutz melden sich außerhalb des Browsers und nennen niemals eine Telefonnummer. Lass sie die Windows-Taste drücken, den Browser über den Task-Manager schließen und sofort im Betrieb Bescheid geben.

Ein Mitarbeiter hat bei einem angeblichen Microsoft-Support angerufen und ihn auf den Rechner gelassen. Wie schlimm ist das?

Das ist ernst, aber beherrschbar, wenn ihr schnell seid. Trenn das Gerät vom Netzwerk, lass die Fernwartungssoftware entfernen und ändere alle Passwörter von einem anderen Gerät aus. Die Sicherheitswarnung auf dem Bildschirm, also die angebliche Virenmeldung, war nur der Köder. Der Schaden entsteht im Telefonat. Erstatte Anzeige bei der Polizei. IT-Deol prüft, was in der Zeit passiert ist.

Mein Browser sagt, die Verbindung zu unserem Lieferantenportal sei nicht sicher. Kann ich trotzdem weiterarbeiten?

Arbeite dort erst mal nicht weiter. Diese Sicherheitswarnung, also die Meldung deines Browsers über eine unsichere Verbindung, heißt, dass die Verschlüsselung gerade nicht überprüfbar ist. Ursache kann ein abgelaufenes Zertifikat sein, eine falsch gestellte Uhr im Rechner oder jemand, der sich dazwischengeschaltet hat. Bei Portalen mit Zugangsdaten oder Rechnungen gilt: erst klären lassen, dann weiterklicken.

Bei uns weiß niemand, wen er anrufen soll, wenn am Rechner etwas komisch ist. Wie regelt man das?

Häng eine einzige Rufnummer sichtbar auf, im Flur, in der Werkstatt und in der Küche. Das BSI nennt so ein Schild IT-Notfallkarte, angelehnt an das bekannte Verhalten im Brandfall. Wer eine Sicherheitswarnung sieht, also einen Hinweis auf eine mögliche Gefahr am Rechner, ruft diese Nummer an und fasst sonst nichts an. IT-Deol hinterlegt die Nummer und übt den Ablauf mit deinem Team.

Wenn bei uns ein Computer plötzlich verrückt spielt, soll ich dann einfach den Stecker rausziehen?

Zieh das Netzwerkkabel oder schalte das WLAN ab, den Strom lieber nicht. Im Arbeitsspeicher liegen Informationen, die nach dem Ausschalten weg sind und bei der Aufklärung helfen. Das BSI gibt bewusst keine pauschale Empfehlung zum Ziehen von Kabeln. Melde die Sicherheitswarnung, also den Hinweis auf ein mögliches Problem, erst deiner IT und trenne dann auf Anweisung.

Wir bekommen ständig Mails, unser Konto werde gesperrt, wenn wir nicht sofort klicken. Sind die alle gefälscht?

Sehr wahrscheinlich ja. Kriminelle bauen eine Sicherheitswarnung in die Mail ein, also einen dringlichen Hinweis auf eine angebliche Gefahr, damit du unter Zeitdruck klickst. Prüfe drei Dinge: Erwartest du die Nachricht überhaupt? Stimmt die Absenderadresse komplett? Wohin führt der Link, wenn du mit der Maus draufzeigst? Logg dich im Zweifel über die dir bekannte Adresse ein.

Ein Fremder hatte kurz Zugriff auf einen Rechner mit Kundendaten. Muss ich das irgendwem melden?

Wahrscheinlich ja. Bei mehr als geringem Risiko für die betroffenen Personen musst du die Datenpanne der Aufsichtsbehörde melden, möglichst innerhalb von 72 Stunden ab Kenntnis. Die Frist läuft ab dem Moment, in dem du davon erfährst. Wurde vorher tagelang eine Sicherheitswarnung ignoriert, also ein Hinweis des Systems auf eine Gefahr, verlierst du wertvolle Tage. Dokumentiere jeden Vorfall.

Was sind die ersten Schritte, wenn ich morgens merke, dass mit einem Arbeitsplatz etwas nicht stimmt?

Hände weg von der Tastatur, Bildschirm anlassen, mit dem Handy ein Foto machen. Dann die Notfallnummer anrufen und sagen, was kurz vorher gemacht wurde. Das Foto einer Sicherheitswarnung, also der Meldung auf dem Bildschirm, verrät später die genaue Masche und ist nach dem Schließen des Fensters für immer weg. Getrennt und neu gestartet wird erst auf Anweisung der IT.

Ich habe den Verdacht, dass meine Leute Computerprobleme lieber verschweigen. Was kann ich tun?

Der Grund ist fast immer Angst vor Ärger. Sag deinem Team einmal deutlich, dass Melden nie zu Vorwürfen führt, auch wenn schon geklickt wurde. Eine gemeldete Sicherheitswarnung, also ein Hinweis auf eine mögliche Gefahr am Rechner, kostet dich ein paar Minuten. Eine verschwiegene kann dich Wochen kosten. Häng die Notfallnummer auf und übe den Ablauf zweimal im Jahr.

Wir sind nur fünf Leute im Büro. Lohnt sich eine Überwachung unseres Netzwerks überhaupt?

Gerade dann. Eine Überwachung erkennt, was kein Mensch bemerkt: nächtliche Datenabflüsse, Anmeldungen aus zwei Ländern innerhalb von Minuten, auffällig viele blockierte Verbindungen. So eine Sicherheitswarnung, also ein automatischer Alarm des Systems, landet direkt bei der IT statt auf einem Bildschirm im Büro. Wichtig ist die Feineinstellung, damit es meldet und nicht rauscht. IT-Deol richtet das für kleine Betriebe ein.

---

Quellen

1 Bundeskriminalamt, Primärquelle: https://www.bka.de/DE/AktuelleInformationen/StatistikenLagebilder/Lagebilder/Cybercrime/2024/CC_2024.html

2 Bundesamt für Sicherheit in der Informationstechnik, Primärquelle: https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Virenschutz-Firewall/Virenschutzprogramme/virenschutzprogramme.html

3 Polizeiliche Kriminalprävention der Länder und des Bundes, Primärquelle: https://www.polizei-beratung.de/themen-und-tipps/betrug/falsche-microsoft-mitarbeiter/

4 Verbraucherzentrale, Primärquelle: https://www.verbraucherzentrale.de/wissen/vertraege-reklamation/abzocke/warnung-abzocke-durch-angebliche-microsoftmitarbeiter-24641

5 Bundesamt für Sicherheit in der Informationstechnik, Primärquelle: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Unternehmen-allgemein/IT-Notfallkarte/IT-Notfallkarte/it-notfallkarte.html

6 Bundesamt für Sicherheit in der Informationstechnik, Primärquelle: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Unternehmen-allgemein/IT-Notfallkarte/FAQ/faq_node.html

7 Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Primärquelle: https://www.ldi.nrw.de/datenpanne-was-nun