Dienstagmorgen, kurz nach halb neun. Eine Mitarbeiterin in einem Handwerksbetrieb in Lohmar öffnet den Browser, um eine Lieferantenrechnung herunterzuladen. Der Bildschirm färbt sich rot. Eine Sicherheitswarnung meldet fünf Virenfunde, eine Telefonnummer blinkt, ein Countdown läuft. Sie ruft an. Zwanzig Minuten später hat ein Fremder Fernzugriff auf ihren Rechner, und im Betrieb weiß niemand davon.

Über genau diesen Ablauf reden wir bei IT-Deol öfter, als uns lieb ist. Die Technik im Hintergrund ist selten das Problem. Das Problem ist die halbe Sekunde zwischen dem Auftauchen einer Sicherheitswarnung und dem Klick darauf.

Warum der erste Klick über alles entscheidet

Eine Sicherheitswarnung ist erst mal nur ein Bild auf einem Bildschirm. Sie kann vom Betriebssystem kommen, vom Virenschutz, vom Browser, vom Monitoring oder von einem Kriminellen, der genau weiß, wie eine echte Meldung aussieht. Der Unterschied steckt in Details, die niemand kennt, dem sie nie jemand gezeigt hat.

Der Reflex kostet mehr als die Schadsoftware

Menschen reagieren auf Alarm mit Handlung. Das Popup drängt, der Countdown macht Druck, und die Zahl der angeblichen Funde steigt, während man noch liest. Das Bundeskriminalamt zählt für 2024 rund 131.391 in Deutschland verübte Cybercrime-Fälle und beziffert den jährlichen Schaden durch Cyberattacken auf 178,6 Milliarden Euro¹. Ein großer Teil davon fängt mit einer einzigen Handlung an einem einzigen Arbeitsplatz an.

Die Schadsoftware richtet oft weniger an als die Panik danach. Klingt hart, ist aber so. Wer aus Reflex eine Nummer anruft, eine Fernwartung freigibt oder Zugangsdaten eintippt, macht die Tür selbst auf. IT-Deol sieht in der Region Köln Bonn regelmäßig Fälle, in denen der technische Schutz sauber funktioniert hat und trotzdem alles schiefging. Weil die Person davor halt nicht wusste, was sie da eigentlich vor sich hat.

Was in Lohmar und Umgebung typischerweise passiert

Ein Fliesenleger in Siegburg, eine Steuerkanzlei in Sankt Augustin, ein Pflegedienst in Hennef. Drei völlig verschiedene Betriebe, ein identischer Ablauf. Der Bildschirm zeigt eine Sicherheitswarnung, die Person klickt sie weg, arbeitet weiter und erzählt niemandem davon. Die Sicherheitswarnung war echt. Wochen später fällt auf, dass Daten abgeflossen sind.

Wenn wir nach so einem Vorfall in den Betrieb kommen und nach der Meldekette fragen, hören wir fast immer denselben Satz: Da hätte man halt beim Chef Bescheid sagen können. Hätte. Da liegt die Lücke.

Echte Meldungen vom System und gefälschte Popups auseinanderhalten

Die gute Nachricht für jeden Betrieb im Rhein-Sieg-Kreis: Den Unterschied kann man lernen, in einer halben Stunde. Es braucht kein IT-Studium, um eine gefälschte Sicherheitswarnung zu erkennen. Es braucht drei Merkmale, die man einmal gesehen hat.

So sieht eine echte Sicherheitswarnung von Windows aus

Eine echte Meldung des Betriebssystems erscheint außerhalb des Browsers. Kein Werbebanner, keine Telefonnummer, kein Countdown, keine bunte Grafik mit Sirenen. Der Windows-Sicherheitsdienst meldet sich in einem eigenen Fenster oder als kleine Benachrichtigung rechts unten. Er verlangt nie eine Zahlung, und er nennt nie eine Rufnummer. Eine Sicherheitswarnung mit Bezahlaufforderung gibt es bei Windows schlicht nicht.

Der Virenschutz im Betrieb ist genauso unspektakulär. Er meldet einen Fund, schiebt die Datei in Quarantäne, fertig. Eine echte Sicherheitswarnung braucht keine Dramaturgie. Unsere Kunden bekommen deshalb eine kurze Übersicht, wie ihre eigenen Meldungen aussehen, mit Screenshot aus dem eigenen System und nicht aus einem Lehrbuch.

Woran du Scareware im Browser erkennst

Das Bundesamt für Sicherheit in der Informationstechnik beschreibt die Masche direkt. Kriminelle zeigen Meldungen, die denen seriöser Antivirenprogramme täuschend ähnlich sehen, und behaupten, der Rechner sei infiziert. Die angebotenen Programme haben laut BSI häufig überhaupt keine Funktion und dienen lediglich dazu, an Kreditkartendaten zu gelangen².

Praktisch heißt das: Jede Sicherheitswarnung, die im Browserfenster auftaucht, ist erst mal verdächtig. Eine Webseite kann gar nicht wissen, ob dein Rechner infiziert ist. Sie kann es nur behaupten. Und wenn eine Sicherheitswarnung dich zum Telefonieren auffordert, ist sie gefälscht. Immer.

Der Test mit der Taskleiste

Es gibt einen simplen Handgriff, den wir jedem Mitarbeitenden zeigen. Windows-Taste drücken. Erscheint das Startmenü über der angeblichen Sicherheitswarnung, war das Ganze nur eine Webseite im Vollbildmodus. Danach schließt man den Browser über den Task-Manager, ohne irgendwas im Fenster anzuklicken.

• Kein Klick auf Schaltflächen im Popup, auch kein Klick auf das X
• Kein Anruf bei einer angezeigten Nummer
• Kein Download einer angeblichen Reinigungssoftware
• Browser über den Task-Manager beenden
• Vorgang melden, auch wenn scheinbar nichts passiert ist

Ein Autohaus in Troisdorf hat diese fünf Punkte ausgedruckt an jedem Arbeitsplatz hängen. Seitdem kommt jede Sicherheitswarnung bei uns an, bevor jemand etwas anklickt.

Zertifikatswarnungen im Browser richtig lesen

Die zweite Kategorie sorgt für die meiste Verwirrung. Der Browser blockiert eine Seite und zeigt eine Sicherheitswarnung zum Zertifikat. Diese Meldung ist echt, sie kommt vom Browser selbst, und sie bedeutet etwas ganz anderes als ein Virenfund.

Was der Browser dir wirklich sagt

Der Browser prüft, ob die Verschlüsselung zur aufgerufenen Adresse passt. Passt sie nicht, kann das an einem abgelaufenen Zertifikat liegen, an einer falsch gestellten Uhr im Rechner oder daran, dass sich jemand zwischen dich und die Webseite geschaltet hat. Die Sicherheitswarnung sagt dir, dass die Verbindung gerade nicht überprüfbar ist. Mehr sagt sie nicht.

Das BSI weist bei Phishing darauf hin, dass gefälschte Seiten sich optisch kaum vom Original unterscheiden lassen und die Adresszeile der entscheidende Prüfpunkt bleibt. Wenn eine Bank, ein Lieferantenportal oder das Steuerprogramm plötzlich eine Sicherheitswarnung auslöst, gehört das gemeldet, bevor irgendwer weiterklickt.

Wann du weiterklicken darfst und wann nicht

Bei internen Systemen mit eigenem Zertifikat, etwa einem Terminalserver oder einer Steuerungsoberfläche in der Produktion, ist die Meldung oft harmlos und längst bekannt. Bei allem, was im Internet liegt und mit Geld, Kundendaten oder Zugangsdaten zu tun hat, gilt das Gegenteil. Da wird nicht weitergeklickt.

Diese Unterscheidung kann kein Mitarbeitender aus dem Bauch heraus treffen. Deshalb pflegt IT-Deol für Betriebe zwischen Rösrath und Bad Honnef eine kurze Liste der internen Systeme, bei denen eine Sicherheitswarnung erwartbar ist. Alles außerhalb dieser Liste geht an die IT. Für einen Maschinenbauer in Overath hat diese Liste sieben Zeilen. Mehr braucht es nicht.

Anrufe, Mails und die Nummer im Popup

Der gefährlichste Teil der Masche kommt gar nicht vom Bildschirm. Er kommt aus dem Telefonhörer. Und er funktioniert, weil er höflich ist.

Der angebliche Microsoft-Support

Die Polizeiliche Kriminalprävention der Länder und des Bundes wird deutlich. Angebliche Microsoft-Mitarbeiter behaupten, der Rechner des Angerufenen sei von Viren befallen oder gehackt worden. Über Fernwartungssoftware bekommen die Täter Zugriff und können sensible Daten wie Passwörter für das Online-Banking ausspähen. Der zentrale Satz der Polizei lautet: Seriöse Unternehmen wie Microsoft nehmen nicht unaufgefordert Kontakt zu ihren Kunden auf³.

Die Verbraucherzentrale beschreibt dieselbe Masche mit dem Popup als Einstieg. Betrügerische Fenster sehen aus, als handele es sich um eine Sicherheitswarnung von Windows, und fordern zum Anruf beim angeblichen Support auf. Danach sollen Betroffene bis zu 400 Euro für ein angebliches Wartungspaket zahlen und Fernzugriff gewähren. Die Empfehlung ist eindeutig: Reagiere nicht auf vermeintliche Warnhinweise, die im Browser erscheinen⁴.

Für dich als Inhaber folgt daraus eine einzige Regel. Jede Fernwartung im Betrieb läuft ausschließlich über bekannte Wege. Wer bei IT-Deol im Vertrag ist, weiß, welche Software wir nutzen und wie wir uns ankündigen. Ein unangekündigter Anruf mit einer angeblichen Sicherheitswarnung ist damit sofort als Betrug erkennbar.

Phishing-Mails mit Sicherheitshinweis

Die Mail-Variante arbeitet mit denselben Hebeln. Betreff: Sicherheitswarnung für dein Konto. Inhalt: Ungewöhnliche Anmeldung festgestellt, Konto wird in 24 Stunden gesperrt, bitte hier bestätigen. Der Link führt auf eine Seite, die aussieht wie das Original.

Drei Prüfschritte reichen für den Anfang. Erstens: Erwarte ich diese Nachricht überhaupt? Zweitens: Stimmt die Absenderadresse bis hinter das at-Zeichen? Drittens: Wohin führt der Link, wenn ich mit der Maus draufzeige, ohne zu klicken? Eine echte Sicherheitswarnung deines Providers überlebt es problemlos, wenn du dich stattdessen selbst über die dir bekannte Adresse einloggst.

Bei einer Zahnarztpraxis in Neunkirchen-Seelscheid war es eine angebliche Sicherheitswarnung des Abrechnungsdienstleisters, die den Vorfall ausgelöst hat. Die Praxis hat es am selben Tag gemeldet. Deshalb blieb es bei einem gesperrten Zugang statt einer Datenpanne.

Wenn das Netzwerk-Monitoring Alarm schlägt

Nicht jede Sicherheitswarnung landet auf einem Bildschirm im Büro. Ein Teil entsteht im Hintergrund, da, wo niemand hinschaut.

Warnungen ohne Bildschirm

Monitoring erkennt Dinge, die kein Mensch bemerkt. Ein Rechner, der nachts um drei größere Datenmengen ins Ausland schiebt. Eine Firewall, die auffällig viele blockierte Verbindungen zählt. Ein Benutzerkonto, das sich innerhalb von Minuten aus zwei Ländern anmeldet. So eine Sicherheitswarnung kommt per Ticket oder Mail bei der IT an, und der Betrieb merkt davon erst mal nichts.

Für Betriebe in Much, Ruppichteroth oder Wiehl mit wenigen Arbeitsplätzen lohnt sich das genauso wie für größere Häuser in Bergisch Gladbach. Wir richten das Monitoring so ein, dass es meldet und nicht rauscht. Zu viele Meldungen sind so schlecht wie keine.

Warum Monitoring ohne Reaktionsplan wenig bringt

Eine Sicherheitswarnung, die keiner bearbeitet, ist ein Protokolleintrag. Zu jedem Alarm gehört deshalb eine festgelegte Reaktion, ein zuständiger Mensch und eine Zeitvorgabe. Wer meldet an wen, wer entscheidet, wer informiert die Geschäftsführung. Das passt auf eine halbe Seite. Aufgeschrieben hat es trotzdem fast keiner, und dann steht bei der ersten ernsten Sicherheitswarnung jeder ratlos im Flur.

Die Meldekette im Betrieb

Hier liegt der wunde Punkt in den meisten kleinen Betrieben der Region. Technik ist da, Zuständigkeit nicht.

Eine Nummer, die jeder kennt

Das BSI hat dafür die IT-Notfallkarte entwickelt, ausdrücklich als Hinweisschild analog zum bekannten Format Verhalten im Brandfall. Sie nennt drei Punkte: Kenntnis der Ansprechpartner für IT-Notfälle und deren Erreichbarkeit, sofortige Weitergabe entscheidender Informationen und Gegenmaßnahmen nur nach Absprache mit den zuständigen Ansprechpartnern⁵.

So setzen wir das auch um. IT-Deol hinterlegt auf der Karte eine einzige Rufnummer, die im Flur, in der Werkstatt und in der Küche hängt. Wer eine Sicherheitswarnung sieht, ruft diese Nummer an. Das war die ganze Regel.

Die Regel gegen Eigenmaßnahmen

Der zweite Punkt ist der unbequeme. Niemand im Betrieb repariert selbst. Kein Neustart, keine Reinigungssoftware aus dem Netz, kein eigenständiges Löschen von Dateien. Das BSI formuliert es so, dass die Entscheidung in die richtigen Hände gehört, weil nicht jeder IT-Notfall leicht zu erkennen ist⁵.

Für eine Spedition in Sankt Augustin hat das den Unterschied gemacht. Der Disponent sah eine Sicherheitswarnung, fasste nichts an und griff zum Telefon. Wir waren innerhalb von zwölf Minuten auf dem System und konnte den betroffenen Rechner isolieren, bevor sich etwas ausbreitete.

Fehlerkultur statt Schuldsuche

Der häufigste Grund für verschwiegene Vorfälle ist Angst vor Ärger. Wer Ärger befürchtet, meldet nichts. Damit verlierst du als Unternehmer die wertvollste Ressource im Ernstfall, nämlich Zeit. Sag deinem Team einmal deutlich, dass eine gemeldete Sicherheitswarnung nie zu Vorwürfen führt, auch dann nicht, wenn schon geklickt wurde. Dieser eine Satz ist mehr wert als manche Software.

Was in den ersten 15 Minuten passieren muss

Wenn der Verdacht im Raum steht, zählt die Reihenfolge. Sie ist kurz und immer gleich.

Was sofort passiert

• Hände weg von der Tastatur, Bildschirm anlassen
• Foto der Sicherheitswarnung mit dem Handy, samt Uhrzeit
• Anruf bei der hinterlegten Nummer, kurz und sachlich
• Notieren, was genau vorher gemacht wurde: Mail, Link, Datei, Anruf
• Netzwerkkabel oder WLAN trennen, sobald die IT es anweist
• Betroffene Zugangsdaten von einem anderen Gerät aus ändern

Das Foto klingt banal und ist es nicht. Eine Sicherheitswarnung verschwindet, sobald jemand den Browser schließt. Danach fehlt genau die Information, die uns sagt, welche Masche gelaufen ist. Bei IT-Deol fängt die Analyse fast immer mit so einem Handyfoto an.

Was warten kann

Die Suche nach dem Schuldigen wartet. Die Diskussion über neue Software wartet. Die Rundmail an alle wartet, bis klar ist, was die Sicherheitswarnung überhaupt ausgelöst hat. In den ersten 15 Minuten geht es ums Eingrenzen und ums Sichern von Spuren.

Netzstecker ziehen oder nicht

Der beliebteste Ratschlag aus dem Internet ist auch der gefährlichste, wenn man ihn pauschal befolgt.

Wann Trennen sinnvoll ist

Die Netzwerkverbindung zu kappen ist richtig, wenn Verschlüsselung sichtbar läuft, wenn eine Fernwartung durch Fremde aktiv ist oder wenn Dateien reihenweise umbenannt werden. Verbraucherzentrale und Polizei empfehlen bei bestätigtem Fremdzugriff ausdrücklich, den Rechner vom Internet zu trennen und danach alle Passwörter zu ändern³⁴.

Gemeint ist damit das Netzwerkkabel oder das WLAN. Der Unterschied zum Stromstecker ist wichtig, aber kaum jemand kennt ihn.

Warum Ausschalten Beweise vernichtet

Das BSI erklärt in den FAQ zur IT-Notfallkarte, warum dort bewusst keine Empfehlung zum Ziehen von Strom- oder Netzwerkkabeln steht. IT-Notfälle sind zu unterschiedlich, weitere Maßnahmen lassen sich nur individuell empfehlen und entscheiden. Als wesentlicher erster Schritt gilt die schnelle Erreichbarkeit von qualifiziertem IT-Personal⁶.

Technisch dahinter steckt der Arbeitsspeicher. Dort stehen im Ernstfall Schlüssel, aktive Verbindungen und laufende Prozesse, die nach dem Ausschalten weg sind. Bei manchen Verschlüsselungsfällen ließ sich genau daraus etwas retten. Wer den Strom zieht, entscheidet das ungewollt vorweg. Die Regel bei uns lautet deshalb: Netzwerk trennen darf jeder auf Anweisung, Strom trennen entscheidet die IT.

Meldepflichten, die viele Betriebe übersehen

Nach dem technischen Teil kommt der rechtliche. Er wird gern verdrängt und hat Fristen.

Artikel 33 DSGVO und die 72 Stunden

Wenn bei einem Vorfall personenbezogene Daten betroffen sein könnten, greift die Meldepflicht. Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen schreibt es so: Der Verantwortliche muss die Datenpanne unverzüglich, möglichst innerhalb von 72 Stunden nach dem Bekanntwerden, an die zuständige Aufsichtsbehörde melden, sofern ein mehr als geringes Risiko für die betroffenen Personen besteht. Auftragsverarbeiter müssen ihre Auftraggeber unverzüglich informieren⁷.

Die Frist läuft ab Kenntnis. Wird eine Sicherheitswarnung am Montag weggeklickt und der Vorfall erst am Freitag bekannt, hast du vier Tage verloren, die dir keiner zurückgibt. Für Betriebe mit Kunden- oder Patientendaten in Lohmar, Siegburg und Umgebung ist das der teuerste Teil einer fehlenden Meldekette.

Anzeige bei der Polizei

Die Polizei empfiehlt Betroffenen ausdrücklich, Anzeige zu erstatten³. Das gilt auch dann, wenn kein Geld geflossen ist. Anzeigen sind die Grundlage für Ermittlungen, und sie sind oft Voraussetzung für Leistungen aus einer Cyber-Versicherung. Wir bereiten Kunden dafür die technische Dokumentation auf, damit die Anzeige nicht aus drei Sätzen besteht.

Vorbereitung schlägt Improvisation

Alles bisher Beschriebene funktioniert nur, wenn es vor dem Ernstfall festgelegt wurde. Danach ist es Improvisation.

Übung im Betriebsalltag

Eine Übung dauert 20 Minuten. Du schickst deinem Team eine harmlose Testmail mit Sicherheitshinweis oder zeigst im Meeting den Screenshot einer gefälschten Sicherheitswarnung und fragst, wer jetzt wen anruft. Kommen drei verschiedene Antworten, kennst du dein Ergebnis. Wiederhol das zweimal im Jahr.

Ein Architekturbüro in Bad Honnef macht das im Rahmen der Sicherheitsunterweisung, direkt nach dem Feuerlöscher. Der Vergleich passt gut, denn die IT-Notfallkarte des BSI ist genau daran angelehnt⁵.

Was IT-Deol dabei übernimmt

Wir richten das Monitoring ein, hinterlegen die Notfallnummer, schulen das Team an echten Beispielen aus dem eigenen Betrieb und legen fest, welche Sicherheitswarnung intern erwartbar ist. Im Vorfall übernimmt IT-Deol die Analyse, grenzt den Schaden ein und dokumentiert alles, inklusive der Unterlagen für Aufsichtsbehörde und Anzeige.

Was wir dir nicht abnehmen können, ist die halbe Sekunde am Bildschirm. Die entscheidet immer noch jemand aus deinem Team, allein, unter Druck, morgens um halb neun. Ob diese Person dann die Nummer im Popup anruft oder die Nummer an der Wand, hängt davon ab, was ihr vorher miteinander vereinbart habt. Die meisten Betriebe im Rhein-Sieg-Kreis haben diese Vereinbarung bis heute nicht getroffen. Und die nächste Sicherheitswarnung wartet nicht, bis ihr euch einig seid.

---

Auf dem Rechner meiner Buchhalterin blinkt ein rotes Fenster mit einer Telefonnummer. Was soll sie tun?

Finger weg von der Nummer. Ein rotes Fenster mit Rufnummer und Countdown ist eine gefälschte Sicherheitswarnung, also eine Meldung, die dir vorgaukelt, dein Gerät sei in Gefahr. Windows und dein Virenschutz melden sich außerhalb des Browsers und nennen niemals eine Telefonnummer. Lass sie die Windows-Taste drücken, den Browser über den Task-Manager schließen und sofort im Betrieb Bescheid geben.

Ein Mitarbeiter hat bei einem angeblichen Microsoft-Support angerufen und ihn auf den Rechner gelassen. Wie schlimm ist das?

Das ist ernst, aber beherrschbar, wenn ihr schnell seid. Trenn das Gerät vom Netzwerk, lass die Fernwartungssoftware entfernen und ändere alle Passwörter von einem anderen Gerät aus. Die Sicherheitswarnung auf dem Bildschirm, also die angebliche Virenmeldung, war nur der Köder. Der Schaden entsteht im Telefonat. Erstatte Anzeige bei der Polizei. IT-Deol prüft, was in der Zeit passiert ist.

Mein Browser sagt, die Verbindung zu unserem Lieferantenportal sei nicht sicher. Kann ich trotzdem weiterarbeiten?

Arbeite dort erst mal nicht weiter. Diese Sicherheitswarnung, also die Meldung deines Browsers über eine unsichere Verbindung, heißt, dass die Verschlüsselung gerade nicht überprüfbar ist. Ursache kann ein abgelaufenes Zertifikat sein, eine falsch gestellte Uhr im Rechner oder jemand, der sich dazwischengeschaltet hat. Bei Portalen mit Zugangsdaten oder Rechnungen gilt: erst klären lassen, dann weiterklicken.

Bei uns weiß niemand, wen er anrufen soll, wenn am Rechner etwas komisch ist. Wie regelt man das?

Häng eine einzige Rufnummer sichtbar auf, im Flur, in der Werkstatt und in der Küche. Das BSI nennt so ein Schild IT-Notfallkarte, angelehnt an das bekannte Verhalten im Brandfall. Wer eine Sicherheitswarnung sieht, also einen Hinweis auf eine mögliche Gefahr am Rechner, ruft diese Nummer an und fasst sonst nichts an. IT-Deol hinterlegt die Nummer und übt den Ablauf mit deinem Team.

Wenn bei uns ein Computer plötzlich verrückt spielt, soll ich dann einfach den Stecker rausziehen?

Zieh das Netzwerkkabel oder schalte das WLAN ab, den Strom lieber nicht. Im Arbeitsspeicher liegen Informationen, die nach dem Ausschalten weg sind und bei der Aufklärung helfen. Das BSI gibt bewusst keine pauschale Empfehlung zum Ziehen von Kabeln. Melde die Sicherheitswarnung, also den Hinweis auf ein mögliches Problem, erst deiner IT und trenne dann auf Anweisung.

Wir bekommen ständig Mails, unser Konto werde gesperrt, wenn wir nicht sofort klicken. Sind die alle gefälscht?

Sehr wahrscheinlich ja. Kriminelle bauen eine Sicherheitswarnung in die Mail ein, also einen dringlichen Hinweis auf eine angebliche Gefahr, damit du unter Zeitdruck klickst. Prüfe drei Dinge: Erwartest du die Nachricht überhaupt? Stimmt die Absenderadresse komplett? Wohin führt der Link, wenn du mit der Maus draufzeigst? Logg dich im Zweifel über die dir bekannte Adresse ein.

Ein Fremder hatte kurz Zugriff auf einen Rechner mit Kundendaten. Muss ich das irgendwem melden?

Wahrscheinlich ja. Bei mehr als geringem Risiko für die betroffenen Personen musst du die Datenpanne der Aufsichtsbehörde melden, möglichst innerhalb von 72 Stunden ab Kenntnis. Die Frist läuft ab dem Moment, in dem du davon erfährst. Wurde vorher tagelang eine Sicherheitswarnung ignoriert, also ein Hinweis des Systems auf eine Gefahr, verlierst du wertvolle Tage. Dokumentiere jeden Vorfall.

Was sind die ersten Schritte, wenn ich morgens merke, dass mit einem Arbeitsplatz etwas nicht stimmt?

Hände weg von der Tastatur, Bildschirm anlassen, mit dem Handy ein Foto machen. Dann die Notfallnummer anrufen und sagen, was kurz vorher gemacht wurde. Das Foto einer Sicherheitswarnung, also der Meldung auf dem Bildschirm, verrät später die genaue Masche und ist nach dem Schließen des Fensters für immer weg. Getrennt und neu gestartet wird erst auf Anweisung der IT.

Ich habe den Verdacht, dass meine Leute Computerprobleme lieber verschweigen. Was kann ich tun?

Der Grund ist fast immer Angst vor Ärger. Sag deinem Team einmal deutlich, dass Melden nie zu Vorwürfen führt, auch wenn schon geklickt wurde. Eine gemeldete Sicherheitswarnung, also ein Hinweis auf eine mögliche Gefahr am Rechner, kostet dich ein paar Minuten. Eine verschwiegene kann dich Wochen kosten. Häng die Notfallnummer auf und übe den Ablauf zweimal im Jahr.

Wir sind nur fünf Leute im Büro. Lohnt sich eine Überwachung unseres Netzwerks überhaupt?

Gerade dann. Eine Überwachung erkennt, was kein Mensch bemerkt: nächtliche Datenabflüsse, Anmeldungen aus zwei Ländern innerhalb von Minuten, auffällig viele blockierte Verbindungen. So eine Sicherheitswarnung, also ein automatischer Alarm des Systems, landet direkt bei der IT statt auf einem Bildschirm im Büro. Wichtig ist die Feineinstellung, damit es meldet und nicht rauscht. IT-Deol richtet das für kleine Betriebe ein.

---

Quellen

1 Bundeskriminalamt, Primärquelle: https://www.bka.de/DE/AktuelleInformationen/StatistikenLagebilder/Lagebilder/Cybercrime/2024/CC_2024.html

2 Bundesamt für Sicherheit in der Informationstechnik, Primärquelle: https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Virenschutz-Firewall/Virenschutzprogramme/virenschutzprogramme.html

3 Polizeiliche Kriminalprävention der Länder und des Bundes, Primärquelle: https://www.polizei-beratung.de/themen-und-tipps/betrug/falsche-microsoft-mitarbeiter/

4 Verbraucherzentrale, Primärquelle: https://www.verbraucherzentrale.de/wissen/vertraege-reklamation/abzocke/warnung-abzocke-durch-angebliche-microsoftmitarbeiter-24641

5 Bundesamt für Sicherheit in der Informationstechnik, Primärquelle: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Unternehmen-allgemein/IT-Notfallkarte/IT-Notfallkarte/it-notfallkarte.html

6 Bundesamt für Sicherheit in der Informationstechnik, Primärquelle: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Unternehmen-allgemein/IT-Notfallkarte/FAQ/faq_node.html

7 Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Primärquelle: https://www.ldi.nrw.de/datenpanne-was-nun

In fast jedem Büro zwischen Bonn und Köln steht ein Gerät, das seit Jahren keiner angeschaut hat. Es druckt. Es scannt. Es faxt sogar noch. Genau deshalb fällt es keinem auf. IT-Deol sieht das bei neuen Kunden im Rhein-Sieg-Kreis fast wöchentlich: Server gepatcht, Firewall aktiv, Backups geprüft, und mitten im Netz hängt ein Multifunktionsgerät mit den Werkseinstellungen vom Tag der Anschaffung. Druckersicherheit steht auf keiner Liste.

Wenn wir mit Steuerberatern, Kanzleien oder Arztpraxen über Drucker als Sicherheitsrisiko sprechen, kommt fast immer dieselbe Reaktion. Ein Stirnrunzeln. Dann die Frage, ob das wirklich ein Thema ist. Ist es. Das Bundesamt für Sicherheit in der Informationstechnik widmet der Druckersicherheit einen eigenen Baustein im IT-Grundschutz.

Das Gerät, das niemand für einen Computer hält

Warum Druckersicherheit einen eigenen Baustein hat

Das BSI schreibt im Grundschutz-Baustein SYS.4.1 klipp und klar: Moderne Drucker, Kopierer und Multifunktionsgeräte sind komplexe Geräte, die neben mechanischen Komponenten eigene Betriebssysteme enthalten und Serverdienste bereitstellen.¹ Übersetzt: Das Ding im Flur ist ein Rechner. Mit eigener Firmware, eigenem Webserver, eigener Benutzerverwaltung und eigenem Speicher. Es hat eine IP-Adresse, offene Ports und ein Passwort. Damit gehört Druckersicherheit in dieselbe Kategorie wie das Härten eines Servers.

Behandelt wird das Gerät trotzdem wie ein Möbelstück. Ein Notebook bekommt Updates, Virenschutz und eine verschlüsselte Festplatte. Das Multifunktionsgerät bekommt Toner. IT-Deol hat in Betrieben im Bergischen Land Geräte gefunden, deren Firmware sechs Jahre alt war, während direkt daneben ein tadellos gepflegtes Windows-Netz lief.

Der Moment, in dem es in der Kanzlei still wird

Im Erstgespräch stellen wir immer dieselbe Frage: Wer ist für dieses Gerät eigentlich zuständig? In kleinen und mittleren Betrieben antwortet darauf fast nie jemand. Der Lieferant macht Toner und Wartung. Die IT macht Server und Clients. Das Gerät fällt in die Lücke dazwischen, und in dieser Lücke verschwindet die Druckersicherheit komplett. Genau dort beginnt IT-Deol mit der Bestandsaufnahme.

Standardpasswörter: Wo Druckersicherheit anfängt

Was das BSI dazu sagt

Vernetzte Drucker lassen sich über das Bedienfeld und den eingebauten Webserver verwalten. Bei Auslieferung haben sie in der Regel kein oder nur ein Standardpasswort. Wird es nicht gesetzt oder nicht geändert, kann sehr leicht auf die Geräte zugegriffen werden.¹ Die Basis-Anforderung SYS.4.1.A2 verlangt deshalb Gerätepasswörter nach den Vorgaben des Berechtigungsmanagements.¹ Ein Standardpasswort aus dem Handbuch erfüllt das nie. Es steht im Internet. An dieser Stelle scheitert Druckersicherheit am häufigsten.

Ein Passwort für alle Geräte im Haus

Das BSI beschreibt eine zweite Variante, die noch öfter vorkommt: einheitliche Passwörter für alle Drucker und Multifunktionsgeräte, die nur selten geändert werden. Dadurch sind sie oft vielen internen und externen Personen bekannt.¹ Der Azubi von 2018 kennt es. Der Techniker vom Wartungsdienst kennt es. Der ehemalige Mitarbeiter, der jetzt beim Wettbewerber sitzt, kennt es auch.

In einer Steuerkanzlei in Hennef hat IT-Deol genau das dokumentiert: vier Geräte, ein Passwort, seit der Erstinstallation unverändert. Über das Webinterface waren Adressbuch, Faxprotokolle und die letzten Scanaufträge einsehbar. Für jeden im Netz, ohne dass irgendwo eine Spur zurückblieb. Beim Thema Druckersicherheit fangen wir deshalb immer hier an, weil die Sache in zehn Minuten erledigt ist.

Offene Ports und Protokolle aus der Werkseinstellung

Warum bei Lieferung alles eingeschaltet ist

Hersteller liefern Geräte so aus, dass sie überall auf Anhieb funktionieren. Das BSI beschreibt die Folge: Drucker sind mit zahlreichen Netzprotokollen ausgerüstet, bei Auslieferung sind meistens alle aktiviert. Angreifende könnten dadurch auf die Geräteeinstellungen zugreifen und diese so verändern, dass schützenswerte Informationen aus dem Netz abfließen.¹ Für die Druckersicherheit heißt das: Jede Funktion, die du nicht brauchst, gehört aus.

Die Standard-Anforderung SYS.4.1.A18 fordert genau das und verlangt zusätzlich die Verwaltung über verschlüsselte Protokolle wie HTTPS und SNMPv3. Protokolle wie SNMP, Telnet und PJL sollen ersetzt oder abgeschaltet werden.¹ Die Umsetzungshinweise ergänzen: Alle Port-Nummern, die für den Betrieb nicht gebraucht werden, sollten gefiltert werden.²

Druckersicherheit endet nicht am Gehäuse

Dazu kommt ein zweites Problem. Drucker werden meist demselben Subnetz zugeordnet wie die Clients. Ein Netzdrucker kann dadurch zu einem Einfallstor für Angriffe aus dem Internet werden, schreibt das BSI wörtlich.¹ Die Empfehlung aus SYS.4.1.A11 ist eindeutig: eigenes Netzsegment, getrennt von Clients und Servern.¹

Bei einem Handwerksbetrieb in Rösrath hat IT-Deol das Gerät in ein eigenes VLAN gelegt und den Internetzugang für dieses Segment dichtgemacht. Aufwand: ein halber Tag. Segmentierung ist der stärkste einzelne Hebel für die Druckersicherheit, weil sie auch dann noch trägt, wenn andere Maßnahmen im Alltag schleifen.

Firmware: Der blinde Fleck der Druckersicherheit

Ein Betriebssystem ohne Update-Routine

Das BSI nennt die regelmäßige Aktualisierung der installierten Software einen essentiellen Schwerpunkt bei der Absicherung dieser Geräte, um Softwareschwachstellen zu schließen.¹ Firmware ist Software. Sie hat Fehler. Dafür kommen Sicherheitsupdates, oft mehrmals im Jahr.

Nur: Wer lädt die runter? Wer spielt sie ein? Wer prüft danach, ob das Gerät noch macht, was es soll? In den meisten Büros im Rhein-Sieg-Kreis lautet die ehrliche Antwort: keiner. IT-Deol nimmt die Geräte deshalb in dieselbe Patch-Routine auf wie Server und Arbeitsplätze. Druckersicherheit lässt sich einmal herstellen, aber sechs Monate später sieht die Lage schon wieder anders aus.

Wer zuständig ist, entscheidet über die Druckersicherheit

Aus Unternehmersicht ist genau das der Punkt, an dem sich Geld und Ärger entscheiden. Was du hier einkaufst, ist eine geklärte Verantwortung mit einem Namen dran. Solange niemand benannt ist, rutscht das Thema jedes Quartal weiter nach hinten. IT-Deol übernimmt diese Zuständigkeit vertraglich, inklusive Inventarliste, Firmware-Stand und festem Prüfintervall. Klingt unspektakulär. Macht bei der Druckersicherheit aber den ganzen Unterschied.

Die Festplatte im Gerät: Dein Archiv, von dem du nichts weißt

Was da tatsächlich drauf liegt

Multifunktionsgeräte sind oft mit nichtflüchtigen Speichern ausgestattet, auf denen Adressbücher, Dokumente, Fax-Dateien und Druckaufträge liegen, teils dauerhaft. Sind diese Informationen unzureichend geschützt, können Dritte darauf zugreifen und sie auslesen. Unter Umständen lassen sich sogar bereits gelöschte Informationen rekonstruieren, wenn unsichere Löschmethoden angewendet wurden.¹

Der Landesbeauftragte für Datenschutz der Freien Hansestadt Bremen formuliert es so: Noch gespeicherte Aufträge seien ebenso leicht auszudrucken wie scheinbar gelöschte, real aber noch vorhandene Daten alter Kopien, Faxe oder Druckaufträge.⁵ Denk kurz darüber nach, was in einer Arztpraxis in Sankt Augustin in zwei Jahren durch so ein Gerät läuft. Befunde. Abrechnungen. Krankschreibungen. Für Praxen und Kanzleien wird Druckersicherheit hier sehr konkret, weil dort das Berufsgeheimnis gilt.

Verschlüsselung als Basis der Druckersicherheit

Das BSI empfiehlt in SYS.4.1.A15, alle auf geräteinternen Speichermedien abgelegten Informationen zu verschlüsseln, und in SYS.4.1.A17, Nutz- und Metadaten nach einer vordefinierten Zeit automatisch zu löschen.¹ Die Umsetzungshinweise werden deutlicher: Einfaches Löschen reicht nicht, um die Wiederherstellung zu verhindern. Hat das Gerät eine Funktion zum sicheren Löschen mit Überschreiben, sollte sie aktiviert werden.²

Wir prüfen bei jedem Gerät genau drei Dinge:

• Ist überhaupt eine Festplatte verbaut, und wie groß ist sie?
• Arbeitet dieser Speicher verschlüsselt?
• Ist die automatische Löschung nach Auftragsende aktiv?

Bei ungefähr der Hälfte der vorgefundenen Geräte lautet die Antwort dreimal nein. So viel zum Stand der Druckersicherheit im Mittelstand.

Druckaufträge im Klartext quer durchs Netz

Mitlesen ist einfacher, als es klingt

Druck- und Scandaten werden oft unverschlüsselt über das Netz übertragen. Dadurch können die gesendeten Dokumente mitgelesen werden.¹ Wenn der Steuerberater in Troisdorf eine Bilanz an den Etagendrucker schickt, wandert sie in vielen Netzen im Klartext über den Switch. Wer im selben Netz sitzt, greift sie ab. Verschlüsselte Übertragung gehört deshalb zur Grundausstattung der Druckersicherheit.

Für die Administration gilt dasselbe. Wird über HTTP, SNMPv2 oder Telnet auf Drucker zugegriffen, werden die Informationen ungeschützt transportiert, wodurch Zugriffsdaten inklusive Gerätepasswörter gefährdet sind.¹ Die Umsetzungshinweise nennen als sichere Alternative das Internet Printing Protocol zusammen mit TLS.² IT-Deol stellt Druckwege konsequent darauf um.

Metadaten verraten oft mehr als der Inhalt

Mit jedem Druckauftrag gehen Metadaten mit: Kennung der Benutzenden, Datum, Uhrzeit und der Name des Druckauftrags. Diese Daten zeigen viele Geräte im Bedienfeld und im Webserver an.¹ Der Dateiname allein reicht oft völlig aus. „Kuendigung_Mueller_final.pdf“ im Display erklärt einer ganzen Abteilung die Personalplanung. In einer Kanzlei genügt ein Mandantenname im Auftragstitel. Zur Druckersicherheit gehört deshalb auch die Frage, wer diese Anzeige überhaupt sehen darf.

Fax und Scan-to-Mail: Die Türen nach außen

Wenn das Gerät Mails unter fremdem Namen verschickt

Viele vernetzte Drucker lassen sich so konfigurieren, dass Druckaufträge per E-Mail ankommen und gescannte Dokumente als Anhang rausgehen. Dabei lässt sich die freie Eingabe der Absendendenadresse missbrauchen, um E-Mails unter fremden Namen an interne und externe Personen zu versenden.¹ Wer das Webinterface erreicht, hat einen glaubwürdigen Versandkanal aus deinem Haus heraus. Der Empfänger sieht deine Domain.

Bei erhöhtem Schutzbedarf empfiehlt das BSI, den Versand auf die Adressen authentisierter Benutzender und auf interne Empfänger zu beschränken. Eingehende Fax-Dokumente und Sendeberichte sollen nur autorisierten Personen zugänglich sein.¹ Für eine Arztpraxis in Siegburg sollte diese Stufe der Druckersicherheit der Normalfall sein.

Die Faxleitung als stille Brücke

Fax ist im Rhein-Sieg-Kreis längst nicht tot. Viele Praxen und Kanzleien nutzen es täglich. Das BSI verlangt in SYS.4.1.A11, sicherzustellen, dass zwischen dem Datennetz der Institution und dem Telefonnetz keine unkontrollierten Datenverbindungen aufgebaut werden.¹ Ein Multifunktionsgerät hängt an beidem gleichzeitig. Diese Doppelanbindung übersehen die meisten, wenn sie Druckersicherheit zum ersten Mal bewerten. Wir prüfen sie bei jedem Gerät mit Faxmodul.

Dann sind da noch die Sendeprotokolle. Sie lassen sich bei vielen Geräten ohne Zugriffsschutz ausdrucken. Selbst wenn nur Telefonnummer, Datum, Uhrzeit und Seitenzahl daraufstehen, sind damit schon Rückschlüsse auf personenbezogene Daten oder geschäftliche Vorgänge möglich.¹ Eine Liste von Faxnummern einer Praxis ist eine Liste von Laboren und Kliniken.

Leasingrückgabe: Der Tag, an dem deine Daten das Haus verlassen

Was im Leasingvertrag meistens fehlt

Das BSI wird hier sehr direkt: Auf diesen Geräten sind oft vertrauliche Informationen gespeichert, die nach der Außerbetriebnahme auf ihnen verbleiben. Geleaste Geräte werden nach einer festgelegten Nutzungsdauer ausgetauscht und spätestens nach Ablauf des Vertrags zurückgegeben. Bevor sie ausgesondert, getauscht, instandgesetzt oder zurückgegeben werden, müssen alle sensiblen Informationen von ihnen gelöscht werden.¹ Hier entscheidet sich Druckersicherheit an einem einzigen Nachmittag.

Der Bremer Landesbeauftragte hält fest, dass Verkauf, Rückgabe und Entsorgung eines Geräts Datenschutzrisiken mit sich bringen und alle noch auf dem System verbliebenen Daten gelöscht werden müssen.⁵ In der Praxis sieht es anders aus. Der Techniker holt das alte Gerät ab, das neue steht am selben Nachmittag da, und die Festplatte fährt einfach mit. Wohin, weiß im Betrieb keiner.

So sieht eine saubere Rückgabe aus

Der Baustein CON.6 legt Mindestanforderungen fest. In Geräten integrierte Datenträger müssen über die integrierten Funktionen sicher gelöscht werden. Geht das nicht, müssen die Massenspeicher ausgebaut und entweder von einem separaten IT-System aus sicher gelöscht oder mindestens nach Sicherheitsstufe E-3 beziehungsweise H-3 nach ISO/IEC 21964-2 vernichtet werden.³

IT-Deol begleitet Geräterückgaben für Kunden in Köln und Umgebung deshalb als eigenen Vorgang: Löschlauf am Gerät, Protokoll, Bestätigung. Fehlt die Löschfunktion, wird der Datenträger ausgebaut und bleibt im Haus. Eine Stunde Aufwand für ein Stück Druckersicherheit, das dir im Ernstfall die Meldung an die Aufsichtsbehörde erspart.

DSGVO: Was passiert, wenn es auffliegt

Die Frist läuft ab Kenntnis

Für Betriebe in Köln und Bonn ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen zuständig. Sie stellt klar: Verantwortliche müssen Verletzungen des Schutzes personenbezogener Daten unverzüglich melden, möglichst binnen 72 Stunden, sobald mehr als nur ein geringes Risiko für die Rechte Betroffener besteht. Bei hohem Risiko kommt deren Benachrichtigung dazu, dokumentieren musst du jede Verletzung.⁴

72 Stunden sind kurz. Sie starten, sobald du Kenntnis hast, auch an einem Freitagnachmittag im August. Wer dann erst anfängt, seine Geräte zu inventarisieren, verbrennt den halben Zeitraum mit Grundlagenarbeit. Solide Druckersicherheit spart dir an so einem Tag vor allem Zeit.

Der Schaden, den du nicht auf der Rechnung siehst

Der Bitkom beziffert die jährlichen Schäden durch Datendiebstahl, Industriespionage und Sabotage in der deutschen Wirtschaft auf 211 bis 270,8 Milliarden Euro. 96 Prozent der befragten Unternehmen waren betroffen oder vermuten das.⁶ Das erklärt, warum Versicherer und größere Auftraggeber inzwischen genauer hinschauen, auch bei der Druckersicherheit.

Für eine Kanzlei in Bad Honnef oder einen Zulieferer in Much wiegt am Ende etwas anderes schwerer als der Bußgeldrahmen. Es ist der Anruf beim Mandanten, beim Patienten, beim Auftraggeber. Vertrauen, das über zwanzig Jahre gewachsen ist, bekommt an einem Nachmittag einen Riss.

Dein Fahrplan für die nächsten zwei Wochen

Die Bestandsaufnahme, die keiner gemacht hat

Fang mit einer Liste an. Druckersicherheit braucht am Anfang kein Projekt. Sechs Zeilen pro Gerät reichen:

• Welche Geräte hängen im Netz, mit welcher IP-Adresse?
• Wer kennt das Administrationspasswort, und wann wurde es zuletzt geändert?
• Steckt eine Festplatte drin, und ist sie verschlüsselt?
• Wann kam das letzte Firmware-Update?
• Ist Scan-to-Mail eingerichtet, und mit welcher Absenderadresse?
• Läuft ein Leasingvertrag, und wann endet er?

Bei den meisten Betrieben im Bergischen Land ist diese Liste das erste Dokument, das zu den Geräten überhaupt existiert. Danach kommen eigene Gerätepasswörter, abgeschaltete Dienste und Verwaltung über HTTPS.¹ Das ist an einem Vormittag machbar.

Ein Punkt für die Druckersicherheit kostet gar nichts: das Ausgabefach. Ausdrucke bleiben oft lange liegen, und laut BSI können dadurch auch Unbefugte schützenswerte Informationen einsehen oder mitnehmen.¹ Bei erhöhtem Schutzbedarf empfiehlt das BSI Secure Print, der Druck startet also erst nach Anmeldung am Gerät.¹ In einer Praxis mit Wartezimmer neben dem Kopierer ist das gelebte Druckersicherheit.

Druckersicherheit in der Praxis: so geht IT-Deol vor

Wir arbeiten in der Reihenfolge, die am schnellsten wirkt: Passwörter und Zugriffe zuerst, dann Netzsegmentierung, dann Firmware und Speicher, zuletzt Fax, Scan-to-Mail und der Rückgabeprozess. Für Betriebe in Köln und Bonn und dem Umland geht das meistens ohne Betriebsunterbrechung, weil die Arbeiten außerhalb der Sprechstunden oder Kanzleizeiten laufen können. Melde dich bei IT-Deol, wenn du wissen willst, was bei dir im Flur eigentlich steht.

Und dann bleibt eine Frage übrig, die dir keiner abnimmt. In deinem Netz hängen noch andere Geräte, die niemand für Computer hält. Die Zeiterfassung an der Tür. Die Kamera im Lager. Das smarte Thermostat, das der Elektriker letztes Jahr eingebaut hat. Wer den Drucker als Sicherheitsrisiko einmal verstanden hat und die Druckersicherheit im Griff hat, stellt bei all diesen Geräten die gleichen sechs Fragen. Die Antworten fallen selten beruhigender aus.

---

Unser Drucker läuft seit sechs Jahren im Büro, und keiner weiß, ob dafür je ein Passwort vergeben wurde. Wie schlimm ist das?

Ziemlich schlimm. Viele Geräte kommen ganz ohne Passwort oder mit einem Standardpasswort aus dem Handbuch, das frei im Internet steht. Das BSI nennt genau das als Grund, warum sich Fremde sehr leicht Zugriff verschaffen. Druckersicherheit, also der Schutz deiner Drucker und Kopierer vor unbefugtem Zugriff, fängt mit einem eigenen Gerätepasswort an. Das ist in zehn Minuten erledigt.

Unser Kopierer steht frei zugänglich im Flur und speichert offenbar alles, was gescannt wird. Sollte mich das beunruhigen?

Ja, das solltest du dir ansehen. In größeren Geräten steckt oft eine Festplatte, auf der Scans, Faxe und Druckaufträge liegen, teilweise monatelang. Laut BSI lassen sich gelöschte Daten sogar wiederherstellen, wenn unsichere Löschverfahren verwendet wurden. Zur Druckersicherheit, dem Schutz der Daten im Gerät selbst, gehören deshalb Verschlüsselung und eine automatische Löschung nach jedem Auftrag.

Wir geben nächsten Monat drei Leasinggeräte zurück. Muss ich vorher irgendetwas löschen lassen?

Unbedingt. Das BSI verlangt, dass vor Rückgabe, Tausch oder Reparatur alle sensiblen Informationen von den Geräten gelöscht werden. Sonst fährt die Festplatte mit euren Mandanten- oder Patientendaten einfach mit. Zur Druckersicherheit gehört hier ein dokumentierter Löschlauf mit Protokoll, oder der Ausbau des Datenträgers. IT-Deol begleitet Rückgaben genau so. Eine Stunde pro Gerät reicht meistens.

Bei uns fühlt sich niemand für die Bürogeräte zuständig, weder die IT noch der Kopiererhändler. Wer sollte das übernehmen?

Diese Lücke ist typisch. Der Händler kümmert sich um Toner und Wartung, die IT um Server und Arbeitsplätze, und das Gerät dazwischen fällt durch. Druckersicherheit, also der laufende Schutz von Druckern und Kopierern im Netzwerk, braucht eine benannte Person mit Inventarliste, Passwortverwaltung und festem Prüfintervall. IT-Deol übernimmt diese Rolle für Betriebe im Rhein-Sieg-Kreis vertraglich.

Unsere Buchhaltung scannt Rechnungen direkt vom Gerät an eine E-Mail-Adresse. Wie sicher ist das eigentlich?

Weniger sicher, als es aussieht. Das BSI warnt, dass sich die frei eingebbare Absenderadresse missbrauchen lässt, um Mails unter fremdem Namen zu verschicken. Der Empfänger sieht dann eure Firmendomain. Zur Druckersicherheit, dem sauberen Einrichten solcher Funktionen, gehört, den Versand auf angemeldete Personen und interne Empfänger zu beschränken. Prüf außerdem, ob der Übertragungsweg verschlüsselt läuft.

In unserer Praxis steht der Drucker neben dem Wartezimmer, und Ausdrucke liegen dort manchmal stundenlang. Reicht es, wenn wir die Mitarbeiter ermahnen?

Ermahnen hilft wenig, solange die Technik es zulässt. Laut BSI können liegengebliebene Ausdrucke von Unbefugten eingesehen oder mitgenommen werden. Bei sensiblen Unterlagen empfiehlt das Amt Secure Print: Der Druck startet erst, wenn sich die Person am Gerät anmeldet. Solche Einstellungen sind gelebte Druckersicherheit, also praktischer Schutz rund um Drucker und Kopierer, und kosten nichts extra.

Für unsere Computer gibt es regelmäßig Sicherheitsupdates. Bekommt ein Drucker auch welche?

Ja, und das regelmäßig. In jedem Netzwerkdrucker läuft eine eigene Software, die Firmware heißt. Sie enthält Fehler, und die Hersteller schließen diese oft mehrmals im Jahr mit Updates. Das BSI nennt diese Aktualisierung einen wesentlichen Punkt der Absicherung. Druckersicherheit, also die dauerhafte Pflege dieser Geräte, braucht dafür eine feste Routine. IT-Deol nimmt Drucker in denselben Update-Zyklus wie Server auf.

Wenn über ein Bürogerät Kundendaten nach außen gelangen, muss ich das dann irgendwo melden?

In vielen Fällen ja. Die Datenschutzbehörde in Nordrhein-Westfalen verlangt eine Meldung unverzüglich, möglichst binnen 72 Stunden, sobald mehr als nur ein geringes Risiko für die betroffenen Personen besteht. Bei hohem Risiko musst du zusätzlich die Betroffenen informieren. Wer die Druckersicherheit vorher geregelt hat, also weiß, welches Gerät was speichert, verliert in diesen 72 Stunden keine Zeit.

Wir faxen in der Kanzlei täglich, und das Gerät hängt gleichzeitig am Internet und an der Telefonleitung. Ist das riskant?

Diese Doppelanbindung übersehen die meisten. Das BSI verlangt, dass zwischen dem Firmennetz und dem Telefonnetz keine unkontrollierten Verbindungen entstehen können. Ein Multifunktionsgerät hängt an beidem gleichzeitig. Zur Druckersicherheit, dem Absichern des Geräts nach allen Seiten, gehört deshalb eine Prüfung des Faxmoduls. Denk auch an die Sendeprotokolle, aus denen sich Mandanten und Kontakte ablesen lassen.

Wir sind ein Betrieb mit zwölf Leuten und zwei Kopierern. Was kostet es, die Geräte einmal sauber absichern zu lassen?

Für zwei Geräte reicht meistens ein Tag. Den größten Teil machen Bestandsaufnahme, eigene Passwörter, abgeschaltete Dienste und ein getrenntes Netzsegment aus. Druckersicherheit, also der geordnete Schutz eurer Bürogeräte, verursacht danach vor allem laufende Pflege. IT-Deol arbeitet außerhalb eurer Öffnungszeiten, damit der Betrieb weiterläuft, und nennt dir den Preis vorher verbindlich.

---

Quellen

Primärquellen

1 Bundesamt für Sicherheit in der Informationstechnik (BSI), IT-Grundschutz-Kompendium, Baustein SYS.4.1 Drucker, Kopierer und Multifunktionsgeräte, Edition 2023, Primärquelle: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-Kompendium_Einzel_PDFs_2023/07_SYS_IT_Systeme/SYS_4_1_Drucker_Kopierer_und_Multifunktionsgeraete_Edition_2023.pdf

2 Bundesamt für Sicherheit in der Informationstechnik (BSI), Umsetzungshinweise zum Baustein SYS.4.1 Drucker, Kopierer und Multifunktionsgeräte, Primärquelle: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Umsetzungshinweise/Umsetzungshinweise_2022/Umsetzungshinweis_zum_Baustein_SYS_4_1_Drucker_Kopierer_und_Multifunktionsgeraete.pdf

3 Bundesamt für Sicherheit in der Informationstechnik (BSI), IT-Grundschutz-Kompendium, Baustein CON.6 Löschen und Vernichten, Edition 2023, Primärquelle: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-Kompendium_Einzel_PDFs_2023/03_CON_Konzepte_und_Vorgehensweisen/CON_6_Loeschen_und_Vernichten_Edition_2023.pdf

4 Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Meldepflicht für Verantwortliche bei Verletzungen des Schutzes personenbezogener Daten, Primärquelle: https://www.ldi.nrw.de/kontakt/meldepflicht-fuer-verantwortliche-verletzungen-des-schutzes-personenbezogener-daten

5 Die Landesbeauftragte für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen, Fotokopierer: Die angreifbare Datenstation, Primärquelle: https://www.datenschutz.bremen.de/datenschutztipps/orientierungshilfen-und-handlungshilfen/fotokopierer-die-angreifbare-datenstation-3904

6 Bitkom e. V., Presseinformation zur Studie Wirtschaftsschutz, Primärquelle: https://www.bitkom.org/Presse/Presseinformation/Angriffe-auf-deutsche-Wirtschaft-Spur-auslaendische-Geheimdienste

Vielleicht lässt du dir von ChatGPT Angebotstexte schreiben, deine Buchhaltung nutzt ein Tool zum Sortieren von Belegen, und im Kundenservice antwortet ein Chatbot. Ganz normaler Alltag in vielen Betrieben in Köln und Bonn. Was den wenigsten Unternehmern klar ist, ist die Tatsache, dass in genau diesem Moment die KI-Verordnung der EU greift. Und zwar nicht erst irgendwann, sondern in Teilen schon heute.

Keine Sorge, das ist kein Grund zur Panik. Die meisten Pflichten sind mit überschaubarem Aufwand zu erfüllen, wenn du weißt, worauf es ankommt. Dieser Beitrag erklärt dir ohne Fachchinesisch und Schritt für Schritt, was die KI-Verordnung ist, was sie von dir verlangt und was du als Unternehmer jetzt konkret tun solltest.

Was die KI-Verordnung überhaupt ist

Die KI-Verordnung, oft auch AI Act genannt, ist das erste umfassende Gesetz der EU für künstliche Intelligenz. Sie gilt seit August 2024 und wird seitdem Schritt für Schritt scharf geschaltet. Ihr Ziel ist, dass KI in Europa sicher und nachvollziehbar eingesetzt wird. Für dich als Unternehmer bedeutet das vor allem, dass es klare Regeln dafür gibt, wie du KI im Betrieb nutzen darfst.

Das Wichtige vorweg. Die KI-Verordnung nimmt nicht nur die in die Pflicht, die KI entwickeln, sondern auch die, die KI einfach nur nutzen. Genau das trifft die allermeisten kleinen und mittleren Betriebe. Du programmierst keine KI, aber du setzt sie ein, und schon dadurch wirst du zum sogenannten Betreiber mit eigenen Pflichten.

Das Risikoprinzip einfach erklärt

Die KI-Verordnung sortiert KI-Anwendungen nach ihrem Risiko. Manche Praktiken sind komplett verboten, etwa das heimliche Manipulieren von Menschen oder das Auswerten der Gefühle von Mitarbeitern. Andere Anwendungen gelten als hochriskant, zum Beispiel eine KI, die über Bewerbungen oder Kredite mitentscheidet. Für sie gelten strenge Auflagen. Der große Rest, worunter die meisten Alltags-Tools wie ChatGPT fallen, ist mit vergleichsweise leichten Pflichten verbunden. Je höher das Risiko, desto strenger die Regeln, so lässt sich die KI-Verordnung im Kern zusammenfassen.

Warum die KI-Verordnung gerade dich als Unternehmer betrifft

Viele Geschäftsführer denken, so ein EU-Gesetz sei etwas für Tech-Konzerne. Bei der KI-Verordnung stimmt das nicht. Sobald in deinem Betrieb KI genutzt wird, und sei es nur ein Chatbot oder ein Text-Tool, bist du betroffen. Und weil kaum noch ein Unternehmen ganz ohne KI arbeitet, geht die KI-Verordnung heute fast jeden etwas an.

Bist du Anbieter oder nur Betreiber?

Die KI-Verordnung unterscheidet vor allem zwei Rollen. Anbieter sind die, die eine KI entwickeln oder unter eigenem Namen auf den Markt bringen. Betreiber sind alle, die eine fertige KI beruflich einsetzen. Als typischer Betrieb aus Köln oder Bonn bist du fast immer Betreiber und nicht Anbieter. Das ist eine gute Nachricht, denn für Betreiber sind die Pflichten deutlich leichter. Du musst keine KI zertifizieren lassen, sondern vor allem dafür sorgen, dass dein Team die Tools versteht und verantwortungsvoll nutzt. Erst wenn du eine KI stark veränderst oder unter eigenem Namen weitergibst, kann aus dem Betreiber ein Anbieter mit strengeren Pflichten werden.

Die Pflicht, die schon heute gilt

Der Punkt, den kaum jemand auf dem Schirm hat, ist die KI-Kompetenzpflicht, die seit dem 2. Februar 2025 gilt.¹ Sie verlangt, dass alle Mitarbeiter, die mit KI arbeiten, ein ausreichendes Grundverständnis davon haben. Sie müssen wissen, was das Tool kann, wo seine Grenzen liegen und welche Risiken es gibt, etwa dass eine KI auch falsche Antworten sehr überzeugend formulieren kann. Wie du das umsetzt, bleibt dir überlassen, aber du musst es tun und im Zweifel nachweisen können. Wer ChatGPT im Betrieb nutzt und sein Team nie geschult hat, erfüllt diese Pflicht der KI-Verordnung heute schlicht nicht.

Was schon verboten ist

Ebenfalls seit Februar 2025 sind bestimmte KI-Praktiken komplett verboten. Dazu gehört zum Beispiel Software, die Emotionen von Mitarbeitern am Arbeitsplatz auswertet, oder ein System, das Menschen gezielt manipuliert. Für die meisten Betriebe ist das kein Alltagsthema, aber es lohnt sich zu wissen, dass die KI-Verordnung hier eine klare rote Linie zieht.

Ein Beispiel aus unserer Region

Stell dir eine Steuerkanzlei aus dem Raum Bonn vor, rund 25 Mitarbeiter. Die Kanzlei nutzt seit einem Jahr KI-Tools, um Mandantenschreiben vorzuformulieren und Belege vorzusortieren. Niemand hat sich groß Gedanken über Regeln gemacht, es lief ja alles gut. Bei einer Fortbildung hört die Chefin zum ersten Mal von der KI-Kompetenzpflicht und stellt fest, dass ihr Team zwar fleißig KI nutzt, aber niemand je erklärt bekommen hat, welche Daten man auf keinen Fall in ein öffentliches Tool eingeben darf.

Der Handlungsbedarf ist real, aber überschaubar. Eine kurze Schulung, ein paar klare Regeln zum Umgang mit KI und eine knappe Dokumentation, und die Kanzlei erfüllt die wichtigste Pflicht der KI-Verordnung. Genau diese Situation erleben Betriebe in Köln und Bonn gerade reihenweise, vom Handwerksbetrieb mit KI-Chatbot auf der Website bis zur Agentur, die täglich mit Text- und Bildgeneratoren arbeitet. Das Muster ist fast immer dasselbe. Die Technik ist längst im Haus, die Regeln dazu fehlen noch.

Welche Fristen bei der KI-Verordnung gelten

Die KI-Verordnung wird in Stufen wirksam, und ein paar Termine solltest du kennen.

Seit dem 2. Februar 2025 gelten die Verbote und die KI-Kompetenzpflicht. Seit dem 2. August 2025 greifen die Regeln für große KI-Modelle wie das hinter ChatGPT sowie der Bußgeldrahmen der Verordnung.¹ Die strengen Auflagen für hochriskante KI greifen erst danach und wurden zuletzt im Zuge des sogenannten Digital-Omnibus noch einmal nach hinten verschoben, um den Unternehmen mehr Zeit für die Umsetzung zu geben. Bei bestimmten KI-Anwendungen, die in regulierte Produkte eingebaut sind, reicht die Frist inzwischen bis zum 2. August 2028.² Für die meisten Betriebe zählt aber ohnehin die Pflicht, die schon heute gilt, und nicht die ferne Frist für Hochrisiko-KI.

Für dich als Betreiber von Alltags-KI ist die wichtigste Botschaft aber nicht die ferne Frist, sondern die Pflicht, die schon heute gilt. Die KI-Kompetenz deines Teams musst du jetzt sicherstellen, nicht erst in ein paar Jahren.

Was du deinen Kunden gegenüber offenlegen musst

Ein Teil der KI-Verordnung, der viele Betriebe ganz direkt betrifft, sind die Transparenzpflichten. Wenn ein Kunde mit einem Chatbot schreibt, muss er erkennen können, dass am anderen Ende eine Maschine sitzt und kein Mensch. Und wenn du Texte, Bilder oder Videos von einer KI erstellen lässt und veröffentlichst, sollen diese als künstlich erzeugt erkennbar sein.

Für dich bedeutet das keinen großen Aufwand, aber du solltest deine Chatbots und deine KI-Inhalte entsprechend kennzeichnen. So bleibt der Umgang mit deinen Kunden ehrlich, und du erfüllst nebenbei eine weitere Vorgabe der KI-Verordnung. Gerade im Kundenkontakt ist Offenheit ohnehin die bessere Strategie, weil verschleierte KI schnell Vertrauen kostet, wenn sie auffliegt.

Was bei Verstößen gegen die KI-Verordnung droht

Kommen wir zu dem Punkt, der Unternehmern am meisten Bauchschmerzen macht, den Bußgeldern. Die KI-Verordnung sieht bei den schwersten Verstößen, also dem Einsatz verbotener KI, Strafen von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes vor.¹ Für weniger schwere Verstöße gibt es niedrigere Stufen. Für kleine und mittlere Unternehmen gelten dabei anteilige Obergrenzen, damit ein Bußgeld nicht gleich die Existenz kostet.

Auch wenn diese Höchstsummen vor allem große Anbieter treffen sollen, ist die Botschaft eindeutig. Die KI-Verordnung ist kein zahnloses Papier. Dazu kommt ein zweites Risiko, das schneller real wird als ein Bußgeld. Wer KI unbedacht einsetzt, riskiert, dass sensible Daten in einem öffentlichen Tool landen, und das ist zugleich ein Datenschutzverstoß mit eigenen Folgen. Die KI-Verordnung und der Datenschutz greifen an dieser Stelle ineinander.

Was du jetzt konkret tun solltest

Die gute Nachricht ist, dass du die wichtigsten Pflichten der KI-Verordnung mit überschaubarem Aufwand erfüllen kannst. Diese Schritte bringen dich auf die sichere Seite.

Verschaff dir zuerst einen Überblick, welche KI-Tools in deinem Betrieb überhaupt genutzt werden. Oft ist das mehr, als die Geschäftsführung denkt, weil einzelne Mitarbeiter eigenständig Tools ausprobieren. Danach schulst du dein Team, damit alle den sicheren Umgang mit KI kennen. Das ist der Kern der KI-Kompetenzpflicht und gleichzeitig der Schritt mit dem größten Nutzen im Alltag.

Lege außerdem klare Regeln fest, welche Daten in welche Tools dürfen und welche auf keinen Fall. Gerade Kundendaten und Gesundheitsdaten haben in einem öffentlichen KI-Tool nichts zu suchen. Halte diese Regeln und deine Schulungen kurz schriftlich fest, damit du im Zweifel nachweisen kannst, dass du deine Pflichten aus der KI-Verordnung ernst nimmst. Mehr braucht es für den Anfang oft nicht.

Ein oft unterschätzter Hebel ist die Wahl des richtigen Tools. Viele kostenlose KI-Dienste verarbeiten deine Eingaben weiter und nutzen sie sogar zum Training ihrer Modelle. Für den beruflichen Einsatz gibt es dagegen Geschäftsversionen, bei denen deine Daten vertraulich bleiben und nicht zum Training verwendet werden. Wer im Betrieb auf solche Varianten setzt, löst gleich zwei Probleme auf einmal, denn er schützt sensible Daten und handelt genau im Sinne dessen, was die KI-Verordnung eigentlich will, nämlich einen verantwortungsvollen Umgang mit KI.

Häufige Fehler, die du vermeiden solltest

Bei vielen Betrieben wiederholen sich dieselben Fehler. Der häufigste ist, KI einfach laufen zu lassen, ohne dem Team je Regeln oder eine Schulung an die Hand zu geben. Ein zweiter Fehler ist, sensible Daten in kostenlose Tools zu tippen, deren Anbieter damit machen können, was sie wollen. Und drittens wird das Thema oft als reine Rechtsfrage abgetan und liegen gelassen, obwohl der wichtigste Schritt, die Schulung des Teams, ganz praktisch ist. Wer diese drei Punkte angeht, hat die KI-Verordnung schon zum großen Teil im Griff.

Die KI-Verordnung ist auch eine Chance

Bei allem Fokus auf Pflichten lohnt sich ein zweiter Blick. Ein Betrieb, der klar regelt, wie KI genutzt wird, arbeitet nicht nur sicherer, sondern oft auch besser. Die Mitarbeiter trauen sich, die Werkzeuge produktiv einzusetzen, weil sie wissen, was erlaubt ist und was nicht. Statt aus Unsicherheit heimlich private Tools zu nutzen, arbeiten alle mit denselben sicheren Werkzeugen.

Wer die KI-Verordnung früh ernst nimmt, verschafft sich außerdem einen Vorsprung gegenüber Wettbewerbern, die das Thema noch vor sich herschieben. Gerade im wirtschaftsstarken Raum Köln und Bonn kann ein sichtbar verantwortungsvoller Umgang mit KI sogar zum Argument gegenüber Kunden werden, die genau auf solche Dinge achten.

Deine nächsten Schritte mit IT-Deol

Verschaff dir zuerst ein ehrliches Bild vom aktuellen Stand. Weißt du, welche KI-Tools in deinem Betrieb genutzt werden? Wurde dein Team jemals im sicheren Umgang mit KI geschult? Und gibt es klare Regeln, welche Daten in ein KI-Tool dürfen? Diese Fragen kosten wenig Zeit und zeigen schnell, wo es hakt.

Auf dieser Grundlage entscheidest du, ob du das intern angehst oder dir Unterstützung holst. Als IT-Systemhaus aus Lohmar helfen wir bei IT-Deol Unternehmen in Köln, Bonn und der Umgebung dabei, KI sicher einzuführen. Wir verschaffen dir den Überblick über die genutzten Tools, schulen dein Team im Sinne der KI-Kompetenzpflicht und richten technische Leitplanken ein, damit sensible Daten geschützt bleiben. Für die rein juristischen Feinheiten arbeiten wir bei Bedarf mit deinem Rechtsberater zusammen, die praktische Umsetzung nehmen wir dir ab.

Die KI-Verordnung klingt zunächst nach Bürokratie, ist für die meisten Betriebe aber gut zu bewältigen. Wer die wenigen richtigen Schritte geht, nutzt die Chancen der KI und bleibt trotzdem auf der sicheren Seite. Für Unternehmen in Köln und Bonn ist das eine kleine Investition mit großer Wirkung, gerade weil das Thema mit jedem Monat wichtiger wird und der frühe Start dir Ruhe und einen Vorsprung verschafft.

---

Häufige Fragen zum Thema KI-Verordnung

Betrifft die KI-Verordnung wirklich auch mein kleines Unternehmen?

Ja, denn die KI-Verordnung nimmt nicht nur Entwickler in die Pflicht, sondern auch alle Betriebe, die fertige KI nutzen, und weil fast jedes Unternehmen heute Tools wie ChatGPT einsetzt, unterstützt IT-Deol aus Lohmar gerade kleine und mittlere Betriebe in Köln und Bonn dabei, die Vorgaben unkompliziert zu erfüllen.

Wir nutzen nur ChatGPT und ähnliche Tools. Reicht das schon für eine Pflicht?

Schon der reine Einsatz solcher Tools macht dich zum Betreiber im Sinne der KI-Verordnung, und damit gilt seit Februar 2025 die KI-Kompetenzpflicht, weshalb IT-Deol dein Team in einer praxisnahen Schulung fit macht, damit alle die Werkzeuge sicher und verantwortungsvoll nutzen.

Was ist die KI-Kompetenzpflicht und was muss ich dafür tun?

Die KI-Kompetenzpflicht der KI-Verordnung verlangt, dass alle Mitarbeitenden, die mit KI arbeiten, ein ausreichendes Grundverständnis der Tools, ihrer Grenzen und Risiken haben, und IT-Deol aus Lohmar setzt das mit kurzen Schulungen und einer knappen Dokumentation um, sodass du die Pflicht im Zweifel auch nachweisen kannst.

Welche Fristen der KI-Verordnung gelten schon und welche kommen noch?

Seit Februar 2025 gelten die Verbote und die KI-Kompetenzpflicht, seit August 2025 die Regeln für große KI-Modelle und der Bußgeldrahmen, während die strengen Auflagen für hochriskante KI per Digital-Omnibus nach hinten verschoben wurden und bei bestimmten Anwendungen erst bis 2028 greifen, und IT-Deol behält diese Fristen für Unternehmen in Köln und Bonn im Blick.

Welche Strafen drohen bei Verstößen gegen die KI-Verordnung?

Bei den schwersten Verstößen sieht die KI-Verordnung Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes vor, für kleinere Verstöße gelten niedrigere Stufen mit anteiligen Obergrenzen für KMU, und IT-Deol aus Lohmar hilft dir, mit den richtigen Maßnahmen gar nicht erst in diese Lage zu kommen.

Sind wir Anbieter oder Betreiber im Sinne der KI-Verordnung?

Als typischer Betrieb, der fertige KI nur einsetzt, bist du Betreiber und nicht Anbieter, was die Pflichten der KI-Verordnung deutlich leichter macht, und IT-Deol klärt für Unternehmen in Köln und Bonn im Zweifel, ob eine bestimmte Nutzung dich doch zum Anbieter mit strengeren Pflichten machen könnte.

Müssen wir kennzeichnen, wenn wir KI im Kundenkontakt einsetzen?

Ja, die KI-Verordnung sieht Transparenzpflichten vor, sodass Kunden erkennen müssen, wenn sie mit einem Chatbot schreiben, und auch KI-generierte Inhalte als solche erkennbar sein sollen, und IT-Deol aus Lohmar hilft dir, deine Chatbots und KI-Inhalte richtig zu kennzeichnen.

Dürfen wir einfach die kostenlose Version von KI-Tools im Betrieb nutzen?

Davon ist abzuraten, weil viele kostenlose Dienste deine Eingaben weiterverarbeiten und zum Training nutzen, was gegen den Gedanken der KI-Verordnung und den Datenschutz läuft, weshalb IT-Deol Unternehmen in Köln und Bonn zu Geschäftsversionen berät, bei denen deine Daten vertraulich bleiben.

Ist die KI-Verordnung nur eine Rechtsfrage für unseren Anwalt?

Nein, denn der wichtigste Schritt ist ganz praktisch, nämlich dein Team zu schulen und den KI-Einsatz zu ordnen, und genau diese Umsetzung nimmt dir IT-Deol aus Lohmar ab, während für rein juristische Feinheiten bei Bedarf dein Rechtsberater hinzugezogen wird.

Wer hilft uns in Köln und Bonn dabei, die KI-Verordnung praktisch umzusetzen?

IT-Deol aus Lohmar ist dein Ansprechpartner für die praktische Umsetzung der KI-Verordnung, von der Bestandsaufnahme der genutzten Tools über die Schulung deines Teams bis zu technischen Leitplanken für den Datenschutz, und bietet eine kostenlose Erstberatung an, in der ihr gemeinsam den Handlungsbedarf klärt.

Quellen

¹ Amt für Veröffentlichungen der EU, EUR-Lex, Verordnung (EU) 2024/1689 (KI-Verordnung), amtliche deutsche Fassung (KI-Kompetenz nach Art. 4, verbotene Praktiken nach Art. 5, Bußgelder bis 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes nach Art. 99, Geltungsdaten nach Art. 113). eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R1689

² Europäische Kommission, „KI-Gesetz“ (amtliche deutschsprachige Übersicht zu Fristen und Pflichten, u. a. Verbote seit 2.2.2025, Governance und Regeln für KI-Modelle seit 2.8.2025, verlängerte Fristen für Hochrisiko-KI in regulierten Produkten bis 2.8.2028). digital-strategy.ec.europa.eu/de/policies/regulatory-framework-ai

Ein normaler Tag im Unternehmen, und plötzlich meldet sich die Buchhaltung: Über Nacht hat sich jemand im Kundenportal angemeldet. Mitten in der Nacht, von einer fremden IP-Adresse. Das Merkwürdige daran ist, dass das Passwort stimmte. Niemand hat etwas geknackt, niemand ist in die Systeme eingebrochen. Der Angreifer hat sich einfach mit gültigen Zugangsdaten eingeloggt. Für viele Betriebe in Köln und Bonn ist das der Moment, in dem sie zum ersten Mal von Credential Stuffing hören.

Wenn du wissen willst, ob dein Unternehmen davon betroffen sein kann, hilft ein nüchterner Blick darauf, wie Credential Stuffing funktioniert. Die gute Nachricht vorweg. Sobald du das Muster verstanden hast, kannst du dich mit ein paar gezielten Maßnahmen wirksam schützen. Und die meisten davon kosten weniger, als du vielleicht denkst.

Was Credential Stuffing ist

Credential Stuffing ist eine Angriffsmethode, bei der Kriminelle riesige Listen gestohlener Zugangsdaten automatisiert bei möglichst vielen Diensten ausprobieren. Der Begriff bedeutet sinngemäß das Vollstopfen von Login-Feldern mit fremden Passwörtern. Die Angreifer knacken dabei nichts. Sie nutzen Benutzernamen und Passwörter, die bei früheren Datenlecks anderer Firmen erbeutet wurden, und testen sie bei deinem Webshop, deinem Kundenportal oder eurem Microsoft-365-Konto.

Der Trick ist einfach und deshalb so wirksam. Sehr viele Menschen nutzen dasselbe Passwort für mehrere Dienste. Wird ein Passwort bei einem beliebigen Onlineshop gestohlen, probieren die Angreifer es überall sonst durch. Genau darauf baut Credential Stuffing. Es braucht keine ausgefeilte Technik, sondern nur eine Liste geklauter Daten und ein Programm, das automatisiert tausende Logins pro Minute testet.

Warum die Wiederverwendung von Passwörtern das Einfallstor ist

Rund 65 Prozent der Nutzer verwenden dasselbe Passwort für mehrere Konten.² Für den Alltag ist das bequem, für die Sicherheit ist es fatal. Sobald ein einziges dieser Passwörter irgendwo im Netz auftaucht, steht damit die Tür zu allen anderen Konten offen, die mit denselben Daten geschützt sind. Ein Mitarbeiter, der sein privates Lieblingspasswort auch fürs Firmenkonto nutzt, wird so unfreiwillig zum Risiko. Und weil das ursprüngliche Leck bei einem ganz anderen Anbieter passiert ist, hat dein Unternehmen davon oft nie erfahren. Genau diese Kette aus fremdem Leck und wiederverwendetem Passwort macht Credential Stuffing so gefährlich.

Warum Credential Stuffing kein klassisches Passwort-Knacken ist

Viele denken bei einem Angriff auf Passwörter an Software, die stur alle Kombinationen durchprobiert. Dieses sogenannte Brute-Force-Verfahren ist langsam, laut und fällt schnell auf. Credential Stuffing arbeitet ganz anders. Hier rät niemand, denn die Angreifer kennen die echten Passwörter bereits aus fremden Datenlecks und probieren sie nur noch an der richtigen Stelle aus. Das ist der Grund, warum Credential Stuffing so effizient und gleichzeitig so unauffällig ist. Es sieht eben nicht aus wie ein Angriff, sondern wie ein ganz normaler Anmeldeversuch mit einem gültigen Passwort.

Warum Credential Stuffing gerade KMU in Köln und Bonn trifft

Man könnte meinen, für so einen automatisierten Massenangriff sind kleine Firmen zu unbedeutend. Das stimmt nicht. Credential Stuffing läuft vollautomatisch und macht keinen Unterschied zwischen Konzern und Handwerksbetrieb. Die Bots testen einfach alles, was ein Login-Feld hat. Kleine und mittlere Unternehmen im Raum Köln und Bonn sind sogar besonders gefährdet, weil sie selten eine Überwachung haben, die verdächtige Anmeldungen bemerkt.

Dazu kommt der eigentliche Schmerzpunkt. Du kannst deine eigenen Systeme mustergültig absichern und trotzdem betroffen sein, weil das geklaute Passwort aus einem fremden Datenleck stammt. Der Angriff nutzt keine Lücke in deiner IT, sondern eine Gewohnheit deiner Mitarbeiter oder Kunden. Genau das macht Credential Stuffing für viele Geschäftsführer so frustrierend, denn der beste eigene Schutz hilft nichts gegen ein Passwort, das längst woanders verloren ging.

Warum du davon oft gar nichts mitbekommst

Ein klassischer Hackerangriff hinterlässt Spuren, ein Alarm geht los, etwas funktioniert nicht mehr. Bei Credential Stuffing ist das anders. Der Angreifer meldet sich mit einem gültigen Passwort an, so wie es dein Mitarbeiter jeden Tag tut. Für das System sieht das nach einem normalen Login aus. Deshalb bleibt der Zugriff oft wochenlang unentdeckt, während im Hintergrund Daten abfließen oder Bestellungen manipuliert werden. Laut dem Verizon Data Breach Investigations Report 2025 gehen inzwischen zwischen 19 und 44 Prozent der Login-Versuche auf großen Anmeldeportalen auf Credential Stuffing zurück.¹ Ein erheblicher Teil dessen, was wie normaler Verkehr aussieht, ist in Wahrheit ein Angriff.

Ein Beispiel aus unserer Region

Stell dir einen Onlinehändler aus dem Raum Köln vor, rund 30 Mitarbeiter, gut laufender Shop. Eines Morgens häufen sich Beschwerden von Kunden, dass in ihren Konten fremde Bestellungen auftauchen. Die IT prüft die Logins und stellt fest, dass sich über Nacht tausende Anmeldeversuche aus dem Ausland gehäuft haben, ein kleiner Teil davon erfolgreich. Niemand hat den Shop gehackt. Die Angreifer hatten schlicht Zugangsdaten aus einem fremden Leck durchprobiert, und weil viele Kunden ihr Passwort mehrfach nutzten, hatten sie Erfolg.

Der Schaden ist real. Rückabwicklungen, verärgerte Kunden, ein ramponierter Ruf und viele Stunden Arbeit. Dabei hätte ein einfacher zweiter Sicherheitsfaktor die meisten dieser Übernahmen verhindert. Genau diese Erfahrung mit Credential Stuffing machen Betriebe in Köln und Bonn immer häufiger.

Wie ein Credential-Stuffing-Angriff abläuft

Der Ablauf eines Credential-Stuffing-Angriffs ist fast immer gleich, auch wenn die Ziele sich unterscheiden.

Am Anfang steht ein Datenleck bei irgendeinem Dienst, oft weit weg von deinem Unternehmen. Die erbeuteten Zugangsdaten landen als sogenannte Combolisten im Darknet, wo sie gehandelt oder frei geteilt werden. Aktuell kursieren rund zwei Milliarden geleakte Zugangsdaten aus solchen Quellen.² Ein Angreifer lädt sich so eine Liste, füttert sie in ein Programm und lässt es automatisiert bei vielen Diensten durchlaufen. Weltweit zählen Sicherheitsforscher rund 26 Milliarden solcher Login-Versuche pro Monat.²

Die Erfolgsquote pro Versuch ist mit 0,1 bis 2 Prozent niedrig, aber bei Millionen von Versuchen bleiben genug Treffer übrig. Für jeden Treffer bekommt der Angreifer Zugang zu einem echten Konto. Was dann passiert, hängt vom Ziel ab. Mal werden Waren auf fremde Rechnung bestellt, mal sensible Daten abgezogen, mal dient das gekaperte Konto als Sprungbrett für den nächsten Angriff, etwa eine täuschend echte E-Mail an die Buchhaltung. So wird aus einem fremden Datenleck ganz konkret dein Problem, und Credential Stuffing verwandelt einen alten Passwortdiebstahl in einen frischen Angriff auf dein Unternehmen.

Was Credential Stuffing für dein Unternehmen bedeutet

Die Folgen eines erfolgreichen Angriffs reichen weit über den einzelnen Zugang hinaus. Wird ein Mitarbeiterkonto übernommen, kann der Angreifer auf E-Mails, Dokumente und interne Systeme zugreifen. Wird ein Kundenkonto gekapert, drohen Betrug, Datenschutzverstöße und ein Vertrauensverlust, der sich nur schwer reparieren lässt. Dazu kommen Ausfallzeiten, Aufwand für die Aufklärung und im schlimmsten Fall Meldepflichten gegenüber Behörden und Betroffenen.

Besonders tückisch ist, dass ein gekapertes Konto selten das Ende der Geschichte ist. Oft ist es erst der Anfang. Aus einem übernommenen Postfach heraus verschicken Angreifer täuschend echte Nachrichten an Kollegen, Kunden oder Lieferanten, weil diese Mails ja von einer echten Adresse kommen. So wird aus dem stillen Zugriff schnell ein Betrugsversuch, dem noch mehr Menschen zum Opfer fallen. Ein einziger Treffer beim Credential Stuffing kann auf diese Weise eine ganze Kette weiterer Angriffe auslösen.

Auch finanziell ist Credential Stuffing kein Kavaliersdelikt. Die Bitkom-Studie „Wirtschaftsschutz 2025″ beziffert den jährlichen Schaden für die deutsche Wirtschaft auf 289,2 Milliarden Euro, und gestohlene Zugangsdaten gehören zu den häufigsten Einfallstoren überhaupt.³ Für ein kleines oder mittleres Unternehmen kann schon ein einzelner Vorfall schnell fünfstellig werden, wenn man Arbeitszeit, Schaden und Folgekosten zusammenrechnet.

Woran du einen Credential-Stuffing-Angriff erkennst

Auch wenn Credential Stuffing unauffällig ist, gibt es Anzeichen, an denen du einen laufenden Angriff erkennen kannst. Das deutlichste ist eine plötzliche Welle fehlgeschlagener Anmeldungen. Wenn in kurzer Zeit hunderte oder tausende Logins scheitern, testet dort mit hoher Wahrscheinlichkeit ein Bot eine Combolist durch. Auffällig sind auch Anmeldungen zu ungewöhnlichen Zeiten, etwa mitten in der Nacht, oder aus Ländern, in denen dein Unternehmen gar nicht tätig ist.

Ein weiteres Warnsignal sind Meldungen von Kunden oder Mitarbeitern, die von fremden Bestellungen, geänderten Passwörtern oder seltsamen E-Mails aus ihrem Konto berichten. Spätestens dann läuft der Angriff nicht mehr im Verborgenen. Das Problem ist, dass viele kleine Betriebe diese Zeichen gar nicht sehen, weil niemand die Logins auswertet. Genau hier setzt eine Überwachung an, die verdächtige Muster automatisch erkennt und meldet, statt darauf zu warten, dass der Schaden von selbst auffällt.

So schützt du dich vor Credential Stuffing

Die gute Nachricht ist, dass ein paar gezielte Maßnahmen den allergrößten Teil dieser Angriffe ins Leere laufen lassen.

Der wichtigste Schutz vor Credential Stuffing ist die Zwei-Faktor-Authentifizierung. Selbst wenn ein Angreifer das richtige Passwort hat, scheitert er am zweiten Faktor, etwa einem Code auf dem Handy. Damit fällt der Großteil aller Angriffe einfach aus. Noch einen Schritt weiter gehen Passkeys, bei denen gar kein Passwort mehr im klassischen Sinn existiert und die deshalb nicht geklaut und durchprobiert werden können.

Genauso wichtig sind einzigartige Passwörter. Wenn jedes Konto ein eigenes, starkes Passwort hat, bringt ein einzelnes Leck den Angreifern nichts. Ein Passwort-Manager nimmt deinen Mitarbeitern die Arbeit ab, sich das alles zu merken. Ergänzend lohnt sich eine Überwachung, die meldet, wenn Zugangsdaten deines Unternehmens in einem bekannten Leck auftauchen. So erfährst du von der Gefahr, bevor die Angreifer sie nutzen. Auf technischer Seite helfen eine Begrenzung der Login-Versuche und ein Bot-Schutz, der die typischen automatisierten Massenanfragen erkennt und blockiert.

Technik allein reicht aber nicht. Deine Mitarbeiter müssen verstehen, warum ein eigenes Passwort für jedes Konto so wichtig ist und warum das private Passwort im Firmenkonto nichts zu suchen hat. Eine kurze, verständliche Sensibilisierung wirkt hier oft mehr als jede Vorschrift, die niemand liest. Am besten legst du klare Regeln fest, die für alle gelten, von der Buchhaltung bis zur Geschäftsleitung, und machst die Zwei-Faktor-Authentifizierung zur Pflicht statt zur freiwilligen Option. So schließt du die Lücke, die Credential Stuffing überhaupt erst nutzbar macht.

Häufige Fehler, die du vermeiden solltest

Bei vielen Betrieben wiederholen sich dieselben Fehler. Der häufigste ist, sich allein auf das Passwort zu verlassen und auf einen zweiten Faktor zu verzichten. Ein zweiter Fehler ist, die Wiederverwendung von Passwörtern zu dulden, weil niemand die Mitarbeiter darauf anspricht. Und drittens fehlt oft jede Überwachung, sodass ein übernommenes Konto erst auffällt, wenn der Schaden schon da ist. Wer diese drei Punkte angeht, macht sich für Credential Stuffing zu einem unattraktiven Ziel.

Deine nächsten Schritte mit IT-Deol

Verschaff dir zuerst ein ehrliches Bild vom aktuellen Stand. Ist bei euch überall die Zwei-Faktor-Authentifizierung aktiv, vor allem beim Zugang zu E-Mail und wichtigen Systemen? Nutzen deine Mitarbeiter einzigartige Passwörter oder immer wieder dieselben? Und würdest du überhaupt merken, wenn sich jemand mit gültigen Daten unbefugt anmeldet? Diese Fragen kosten wenig Zeit und zeigen schnell, wo es hakt.

Auf dieser Grundlage entscheidest du, ob du das intern angehst oder dir Unterstützung holst. Als IT-Systemhaus aus Lohmar richten wir bei IT-Deol für Unternehmen in Köln, Bonn und der Umgebung die Zwei-Faktor-Authentifizierung ein, führen einen Passwort-Manager ein und überwachen, ob eure Zugangsdaten in Lecks auftauchen. So wird aus einem diffusen Risiko ein Thema, das du im Griff hast.

Credential Stuffing lebt davon, dass viele Unternehmen es nicht auf dem Schirm haben. Wer die wenigen richtigen Hebel umlegt, nimmt den Angreifern ihre Grundlage und macht das eigene Unternehmen für automatisierte Angriffe schlicht uninteressant. Für Betriebe in Köln und Bonn ist der Schutz vor Credential Stuffing eine kleine Investition mit großer Wirkung, gerade weil ein einziger vermiedener Vorfall die Kosten meist um ein Vielfaches übersteigt.

---

Häufige Fragen zum Thema Credential Stuffing

Was genau ist Credential Stuffing und warum sollte ich als Geschäftsführer davon wissen?

Credential Stuffing ist ein automatisierter Angriff, bei dem Kriminelle gestohlene Zugangsdaten aus fremden Datenlecks massenhaft bei anderen Diensten durchprobieren, und IT-Deol aus Lohmar klärt Unternehmen in Köln und Bonn darüber auf, weil schon ein einziger Treffer den Zugang zu Firmenkonten öffnen kann.

Kann mein Unternehmen betroffen sein, obwohl wir selbst nie gehackt wurden?

Ja, und genau das ist der tückische Kern von Credential Stuffing, denn die Angreifer nutzen Passwörter, die bei ganz anderen Anbietern gestohlen wurden, weshalb IT-Deol prüft, ob Zugangsdaten aus deinem Betrieb bereits in bekannten Lecks kursieren und für einen Angriff bereitstehen.

Warum bemerke ich einen solchen Angriff auf mein Firmennetzwerk oft gar nicht?

Beim Credential Stuffing meldet sich der Angreifer mit einem gültigen Passwort an, sodass der Zugriff für dein System wie ein normaler Login aussieht, und deshalb richtet IT-Deol aus Lohmar für Unternehmen in Köln und Bonn eine Überwachung ein, die verdächtige Anmeldemuster automatisch erkennt.

Sind wirklich auch kleine und mittlere Betriebe in Köln und Bonn ein Ziel?

Credential Stuffing läuft vollautomatisch und testet jedes Login-Feld, egal ob Konzern oder Handwerksbetrieb, weshalb gerade kleinere Unternehmen ohne eigene Überwachung gefährdet sind und von IT-Deol einen schnellen und bezahlbaren Einstieg in wirksamen Schutz bekommen.

Was ist der wichtigste Schutz gegen Credential Stuffing in meinem Unternehmen?

Der wichtigste Schutz ist die Zwei-Faktor-Authentifizierung, denn selbst mit dem richtigen Passwort scheitert ein Angreifer am zweiten Faktor, und IT-Deol aus Lohmar richtet diese Absicherung für Betriebe in Köln und Bonn ein, sodass der Großteil aller Angriffe ins Leere läuft.

Reicht ein sicheres, langes Passwort nicht schon aus?

Nein, denn beim Credential Stuffing wird das Passwort nicht geknackt, sondern ist bereits bekannt, weshalb auch ein langes Passwort nichts nützt, wenn es mehrfach verwendet wird, und IT-Deol setzt deshalb auf einzigartige Passwörter je Konto, einen Passwort-Manager und einen zweiten Faktor.

Wie erkenne ich, dass gerade ein Angriff auf unsere Logins läuft?

Typische Anzeichen für Credential Stuffing sind eine plötzliche Welle fehlgeschlagener Anmeldungen, Logins zu ungewöhnlichen Zeiten oder aus fremden Ländern und Meldungen über fremde Aktivitäten in Konten, und IT-Deol aus Lohmar hilft Unternehmen in Köln und Bonn, diese Muster frühzeitig sichtbar zu machen.

Welchen Schaden kann ein einziger erfolgreicher Angriff in meinem Betrieb anrichten?

Ein durch Credential Stuffing übernommenes Konto kann für Betrug, Datendiebstahl und weitere Angriffe aus einem echten Postfach heraus genutzt werden, und weil gestohlene Zugangsdaten laut Bitkom zu den häufigsten Einfallstoren zählen, wird ein einzelner Vorfall für ein KMU schnell fünfstellig.

Sind Passkeys eine echte Alternative zum klassischen Passwort?

Ja, denn bei Passkeys existiert kein klassisches Passwort mehr, das gestohlen und durchprobiert werden könnte, wodurch Credential Stuffing ins Leere läuft, und IT-Deol aus Lohmar berät Unternehmen in Köln und Bonn, wo sich der Umstieg auf Passkeys im Alltag bereits lohnt.

Wer hilft mir als mittelständisches Unternehmen in Köln und Bonn beim Schutz vor Credential Stuffing?

IT-Deol aus Lohmar ist dein Ansprechpartner für Zwei-Faktor-Authentifizierung, Passwort-Management, Leak-Überwachung und Managed Security Services und bietet eine kostenlose Erstberatung an, in der gemeinsam analysiert wird, wie angreifbar deine Zugänge heute sind und welche Schritte den größten Effekt bringen.

---

Quellen

¹ Verizon, „2025 Data Breach Investigations Report“ (22 % der Breaches über gestohlene Zugangsdaten; 19 % bis 44 % der Login-Versuche auf Anmeldeportalen durch Credential Stuffing). https://www.verizon.com/business/resources/reports/dbir/

² Deepstrike, „Credential Stuffing Statistics“ (rund 2 Mrd. geleakte Zugangsdaten in Umlauf; ca. 26 Mrd. Stuffing-Login-Versuche pro Monat laut Akamai; rund 65 % der Nutzer verwenden Passwörter mehrfach). https://deepstrike.io/blog/credential-stuffing-statistics

³ Bitkom e. V., Studie „Wirtschaftsschutz 2025″ (Gesamtschaden 289,2 Mrd. Euro; gestohlene Zugangsdaten als häufiges Einfallstor). https://www.bitkom.org/Bitkom/Publikationen/Wirtschaftsschutz

Es ist ein ganz normaler Dienstagmorgen. Eine E-Mail landet im Postfach, angeblich von der Personalabteilung, mit der Bitte, kurz die neuen Urlaubsregeln im verlinkten Portal zu bestätigen. Ein Klick, die Zugangsdaten eingegeben, fertig. Zum Glück war es nur eine Phishing-Simulation und kein echter Angriff. Für viele Betriebe in Nürnberg und Köln ist genau dieser Moment der Augenöffner, weil er zeigt, wie schnell selbst aufmerksame Mitarbeiter ins Netz gehen.

Wenn du überlegst, ob sich so ein Test für dein Unternehmen lohnt, hilft ein nüchterner Blick darauf, was eine Phishing-Simulation wirklich leistet und wo ihre Grenzen liegen. Richtig eingesetzt macht sie aus deinem Team die stärkste Verteidigungslinie, die du hast. Falsch eingesetzt verpufft sie oder sorgt sogar für Frust. Wenn du den Unterschied einmal verstanden hast, kannst du das Thema gezielt angehen.

Was eine Phishing-Simulation ist

Eine Phishing-Simulation ist ein geplanter, harmloser Testangriff auf die eigenen Mitarbeiter. Das Unternehmen verschickt gefälschte E-Mails, die echten Betrugsmails nachempfunden sind, und beobachtet, wer klickt, wer Daten eingibt und wer die Mail meldet. Niemand kommt zu Schaden, denn hinter den Links steckt keine Schadsoftware, sondern eine Auswertung. Wer auf eine simulierte Mail hereinfällt, landet meist auf einer kurzen Lernseite, die erklärt, woran die Fälschung zu erkennen gewesen wäre.

Der Sinn dahinter ist einfach. Phishing funktioniert, weil es Menschen unter Druck setzt und Vertrauen ausnutzt, nicht weil es technische Lücken findet. Eine Phishing-Simulation trainiert genau diese menschliche Seite. Sie macht die Gefahr erlebbar, statt sie nur in einer Schulung zu beschreiben. Und sie liefert dir zum ersten Mal echte Zahlen darüber, wie anfällig dein Betrieb tatsächlich ist.

Warum der Mensch die wichtigste Verteidigungslinie ist

Die meisten erfolgreichen Cyberangriffe beginnen nicht mit einem genialen Hack, sondern mit einer E-Mail, auf die jemand klickt. Firewalls, Virenscanner und Spamfilter fangen viel ab, aber eben nicht alles. Sobald eine gut gemachte Mail durchrutscht, entscheidet ein einzelner Mensch am Bildschirm, ob der Angriff gelingt. Genau deshalb ist der Mensch die letzte und wichtigste Verteidigungslinie. Eine Phishing-Simulation setzt genau dort an, wo Technik allein nicht mehr weiterhilft, und verwandelt ein Risiko in eine Stärke.

Warum das Thema gerade Unternehmen in Nürnberg und Köln betrifft

Man könnte meinen, Cyberkriminelle hätten es vor allem auf große Konzerne abgesehen. Das Gegenteil stimmt. Kleine und mittlere Unternehmen sind besonders im Visier. Laut dem BSI-Lagebericht 2025 sind bei Ransomware-Angriffen rund 80 Prozent der Betroffenen kleine und mittelgroße Betriebe, und im Schnitt erfüllen kleinere Firmen nur etwa 56 Prozent der Basisanforderungen an IT-Sicherheit.³ Gerade in wirtschaftsstarken Räumen wie der Metropolregion Nürnberg und dem Großraum Köln, wo unzählige Mittelständler, Handwerksbetriebe und Dienstleister sitzen, ist das eine gefährliche Mischung.

Dazu kommt, dass diese Betriebe zwar Geld und wertvolle Daten haben, aber selten eine eigene Sicherheitsabteilung. Die Angreifer wissen das und wählen ihre Ziele danach aus. Ein einziger unbedachter Klick reicht, um ihnen die Tür zu öffnen. Eine Phishing-Simulation deckt auf, wie leicht dieser Klick im eigenen Haus passieren kann, bevor es ein echter Angreifer tut.

Warum Phishing heute gefährlicher ist als je zuvor

Die Bitkom-Studie „Wirtschaftsschutz 2025″ beziffert den jährlichen Schaden für die deutsche Wirtschaft auf 289,2 Milliarden Euro, und Phishing gehört mit 22 Prozent betroffener Unternehmen zu den häufigsten Einfallstoren.¹ Früher waren solche Mails oft an holprigem Deutsch und plumpen Absendern zu erkennen. Heute schreibt künstliche Intelligenz fehlerfreie, persönlich zugeschnittene Nachrichten, die kaum noch auffallen. Angreifer werten öffentlich verfügbare Informationen über dein Unternehmen aus und bauen daraus Mails, die täuschend echt wirken.

Genau deshalb reicht es nicht mehr, einmal im Jahr eine Warnung an alle zu verschicken. Das Wissen verblasst, die Angriffe werden besser, und die nächste gut gemachte Mail trifft auf ein Team, das längst wieder unaufmerksam geworden ist. Eine Phishing-Simulation hält das Bewusstsein wach und macht aus einer abstrakten Warnung eine konkrete Erfahrung.

Ein Beispiel aus unserer Region

Stell dir einen mittelständischen Maschinenbauer aus dem Raum Nürnberg vor, rund 120 Mitarbeiter, gut aufgestellt. Die Geschäftsführung ist überzeugt, dass die eigene Belegschaft für Betrugsmails längst sensibilisiert ist. Dann läuft die erste Phishing-Simulation, eine gefälschte Mail der Buchhaltung mit der Bitte, eine geänderte Bankverbindung zu bestätigen. Fast jeder Dritte klickt, mehrere geben sogar ihre Zugangsdaten ein.

Es entsteht kein realer Schaden, aber der Weckruf sitzt. Ein halbes Jahr und mehrere Durchläufe später klickt nur noch ein kleiner Teil der Belegschaft, und die Zahl der gemeldeten Verdachtsmails ist deutlich gestiegen. Genau das ist der Punkt. Die Belegschaft hat nicht durch eine Theorie gelernt, sondern durch das eigene Erlebnis. Und dieselbe Erfahrung machen Betriebe im Großraum Köln genauso wie in Franken.

Wie eine Phishing-Simulation abläuft

Eine gute Phishing-Simulation folgt einem klaren Muster, auch wenn die Details je nach Unternehmen variieren. Wichtig ist, dass sie kein einmaliger Schuss ins Blaue ist, sondern ein geplanter Ablauf mit einem klaren Ziel.

Von der Planung bis zur Auswertung

Am Anfang steht die Planung. Gemeinsam wird festgelegt, welche Abteilungen getestet werden, wie realistisch die Mails sein sollen und welche Szenarien zum Betrieb passen. Eine Mail an die Buchhaltung sieht anders aus als eine an den Vertrieb oder an die Geschäftsleitung. Danach folgt der erste Testlauf, meist ohne Vorwarnung, um einen ehrlichen Ausgangswert zu bekommen. Dieser erste Wert zeigt, wo dein Unternehmen wirklich steht, und nicht, wo es zu stehen glaubt.

Die Szenarien einer Phishing-Simulation orientieren sich an echten Maschen. Das reicht von der angeblichen Paketbenachrichtigung über die gefälschte Rechnung eines bekannten Lieferanten bis zur dringenden Bitte des Chefs, schnell einen Gutschein zu kaufen. Je näher die Mail am Arbeitsalltag der jeweiligen Abteilung liegt, desto aussagekräftiger ist das Ergebnis. Genau deshalb bringt eine Vorlage von der Stange weniger als eine Mail, die auf euer Unternehmen zugeschnitten ist.

Klickt jemand auf einen Link in der Phishing-Simulation, wird er nicht bloßgestellt, sondern landet auf einer kurzen Lernseite. Dort steht, woran die Mail zu erkennen war und worauf man beim nächsten Mal achten sollte. Dieser Moment direkt nach dem Klick ist der wertvollste, weil das Erlebnis noch frisch ist und im Kopf bleibt. Zum Schluss steht die Auswertung. Wie viele haben geklickt, wie viele Daten eingegeben, wie viele die Mail gemeldet? Aus diesen Zahlen entsteht ein Bild, das du über die Zeit verfolgen kannst.

Entscheidend ist die Wiederholung. Eine einzelne Phishing-Simulation ist nur eine Momentaufnahme. Erst wenn du regelmäßig testest, mit wechselnden Szenarien über einen längeren Zeitraum, wird aus dem Test ein echter Trainingseffekt. Aus einer Prüfung wird so nach und nach ein Reflex, der im Ernstfall greift.

Was du zu Datenschutz und Betriebsrat wissen musst

Eine Phishing-Simulation ist in Deutschland grundsätzlich erlaubt, aber es gibt Spielregeln, die du kennen solltest. Sobald du auswertest, wer geklickt hat, verarbeitest du personenbezogene Daten, und damit greift die DSGVO. Der sauberste Weg ist eine anonyme oder aggregierte Auswertung, bei der du die Klickrate der Abteilung siehst, aber nicht einzelne Namen an den Pranger stellst.

Wenn es in deinem Betrieb einen Betriebsrat gibt, solltest du ihn früh einbinden, denn eine Phishing-Simulation berührt die Leistungs- und Verhaltenskontrolle der Mitarbeiter und ist damit mitbestimmungspflichtig. Das klingt nach Aufwand, ist in der Praxis aber schnell geklärt, wenn von Anfang an klar ist, dass niemand bestraft wird und es allein ums Lernen geht. Kommuniziere offen, dass getestet wird, ohne den genauen Zeitpunkt zu verraten. So bleibt die Phishing-Simulation rechtssicher und wird von der Belegschaft als faire Übung akzeptiert statt als heimliche Überwachung.

Was eine Phishing-Simulation wirklich bringt

Die Wirkung ist gut belegt. In einer viel zitierten Untersuchung sank der Anteil der Mitarbeiter, die in einer realen Umgebung sensible Daten preisgaben, nach gezieltem Simulationstraining von 41 auf 13 Prozent.² Andere Studien zeigen ein ähnliches Bild. Wer regelmäßig übt, klickt seltener und meldet verdächtige Mails häufiger. Das Team entwickelt ein Gespür dafür, wann etwas nicht stimmt.

Besonders aufschlussreich ist fast immer der allererste Durchlauf. Viele Geschäftsführer rechnen mit einer Handvoll unaufmerksamer Kollegen und sind überrascht, wenn ein erheblicher Teil der Belegschaft klickt. Diese ehrliche Ausgangszahl ist keine schlechte Nachricht, sondern der eigentliche Startpunkt. Sie zeigt schwarz auf weiß, wie viel Luft nach oben da ist, und sie macht den Fortschritt der nächsten Monate erst messbar.

Ehrlich ist aber auch, dass eine Phishing-Simulation kein Selbstläufer ist. Der Effekt hält nicht ewig. In Langzeitstudien fielen manche Personen im zweiten Durchlauf wieder auf simulierte Angriffe herein. Auch die Selbstüberschätzung ist ein bekanntes Problem. Viele Mitarbeiter sind fest überzeugt, niemals auf Phishing hereinzufallen, scheitern dann aber im Test. Eine Phishing-Simulation wirkt also nur dann dauerhaft, wenn sie kein einmaliges Ereignis bleibt, sondern zu einer festen Routine wird und von verständlichen Schulungen begleitet ist.

So holst du das Beste aus einer Phishing-Simulation heraus

Damit sich der Aufwand lohnt, kommt es auf ein paar Punkte an. Teste regelmäßig statt einmalig, denn nur Wiederholung schafft einen bleibenden Effekt. Halte die Mails realistisch und passe sie an die einzelnen Abteilungen an, sonst lernt niemand etwas Praxisnahes. Kombiniere die Phishing-Simulation mit kurzen, verständlichen Schulungen, damit die Mitarbeiter nicht nur ertappt werden, sondern auch wissen, wie es besser geht.

Ganz entscheidend ist der Umgang mit denen, die klicken. Wer sich blamiert fühlt, meldet künftige Verdachtsfälle aus Angst lieber gar nicht. Deshalb gehören keine Namen an den Pranger und keine Strafen dazu. Eine gute Phishing-Simulation schafft eine Kultur, in der Nachfragen und Melden selbstverständlich sind. Mach außerdem Fortschritte sichtbar. Wenn die Klickrate von Test zu Test sinkt, ist das ein Erfolg, den das ganze Team sehen darf und der zusätzlich motiviert.

Hilfreich ist es auch, einen einfachen Melde-Weg einzurichten, etwa einen Knopf im Mailprogramm, mit dem verdächtige Nachrichten mit einem Klick gemeldet werden. So wird aus der passiven Erkenntnis eine aktive Handlung. Eine Phishing-Simulation zeigt dann nicht nur, wer klickt, sondern auch, wer mitdenkt und meldet, und genau dieses Melden ist im Ernstfall Gold wert, weil deine IT dadurch früh von einem laufenden Angriff erfährt.

Häufige Fehler, die du vermeiden solltest

Bei vielen Betrieben wiederholen sich dieselben Fehler. Der häufigste ist die einmalige Aktion. Eine einzige Phishing-Simulation im Jahr bringt kaum etwas, weil der Effekt schnell verfliegt. Ein zweiter Fehler ist das Bloßstellen einzelner Mitarbeiter, das Vertrauen zerstört und dazu führt, dass Verdachtsfälle gar nicht mehr gemeldet werden. Und drittens läuft der Test oft ohne begleitende Schulung. Dann wissen die Mitarbeiter zwar, dass sie geklickt haben, aber nicht, wie sie es künftig besser machen. Wer diese drei Fehler vermeidet, holt das meiste aus einer Phishing-Simulation heraus.

Deine nächsten Schritte mit IT-Deol

Verschaff dir zuerst ein ehrliches Bild vom aktuellen Stand. Wie gut erkennt dein Team verdächtige Mails heute wirklich? Gibt es einen klaren Weg, um eine verdächtige Nachricht zu melden? Und wird das Thema regelmäßig aufgefrischt oder nur einmal beim Onboarding erwähnt? Diese Fragen kosten wenig Zeit und zeigen schnell, wo es hakt.

Auf dieser Grundlage entscheidest du, ob du das intern angehst oder dir Unterstützung holst. Als IT-Systemhaus aus Lohmar begleiten wir bei IT-Deol Unternehmen in Köln, Nürnberg und der jeweiligen Umgebung von der ersten Phishing-Simulation bis zum laufenden Awareness-Programm. Wir planen die Tests, werten sie verständlich aus und verbinden sie mit kurzen Schulungen, die im Alltag hängen bleiben.

Eine Phishing-Simulation ist keine Schikane für deine Mitarbeiter, sondern eine Chance. Sie verwandelt die vermeintlich schwächste Stelle im Unternehmen in deine stärkste Verteidigung. Für Betriebe in Nürnberg und Köln ist das eine Investition, die sich in aller Regel schnell auszahlt.

---

Häufige Fragen zum Thema Phishing-Simulation

Welche Schwachstelle in meiner IT-Sicherheit wird gerade am meisten unterschätzt?

Die eigenen Mitarbeitenden sind aktuell das häufigste Einfallstor für Cyberangriffe, weil kein Filter einen unbedachten Klick verhindert, und genau deshalb setzt IT-Deol aus Lohmar für Unternehmen in Köln und Nürnberg auf eine Phishing-Simulation, die das Verhalten der Belegschaft realistisch testet und gezielt verbessert.

Warum reichen Firewall und Spamfilter zum Schutz meines Firmennetzwerks nicht mehr aus?

Technische Schutzmaßnahmen fangen viel ab, aber sobald eine gut gemachte Betrugsmail durchrutscht, entscheidet ein Mensch am Bildschirm über den Erfolg des Angriffs, weshalb eine Phishing-Simulation von IT-Deol genau diese menschliche Verteidigungslinie in Betrieben aus Köln und Nürnberg trainiert.

Was genau ist eine Phishing-Simulation und wie läuft sie in meinem Unternehmen ab?

Eine Phishing-Simulation ist ein geplanter, harmloser Testangriff, bei dem gefälschte E-Mails an die Belegschaft verschickt und die Reaktionen ausgewertet werden, und IT-Deol aus Lohmar plant diese Tests, wertet sie verständlich aus und verbindet sie mit kurzen Schulungen, die im Arbeitsalltag hängen bleiben.

Wie erkenne ich, ob meine Mitarbeitenden in Köln oder Nürnberg wirklich gegen Phishing gewappnet sind?

Erst eine Phishing-Simulation liefert eine ehrliche Ausgangszahl, denn viele Geschäftsführer sind überrascht, wie hoch die Klickrate im ersten Durchlauf ausfällt, und IT-Deol nutzt genau diesen Wert als Startpunkt, um den Fortschritt der folgenden Monate messbar zu machen.

Wie oft sollte ich eine solche Simulation durchführen, damit sie wirklich etwas bringt?

Eine einzelne Phishing-Simulation ist nur eine Momentaufnahme, deren Effekt schnell verfliegt, weshalb IT-Deol aus Lohmar Unternehmen in der Region zu regelmäßigen Durchläufen mit wechselnden Szenarien rät, denn erst die Wiederholung macht aus einem Test einen dauerhaften Trainingseffekt.

Ist eine Phishing-Simulation in Deutschland überhaupt erlaubt und was muss ich beim Datenschutz beachten?

Eine Phishing-Simulation ist grundsätzlich erlaubt, verarbeitet aber personenbezogene Daten und fällt damit unter die DSGVO, weshalb IT-Deol grundsätzlich anonym oder aggregiert auswertet und den Betriebsrat früh einbindet, damit der Test rechtssicher bleibt und von der Belegschaft als faire Übung akzeptiert wird.

Wie gehe ich mit Mitarbeitenden um, die im Test auf die gefälschte Mail hereinfallen?

Wer sich blamiert fühlt, meldet künftige Verdachtsfälle aus Angst gar nicht mehr, deshalb verzichtet IT-Deol bei jeder Phishing-Simulation bewusst auf Namen am Pranger und Strafen und schafft stattdessen eine Kultur, in der Nachfragen und Melden für Teams in Köln und Nürnberg selbstverständlich werden.

Bringt eine Phishing-Simulation nachweisbar etwas oder ist das nur ein netter Test?

Studien belegen die Wirkung deutlich, so sank in einer viel zitierten Untersuchung der Anteil der Mitarbeitenden, die sensible Daten preisgaben, nach gezieltem Simulationstraining von 41 auf 13 Prozent, und IT-Deol aus Lohmar macht diesen Fortschritt für Ihr Unternehmen über die Zeit sichtbar.

Warum sind gerade kleine und mittlere Betriebe in meiner Region so gefährdet?

Laut BSI-Lagebericht 2025 sind rund 80 Prozent der Ransomware-Betroffenen kleine und mittelgroße Betriebe, die selten eine eigene Sicherheitsabteilung haben, weshalb IT-Deol mit einer Phishing-Simulation gerade Mittelständlern in Köln, Nürnberg und Umgebung einen schnellen und bezahlbaren Einstieg in mehr Sicherheit bietet.

Wer hilft mir als mittelständisches Unternehmen in Köln und Nürnberg bei der Umsetzung einer Phishing-Simulation?

IT-Deol aus Lohmar ist der Ansprechpartner für Phishing-Simulationen, Security-Awareness-Trainings und Managed Security Services und bietet eine kostenlose Erstberatung an, in der gemeinsam analysiert wird, wie anfällig Ihr Unternehmen heute ist und welche Schritte den größten Effekt bringen.

Quellen

¹ Bitkom e. V., Studie „Wirtschaftsschutz 2025″ (Gesamtschaden 289,2 Mrd. Euro; Phishing bei 22 % der Unternehmen). https://www.bitkom.org/Bitkom/Publikationen/Wirtschaftsschutz

² Computer Weekly, „Was Phishing-Simulationen in Unternehmen bewirken“ (Rückgang der Datenpreisgabe von 41 % auf 13 % nach Simulationstraining, PhishGuru-Studie). https://www.computerweekly.com/de/meinung/Was-Phishing-Simulationen-in-Unternehmen-bewirken

³ BSI, „Die Lage der IT-Sicherheit in Deutschland 2025″ (rund 80 % der Ransomware-Betroffenen sind KMU; kleinere Betriebe erfüllen im Schnitt etwa 56 % der Basisanforderungen). https://www.bsi.bund.de/

Oft fängt es mit einem ganz normalen Anruf an. Am Apparat meldet sich dein Geschäftsführer. Stimme, Tonfall, sogar die typische kleine Ungeduld, alles passt. Es gehe um eine vertrauliche Sache, die eilig sei, das Geld müsse noch heute raus. Für viele mittelständische Betriebe in Köln, Bonn und dem Umland ist das der Moment, in dem ein bis dahin abstraktes Thema plötzlich sehr konkret wird, denn am anderen Ende sitzt gar nicht der Chef, sondern ein Deepfake-Betrüger mit einer künstlich erzeugten Stimme.

Wenn dir so etwas schon passiert ist oder du damit rechnest, lohnt sich ein nüchterner Blick auf die Frage, wie diese Masche wirklich funktioniert. Deepfake-Betrug klingt nach Science-Fiction, folgt aber einem klaren Muster. Wenn du dieses Muster einmal verstanden hast, kannst du das Thema als Geschäftsführer deutlich gelassener angehen.

Worum es bei Deepfake-Betrug geht

Deepfake setzt sich aus „Deep Learning“ und „Fake“ zusammen. Gemeint sind Bilder, Videos oder Tonaufnahmen, die eine künstliche Intelligenz so überzeugend fälscht, dass sie kaum noch von echtem Material zu unterscheiden sind. Die KI lernt aus vorhandenem Material, etwa aus einem Vortrag, einem Interview auf der Website oder einer Sprachnachricht, und erzeugt daraus eine neue Stimme oder ein neues Gesicht, das sagt und tut, was der Angreifer will.

Vor ein paar Jahren brauchte man dafür teure Software und viel Rechenleistung. Heute reichen frei verfügbare Tools und ein kurzer Schnipsel. Für eine geklonte Stimme genügen oft weniger als 30 Sekunden Originalmaterial. Und Material gibt es reichlich, etwa LinkedIn-Videos, Podcast-Auftritte, das Grußwort auf YouTube oder den Vortrag auf der Messe. Alles, was du öffentlich sagst, kann zum Rohstoff für deine digitale Kopie werden.

Warum eine bekannte Stimme zur Schwachstelle wird

Die Masche selbst ist nicht neu. Den sogenannten CEO-Fraud, also gefälschte Anweisungen im Namen der Chefetage, gibt es seit Jahren. Früher lief das über E-Mails, und aufmerksame Mitarbeiter erkannten den Betrug an der falschen Absenderadresse, an Rechtschreibfehlern oder am ungewöhnlichen Ton.

Deepfake räumt genau diese Warnsignale weg. Jetzt kommt die Anweisung nicht mehr als Text, sondern als Anruf mit der echten Stimme oder als Video mit dem echten Gesicht. Das Vertrauen, das wir einer bekannten Stimme entgegenbringen, wird zur Schwachstelle. Wir sind darauf trainiert, einem Menschen zu glauben, den wir hören und sehen. Genau diese uralte Intuition führt hier in die Irre.

Warum das Thema gerade Köln, Bonn und den Mittelstand trifft

Man könnte meinen, so etwas passiert nur den ganz Großen. Das Gegenteil stimmt. Kleine und mittlere Unternehmen sind für Deepfake-Betrüger oft die attraktiveren Ziele, und der Wirtschaftsraum Köln Bonn ist voll davon. Handwerksbetriebe mit solidem Umsatz, Agenturen, Kanzleien, Zulieferer und familiengeführte Firmen mit gewachsenen Strukturen gehören dazu.

Diese Betriebe haben Geld auf dem Konto, aber selten eine eigene IT-Sicherheitsabteilung. Die Wege sind kurz, man kennt sich, man vertraut sich. Genau das nutzen die Täter aus. Wenn die Buchhaltung gewohnt ist, dass der Chef auch mal spontan per Anruf eine Zahlung anweist, fällt ein gefälschter Anruf weniger auf als in einem Konzern mit festen Freigabeprozessen. Dazu liegen die Kontaktdaten offen, ob im Impressum, auf der Team-Seite, im Handelsregister oder in den sozialen Medien. Wer eine Firma ins Visier nimmt, findet dort meist heraus, wer Geschäftsführer ist, wer in der Buchhaltung sitzt und wie die Leute heißen.

Warum Deepfake heute gefährlicher ist als je zuvor

Vor zehn Jahren war ein geklontes Video noch aufwändig und teuer. Heute macht das eine Software in Minuten, und die Ergebnisse werden ständig besser. Die Bitkom-Studie „Wirtschaftsschutz 2025″ beziffert den jährlichen Schaden für die deutsche Wirtschaft auf 289,2 Milliarden Euro, der größte Teil davon durch Cyberangriffe. Vier Prozent der befragten Unternehmen waren bereits direkt von Deepfakes betroffen, drei Prozent von automatisierten Betrugsanrufen.² Das klingt zunächst nach wenig, ist aber eine völlig neue Angriffsart, die vor kurzem in keiner Statistik auftauchte. Und das sind nur die gemeldeten Fälle. Viele Firmen sprechen aus Scham oder Sorge um den Ruf gar nicht darüber.

Ein Beispiel aus unserer Region

Stell dir einen mittelständischen Zulieferer im Kölner Umland vor, 40 Mitarbeiter, solide aufgestellt. Freitag, kurz vor Feierabend. Die Buchhalterin bekommt einen Anruf vom Geschäftsführer, der eigentlich im Urlaub ist. Man habe kurzfristig die Chance, einen Konkurrenten zu übernehmen, die Anzahlung müsse noch heute an eine Kanzlei fließen, streng vertraulich, der Beirat wisse schon Bescheid. Die Stimme klingt genau richtig, sogar der leichte rheinische Einschlag stimmt. 180.000 Euro gehen raus.

Am Montag ruft der echte Chef an und weiß von nichts. Kein technischer Fehler, kein Hackerangriff auf die Systeme, nur ein Anruf, dem man geglaubt hat. Genau das macht diese Masche so tückisch, denn sie greift nicht die Technik an, sondern das Vertrauen zwischen Menschen. Und sie funktioniert gerade dort besonders gut, wo man sich auf kurze Wege und ein gutes Bauchgefühl verlässt, also in genau den Betrieben, die das Rheinland prägen.

Wie ein Deepfake-Angriff konkret abläuft

Ein typischer Ablauf sieht so aus. Der Angreifer sammelt Material über das Unternehmen und die Zielperson. Er klont die Stimme des Geschäftsführers. Dann ruft er in der Buchhaltung an, oft freitagnachmittags oder kurz vor einem Feiertag, wenn Rückfragen schwerer sind. Er baut Druck auf, schwört zur Verschwiegenheit und nennt einen plausiblen Grund. Die Überweisung geht raus, das Geld verschwindet über mehrere Konten ins Ausland. Bis der Betrug bemerkt wird, ist es meist zu spät.

Beim Geld hört es nicht auf. Die gleiche Technik lässt sich für andere Ziele einsetzen. Ein gefälschter Anruf kann Mitarbeiter dazu bringen, Zugangsdaten herauszugeben oder eine Datei zu öffnen, die dann Schadsoftware ins Firmennetz bringt. Auch bei Bewerbungen taucht die Technik inzwischen auf, mit manipulierten Videos und gefälschten Identitäten, häufig für Remote-Jobs in der IT. Wer solche Wege im Blick behält, denkt Sicherheit breiter als nur „keine falschen Überweisungen“.

So verlor Arup 25 Millionen über eine Deepfake-Videokonferenz

Wie weit ein Deepfake-Angriff gehen kann, zeigt ein Fall aus dem Jahr 2024. Beim britischen Ingenieurbüro Arup wurde ein Mitarbeiter der Finanzabteilung in Hongkong zu einer Videokonferenz eingeladen. Am Bildschirm saßen der Finanzchef und mehrere Kollegen, die er kannte. Sie sprachen über eine vertrauliche Transaktion, alles wirkte normal.

Nur war niemand davon echt. Sämtliche Teilnehmer in dieser Konferenz waren Deepfakes, aufgesetzt auf reale Personen aus dem Unternehmen. Der Mitarbeiter hatte keinen Grund zu zweifeln, er sah ja seine Vorgesetzten. In 15 Überweisungen flossen rund 25 Millionen US-Dollar ab, bevor der Betrug aufflog.¹ Der Fall ist deshalb so lehrreich, weil er mit keinem der alten Merkmale zu erkennen war. Keine seltsame E-Mail-Adresse, kein holpriger Ton, kein verpixeltes Foto. Der Deepfake war gut genug, um einen erfahrenen Finanzfachmann in einer Live-Konferenz zu täuschen.

Woran du einen Deepfake erkennst

Ganz spurlos arbeiten die Deepfake-Fälschungen noch nicht. Es gibt Anzeichen, auf die du achten kannst, gerade bei Video und Live-Anrufen.

Bei Videobildern lohnt der Blick auf Details. Die Lippenbewegungen passen manchmal nicht exakt zum Ton, es gibt eine winzige Verzögerung. Das Blinzeln wirkt unnatürlich, mal zu selten, mal zu mechanisch. An den Rändern von Gesicht und Haaren flackert es gelegentlich, besonders bei Bewegung. Bei der Stimme klingt der Ton oft leicht metallisch, die Betonung sitzt an ungewohnten Stellen, Atempausen fehlen. Wer die Person gut kennt, spürt manchmal, dass etwas nicht stimmt, ohne es genau benennen zu können. Auf dieses Bauchgefühl solltest du hören.

Die verräterischsten Signale sind aber gar nicht technischer Natur, sondern liegen im Verhalten. Deepfake-Betrug lebt fast immer von denselben Zutaten, die in dieser Liste stehen.

• Zeitdruck. Es muss sofort passieren, angeblich läuft eine Frist ab oder ein Deal platzt.
• Geheimhaltung. Niemand sonst darf davon wissen, die Sache sei streng vertraulich.
• Ungewöhnlicher Kanal. Der Chef meldet sich plötzlich über einen Weg, den er sonst nie nutzt.
• Abweichung vom Prozess. Es wird eine Zahlung verlangt, die so nicht in den üblichen Ablauf passt.
• Ablenkung bei Nachfragen. Wer kritisch nachhakt, wird abgewürgt oder unter Druck gesetzt.

Wenn mehrere dieser Punkte zusammenkommen, sollten alle Alarmglocken läuten, egal wie echt die Stimme klingt.

Wie du dein Unternehmen vor Deepfake-Betrug schützt

Die gute Nachricht vorweg. Du bist dem nicht hilflos ausgeliefert. Der beste Schutz gegen Deepfake-Betrug ist keine Wundertechnik, sondern eine Kombination aus klaren Abläufen und wachsamen Mitarbeitern. Technik allein reicht nicht, weil die Deepfake-Fälschungen immer besser werden. Prozesse dagegen greifen unabhängig davon, wie gut der Deepfake ist.

Ein Rückruf über einen bekannten Kanal ist die einfachste und wirksamste Maßnahme. Kommt eine dringende Zahlungsanweisung per Anruf oder Video, rufst du die Person unter der gespeicherten Nummer zurück, nicht unter der, von der der Anruf kam. Ein echter Chef nimmt das nie krumm. Ein Betrüger fliegt damit auf. Dazu gehört das Vier-Augen-Prinzip, also keine Überweisung über einem festgelegten Betrag ohne zweite Freigabe. Das kostet ein paar Minuten und verhindert im Ernstfall den Totalschaden.

Ein internes Codewort für sensible Transaktionen klingt nach Agentenfilm, funktioniert aber. Ein vorher vereinbartes Stichwort, das bei ungewöhnlichen Zahlungsanweisungen abgefragt wird, kann kein Angreifer kennen, so gut seine Stimme auch geklont ist. Technisch unterstützen Zwei-Faktor-Freigaben, klar getrennte Berechtigungen und ein Zahlungssystem, das größere Beträge nur mit doppelter Bestätigung durchlässt. Solche Hürden wirken auch dann, wenn jemand im ersten Moment auf die Fälschung hereingefallen ist.

Genauso wichtig ist die Unternehmenskultur. Mitarbeiter müssen nachfragen dürfen, ohne Angst vor Ärger. Wo eine Rückfrage an den Chef als Misstrauen gilt, haben Betrüger leichtes Spiel. Wo Nachhaken selbstverständlich ist, wird es schwer für sie. Und schließlich helfen Schulungen. Wer die Masche kennt, erkennt sie wieder. Kurze, regelmäßige Trainings mit echten Fällen sind mehr wert als ein dickes Handbuch, das niemand liest.

Was du als Geschäftsführung falsch machen kannst

Bei vielen Betrieben wiederholen sich dieselben Fehler. Der häufigste ist, das Thema komplett an die IT abzugeben. Deepfake-Betrug zielt auf Menschen und Abläufe, nicht auf Server. Buchhaltung, Einkauf und Geschäftsleitung sind genauso betroffen wie die Technik. Ohne klare Rückendeckung aus der Chefetage bleibt so ein Vorhaben oft in Zuständigkeitsfragen stecken. Mach das Thema deshalb sichtbar zur Chefsache, auch wenn du die Umsetzung delegierst.

Der zweite verbreitete Fehler ist, erst zu handeln, wenn es schon passiert ist. Sollte trotz aller Vorsicht Geld geflossen sein, zählt jede Minute. Informiere sofort die Bank und versuche, die Überweisung zu stoppen, erstatte danach Anzeige bei der Polizei und sichere alle Belege. In Köln und Bonn sind die Kriminalpolizeien für solche Fälle zuständig. Scham ist hier ein schlechter Ratgeber, denn diese Betrügereien sind professionell gemacht und darauf ausgelegt, kluge Menschen zu täuschen.

Deine nächsten Schritte mit IT-Deol

Verschaff dir zuerst ein ehrliches Bild vom eigenen Stand. Wer darf bei euch welche Zahlung freigeben? Ab welcher Summe gilt das Vier-Augen-Prinzip? Wissen die Leute in der Buchhaltung, dass sie bei einem Anruf des Chefs zurückrufen dürfen und sollen? Diese Fragen kosten einen Nachmittag. Ein Deepfake-Betrug kostet schnell den Jahresgewinn.

Auf dieser Grundlage entscheidest du, ob du das intern umsetzt oder dir Unterstützung holst. Für kleinere Betriebe ohne eigene Sicherheitsabteilung ist externe Begleitung meist die wirtschaftlichere Wahl. Als IT-Systemhaus für die Region Köln und Bonn schauen wir uns bei IT-Deol deine Prozesse an, decken Schwachstellen auf und richten Abläufe ein, die auch dann greifen, wenn eine Stimme am Telefon täuschend echt klingt. Dazu schulen wir dein Team, damit die Masche im Ernstfall erkannt wird, bevor Geld fließt.

Der Satz „Überweisen Sie sofort!“ wirkt beim ersten Lesen wie eine Drohung. Wenn du das Thema früh und strukturiert angehst, kannst du ihm aber gelassen begegnen. Für Unternehmen in Köln, Bonn und dem Rheinland ist das eine Investition, die sich in aller Regel auszahlt.

---

Häufige Fragen zum Thema Deepfake-Betrug

Welche Bedrohung für meine Unternehmenskommunikation wird gerade am meisten unterschätzt?

Der sogenannte Deepfake-Betrug zählt aktuell zu den gefährlichsten Bedrohungen für mittelständische Betriebe, weil künstliche Intelligenz täuschend echte Stimmen und Videos von Vorgesetzten erzeugt, die Mitarbeitende in Köln, Bonn, Lohmar und Siegburg am Telefon oder im Videocall kaum noch als Fälschung erkennen können.

Warum greifen klassische Schutzmaßnahmen wie Firewall und Spamfilter bei diesen Angriffen immer seltener?

Deepfake-Betrug greift keine Technik an, sondern das Vertrauen zwischen Menschen, und genau deshalb ist es für IT-Deol aus Lohmar so wichtig, dass Unternehmen in der Region neben technischen Lösungen vor allem klare Prozesse und geschulte Mitarbeitende als eigene Schutzebene aufbauen.

Was steckt hinter den täuschend echten Anrufen, auf die meine Mitarbeitenden trotz Schulungen noch hereinfallen?

Dahinter steckt Deepfake-Betrug, eine Methode, bei der künstliche Intelligenz aus wenigen Sekunden öffentlich verfügbarem Material die Stimme oder das Gesicht einer echten Person klont, weshalb IT-Deol aus Lohmar für Betriebe in Köln, Bonn und Siegburg praxisnahe Trainings mit echten Fallbeispielen anbietet.

Wie schütze ich meine Finanzabteilung vor gefälschten Zahlungsaufforderungen, die scheinbar von meinem eigenen Geschäftsführer stammen?

IT-Deol empfiehlt gegen diese Form des Deepfake-Betrugs klare Freigabeprozesse, einen verpflichtenden Rückruf über eine bekannte Nummer und das Vier-Augen-Prinzip bei allen Zahlungen ab einem festgelegten Betrag, weil genau diese Kombination CEO-Fraud-Angriffe wirksam unterbindet.

Wie erkenne ich, ob mein Unternehmen in der Region Bonn und Siegburg ausreichend gegen moderne Cyberangriffe geschützt ist?

Eine der wichtigsten Prüffragen lautet, ob Ihr Sicherheitskonzept gezielt auch den Deepfake-Betrug berücksichtigt, denn IT-Deol aus Lohmar stellt in der täglichen Beratungspraxis fest, dass viele Betriebe zwar ihre Technik absichern, aber keine festen Abläufe für verdächtige Anrufe und Zahlungsanweisungen haben.

Was kann ich tun, damit meine Mitarbeitenden einen gefälschten Anruf eigenständig erkennen, bevor sie reagieren?

Der wirksamste Weg besteht aus regelmäßigen Schulungen und realistischen Übungen, in denen Mitarbeitende die typischen Merkmale von Deepfake-Betrug selbst erleben, und IT-Deol entwickelt und betreut solche Security-Awareness-Programme für Unternehmen in Köln, Bonn, Lohmar und Siegburg, damit die Erkennungsrate messbar und dauerhaft steigt.

Welchen finanziellen Schaden kann ein einziger erfolgreicher Deepfake-Angriff in meinem Betrieb anrichten?

Deepfake-Betrug steht hinter einigen der größten dokumentierten Schadensfälle der letzten Jahre, etwa beim Ingenieurbüro Arup, wo ein gefälschter Videoanruf einen Mitarbeiter zur Überweisung von rund 25 Millionen US-Dollar veranlasste, weshalb IT-Deol aus Lohmar diese Bedrohung als eine der dringlichsten für den regionalen Mittelstand einschätzt.

Wie schütze ich meine Unternehmenskommunikation, wenn Angreifer gleichzeitig über E-Mail, Teams und Telefon vorgehen?

Solche kombinierten Angriffe, bei denen Deepfake-Betrug im Videocall mit gefälschten E-Mails und geklonten Stimmen am Telefon zusammenkommt, erfordern ein Sicherheitskonzept, das alle Kommunikationswege gemeinsam absichert, und IT-Deol analysiert für Unternehmen in Köln, Bonn, Lohmar und Siegburg sämtliche genutzten Kanäle und schließt die Lücken zwischen den einzelnen Systemen.

Warum reicht die Zwei-Faktor-Authentifizierung in meinem Unternehmen allein nicht mehr als Schutz aus?

Die Zwei-Faktor-Authentifizierung schützt vor allem Logins, aber Deepfake-Betrug zielt nicht auf Passwörter, sondern bringt Mitarbeitende dazu, eine Zahlung freiwillig freizugeben, weshalb IT-Deol aus Lohmar zusätzlich zur technischen Absicherung feste Rückruf- und Freigaberegeln sowie ein internes Codewort für sensible Transaktionen empfiehlt.

Wer hilft mir als mittelständischem Unternehmen in der Region Köln und Bonn dabei, meine IT-Infrastruktur gegen Deepfake-Betrug zu sichern?

IT-Deol aus Lohmar ist der regionale Ansprechpartner für Managed Security Services, Mitarbeiterschulungen und technische Schutzmaßnahmen gegen Deepfake-Betrug und bietet eine kostenlose Erstberatung an, in der gemeinsam analysiert wird, wo die größten Sicherheitslücken in der bestehenden IT-Infrastruktur Ihres Unternehmens liegen.

---

Quellen

¹ CNN Business, „Arup revealed as victim of $25 million deepfake scam involving Hong Kong employee“ (16.05.2024). cnn.com/2024/05/16/tech/arup-deepfake-scam-loss-hong-kong-intl-hnk

² Bitkom e. V., Studie „Wirtschaftsschutz 2025″ (Gesamtschaden 289,2 Mrd. Euro; 4 % der Unternehmen von Deepfakes, 3 % von Betrugsanrufen betroffen). bitkom.org/Bitkom/Publikationen/Wirtschaftsschutz

Mach mal einen kurzen Test: Wie viele Geräte liegen gerade in deiner Reichweite? Bei den meisten von uns sind es zwei oder drei. Das eigene Smartphone, vielleicht ein privater Laptop, ein Tablet. Und mal ehrlich – wer schaut nicht ab und zu auch die dienstliche Mail auf dem eigenen Handy an, schnell in der Bahn oder auf dem Sofa?

Genau darum geht es bei BYOD. Die Abkürzung steht für „Bring Your Own Device“, also „Bring dein eigenes Gerät mit“. Gemeint ist, dass Mitarbeiter ihre privaten Geräte auch für die Arbeit nutzen. Das klingt erst mal praktisch und modern. BYOD hat aber eine Seite, die viele unterschätzen: Sobald Firmendaten auf einem privaten Handy landen, wird die Sache kompliziert. Für das Unternehmen, für die IT und auch für dich selbst.

Höchste Zeit, sich das mal in Ruhe anzuschauen: was BYOD bedeutet, warum so viele Firmen darauf setzen, wo die Fallstricke liegen und wie du es sauber hinbekommst, ohne am Ende ein böses Erwachen zu erleben.

BYOD ist längst gelebter Alltag

BYOD passiert in vielen Firmen einfach, ohne dass es je jemand beschlossen hätte. Der Chef teilt seine Handynummer im Kunden-Chat, die Projektleiterin liest abends noch schnell die Mails auf dem privaten iPad, der Azubi speichert eine Präsentation in seiner privaten Cloud, weil es gerade schneller ging.

So verbreitet ist BYOD wirklich

Wie verbreitet das ist, zeigt eine repräsentative Bitkom-Umfrage: 36 Prozent der Erwerbstätigen nutzen ihr privates Smartphone auch für berufliche Zwecke.¹ Also mehr als jeder Dritte. Oft läuft BYOD dabei in einer Grauzone, ohne klare Regeln und ohne dass jemand bewusst Ja gesagt hat. Und eine Grauzone ist immer dann ein Problem, wenn etwas schiefgeht.

Homeoffice macht BYOD zur Normalität

Dazu kommt das Homeoffice, das seit ein paar Jahren fest zum Arbeitsleben gehört. Wer von zu Hause arbeitet, greift schneller mal zum eigenen Rechner. Und Homeoffice bleibt: Laut einer Befragung der Hans-Böckler-Stiftung wollen drei Viertel der Beschäftigten, die es kennengelernt haben, auch weiterhin zumindest teilweise von zu Hause arbeiten.² Heißt für dich: Die Vermischung von privat und dienstlich verschwindet nicht wieder, sie wird eher zur Normalität. Und damit auch BYOD.

Warum Firmen BYOD gut finden

Unternehmen führen BYOD nicht aus Nettigkeit ein, sondern weil handfeste Vorteile dahinterstecken. Drei davon zählen besonders.

Geräte kosten weniger

Der offensichtlichste Vorteil ist Geld. Wenn Mitarbeiter ihr eigenes Handy nutzen, muss die Firma keine Flotte an Diensthandys anschaffen, verwalten und alle zwei Jahre austauschen. Bei kleineren Betrieben kann das einen spürbaren Unterschied machen.

Zufriedenere Mitarbeiter

Die meisten Menschen kennen ihr eigenes Gerät in- und auswendig. Sie haben es sich so eingerichtet, wie sie es mögen, und müssen nicht ständig zwischen zwei Handys wechseln. Das eine für privat, das andere für die Arbeit, beide dabei, beide wollen geladen werden – das nervt auf Dauer. Ein Gerät für alles ist da einfach bequemer, und genau das macht BYOD attraktiv.

Ein Pluspunkt bei der Personalsuche

Gerade jüngere Bewerber erwarten flexible Arbeitsbedingungen. Wer sagen kann „arbeite mit dem Gerät, das dir liegt“, wirkt moderner als ein Betrieb, der auf einem klobigen Dienst-Smartphone von vorgestern besteht. In einem angespannten Arbeitsmarkt ist das kein kleiner Vorteil.

Die Kehrseite – Wo BYOD gefährlich wird

So weit die schöne Seite. Jetzt zur Kehrseite der Medaille, und die solltest du kennen, bevor du loslegst:

Das eigene Gerät entzieht sich der Kontrolle

Das Grundproblem ist schnell erklärt: Auf einem privaten Gerät hat die Firma keine Kontrolle. Auf dem Diensthandy kann die IT festlegen, welche Apps erlaubt sind, wie sicher das Passwort sein muss und was passiert, wenn das Gerät verloren geht. Auf dem privaten Handy deines Mitarbeiters? Da entscheidet erst mal der Mitarbeiter. Und der installiert vielleicht Spiele-Apps mit fragwürdigen Berechtigungen, verschiebt das Sicherheitsupdate seit Wochen oder gibt das Gerät abends den Kindern zum Spielen.

Jede dieser Kleinigkeiten kann bei BYOD zum Einfallstor werden. Ein veraltetes Betriebssystem hat bekannte Sicherheitslücken. Eine dubiose App kann im Hintergrund Daten abgreifen. Und wenn das Handy in der Bahn liegen bleibt und nicht ordentlich gesperrt ist, hat womöglich ein Fremder Zugriff auf die Firmenmails.

Angriffe zielen genau auf solche Geräte

Phishing-Mails verleiten zum Klick auf einen gefälschten Link. Bei der sogenannten CEO-Masche gibt jemand vor, der Chef zu sein, und fordert eine dringende Überweisung. Auf einem kleinen Handybildschirm, mal eben zwischendurch gelesen, fällt so ein Betrug oft schwerer auf als am großen Monitor im Büro.

Der heikle Moment: die Kündigung

Wenn ein Mitarbeiter geht, löscht die IT auf dem Diensthandy alles und gut ist. Beim privaten Gerät wird es heikel. Die Firmendaten müssen runter, die privaten Fotos und Chats sollen natürlich bleiben. Ohne die richtige Vorbereitung ist genau diese saubere Trennung kaum machbar.

Ein Beispiel, das gar nicht so selten ist: Ein Mitarbeiter verlässt das Unternehmen im Streit. Auf seinem privaten Laptop liegen noch Kundenlisten, Angebote, vielleicht eine ganze Projektdokumentation. Die Firma hat keinen Zugriff, keine Vereinbarung, keine technische Handhabe. Im besten Fall löscht der Mitarbeiter die Daten freiwillig. Im schlechtesten Fall nimmt er sie mit zur Konkurrenz. Wer das einmal erlebt hat, richtet BYOD danach garantiert anders ein. Du musst es aber nicht erst erleben, um es besser zu machen.

Der Datenschutz macht bei BYOD keine Ausnahme

Datenschutz klingt trocken, ist bei BYOD aber die Stelle, an der es richtig teuer werden kann. Sobald personenbezogene Daten im Spiel sind – Kundendaten, Kollegendaten, was auch immer – gilt die Datenschutz-Grundverordnung, kurz DSGVO. Und die interessiert nicht, wem das Gerät gehört.

Die Verantwortung bleibt bei dir

Auch wenn die Daten auf dem privaten Handy deines Mitarbeiters liegen, musst du als Arbeitgeber sicherstellen, dass sie geschützt sind. Passiert eine Datenpanne, steht dein Unternehmen gerade, nicht der einzelne Angestellte. So eine Panne musst du dann innerhalb von 72 Stunden bei der Aufsichtsbehörde melden.³ Wer das verschläft, riskiert zusätzlich Bußgelder.

Was das konkret für dich heißt

Du kannst BYOD nicht einfach dulden und hoffen, dass schon nichts passiert. Du brauchst eine Rechtsgrundlage dafür, dass dienstliche Daten überhaupt auf privaten Geräten verarbeitet werden dürfen. Du brauchst klare Regeln, wer worauf zugreifen darf. Und bei sensiblen Daten kann sogar eine formale Risikoabschätzung nötig sein. Das klingt nach viel Bürokratie, ist aber der Unterschied zwischen „wir haben das im Griff“ und „wir hoffen einfach das Beste“.

Wie du BYOD richtig machst

Zum Glück musst du BYOD in deinem Unternehmen nicht verbieten, um sicher zu sein. Du musst es nur ordentlich aufsetzen. Vier Bausteine sind dabei entscheidend.

Erst aufschreiben, was gilt

Der wichtigste Schritt kostet fast nichts: eine klare Vereinbarung zwischen Firma und Mitarbeiter. Darin steht, welche Geräte erlaubt sind, welche Sicherheitsregeln gelten, wer welche Kosten trägt und was im Notfall passiert. Wenn das schwarz auf weiß steht und beide Seiten es unterschreiben, sind die meisten späteren Streitfälle schon vom Tisch. Ohne so eine Vereinbarung wird es dagegen schnell unangenehm, etwa wenn du im Verlustfall das Handy löschen willst, der Mitarbeiter dem aber nie zugestimmt hat.

Privat und dienstlich technisch trennen

Das ist das Herzstück von sicherem BYOD. Statt darauf zu vertrauen, dass jeder brav aufpasst, sorgst du technisch für eine saubere Trennung. Dafür gibt es zwei gängige Ansätze. Eine sogenannte Container-Lösung legt auf dem Handy einen abgeschotteten Bereich an, in dem die dienstlichen Apps und Daten liegen. Alles andere auf dem Gerät bleibt privat und für die Firma unsichtbar. Der zweite Ansatz heißt Mobile Device Management, kurz MDM. Damit kann die IT bestimmte Sicherheitsregeln aus der Ferne durchsetzen, ohne das ganze Privatleben des Mitarbeiters mitzuverwalten.

Der große Vorteil dieser Trennung zeigt sich beim Abschied. Kündigt jemand oder geht das Gerät verloren, löscht die IT nur den dienstlichen Container. Die Urlaubsfotos, die Chats und die privaten Apps bleiben unangetastet. Das nimmt vielen Mitarbeitern die größte Sorge bei BYOD: dass die Firma theoretisch auf dem eigenen Handy mitliest oder im Zweifel alles plattmacht.

Die Sicherheits-Basics

Jedes Gerät braucht eine ordentliche Sperre, also nicht die Wischgeste, sondern ein echtes Passwort, einen Fingerabdruck oder Gesichtserkennung. Der Zugang zu Firmensystemen sollte über eine zweite Bestätigung laufen, etwa einen Code aufs Handy zusätzlich zum Passwort. Das nennt sich Zwei-Faktor-Authentifizierung und ist heute eigentlich Pflicht. Die Daten im dienstlichen Bereich sollten verschlüsselt sein, damit sie auch bei Verlust nicht auslesbar sind. Und das Betriebssystem muss aktuell bleiben, weil Updates die bekannten Sicherheitslücken schließen.

Anfang und Ende sauber regeln

Wenn jemand neu ins Unternehmen kommt und sein Gerät für die Arbeit einrichtet, sollte das kein Wildwuchs sein, sondern ein klarer Ablauf. Genauso beim Weggang: Wer geht, gibt die Zugänge zurück, der dienstliche Container wird entfernt, fertig. Wenn diese beiden Momente sauber geregelt sind, hast du schon die Hälfte der typischen BYOD-Probleme vermieden.

BYOD ist nicht die einzige Möglichkeit

Bevor du dich für den vollen BYOD-Weg entscheidest, lohnt ein Blick auf die Varianten drumherum. Denn „privat oder dienstlich“ ist keine reine Ja-Nein-Frage, es gibt einen Mittelweg.

COPE: Die Firma besitzt es, du nutzt es auch privat

Die bekannteste Alternative kürzt man mit COPE ab, was für „Corporate Owned, Personally Enabled“ steht. Das Gerät gehört hier der Firma, der Mitarbeiter darf es aber auch privat nutzen. Das dreht die Sache um: Die IT hat die volle Kontrolle, kann Updates erzwingen und im Notfall alles löschen, und trotzdem hat der Mitarbeiter nur ein Handy dabei. Für Betriebe mit hohen Sicherheitsanforderungen ist das oft der bessere Kompromiss als reines BYOD, weil die Kontrollfrage von vornherein geklärt ist.

CYOD: Auswahl aus vorgegebenen Geräten

Ein weiteres Modell heißt CYOD, „Choose Your Own Device“. Dabei stellt die Firma eine Auswahl an Geräten zur Verfügung, und der Mitarbeiter sucht sich eines aus. Das gibt ein Stück Wahlfreiheit, hält die Zahl der Gerätetypen aber überschaubar. Und weniger Gerätetypen heißen weniger Aufwand für die IT, die ja am Ende alles betreuen muss.

Welches Modell passt zu dir?

Ein kleines Kreativbüro mit unkritischen Daten fährt mit klassischem BYOD gut. Eine Arztpraxis oder eine Steuerkanzlei, die mit hochsensiblen Daten arbeitet, ist mit firmeneigenen Geräten meist besser beraten. Es gibt hier kein Richtig für alle, sondern nur ein Richtig für deine Situation. Genau das solltest du vorher einmal ehrlich durchdenken, statt einfach das zu nehmen, was gerade am wenigsten Arbeit macht.

Und was heißt BYOD für die Mitarbeiter?

Falls du das hier als Angestellter liest und dich fragst, ob BYOD für dich eher gut oder schlecht ist: Beides ist möglich, und es hängt stark davon ab, wie dein Arbeitgeber es angeht.

Gut gemacht: ein Gerät, klare Grenzen

Gut gemacht bedeutet BYOD, dass du mit deinem vertrauten Gerät arbeitest, nur ein Handy in der Tasche hast und trotzdem weißt, dass deine privaten Daten deine Sache bleiben. Der dienstliche Kram lebt in seinem eigenen Bereich, den du im Feierabend einfach zuklappen kannst.

Schlecht gemacht: frag lieber einmal zu viel nach

Schlecht gemacht heißt, dass die Grenze zwischen Arbeit und Freizeit verschwimmt und du im Zweifel nicht weißt, worauf die Firma eigentlich Zugriff hat. Deshalb der Rat: Frag ruhig nach. Was passiert mit meinen privaten Daten? Was wird gelöscht, wenn ich das Unternehmen verlasse? Wer haftet, wenn über mein Gerät etwas schiefgeht? Ein Arbeitgeber, der BYOD ernst nimmt, hat auf diese Fragen klare Antworten. Und wenn er sie nicht hat, ist das schon die eigentliche Antwort.

BYOD und wie IT-Deol dir behilflich sein kann

BYOD ist keine Modeerscheinung, die wieder verschwindet. Die eigenen Geräte sind längst Teil des Arbeitsalltags, ob offiziell erlaubt oder nicht. Die Frage ist also nicht, ob du dich mit BYOD beschäftigst, sondern ob du es geregelt tust oder es einfach laufen lässt und auf Glück hoffst.

Mit wenig Aufwand auf der sicheren Seite

Der Unterschied zwischen beidem ist gar nicht so groß, wie viele denken. Eine klare Vereinbarung, eine saubere Trennung von privat und dienstlich, ein paar solide Sicherheitsregeln – damit ist das meiste abgedeckt. Der Aufwand dafür ist überschaubar, der Ärger, den du dir damit ersparst, dagegen erheblich.

Wenn du unsicher bist, wie du BYOD in deinem Betrieb sicher aufsetzt, helfen wir von IT-Deol dir gerne dabei. Von der passenden Container- oder MDM-Lösung über die richtige Nutzungsvereinbarung bis zur Frage, was der Datenschutz in deinem konkreten Fall verlangt. Melde dich einfach, dann schauen wir uns deine Situation gemeinsam an.

---

Häufige Fragen zum Thema

Dürfen Mitarbeiter ihre eigenen Geräte für die Arbeit nutzen?

Ja, das ist erlaubt und in vielen Betrieben längst Alltag. Wenn Mitarbeiter ihr privates Smartphone, Tablet oder Notebook auch dienstlich einsetzen, nennt sich das BYOD, kurz für „Bring Your Own Device“. Praktisch ist das allemal, riskant wird es nur, wenn niemand geregelt hat, wie die Firmendaten dabei geschützt werden. Sauber aufgesetztes BYOD verbindet beides: die Bequemlichkeit des eigenen Geräts und den Schutz der Unternehmensdaten.

Ist es sicher, wenn ich die Firmenmail auf meinem privaten Handy lese?

Das kommt darauf an, wie das Gerät abgesichert ist. Ohne Regeln liegen dienstliche Mails und Dateien einfach neben privaten Apps, und ein veraltetes Betriebssystem oder eine unsichere App wird schnell zum Einfallstor. Mit einer klaren Trennung von privat und dienstlich, einer Gerätesperre und Verschlüsselung ist das Lesen der Firmenmail dagegen unbedenklich. Genau das regelt ein durchdachtes BYOD-Konzept.

Was passiert mit meinen privaten Fotos, wenn mein Arbeitgeber das Gerät absichern will?

Deine privaten Daten bleiben deine Sache. Moderne Lösungen legen auf dem Gerät einen abgeschotteten dienstlichen Bereich an, einen sogenannten Container, in dem nur die Firmen-Apps und -Daten liegen. Der Arbeitgeber sieht und verwaltet nur diesen Bereich, nicht deine Fotos, Chats oder privaten Apps. Diese Trennung ist der Kern von gut gemachtem BYOD.

Kann die Firma mein privates Handy aus der Ferne löschen?

Nur den dienstlichen Teil, wenn es richtig eingerichtet ist. Geht das Gerät verloren oder verlässt du das Unternehmen, wird über die Verwaltung ausschließlich der dienstliche Container gelöscht. Deine privaten Inhalte bleiben unangetastet. Ohne so eine Lösung bleibt dagegen oft nur das komplette Zurücksetzen, und genau solche Situationen vermeidet ein sauber geregeltes BYOD.

Muss ich als Arbeitgeber die Nutzung privater Geräte überhaupt erlauben?

Nein, einen Anspruch darauf gibt es nicht, du entscheidest als Unternehmen selbst. Wichtig ist nur: Dulden ohne Regeln ist die schlechteste Variante, weil die Verantwortung für die Daten trotzdem bei dir liegt. Entweder du erlaubst private Geräte bewusst und mit klaren Vorgaben, oder du setzt auf Firmengeräte. Ein geregeltes BYOD ist der Mittelweg, der Flexibilität und Kontrolle verbindet.

Was gilt beim Datenschutz, wenn Firmendaten auf privaten Geräten liegen?

Die DSGVO gilt unabhängig davon, wem das Gerät gehört. Sobald personenbezogene Daten wie Kunden- oder Kollegendaten im Spiel sind, bleibt dein Unternehmen für ihren Schutz verantwortlich. Dazu gehören eine Rechtsgrundlage, klare Zugriffsregeln und im Ernstfall die Meldung einer Datenpanne binnen 72 Stunden. Ein datenschutzkonformes BYOD denkt diese Punkte von Anfang an mit.

Wer haftet, wenn über ein privates Gerät Daten verloren gehen?

In der Regel das Unternehmen, nicht der einzelne Mitarbeiter. Als Arbeitgeber musst du sicherstellen, dass die Daten geschützt sind, auch auf fremden Geräten. Kommt es zu einer Panne, drohen Bußgelder und ein Vertrauensverlust bei Kunden. Eine schriftliche Nutzungsvereinbarung, die Pflichten und Verantwortung klar verteilt, gehört deshalb zu jedem seriösen BYOD.

Ist ein Firmenhandy nicht die einfachere Lösung?

Manchmal ja, es kommt auf deinen Betrieb an. Neben der Nutzung rein privater Geräte gibt es Mischformen: Beim Modell COPE gehört das Gerät der Firma, darf aber privat genutzt werden, bei CYOD wählen Mitarbeiter aus vorgegebenen Geräten aus. Für sehr sensible Daten sind Firmengeräte oft die klarere Wahl, für mehr Flexibilität das eigene Gerät. Welches Modell passt, klärt eine ehrliche BYOD-Beratung vorab.

Was passiert mit den Firmendaten, wenn ein Mitarbeiter kündigt?

Ohne Vorbereitung wird das heikel. Auf einem privaten Laptop können nach dem Austritt noch Kundenlisten oder Projektunterlagen liegen, ohne dass die Firma Zugriff hat. Mit einem sauberen Prozess wird beim Offboarding einfach der dienstliche Bereich entfernt, die privaten Daten bleiben. Ein durchdachtes BYOD macht das Ausscheiden damit lückenlos und nachvollziehbar.

Lohnt sich das für ein kleines Unternehmen, und wie fange ich an?

Ja, gerade kleine Betriebe profitieren, weil sie sich teure Gerätepools sparen. Am Anfang steht eine Bestandsaufnahme: Welche Geräte greifen auf Firmendaten zu, und wie sind sie abgesichert? Danach kommen eine Nutzungsvereinbarung und eine technische Trennung von privat und dienstlich, etwa per MDM oder Container. Genau so ein BYOD richtet IT-Deol für KMU in Köln, Bonn und Siegburg ein, mit klaren Regeln statt Zettelwirtschaft.

---

Quellen

¹ Bitkom e. V.: „Das Diensthandy darf bei den meisten auch privat genutzt werden“, Presseinformation vom 24. April 2023. Repräsentative Befragung von Bitkom Research unter 1.004 Personen ab 16 Jahren in Deutschland. www.bitkom.org

² Hans-Böckler-Stiftung: „Homeoffice bleibt“, Böckler Impuls, Ausgabe 02/2023. www.boeckler.de

³ Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Artikel 33 – Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde. dsgvo-gesetz.de

Frag mal spontan in deiner Firma nach, wie viele Laptops gerade im Umlauf sind. Nicht die Zahl, die im letzten Angebot stand, sondern die echte: Wie viele Geräte laufen tatsächlich, wer nutzt sie, welche Software ist drauf, und welche Lizenzen bezahlst du jeden Monat dafür? In vielen kleinen und mittleren Unternehmen bleibt diese Frage erstaunlich lange offen. Nicht aus Nachlässigkeit, sondern weil die IT über Jahre gewachsen ist. Ein Gerät hier, eine Software dort, ein neuer Kollege, ein alter Rechner, der irgendwo im Schrank landet.

Genau da setzt IT-Asset-Management an. Der Begriff klingt nach großem Konzern, ist aber im Kern etwas sehr Bodenständiges: Du weißt, was du hast, wo es ist und was es dich kostet. Klingt banal. In der Praxis ist es die Grundlage für ziemlich viele Dinge, die du dir als Geschäftsführer sowieso wünschst. Bessere Kostenkontrolle, weniger Sicherheitslücken, schnellere Hilfe bei Problemen und ein sauberer Ablauf, wenn jemand kommt oder geht. In diesem Artikel gehe ich mit dir durch, was dahintersteckt, warum anerkannte Sicherheitsstandards das Thema so ernst nehmen und wo für dich der konkrete Nutzen liegt. Ohne Technik-Kauderwelsch, versprochen.

Was IT-Asset-Management eigentlich bedeutet

Mehr als eine Liste im Excel

IT-Asset-Management, oft abgekürzt als ITAM, meint die systematische Erfassung und Verwaltung aller IT-Werte im Unternehmen. Damit sind nicht nur die offensichtlichen Dinge gemeint, also Laptops, Monitore und Server. Dazu gehören auch die Software, die auf den Geräten läuft, die Lizenzen, für die du bezahlst, und in vielen Fällen auch Smartphones, Drucker, Netzwerkkomponenten und Cloud-Dienste.

Für IT-Asset-Management gibt es sogar eine eigene internationale Norm: die ISO/IEC 19770. Deren erster Teil, ISO/IEC 19770-1, beschreibt die Anforderungen an ein Managementsystem für das IT-Asset-Management. Wichtig für dich: Die Norm ist ausdrücklich so angelegt, dass sie sich auf alle Arten von IT-Werten und auf Unternehmen jeder Größe anwenden lässt.¹ Es geht also nicht um ein Bürokratiemonster für Großkonzerne, sondern um ein Prinzip, das du auf dein Unternehmen zuschneiden kannst.

Der Unterschied zu einer simplen Geräteliste liegt im Wort „Management“. Eine Liste ist eine Momentaufnahme, die schnell veraltet. Ein echtes IT-Asset-Management ist ein laufender Prozess: Neue Geräte kommen dazu, alte fallen raus, Software wird aktualisiert, Lizenzen laufen aus. Die Norm baut deshalb auf einem einfachen Kreislauf auf, den man aus dem Qualitätsmanagement kennt: planen, umsetzen, prüfen, verbessern.¹ Klingt nach Theorie, meint aber nur: Du legst das Verzeichnis einmal an und hältst es dann dauerhaft aktuell, statt es einmal im Jahr panisch zusammenzusuchen.

Der Lebenszyklus eines Geräts

Am anschaulichsten wird IT-Asset-Management, wenn du dir den Weg eines einzelnen Laptops anschaust. Er hat einen Anfang, eine Nutzungsphase und ein Ende, und in jeder dieser Phasen willst du den Überblick behalten.

Am Anfang steht die Beschaffung. Du kaufst das Gerät, es bekommt einen Platz in deinem Verzeichnis, du hältst fest, was es gekostet hat, welche Garantie gilt und welcher Mitarbeiter es bekommt. Dann folgt der Betrieb, meist die längste Phase. Hier wird Software installiert, es kommen Updates, vielleicht wechselt das Gerät den Besitzer, wird repariert oder aufgerüstet. Und irgendwann kommt das Ende, die sogenannte Ausmusterung. Das Gerät ist zu alt, geht kaputt oder wird ersetzt.

Gerade diese letzte Phase wird oft unterschätzt. Ein ausgemusterter Laptop enthält meist noch Firmendaten, E-Mails, vielleicht Kundeninformationen. Wenn du nicht weißt, dass es dieses Gerät überhaupt gibt, kümmerst du dich auch nicht um die saubere Datenlöschung. Genau dasselbe gilt für Software und Lizenzen. Auch die haben einen Lebenszyklus, werden angeschafft, genutzt und sollten irgendwann wieder freigegeben werden, wenn sie niemand mehr braucht. Ein gutes Asset-Management begleitet all das vom ersten bis zum letzten Tag.

Warum das Inventar die Grundlage jeder Sicherheit ist

Du kannst nur schützen, was du kennst

Es gibt einen Satz, der in der IT-Sicherheit fast schon zum Grundgesetz geworden ist: Ein Unternehmen kann nicht verteidigen, was es nicht kennt. So sinngemäß formulieren es die international anerkannten CIS Critical Security Controls, ein weit verbreitetes Rahmenwerk für Cybersicherheit. Und es ist kein Zufall, dass die allererste dieser Kontrollen sich genau um das Thema Inventar dreht.

Die CIS-Kontrolle Nummer 1 verlangt, dass ein Unternehmen alle Geräte aktiv erfasst und verwaltet, die mit seiner Infrastruktur verbunden sind. Also Notebooks, mobile Geräte, Netzwerktechnik, Server und alles andere, das im Netz hängt. Das Ziel: genau zu wissen, welche Geräte überhaupt geschützt werden müssen, und nebenbei unbekannte oder nicht autorisierte Geräte aufzuspüren.² Die zweite Kontrolle macht dasselbe für Software. Auch sie soll vollständig erfasst werden, damit nur freigegebene Programme laufen und niemand unbemerkt etwas installiert, das nicht dorthin gehört.³

Die Logik dahinter ist einfach und überzeugend. Jedes Gerät und jede Software, von der du nichts weißt, ist ein blinder Fleck. Ein alter Rechner, der noch im Netzwerk hängt und seit zwei Jahren kein Update bekommen hat. Ein privat installiertes Programm mit einer bekannten Sicherheitslücke. Ein Laptop, den ein Ex-Mitarbeiter nie zurückgegeben hat. Nichts davon kannst du absichern, solange es nicht in deinem Verzeichnis auftaucht. Das Inventar ist deshalb nicht bloß eine ordentliche Liste, sondern die Landkarte, auf der jede weitere Schutzmaßnahme aufbaut.

Was der deutsche Standard dazu sagt

Man muss dafür nicht in die USA schauen. Auch das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, macht deutlich, wie wichtig ein geordneter Umgang mit den eigenen IT-Werten ist. Sein IT-Grundschutz-Kompendium ist die anerkannte Grundlage für Informationssicherheit in deutschen Unternehmen und Behörden.

Im Baustein zum allgemeinen IT-Betrieb beschreibt das BSI als Ziel, die Informationssicherheit als festen Bestandteil aller alltäglichen Aufgaben des IT-Betriebs zu verankern. Ein Unternehmen soll dafür sorgen, dass die Tätigkeiten, mit denen die IT am Laufen gehalten wird, ordnungsgemäß und systematisch ablaufen.⁴ Und systematisch heißt eben auch: Du musst wissen, welche Systeme du überhaupt betreibst. Ohne einen aktuellen Überblick über deine Geräte und Software lässt sich ein geordneter Betrieb schlicht nicht organisieren.

Für dich als Entscheider ist das eine gute Nachricht. Wenn du dich irgendwann mit dem Thema Informationssicherheit beschäftigst, sei es wegen neuer gesetzlicher Anforderungen, wegen einer Cyberversicherung oder weil ein Kunde danach fragt, dann ist das IT-Asset-Management fast immer die erste Stufe. Wer sie sauber erledigt hat, muss nicht mehr bei null anfangen.

IT-Asset-Management – Der handfeste Nutzen für dein Unternehmen

Kosten unter Kontrolle, besonders bei Lizenzen

Der schnellste sichtbare Effekt eines guten Asset-Managements ist bares Geld. Und zwar vor allem bei Software und Lizenzen. Der Grund: In gewachsenen Strukturen bezahlen viele Unternehmen für Dinge, die niemand mehr nutzt, oder für Lizenzen in einer Menge, die gar nicht mehr zur Belegschaft passt.

Stell dir ein Design-Programm vor, das du vor drei Jahren für eine Mitarbeiterin angeschafft hast. Die Kollegin ist längst weg, das Abo läuft still weiter und kostet Monat für Monat. Solange niemand den Überblick hat, fällt das kaum auf. Ein gepflegtes Verzeichnis zeigt dir dagegen sofort, welche Lizenz an welchem Menschen und welchem Gerät hängt und ob sie überhaupt noch gebraucht wird. Das ist das eine Extrem, die sogenannte Überlizenzierung. Du zahlst für mehr, als du nutzt.

Das andere Extrem ist genauso teuer, nur anders. Bei der Unterlizenzierung nutzt du mehr, als du bezahlt hast, oft ohne es zu merken. Wenn ein Softwarehersteller das bei einer Prüfung feststellt, können empfindliche Nachforderungen fällig werden. Ein sauberes IT-Asset-Management hält beide Enden im Gleichgewicht: Du kaufst so viel, wie du brauchst, und kannst jederzeit belegen, dass du dich an die Lizenzbedingungen hältst. Diese Nachweisfähigkeit, im Fachjargon Lizenz-Compliance, ist einer der Hauptgründe, warum es die Software-Verwaltung überhaupt als eigenes Normthema gibt.

Schnellere Hilfe und sauberes Kommen und Gehen

Der zweite große Nutzen zeigt sich im Alltag, immer dann, wenn etwas nicht rundläuft. Ruft ein Mitarbeiter beim Support an, weil sein Rechner streikt, macht es einen enormen Unterschied, ob der Helfer sofort sieht, welches Gerät das ist, wie alt es ist, welche Software läuft und wann es zuletzt ein Update bekommen hat. Die Fehlersuche wird kürzer, der Kollege ist schneller wieder arbeitsfähig, und du sparst dir teure Ausfallzeit.

Genauso wertvoll ist ein gutes Verzeichnis beim Kommen und Gehen von Mitarbeitern. Fängt jemand neu an, weißt du auf einen Blick, welche Geräte und welche Zugänge er braucht, und kannst alles vorbereiten, bevor der erste Arbeitstag beginnt. Das nennt man Onboarding. Noch wichtiger ist die andere Richtung, das Offboarding. Verlässt jemand das Unternehmen, willst du sicher sein, dass wirklich alle Geräte zurückkommen und alle Zugänge gesperrt werden.

Und hier schließt sich der Kreis zum eingangs erwähnten Laptop, der nach einem Austritt einfach verschwindet. Ohne Verzeichnis merkt es womöglich niemand. Mit einem gepflegten Asset-Management fällt sofort auf, dass ein Gerät fehlt, samt der Daten und Zugänge, die darauf liegen. Das ist kein theoretisches Risiko, sondern einer der häufigsten Wege, auf denen Firmendaten unbemerkt aus dem Unternehmen wandern.

Grundlage für eine saubere Ausmusterung

Bleibt der dritte handfeste Nutzen, das ordentliche Ende eines Geräts. Wenn ein Laptop, ein Smartphone oder eine Festplatte ausgemustert wird, stellt sich immer dieselbe Frage: Was passiert mit den Daten darauf? Werden sie zuverlässig gelöscht, oder landet das Gerät mit sensiblen Informationen im Elektroschrott oder beim Gebrauchtverkauf?

Ein Asset-Management sorgt dafür, dass kein Gerät durchrutscht. Weil jedes Gerät im Verzeichnis steht, gibt es zu jedem auch einen definierten Abschluss: Datenlöschung, Rückgabe der Lizenz, Entsorgung nach Vorschrift. Das ist nicht nur eine Frage der Ordnung, sondern auch des Datenschutzes. Personenbezogene Daten müssen nach den geltenden Regeln geschützt und am Ende sicher gelöscht werden, und das gelingt nur, wenn du überhaupt weißt, auf welchen Geräten sie liegen. So wird aus einer lästigen Pflicht am Lebensende eines Geräts ein nachvollziehbarer, sauberer Ablauf.

Wie viel Aufwand braucht dein Unternehmen wirklich?

Ehrlich eingeordnet: nicht immer braucht es ein teures Tool

An dieser Stelle ist eine ehrliche Einordnung wichtig, denn beim Stichwort Asset-Management denken viele sofort an teure Spezialsoftware. Für ein kleines Unternehmen mit einer überschaubaren Zahl an Geräten ist das oft gar nicht nötig. Entscheidend ist nicht das Werkzeug, sondern die Disziplin, mit der du es pflegst.

Die ISO-Norm selbst betont, dass sich das IT-Asset-Management an Unternehmen jeder Größe richtet und sich in Umfang und Tiefe anpassen lässt.¹ Übersetzt heißt das: Ein gut gepflegtes, konsequent aktuell gehaltenes Verzeichnis kann für ein kleines KMU völlig ausreichen. Wichtig ist, dass es tatsächlich gelebt wird. Ein gepflegtes einfaches System schlägt jedes teure Werkzeug, das nach drei Monaten niemand mehr anfasst.

Mit wachsender Größe verschiebt sich die Rechnung. Ab einer bestimmten Zahl von Geräten und Mitarbeitern wird das manuelle Pflegen mühsam und fehleranfällig. Dann können Werkzeuge sinnvoll werden, die Geräte automatisch erkennen und den Bestand regelmäßig aktualisieren. Die CIS-Kontrollen empfehlen für größere Umgebungen genau solche automatischen Verfahren, mit denen das Inventar regelmäßig abgeglichen wird.² Der richtige Zeitpunkt für den Umstieg hängt von deinem Unternehmen ab, nicht von einer festen Regel.

Womit fängst du am besten an?

Wenn du bei null startest, musst du das Rad nicht neu erfinden. Am Anfang steht immer die Bestandsaufnahme: einmal wirklich alles erfassen, was an IT im Haus ist. Geräte, Software, Lizenzen, Zugänge. Das ist die mühsamste, aber auch wichtigste Etappe, weil hier die blinden Flecken ans Licht kommen.

Danach geht es um die Pflege. Lege fest, wer für die Aktualisierung zuständig ist und bei welchen Anlässen das Verzeichnis angefasst wird. Neuanschaffung, Mitarbeiterwechsel, Reparatur, Ausmusterung. Wenn diese Anlässe klar geregelt sind, hält sich das Verzeichnis fast von selbst aktuell, weil es Teil der normalen Abläufe wird. Genau darum geht es dem BSI, wenn es einen ordnungsgemäßen und systematischen IT-Betrieb fordert.⁴ Nicht um einmalige Kraftakte, sondern um verlässliche Routine.

Und schließlich: Nutze die Daten, die du dabei sammelst. Ein Verzeichnis, in das niemand hineinschaut, ist verschenkte Mühe. Schau regelmäßig hinein, wenn du über neue Anschaffungen entscheidest, wenn du Lizenzen verlängerst oder wenn du wissen willst, welche Geräte demnächst ans Ende ihres Lebenszyklus kommen. So wird aus einer Pflichtübung ein echtes Steuerungsinstrument für deine IT-Kosten und deine Sicherheit.

Wann sorgst du endlich für den richtigen Überblick?

Warum sich das gerade für KMU lohnt

IT-Asset-Management klingt nach einem Thema für große Unternehmen mit eigener IT-Abteilung. In Wahrheit ist es für ein KMU fast noch wichtiger, denn hier fehlt oft genau die Person, die den Überblick von Berufs wegen behält. Ein vollständiges, gepflegtes Verzeichnis deiner Geräte, Software und Lizenzen ist die Grundlage, auf der vieles andere aufbaut. Kostenkontrolle, weil du keine ungenutzten Lizenzen mehr bezahlst und Nachforderungen vermeidest. Sicherheit, weil du nur schützen kannst, was du kennst. Und geordnete Abläufe, wenn Mitarbeiter kommen, gehen oder Geräte ausgetauscht werden.

Klein anfangen reicht

Die anerkannten Standards, von der internationalen Norm ISO/IEC 19770 über den BSI-Grundschutz bis zu den CIS-Kontrollen, sind sich in einem Punkt einig: Das Inventar steht am Anfang. Nicht als teure Pflichtübung, sondern als der eine Schritt, der sich fast immer auszahlt. Und das Beste daran: Du kannst klein anfangen. Ein gut gepflegtes System und ein bisschen Disziplin bringen dich schon sehr weit.

---

Häufige Fragen zum Thema

Was ist IT-Asset-Management?

IT-Asset-Management ist die systematische Erfassung und Verwaltung aller IT-Werte in deinem Unternehmen, also Geräte, Software und Lizenzen. Es begleitet jedes Gerät über seinen gesamten Lebenszyklus, von der Beschaffung über den Betrieb bis zur Ausmusterung. So weißt du jederzeit, was du besitzt, wo es steht und wer es nutzt. Ein gutes IT-Asset-Management schafft damit die Grundlage, um deine IT überhaupt steuern zu können.

Reicht dafür nicht eine Excel-Liste?

Für den Anfang kann eine Liste genügen, aber sie ist nur so gut, wie sie gepflegt wird, und veraltet schnell. Sobald mehrere Personen Geräte kaufen, tauschen oder ausmustern, verliert eine statische Tabelle den Anschluss an die Realität. Entscheidend ist nicht das Werkzeug, sondern dass die Daten aktuell und verlässlich sind. Ein gutes IT-Asset-Management sorgt für einen Prozess, der die Übersicht dauerhaft aktuell hält.

Warum ist ein Inventar die Grundlage der IT-Sicherheit?

Du kannst nur schützen, was du kennst. Ein Gerät, das in keinem Verzeichnis steht, bekommt keine Updates, wird bei der Absicherung übersehen und fällt niemandem auf, wenn es verschwindet. Anerkannte Sicherheitsstandards setzen ein vollständiges Inventar deshalb ganz an den Anfang. Ein gutes IT-Asset-Management ist damit nicht nur eine Frage der Ordnung, sondern die Basis jeder IT-Sicherheit.

Was bringt IT-Asset-Management bei den Kosten?

Ein klarer Überblick verhindert, dass du für Software zahlst, die niemand nutzt, oder umgekehrt zu wenige Lizenzen hast und rechtlich angreifbar wirst. Du erkennst ungenutzte Abos, doppelte Anschaffungen und Geräte, die längst hätten ersetzt werden sollen. Das macht deine IT-Ausgaben planbar statt zufällig. Ein gutes IT-Asset-Management zahlt sich deshalb oft schon über die eingesparten Lizenzkosten aus.

Was passiert ohne Asset-Management, wenn ein Mitarbeiter geht?

Ohne Verzeichnis ist unklar, welche Geräte jemand hatte, und genau so verschwinden Laptops oder Handys nach einem Austritt einfach. Damit bleibt womöglich ein Gerät mit Firmendaten im Umlauf, ohne dass es jemand bemerkt. Ein sauberes Inventar zeigt dagegen genau, was zurückkommen und gelöscht werden muss. Ein gutes IT-Asset-Management macht das Offboarding damit lückenlos und nachvollziehbar.

Was hat Lizenzmanagement damit zu tun?

Software und Lizenzen sind ein zentraler Teil deiner IT-Werte und werden im Asset-Management mitverwaltet. So siehst du, welche Lizenzen du besitzt, welche genutzt werden und wann Verträge auslaufen. Das schützt dich vor Unterlizenzierung mit rechtlichen Folgen und vor Überlizenzierung, die unnötig Geld kostet. Ein gutes IT-Asset-Management behandelt Software deshalb genauso konsequent wie Hardware.

Braucht ein kleines KMU ein teures Tool?

Nein. Für kleine Betriebe reicht oft ein gut gepflegtes, einfaches System, solange die Daten aktuell und vollständig sind. Ein teures Werkzeug lohnt sich erst, wenn die Zahl der Geräte und die Komplexität wachsen. Wichtiger als die Software ist ein klarer Prozess, der festlegt, wer was wann einträgt. Ein gutes IT-Asset-Management passt sich der Größe deines Unternehmens an, statt es zu überfordern.

Wie fange ich mit IT-Asset-Management an?

Am Anfang steht eine einmalige Bestandsaufnahme: Welche Geräte, welche Software und welche Lizenzen sind überhaupt vorhanden? Danach legst du fest, wer Änderungen einträgt und in welchem Rhythmus die Daten geprüft werden. So bleibt aus der einmaligen Aufnahme ein lebendiges Verzeichnis. Ein gutes IT-Asset-Management beginnt also klein und wächst mit einem festen Ablauf mit.

Welche Standards gibt es dafür?

International beschreibt die Norm ISO/IEC 19770 die Anforderungen an ein IT-Asset-Management-System. Sicherheitsframeworks wie die CIS Controls stellen ein vollständiges Inventar von Geräten und Software an den Anfang, und auch der IT-Grundschutz des BSI setzt auf eine saubere Erfassung. Diese Standards zeigen, dass Asset-Management kein Selbstzweck ist, sondern anerkannte Grundlage guter IT. Ein gutes IT-Asset-Management orientiert sich an diesen bewährten Vorgaben.

Wie hängt Asset-Management mit dem Onboarding zusammen?

Beides greift ineinander: Wer neue Mitarbeiter sauber ausstattet, muss wissen, welche Geräte verfügbar sind, und wer sie beim Austritt einsammelt, braucht ein aktuelles Verzeichnis. Das Asset-Management liefert für beide Prozesse die verlässliche Datengrundlage. So entsteht eine durchgehende Linie vom ersten bis zum letzten Arbeitstag. Ein gutes IT-Asset-Management ist damit auch das Rückgrat eines reibungslosen On- und Offboardings, wie es IT-Deol für KMU in Köln und Bonn einrichtet.

---

Quellen

1 ISO (International Organization for Standardization): ISO/IEC 19770-1:2017 – Information technology — IT asset management — Part 1: IT asset management systems — Requirements. https://www.iso.org/standard/68531.html (abgerufen am 06.07.2026)

2 CIS (Center for Internet Security): CIS Critical Security Control 1: Inventory and Control of Enterprise Assets. https://www.cisecurity.org/controls/inventory-and-control-of-enterprise-assets (abgerufen am 06.07.2026)

3 CIS (Center for Internet Security): CIS Critical Security Control 2: Inventory and Control of Software Assets. https://www.cisecurity.org/controls/inventory-and-control-of-software-assets (abgerufen am 06.07.2026)

4 BSI (Bundesamt für Sicherheit in der Informationstechnik): IT-Grundschutz-Kompendium, Baustein OPS.1.1.1 Allgemeiner IT-Betrieb (Edition 2023). https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-Kompendium_Einzel_PDFs_2023/04_OPS_Betrieb/OPS_1_1_1_Allgemeiner_IT_Betrieb_Edition_2023.pdf (abgerufen am 06.07.2026)

Montagmorgen, halb neun. Der neue Azubi steht im Empfang, motiviert und pünktlich. Und dann? Kein Laptop, kein E-Mail-Konto, keine Ahnung, wo er sich anmelden soll. Die Kollegin, die ihn einarbeiten will, sitzt selbst noch auf dem Ticket beim IT-Dienstleister und wartet auf ein Passwort. Der erste Eindruck ist ruiniert, bevor der junge Mensch überhaupt seinen Schreibtisch gesehen hat.

Solche Szenen kennst du wahrscheinlich. IT-Onboarding klingt nach einer Kleinigkeit, die man nebenbei erledigt. In Wahrheit entscheidet dieser Prozess darüber, wie schnell jemand produktiv wird, wie sicher deine Firmendaten sind und ob du im Ernstfall nachweisen kannst, wer wann auf was zugreifen durfte. Gerade in kleinen und mittleren Unternehmen, wo niemand hauptberuflich nur die IT betreut, geht das gerne schief.

In diesem Artikel schauen wir uns an, was ein sauberes IT-Onboarding ausmacht: von der digitalen Identität über die Geräte bis zur Sicherheitseinweisung. Wir gehen dabei auf die Besonderheiten bei Azubis ein, die durch mehrere Abteilungen wandern. Und wir vergessen die Kehrseite nicht, das Offboarding, wenn jemand das Unternehmen wieder verlässt. Alles möglichst konkret und ohne Fachchinesisch.

Warum ein strukturiertes IT-Onboarding kein Luxus ist

Viele Geschäftsführer denken beim Onboarding zuerst an Willkommensmappe und Kaffeeküche. Die IT läuft irgendwie mit. Genau das ist das Problem. Wenn jeder neue Zugang improvisiert wird, entstehen über die Jahre Wildwuchs, Sicherheitslücken und ein Berg an Aufwand, den keiner mehr überblickt.

Sicherheit fängt bei den Zugriffsrechten an

Das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, hat für dieses Thema einen eigenen Baustein in seinem IT-Grundschutz-Kompendium. Er heißt ORP.4 „Identitäts- und Berechtigungsmanagement“. Das Ziel formuliert das BSI klar: Benutzer sollen ausschließlich auf die IT-Ressourcen und Informationen zugreifen können, die sie für ihre Arbeit benötigen und für die sie autorisiert sind. Allen anderen wird der Zugriff verwehrt.¹

Das klingt selbstverständlich, ist es in der Praxis aber selten. Ein neuer Sachbearbeiter bekommt schnell mal Zugriff auf ein ganzes Laufwerk, weil das einfacher ist, als genau zu überlegen, was er wirklich braucht. Der Azubi wird kurzerhand in die gleiche Berechtigungsgruppe gesteckt wie ein erfahrener Kollege. Und schon kann jemand Gehaltslisten oder Kundenverträge einsehen, der damit nichts zu tun hat.

Wenn dann ein Konto gekapert wird, etwa durch eine Phishing-Mail, hat der Angreifer genau diese Rechte. Je mehr jemand darf, desto größer der Schaden. Deshalb ist die Frage, wer worauf zugreifen darf, keine Formalie, sondern der Kern deiner IT-Sicherheit.

Nachvollziehbarkeit spart dir im Ernstfall den Kopf

Der zweite Grund ist Dokumentation. Wenn du strukturiert vorgehst, weißt du jederzeit, welche Person welche Zugänge und welches Gerät hat. Das brauchst du nicht nur, wenn etwas schiefgeht, sondern auch bei einer Prüfung, bei Fragen des Datenschutzes oder wenn ein Mitarbeiter das Unternehmen verlässt.

Ohne diese Übersicht wird jedes Offboarding zum Ratespiel. War da noch ein VPN-Zugang? Hatte die Person Zugriff auf das Buchhaltungsprogramm? Ein sauberes Onboarding legt die Grundlage dafür, dass du diese Fragen später in Minuten statt in Tagen beantworten kannst.

IT-Onboarding – Die digitale Identität als Fundament

Bevor jemand auch nur eine E-Mail schreiben kann, braucht er eine digitale Identität im Unternehmen. Das ist mehr als nur ein Login. Es ist der Ausweis, mit dem sich die Person gegenüber allen Systemen zu erkennen gibt.

Benutzerkonto anlegen, aber richtig

Ein Benutzerkonto ist der zentrale Ankerpunkt. Über dieses Konto meldet sich der neue Kollege am Rechner an, ruft E-Mails ab, öffnet Dateien und nutzt Programme. In vielen KMU läuft das heute über Microsoft 365 und die dahinterliegende Verwaltung, Microsoft Entra ID.

Wichtig ist, dass ein Konto pro Person existiert und niemand sich hinter einem Sammel-Login versteckt. Nur so lässt sich jede Aktion einer Person zuordnen. Das BSI betont in ORP.4 ausdrücklich, dass Benutzerkennungen und Berechtigungen nur nach dem tatsächlichen Bedarf und der Notwendigkeit zur Aufgabenerfüllung vergeben werden sollen. Das ist das Prinzip der minimalen Rechtevergabe, oft auch „so wenig wie möglich, so viel wie nötig“ genannt.¹ Wie sich das im Alltag konkret umsetzen lässt, beschreibt das BSI in eigenen Umsetzungshinweisen zum Baustein ORP.4.⁵

Rollen statt Einzelfallentscheidungen

Wenn du bei jedem neuen Mitarbeiter von Hand überlegst, welche Rechte er bekommt, machst du dir das Leben unnötig schwer und produzierst Fehler. Besser ist ein Rollenkonzept. Du legst einmal fest, was eine „Sachbearbeitung Vertrieb“ oder eine „Buchhaltung“ typischerweise braucht, und weist der Person diese Rolle zu.

Der neue Kollege erbt dann automatisch genau die Zugriffe, die zu seiner Aufgabe gehören. Das ist schneller, weniger fehleranfällig und leichter zu dokumentieren. Ändert sich die Aufgabe, wechselst du die Rolle, statt einzelne Rechte mühsam zusammenzusuchen. Genau dieser Ansatz macht später auch das Offboarding einfach, weil du beim Entzug der Rolle alles auf einmal wegnimmst.

Denk auch daran, dass ein normaler Mitarbeiter kein Administrator sein muss. Wer täglich mit Standardrechten arbeitet, kann versehentlich weniger kaputtmachen und bietet Angreifern weniger Angriffsfläche. Administratorrechte gehören nur an die Stellen, die sie wirklich brauchen.

Geräte bereitstellen ohne Chaos

Sobald die Identität steht, braucht der neue Mensch ein Gerät. Und hier trennt sich die improvisierte IT von der durchdachten. Ein Laptop, den jemand am ersten Tag noch schnell von Hand einrichtet, kostet Zeit, ist selten einheitlich konfiguriert und hat oft nicht alle Sicherheitseinstellungen, die er haben sollte.

Automatische Einrichtung mit Windows Autopilot

Microsoft bietet für Windows-Geräte eine Lösung, die genau dieses Problem angeht: Windows Autopilot. Das ist laut Microsoft eine Sammlung von Technologien, um neue Geräte einzurichten und vorzukonfigurieren, damit sie einsatzbereit sind.² Der Clou: Der Laptop wird nicht mehr mühsam neu aufgesetzt. Stattdessen wird die vom Hersteller vorinstallierte Windows-Version in einen geschäftsbereiten Zustand überführt, mit den Einstellungen, Richtlinien und Programmen deiner Firma.²

Aus Sicht des neuen Mitarbeiters ist das angenehm einfach. Microsoft beschreibt, dass er im Grunde nur das Gerät mit einem Netzwerk verbinden und sich mit seinen Zugangsdaten anmelden muss. Alles Weitere läuft automatisch ab.² Für dich als Geschäftsführer heißt das: weniger Zeit für die IT, ein einheitlicher Standard und ein Azubi, der am ersten Tag ein fertig eingerichtetes Notebook auf dem Tisch hat statt eine Baustelle.

Es gibt auch eine neuere Variante, die Windows Autopilot Gerätevorbereitung. Praktisch nebenbei sorgt sie dafür, dass Nutzer standardmäßig als normale Anwender ohne Administratorrechte angelegt werden.³ Das passt genau zum Gedanken der minimalen Rechte, den wir eben besprochen haben.

Geräte verwalten mit Microsoft Intune

Ein Gerät einzurichten ist das eine. Es dauerhaft im Griff zu behalten das andere. Dafür gibt es Microsoft Intune, ein Dienst zur Geräteverwaltung. Beim sogenannten Enrollment, also der Aufnahme des Geräts in die Verwaltung, wird laut Microsoft ein Zertifikat installiert, über das Intune anfängt, die Richtlinien deiner Organisation durchzusetzen.⁴

Konkret kannst du damit zum Beispiel Konfigurationsrichtlinien verteilen, die arbeitsgerechte Einstellungen auf den Geräten vornehmen, oder Compliance-Regeln festlegen, die ein Gerät erfüllen muss.⁴ Microsoft empfiehlt außerdem, mit einer Basislinie an Pflichtrichtlinien für alle zu starten und diese je nach Gruppe und Anwendungsfall zu ergänzen.⁴ Das ist ein guter Rat gerade für KMU: erst ein solides Fundament für alle, dann die Feinheiten.

Intune verwaltet nicht nur Windows-Rechner, sondern auch Smartphones und Tablets, egal ob mit Android, iOS oder anderen Systemen.⁴ Wenn dein Team also Diensthandys nutzt, gehören die genauso in den Onboarding-Prozess wie der Laptop.

Sicherheit und Einweisung gehören zusammen

Ein sauber eingerichtetes Konto und ein fertiges Gerät sind die halbe Miete. Die andere Hälfte ist der Mensch davor. Denn die beste Technik nützt wenig, wenn der neue Kollege sein Passwort auf einen Zettel schreibt oder auf die erste Phishing-Mail hereinfällt.

Mehr als ein Passwort: Multi-Faktor-Authentifizierung

Ein Passwort allein ist heute kein ausreichender Schutz mehr. Zu leicht wird es erraten, abgefischt oder aus einem geleakten Datensatz wiederverwendet. Deshalb gehört zum Onboarding, dass für die wichtigen Zugänge eine zweite Bestätigung dazukommt, die Multi-Faktor-Authentifizierung. Das ist zum Beispiel eine Bestätigung per App auf dem Smartphone zusätzlich zum Passwort.

Der Aufwand ist gering, der Sicherheitsgewinn hoch. Ein gestohlenes Passwort allein reicht dann nämlich nicht mehr aus, um an deine Daten zu kommen. Richte das am besten gleich am ersten Tag ein, solange der neue Mitarbeiter ohnehin seine Konten einrichtet.

Auch beim IT-Onboarding – Security-Awareness von Anfang an

Der erste Arbeitstag ist der beste Moment, um Grundregeln zu vermitteln. Woran erkenne ich eine verdächtige E-Mail? Was mache ich, wenn ich versehentlich auf einen Link geklickt habe? Wo darf ich Firmendaten speichern und wo nicht? Diese Einweisung muss nicht stundenlang sein. Wichtig ist, dass sie stattfindet und dass der neue Kollege weiß, an wen er sich bei Unsicherheit wenden kann.

Gerade bei Azubis lohnt sich das doppelt. Sie bringen oft eine große Selbstverständlichkeit im Umgang mit digitalen Geräten mit, aber nicht unbedingt das Gespür dafür, wo im beruflichen Umfeld die Gefahren lauern. Eine kurze, verständliche Einführung wirkt hier Wunder und schützt dein Unternehmen vor teuren Fehlern.

Die Besonderheit bei Azubis

Auszubildende sind ein Sonderfall, der in vielen Onboarding-Konzepten untergeht. Sie starten meist mit wenig Vorerfahrung und durchlaufen im Laufe ihrer Ausbildung mehrere Abteilungen. Genau das macht ihre IT-Ausstattung anspruchsvoller, als man auf den ersten Blick denkt.

Rechte, die mitwandern

Ein Azubi im kaufmännischen Bereich sitzt vielleicht die ersten drei Monate im Einkauf, danach im Vertrieb, dann in der Buchhaltung. Bei jedem Wechsel ändern sich die Aufgaben und damit die benötigten Zugriffe. Wenn du hier nicht aufpasst, sammelt der Azubi mit jedem Stationswechsel neue Rechte an, ohne dass die alten wieder verschwinden. Am Ende der Ausbildung hat er dann Zugriff auf halb das Unternehmen.

Das BSI adressiert genau diesen Punkt. Bei personellen Veränderungen sollen nicht mehr benötigte Berechtigungen entfernt werden.¹ Für den Azubi bedeutet das: Beim Wechsel von einer Abteilung in die nächste bekommt er die neuen Rechte, und die alten werden ihm wieder entzogen. Das Rollenkonzept, das wir vorhin besprochen haben, macht das übrigens deutlich leichter. Du tauschst einfach die Rolle „Azubi Einkauf“ gegen „Azubi Vertrieb“, statt einzelne Berechtigungen zu jonglieren.

Befristete und rotationsbedingte Zugänge

Weil Azubis rotieren und die Ausbildung ohnehin befristet ist, bietet es sich an, Zugänge von vornherein mit einem Ablaufdatum oder einer Überprüfung zu versehen. So stellst du sicher, dass nichts vergessen wird. Ein Zugang, der nur für die aktuelle Station gilt, verschwindet automatisch, wenn die Zeit dort vorbei ist.

Das reduziert nicht nur das Sicherheitsrisiko, sondern auch deinen Verwaltungsaufwand. Statt regelmäßig manuell aufzuräumen, arbeitest du mit Zugängen, die sich selbst begrenzen. Am Ende der Ausbildung, wenn der oder die Auszubildende übernommen wird oder das Unternehmen verlässt, hast du eine klare Ausgangslage und musst nicht mühsam rekonstruieren, was über die Jahre alles dazugekommen ist.

Offboarding: der oft vergessene Zwilling

Über das Onboarding wird viel geredet. Das Offboarding, also der geordnete Rückzug der Zugänge und Geräte beim Ausscheiden, fällt dagegen häufig hinten runter. Dabei ist es sicherheitstechnisch mindestens genauso wichtig. Ein Konto, das nach dem Weggang eines Mitarbeiters weiterlebt, ist eine offene Tür.

Rechte zuverlässig entziehen

Wenn jemand das Unternehmen verlässt, müssen seine Zugänge weg. Nicht irgendwann, sondern zum richtigen Zeitpunkt. Das gilt für das E-Mail-Konto genauso wie für den Zugriff auf Fachanwendungen, das VPN oder Cloud-Dienste. Das BSI ist an dieser Stelle eindeutig: Nicht mehr benötigte Benutzerkennungen und Berechtigungen sollen bei personellen Veränderungen entfernt werden.¹

Hier zahlt sich alles aus, was du beim Onboarding richtig gemacht hast. Wenn du weißt, welche Rolle die Person hatte und welche Rechte daran hingen, kannst du diese sauber und vollständig entziehen. Ohne diese Vorarbeit tastest du dich im Nachhinein durch alle Systeme und hoffst, nichts zu übersehen.

Geräte einsammeln und zurücksetzen

Neben den Rechten geht es um die Geräte. Ein Laptop oder Diensthandy muss zurück und darf keine Firmendaten mehr enthalten, bevor es weitergegeben wird. Über eine Geräteverwaltung wie Intune lässt sich ein Gerät aus der Ferne bereinigen, was das Zurücksetzen deutlich erleichtert und dafür sorgt, dass keine sensiblen Daten in falsche Hände geraten.

Auch hier gilt: Wer beim Onboarding weiß, welches Gerät zu welcher Person gehört, hat beim Offboarding keine Mühe. Die Verbindung von Person, Konto und Gerät, die du am Anfang sauber aufgebaut hast, trägt bis zum letzten Arbeitstag.

Struktur beim IT-Onboarding zahlt sich aus

Ein gutes IT-Onboarding ist kein Selbstzweck und auch kein Thema nur für Großkonzerne. Es sorgt dafür, dass neue Mitarbeiter und Azubis schnell arbeiten können, dass deine Daten geschützt sind und dass du jederzeit den Überblick behältst, wer worauf zugreifen darf.

Die Bausteine im Überblick

Die Bausteine dafür sind überschaubar: eine saubere digitale Identität, ein durchdachtes Rollenkonzept nach dem Prinzip der minimalen Rechte, automatisch eingerichtete und verwaltete Geräte, Multi-Faktor-Authentifizierung und eine kurze, ehrliche Sicherheitseinweisung. Bei Azubis kommt hinzu, dass die Rechte mit ihnen durch die Abteilungen wandern und sich nicht anhäufen. Und am Ende steht immer das Offboarding, das genauso zuverlässig funktionieren muss wie der Empfang.

Einmal aufsetzen, dauerhaft profitieren

Wenn du diese Punkte einmal sauber aufsetzt, arbeitet die Struktur danach für dich. Jeder neue Mensch im Team ist schneller startklar, und du sparst dir das Improvisieren am Montagmorgen. Der Azubi, der eingangs frustriert im Empfang stand, hätte mit einem solchen Prozess einfach seinen fertig eingerichteten Laptop bekommen und losgelegt.

---

Häufige Fragen zum Thema

Was gehört zu einem IT-Onboarding neuer Mitarbeiter?

Zu einem IT-Onboarding gehört mehr als ein E-Mail-Konto: ein eigenes Benutzerkonto, passende Zugriffsrechte, ein eingerichtetes Gerät, die Absicherung mit einer zweiten Anmeldung und eine kurze Einweisung in die wichtigsten Regeln. All das sollte am ersten Arbeitstag bereitstehen, nicht erst nach Tagen. Wenn diese Schritte einem festen Ablauf folgen, wird aus einem hektischen Start ein reibungsloser. Ein strukturiertes IT-Onboarding sorgt dafür, dass niemand mehr improvisieren muss.

Warum reicht es nicht, einfach ein E-Mail-Konto anzulegen?

Ein E-Mail-Konto ist nur ein kleiner Teil dessen, was ein neuer Mitarbeiter braucht, und sagt nichts darüber aus, worauf er zugreifen darf. Ohne klare Rechtevergabe bekommt er entweder zu wenig, dann kann er nicht arbeiten, oder zu viel, dann entsteht ein Sicherheitsrisiko. Auch das Gerät, die Absicherung und die Einweisung fehlen dann noch. Ein strukturiertes IT-Onboarding denkt all diese Punkte von Anfang an zusammen.

Was ist das Prinzip der minimalen Rechtevergabe?

Das Prinzip besagt, dass jede Person nur die Zugriffe erhält, die sie für ihre Aufgabe wirklich braucht, und keine darüber hinaus. Das BSI formuliert in seinem Baustein ORP.4 genau dieses Ziel: Zugriff nur dort, wo er nötig und autorisiert ist. So bleibt der Schaden klein, falls ein Konto einmal übernommen wird. Ein strukturiertes IT-Onboarding setzt dieses Prinzip über klare Rollen statt einzeln vergebener Rechte um.

Wie richte ich neue Geräte schnell ein?

Für Windows-Geräte gibt es Windows Autopilot, das neue Geräte vorkonfiguriert einsatzbereit macht. Der Mitarbeiter verbindet das Gerät mit dem Netzwerk, meldet sich mit seinen Zugangsdaten an, und der Rest läuft automatisch ab. Deine IT muss kein Gerät mehr mühsam von Hand aufsetzen, und der Standard ist überall gleich. In einem strukturierten IT-Onboarding sorgt das dafür, dass am ersten Tag ein fertiges Notebook auf dem Tisch steht.

Was ist bei Azubis anders?

Auszubildende starten meist mit wenig Vorerfahrung und durchlaufen im Lauf ihrer Ausbildung mehrere Abteilungen. Ihre Zugriffsrechte müssen deshalb mitwandern: Beim Wechsel bekommen sie die neuen Rechte, und die alten werden wieder entzogen. Mit einem Rollenkonzept tauschst du einfach die Rolle, statt einzelne Berechtigungen zu jonglieren. Ein strukturiertes IT-Onboarding macht diese Rotation planbar, statt sie jedes Mal neu zu organisieren.

Warum ist das Offboarding genauso wichtig?

Wenn jemand das Unternehmen verlässt, müssen seine Zugänge zuverlässig und zum richtigen Zeitpunkt entfernt werden, vom E-Mail-Konto bis zum VPN. Das BSI ist hier eindeutig: Nicht mehr benötigte Kennungen und Berechtigungen sollen bei personellen Veränderungen entfernt werden. Vergessene Konten sind ein beliebtes Einfallstor, weil sie niemand mehr im Blick hat. Ein strukturiertes IT-Onboarding denkt das Offboarding deshalb von Anfang an mit.

Wie verwalte ich Diensthandys und Tablets?

Auch mobile Geräte gehören in den Onboarding-Prozess, nicht nur der Laptop. Mit einem Verwaltungsdienst wie Microsoft Intune lassen sich Windows-Rechner, Smartphones und Tablets über eine Oberfläche einrichten und absichern. So gelten überall dieselben Sicherheitsregeln, egal ob Android oder iOS. Ein strukturiertes IT-Onboarding bezieht Diensthandys von Beginn an mit ein, statt sie später nachzupflegen.

Was hat Sicherheit mit Onboarding zu tun?

Sehr viel, denn der erste Arbeitstag legt fest, wie sicher jemand von Anfang an arbeitet. Eine zweite Anmeldestufe, minimale Rechte und eine kurze Einweisung in typische Gefahren wie Phishing gehören dazu. Gerade Azubis bringen oft viel digitale Selbstverständlichkeit mit, aber nicht unbedingt das Gespür für berufliche Risiken. Ein strukturiertes IT-Onboarding macht Sicherheit deshalb zum festen Bestandteil des Starts, nicht zum Nachgedanken.

Wie viel Zeit spart ein strukturiertes Onboarding?

Statt bei jedem neuen Mitarbeiter von vorn zu improvisieren, folgst du einem festen Ablauf, der sich wiederholen lässt. Geräte richten sich weitgehend automatisch ein, Rechte werden über Rollen vergeben, und nichts wird vergessen. Das spart deiner IT bei jedem Start spürbar Zeit und verhindert teure Fehler. Ein strukturiertes IT-Onboarding rechnet sich deshalb schon nach wenigen Einstellungen.

Brauche ich dafür einen externen IT-Partner?

Nicht zwingend, aber gerade kleinere Betriebe ohne eigene IT-Abteilung profitieren von einem Partner, der den Prozess einmal sauber aufsetzt. Danach läuft vieles automatisch, und du hast einen Ansprechpartner, wenn es hakt. Wichtig ist, dass Rollen, Geräte und Sicherheit von Anfang an zusammenpassen. IT-Deol richtet ein strukturiertes IT-Onboarding für KMU in Köln und Bonn ein und bleibt danach als Ansprechpartner erreichbar.

Quellen

1 Bundesamt für Sicherheit in der Informationstechnik (BSI): ORP.4 Identitäts- und Berechtigungsmanagement (Edition 2023). https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-Kompendium_Einzel_PDFs_2023/02_ORP_Organisation_und_Personal/ORP_4_Identitaets_und_Berechtigungsmanagement_Editon_2023.html (Abgerufen am 06.07.2026)

2 Microsoft Learn: Overview of Windows Autopilot. https://learn.microsoft.com/en-us/autopilot/overview (Abgerufen am 06.07.2026)

3 Microsoft Learn: Overview of Windows Autopilot device preparation. https://learn.microsoft.com/en-us/autopilot/device-preparation/overview (Abgerufen am 06.07.2026)

4 Microsoft Learn: Device enrollment guide for Microsoft Intune. https://learn.microsoft.com/en-us/intune/device-enrollment/guide (Abgerufen am 06.07.2026)

5 Bundesamt für Sicherheit in der Informationstechnik (BSI): Umsetzungshinweise zum Baustein ORP.4 Identitäts- und Berechtigungsmanagement. https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Umsetzungshinweise/Umsetzungshinweise_2022/Umsetzungshinweis_zum_Baustein_ORP_4_Identitaets_und_Berechtigungsmanagement.html (Abgerufen am 06.07.2026)

Serverless klingt erst mal nach einem Widerspruch. Ohne Server soll Software laufen? Der Begriff führt tatsächlich in die Irre, und das gibt sogar Google in seiner eigenen Dokumentation zu: Serverless bedeutet nicht, dass es keine Server mehr gibt. Es bedeutet, dass sich der Cloud-Anbieter um sie kümmert und du dich nicht mehr darum kümmern musst.¹

Für dich als Geschäftsführer eines kleinen oder mittleren Unternehmens ist genau das der spannende Punkt. Du willst keine Server im Keller stehen haben, die Strom fressen, gewartet werden müssen und irgendwann ausfallen. Du willst, dass deine Anwendungen funktionieren, dass die Kosten planbar bleiben und dass niemand nachts um drei aufsteht, weil eine Festplatte den Geist aufgegeben hat. Serverless verspricht in diese Richtung einiges. Ob es hält, was der Begriff verspricht, und wo die Grenzen liegen, schauen wir uns in diesem Artikel an. Ohne Technik-Kauderwelsch, dafür mit den Fragen, die dich als Entscheider wirklich betreffen: Kosten, Aufwand, Sicherheit, Datenschutz.

Was Serverless Computing eigentlich ist

Bevor wir über Vor- und Nachteile reden, sollten wir klären, worüber wir überhaupt sprechen. Der Begriff wird nämlich gern verwendet, ohne dass klar wird, was dahintersteckt.

Server gibt es weiterhin, nur nicht bei dir

Serverless Computing ist ein Modell, bei dem der Cloud-Anbieter die komplette Infrastruktur bereitstellt, verwaltet und skaliert. Du gibst deinen Programmcode ab, und der Anbieter sorgt dafür, dass er läuft. Alles, was sonst dazugehört, fällt für dich weg: keine Server bereitstellen, keine Kapazitäten planen, keine Sicherheitsupdates einspielen, kein Patchen. AWS beschreibt das für seinen Dienst Lambda genau so: Der Dienst verwaltet die darunterliegende Infrastruktur, also Serverwartung, Bereitstellung von Kapazität, Skalierung und Patching, damit du dich auf deine Anwendungslogik konzentrieren kannst.²

Das ist der eigentliche Kern. Bei klassischen Servern, egal ob im eigenen Haus oder als gemietete virtuelle Maschine in der Cloud, trägst du oder dein IT-Dienstleister die Verantwortung dafür, dass die Maschine läuft, aktuell und sicher ist. Bei Serverless übernimmt das der Anbieter. Google vergleicht das mit dem Wasseranschluss: Du kannst einen eigenen Brunnen graben, die Wasserqualität testen und die gesamte Verrohrung selbst warten. Oder du schließt dich an die Wasserleitung der Stadt an, drehst den Hahn auf und bekommst so viel Wasser, wie du gerade brauchst. Am Monatsende zahlst du für die tatsächlich verbrauchte Menge.¹

Function-as-a-Service als häufigste Spielart

Wenn Fachleute von Serverless reden, meinen sie meist eine bestimmte Variante: Function-as-a-Service, kurz FaaS. Dabei zerlegst du deine Anwendung in einzelne kleine Funktionen, die jeweils eine Aufgabe erledigen. Eine Funktion nimmt zum Beispiel ein hochgeladenes Bild entgegen und erstellt daraus eine kleinere Vorschau. Eine andere prüft ein Kontaktformular und schreibt die Daten in eine Datenbank.

Google unterscheidet dabei zwischen zwei Grundtypen: FaaS für die Ausführung solcher Programmlogik und Backend-as-a-Service, bei dem ganze Bausteine wie Anmeldung, Datenbank oder Speicher als fertiger Dienst geliefert werden.¹ Wichtig für dich: FaaS ist streng genommen nur ein Teil des großen Ganzen. Serverless umfasst laut Google jeden Dienst, bei dem Serververwaltung, Konfiguration, Skalierung und Abrechnung vom Nutzer abstrahiert sind. Das kann auch eine Datenbank oder ein Speicherdienst sein. Für die Praxis in einem KMU reicht es zu wissen: Es geht um kleine, klar umrissene Aufgaben, die bei Bedarf ausgeführt werden, und um Infrastruktur, um die du dich nicht mehr selbst kümmerst.

So funktioniert die Abrechnung nach Nutzung

Für Entscheider ist meist der Kostenpunkt der interessanteste. Denn Serverless ändert grundlegend, wie du für IT-Infrastruktur bezahlst. Und das kann sich spürbar auf deine Ausgaben auswirken.

Du zahlst nur, wenn Code läuft

Das prägende Merkmal von Serverless ist die Abrechnung nach tatsächlicher Nutzung. Google formuliert es so: Du zahlst nur für die exakte Menge an Ressourcen, die verwendet wird, und nicht für ungenutzte Kapazität.¹ AWS bestätigt das für Lambda mit dem Prinzip, dass du keine Vorabverpflichtungen eingehst und nur für die genutzten Ressourcen bezahlst.²

Der Unterschied zu einem klassischen Server ist erheblich. Einen Server mietest oder betreibst du rund um die Uhr, auch nachts, auch am Wochenende, auch wenn niemand die Anwendung nutzt. Du zahlst für die Bereitschaft, nicht für die Nutzung. Bei Serverless entstehen Kosten nur dann, wenn dein Code wirklich ausgeführt wird. Läuft nichts, zahlst du für die Rechenleistung nichts. Google spricht davon, dass du nicht für ungenutzte Kapazität belastet wirst und die Ressourcen nach der Ausführung automatisch wieder auf null herunterskalieren.¹

Wann sich das rechnet und wann nicht

Ehrlich bleiben ist hier wichtig, denn Pauschalversprechen führen in die Irre. Serverless ist nicht automatisch billiger. Es ist billiger für Anwendungen, die unregelmäßig oder schwankend genutzt werden. Denk an ein Formular auf deiner Website, das mal zehnmal am Tag und mal zweihundertmal ausgefüllt wird. Oder an eine nächtliche Auswertung, die einmal täglich für ein paar Minuten läuft. Für solche Fälle passt das Modell gut, weil du in den Leerlaufzeiten nichts bezahlst.

Läuft eine Anwendung dagegen konstant unter Volllast, rund um die Uhr, ohne Pausen, kann ein klassischer Server unter dem Strich günstiger sein. Microsoft trägt dem übrigens Rechnung, indem Azure für dauerhaft laufende oder besonders anspruchsvolle Anwendungen neben dem nutzungsbasierten Modell auch andere Betriebsvarianten anbietet, etwa mit permanent bereitgehaltenen Instanzen.³ Die Rechnung hängt also immer vom konkreten Nutzungsmuster ab. Genau deshalb lohnt sich vorab ein nüchterner Blick auf deine tatsächliche Auslastung.

Automatische Skalierung ohne dein Zutun

Neben den Kosten ist die Skalierung das zweite große Argument. Damit ist gemeint, wie eine Anwendung mit schwankender Last umgeht. Und hier spielt Serverless eine seiner größten Stärken aus.

Von null auf Spitzenlast und zurück

Klassische IT-Planung kennt ein Dilemma. Baust du deine Server für den Normalbetrieb aus, brechen sie bei Lastspitzen zusammen. Baust du sie für die Spitze aus, bezahlst du die meiste Zeit für Kapazität, die brachliegt. Serverless löst dieses Problem, indem der Anbieter automatisch mitwächst. AWS beschreibt für Lambda, dass jede Ausführung unabhängig läuft und horizontal skaliert, um die Nachfrage zu bedienen, wobei Lambda die Ausführungsumgebungen als Reaktion auf den Verkehr selbst erstellt und wieder abbaut.²

Google bringt es auf den Punkt: Serverless-Architekturen skalieren von sich aus nach oben und unten, und anders als beim automatischen Skalieren anderer Cloud-Modelle, das ein Feintuning von Regeln erfordert, geschieht das sofort und kann bis auf null herunterskalieren.¹ Für dich heißt das: Wenn morgen ein Beitrag über dein Unternehmen viral geht und plötzlich tausende Menschen deine Website besuchen, muss niemand hektisch Server nachbestellen. Das System fängt die Last ab. Und wenn der Ansturm vorbei ist, fährt es wieder herunter, ohne dass du dafür weiterzahlst.

Ereignisse als Auslöser

Serverless funktioniert ereignisgesteuert. Das bedeutet, deine Funktionen werden nicht dauerhaft ausgeführt, sondern durch ein bestimmtes Ereignis ausgelöst. Google beschreibt dieses Prinzip so, dass der Anbieter nur dann Ressourcen bereitstellt, wenn ein Ereignis deinen Code zur Ausführung anstößt.¹

Ein Ereignis kann vieles sein. Jemand ruft eine Schnittstelle auf, eine Datei wird hochgeladen, eine Nachricht landet in einer Warteschlange, oder ein Zeitplan löst zu einer festen Uhrzeit aus. AWS listet als Auslöser für Lambda unter anderem API-Aufrufe, das Ablegen von Dateien in einem Speicher und Nachrichtenwarteschlangen auf, mit Anbindung an über 200 weitere Dienste.² Azure nennt vergleichbare Szenarien, etwa Code auszuführen, wenn eine Datei hochgeladen wird, oder eine Aufgabe zu festen Zeitintervallen laufen zu lassen.³ Der Vorteil dieses Prinzips: Es läuft nichts im Hintergrund und verbraucht Ressourcen, solange nichts zu tun ist.

Typische Einsatzfälle im Mittelstand

Theorie ist gut, aber wo bringt Serverless einem KMU konkret etwas? Die Anbieter nennen in ihrer Dokumentation eine ganze Reihe von Beispielen, die sich gut auf mittelständische Betriebe übertragen lassen.

Web-Backends, APIs und Automatisierung

Ein häufiger Einsatzfall ist die Logik hinter einer Website oder einer App. AWS führt als Beispiel eine einfache Aufgabenlisten-Anwendung an, bei der registrierte Nutzer Einträge anlegen, ändern, ansehen und löschen. Die Geschäftslogik läuft dabei über Serverless-Funktionen, angebunden an eine Datenbank und einen Dienst für die Auslieferung der statischen Inhalte.² Für dich könnte das ein Kundenportal sein, ein Buchungssystem oder das Backend deiner mobilen App.

Auch Schnittstellen, sogenannte APIs, lassen sich so betreiben. Azure nennt als Szenario den Aufbau einer skalierbaren Web-API mit einer Reihe von Endpunkten für deine Anwendungen.³ Ein weiteres großes Feld ist die Automatisierung wiederkehrender Aufgaben. Google beschreibt etwa geplante und ereignisbasierte Aktionen wie die automatische Erstellung und Verteilung von Routineberichten, bei der ein Zeitplan täglich eine Funktion anstößt, die Daten aufbereitet und per E-Mail versendet.¹ Solche kleinen Helfer, die im Hintergrund lästige Handarbeit abnehmen, sind für viele Betriebe der einfachste Einstieg.

Datenverarbeitung und Verbindung von Systemen

Immer wieder geht es darum, Daten zu verarbeiten oder verschiedene Programme miteinander reden zu lassen. Google beschreibt als klassischen Anwendungsfall die Synchronisierung von Kontakten oder Leads zwischen verschiedenen Geschäftsanwendungen, etwa wenn Daten aus einem System automatisch in ein anderes übertragen werden.¹ Wer ein CRM und ein separates Marketing-Tool nutzt, kennt das Problem doppelter Pflege.

Auch die Verarbeitung von Dateien ist ein typisches Beispiel. AWS beschreibt einen Ablauf, bei dem hochgeladene Dokumente automatisch umgewandelt und weiterverarbeitet werden, sobald sie im Speicher ankommen.² Azure nennt außerdem die Verarbeitung von Datenströmen in Echtzeit und das automatische Bereinigen von Daten zu festen Zeiten.³ Das sind alles Aufgaben, die in vielen KMU heute noch von Hand oder mit fragilen Bastellösungen erledigt werden. Serverless kann sie zuverlässig und ohne eigenen Serverbetrieb übernehmen.

Wo Serverless nicht die richtige Wahl ist

So nützlich das Modell ist, es passt nicht überall. Ein seriöser Blick gehört dazu, sonst investierst du in etwas, das deine Anforderungen gar nicht abdeckt. Google benennt die Schwächen in seiner eigenen Dokumentation offen, und daran halten wir uns.

Grenzen bei Dauerbetrieb und Startverzögerung

Google weist ausdrücklich darauf hin, dass Serverless-Architekturen nicht für alle Anwendungen geeignet sind, insbesondere nicht für Anwendungen mit sehr langen Laufzeiten oder mit besonders niedrigen Latenzanforderungen.¹ Braucht ein Prozess also Stunden am Stück oder muss auf Millisekunden zuverlässig antworten, stößt das Modell an Grenzen.

Ein weiterer Punkt ist der sogenannte Kaltstart. Google erklärt, dass Serverless-Funktionen manchmal eine Verzögerung beim erstmaligen Aufruf erleben können, weil die Umgebung erst hochgefahren wird.¹ Wurde eine Funktion länger nicht genutzt, dauert der erste Aufruf minimal länger. Für die meisten KMU-Anwendungen ist das nicht spürbar. Bei zeitkritischen Anwendungen kann es aber stören. Microsoft bietet für solche Fälle wie erwähnt Betriebsvarianten mit dauerhaft bereitgehaltenen Instanzen an, die genau diese Verzögerung vermeiden.³ Auch die Ausführungsdauer ist begrenzt: AWS nennt für eine einzelne Ausführung einer Lambda-Funktion eine Obergrenze von 15 Minuten.²

Anbieterabhängigkeit im Blick behalten

Ein Thema, das du als Entscheider kennen solltest, ist die Anbieterabhängigkeit, im Fachjargon Vendor Lock-in. Google spricht das in seiner Nachteilsliste offen an: Das Migrieren von Serverless-Anwendungen zwischen Cloud-Anbietern kann aufwendig sein, weil sich die Schnittstellen und Konfigurationen unterscheiden.¹

Im Klartext heißt das: Baust du deine Anwendung tief auf die Serverless-Dienste eines Anbieters auf, ist ein späterer Wechsel zu einem anderen Anbieter nicht mal eben gemacht. Das muss kein Ausschlusskriterium sein, viele Unternehmen fahren jahrelang gut mit einem Anbieter. Aber es sollte eine bewusste Entscheidung sein und keine, in die du hineinrutschst. Ein weiterer von Google genannter Punkt ist die eingeschränkte Sicht auf die darunterliegende Technik, was die Fehlersuche bei Leistungsproblemen erschweren kann.¹ Auch das gehört zur ehrlichen Bilanz.

Datenschutz, Sicherheit und Serverstandort

Kein Thema beschäftigt deutsche Entscheider so sehr wie der Datenschutz. Wenn deine Daten bei einem Cloud-Anbieter liegen, willst du wissen, wo sie liegen und wie sie geschützt sind. Das ist berechtigt und gehört auf den Tisch.

Verantwortung ist geteilt

Ein verbreitetes Missverständnis lautet: Wenn der Anbieter die Infrastruktur verwaltet, ist auch die Sicherheit allein seine Sache. So einfach ist es nicht. Das BSI, die deutsche Behörde für IT-Sicherheit, macht in seinem Kriterienkatalog C5 deutlich, dass sich Anbieter, Kunde und Prüfer die Verantwortung für Informationssicherheit teilen.⁴ Der Anbieter sorgt für eine sichere Infrastruktur, du bist aber weiterhin dafür verantwortlich, deine Anwendung sinnvoll zu konfigurieren und mit den Daten korrekt umzugehen.

Das BSI hat den Kriterienkatalog C5 dafür geschaffen, ein Mindestsicherheitsniveau für Cloud-Dienste transparent und nach einer standardisierten Prüfung darzustellen.⁴ Für dich ist das ein praktisches Werkzeug bei der Anbieterauswahl. Das BSI empfiehlt Cloud-Kunden ausdrücklich, den C5-Bericht beim jeweiligen Anbieter anzufordern, ihn auszuwerten und diese Prüfung jährlich zu wiederholen. Wichtig zu wissen: Das BSI selbst prüft keine dieser Berichte, sondern es liegt in deiner Verantwortung als Kunde, die Berichte zu analysieren und deine eigenen Schlüsse zu ziehen.⁴ Genau hier kann ein IT-Partner an deiner Seite den Unterschied machen, weil er weiß, worauf in so einem Bericht zu achten ist.

Serverstandort EU und DSGVO

Für die DSGVO ist entscheidend, wo deine Daten verarbeitet und gespeichert werden. Die großen Anbieter betreiben eigene Regionen innerhalb der EU, sodass du bei der Einrichtung festlegen kannst, dass deine Daten in Europa bleiben. Der C5-Katalog des BSI hat sich laut Behörde am Markt etabliert und dient Kunden als wichtiger Leitfaden bei der Anbieterauswahl. Über hundert Testate wurden nach BSI-Angaben bereits für nationale, europäische und globale Anbieter sowie eine breite Palette von Cloud-Diensten erteilt, und auch mittelständische und kleine Anbieter nutzen den Katalog.⁴

Für dich als KMU-Verantwortlicher heißt das in der Praxis: Achte bei der Auswahl auf einen Serverstandort in der EU, lass dir den C5-Bericht oder ein vergleichbares Testat zeigen und kläre vertraglich, wer welche Pflichten trägt. Das BSI betont, dass der Kunde auch selbst prüfen muss, ob ein Basissicherheitsniveau ausreicht oder ob für seinen konkreten Anwendungsfall zusätzliche Kriterien relevant sind.⁴ Verbleibende Restrisiken trägt am Ende der Kunde. Serverless nimmt dir also die technische Wartung ab, aber nicht die Verantwortung, den richtigen Anbieter zu wählen und die Datenschutzfragen sauber zu klären. Das ist kein Grund, die Finger davon zu lassen, sondern ein Grund, es von Anfang an ordentlich aufzusetzen.

Ist Serveless Computing was für dich? Lass uns sprechen!

Was Serverless dir abnimmt

Serverless Computing nimmt dir den Serverbetrieb ab. Der Anbieter kümmert sich um Wartung, Kapazität, Skalierung und Sicherheitsupdates, du bringst deinen Code und zahlst nach tatsächlicher Nutzung.⁵ Für Anwendungen mit schwankender Last, für Automatisierung im Hintergrund und für die Verbindung verschiedener Systeme ist das ein starkes Modell, das gerade kleineren Unternehmen viel Aufwand erspart. Kein Server im Keller, keine Kapazität, die im Leerlauf Geld kostet, keine nächtlichen Notfälle wegen ausgefallener Hardware.

Wo du aufpassen solltest

Gleichzeitig ist Serverless kein Allheilmittel. Bei dauerhaft laufenden oder besonders zeitkritischen Anwendungen kann eine klassische Lösung besser passen, und die Anbieterabhängigkeit sowie der Datenschutz wollen bewusst bedacht sein. Die gute Nachricht: Diese Fragen sind alle lösbar, wenn man sie von Anfang an mitdenkt. Ein Einstieg muss nicht groß sein. Oft reicht ein einzelner, klar umrissener Anwendungsfall, um zu sehen, ob das Modell zu deinem Betrieb passt.

---

Häufige Fragen zum Thema

Was ist Serverless Computing einfach erklärt?

Serverless Computing bedeutet, dass du deinen Code oder deine Anwendung in der Cloud betreibst, ohne dich um einen eigenen Server zu kümmern. Der Anbieter stellt die Rechenleistung bereit, wartet die Technik, spielt Updates ein und passt die Kapazität automatisch an. Du lieferst nur die Logik, den Rest übernimmt die Plattform im Hintergrund. Serverless Computing für KMU nimmt dir damit genau den Teil der IT ab, der bislang am meisten Zeit und Nerven gekostet hat.

Heißt serverless, dass es keine Server mehr gibt?

Nein, Server gibt es weiterhin, sie stehen nur nicht mehr bei dir. Der Cloud-Anbieter betreibt sie in seinen Rechenzentren, kümmert sich um Wartung, Kapazität und Ausfallsicherheit und stellt dir die Leistung bei Bedarf bereit. Für dich fühlt es sich so an, als gäbe es keinen Server, weil du nie einen anfassen musst. Genau das ist der Gedanke hinter Serverless Computing für KMU: die Technik läuft, ohne dass du sie verwalten musst.

Wie funktioniert die Abrechnung bei Serverless?

Du zahlst nur für die Rechenzeit, die dein Code tatsächlich verbraucht, und nicht für einen Server, der rund um die Uhr läuft. Passiert nichts, entstehen auch keine Kosten. Läuft dein Code, wird sekundengenau nach Aufrufen und Ressourcenverbrauch abgerechnet. Für einen Betrieb mit schwankender Auslastung macht Serverless Computing für KMU die IT-Kosten dadurch planbarer und oft günstiger als ein dauerhaft laufender Server.

Für welche Anwendungen lohnt sich Serverless in einem KMU?

Besonders geeignet ist Serverless für Aufgaben, die nicht ständig, aber immer wieder anfallen: Web-Backends und APIs, die Automatisierung wiederkehrender Abläufe oder die Verarbeitung von Daten im Hintergrund. Auch das Verbinden verschiedener Systeme, etwa Shop und Warenwirtschaft, lässt sich damit elegant lösen. Solche Aufgaben schwanken oft stark in der Auslastung, und genau da spielt das Modell seine Stärke aus. Serverless Computing für KMU eignet sich also vor allem für ereignisgesteuerte und unregelmäßige Lasten.

Wann ist Serverless nicht die richtige Wahl?

Bei Anwendungen, die dauerhaft und gleichmäßig unter Last laufen, kann ein klassischer Server am Ende günstiger sein. Auch bei sehr zeitkritischen Anwendungen kann die kurze Startverzögerung beim ersten Aufruf, der sogenannte Kaltstart, stören. Und einzelne Aufgaben haben eine maximale Laufzeit, die du im Blick behalten musst. Serverless Computing für KMU ist deshalb kein Allheilmittel, sondern ein Werkzeug, das man für den passenden Anwendungsfall auswählt.

Was ist mit Datenschutz und Serverstandort?

Für die DSGVO ist entscheidend, wo deine Daten verarbeitet und gespeichert werden. Die großen Anbieter betreiben eigene Regionen innerhalb der EU, sodass du bei der Einrichtung festlegen kannst, dass deine Daten in Europa bleiben. Zusätzlich hilft der Kriterienkatalog C5 des BSI dabei, das Sicherheitsniveau eines Anbieters zu bewerten. Bei Serverless Computing für KMU gehört die bewusste Wahl von Serverstandort und Anbieter deshalb von Anfang an dazu.

Was bedeutet Vendor Lock-in?

Vendor Lock-in beschreibt die Abhängigkeit von einem bestimmten Anbieter, weil sich deine Anwendung eng an dessen Dienste bindet. Ein späterer Wechsel wird dann aufwendiger, weil Teile neu gebaut werden müssten. Das ist kein Grund gegen Serverless, aber ein Punkt, den du bei der Planung bewusst berücksichtigen solltest. Ein erfahrener Partner hilft dir bei Serverless Computing für KMU, diese Abhängigkeit von Anfang an im Rahmen zu halten.

Muss ich für Serverless programmieren können?

Du selbst nicht, aber jemand muss die Anwendung entwickeln oder anpassen, denn Serverless führt am Ende Programmcode aus. Als Geschäftsführer triffst du die strategische Entscheidung, die technische Umsetzung übernimmt deine IT oder ein Dienstleister. Wichtig ist, dass du den Nutzen und die Grenzen kennst, um mitreden zu können. Bei Serverless Computing für KMU übersetzt dir ein guter Partner die Technik in klare Entscheidungen.

Was ist Function-as-a-Service?

Function-as-a-Service, kurz FaaS, ist die häufigste Spielart von Serverless. Dabei hinterlegst du einzelne, klar abgegrenzte Funktionen, die immer dann ausgeführt werden, wenn ein bestimmtes Ereignis eintritt, etwa ein Aufruf über eine Schnittstelle. Die Plattform startet die Funktion, führt sie aus und beendet sie wieder, ganz automatisch. FaaS ist damit der praktische Kern, über den Serverless Computing für KMU meist umgesetzt wird.

Wie steige ich am besten in Serverless ein?

Fang klein an, mit einem einzelnen, überschaubaren Anwendungsfall statt einer großen Umstellung. So siehst du an einem konkreten Beispiel, ob das Modell zu deinem Betrieb passt, ohne ein Risiko einzugehen. Wichtig ist ein Partner, der die Fragen zu Kosten, Datenschutz und Anbieterwahl kennt. IT-Deol begleitet KMU in Köln und Bonn beim Einstieg in Serverless Computing für KMU, praxisnah und ohne dich in etwas zu drängen, das du nicht brauchst.

Quellen

1 Google Cloud: What is serverless computing? URL: https://cloud.google.com/discover/what-is-serverless-computing (abgerufen am 06.07.2026)

2 Amazon Web Services: What is AWS Lambda? (AWS Lambda Developer Guide), 2026. URL: https://docs.aws.amazon.com/lambda/latest/dg/welcome.html (abgerufen am 06.07.2026)

3 Microsoft: What is Azure Functions? (Azure Functions Overview), 2026. URL: https://learn.microsoft.com/en-us/azure/azure-functions/functions-overview (abgerufen am 06.07.2026)

4 Bundesamt für Sicherheit in der Informationstechnik (BSI): Cloud Computing Compliance Criteria Catalogue (C5). URL: https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/kriterienkatalog-c5_node.html (abgerufen am 06.07.2026)

5 Amazon Web Services: Serverless on AWS. URL: https://aws.amazon.com/serverless/ (abgerufen am 06.07.2026)