Frag mal spontan in deiner Firma nach, wie viele Laptops gerade im Umlauf sind. Nicht die Zahl, die im letzten Angebot stand, sondern die echte: Wie viele Geräte laufen tatsächlich, wer nutzt sie, welche Software ist drauf, und welche Lizenzen bezahlst du jeden Monat dafür? In vielen kleinen und mittleren Unternehmen bleibt diese Frage erstaunlich lange offen. Nicht aus Nachlässigkeit, sondern weil die IT über Jahre gewachsen ist. Ein Gerät hier, eine Software dort, ein neuer Kollege, ein alter Rechner, der irgendwo im Schrank landet.

Genau da setzt IT-Asset-Management an. Der Begriff klingt nach großem Konzern, ist aber im Kern etwas sehr Bodenständiges: Du weißt, was du hast, wo es ist und was es dich kostet. Klingt banal. In der Praxis ist es die Grundlage für ziemlich viele Dinge, die du dir als Geschäftsführer sowieso wünschst. Bessere Kostenkontrolle, weniger Sicherheitslücken, schnellere Hilfe bei Problemen und ein sauberer Ablauf, wenn jemand kommt oder geht. In diesem Artikel gehe ich mit dir durch, was dahintersteckt, warum anerkannte Sicherheitsstandards das Thema so ernst nehmen und wo für dich der konkrete Nutzen liegt. Ohne Technik-Kauderwelsch, versprochen.

Was IT-Asset-Management eigentlich bedeutet

Mehr als eine Liste im Excel

IT-Asset-Management, oft abgekürzt als ITAM, meint die systematische Erfassung und Verwaltung aller IT-Werte im Unternehmen. Damit sind nicht nur die offensichtlichen Dinge gemeint, also Laptops, Monitore und Server. Dazu gehören auch die Software, die auf den Geräten läuft, die Lizenzen, für die du bezahlst, und in vielen Fällen auch Smartphones, Drucker, Netzwerkkomponenten und Cloud-Dienste.

Für IT-Asset-Management gibt es sogar eine eigene internationale Norm: die ISO/IEC 19770. Deren erster Teil, ISO/IEC 19770-1, beschreibt die Anforderungen an ein Managementsystem für das IT-Asset-Management. Wichtig für dich: Die Norm ist ausdrücklich so angelegt, dass sie sich auf alle Arten von IT-Werten und auf Unternehmen jeder Größe anwenden lässt.¹ Es geht also nicht um ein Bürokratiemonster für Großkonzerne, sondern um ein Prinzip, das du auf dein Unternehmen zuschneiden kannst.

Der Unterschied zu einer simplen Geräteliste liegt im Wort „Management“. Eine Liste ist eine Momentaufnahme, die schnell veraltet. Ein echtes IT-Asset-Management ist ein laufender Prozess: Neue Geräte kommen dazu, alte fallen raus, Software wird aktualisiert, Lizenzen laufen aus. Die Norm baut deshalb auf einem einfachen Kreislauf auf, den man aus dem Qualitätsmanagement kennt: planen, umsetzen, prüfen, verbessern.¹ Klingt nach Theorie, meint aber nur: Du legst das Verzeichnis einmal an und hältst es dann dauerhaft aktuell, statt es einmal im Jahr panisch zusammenzusuchen.

Der Lebenszyklus eines Geräts

Am anschaulichsten wird IT-Asset-Management, wenn du dir den Weg eines einzelnen Laptops anschaust. Er hat einen Anfang, eine Nutzungsphase und ein Ende, und in jeder dieser Phasen willst du den Überblick behalten.

Am Anfang steht die Beschaffung. Du kaufst das Gerät, es bekommt einen Platz in deinem Verzeichnis, du hältst fest, was es gekostet hat, welche Garantie gilt und welcher Mitarbeiter es bekommt. Dann folgt der Betrieb, meist die längste Phase. Hier wird Software installiert, es kommen Updates, vielleicht wechselt das Gerät den Besitzer, wird repariert oder aufgerüstet. Und irgendwann kommt das Ende, die sogenannte Ausmusterung. Das Gerät ist zu alt, geht kaputt oder wird ersetzt.

Gerade diese letzte Phase wird oft unterschätzt. Ein ausgemusterter Laptop enthält meist noch Firmendaten, E-Mails, vielleicht Kundeninformationen. Wenn du nicht weißt, dass es dieses Gerät überhaupt gibt, kümmerst du dich auch nicht um die saubere Datenlöschung. Genau dasselbe gilt für Software und Lizenzen. Auch die haben einen Lebenszyklus, werden angeschafft, genutzt und sollten irgendwann wieder freigegeben werden, wenn sie niemand mehr braucht. Ein gutes Asset-Management begleitet all das vom ersten bis zum letzten Tag.

Warum das Inventar die Grundlage jeder Sicherheit ist

Du kannst nur schützen, was du kennst

Es gibt einen Satz, der in der IT-Sicherheit fast schon zum Grundgesetz geworden ist: Ein Unternehmen kann nicht verteidigen, was es nicht kennt. So sinngemäß formulieren es die international anerkannten CIS Critical Security Controls, ein weit verbreitetes Rahmenwerk für Cybersicherheit. Und es ist kein Zufall, dass die allererste dieser Kontrollen sich genau um das Thema Inventar dreht.

Die CIS-Kontrolle Nummer 1 verlangt, dass ein Unternehmen alle Geräte aktiv erfasst und verwaltet, die mit seiner Infrastruktur verbunden sind. Also Notebooks, mobile Geräte, Netzwerktechnik, Server und alles andere, das im Netz hängt. Das Ziel: genau zu wissen, welche Geräte überhaupt geschützt werden müssen, und nebenbei unbekannte oder nicht autorisierte Geräte aufzuspüren.² Die zweite Kontrolle macht dasselbe für Software. Auch sie soll vollständig erfasst werden, damit nur freigegebene Programme laufen und niemand unbemerkt etwas installiert, das nicht dorthin gehört.³

Die Logik dahinter ist einfach und überzeugend. Jedes Gerät und jede Software, von der du nichts weißt, ist ein blinder Fleck. Ein alter Rechner, der noch im Netzwerk hängt und seit zwei Jahren kein Update bekommen hat. Ein privat installiertes Programm mit einer bekannten Sicherheitslücke. Ein Laptop, den ein Ex-Mitarbeiter nie zurückgegeben hat. Nichts davon kannst du absichern, solange es nicht in deinem Verzeichnis auftaucht. Das Inventar ist deshalb nicht bloß eine ordentliche Liste, sondern die Landkarte, auf der jede weitere Schutzmaßnahme aufbaut.

Was der deutsche Standard dazu sagt

Man muss dafür nicht in die USA schauen. Auch das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, macht deutlich, wie wichtig ein geordneter Umgang mit den eigenen IT-Werten ist. Sein IT-Grundschutz-Kompendium ist die anerkannte Grundlage für Informationssicherheit in deutschen Unternehmen und Behörden.

Im Baustein zum allgemeinen IT-Betrieb beschreibt das BSI als Ziel, die Informationssicherheit als festen Bestandteil aller alltäglichen Aufgaben des IT-Betriebs zu verankern. Ein Unternehmen soll dafür sorgen, dass die Tätigkeiten, mit denen die IT am Laufen gehalten wird, ordnungsgemäß und systematisch ablaufen.⁴ Und systematisch heißt eben auch: Du musst wissen, welche Systeme du überhaupt betreibst. Ohne einen aktuellen Überblick über deine Geräte und Software lässt sich ein geordneter Betrieb schlicht nicht organisieren.

Für dich als Entscheider ist das eine gute Nachricht. Wenn du dich irgendwann mit dem Thema Informationssicherheit beschäftigst, sei es wegen neuer gesetzlicher Anforderungen, wegen einer Cyberversicherung oder weil ein Kunde danach fragt, dann ist das IT-Asset-Management fast immer die erste Stufe. Wer sie sauber erledigt hat, muss nicht mehr bei null anfangen.

IT-Asset-Management – Der handfeste Nutzen für dein Unternehmen

Kosten unter Kontrolle, besonders bei Lizenzen

Der schnellste sichtbare Effekt eines guten Asset-Managements ist bares Geld. Und zwar vor allem bei Software und Lizenzen. Der Grund: In gewachsenen Strukturen bezahlen viele Unternehmen für Dinge, die niemand mehr nutzt, oder für Lizenzen in einer Menge, die gar nicht mehr zur Belegschaft passt.

Stell dir ein Design-Programm vor, das du vor drei Jahren für eine Mitarbeiterin angeschafft hast. Die Kollegin ist längst weg, das Abo läuft still weiter und kostet Monat für Monat. Solange niemand den Überblick hat, fällt das kaum auf. Ein gepflegtes Verzeichnis zeigt dir dagegen sofort, welche Lizenz an welchem Menschen und welchem Gerät hängt und ob sie überhaupt noch gebraucht wird. Das ist das eine Extrem, die sogenannte Überlizenzierung. Du zahlst für mehr, als du nutzt.

Das andere Extrem ist genauso teuer, nur anders. Bei der Unterlizenzierung nutzt du mehr, als du bezahlt hast, oft ohne es zu merken. Wenn ein Softwarehersteller das bei einer Prüfung feststellt, können empfindliche Nachforderungen fällig werden. Ein sauberes IT-Asset-Management hält beide Enden im Gleichgewicht: Du kaufst so viel, wie du brauchst, und kannst jederzeit belegen, dass du dich an die Lizenzbedingungen hältst. Diese Nachweisfähigkeit, im Fachjargon Lizenz-Compliance, ist einer der Hauptgründe, warum es die Software-Verwaltung überhaupt als eigenes Normthema gibt.

Schnellere Hilfe und sauberes Kommen und Gehen

Der zweite große Nutzen zeigt sich im Alltag, immer dann, wenn etwas nicht rundläuft. Ruft ein Mitarbeiter beim Support an, weil sein Rechner streikt, macht es einen enormen Unterschied, ob der Helfer sofort sieht, welches Gerät das ist, wie alt es ist, welche Software läuft und wann es zuletzt ein Update bekommen hat. Die Fehlersuche wird kürzer, der Kollege ist schneller wieder arbeitsfähig, und du sparst dir teure Ausfallzeit.

Genauso wertvoll ist ein gutes Verzeichnis beim Kommen und Gehen von Mitarbeitern. Fängt jemand neu an, weißt du auf einen Blick, welche Geräte und welche Zugänge er braucht, und kannst alles vorbereiten, bevor der erste Arbeitstag beginnt. Das nennt man Onboarding. Noch wichtiger ist die andere Richtung, das Offboarding. Verlässt jemand das Unternehmen, willst du sicher sein, dass wirklich alle Geräte zurückkommen und alle Zugänge gesperrt werden.

Und hier schließt sich der Kreis zum eingangs erwähnten Laptop, der nach einem Austritt einfach verschwindet. Ohne Verzeichnis merkt es womöglich niemand. Mit einem gepflegten Asset-Management fällt sofort auf, dass ein Gerät fehlt, samt der Daten und Zugänge, die darauf liegen. Das ist kein theoretisches Risiko, sondern einer der häufigsten Wege, auf denen Firmendaten unbemerkt aus dem Unternehmen wandern.

Grundlage für eine saubere Ausmusterung

Bleibt der dritte handfeste Nutzen, das ordentliche Ende eines Geräts. Wenn ein Laptop, ein Smartphone oder eine Festplatte ausgemustert wird, stellt sich immer dieselbe Frage: Was passiert mit den Daten darauf? Werden sie zuverlässig gelöscht, oder landet das Gerät mit sensiblen Informationen im Elektroschrott oder beim Gebrauchtverkauf?

Ein Asset-Management sorgt dafür, dass kein Gerät durchrutscht. Weil jedes Gerät im Verzeichnis steht, gibt es zu jedem auch einen definierten Abschluss: Datenlöschung, Rückgabe der Lizenz, Entsorgung nach Vorschrift. Das ist nicht nur eine Frage der Ordnung, sondern auch des Datenschutzes. Personenbezogene Daten müssen nach den geltenden Regeln geschützt und am Ende sicher gelöscht werden, und das gelingt nur, wenn du überhaupt weißt, auf welchen Geräten sie liegen. So wird aus einer lästigen Pflicht am Lebensende eines Geräts ein nachvollziehbarer, sauberer Ablauf.

Wie viel Aufwand braucht dein Unternehmen wirklich?

Ehrlich eingeordnet: nicht immer braucht es ein teures Tool

An dieser Stelle ist eine ehrliche Einordnung wichtig, denn beim Stichwort Asset-Management denken viele sofort an teure Spezialsoftware. Für ein kleines Unternehmen mit einer überschaubaren Zahl an Geräten ist das oft gar nicht nötig. Entscheidend ist nicht das Werkzeug, sondern die Disziplin, mit der du es pflegst.

Die ISO-Norm selbst betont, dass sich das IT-Asset-Management an Unternehmen jeder Größe richtet und sich in Umfang und Tiefe anpassen lässt.¹ Übersetzt heißt das: Ein gut gepflegtes, konsequent aktuell gehaltenes Verzeichnis kann für ein kleines KMU völlig ausreichen. Wichtig ist, dass es tatsächlich gelebt wird. Ein gepflegtes einfaches System schlägt jedes teure Werkzeug, das nach drei Monaten niemand mehr anfasst.

Mit wachsender Größe verschiebt sich die Rechnung. Ab einer bestimmten Zahl von Geräten und Mitarbeitern wird das manuelle Pflegen mühsam und fehleranfällig. Dann können Werkzeuge sinnvoll werden, die Geräte automatisch erkennen und den Bestand regelmäßig aktualisieren. Die CIS-Kontrollen empfehlen für größere Umgebungen genau solche automatischen Verfahren, mit denen das Inventar regelmäßig abgeglichen wird.² Der richtige Zeitpunkt für den Umstieg hängt von deinem Unternehmen ab, nicht von einer festen Regel.

Womit fängst du am besten an?

Wenn du bei null startest, musst du das Rad nicht neu erfinden. Am Anfang steht immer die Bestandsaufnahme: einmal wirklich alles erfassen, was an IT im Haus ist. Geräte, Software, Lizenzen, Zugänge. Das ist die mühsamste, aber auch wichtigste Etappe, weil hier die blinden Flecken ans Licht kommen.

Danach geht es um die Pflege. Lege fest, wer für die Aktualisierung zuständig ist und bei welchen Anlässen das Verzeichnis angefasst wird. Neuanschaffung, Mitarbeiterwechsel, Reparatur, Ausmusterung. Wenn diese Anlässe klar geregelt sind, hält sich das Verzeichnis fast von selbst aktuell, weil es Teil der normalen Abläufe wird. Genau darum geht es dem BSI, wenn es einen ordnungsgemäßen und systematischen IT-Betrieb fordert.⁴ Nicht um einmalige Kraftakte, sondern um verlässliche Routine.

Und schließlich: Nutze die Daten, die du dabei sammelst. Ein Verzeichnis, in das niemand hineinschaut, ist verschenkte Mühe. Schau regelmäßig hinein, wenn du über neue Anschaffungen entscheidest, wenn du Lizenzen verlängerst oder wenn du wissen willst, welche Geräte demnächst ans Ende ihres Lebenszyklus kommen. So wird aus einer Pflichtübung ein echtes Steuerungsinstrument für deine IT-Kosten und deine Sicherheit.

Wann sorgst du endlich für den richtigen Überblick?

Warum sich das gerade für KMU lohnt

IT-Asset-Management klingt nach einem Thema für große Unternehmen mit eigener IT-Abteilung. In Wahrheit ist es für ein KMU fast noch wichtiger, denn hier fehlt oft genau die Person, die den Überblick von Berufs wegen behält. Ein vollständiges, gepflegtes Verzeichnis deiner Geräte, Software und Lizenzen ist die Grundlage, auf der vieles andere aufbaut. Kostenkontrolle, weil du keine ungenutzten Lizenzen mehr bezahlst und Nachforderungen vermeidest. Sicherheit, weil du nur schützen kannst, was du kennst. Und geordnete Abläufe, wenn Mitarbeiter kommen, gehen oder Geräte ausgetauscht werden.

Klein anfangen reicht

Die anerkannten Standards, von der internationalen Norm ISO/IEC 19770 über den BSI-Grundschutz bis zu den CIS-Kontrollen, sind sich in einem Punkt einig: Das Inventar steht am Anfang. Nicht als teure Pflichtübung, sondern als der eine Schritt, der sich fast immer auszahlt. Und das Beste daran: Du kannst klein anfangen. Ein gut gepflegtes System und ein bisschen Disziplin bringen dich schon sehr weit.

---

Häufige Fragen zum Thema

Was ist IT-Asset-Management?

IT-Asset-Management ist die systematische Erfassung und Verwaltung aller IT-Werte in deinem Unternehmen, also Geräte, Software und Lizenzen. Es begleitet jedes Gerät über seinen gesamten Lebenszyklus, von der Beschaffung über den Betrieb bis zur Ausmusterung. So weißt du jederzeit, was du besitzt, wo es steht und wer es nutzt. Ein gutes IT-Asset-Management schafft damit die Grundlage, um deine IT überhaupt steuern zu können.

Reicht dafür nicht eine Excel-Liste?

Für den Anfang kann eine Liste genügen, aber sie ist nur so gut, wie sie gepflegt wird, und veraltet schnell. Sobald mehrere Personen Geräte kaufen, tauschen oder ausmustern, verliert eine statische Tabelle den Anschluss an die Realität. Entscheidend ist nicht das Werkzeug, sondern dass die Daten aktuell und verlässlich sind. Ein gutes IT-Asset-Management sorgt für einen Prozess, der die Übersicht dauerhaft aktuell hält.

Warum ist ein Inventar die Grundlage der IT-Sicherheit?

Du kannst nur schützen, was du kennst. Ein Gerät, das in keinem Verzeichnis steht, bekommt keine Updates, wird bei der Absicherung übersehen und fällt niemandem auf, wenn es verschwindet. Anerkannte Sicherheitsstandards setzen ein vollständiges Inventar deshalb ganz an den Anfang. Ein gutes IT-Asset-Management ist damit nicht nur eine Frage der Ordnung, sondern die Basis jeder IT-Sicherheit.

Was bringt IT-Asset-Management bei den Kosten?

Ein klarer Überblick verhindert, dass du für Software zahlst, die niemand nutzt, oder umgekehrt zu wenige Lizenzen hast und rechtlich angreifbar wirst. Du erkennst ungenutzte Abos, doppelte Anschaffungen und Geräte, die längst hätten ersetzt werden sollen. Das macht deine IT-Ausgaben planbar statt zufällig. Ein gutes IT-Asset-Management zahlt sich deshalb oft schon über die eingesparten Lizenzkosten aus.

Was passiert ohne Asset-Management, wenn ein Mitarbeiter geht?

Ohne Verzeichnis ist unklar, welche Geräte jemand hatte, und genau so verschwinden Laptops oder Handys nach einem Austritt einfach. Damit bleibt womöglich ein Gerät mit Firmendaten im Umlauf, ohne dass es jemand bemerkt. Ein sauberes Inventar zeigt dagegen genau, was zurückkommen und gelöscht werden muss. Ein gutes IT-Asset-Management macht das Offboarding damit lückenlos und nachvollziehbar.

Was hat Lizenzmanagement damit zu tun?

Software und Lizenzen sind ein zentraler Teil deiner IT-Werte und werden im Asset-Management mitverwaltet. So siehst du, welche Lizenzen du besitzt, welche genutzt werden und wann Verträge auslaufen. Das schützt dich vor Unterlizenzierung mit rechtlichen Folgen und vor Überlizenzierung, die unnötig Geld kostet. Ein gutes IT-Asset-Management behandelt Software deshalb genauso konsequent wie Hardware.

Braucht ein kleines KMU ein teures Tool?

Nein. Für kleine Betriebe reicht oft ein gut gepflegtes, einfaches System, solange die Daten aktuell und vollständig sind. Ein teures Werkzeug lohnt sich erst, wenn die Zahl der Geräte und die Komplexität wachsen. Wichtiger als die Software ist ein klarer Prozess, der festlegt, wer was wann einträgt. Ein gutes IT-Asset-Management passt sich der Größe deines Unternehmens an, statt es zu überfordern.

Wie fange ich mit IT-Asset-Management an?

Am Anfang steht eine einmalige Bestandsaufnahme: Welche Geräte, welche Software und welche Lizenzen sind überhaupt vorhanden? Danach legst du fest, wer Änderungen einträgt und in welchem Rhythmus die Daten geprüft werden. So bleibt aus der einmaligen Aufnahme ein lebendiges Verzeichnis. Ein gutes IT-Asset-Management beginnt also klein und wächst mit einem festen Ablauf mit.

Welche Standards gibt es dafür?

International beschreibt die Norm ISO/IEC 19770 die Anforderungen an ein IT-Asset-Management-System. Sicherheitsframeworks wie die CIS Controls stellen ein vollständiges Inventar von Geräten und Software an den Anfang, und auch der IT-Grundschutz des BSI setzt auf eine saubere Erfassung. Diese Standards zeigen, dass Asset-Management kein Selbstzweck ist, sondern anerkannte Grundlage guter IT. Ein gutes IT-Asset-Management orientiert sich an diesen bewährten Vorgaben.

Wie hängt Asset-Management mit dem Onboarding zusammen?

Beides greift ineinander: Wer neue Mitarbeiter sauber ausstattet, muss wissen, welche Geräte verfügbar sind, und wer sie beim Austritt einsammelt, braucht ein aktuelles Verzeichnis. Das Asset-Management liefert für beide Prozesse die verlässliche Datengrundlage. So entsteht eine durchgehende Linie vom ersten bis zum letzten Arbeitstag. Ein gutes IT-Asset-Management ist damit auch das Rückgrat eines reibungslosen On- und Offboardings, wie es IT-Deol für KMU in Köln und Bonn einrichtet.

---

Quellen

1 ISO (International Organization for Standardization): ISO/IEC 19770-1:2017 – Information technology — IT asset management — Part 1: IT asset management systems — Requirements. https://www.iso.org/standard/68531.html (abgerufen am 06.07.2026)

2 CIS (Center for Internet Security): CIS Critical Security Control 1: Inventory and Control of Enterprise Assets. https://www.cisecurity.org/controls/inventory-and-control-of-enterprise-assets (abgerufen am 06.07.2026)

3 CIS (Center for Internet Security): CIS Critical Security Control 2: Inventory and Control of Software Assets. https://www.cisecurity.org/controls/inventory-and-control-of-software-assets (abgerufen am 06.07.2026)

4 BSI (Bundesamt für Sicherheit in der Informationstechnik): IT-Grundschutz-Kompendium, Baustein OPS.1.1.1 Allgemeiner IT-Betrieb (Edition 2023). https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-Kompendium_Einzel_PDFs_2023/04_OPS_Betrieb/OPS_1_1_1_Allgemeiner_IT_Betrieb_Edition_2023.pdf (abgerufen am 06.07.2026)

Montagmorgen, halb neun. Der neue Azubi steht im Empfang, motiviert und pünktlich. Und dann? Kein Laptop, kein E-Mail-Konto, keine Ahnung, wo er sich anmelden soll. Die Kollegin, die ihn einarbeiten will, sitzt selbst noch auf dem Ticket beim IT-Dienstleister und wartet auf ein Passwort. Der erste Eindruck ist ruiniert, bevor der junge Mensch überhaupt seinen Schreibtisch gesehen hat.

Solche Szenen kennst du wahrscheinlich. IT-Onboarding klingt nach einer Kleinigkeit, die man nebenbei erledigt. In Wahrheit entscheidet dieser Prozess darüber, wie schnell jemand produktiv wird, wie sicher deine Firmendaten sind und ob du im Ernstfall nachweisen kannst, wer wann auf was zugreifen durfte. Gerade in kleinen und mittleren Unternehmen, wo niemand hauptberuflich nur die IT betreut, geht das gerne schief.

In diesem Artikel schauen wir uns an, was ein sauberes IT-Onboarding ausmacht: von der digitalen Identität über die Geräte bis zur Sicherheitseinweisung. Wir gehen dabei auf die Besonderheiten bei Azubis ein, die durch mehrere Abteilungen wandern. Und wir vergessen die Kehrseite nicht, das Offboarding, wenn jemand das Unternehmen wieder verlässt. Alles möglichst konkret und ohne Fachchinesisch.

Warum ein strukturiertes IT-Onboarding kein Luxus ist

Viele Geschäftsführer denken beim Onboarding zuerst an Willkommensmappe und Kaffeeküche. Die IT läuft irgendwie mit. Genau das ist das Problem. Wenn jeder neue Zugang improvisiert wird, entstehen über die Jahre Wildwuchs, Sicherheitslücken und ein Berg an Aufwand, den keiner mehr überblickt.

Sicherheit fängt bei den Zugriffsrechten an

Das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, hat für dieses Thema einen eigenen Baustein in seinem IT-Grundschutz-Kompendium. Er heißt ORP.4 „Identitäts- und Berechtigungsmanagement“. Das Ziel formuliert das BSI klar: Benutzer sollen ausschließlich auf die IT-Ressourcen und Informationen zugreifen können, die sie für ihre Arbeit benötigen und für die sie autorisiert sind. Allen anderen wird der Zugriff verwehrt.¹

Das klingt selbstverständlich, ist es in der Praxis aber selten. Ein neuer Sachbearbeiter bekommt schnell mal Zugriff auf ein ganzes Laufwerk, weil das einfacher ist, als genau zu überlegen, was er wirklich braucht. Der Azubi wird kurzerhand in die gleiche Berechtigungsgruppe gesteckt wie ein erfahrener Kollege. Und schon kann jemand Gehaltslisten oder Kundenverträge einsehen, der damit nichts zu tun hat.

Wenn dann ein Konto gekapert wird, etwa durch eine Phishing-Mail, hat der Angreifer genau diese Rechte. Je mehr jemand darf, desto größer der Schaden. Deshalb ist die Frage, wer worauf zugreifen darf, keine Formalie, sondern der Kern deiner IT-Sicherheit.

Nachvollziehbarkeit spart dir im Ernstfall den Kopf

Der zweite Grund ist Dokumentation. Wenn du strukturiert vorgehst, weißt du jederzeit, welche Person welche Zugänge und welches Gerät hat. Das brauchst du nicht nur, wenn etwas schiefgeht, sondern auch bei einer Prüfung, bei Fragen des Datenschutzes oder wenn ein Mitarbeiter das Unternehmen verlässt.

Ohne diese Übersicht wird jedes Offboarding zum Ratespiel. War da noch ein VPN-Zugang? Hatte die Person Zugriff auf das Buchhaltungsprogramm? Ein sauberes Onboarding legt die Grundlage dafür, dass du diese Fragen später in Minuten statt in Tagen beantworten kannst.

IT-Onboarding – Die digitale Identität als Fundament

Bevor jemand auch nur eine E-Mail schreiben kann, braucht er eine digitale Identität im Unternehmen. Das ist mehr als nur ein Login. Es ist der Ausweis, mit dem sich die Person gegenüber allen Systemen zu erkennen gibt.

Benutzerkonto anlegen, aber richtig

Ein Benutzerkonto ist der zentrale Ankerpunkt. Über dieses Konto meldet sich der neue Kollege am Rechner an, ruft E-Mails ab, öffnet Dateien und nutzt Programme. In vielen KMU läuft das heute über Microsoft 365 und die dahinterliegende Verwaltung, Microsoft Entra ID.

Wichtig ist, dass ein Konto pro Person existiert und niemand sich hinter einem Sammel-Login versteckt. Nur so lässt sich jede Aktion einer Person zuordnen. Das BSI betont in ORP.4 ausdrücklich, dass Benutzerkennungen und Berechtigungen nur nach dem tatsächlichen Bedarf und der Notwendigkeit zur Aufgabenerfüllung vergeben werden sollen. Das ist das Prinzip der minimalen Rechtevergabe, oft auch „so wenig wie möglich, so viel wie nötig“ genannt.¹ Wie sich das im Alltag konkret umsetzen lässt, beschreibt das BSI in eigenen Umsetzungshinweisen zum Baustein ORP.4.⁵

Rollen statt Einzelfallentscheidungen

Wenn du bei jedem neuen Mitarbeiter von Hand überlegst, welche Rechte er bekommt, machst du dir das Leben unnötig schwer und produzierst Fehler. Besser ist ein Rollenkonzept. Du legst einmal fest, was eine „Sachbearbeitung Vertrieb“ oder eine „Buchhaltung“ typischerweise braucht, und weist der Person diese Rolle zu.

Der neue Kollege erbt dann automatisch genau die Zugriffe, die zu seiner Aufgabe gehören. Das ist schneller, weniger fehleranfällig und leichter zu dokumentieren. Ändert sich die Aufgabe, wechselst du die Rolle, statt einzelne Rechte mühsam zusammenzusuchen. Genau dieser Ansatz macht später auch das Offboarding einfach, weil du beim Entzug der Rolle alles auf einmal wegnimmst.

Denk auch daran, dass ein normaler Mitarbeiter kein Administrator sein muss. Wer täglich mit Standardrechten arbeitet, kann versehentlich weniger kaputtmachen und bietet Angreifern weniger Angriffsfläche. Administratorrechte gehören nur an die Stellen, die sie wirklich brauchen.

Geräte bereitstellen ohne Chaos

Sobald die Identität steht, braucht der neue Mensch ein Gerät. Und hier trennt sich die improvisierte IT von der durchdachten. Ein Laptop, den jemand am ersten Tag noch schnell von Hand einrichtet, kostet Zeit, ist selten einheitlich konfiguriert und hat oft nicht alle Sicherheitseinstellungen, die er haben sollte.

Automatische Einrichtung mit Windows Autopilot

Microsoft bietet für Windows-Geräte eine Lösung, die genau dieses Problem angeht: Windows Autopilot. Das ist laut Microsoft eine Sammlung von Technologien, um neue Geräte einzurichten und vorzukonfigurieren, damit sie einsatzbereit sind.² Der Clou: Der Laptop wird nicht mehr mühsam neu aufgesetzt. Stattdessen wird die vom Hersteller vorinstallierte Windows-Version in einen geschäftsbereiten Zustand überführt, mit den Einstellungen, Richtlinien und Programmen deiner Firma.²

Aus Sicht des neuen Mitarbeiters ist das angenehm einfach. Microsoft beschreibt, dass er im Grunde nur das Gerät mit einem Netzwerk verbinden und sich mit seinen Zugangsdaten anmelden muss. Alles Weitere läuft automatisch ab.² Für dich als Geschäftsführer heißt das: weniger Zeit für die IT, ein einheitlicher Standard und ein Azubi, der am ersten Tag ein fertig eingerichtetes Notebook auf dem Tisch hat statt eine Baustelle.

Es gibt auch eine neuere Variante, die Windows Autopilot Gerätevorbereitung. Praktisch nebenbei sorgt sie dafür, dass Nutzer standardmäßig als normale Anwender ohne Administratorrechte angelegt werden.³ Das passt genau zum Gedanken der minimalen Rechte, den wir eben besprochen haben.

Geräte verwalten mit Microsoft Intune

Ein Gerät einzurichten ist das eine. Es dauerhaft im Griff zu behalten das andere. Dafür gibt es Microsoft Intune, ein Dienst zur Geräteverwaltung. Beim sogenannten Enrollment, also der Aufnahme des Geräts in die Verwaltung, wird laut Microsoft ein Zertifikat installiert, über das Intune anfängt, die Richtlinien deiner Organisation durchzusetzen.⁴

Konkret kannst du damit zum Beispiel Konfigurationsrichtlinien verteilen, die arbeitsgerechte Einstellungen auf den Geräten vornehmen, oder Compliance-Regeln festlegen, die ein Gerät erfüllen muss.⁴ Microsoft empfiehlt außerdem, mit einer Basislinie an Pflichtrichtlinien für alle zu starten und diese je nach Gruppe und Anwendungsfall zu ergänzen.⁴ Das ist ein guter Rat gerade für KMU: erst ein solides Fundament für alle, dann die Feinheiten.

Intune verwaltet nicht nur Windows-Rechner, sondern auch Smartphones und Tablets, egal ob mit Android, iOS oder anderen Systemen.⁴ Wenn dein Team also Diensthandys nutzt, gehören die genauso in den Onboarding-Prozess wie der Laptop.

Sicherheit und Einweisung gehören zusammen

Ein sauber eingerichtetes Konto und ein fertiges Gerät sind die halbe Miete. Die andere Hälfte ist der Mensch davor. Denn die beste Technik nützt wenig, wenn der neue Kollege sein Passwort auf einen Zettel schreibt oder auf die erste Phishing-Mail hereinfällt.

Mehr als ein Passwort: Multi-Faktor-Authentifizierung

Ein Passwort allein ist heute kein ausreichender Schutz mehr. Zu leicht wird es erraten, abgefischt oder aus einem geleakten Datensatz wiederverwendet. Deshalb gehört zum Onboarding, dass für die wichtigen Zugänge eine zweite Bestätigung dazukommt, die Multi-Faktor-Authentifizierung. Das ist zum Beispiel eine Bestätigung per App auf dem Smartphone zusätzlich zum Passwort.

Der Aufwand ist gering, der Sicherheitsgewinn hoch. Ein gestohlenes Passwort allein reicht dann nämlich nicht mehr aus, um an deine Daten zu kommen. Richte das am besten gleich am ersten Tag ein, solange der neue Mitarbeiter ohnehin seine Konten einrichtet.

Auch beim IT-Onboarding – Security-Awareness von Anfang an

Der erste Arbeitstag ist der beste Moment, um Grundregeln zu vermitteln. Woran erkenne ich eine verdächtige E-Mail? Was mache ich, wenn ich versehentlich auf einen Link geklickt habe? Wo darf ich Firmendaten speichern und wo nicht? Diese Einweisung muss nicht stundenlang sein. Wichtig ist, dass sie stattfindet und dass der neue Kollege weiß, an wen er sich bei Unsicherheit wenden kann.

Gerade bei Azubis lohnt sich das doppelt. Sie bringen oft eine große Selbstverständlichkeit im Umgang mit digitalen Geräten mit, aber nicht unbedingt das Gespür dafür, wo im beruflichen Umfeld die Gefahren lauern. Eine kurze, verständliche Einführung wirkt hier Wunder und schützt dein Unternehmen vor teuren Fehlern.

Die Besonderheit bei Azubis

Auszubildende sind ein Sonderfall, der in vielen Onboarding-Konzepten untergeht. Sie starten meist mit wenig Vorerfahrung und durchlaufen im Laufe ihrer Ausbildung mehrere Abteilungen. Genau das macht ihre IT-Ausstattung anspruchsvoller, als man auf den ersten Blick denkt.

Rechte, die mitwandern

Ein Azubi im kaufmännischen Bereich sitzt vielleicht die ersten drei Monate im Einkauf, danach im Vertrieb, dann in der Buchhaltung. Bei jedem Wechsel ändern sich die Aufgaben und damit die benötigten Zugriffe. Wenn du hier nicht aufpasst, sammelt der Azubi mit jedem Stationswechsel neue Rechte an, ohne dass die alten wieder verschwinden. Am Ende der Ausbildung hat er dann Zugriff auf halb das Unternehmen.

Das BSI adressiert genau diesen Punkt. Bei personellen Veränderungen sollen nicht mehr benötigte Berechtigungen entfernt werden.¹ Für den Azubi bedeutet das: Beim Wechsel von einer Abteilung in die nächste bekommt er die neuen Rechte, und die alten werden ihm wieder entzogen. Das Rollenkonzept, das wir vorhin besprochen haben, macht das übrigens deutlich leichter. Du tauschst einfach die Rolle „Azubi Einkauf“ gegen „Azubi Vertrieb“, statt einzelne Berechtigungen zu jonglieren.

Befristete und rotationsbedingte Zugänge

Weil Azubis rotieren und die Ausbildung ohnehin befristet ist, bietet es sich an, Zugänge von vornherein mit einem Ablaufdatum oder einer Überprüfung zu versehen. So stellst du sicher, dass nichts vergessen wird. Ein Zugang, der nur für die aktuelle Station gilt, verschwindet automatisch, wenn die Zeit dort vorbei ist.

Das reduziert nicht nur das Sicherheitsrisiko, sondern auch deinen Verwaltungsaufwand. Statt regelmäßig manuell aufzuräumen, arbeitest du mit Zugängen, die sich selbst begrenzen. Am Ende der Ausbildung, wenn der oder die Auszubildende übernommen wird oder das Unternehmen verlässt, hast du eine klare Ausgangslage und musst nicht mühsam rekonstruieren, was über die Jahre alles dazugekommen ist.

Offboarding: der oft vergessene Zwilling

Über das Onboarding wird viel geredet. Das Offboarding, also der geordnete Rückzug der Zugänge und Geräte beim Ausscheiden, fällt dagegen häufig hinten runter. Dabei ist es sicherheitstechnisch mindestens genauso wichtig. Ein Konto, das nach dem Weggang eines Mitarbeiters weiterlebt, ist eine offene Tür.

Rechte zuverlässig entziehen

Wenn jemand das Unternehmen verlässt, müssen seine Zugänge weg. Nicht irgendwann, sondern zum richtigen Zeitpunkt. Das gilt für das E-Mail-Konto genauso wie für den Zugriff auf Fachanwendungen, das VPN oder Cloud-Dienste. Das BSI ist an dieser Stelle eindeutig: Nicht mehr benötigte Benutzerkennungen und Berechtigungen sollen bei personellen Veränderungen entfernt werden.¹

Hier zahlt sich alles aus, was du beim Onboarding richtig gemacht hast. Wenn du weißt, welche Rolle die Person hatte und welche Rechte daran hingen, kannst du diese sauber und vollständig entziehen. Ohne diese Vorarbeit tastest du dich im Nachhinein durch alle Systeme und hoffst, nichts zu übersehen.

Geräte einsammeln und zurücksetzen

Neben den Rechten geht es um die Geräte. Ein Laptop oder Diensthandy muss zurück und darf keine Firmendaten mehr enthalten, bevor es weitergegeben wird. Über eine Geräteverwaltung wie Intune lässt sich ein Gerät aus der Ferne bereinigen, was das Zurücksetzen deutlich erleichtert und dafür sorgt, dass keine sensiblen Daten in falsche Hände geraten.

Auch hier gilt: Wer beim Onboarding weiß, welches Gerät zu welcher Person gehört, hat beim Offboarding keine Mühe. Die Verbindung von Person, Konto und Gerät, die du am Anfang sauber aufgebaut hast, trägt bis zum letzten Arbeitstag.

Struktur beim IT-Onboarding zahlt sich aus

Ein gutes IT-Onboarding ist kein Selbstzweck und auch kein Thema nur für Großkonzerne. Es sorgt dafür, dass neue Mitarbeiter und Azubis schnell arbeiten können, dass deine Daten geschützt sind und dass du jederzeit den Überblick behältst, wer worauf zugreifen darf.

Die Bausteine im Überblick

Die Bausteine dafür sind überschaubar: eine saubere digitale Identität, ein durchdachtes Rollenkonzept nach dem Prinzip der minimalen Rechte, automatisch eingerichtete und verwaltete Geräte, Multi-Faktor-Authentifizierung und eine kurze, ehrliche Sicherheitseinweisung. Bei Azubis kommt hinzu, dass die Rechte mit ihnen durch die Abteilungen wandern und sich nicht anhäufen. Und am Ende steht immer das Offboarding, das genauso zuverlässig funktionieren muss wie der Empfang.

Einmal aufsetzen, dauerhaft profitieren

Wenn du diese Punkte einmal sauber aufsetzt, arbeitet die Struktur danach für dich. Jeder neue Mensch im Team ist schneller startklar, und du sparst dir das Improvisieren am Montagmorgen. Der Azubi, der eingangs frustriert im Empfang stand, hätte mit einem solchen Prozess einfach seinen fertig eingerichteten Laptop bekommen und losgelegt.

---

Häufige Fragen zum Thema

Was gehört zu einem IT-Onboarding neuer Mitarbeiter?

Zu einem IT-Onboarding gehört mehr als ein E-Mail-Konto: ein eigenes Benutzerkonto, passende Zugriffsrechte, ein eingerichtetes Gerät, die Absicherung mit einer zweiten Anmeldung und eine kurze Einweisung in die wichtigsten Regeln. All das sollte am ersten Arbeitstag bereitstehen, nicht erst nach Tagen. Wenn diese Schritte einem festen Ablauf folgen, wird aus einem hektischen Start ein reibungsloser. Ein strukturiertes IT-Onboarding sorgt dafür, dass niemand mehr improvisieren muss.

Warum reicht es nicht, einfach ein E-Mail-Konto anzulegen?

Ein E-Mail-Konto ist nur ein kleiner Teil dessen, was ein neuer Mitarbeiter braucht, und sagt nichts darüber aus, worauf er zugreifen darf. Ohne klare Rechtevergabe bekommt er entweder zu wenig, dann kann er nicht arbeiten, oder zu viel, dann entsteht ein Sicherheitsrisiko. Auch das Gerät, die Absicherung und die Einweisung fehlen dann noch. Ein strukturiertes IT-Onboarding denkt all diese Punkte von Anfang an zusammen.

Was ist das Prinzip der minimalen Rechtevergabe?

Das Prinzip besagt, dass jede Person nur die Zugriffe erhält, die sie für ihre Aufgabe wirklich braucht, und keine darüber hinaus. Das BSI formuliert in seinem Baustein ORP.4 genau dieses Ziel: Zugriff nur dort, wo er nötig und autorisiert ist. So bleibt der Schaden klein, falls ein Konto einmal übernommen wird. Ein strukturiertes IT-Onboarding setzt dieses Prinzip über klare Rollen statt einzeln vergebener Rechte um.

Wie richte ich neue Geräte schnell ein?

Für Windows-Geräte gibt es Windows Autopilot, das neue Geräte vorkonfiguriert einsatzbereit macht. Der Mitarbeiter verbindet das Gerät mit dem Netzwerk, meldet sich mit seinen Zugangsdaten an, und der Rest läuft automatisch ab. Deine IT muss kein Gerät mehr mühsam von Hand aufsetzen, und der Standard ist überall gleich. In einem strukturierten IT-Onboarding sorgt das dafür, dass am ersten Tag ein fertiges Notebook auf dem Tisch steht.

Was ist bei Azubis anders?

Auszubildende starten meist mit wenig Vorerfahrung und durchlaufen im Lauf ihrer Ausbildung mehrere Abteilungen. Ihre Zugriffsrechte müssen deshalb mitwandern: Beim Wechsel bekommen sie die neuen Rechte, und die alten werden wieder entzogen. Mit einem Rollenkonzept tauschst du einfach die Rolle, statt einzelne Berechtigungen zu jonglieren. Ein strukturiertes IT-Onboarding macht diese Rotation planbar, statt sie jedes Mal neu zu organisieren.

Warum ist das Offboarding genauso wichtig?

Wenn jemand das Unternehmen verlässt, müssen seine Zugänge zuverlässig und zum richtigen Zeitpunkt entfernt werden, vom E-Mail-Konto bis zum VPN. Das BSI ist hier eindeutig: Nicht mehr benötigte Kennungen und Berechtigungen sollen bei personellen Veränderungen entfernt werden. Vergessene Konten sind ein beliebtes Einfallstor, weil sie niemand mehr im Blick hat. Ein strukturiertes IT-Onboarding denkt das Offboarding deshalb von Anfang an mit.

Wie verwalte ich Diensthandys und Tablets?

Auch mobile Geräte gehören in den Onboarding-Prozess, nicht nur der Laptop. Mit einem Verwaltungsdienst wie Microsoft Intune lassen sich Windows-Rechner, Smartphones und Tablets über eine Oberfläche einrichten und absichern. So gelten überall dieselben Sicherheitsregeln, egal ob Android oder iOS. Ein strukturiertes IT-Onboarding bezieht Diensthandys von Beginn an mit ein, statt sie später nachzupflegen.

Was hat Sicherheit mit Onboarding zu tun?

Sehr viel, denn der erste Arbeitstag legt fest, wie sicher jemand von Anfang an arbeitet. Eine zweite Anmeldestufe, minimale Rechte und eine kurze Einweisung in typische Gefahren wie Phishing gehören dazu. Gerade Azubis bringen oft viel digitale Selbstverständlichkeit mit, aber nicht unbedingt das Gespür für berufliche Risiken. Ein strukturiertes IT-Onboarding macht Sicherheit deshalb zum festen Bestandteil des Starts, nicht zum Nachgedanken.

Wie viel Zeit spart ein strukturiertes Onboarding?

Statt bei jedem neuen Mitarbeiter von vorn zu improvisieren, folgst du einem festen Ablauf, der sich wiederholen lässt. Geräte richten sich weitgehend automatisch ein, Rechte werden über Rollen vergeben, und nichts wird vergessen. Das spart deiner IT bei jedem Start spürbar Zeit und verhindert teure Fehler. Ein strukturiertes IT-Onboarding rechnet sich deshalb schon nach wenigen Einstellungen.

Brauche ich dafür einen externen IT-Partner?

Nicht zwingend, aber gerade kleinere Betriebe ohne eigene IT-Abteilung profitieren von einem Partner, der den Prozess einmal sauber aufsetzt. Danach läuft vieles automatisch, und du hast einen Ansprechpartner, wenn es hakt. Wichtig ist, dass Rollen, Geräte und Sicherheit von Anfang an zusammenpassen. IT-Deol richtet ein strukturiertes IT-Onboarding für KMU in Köln und Bonn ein und bleibt danach als Ansprechpartner erreichbar.

Quellen

1 Bundesamt für Sicherheit in der Informationstechnik (BSI): ORP.4 Identitäts- und Berechtigungsmanagement (Edition 2023). https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-Kompendium_Einzel_PDFs_2023/02_ORP_Organisation_und_Personal/ORP_4_Identitaets_und_Berechtigungsmanagement_Editon_2023.html (Abgerufen am 06.07.2026)

2 Microsoft Learn: Overview of Windows Autopilot. https://learn.microsoft.com/en-us/autopilot/overview (Abgerufen am 06.07.2026)

3 Microsoft Learn: Overview of Windows Autopilot device preparation. https://learn.microsoft.com/en-us/autopilot/device-preparation/overview (Abgerufen am 06.07.2026)

4 Microsoft Learn: Device enrollment guide for Microsoft Intune. https://learn.microsoft.com/en-us/intune/device-enrollment/guide (Abgerufen am 06.07.2026)

5 Bundesamt für Sicherheit in der Informationstechnik (BSI): Umsetzungshinweise zum Baustein ORP.4 Identitäts- und Berechtigungsmanagement. https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Umsetzungshinweise/Umsetzungshinweise_2022/Umsetzungshinweis_zum_Baustein_ORP_4_Identitaets_und_Berechtigungsmanagement.html (Abgerufen am 06.07.2026)

Serverless klingt erst mal nach einem Widerspruch. Ohne Server soll Software laufen? Der Begriff führt tatsächlich in die Irre, und das gibt sogar Google in seiner eigenen Dokumentation zu: Serverless bedeutet nicht, dass es keine Server mehr gibt. Es bedeutet, dass sich der Cloud-Anbieter um sie kümmert und du dich nicht mehr darum kümmern musst.¹

Für dich als Geschäftsführer eines kleinen oder mittleren Unternehmens ist genau das der spannende Punkt. Du willst keine Server im Keller stehen haben, die Strom fressen, gewartet werden müssen und irgendwann ausfallen. Du willst, dass deine Anwendungen funktionieren, dass die Kosten planbar bleiben und dass niemand nachts um drei aufsteht, weil eine Festplatte den Geist aufgegeben hat. Serverless verspricht in diese Richtung einiges. Ob es hält, was der Begriff verspricht, und wo die Grenzen liegen, schauen wir uns in diesem Artikel an. Ohne Technik-Kauderwelsch, dafür mit den Fragen, die dich als Entscheider wirklich betreffen: Kosten, Aufwand, Sicherheit, Datenschutz.

Was Serverless Computing eigentlich ist

Bevor wir über Vor- und Nachteile reden, sollten wir klären, worüber wir überhaupt sprechen. Der Begriff wird nämlich gern verwendet, ohne dass klar wird, was dahintersteckt.

Server gibt es weiterhin, nur nicht bei dir

Serverless Computing ist ein Modell, bei dem der Cloud-Anbieter die komplette Infrastruktur bereitstellt, verwaltet und skaliert. Du gibst deinen Programmcode ab, und der Anbieter sorgt dafür, dass er läuft. Alles, was sonst dazugehört, fällt für dich weg: keine Server bereitstellen, keine Kapazitäten planen, keine Sicherheitsupdates einspielen, kein Patchen. AWS beschreibt das für seinen Dienst Lambda genau so: Der Dienst verwaltet die darunterliegende Infrastruktur, also Serverwartung, Bereitstellung von Kapazität, Skalierung und Patching, damit du dich auf deine Anwendungslogik konzentrieren kannst.²

Das ist der eigentliche Kern. Bei klassischen Servern, egal ob im eigenen Haus oder als gemietete virtuelle Maschine in der Cloud, trägst du oder dein IT-Dienstleister die Verantwortung dafür, dass die Maschine läuft, aktuell und sicher ist. Bei Serverless übernimmt das der Anbieter. Google vergleicht das mit dem Wasseranschluss: Du kannst einen eigenen Brunnen graben, die Wasserqualität testen und die gesamte Verrohrung selbst warten. Oder du schließt dich an die Wasserleitung der Stadt an, drehst den Hahn auf und bekommst so viel Wasser, wie du gerade brauchst. Am Monatsende zahlst du für die tatsächlich verbrauchte Menge.¹

Function-as-a-Service als häufigste Spielart

Wenn Fachleute von Serverless reden, meinen sie meist eine bestimmte Variante: Function-as-a-Service, kurz FaaS. Dabei zerlegst du deine Anwendung in einzelne kleine Funktionen, die jeweils eine Aufgabe erledigen. Eine Funktion nimmt zum Beispiel ein hochgeladenes Bild entgegen und erstellt daraus eine kleinere Vorschau. Eine andere prüft ein Kontaktformular und schreibt die Daten in eine Datenbank.

Google unterscheidet dabei zwischen zwei Grundtypen: FaaS für die Ausführung solcher Programmlogik und Backend-as-a-Service, bei dem ganze Bausteine wie Anmeldung, Datenbank oder Speicher als fertiger Dienst geliefert werden.¹ Wichtig für dich: FaaS ist streng genommen nur ein Teil des großen Ganzen. Serverless umfasst laut Google jeden Dienst, bei dem Serververwaltung, Konfiguration, Skalierung und Abrechnung vom Nutzer abstrahiert sind. Das kann auch eine Datenbank oder ein Speicherdienst sein. Für die Praxis in einem KMU reicht es zu wissen: Es geht um kleine, klar umrissene Aufgaben, die bei Bedarf ausgeführt werden, und um Infrastruktur, um die du dich nicht mehr selbst kümmerst.

So funktioniert die Abrechnung nach Nutzung

Für Entscheider ist meist der Kostenpunkt der interessanteste. Denn Serverless ändert grundlegend, wie du für IT-Infrastruktur bezahlst. Und das kann sich spürbar auf deine Ausgaben auswirken.

Du zahlst nur, wenn Code läuft

Das prägende Merkmal von Serverless ist die Abrechnung nach tatsächlicher Nutzung. Google formuliert es so: Du zahlst nur für die exakte Menge an Ressourcen, die verwendet wird, und nicht für ungenutzte Kapazität.¹ AWS bestätigt das für Lambda mit dem Prinzip, dass du keine Vorabverpflichtungen eingehst und nur für die genutzten Ressourcen bezahlst.²

Der Unterschied zu einem klassischen Server ist erheblich. Einen Server mietest oder betreibst du rund um die Uhr, auch nachts, auch am Wochenende, auch wenn niemand die Anwendung nutzt. Du zahlst für die Bereitschaft, nicht für die Nutzung. Bei Serverless entstehen Kosten nur dann, wenn dein Code wirklich ausgeführt wird. Läuft nichts, zahlst du für die Rechenleistung nichts. Google spricht davon, dass du nicht für ungenutzte Kapazität belastet wirst und die Ressourcen nach der Ausführung automatisch wieder auf null herunterskalieren.¹

Wann sich das rechnet und wann nicht

Ehrlich bleiben ist hier wichtig, denn Pauschalversprechen führen in die Irre. Serverless ist nicht automatisch billiger. Es ist billiger für Anwendungen, die unregelmäßig oder schwankend genutzt werden. Denk an ein Formular auf deiner Website, das mal zehnmal am Tag und mal zweihundertmal ausgefüllt wird. Oder an eine nächtliche Auswertung, die einmal täglich für ein paar Minuten läuft. Für solche Fälle passt das Modell gut, weil du in den Leerlaufzeiten nichts bezahlst.

Läuft eine Anwendung dagegen konstant unter Volllast, rund um die Uhr, ohne Pausen, kann ein klassischer Server unter dem Strich günstiger sein. Microsoft trägt dem übrigens Rechnung, indem Azure für dauerhaft laufende oder besonders anspruchsvolle Anwendungen neben dem nutzungsbasierten Modell auch andere Betriebsvarianten anbietet, etwa mit permanent bereitgehaltenen Instanzen.³ Die Rechnung hängt also immer vom konkreten Nutzungsmuster ab. Genau deshalb lohnt sich vorab ein nüchterner Blick auf deine tatsächliche Auslastung.

Automatische Skalierung ohne dein Zutun

Neben den Kosten ist die Skalierung das zweite große Argument. Damit ist gemeint, wie eine Anwendung mit schwankender Last umgeht. Und hier spielt Serverless eine seiner größten Stärken aus.

Von null auf Spitzenlast und zurück

Klassische IT-Planung kennt ein Dilemma. Baust du deine Server für den Normalbetrieb aus, brechen sie bei Lastspitzen zusammen. Baust du sie für die Spitze aus, bezahlst du die meiste Zeit für Kapazität, die brachliegt. Serverless löst dieses Problem, indem der Anbieter automatisch mitwächst. AWS beschreibt für Lambda, dass jede Ausführung unabhängig läuft und horizontal skaliert, um die Nachfrage zu bedienen, wobei Lambda die Ausführungsumgebungen als Reaktion auf den Verkehr selbst erstellt und wieder abbaut.²

Google bringt es auf den Punkt: Serverless-Architekturen skalieren von sich aus nach oben und unten, und anders als beim automatischen Skalieren anderer Cloud-Modelle, das ein Feintuning von Regeln erfordert, geschieht das sofort und kann bis auf null herunterskalieren.¹ Für dich heißt das: Wenn morgen ein Beitrag über dein Unternehmen viral geht und plötzlich tausende Menschen deine Website besuchen, muss niemand hektisch Server nachbestellen. Das System fängt die Last ab. Und wenn der Ansturm vorbei ist, fährt es wieder herunter, ohne dass du dafür weiterzahlst.

Ereignisse als Auslöser

Serverless funktioniert ereignisgesteuert. Das bedeutet, deine Funktionen werden nicht dauerhaft ausgeführt, sondern durch ein bestimmtes Ereignis ausgelöst. Google beschreibt dieses Prinzip so, dass der Anbieter nur dann Ressourcen bereitstellt, wenn ein Ereignis deinen Code zur Ausführung anstößt.¹

Ein Ereignis kann vieles sein. Jemand ruft eine Schnittstelle auf, eine Datei wird hochgeladen, eine Nachricht landet in einer Warteschlange, oder ein Zeitplan löst zu einer festen Uhrzeit aus. AWS listet als Auslöser für Lambda unter anderem API-Aufrufe, das Ablegen von Dateien in einem Speicher und Nachrichtenwarteschlangen auf, mit Anbindung an über 200 weitere Dienste.² Azure nennt vergleichbare Szenarien, etwa Code auszuführen, wenn eine Datei hochgeladen wird, oder eine Aufgabe zu festen Zeitintervallen laufen zu lassen.³ Der Vorteil dieses Prinzips: Es läuft nichts im Hintergrund und verbraucht Ressourcen, solange nichts zu tun ist.

Typische Einsatzfälle im Mittelstand

Theorie ist gut, aber wo bringt Serverless einem KMU konkret etwas? Die Anbieter nennen in ihrer Dokumentation eine ganze Reihe von Beispielen, die sich gut auf mittelständische Betriebe übertragen lassen.

Web-Backends, APIs und Automatisierung

Ein häufiger Einsatzfall ist die Logik hinter einer Website oder einer App. AWS führt als Beispiel eine einfache Aufgabenlisten-Anwendung an, bei der registrierte Nutzer Einträge anlegen, ändern, ansehen und löschen. Die Geschäftslogik läuft dabei über Serverless-Funktionen, angebunden an eine Datenbank und einen Dienst für die Auslieferung der statischen Inhalte.² Für dich könnte das ein Kundenportal sein, ein Buchungssystem oder das Backend deiner mobilen App.

Auch Schnittstellen, sogenannte APIs, lassen sich so betreiben. Azure nennt als Szenario den Aufbau einer skalierbaren Web-API mit einer Reihe von Endpunkten für deine Anwendungen.³ Ein weiteres großes Feld ist die Automatisierung wiederkehrender Aufgaben. Google beschreibt etwa geplante und ereignisbasierte Aktionen wie die automatische Erstellung und Verteilung von Routineberichten, bei der ein Zeitplan täglich eine Funktion anstößt, die Daten aufbereitet und per E-Mail versendet.¹ Solche kleinen Helfer, die im Hintergrund lästige Handarbeit abnehmen, sind für viele Betriebe der einfachste Einstieg.

Datenverarbeitung und Verbindung von Systemen

Immer wieder geht es darum, Daten zu verarbeiten oder verschiedene Programme miteinander reden zu lassen. Google beschreibt als klassischen Anwendungsfall die Synchronisierung von Kontakten oder Leads zwischen verschiedenen Geschäftsanwendungen, etwa wenn Daten aus einem System automatisch in ein anderes übertragen werden.¹ Wer ein CRM und ein separates Marketing-Tool nutzt, kennt das Problem doppelter Pflege.

Auch die Verarbeitung von Dateien ist ein typisches Beispiel. AWS beschreibt einen Ablauf, bei dem hochgeladene Dokumente automatisch umgewandelt und weiterverarbeitet werden, sobald sie im Speicher ankommen.² Azure nennt außerdem die Verarbeitung von Datenströmen in Echtzeit und das automatische Bereinigen von Daten zu festen Zeiten.³ Das sind alles Aufgaben, die in vielen KMU heute noch von Hand oder mit fragilen Bastellösungen erledigt werden. Serverless kann sie zuverlässig und ohne eigenen Serverbetrieb übernehmen.

Wo Serverless nicht die richtige Wahl ist

So nützlich das Modell ist, es passt nicht überall. Ein seriöser Blick gehört dazu, sonst investierst du in etwas, das deine Anforderungen gar nicht abdeckt. Google benennt die Schwächen in seiner eigenen Dokumentation offen, und daran halten wir uns.

Grenzen bei Dauerbetrieb und Startverzögerung

Google weist ausdrücklich darauf hin, dass Serverless-Architekturen nicht für alle Anwendungen geeignet sind, insbesondere nicht für Anwendungen mit sehr langen Laufzeiten oder mit besonders niedrigen Latenzanforderungen.¹ Braucht ein Prozess also Stunden am Stück oder muss auf Millisekunden zuverlässig antworten, stößt das Modell an Grenzen.

Ein weiterer Punkt ist der sogenannte Kaltstart. Google erklärt, dass Serverless-Funktionen manchmal eine Verzögerung beim erstmaligen Aufruf erleben können, weil die Umgebung erst hochgefahren wird.¹ Wurde eine Funktion länger nicht genutzt, dauert der erste Aufruf minimal länger. Für die meisten KMU-Anwendungen ist das nicht spürbar. Bei zeitkritischen Anwendungen kann es aber stören. Microsoft bietet für solche Fälle wie erwähnt Betriebsvarianten mit dauerhaft bereitgehaltenen Instanzen an, die genau diese Verzögerung vermeiden.³ Auch die Ausführungsdauer ist begrenzt: AWS nennt für eine einzelne Ausführung einer Lambda-Funktion eine Obergrenze von 15 Minuten.²

Anbieterabhängigkeit im Blick behalten

Ein Thema, das du als Entscheider kennen solltest, ist die Anbieterabhängigkeit, im Fachjargon Vendor Lock-in. Google spricht das in seiner Nachteilsliste offen an: Das Migrieren von Serverless-Anwendungen zwischen Cloud-Anbietern kann aufwendig sein, weil sich die Schnittstellen und Konfigurationen unterscheiden.¹

Im Klartext heißt das: Baust du deine Anwendung tief auf die Serverless-Dienste eines Anbieters auf, ist ein späterer Wechsel zu einem anderen Anbieter nicht mal eben gemacht. Das muss kein Ausschlusskriterium sein, viele Unternehmen fahren jahrelang gut mit einem Anbieter. Aber es sollte eine bewusste Entscheidung sein und keine, in die du hineinrutschst. Ein weiterer von Google genannter Punkt ist die eingeschränkte Sicht auf die darunterliegende Technik, was die Fehlersuche bei Leistungsproblemen erschweren kann.¹ Auch das gehört zur ehrlichen Bilanz.

Datenschutz, Sicherheit und Serverstandort

Kein Thema beschäftigt deutsche Entscheider so sehr wie der Datenschutz. Wenn deine Daten bei einem Cloud-Anbieter liegen, willst du wissen, wo sie liegen und wie sie geschützt sind. Das ist berechtigt und gehört auf den Tisch.

Verantwortung ist geteilt

Ein verbreitetes Missverständnis lautet: Wenn der Anbieter die Infrastruktur verwaltet, ist auch die Sicherheit allein seine Sache. So einfach ist es nicht. Das BSI, die deutsche Behörde für IT-Sicherheit, macht in seinem Kriterienkatalog C5 deutlich, dass sich Anbieter, Kunde und Prüfer die Verantwortung für Informationssicherheit teilen.⁴ Der Anbieter sorgt für eine sichere Infrastruktur, du bist aber weiterhin dafür verantwortlich, deine Anwendung sinnvoll zu konfigurieren und mit den Daten korrekt umzugehen.

Das BSI hat den Kriterienkatalog C5 dafür geschaffen, ein Mindestsicherheitsniveau für Cloud-Dienste transparent und nach einer standardisierten Prüfung darzustellen.⁴ Für dich ist das ein praktisches Werkzeug bei der Anbieterauswahl. Das BSI empfiehlt Cloud-Kunden ausdrücklich, den C5-Bericht beim jeweiligen Anbieter anzufordern, ihn auszuwerten und diese Prüfung jährlich zu wiederholen. Wichtig zu wissen: Das BSI selbst prüft keine dieser Berichte, sondern es liegt in deiner Verantwortung als Kunde, die Berichte zu analysieren und deine eigenen Schlüsse zu ziehen.⁴ Genau hier kann ein IT-Partner an deiner Seite den Unterschied machen, weil er weiß, worauf in so einem Bericht zu achten ist.

Serverstandort EU und DSGVO

Für die DSGVO ist entscheidend, wo deine Daten verarbeitet und gespeichert werden. Die großen Anbieter betreiben eigene Regionen innerhalb der EU, sodass du bei der Einrichtung festlegen kannst, dass deine Daten in Europa bleiben. Der C5-Katalog des BSI hat sich laut Behörde am Markt etabliert und dient Kunden als wichtiger Leitfaden bei der Anbieterauswahl. Über hundert Testate wurden nach BSI-Angaben bereits für nationale, europäische und globale Anbieter sowie eine breite Palette von Cloud-Diensten erteilt, und auch mittelständische und kleine Anbieter nutzen den Katalog.⁴

Für dich als KMU-Verantwortlicher heißt das in der Praxis: Achte bei der Auswahl auf einen Serverstandort in der EU, lass dir den C5-Bericht oder ein vergleichbares Testat zeigen und kläre vertraglich, wer welche Pflichten trägt. Das BSI betont, dass der Kunde auch selbst prüfen muss, ob ein Basissicherheitsniveau ausreicht oder ob für seinen konkreten Anwendungsfall zusätzliche Kriterien relevant sind.⁴ Verbleibende Restrisiken trägt am Ende der Kunde. Serverless nimmt dir also die technische Wartung ab, aber nicht die Verantwortung, den richtigen Anbieter zu wählen und die Datenschutzfragen sauber zu klären. Das ist kein Grund, die Finger davon zu lassen, sondern ein Grund, es von Anfang an ordentlich aufzusetzen.

Ist Serveless Computing was für dich? Lass uns sprechen!

Was Serverless dir abnimmt

Serverless Computing nimmt dir den Serverbetrieb ab. Der Anbieter kümmert sich um Wartung, Kapazität, Skalierung und Sicherheitsupdates, du bringst deinen Code und zahlst nach tatsächlicher Nutzung.⁵ Für Anwendungen mit schwankender Last, für Automatisierung im Hintergrund und für die Verbindung verschiedener Systeme ist das ein starkes Modell, das gerade kleineren Unternehmen viel Aufwand erspart. Kein Server im Keller, keine Kapazität, die im Leerlauf Geld kostet, keine nächtlichen Notfälle wegen ausgefallener Hardware.

Wo du aufpassen solltest

Gleichzeitig ist Serverless kein Allheilmittel. Bei dauerhaft laufenden oder besonders zeitkritischen Anwendungen kann eine klassische Lösung besser passen, und die Anbieterabhängigkeit sowie der Datenschutz wollen bewusst bedacht sein. Die gute Nachricht: Diese Fragen sind alle lösbar, wenn man sie von Anfang an mitdenkt. Ein Einstieg muss nicht groß sein. Oft reicht ein einzelner, klar umrissener Anwendungsfall, um zu sehen, ob das Modell zu deinem Betrieb passt.

---

Häufige Fragen zum Thema

Was ist Serverless Computing einfach erklärt?

Serverless Computing bedeutet, dass du deinen Code oder deine Anwendung in der Cloud betreibst, ohne dich um einen eigenen Server zu kümmern. Der Anbieter stellt die Rechenleistung bereit, wartet die Technik, spielt Updates ein und passt die Kapazität automatisch an. Du lieferst nur die Logik, den Rest übernimmt die Plattform im Hintergrund. Serverless Computing für KMU nimmt dir damit genau den Teil der IT ab, der bislang am meisten Zeit und Nerven gekostet hat.

Heißt serverless, dass es keine Server mehr gibt?

Nein, Server gibt es weiterhin, sie stehen nur nicht mehr bei dir. Der Cloud-Anbieter betreibt sie in seinen Rechenzentren, kümmert sich um Wartung, Kapazität und Ausfallsicherheit und stellt dir die Leistung bei Bedarf bereit. Für dich fühlt es sich so an, als gäbe es keinen Server, weil du nie einen anfassen musst. Genau das ist der Gedanke hinter Serverless Computing für KMU: die Technik läuft, ohne dass du sie verwalten musst.

Wie funktioniert die Abrechnung bei Serverless?

Du zahlst nur für die Rechenzeit, die dein Code tatsächlich verbraucht, und nicht für einen Server, der rund um die Uhr läuft. Passiert nichts, entstehen auch keine Kosten. Läuft dein Code, wird sekundengenau nach Aufrufen und Ressourcenverbrauch abgerechnet. Für einen Betrieb mit schwankender Auslastung macht Serverless Computing für KMU die IT-Kosten dadurch planbarer und oft günstiger als ein dauerhaft laufender Server.

Für welche Anwendungen lohnt sich Serverless in einem KMU?

Besonders geeignet ist Serverless für Aufgaben, die nicht ständig, aber immer wieder anfallen: Web-Backends und APIs, die Automatisierung wiederkehrender Abläufe oder die Verarbeitung von Daten im Hintergrund. Auch das Verbinden verschiedener Systeme, etwa Shop und Warenwirtschaft, lässt sich damit elegant lösen. Solche Aufgaben schwanken oft stark in der Auslastung, und genau da spielt das Modell seine Stärke aus. Serverless Computing für KMU eignet sich also vor allem für ereignisgesteuerte und unregelmäßige Lasten.

Wann ist Serverless nicht die richtige Wahl?

Bei Anwendungen, die dauerhaft und gleichmäßig unter Last laufen, kann ein klassischer Server am Ende günstiger sein. Auch bei sehr zeitkritischen Anwendungen kann die kurze Startverzögerung beim ersten Aufruf, der sogenannte Kaltstart, stören. Und einzelne Aufgaben haben eine maximale Laufzeit, die du im Blick behalten musst. Serverless Computing für KMU ist deshalb kein Allheilmittel, sondern ein Werkzeug, das man für den passenden Anwendungsfall auswählt.

Was ist mit Datenschutz und Serverstandort?

Für die DSGVO ist entscheidend, wo deine Daten verarbeitet und gespeichert werden. Die großen Anbieter betreiben eigene Regionen innerhalb der EU, sodass du bei der Einrichtung festlegen kannst, dass deine Daten in Europa bleiben. Zusätzlich hilft der Kriterienkatalog C5 des BSI dabei, das Sicherheitsniveau eines Anbieters zu bewerten. Bei Serverless Computing für KMU gehört die bewusste Wahl von Serverstandort und Anbieter deshalb von Anfang an dazu.

Was bedeutet Vendor Lock-in?

Vendor Lock-in beschreibt die Abhängigkeit von einem bestimmten Anbieter, weil sich deine Anwendung eng an dessen Dienste bindet. Ein späterer Wechsel wird dann aufwendiger, weil Teile neu gebaut werden müssten. Das ist kein Grund gegen Serverless, aber ein Punkt, den du bei der Planung bewusst berücksichtigen solltest. Ein erfahrener Partner hilft dir bei Serverless Computing für KMU, diese Abhängigkeit von Anfang an im Rahmen zu halten.

Muss ich für Serverless programmieren können?

Du selbst nicht, aber jemand muss die Anwendung entwickeln oder anpassen, denn Serverless führt am Ende Programmcode aus. Als Geschäftsführer triffst du die strategische Entscheidung, die technische Umsetzung übernimmt deine IT oder ein Dienstleister. Wichtig ist, dass du den Nutzen und die Grenzen kennst, um mitreden zu können. Bei Serverless Computing für KMU übersetzt dir ein guter Partner die Technik in klare Entscheidungen.

Was ist Function-as-a-Service?

Function-as-a-Service, kurz FaaS, ist die häufigste Spielart von Serverless. Dabei hinterlegst du einzelne, klar abgegrenzte Funktionen, die immer dann ausgeführt werden, wenn ein bestimmtes Ereignis eintritt, etwa ein Aufruf über eine Schnittstelle. Die Plattform startet die Funktion, führt sie aus und beendet sie wieder, ganz automatisch. FaaS ist damit der praktische Kern, über den Serverless Computing für KMU meist umgesetzt wird.

Wie steige ich am besten in Serverless ein?

Fang klein an, mit einem einzelnen, überschaubaren Anwendungsfall statt einer großen Umstellung. So siehst du an einem konkreten Beispiel, ob das Modell zu deinem Betrieb passt, ohne ein Risiko einzugehen. Wichtig ist ein Partner, der die Fragen zu Kosten, Datenschutz und Anbieterwahl kennt. IT-Deol begleitet KMU in Köln und Bonn beim Einstieg in Serverless Computing für KMU, praxisnah und ohne dich in etwas zu drängen, das du nicht brauchst.

Quellen

1 Google Cloud: What is serverless computing? URL: https://cloud.google.com/discover/what-is-serverless-computing (abgerufen am 06.07.2026)

2 Amazon Web Services: What is AWS Lambda? (AWS Lambda Developer Guide), 2026. URL: https://docs.aws.amazon.com/lambda/latest/dg/welcome.html (abgerufen am 06.07.2026)

3 Microsoft: What is Azure Functions? (Azure Functions Overview), 2026. URL: https://learn.microsoft.com/en-us/azure/azure-functions/functions-overview (abgerufen am 06.07.2026)

4 Bundesamt für Sicherheit in der Informationstechnik (BSI): Cloud Computing Compliance Criteria Catalogue (C5). URL: https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/kriterienkatalog-c5_node.html (abgerufen am 06.07.2026)

5 Amazon Web Services: Serverless on AWS. URL: https://aws.amazon.com/serverless/ (abgerufen am 06.07.2026)

Du nutzt Microsoft 365 seit ein paar Jahren, hast dich nie groß damit beschäftigt, wie man Microsoft 365 absichern soll, die Zusammenarbeit im Team läuft gut, und du hast dir dabei nichts weiter gedacht. Warum auch: Microsoft ist ein Weltkonzern, die Rechenzentren sind zertifiziert, und dein IT-Dienstleister hat die Lizenzen sauber eingerichtet. Klingt nach einer soliden Basis. Das Problem: Genau diese Einschätzung teilen Tausende Geschäftsführer in Deutschland, und Angreifer wissen das sehr genau.

Microsoft 365 absichern bedeutet nicht, darauf zu vertrauen, dass Microsoft das schon regelt. Die Plattform selbst ist robust. Aber die Konfiguration, die Nutzerkonten, die freigegebenen Dateien, die verknüpften Apps: Das alles liegt in deiner Verantwortung. Und genau da entstehen die Lücken, durch die Ransomware-Gruppen, Phishing-Kampagnen und Insider-Threats ihren Weg finden.

Dieser Artikel erklärt, wo die konkreten Risiken liegen, welche Schritte wirklich etwas bringen und warum Unternehmen im Raum Köln und Bonn gut beraten sind, das Thema „Microsoft 365 absichern“ nicht auf die lange Bank zu schieben.

Warum Microsoft 365 ein attraktives Angriffsziel ist

Über 400 Millionen gewerbliche Nutzer weltweit arbeiten mit Microsoft 365, was die Plattform zum größten zusammenhängenden Unternehmens-Ökosystem der Welt macht.¹ Für Angreifer ist das eine einfache Rechnung: Wer eine Methode entwickelt, Microsoft-365-Konten zu kompromittieren, kann sie millionenfach einsetzen. Der Aufwand pro Angriff sinkt, die potenzielle Beute steigt.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft Business Email Compromise, also die gezielte Übernahme geschäftlicher E-Mail-Konten, seit Jahren als eine der gefährlichsten Bedrohungen für KMU in Deutschland ein.² Bei Microsoft 365 heißt das in der Praxis: Ein Angreifer übernimmt ein kompromittiertes Postfach, richtet dort stille Weiterleitungsregeln ein, liest Monate lang mit und schlägt dann zu, wenn eine Zahlung oder ein Vertragsabschluss ansteht. Bemerkt wird das oft erst, wenn das Geld längst weg ist.

Dazu kommt ein strukturelles Problem, das viele unterschätzen, wenn sie anfangen, Microsoft 365 absichern zu wollen. Microsoft 365 basiert auf einem Shared-Responsibility-Modell. Microsoft schützt die Infrastruktur, du schützt deine Daten, deine Konten und deine Konfiguration.³ Das steht so in den Nutzungsbedingungen, aber kaum jemand liest die durch. Wer glaubt, mit dem Kauf einer Business-Lizenz automatisch auf der sicheren Seite zu sein, irrt.

Die häufigsten Angriffsvektoren im Überblick

Phishing über gefälschte Microsoft-Anmeldeseiten ist nach wie vor Angriffsmethode Nummer eins. Die Seiten sehen täuschend echt aus, und wer unter Zeitdruck arbeitet, klickt schnell auf den falschen Link. Ein einziges kompromittiertes Konto reicht, um sich lateral durch das gesamte Microsoft-365-Mandantenumfeld zu bewegen.

OAuth-Missbrauch ist das Thema, das gerade in der IT-Sicherheitscommunity an Fahrt aufnimmt. Dabei überreden Angreifer Nutzer dazu, einer scheinbar harmlosen Drittanbieter-App Zugriff auf ihre Microsoft-365-Daten zu erteilen. Die App hat dann Zugriff auf Postfächer, Kalender und SharePoint-Inhalte, ohne dass ein Passwort gestohlen wurde. Mehrfaktor-Authentifizierung hilft dagegen nicht.

Token-Diebstahl ist ein weiterer Angriffsweg, der in den vergangenen zwei Jahren stark zugenommen hat. Angreifer stehlen Sitzungstoken aus dem Browser oder aus dem Arbeitsspeicher des Endgeräts und können sich damit als legitimer Nutzer ausgeben, komplett ohne Passwort und ohne den MFA-Code abzufangen.⁴ Das ist kein theoretisches Szenario, sondern gängige Praxis bei professionellen Angreifergruppen.

Microsoft 365 absichern – Die wichtigsten Stellschrauben

Bevor du anfängst, lohnt sich eine ehrliche Bestandsaufnahme. Wie sind deine Nutzerkonten konfiguriert? Wer hat Globaladministratorrechte? Welche Drittanbieter-Apps sind in deinem Mandanten zugelassen? Die meisten KMU, die ich kenne, können diese Fragen nicht aus dem Stegreif beantworten. Das ist kein Vorwurf, das ist einfach die Realität in Unternehmen, die mit zwölf Mann gewachsen sind und nebenbei noch Projekte abzuwickeln haben.

Mehrstufige Authentifizierung konsequent durchsetzen

Mehrfaktor-Authentifizierung (MFA) ist der wichtigste Einzelschritt, wenn du Microsoft 365 absichern willst, und gleichzeitig der, der am häufigsten nur halbherzig umgesetzt wird. Es reicht nicht, MFA für einzelne Nutzer zu aktivieren. Du brauchst eine Richtlinie, die MFA für alle erzwingt, ohne Ausnahmen für die Chefin oder den Vertriebsleiter, weil der es unbequem findet.

Microsoft bietet dafür Conditional Access Policies an, die ab dem Business-Premium-Plan verfügbar sind und zu den wirksamsten Werkzeugen zählen, wenn es darum geht, Microsoft 365 absichern konsequent umzusetzen. Damit lässt sich nicht nur MFA erzwingen, sondern auch festlegen, unter welchen Bedingungen eine Anmeldung überhaupt erlaubt ist: nur aus Deutschland, nur von verwalteten Geräten, nur zu Geschäftszeiten. Das klingt restriktiv, ist in der Praxis aber oft genau die Grenze, die einen Angriff aus dem Ausland stoppt, bevor er Schaden anrichten kann.

Ein konkreter Hinweis für Unternehmen im Raum Köln und Bonn: Wer Kunden oder Kooperationspartner in den Niederlanden oder Belgien hat, sollte die geografischen Einschränkungen sorgfältig planen, um legitime grenzüberschreitende Anmeldungen nicht zu blockieren. Das ist eine der typischen Feinheiten, bei denen ein erfahrener regionaler IT-Dienstleister mehr Kontext mitbringt als ein Standardrezept aus dem Netz.

Privilegierte Konten separat verwalten

Globaladministratorkonten in Microsoft 365 sind der Generalschlüssel, und wer ernsthaft Microsoft 365 absichern will, fängt genau hier an. Wer darüber verfügt, kann Postfächer einsehen, Sicherheitsrichtlinien aushebeln, Conditional Access deaktivieren und Daten exportieren. Trotzdem nutzen viele KMU ihr Administratorkonto auch für den Alltag: E-Mails lesen, Teams-Nachrichten schreiben, im Browser surfen.

Das ist ungefähr so, als würdest du den Treuhänder-Generalschlüssel für dein Bürogebäude täglich in der Jackentasche tragen und auf dem Weg zur Kantine riskieren, ihn zu verlieren. Privilegierte Konten gehören ausschließlich in privilegierte Situationen. Für den Alltag gibt es ein normales Nutzerkonto, Punkt.

Microsoft empfiehlt dafür Privileged Identity Management (PIM), das ab dem Azure-AD-P2-Plan verfügbar ist. Damit werden Administratorrechte nur bei Bedarf aktiviert, mit zeitlicher Begrenzung und dokumentierter Begründung.⁵ Das klingt nach Aufwand. Es ist aber weniger Aufwand als die Aufräumarbeiten nach einem kompromittierten Administratorkonto.

SharePoint und OneDrive: Freigaben unter Kontrolle bringen

SharePoint ist der Bereich, bei dem ich in der Praxis die größten Überraschungen erlebe. Ordner werden für externe Partner freigegeben, die Freigabe läuft nach Projektabschluss weiter, und irgendwann hat jemand mit dem Link Zugriff auf Kalkulationen, Verträge oder Kundendaten, den er schon längst nicht mehr haben sollte.

Wer Microsoft 365 absichern will, muss hier konkret werden: externe Freigaben auf das Nötigste beschränken, mit Ablaufdatum versehen und regelmäßig überprüfen. Das Microsoft-365-Admin-Center bietet dafür Berichte, die zeigen, welche Links existieren und wer darauf zugegriffen hat. Diese Berichte werden in erschreckend vielen KMU nie geöffnet.

Dazu kommt die Frage der Datenverlustprävention. Microsoft 365 enthält mit Microsoft Purview ein Werkzeug, das Inhalte auf sensible Daten scannt und Weiterleitungen oder Freigaben blockieren kann, wenn definierte Muster gefunden werden, zum Beispiel IBAN-Nummern oder Sozialversicherungsnummern in E-Mails.⁶ Das ist besonders für Unternehmen relevant, die personenbezogene Daten verarbeiten und unter die DSGVO fallen, also praktisch alle Betriebe im Raum Köln-Bonn.

E-Mail-Sicherheit über den Standard hinaus

Exchange Online Protection ist in allen Microsoft-365-Lizenzen enthalten und filtert bereits einen Großteil von Spam und bekannten Malware-Anhängen, reicht aber für Unternehmen, die Microsoft 365 absichern wollen und echte Angriffsziele sind, nicht aus. Microsoft Defender for Office 365 ergänzt das um Safe Links und Safe Attachments, Mechanismen, die URLs im Moment des Klickens prüfen und Anhänge in einer isolierten Umgebung ausführen, bevor sie den Nutzer erreichen.

Wichtig ist außerdem die korrekte Konfiguration von SPF, DKIM und DMARC. Das sind E-Mail-Authentifizierungsstandards, die verhindern, dass Angreifer E-Mails in deinem Namen versenden können. Die Einrichtung ist technisch nicht trivial und wird häufig unvollständig gemacht, was zu falsch negativen Ergebnissen führt: DMARC ist aktiv, aber auf „none“ statt „reject“ gesetzt, und schützt damit gar nichts.⁷

Das Secure-Score-Konzept – Wo du beim Microsoft 365 absichern gerade stehst

Microsoft bietet im Defender-Portal einen sogenannten Secure Score an. Der Wert zwischen 0 und 100 zeigt, wie gut dein Microsoft-365-Mandant aktuell konfiguriert ist, gemessen an den Empfehlungen von Microsoft. Er ist kein perfektes Sicherheitsmaß, aber ein guter Einstiegspunkt.

Viele KMU, die ich spreche, landen beim ersten Blick auf ihren Secure Score unter 40 Punkten, obwohl sie glauben, ausreichend Maßnahmen ergriffen zu haben, um Microsoft 365 absichern zu können. Das liegt nicht daran, dass jemand grob fahrlässig gehandelt hat. Es liegt daran, dass Microsoft 365 in den Standardeinstellungen auf Nutzungskomfort optimiert ist, nicht auf Sicherheit. Wer die Plattform nicht aktiv konfiguriert, lässt eine Menge Schutz auf dem Tisch liegen.

IT-Deol nutzt den Secure Score als Startpunkt für die Bewertung des Kundenmandanten und arbeitet die Empfehlungen in der Reihenfolge ab, die das größte Risiko adressiert, nicht einfach von oben nach unten, denn nicht jede Empfehlung passt zu jedem Unternehmensprofil. Ein Handwerksbetrieb hat andere Prioritäten als eine Steuerberatungsgesellschaft.

Protokollierung und Monitoring – Sehen, was passiert

Microsoft 365 absichern heißt auch: wissen, was in deinem Mandanten passiert. Das Unified Audit Log in Microsoft 365 protokolliert Nutzeraktivitäten, Administratoraktionen und Systemereignisse. Ohne aktives Monitoring ist dieses Protokoll aber nur ein passives Archiv, das nach einem Vorfall forensisch ausgewertet wird, nicht vorher.

Wer sehen möchte, ob gerade jemand versucht, sich aus unbekannten Ländern anzumelden, ob Weiterleitungsregeln angelegt werden oder ob plötzlich große Datenmengen aus SharePoint heruntergeladen werden, braucht entweder ein SIEM-System, das die Protokolldaten aktiv auswertet, oder ein verwaltetes Monitoring über den IT-Dienstleister.

Für KMU ist ein vollständig eigenständig betriebenes SIEM in den meisten Fällen weder wirtschaftlich sinnvoll noch personell zu stemmen, und trotzdem wollen sie Microsoft 365 absichern und dabei nicht im Blindflug unterwegs sein. Das ist einer der Punkte, an dem ein Managed-Security-Ansatz echte Vorteile bringt: Jemand schaut auf die Protokolldaten, während dein Team Aufträge abarbeitet.

Geräte und Endpunkte – Der oft vergessene Teil beim Microsoft 365 absichern

Viele Unternehmen denken beim Thema Microsoft 365 absichern zuerst an Passwörter und Zugriffsrechte, vergessen dabei aber den Endpunkt. Wenn das Notebook, von dem aus deine Mitarbeiterin auf Microsoft 365 zugreift, mit Schadsoftware infiziert ist, dann nützt das stärkste Passwort der Welt nichts. Das Gerät ist das Problem, nicht das Konto.

Microsoft Intune ermöglicht es, Unternehmensgeräte zentral zu verwalten, Sicherheitsrichtlinien durchzusetzen und damit einen entscheidenden Baustein zu setzen, wenn man Microsoft 365 absichern und nicht nur die Cloud, sondern auch die Endgeräte im Blick behalten will. Das ist gerade für Betriebe mit Homeoffice-Anteil relevant, was nach 2020 so gut wie jedes Unternehmen im Raum Köln und Bonn betrifft.

Gerätekonformität und Conditional Access kombinieren

Die wirklich wirksame Kombination ist Conditional Access zusammen mit Gerätekonformitätsrichtlinien. Damit lässt sich festlegen, dass eine Anmeldung bei Microsoft 365 nur erlaubt ist, wenn das Gerät als konform gilt: aktuelles Betriebssystem, aktivierte Festplattenverschlüsselung, keine bekannte Schadsoftware. IT-Deol konfiguriert diese Richtlinien für Kunden im Raum Köln, Bonn und dem Rhein-Sieg-Kreis so, dass sie greifen, aber den Arbeitsalltag nicht blockieren.

Ein realistisches Bild: Wer heute von zu Hause aus auf Microsoft 365 zugreift, tut das oft von einem Privatrechner, auf dem vielleicht noch Windows 10 läuft, der seit Monaten nicht gepatcht wurde und auf dem die Kinder nachmittags Spiele spielen. Das ist kein Randfall, das ist Normalzustand in deutschen KMU. Und es ist einer der Gründe, warum Microsoft 365 absichern mehr braucht als eine starke Passwortpolitik und warum Endpunktsicherheit beim Thema Microsoft 365 absichern nicht optional ist.

DSGVO, NIS2 und die rechtliche Dimension

Für Unternehmen im Raum Köln und Bonn gilt selbstverständlich die DSGVO. Das ist keine Neuigkeit. Aber die Verbindung zwischen Microsoft-365-Konfiguration und DSGVO-Konformität wird oft unterschätzt, besonders wenn man nicht aktiv daran arbeitet, Microsoft 365 absichern als Compliance-Thema zu verstehen.

Wenn ein Datenschutzvorfall passiert, weil ein freigegebener SharePoint-Link in die falschen Hände geraten ist oder weil ein Phishing-Angriff auf ein unkonfiguriertes Konto erfolgreich war, dann ist das unter Umständen meldepflichtig. Der Verantwortliche muss dann innerhalb von 72 Stunden die Datenschutzbehörde informieren und belegen können, welche technischen und organisatorischen Maßnahmen er ergriffen hatte.⁸ „Wir haben Microsoft 365 genutzt“ reicht da nicht.

Mit der NIS2-Richtlinie, die in Deutschland durch das NIS2-Umsetzungsgesetz in nationales Recht übertragen wird, kommen für viele Unternehmen zusätzliche Anforderungen an die IT-Sicherheit. Wer im Bereich kritischer Infrastrukturen tätig ist oder Zulieferer solcher Unternehmen ist, sollte prüfen, ob NIS2 relevant ist.⁹ Auch Subunternehmen im Rhein-Sieg-Kreis, die für Betreiber kritischer Infrastruktur arbeiten, können in den Anwendungsbereich fallen.

Backups: Die Absicherung, die Microsoft nicht übernimmt

Hier ein Punkt, der selbst erfahrene IT-Verantwortliche manchmal überrascht: Microsoft sichert die Infrastruktur, erstellt aber keine detaillierten Sicherungskopien deiner Inhalte im Sinne einer Wiederherstellungslösung für versehentlich gelöschte Daten oder Ransomware-Verschlüsselung.¹⁰ Exchange Online hält gelöschte Elemente für begrenzte Zeit in einem Ordner für wiederherstellbare Elemente, aber das ist keine vollständige Datensicherung und hat klare Grenzen.

Wer Microsoft 365 absichern will, braucht deshalb eine separate Backup-Lösung für Exchange, SharePoint, OneDrive und Teams. Es gibt mehrere spezialisierte Anbieter, die genau das liefern und DSGVO-konform in europäischen Rechenzentren betreiben. Das ist kein Luxus, das ist Grundhygiene.

Microsoft 365 absichern – Welche Lizenz reicht wirklich aus?

Eine Frage, die ich fast bei jedem Erstgespräch höre: Muss ich wirklich auf Business Premium upgraden, oder reicht Business Standard? Die ehrliche Antwort: Das kommt darauf an, wie ernsthaft du Microsoft 365 absichern willst.

Business Standard enthält Exchange, Teams, SharePoint und die Office-Apps, aber kaum nennenswerte Sicherheitsfunktionen jenseits des Basisschutzes. Wer Microsoft 365 absichern will und dabei auf Conditional Access, Microsoft Defender for Office 365 oder Intune angewiesen ist, braucht Business Premium. Das kostet mehr, liefert aber die Werkzeuge, die eine echte Sicherheitsarchitektur erst möglich machen.

Für Unternehmen mit erhöhtem Schutzbedarf, zum Beispiel Steuerberater, Anwaltskanzleien oder Medizindienstleister im Raum Köln und Bonn, können sogar Microsoft-365-E3- oder E5-Lizenzen sinnvoll sein. Dort sind zusätzlich Purview-Funktionen, erweitertes Überwachungsprotokoll und Microsoft Defender for Identity enthalten. IT-Deol analysiert im Rahmen des Sicherheitschecks, welche Lizenz zum tatsächlichen Schutzbedarf passt, ohne mehr zu empfehlen als nötig.

Gastkonten und externe Zusammenarbeit sicher gestalten

Gastkonten in Microsoft 365 sind ein eigenes Kapitel. Wenn du Externe in Teams-Kanäle einlädst oder SharePoint-Dateien mit Kunden teilst, entstehen B2B-Gastkonten im Azure Active Directory. Diese Konten sind oft gar nicht im Blick, wenn Unternehmen Microsoft 365 absichern wollen, dabei können sie echte Risiken darstellen.

Gastkonten, die nie abgelaufen sind, weil das Projekt längst beendet ist. Gastzugänge für Personen, die das Unternehmen verlassen haben. Externe, die mehr Berechtigungen haben, als sie für ihre Aufgabe brauchen. IT-Deol empfiehlt, Gastkonten regelmäßig im Azure-Portal zu überprüfen und Zugriffsüberprüfungen einzusetzen, die automatisiert prüfen, ob ein Zugang noch berechtigt ist. Das ist eine der einfachsten Maßnahmen mit dem höchsten Wirkungsgrad, wenn es darum geht, Microsoft 365 absichern als laufenden Prozess zu verstehen und nicht als einmalige Konfigurationsaufgabe. Und genau das ist der Unterschied zwischen Unternehmen, die Microsoft 365 absichern wirklich ernst nehmen, und denen, die es auf der Aufgabenliste haben.

Was ein regionaler IT-Dienstleister leistet, was ein Ferndienstleister nicht kann

Microsoft 365 ist eine Cloud-Plattform, die sich im Prinzip von überall konfigurieren lässt. Warum sollte es also einen Unterschied machen, ob der IT-Dienstleister in Lohmar sitzt oder in Hamburg?

In der Praxis macht es einen Unterschied. Nicht bei der Konfiguration im Admin Center, die läuft per Fernzugriff. Aber bei den Gesprächen davor und danach. Wenn ein Sicherheitsvorfall passiert, möchte man nicht in einer Warteschleife sitzen. Man möchte, dass jemand, der das Unternehmen kennt, schnell greifbar ist. IT-Deol betreut Kunden im Raum Köln, Bonn und dem Rhein-Sieg-Kreis seit Jahren und kennt die typischen Strukturen mittelständischer Betriebe in dieser Region, von der Fertigungshalle in Troisdorf bis zur Kanzlei am Bonner Marktplatz.

Dazu kommt: Wer die Branche und die typischen Geschäftsprozesse kennt, kann Sicherheitsrichtlinien sinnvoll kalibrieren. Ein zu restriktiv konfiguriertes Microsoft 365 wird von den Nutzern umgangen, indem sie auf private E-Mail-Konten ausweichen oder Dateien über Privatgeräte teilen. Das macht die Situation schlechter. Das richtige Maß zu finden, braucht Kontext, den ein Dienstleister vor Ort besser hat.

Erste Schritte – Was du diese Woche tun kannst, um Microsoft 365 absichern anzugehen

Microsoft 365 absichern muss kein monatelanges Projekt sein. Es gibt Maßnahmen, die innerhalb weniger Stunden umgesetzt sind und sofort einen spürbaren Unterschied machen. MFA für alle Konten erzwingen ist der erste Schritt. Den Secure Score im Defender-Portal aufrufen und die kritischen Empfehlungen identifizieren, der zweite. Einen Überblick über aktive externe Freigaben in SharePoint verschaffen, der dritte.

Das Gespräch mit dem IT-Dienstleister lohnt sich parallel dazu: Wann wurde der Mandant zuletzt aus einer Sicherheitsperspektive bewertet? Gibt es ein aktives Monitoring der Protokolldaten? Ist eine externe Backup-Lösung im Einsatz? Wenn auf diese Fragen keine klaren Antworten kommen, ist das ein Signal.

IT-Deol bietet für Unternehmen im Raum Köln und Bonn einen Microsoft-365-Sicherheitscheck an, der genau diese Punkte strukturiert durchleuchtet. Kein Pauschalbefund, sondern eine Auswertung des konkreten Mandanten mit priorisierten Handlungsempfehlungen. Wer wissen möchte, wo er beim Thema Microsoft 365 absichern steht, findet dort einen sinnvollen Einstieg.

---

FAQ HTML

Häufige Fragen zum Thema

Wer ist dafür verantwortlich, dass unsere Unternehmensdaten in der Cloud sicher sind?

Die Verantwortung ist geteilt. Der Anbieter schützt die Infrastruktur. Alles andere, also Konten, Zugriffsrechte, Freigaben und Konfiguration, liegt beim Unternehmen selbst. Das ist das Shared-Responsibility-Modell, das auch für Microsoft 365 gilt. Wer Microsoft 365 absichern will, muss diesen Teil aktiv übernehmen.

Was passiert, wenn jemand unsere Geschäfts-E-Mails übernimmt?

Ein Angreifer richtet stille Weiterleitungsregeln ein und liest Monate lang mit, ohne dass es auffällt. Er schlägt dann zu, wenn eine Zahlung oder ein Vertragsabschluss ansteht. Das BSI bezeichnet genau diesen Angriffsweg als eine der gefährlichsten Bedrohungen für KMU. Wenn du Microsoft 365 absichern willst, ist die Absicherung von Postfächern der erste Pflichtschritt.

Reicht es, wenn unsere Mitarbeitenden ein starkes Passwort verwenden?

Nein. Professionelle Angreifer stehlen heute Sitzungstoken direkt aus dem Browser, ohne das Passwort überhaupt zu kennen. Mehrfaktor-Authentifizierung hilft in vielen Fällen, greift aber beim sogenannten Token-Diebstahl ebenfalls nicht. Microsoft 365 absichern erfordert deshalb mehrere Schutzebenen gleichzeitig.

Warum ist unsere Cloud-Lizenz keine Garantie für Sicherheit?

Microsoft 365 ist in den Standardeinstellungen auf Nutzungskomfort optimiert, nicht auf Sicherheit. Wer die Plattform nicht aktiv konfiguriert, lässt einen großen Teil des verfügbaren Schutzes ungenutzt. Das zeigt sich beim Secure Score, der bei vielen Unternehmen beim ersten Blick unter 40 von 100 liegt. Microsoft 365 absichern bedeutet, diese Einstellungen gezielt zu schärfen.

Welche Apps und Zugriffe sind in unserem Microsoft-365-Konto eigentlich aktiv?

In den meisten Unternehmen weiß das niemand genau. Drittanbieter-Apps, die Mitarbeitende irgendwann einmalig verbunden haben, können dauerhaft auf Postfächer, Kalender und Dateien zugreifen. Das ist einer der häufigsten blinden Flecken, wenn Betriebe Microsoft 365 absichern wollen.

Was ist zu tun, wenn wir SharePoint-Dateien mit externen Partnern teilen?

Externe Freigaben sollten immer mit einem Ablaufdatum versehen werden. Ohne dieses Datum läuft der Zugriff nach Projektende einfach weiter. Ein regelmäßiger Blick in die Freigabeberichte im Admin Center zeigt, wer aktuell Zugriff hat. Wer Microsoft 365 absichern will, macht das zur festen Routine, nicht zur Ausnahme.

Macht es einen Unterschied, ob unsere Mitarbeitenden mit privaten oder mit Firmengeräten arbeiten?

Einen erheblichen. Auf privaten Geräten fehlen Unternehmensrichtlinien, aktuelle Patches und oft jede Kontrolle über installierte Software. Microsoft 365 absichern schließt deshalb immer auch die Endpunkte ein, von denen aus auf die Plattform zugegriffen wird.

Was sichert Microsoft von unseren Daten, und was müssen wir selbst sichern?

Microsoft sichert die Infrastruktur. Für die eigentlichen Inhalte, also E-Mails, SharePoint-Dokumente, Teams-Daten, ist eine separate Backup-Lösung notwendig. Ohne die hat man im Fall von Ransomware oder versehentlichem Löschen kein vollständiges Rücksicherungsnetz. Das gehört zu den Grundlagen, wenn Unternehmen Microsoft 365 absichern.

Ab welcher Lizenzstufe bekomme ich die wichtigsten Sicherheitsfunktionen?

Viele der wirkungsvollsten Werkzeuge, darunter Conditional Access, Microsoft Defender for Office 365 und Intune, sind erst ab dem Business-Premium-Plan verfügbar. Wer mit einem günstigeren Plan startet und ernsthaft Microsoft 365 absichern will, stößt dort schnell an Grenzen.

Warum lohnt sich ein lokaler IT-Dienstleister für dieses Thema?

Weil die Konfiguration allein nicht reicht. Wer Microsoft 365 absichern will, braucht jemanden, der die Sicherheitsrichtlinien so kalibriert, dass sie zum Unternehmen passen, und der im Ernstfall schnell greifbar ist. Ein regionaler IT-Dienstleister kennt die typischen Strukturen der Betriebe vor Ort und kann beides liefern.

Quellen

1 Microsoft Investor Relations – Earnings Call FY2024 Q2, Primärquelle: https://www.microsoft.com/en-us/investor/events/fy-2024/earnings-fy-2024-q2

2 BSI, Primärquelle: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud/cloud_node.html

3 Microsoft Learn, Primärquelle: https://learn.microsoft.com/de-de/azure/security/fundamentals/shared-responsibility

4 BSI, Primärquelle: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud/Sicherheitsempfehlungen-Cloud/sicherheitsempfehlungen-cloud_node.html

5 Microsoft Learn, Primärquelle: https://learn.microsoft.com/de-de/entra/id-governance/privileged-identity-management/pim-configure

6 Microsoft Learn (Microsoft Purview), Primärquelle: https://learn.microsoft.com/de-de/purview/dlp-learn-about-dlp

7 BSI (E-Mail-Sicherheit), Primärquelle: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/E-Mail/e-mail_node.html

8 EUR-Lex (DSGVO Art. 33), Primärquelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679

9 EUR-Lex (NIS2-Richtlinie), Primärquelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32022L2555

10 Microsoft Learn (Datenaufbewahrung), Primärquelle: https://learn.microsoft.com/de-de/compliance/assurance/assurance-data-retention-deletion-and-destruction-overview

Irgendwann kommt die Frage auf den Tisch. Meistens dann, wenn schon etwas schiefgelaufen ist: Ein Server fällt aus, eine Lizenz läuft ab, ein Mitarbeiter kann drei Tage lang nicht arbeiten, weil niemand weiß, wer eigentlich für das Problem zuständig ist. Dann sitzt der Geschäftsführer im Büro und fragt sich, warum das alles so viel kostet, obwohl man doch eigentlich kaum etwas ausgegeben hat. Genau das ist das Kernproblem bei der IT-Budgetplanung in kleinen und mittleren Unternehmen: Viele geben Geld aus, aber fast niemand plant es. Das eine ist eine Reaktion auf Probleme. Das andere ist ein Werkzeug, um sie zu vermeiden.

Dieser Beitrag richtet sich an Geschäftsführer und Inhaber von KMU in der Region Köln und Bonn, die ihre IT-Ausgaben endlich in den Griff bekommen wollen. Wer einmal eine solide IT-Budgetplanung aufgesetzt hat, merkt schnell, dass sie kein bürokratisches Extra ist, sondern ein echtes Steuerungsinstrument. Kein Fachjargon, keine Theorie, die in der Praxis nicht trägt. Nur eine ehrliche Bestandsaufnahme und ein paar Grundregeln, die tatsächlich funktionieren.

Warum IT-Budgetplanung in vielen KMU nicht funktioniert

Der häufigste Fehler bei der IT-Budgetplanung ist kein Rechenfehler. Es ist ein Denkfehler. IT wird in vielen Unternehmen als Kostenstelle behandelt, die man so klein wie möglich hält, bis etwas kaputtgeht. Dann wird investiert, weil es keine andere Wahl gibt. Dieses reaktive Muster hat einen Namen: Break-Fix-IT. Man wartet, bis etwas bricht, und bezahlt dann für die Reparatur. Das Problem daran ist nicht nur, dass es teuer ist. Es ist vor allem unplanbar. Wer nie weiß, wann die nächste Rechnung kommt und wie hoch sie sein wird, kann keine belastbare IT-Budgetplanung aufstellen.¹

Die typischen Lücken im IT-Budget

Die meisten Unternehmen haben Hardware im Blick. Einen neuen Rechner kauft man, wenn der alte nicht mehr startet. Eine neue Lizenz kauft man, wenn die alte abläuft und das Programm streikt. Aber was ist mit dem Support, der dazwischen liegt? Was ist mit der Zeit, die Mitarbeiter verlieren, weil das System langsam ist, weil das WLAN immer wieder abbricht, weil Dateifreigaben nicht funktionieren? Diese Kosten tauchen in keiner Rechnung auf, aber sie sind real. Studien zeigen, dass IT-Ausfälle im Mittelstand im Schnitt mehrere Stunden Arbeitszeit pro Mitarbeiter und Monat kosten, ohne dass jemals jemand eine Rechnung dafür ausstellt.² Eine vollständige IT-Budgetplanung erfasst genau diese versteckten Kosten und macht sie sichtbar.

Dazu kommt das Thema Datensicherung. Viele Unternehmer gehen davon aus, dass ihre Daten irgendwo gesichert sind, ohne genau zu wissen, wo, wie oft und ob das im Ernstfall auch wirklich funktioniert. Sicherheit und Notfallvorsorge sind Posten, die kaum jemand in der IT-Budgetplanung berücksichtigt, obwohl ein einziger erfolgreicher Cyberangriff ein Unternehmen existenziell gefährden kann. Laut BSI war 2023 jedes dritte KMU in Deutschland von einem Sicherheitsvorfall betroffen.³

Was gehört ins IT-Budget? Die wichtigsten Kostenpositionen

Eine sinnvolle IT-Budgetplanung deckt mehr ab als Hardware und Software. Wer alle relevanten Posten kennt, kann besser planen und hat am Ende des Jahres weniger böse Überraschungen.

Hardware: Geräte haben eine Lebensdauer

Rechner, Laptops, Server, Drucker, Netzwerktechnik. All das hat eine begrenzte Lebensdauer, und es macht Sinn, die Erneuerung zu planen, statt auf den Ausfall zu warten. Als Faustregel gilt: Arbeitsplatzrechner und Laptops sollten nach vier bis fünf Jahren ersetzt werden. Wer das in der IT-Budgetplanung als Abschreibungsplan berücksichtigt, verteilt die Kosten gleichmäßig auf mehrere Jahre und vermeidet Investitionsstaus.

Software und Lizenzen: Wiederkehrende Kosten richtig erfassen

Office-Pakete, Buchhaltungssoftware, Branchenlösungen, Cloud-Dienste. Viele dieser Kosten sind abonnementbasiert und fallen monatlich oder jährlich an. IT-Deol empfiehlt, alle laufenden Lizenzen einmal vollständig zu erfassen und auf Jahresbasis zusammenzufassen. Nur so lässt sich in der IT-Budgetplanung erkennen, ob man für Software zahlt, die kaum jemand nutzt.

IT-Betreuung und Support: Der am häufigsten unterschätzte Posten

Wer seinen IT-Support nach Bedarf bucht, zahlt in der Regel mehr als jemand, der eine feste IT-Betreuung hat. Der Grund ist simpel: Wenn man nur anruft, wenn es brennt, zahlt man Notfallpreise. Dazu kommt, dass ohne regelmäßige Betreuung viele Probleme gar nicht erst entdeckt werden, bevor sie eskalieren. IT-Deol betreut KMU in der Region Köln und Bonn mit festen Betreuungsmodellen, bei denen der Aufwand planbar bleibt und Probleme frühzeitig erkannt werden. Das macht IT-Betreuung zu einem der wichtigsten Posten in jeder IT-Budgetplanung.

Cloud und Datensicherung

Cloud-Dienste sind längst kein Luxus mehr. Microsoft 365 und vergleichbare Plattformen sind für viele Unternehmen der tägliche Arbeitsrahmen. Die monatlichen Kosten sind überschaubar, aber sie müssen in der IT-Budgetplanung eingeplant werden. Wichtiger noch: Eine funktionierende Datensicherung ist kein optionaler Posten. Ein Backup, das nie getestet wurde, ist kein Backup.

Sicherheit und Notfallvorsorge

Firewalls, Virenschutz, sichere Zugangsverwaltung, regelmäßige Updates. Wer diese Posten in der IT-Budgetplanung streicht, spart an der falschen Stelle. Die Kosten eines Sicherheitsvorfalls, angefangen bei der Ausfallzeit bis hin zu möglichen Bußgeldern nach der DSGVO, übersteigen in den meisten Fällen die Investition in Prävention um ein Vielfaches.⁴

Besonders Ransomware-Angriffe treffen KMU hart, weil sie weder die personellen noch die finanziellen Ressourcen haben, um einen solchen Vorfall ohne externe Hilfe zu bewältigen. Ein Unternehmen, das keine funktionierenden Backups hat, ist im schlimmsten Fall gezwungen, Lösegeld zu zahlen oder sämtliche Daten zu verlieren. IT-Deol empfiehlt KMU in Köln und Bonn, IT-Sicherheit von Anfang an als festen Bestandteil der IT-Budgetplanung einzukalkulieren.

Managed Services als Grundlage für planbare IT-Budgets

Der Begriff Managed Services klingt technischer als er ist. Im Kern beschreibt er ein einfaches Prinzip: Statt auf Probleme zu reagieren, kümmert sich ein IT-Dienstleister dauerhaft um die IT-Infrastruktur, überwacht Systeme proaktiv und sorgt dafür, dass Probleme behoben werden, bevor sie den Betrieb beeinträchtigen. Für die IT-Budgetplanung hat das einen entscheidenden Vorteil: Die Kosten sind monatlich fest, nicht variabel.

Was ein Managed-Service-Vertrag abdeckt

Je nach Leistungsumfang beinhaltet ein Managed-Service-Vertrag die Überwachung von Servern und Netzwerken, regelmäßige Updates und Patches, Helpdesk-Support für Mitarbeiter, Backup-Management und Sicherheitsfunktionen. IT-Deol bietet Unternehmen im Raum Köln und Bonn Managed-Services-Pakete, die sich an der tatsächlichen Unternehmensgröße orientieren, nicht an Pauschalangeboten, die am Ende weder passen noch helfen.

Fixkosten statt Überraschungsrechnungen

Das stärkste Argument für Managed Services aus Sicht der IT-Budgetplanung ist die Planungssicherheit. Wer einen monatlichen Fixbetrag für IT-Betreuung einplant, weiß, was er ausgeben wird. Break-Fix-IT ist das Gegenteil: Man weiß nie, was der nächste Monat bringt. Für einen Handwerksbetrieb mit 15 Mitarbeitern in Bonn-Beuel kann das den Unterschied bedeuten zwischen einer Investition, die ins Budget passt, und einer Rechnung, die den Monat ins Minus drückt.

Warum das besonders für KMU in der Region Köln/Bonn sinnvoll ist

Köln und Bonn sind wirtschaftlich starke Regionen mit einem dichten Netz aus kleinen und mittleren Unternehmen: Handwerksbetriebe, Kanzleien, Steuerberater, Dienstleister aller Art. Die meisten von ihnen haben keine eigene IT-Abteilung und keinen festangestellten IT-Verantwortlichen. Das bedeutet: Jedes Mal, wenn etwas nicht funktioniert, bindet das Zeit des Geschäftsführers oder eines anderen Mitarbeiters, der eigentlich etwas anderes tun sollte. Eine durchdachte IT-Budgetplanung schafft hier Struktur, und IT-Deol ist in der Region fest verwurzelt und kennt die typischen Anforderungen dieser Unternehmen aus der täglichen Praxis.

So viel sollten KMU für IT einplanen

Eine präzise Zahl lässt sich ohne Kenntnis des einzelnen Unternehmens nicht nennen. Aber es gibt Orientierungswerte, die in der IT-Budgetplanung verlässlich als Ausgangspunkt dienen.

Orientierungswerte nach Unternehmensgröße

Laut einer Erhebung des Digitalverbands Bitkom geben KMU in Deutschland im Schnitt zwischen drei und fünf Prozent ihres Jahresumsatzes für IT aus. Wer weit darunter liegt, hat mit hoher Wahrscheinlichkeit ein Kostenproblem, das sich noch nicht als solches gezeigt hat. IT-intensive Branchen wie Steuerberatung, Rechtsanwaltskanzleien oder Unternehmen mit hohen Datenschutzanforderungen sollten in der IT-Budgetplanung eher am oberen Ende dieses Rahmens planen.¹

Für ein Unternehmen mit zehn Mitarbeitern und einem Jahresumsatz von einer Million Euro bedeutet das ein IT-Budget zwischen 30.000 und 50.000 Euro pro Jahr. Das klingt viel. Aber darin sind Lizenzen, Hardware, Betreuung und Sicherheit enthalten. Wer diese Posten einzeln zusammenrechnet, kommt oft auf ähnliche Zahlen, ohne dass bisher irgendjemand eine IT-Budgetplanung gemacht hat.

Der Unterschied zwischen Betrieb und Investition

In der IT-Budgetplanung gibt es zwei Kategorien, die man getrennt betrachten sollte. Betriebskosten sind alles, was regelmäßig anfällt: Lizenzen, Support, Cloud-Dienste, Betreuung. Investitionskosten sind einmalige Ausgaben für neue Hardware, neue Software oder größere Projekte wie eine Server-Erneuerung oder eine neue Telefonanlage. Wer beides in einen Topf wirft, verliert den Überblick. Wer beides getrennt plant, kann sinnvoller entscheiden, was in welchem Jahr ansteht.

IT-Budgetplanung Schritt für Schritt

Wer noch nie eine strukturierte IT-Budgetplanung gemacht hat, muss nicht bei null anfangen. Drei Schritte reichen für den Einstieg.

Schritt 1: Bestandsaufnahme

Welche Geräte sind im Einsatz? Wie alt sind sie? Welche Software wird genutzt, und was kostet sie pro Monat und Jahr? Welche IT-Dienstleistungen werden aktuell in Anspruch genommen, und zu welchen Konditionen? Diese Fragen klingen einfach, aber viele Unternehmen können sie nicht ohne Rechercheaufwand beantworten. Genau da fängt die IT-Budgetplanung an. IT-Deol hilft KMU in Köln und Bonn bei dieser Bestandsaufnahme, weil ein externer Blick oft Dinge sichtbar macht, die intern niemand mehr wahrnimmt.

Schritt 2: Prioritäten setzen

Was kostet mehr: ein Serverausfall mit zwei Tagen Datenverlust, oder eine externe Datensicherungslösung für 50 Euro im Monat? Was kostet mehr: ein Mitarbeiter, der täglich 20 Minuten mit einem langsamen Rechner verliert, oder ein neues Gerät für 900 Euro? Diese Gegenrechnungen machen IT-Investitionen greifbar und sind ein zentraler Teil jeder IT-Budgetplanung. Wer Prioritäten auf dieser Grundlage setzt, trifft bessere Entscheidungen als jemand, der einfach an allem spart, was nicht sofort brennt.

Dabei hilft eine einfache Unterscheidung: Was gefährdet den laufenden Betrieb, wenn es ausfällt? Das sind die höchsten Prioritäten. Was ist unangenehm, aber überbrückbar? Das kann warten. Viele KMU in der Region Köln und Bonn stellen bei diesem Schritt fest, dass sie an den falschen Stellen gespart haben, etwa bei der Datensicherung, während gleichzeitig Software im Einsatz ist, die seit Jahren kaum jemand nutzt. IT-Deol macht solche Bewertungen regelmäßig mit Kunden, weil ein externer Blick hilft, Selbstverständlichkeiten zu hinterfragen, die intern niemand mehr in Frage stellt.

Schritt 3: Planung für 12 Monate und darüber hinaus

Eine IT-Budgetplanung für das nächste Jahr reicht als Anfang. Wer weiter denkt, baut eine einfache IT-Roadmap: Was muss in zwei Jahren erneuert werden? Was kostet das ungefähr? So lassen sich Investitionen vorbereiten, statt von ihnen überrascht zu werden. Für die meisten KMU ist ein Planungshorizont von drei Jahren ausreichend, um die wichtigsten Weichen zu stellen.

Warum ein lokaler IT-Partner den Unterschied macht

Es gibt genug Anbieter, die IT-Betreuung remote und ohne Ortsbezug anbieten. Das funktioniert für manche Aufgaben gut. Aber wenn ein Server ausfällt und der Techniker erst am nächsten Morgen vorbeikommt, ist der Schaden manchmal schon angerichtet. Ein lokaler IT-Partner wie IT-Deol kann innerhalb kürzester Zeit vor Ort sein, kennt die Infrastruktur der betreuten Unternehmen aus der täglichen Arbeit und begleitet die IT-Budgetplanung nicht als einmaliges Projekt, sondern dauerhaft.

Kurze Wege, persönliche Betreuung

Für Unternehmen in Köln, Bonn, Lohmar, Siegburg und Umgebung bedeutet ein regionaler IT-Partner konkret: kein Ticket-System, das Stunden braucht, bis jemand antwortet. Kein Callcenter in einer anderen Zeitzone. Sondern einen Ansprechpartner, der das Unternehmen kennt und erreichbar ist. IT-Deol hat sich in der Region Köln/Bonn auf genau diese Art der IT-Betreuung spezialisiert, mit dem Fokus auf KMU, die keine eigene IT-Abteilung haben und trotzdem professionell aufgestellt sein wollen.

IT-Budgetplanung als gemeinsamer Prozess

Ein guter IT-Dienstleister hilft nicht nur bei Problemen. IT-Deol unterstützt Unternehmen dabei, ihre IT-Ausgaben zu strukturieren, Schwachstellen zu identifizieren und eine realistische IT-Budgetplanung für das nächste Jahr aufzustellen. Das ist kein einmaliges Projekt, sondern ein laufender Prozess, der sich mit dem Unternehmen weiterentwickelt. Wer die IT-Budgetplanung einmal aufgesetzt hat, merkt schnell, dass sie kein bürokratisches Instrument ist, sondern ein praktisches Werkzeug für bessere Entscheidungen.

IT kostet Geld. Aber ungeplante IT kostet mehr. Wer einmal die echten Kosten von Ausfällen, verlorener Arbeitszeit und reaktiven Reparaturen zusammenrechnet, sieht, dass eine strukturierte IT-Budgetplanung keine Ausgabe ist, sondern eine Ersparnis. IT-Deol begleitet KMU in der Region Köln und Bonn auf diesem Weg, von der ersten Bestandsaufnahme bis zum laufenden Managed-Service-Vertrag, der Planbarkeit und Sicherheit verbindet. Wer das Thema konkret angehen möchte, kann sich direkt bei IT-Deol melden. Ein erstes Gespräch über den aktuellen IT-Stand und mögliche Budgetrahmen kostet nichts und bringt meistens mehr Klarheit, als man erwartet.

---

Häufige Fragen zum Thema

Mein IT-Dienstleister schickt mir immer wieder unerwartete Rechnungen – wie kann ich das besser planen?

Unerwartete IT-Rechnungen sind ein typisches Zeichen von Break-Fix-IT, also einer Betreuung, die nur dann aktiv wird, wenn etwas kaputtgeht. Eine strukturierte IT-Budgetplanung löst dieses Problem: Du legst im Voraus fest, was IT jährlich kosten darf, schlüsselst die wichtigsten Posten auf und weißt, was auf dich zukommt. Mit einem Managed-Service-Vertrag lassen sich die meisten IT-Kosten in planbare Monatspauschalen umwandeln.

Wie viel Geld sollte ich als Unternehmer eigentlich für IT ausgeben?

Eine verlässliche Faustregel laut Bitkom: KMU in Deutschland geben im Schnitt drei bis fünf Prozent ihres Jahresumsatzes für IT aus. Wer deutlich darunter liegt, hat oft versteckte Kosten durch Ausfälle, verlorene Arbeitszeit und veraltete Technik. Die genaue Zahl hängt von der Branche, der Mitarbeiterzahl und dem Digitalisierungsgrad ab. IT-Deol hilft dir bei einer realistischen Einschätzung für deinen konkreten Betrieb.

Was passiert eigentlich, wenn meine IT-Geräte einfach irgendwann nicht mehr funktionieren?

Dann hast du ein teures Problem. Geräteausfälle ohne Planung führen zu Betriebsunterbrechungen, Notfallkäufen zu überhöhten Preisen und im schlimmsten Fall zu Datenverlust. Eine IT-Budgetplanung berücksichtigt die Lebensdauer von Hardware und plant Erneuerungen rechtzeitig ein, bevor der Ausfall passiert.

Ich zahle jeden Monat für verschiedene Software-Abos – aber ich weiß gar nicht mehr, was ich alles buche. Was tun?

Das ist häufiger als du denkst. Viele Unternehmen zahlen für Lizenzen, die kaum jemand nutzt. Der erste Schritt ist eine vollständige Inventur aller laufenden Software-Abos. IT-Deol macht diese Bestandsaufnahme regelmäßig mit KMU in Köln und Bonn und findet dabei fast immer ungenutztes Budget, das sich sinnvoller einsetzen lässt.

Meine Daten liegen irgendwo in der Cloud – ich gehe davon aus, dass das gesichert ist. Stimmt das?

Nicht unbedingt. Cloud-Dienste wie Microsoft 365 sichern Verfügbarkeit, aber kein vollständiges Backup deiner Daten. Wer auf einen Ransomware-Angriff oder einen Bedienfehler ohne Backup trifft, verliert im schlimmsten Fall alles. Eine funktionierende Datensicherung muss explizit eingerichtet, regelmäßig getestet und im IT-Budget eingeplant sein.

Was ist der Unterschied zwischen einem IT-Dienstleister, der nach Aufwand abrechnet, und einem, der eine Monatspauschale nimmt?

Beim Aufwandsmodell zahlst du nur, wenn etwas passiert – klingt günstig, ist es aber selten. Notfalleinsätze sind teuer, und präventive Maßnahmen finden nicht statt. Eine Monatspauschale im Rahmen von Managed Services deckt laufende Betreuung, Updates, Monitoring und Support ab. Du weißt, was du zahlst, und dein IT-Partner hat einen Anreiz, Probleme zu verhindern statt nur zu beheben.

Ich habe gehört, dass Cyberangriffe auch kleine Unternehmen treffen – aber lohnt sich IT-Sicherheit für meine Größe überhaupt?

Ja, eindeutig. Laut BSI war 2023 jedes dritte KMU in Deutschland von einem Sicherheitsvorfall betroffen. Kleine Unternehmen sind oft leichtere Ziele, weil sie weniger schützende Maßnahmen haben. IT-Sicherheit gehört deshalb als fester Posten in jede IT-Budgetplanung, unabhängig von der Unternehmensgröße.

Was ist eine IT-Roadmap und brauche ich das als kleines Unternehmen wirklich?

Eine IT-Roadmap ist einfach ein Plan, welche IT-Investitionen in den nächsten ein bis drei Jahren anstehen. Kein technisches Dokument, sondern ein pragmatisches Werkzeug. Du weißt damit zum Beispiel, dass in zwei Jahren drei Rechner erneuert werden müssen, und kannst dafür Rücklagen bilden. Für KMU ohne eigene IT-Abteilung ist das besonders wertvoll, weil sonst niemand diesen Überblick hat.

Mein Betrieb läuft auch ohne große IT-Planung gut – warum sollte ich das jetzt ändern?

Weil es meistens dann teuer wird, wenn man am wenigsten damit rechnet. Ein Serverausfall im Tagesgeschäft, ein Datenverlust vor einem wichtigen Termin oder ein Sicherheitsvorfall mitten in der Hochsaison können einen Betrieb für Tage lahmlegen. IT-Budgetplanung ist kein bürokratisches Extra, sondern eine Absicherung gegen genau diese Szenarien.

Kann mir ein lokaler IT-Dienstleister bei der Budgetplanung helfen, oder ist das etwas, das ich selbst machen muss?

Ein guter lokaler IT-Partner wie IT-Deol übernimmt das gemeinsam mit dir. Das beginnt mit einer Bestandsaufnahme der vorhandenen Technik und Lizenzen, geht über eine Prioritätenbewertung bis hin zum konkreten Budgetplan für das nächste Jahr. Du brauchst dafür kein IT-Wissen – du brauchst jemanden, der dein Unternehmen kennt und die richtigen Fragen stellt.

Quellen

¹ Bitkom, Primärquelle: https://www.bitkom.org/Presse/Presseinformation/Bitkom-Studie-IT-Kosten-Mittelstand-2023

² ifo Institut, Primärquelle: https://www.ifo.de/publikationen/2022/aufsatz-zeitschrift/digitalisierung-und-produktivitaet-im-mittelstand

³ BSI, Primärquelle: https://www.bsi.bund.de/DE/Service-Navi/Publikationen/Lagebericht/lagebericht_node.html

⁴ EUR-Lex, Primärquelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679

Dein Smartphone klingelt, eine SMS kündigt ein Paket an, das du gar nicht erwartest. Kurz darauf ruft jemand an, gibt sich als Mitarbeiter deiner Bank aus und klingt dabei erstaunlich seriös. Genau in solchen Momenten setzen Cyberkriminelle an, wenn sie mit Smishing und Vishing ihre Opfer ins Visier nehmen. Beide Methoden verlagern den klassischen Phishing-Angriff vom E-Mail-Postfach auf Kanäle, denen die meisten Menschen deutlich mehr vertrauen. Für Unternehmen in Köln und im Umland wird das zunehmend zum Problem, weil Mitarbeiter mit ihren Diensthandys längst auf Firmennetzwerke, Kundendaten und Zahlungsfreigaben zugreifen. Wer hier unvorbereitet ist, riskiert finanzielle Schäden und gleichzeitig den Verlust sensibler Geschäftsdaten.

Das Bundesamt für Sicherheit in der Informationstechnik beobachtet seit Monaten eine deutliche Verschiebung der Angriffe in Richtung mobiler Geräte. IT-Deol erlebt diese Entwicklung in der täglichen Arbeit mit Unternehmen aus der Region Köln und sieht, wie professionell die Maschen mittlerweile aufgebaut sind. In diesem Beitrag erfährst du, wie Smishing und Vishing funktionieren, warum gerade dein Betrieb interessant für Angreifer ist und mit welchen konkreten Maßnahmen du dich und deine Belegschaft wirksam schützen kannst.

Was Smishing und Vishing eigentlich bedeuten

Smishing: der Betrug per Kurznachricht

Der Begriff Smishing setzt sich aus den Wörtern SMS und Phishing zusammen und beschreibt betrügerische Kurznachrichten, die dich zu einer unüberlegten Handlung verleiten sollen. Das Bundesamt für Sicherheit in der Informationstechnik beschreibt Smishing als eine Angriffsvariante, deren vorrangiges Ziel es ist, Zugangsdaten abzugreifen und diese anschließend für weitere Betrügereien zu missbrauchen.¹ Die Nachrichten geben sich häufig als Paketdienst aus, der über eine angebliche Sendungsverfolgung oder ein Zustellproblem informiert. Manchmal tarnen sie sich auch als Onlineshop, der eine offene Zahlung anmahnt. In jeder dieser Nachrichten steckt ein Link, der auf eine gefälschte Webseite oder direkt zu einer Schadsoftware führt.

Vishing: der Betrug per Telefonanruf

Vishing wiederum steht für Voice Phishing, also den Betrug per Sprachanruf. Hier ruft dich jemand an und gibt sich als Mitarbeiter deiner Bank, als technischer Support oder als Behördenvertreter aus. Auch hier zielt die Masche darauf ab, persönliche Daten zu erbeuten oder eine direkte Überweisung auszulösen. Das BSI weist darauf hin, dass neben Geld auch persönliche Daten das Ziel solcher Anrufe sind, die ein vermeintlicher IT-Support-Mitarbeiter scheinbar nebenbei abfragt.² Diese Informationen verwenden die Täter dann für weitere kriminelle Zwecke. Beide Angriffsformen sind eng miteinander verwandt und unterscheiden sich nur im genutzten Kanal.

Warum die Begriffe vielen Unternehmern unbekannt sind

Spannend ist, dass viele Unternehmer den Fachbegriff gar nicht kennen, die Masche selbst aber sehr wohl schon einmal erlebt haben. Genau das macht die Aufklärung so wichtig. Wer weiß, dass eine harmlos wirkende SMS oder ein freundlicher Anruf ein gezielter Angriff sein kann, reagiert im Ernstfall deutlich besonnener. IT-Deol legt in der Beratung von Kölner Betrieben großen Wert darauf, dass die Technik stimmt und das Bewusstsein in der Belegschaft gleichermaßen vorhanden ist.

Die Verbindung zum klassischen Phishing

Wichtig ist auch die Abgrenzung zum klassischen Phishing per E-Mail, das den meisten Unternehmern bereits ein Begriff ist. Beim Smishing und Vishing nutzen die Täter dieselbe Grundidee, sie verlagern den Köder lediglich auf Kanäle mit höherer Vertrauenswürdigkeit. Eine E-Mail im Postfach wird heute oft kritisch geprüft, eine SMS oder ein Anruf hingegen seltener hinterfragt. Diese Lücke im Sicherheitsbewusstsein machen sich die Angreifer gezielt zunutze. Für ein Unternehmen in Köln ergibt sich daraus die Aufgabe, das geschärfte Misstrauen gegenüber E-Mails konsequent auf alle anderen Kommunikationswege auszuweiten. Erst wenn Smishing und Vishing im Kopf der Mitarbeiter denselben Stellenwert einnehmen wie eine verdächtige E-Mail, entsteht ein durchgängiger Schutz.

Warum die Angriffe ausgerechnet aufs Smartphone wandern

Das Handy als Vertrauensgerät

Cyberkriminelle handeln nicht zufällig, wenn sie ihre Aktivitäten auf mobile Geräte verlagern. Das Smartphone ist zum ständigen Begleiter für sensible Vorgänge geworden, vom Online-Banking über den Zugriff auf das Firmenpostfach bis zur Freigabe von Zahlungen. Genau dieses Vertrauen nutzen die Täter aus. Auf dem kleinen Display lassen sich gefälschte Links und betrügerische Absender deutlich schwerer erkennen als am großen Bildschirm eines Computers. Vollständige Internetadressen sind oft gar nicht sichtbar, sodass eine seriös wirkende Kurzadresse leicht über eine gefälschte Webseite hinwegtäuscht.

Tempo und Hektik im Arbeitsalltag

Hinzu kommt das Tempo, in dem viele Menschen ihr Handy bedienen. Eine SMS wird zwischen zwei Terminen schnell überflogen, ein Anruf während der Arbeit angenommen, ohne lange nachzudenken. Diese alltägliche Hektik begünstigt unüberlegte Reaktionen, auf die es die Angreifer abgesehen haben. Die kleinen Bildschirme und die schnelle Bedienung sind also keine technischen Lücken, sie spielen den Tätern psychologisch in die Hände. Für ein Unternehmen in Köln bedeutet das, dass jeder Mitarbeiter mit Diensthandy zu einem potenziellen Einfallstor wird.

Warum Standardfilter nicht ausreichen

Besonders alarmierend ist die Beobachtung, dass herkömmliche Sicherheitsfilter nur einen Bruchteil der mobilen Bedrohungen abfangen. Nach Branchenanalysen blockieren klassische Filter lediglich 25 bis 35 Prozent der mobilen Angriffe, während moderne, KI-gestützte Abwehrsysteme Erkennungsraten von über 96 Prozent erreichen.³ Diese Zahlen verdeutlichen, dass ein Betrieb sich nicht allein auf Standardschutz verlassen darf. IT-Deol unterstützt Unternehmen in der Region Köln dabei, die richtige Kombination aus Technik und Schulung zu finden, damit die mobile Angriffsfläche möglichst klein bleibt.

Wenn künstliche Intelligenz die Stimme des Chefs imitiert

Stimmen klonen mit wenigen Sekunden Audio

Die wohl beunruhigendste Entwicklung der vergangenen Monate betrifft den Einsatz künstlicher Intelligenz beim Vishing. Mit nur wenigen Sekunden Audiomaterial, das oft aus sozialen Netzwerken oder öffentlichen Auftritten stammt, klonen Kriminelle eine Stimme täuschend echt. Das Bundesamt für Sicherheit in der Informationstechnik warnt davor, dass Betrüger mit dieser Technik in Telefonaten authentisch als Vorgesetzte oder Bankmitarbeiter auftreten und so Geld erpressen.⁴ Für den Angerufenen klingt der vermeintliche Geschäftsführer dann genauso wie immer, was die Hemmschwelle für eine schnelle Zahlung dramatisch senkt.

Wenn SMS und Anruf zusammenwirken

Diese Methode verschmilzt zunehmend mit anderen Angriffsformen zu sogenannten kombinierten Bedrohungen. Ein Mitarbeiter erhält zunächst eine SMS, die ihn auf einen angeblich dringenden Vorgang vorbereitet, kurz darauf folgt der Anruf mit der geklonten Stimme. Dieses abgestimmte Vorgehen wirkt enorm glaubwürdig und setzt die Zielperson gezielt unter Druck. Gerade in kleineren und mittleren Unternehmen, in denen Entscheidungswege kurz sind und der Chef persönlich anweist, kann eine solche Masche verheerend wirken.

Was das für Kölner Betriebe bedeutet

Für Kölner Betriebe heißt das, dass die altbekannte Faustregel, eine vertraute Stimme sei ein verlässlicher Beweis, nicht mehr gilt. Eine geklonte Stimme ist heute keine Zukunftsmusik mehr und gehört zur gelebten Realität in der aktuellen Bedrohungslandschaft. Umso wichtiger werden klare interne Abläufe, die eine Zahlungsfreigabe niemals allein von einem Telefonat abhängig machen. IT-Deol hilft Unternehmen dabei, genau solche Prozesse zu etablieren, damit eine einzelne überzeugende Stimme keinen finanziellen Schaden auslösen kann.

Warum die Vielfalt der Region ein Faktor ist

Köln ist als Wirtschaftsstandort von einer dichten Landschaft aus Handwerksbetrieben, Agenturen, Kanzleien und mittelständischen Dienstleistern geprägt, die alle auf reibungslose Kommunikation angewiesen sind. Gerade diese Vielfalt macht die Region für Angreifer attraktiv, weil sich Smishing und Vishing breit gestreut ausspielen lassen. Ein Betrieb mit vielen Außendienstmitarbeitern, die unterwegs auf SMS und Anrufe reagieren, bietet eine größere Angriffsfläche als ein rein stationäres Büro. Auch Unternehmen mit engen Lieferantenbeziehungen geraten ins Visier, weil sich gefälschte Zahlungsaufforderungen dort besonders glaubwürdig einfügen. Wer die typischen Abläufe seines eigenen Betriebs kennt, kann gemeinsam mit IT-Deol gezielt die Stellen absichern, an denen Smishing und Vishing den größten Schaden anrichten würden.

Typische Maschen, die du kennen solltest

Die gängigen Smishing-Vorwände

Die Angreifer arbeiten mit einem festen Repertoire an Vorwänden, die immer wieder auftauchen. Beim Smishing dominieren gefälschte Paketbenachrichtigungen, in denen ein Zustelldienst angeblich ein Problem mit deiner Sendung hat. Häufig wird Druck aufgebaut, indem behauptet wird, das Paket gehe ohne deine Reaktion zurück an den Absender. Andere Nachrichten geben vor, dein Smartphone sei bereits mit einem Schadprogramm infiziert oder es liege eine nicht zustellbare Sprachnachricht vor. Erst der Klick auf den enthaltenen Link und der anschließende Download installieren die eigentliche Schadsoftware.

Die typischen Vishing-Rollen am Telefon

Beim Vishing setzen die Täter auf die Autorität vermeintlich seriöser Absender. Ein angeblicher Bankmitarbeiter meldet verdächtige Kontobewegungen und bittet um die Bestätigung von Zugangsdaten. Ein falscher IT-Support behauptet, ein dringendes Sicherheitsproblem auf dem Rechner gefunden zu haben und benötige Fernzugriff. In Unternehmen ist die Masche des angeblichen Vorgesetzten besonders gefährlich, der eine eilige Überweisung anweist und dabei auf Vertraulichkeit pocht. Das BSI rät, am Telefon grundsätzlich keine persönlichen Daten herauszugeben und im Zweifel einfach aufzulegen.⁵

Das gemeinsame Warnsignal Dringlichkeit

Ein wichtiges Erkennungsmerkmal bleibt die künstlich erzeugte Dringlichkeit. Wer dich zu einer sofortigen Handlung drängt, dir keine Bedenkzeit lässt und auf Geheimhaltung besteht, verfolgt fast immer eine betrügerische Absicht. Seriöse Banken, Behörden und Dienstleister setzen ihre Kunden nicht auf diese Weise unter Zeitdruck. Wenn du dieses Muster einmal verinnerlicht hast, fällt es dir deutlich leichter, einen Angriffsversuch frühzeitig zu durchschauen, egal über welchen Kanal er dich erreicht.

So schützt du dein Unternehmen wirksam

Sensibilisierung der Mitarbeiter

Der wirksamste Schutz beginnt im Kopf deiner Mitarbeiter. Regelmäßige Schulungen, in denen reale Beispiele für Smishing und Vishing besprochen werden, schärfen das Bewusstsein nachhaltig. Wenn dein Team weiß, dass eine SMS mit Paketlink oder ein dringender Anruf des angeblichen Chefs ein Angriff sein kann, sinkt die Erfolgsquote der Täter erheblich. Wichtig ist eine offene Fehlerkultur, in der niemand Angst haben muss, einen Verdachtsfall oder sogar einen versehentlichen Klick zu melden. Je früher ein Vorfall bekannt wird, desto schneller lässt sich der Schaden begrenzen.

Technische Grundregeln im Betrieb

Auf der technischen Seite empfiehlt das BSI klare Verhaltensregeln, die du in deinem Betrieb verankern solltest. Klicke niemals auf Links in verdächtigen Kurznachrichten und lade keine Dateien aus unbekannten Quellen herunter.⁶ Die Installation von Apps sollte ausschließlich über die offiziellen Stores von Google und Apple erfolgen, da Anwendungen aus fremden Quellen ein erhebliches Risiko darstellen. Eine Mehr-Faktor-Authentifizierung für wichtige Konten erschwert es Angreifern zusätzlich, selbst mit erbeuteten Zugangsdaten Schaden anzurichten. Diese Maßnahmen kosten wenig und entfalten in der Summe eine große Schutzwirkung.

Klare Abläufe gegen Telefonbetrug

Gegen die besonders perfiden Vishing-Anrufe hilft ein vereinbartes Vorgehen. Das BSI schlägt vor, mit der eigenen Bank ein geheimes Code-Wort zu vereinbaren, um ein vertrauliches und echtes Gespräch am Telefon zu führen.⁷ Für interne Zahlungsfreigaben gilt im Unternehmen das Vier-Augen-Prinzip, sodass keine Überweisung jemals allein auf Basis eines Anrufs ausgelöst wird. Verdächtige Nummern lassen sich sperren und bei der Bundesnetzagentur melden, womit du auch andere vor denselben Tätern schützt. IT-Deol unterstützt Betriebe in Köln dabei, diese organisatorischen und technischen Bausteine zu einem stimmigen Gesamtkonzept zusammenzufügen.

Die Belegschaft als stärkste Verteidigungslinie

Geschulte Mitarbeiter erkennen Angriffe früh

Technik allein gewinnt den Kampf gegen Smishing und Vishing nicht. Die entscheidende Verteidigungslinie sind die Menschen, die täglich Nachrichten lesen und Anrufe entgegennehmen. Ein gut geschulter Mitarbeiter erkennt eine verdächtige SMS oder einen merkwürdigen Anruf, bevor Schaden entsteht. Deshalb lohnt es sich, das Thema regelmäßig im Betrieb präsent zu halten, etwa durch kurze Auffrischungen in Teammeetings oder durch simulierte Testangriffe, die das Gelernte überprüfen. Solche Übungen nehmen die Scheu vor dem Thema und machen aus abstrakten Warnungen konkrete Handlungssicherheit.

Einfache Faustregeln für den Alltag

Hilfreich ist es, im Unternehmen einfache Faustregeln zu etablieren, an denen sich jeder orientieren kann. Eine davon lautet, bei jeder unerwarteten Aufforderung zu einer Zahlung oder Datenpreisgabe einen Moment innezuhalten und über einen zweiten, bekannten Kanal Rücksprache zu halten. Eine weitere Regel besagt, dass keine Information am Telefon herausgegeben wird, deren Echtheit sich nicht zweifelsfrei prüfen lässt. Diese klaren Leitlinien geben den Mitarbeitern Halt in genau den stressigen Situationen, die Smishing und Vishing bewusst erzeugen. Je selbstverständlicher diese Reflexe sitzen, desto kleiner wird das Zeitfenster, in dem ein Angriff überhaupt funktionieren kann.

Sicherheitskultur als dauerhafte Aufgabe

Für Kölner Unternehmen bietet es sich an, diese Sensibilisierung in ein dauerhaftes Sicherheitskonzept einzubetten, das mit der Bedrohungslage mitwächst. Da sich die Methoden der Angreifer ständig weiterentwickeln, sollte auch das Wissen der Belegschaft regelmäßig aktualisiert werden. IT-Deol begleitet Betriebe in der Region dabei, ein solches lebendiges Schutzkonzept aufzubauen, das Schulungen, Verhaltensregeln und technische Absicherung miteinander verbindet. So entsteht eine Sicherheitskultur, in der Smishing und Vishing ihren Schrecken verlieren und die Mitarbeiter selbstbewusst mit verdächtigen Kontaktversuchen umgehen.

Wenn der Ernstfall eingetreten ist

Die ersten Sofortmaßnahmen

Trotz aller Vorsicht kann es passieren, dass ein Mitarbeiter auf einen Link klickt oder am Telefon Daten preisgibt. In diesem Fall zählt jede Minute. Trenne das betroffene Gerät umgehend vom Netzwerk, um eine Ausbreitung der Schadsoftware zu verhindern. Ändere anschließend alle Passwörter, die kompromittiert sein könnten, idealerweise von einem anderen, sicheren Gerät aus. Informiere bei verdächtigen Kontobewegungen sofort deine Bank, damit Transaktionen gestoppt oder rückgängig gemacht werden können, solange dies noch möglich ist.

Dokumentation und Meldepflichten

Ebenso wichtig ist die Dokumentation des Vorfalls. Halte fest, welche Nachricht oder welcher Anruf eingegangen ist, welche Handlungen erfolgten und welche Daten betroffen sein könnten. Diese Informationen helfen einem IT-Dienstleister, das Ausmaß einzuschätzen und die richtigen Gegenmaßnahmen einzuleiten. Bei einem ernsthaften Sicherheitsvorfall solltest du zudem prüfen, ob eine Meldepflicht besteht, etwa wenn personenbezogene Daten betroffen sind. Ein erfahrener Partner wie IT-Deol begleitet Kölner Unternehmen durch genau diese kritische Phase und sorgt dafür, dass aus einem Zwischenfall kein Desaster wird.

Schutz als fortlaufender Prozess

Am Ende zeigt sich, dass Smishing und Vishing keine abstrakte Bedrohung ferner Konzerne bleiben und für jeden Betrieb in Köln und der Region eine reale Gefahr darstellen. Wer die Maschen kennt, seine Mitarbeiter schult und klare Abläufe etabliert, nimmt den Angreifern den Großteil ihrer Wirkung. Die Kombination aus wachsamen Menschen und durchdachter Technik bleibt der beste Schutz vor SMS- und Telefonbetrug. IT-Deol steht dir dabei als Ansprechpartner zur Seite, damit dein Unternehmen sicher durch eine zunehmend mobile Bedrohungslandschaft navigiert.

---

Häufige Fragen zum Thema

Was bedeutet es, wenn ich eine SMS mit einem komischen Paketlink bekomme?

Sehr wahrscheinlich handelt es sich um Smishing, also Betrug per SMS. Kriminelle geben sich als Paketdienst aus und wollen dich dazu bringen, auf einen Link zu klicken, der auf eine gefälschte Seite oder zu Schadsoftware führt. Wenn du gar kein Paket erwartest, solltest du die Nachricht löschen und den Link auf keinen Fall öffnen.

Jemand hat angerufen und sich als meine Bank ausgegeben, ist das gefährlich?

Das kann ein Vishing-Versuch sein, also Betrug per Telefonanruf. Echte Banken fragen am Telefon niemals nach Passwörtern, PINs oder TANs. Gib keine persönlichen Daten heraus, lege auf und rufe deine Bank über die offizielle Nummer auf der Rückseite deiner Karte zurück, um den Vorgang zu prüfen.

Kann am Telefon wirklich die Stimme meines Chefs nachgemacht werden?

Ja, das ist mit künstlicher Intelligenz inzwischen möglich. Mit wenigen Sekunden Audiomaterial lässt sich eine Stimme täuschend echt klonen. Deshalb solltest du Zahlungsanweisungen niemals allein aufgrund eines Anrufs ausführen, auch wenn die Stimme vertraut klingt, sondern immer über einen zweiten Weg bestätigen.

Warum bekomme ich solche Betrugsversuche immer auf dem Handy?

Cyberkriminelle haben es gezielt auf Smartphones abgesehen, weil Menschen ihrem Handy mehr vertrauen und es für sensible Vorgänge wie Banking nutzen. Auf dem kleinen Display sind gefälschte Links schwerer zu erkennen, und die schnelle Bedienung führt zu unüberlegten Reaktionen, die die Täter ausnutzen.

Reicht ein normales Virenschutzprogramm gegen diese Angriffe aus?

Ein klassischer Schutz allein genügt meist nicht, da herkömmliche Filter nur einen kleinen Teil der mobilen Bedrohungen abfangen. Wirksamer Schutz entsteht aus der Kombination von geschulten Mitarbeitern, klaren internen Abläufen und moderner Sicherheitstechnik. Ein IT-Dienstleister kann das passende Gesamtkonzept für deinen Betrieb zusammenstellen.

Was mache ich, wenn ein Mitarbeiter aus Versehen auf so einen Link geklickt hat?

Handle schnell und ohne Schuldzuweisungen. Trenne das Gerät vom Netzwerk, ändere betroffene Passwörter von einem anderen Gerät aus und informiere bei Bankbezug sofort dein Geldinstitut. Dokumentiere den Vorfall genau, damit ein IT-Fachmann das Ausmaß einschätzen und die richtigen Schritte einleiten kann.

Wie erkenne ich überhaupt, ob eine Nachricht oder ein Anruf Betrug ist?

Das deutlichste Warnsignal ist künstlich erzeugte Dringlichkeit. Wenn du sofort handeln sollst, keine Bedenkzeit bekommst und zur Geheimhaltung gedrängt wirst, ist Vorsicht geboten. Seriöse Banken, Behörden und Dienstleister setzen dich nicht unter solchen Zeitdruck, weder per SMS noch am Telefon.

Was hilft konkret gegen die Anrufe mit gefälschter Stimme?

Im Unternehmen hilft das Vier-Augen-Prinzip bei Zahlungsfreigaben, sodass keine Überweisung allein durch einen Anruf ausgelöst wird. Mit deiner Bank kannst du ein geheimes Code-Wort vereinbaren, um echte Gespräche zu bestätigen. Verdächtige Nummern lassen sich sperren und bei der Bundesnetzagentur melden.

Müssen wir so einen Vorfall eigentlich melden?

Das hängt vom Einzelfall ab. Wenn personenbezogene Daten betroffen sind, kann eine Meldepflicht bestehen. Im Zweifel solltest du einen IT-Dienstleister oder Datenschutzbeauftragten hinzuziehen, der einschätzt, ob und wo eine Meldung erforderlich ist, und dich durch den Prozess begleitet.

Sind kleine Unternehmen in Köln überhaupt ein lohnendes Ziel für so etwas?

Gerade kleinere und mittlere Betriebe sind interessant, weil dort oft kurze Entscheidungswege herrschen und der Chef persönlich Anweisungen gibt. Diese Strukturen nutzen Angreifer gezielt aus. Niemand ist zu klein für einen Angriff, deshalb lohnt sich Schutz für jeden Betrieb unabhängig von der Größe.

---

Quellen

¹ Bundesamt für Sicherheit in der Informationstechnik (BSI), Passwortdiebstahl durch Phishing, Primärquelle: https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Cyber-Sicherheitslage/Methoden-der-Cyber-Kriminalitaet/Spam-Phishing-Co/Passwortdiebstahl-durch-Phishing/passwortdiebstahl-durch-phishing_node.html

² Bundesamt für Sicherheit in der Informationstechnik (BSI), Hinweise zu Vishing-Anrufen, Primärquelle: https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Cyber-Sicherheitslage/Methoden-der-Cyber-Kriminalitaet/Spam-Phishing-Co/Passwortdiebstahl-durch-Phishing/passwortdiebstahl-durch-phishing_node.html

³ BornCity, BSI warnt vor massiver KI-Betrugswelle auf Smartphones, Primärquelle: https://borncity.com/news/bsi-warnt-vor-massiver-ki-betrugswelle-auf-smartphones/

⁴ Bundesamt für Sicherheit in der Informationstechnik (BSI), Warnung vor KI-gestütztem Vishing, Primärquelle: https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Cyber-Sicherheitslage/Methoden-der-Cyber-Kriminalitaet/Spam-Phishing-Co/Passwortdiebstahl-durch-Phishing/passwortdiebstahl-durch-phishing_node.html

⁵ Bundesamt für Sicherheit in der Informationstechnik (BSI), BSI-Tipp zum Umgang mit Vishing-Anrufen, Primärquelle: https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Cyber-Sicherheitslage/Methoden-der-Cyber-Kriminalitaet/Spam-Phishing-Co/Passwortdiebstahl-durch-Phishing/passwortdiebstahl-durch-phishing_node.html

⁶ Bundesamt für Sicherheit in der Informationstechnik (BSI), Wie schützt man sich gegen Phishing, Primärquelle: https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Cyber-Sicherheitslage/Methoden-der-Cyber-Kriminalitaet/Spam-Phishing-Co/Passwortdiebstahl-durch-Phishing/Schutz-gegen-Phishing/schutz-gegen-phishing_node.html

⁷ Bundesamt für Sicherheit in der Informationstechnik (BSI), BSI-Tipp Code-Wort mit der Bank, Primärquelle: https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Cyber-Sicherheitslage/Methoden-der-Cyber-Kriminalitaet/Spam-Phishing-Co/Passwortdiebstahl-durch-Phishing/passwortdiebstahl-durch-phishing_node.html

Was Living-off-the-Land-Angriffe für dein Unternehmen wirklich bedeuten

Der unsichtbare Einbrecher, der die Hausschlüssel schon hat

Stell dir vor, ein Einbrecher kommt nicht mit Brecheisen und Bohrmaschine, sondern benutzt einfach die Schlüssel, die schon im Schloss stecken. Genau so funktionieren Living-off-the-Land-Angriffe in der Praxis und genau das macht sie für mittelständische Unternehmen so gefährlich.

Bei einem solchen Angriff schleusen die Täter keine fremde Schadsoftware ein, sondern missbrauchen Programme, die auf deinem System ohnehin schon vorhanden sind. Sie greifen zu Werkzeugen wie PowerShell oder der Windows-Eingabeaufforderung, die deine eigenen IT-Leute täglich für ganz normale Aufgaben verwenden.

Diese Methode hat den Cyberkriminellen in den letzten Jahren enormen Auftrieb gegeben und betrifft heute Betriebe jeder Größe. Wer in der Region Köln, Bonn, Siegburg und Lohmar einen Handwerksbetrieb, eine Kanzlei oder ein produzierendes Unternehmen führt, steht damit im selben Fadenkreuz wie ein Großkonzern. Das Team von IT-Deol erlebt diese Angriffsform in der Praxis regelmäßig.

Woher der Begriff kommt und was dahintersteckt

Eine Metapher aus der Wildnis

Der Ausdruck stammt aus der Überlebenskunst und beschreibt Menschen, die sich allein von dem ernähren, was ihre Umgebung hergibt. Übertragen auf die IT bedeutet das, dass sich ein Angreifer aus den vorhandenen Bordmitteln deines Systems bedient, statt eigene Ausrüstung mitzubringen.

Klassische Schadsoftware bringt verräterische Dateien auf die Festplatte, die ein Virenscanner anhand bekannter Signaturen aufspüren kann. Bei dateilosen Angriffen dieser Art läuft vieles direkt im Arbeitsspeicher ab, sodass auf der Festplatte oft gar keine eindeutig schädliche Datei landet, die Alarm auslösen könnte.

Damit verschiebt sich die ganze Logik der Verteidigung. Du suchst nicht mehr nach einem fremden Eindringling mit einem Steckbrief, sondern nach verdächtigem Verhalten bei Programmen, die eigentlich zu deinem System gehören. Diese Verschiebung haben viele Sicherheitskonzepte bisher kaum berücksichtigt.

Warum dein Virenscanner diese Angriffe nicht sieht

Vertrauen wird zur Schwachstelle

Ein klassischer Virenscanner arbeitet im Kern wie ein Türsteher mit einer Fahndungsliste und prüft jede Datei gegen bekannte Muster bösartiger Software. Genau dieses Prinzip läuft bei Living-off-the-Land-Angriffen ins Leere, weil die verwendeten Programme auf keiner Fahndungsliste stehen.

PowerShell, die Eingabeaufforderung und ähnliche Verwaltungswerkzeuge gelten als vertrauenswürdig, weil sie fester Bestandteil von Windows sind und von Administratoren ständig genutzt werden. Sicherheitslösungen schlagen bei ihnen normalerweise keinen Alarm, weil ihr Einsatz zum ganz normalen Betriebsalltag gehört.

Hinzu kommt der fehlende Dateifokus, weil viele bösartige Aktionen ausschließlich im Arbeitsspeicher stattfinden und keine Spuren auf der Festplatte hinterlassen. Für signaturbasierte Schutzprogramme bleibt damit kaum etwas übrig, woran sie einen Angriff überhaupt festmachen könnten. Die Fachleute von IT-Deol setzen deshalb auf Verfahren, die das Verhalten von Prozessen beobachten.

PowerShell, WMI und Co. – Die Werkzeuge, die zur Waffe werden

Aus Helfern werden Komplizen

In der Fachwelt heißen die missbrauchten Programme LOLBins, also Living Off the Land Binaries, womit systemeigene Werkzeuge gemeint sind, die ursprünglich für ganz normale Verwaltungsaufgaben gedacht waren. Das LOLBAS-Projekt dokumentiert mittlerweile über zweihundert solcher Windows-Komponenten, die sich zweckentfremden lassen.

PowerShell gilt als das mächtigste dieser Werkzeuge, weil es Skripte ausführt, Systemeinstellungen ändert und tief auf das Betriebssystem zugreift. Direkt dahinter folgt die Windows Management Instrumentation, kurz WMI, die Angreifern hilft, sich dauerhaft im System einzunisten und seitlich durch das Netzwerk zu wandern.

Auch certutil.exe taucht in vielen Angriffen auf, weil dieses eigentlich für Zertifikate zuständige Programm sich zum Herunterladen und Entschlüsseln von Schadcode missbrauchen lässt. Hinzu kommen mshta.exe für schädliche Skripte, rundll32.exe zum Ausführen manipulierter Bibliotheken und der Task Scheduler für die dauerhafte Verankerung im System.

Weil moderne Angreifer mehrere dieser Werkzeuge geschickt zu einer Kette verbinden, sieht der gesamte Ablauf am Ende wie ganz normale Administratorarbeit aus. IT-Deol kennt diese Werkzeugkästen genau und weiß, an welchen Stellen sich verdächtige Nutzung von echter Verwaltung unterscheiden lässt.

So läuft ein Living-off-the-Land-Angriff in der Praxis ab

Von der E-Mail bis zum Datenabfluss

Am Anfang steht fast immer ein ganz gewöhnlicher Türöffner, etwa eine Phishing-Mail mit einem präparierten Office-Dokument oder ein geklautes Passwort aus einem früheren Datenleck. Ein unbedachter Klick auf einen Anhang reicht oft schon aus, um die erste Tür zu öffnen.

Sobald das Dokument geöffnet wird, startet ein Makro im Hintergrund die PowerShell und führt verschleierte Befehle aus, ohne dass der Mitarbeiter etwas Auffälliges bemerkt. Über certutil lädt der Angreifer weitere Bausteine nach und verankert sich über den Task Scheduler dauerhaft im System.

Danach beginnt die seitliche Bewegung durch das Netzwerk, bei der sich die Täter mit WMI von Rechner zu Rechner hangeln und nach wertvollen Daten suchen. Dieser Prozess zieht sich oft über Wochen oder Monate hin, weil jede einzelne Aktion wie legitime Verwaltung aussieht.

Am Ende der Kette steht der eigentliche Schaden, also der Abfluss sensibler Daten oder die Verschlüsselung ganzer Systeme durch eine Ransomware-Bande. Häufig bemerken Unternehmen den Angriff erst, wenn die Erpresser ihre Forderung stellen oder Kunden auf abgeflossene Daten hinweisen.

Je früher in dieser Kette ein verdächtiger Schritt auffällt, desto geringer fällt der spätere Schaden für deinen Betrieb aus. IT-Deol unterstützt Unternehmen dabei, diese Angriffskette an möglichst früher Stelle zu unterbrechen, etwa beim ersten ungewöhnlichen Skriptaufruf.

Reale Fälle – Von Volt Typhoon bis zu Ransomware-Banden

Wenn Theorie zur Schlagzeile wird

Der wohl bekannteste Fall trägt den Namen Volt Typhoon, eine staatlich gesteuerte Gruppe, die sich über lange Zeit in kritischer Infrastruktur in den USA einnistete. Diese Angreifer kamen ohne eigene Schadsoftware aus und nutzten ausschließlich systemeigene Werkzeuge sowie gültige Zugangsdaten.

Auch die Ransomware-Bande Black Basta setzt regelmäßig auf diese Methode, weil sich ihre Aktivitäten dadurch nur schwer von normalem Betrieb unterscheiden lassen. Die Schadsoftware Emotet wiederum verbreitete sich jahrelang über Office-Makros, die im Hintergrund PowerShell-Skripte starteten und weitere Schadbausteine nachluden.

Sicherheitsbehörden ordnen diese Techniken inzwischen über das MITRE-ATT&CK-Framework ein und stellen fest, dass staatliche Akteure und gewöhnliche Erpresserbanden nahezu identische Werkzeuge verwenden. Für dich heißt das, dass du deine Abwehr nicht an einer bestimmten Tätergruppe ausrichten kannst. IT-Deol berät Unternehmen in der Region zu genau dieser Bedrohungslage.

Warum gerade kleine und mittlere Unternehmen im Visier stehen

Der Mittelstand als lohnendes Ziel

Viele Inhaber kleinerer Betriebe glauben noch immer, dass sie für Cyberkriminelle zu unbedeutend seien, doch genau diese Annahme macht sie zu einem dankbaren Ziel. Angreifer suchen sich bewusst Unternehmen aus, bei denen sie wenig Widerstand und kaum Überwachung erwarten.

In mittelständischen Firmen fehlt oft das Personal für eine durchgehende Beobachtung der Systeme, sodass verdächtige Aktivitäten lange unbemerkt bleiben. Hinzu kommt, dass viele Betriebe als Zulieferer in größeren Lieferketten stecken und damit als Sprungbrett zu lohnenderen Zielen dienen.

Gerade im wirtschaftsstarken Dreieck zwischen Köln, Bonn und Siegburg gibt es zahlreiche spezialisierte Mittelständler mit wertvollem Know-how und sensiblen Kundendaten. IT-Deol aus Lohmar kennt die Sorgen dieser Unternehmen aus der täglichen Arbeit und richtet seine Schutzkonzepte gezielt auf die Bedürfnisse regionaler Betriebe aus.

Die größten Warnsignale, an denen du einen Angriff erkennst

Auf das Verhalten kommt es an

Weil keine verräterische Datei existiert, musst du deinen Blick auf ungewöhnliches Verhalten richten und nach Abläufen suchen, die nicht zum normalen Betrieb passen. Ein klassisches Warnsignal ist eine PowerShell-Sitzung, die plötzlich von einem Office-Programm wie Word oder Excel gestartet wird.

Verdächtig sind außerdem geplante Aufgaben, die zu ungewöhnlichen Uhrzeiten auftauchen oder von Konten erstellt werden, die dafür eigentlich gar keine Berechtigung haben. Auch der Einsatz von certutil zum Herunterladen von Dateien gehört zu den Mustern, bei denen du genauer hinschauen solltest.

Sicherheitsbehörden empfehlen, den Kontext jeder Aktion zu bewerten und dabei Tageszeit, Benutzerrolle und die Herkunft des startenden Prozesses zu berücksichtigen. IT-Deol hilft dir dabei, diese Signale aus der täglichen Datenflut herauszufiltern und sie richtig zu deuten, bevor ein echter Schaden entsteht.

So schützt du dein Unternehmen wirksam

Härtung, Protokollierung und Aufmerksamkeit

Ein wirksamer Schutz beginnt mit der Härtung der am häufigsten missbrauchten Werkzeuge, allen voran PowerShell, dessen Aktivitäten du über das sogenannte Script Block Logging lückenlos aufzeichnen kannst. Diese Protokolle helfen dir, ungewöhnliche Befehle und verschleierte Skripte überhaupt erst sichtbar zu machen.

Über das gezielte Whitelisting legst du fest, welche Programme auf deinen Systemen ausgeführt werden dürfen, sodass missbrauchte Werkzeuge gar nicht erst zum Zug kommen. Ergänzend dazu kannst du den Zugriff auf Fernwartungswerkzeuge wie RDP über Geofencing auf bestimmte Regionen beschränken und so viele automatisierte Angriffe abblocken.

Beim Task Scheduler lohnt es sich, Alarmregeln für neu erstellte oder veränderte Aufgaben einzurichten und diese auf ungewöhnliche Zeitpunkte zu prüfen. Der orientierende Rahmen dafür ist der IT-Grundschutz des BSI, der gerade kleineren Unternehmen einen praktischen Werkzeugkasten für ein durchdachtes Sicherheitskonzept liefert.

Weil viele dieser Angriffe mit Social Engineering beginnen, gehören regelmäßige Schulungen deiner Mitarbeiter zu den wirksamsten Maßnahmen überhaupt. Ein Team, das eine verdächtige Mail erkennt und im Zweifel lieber nachfragt, schließt eines der größten Einfallstore von ganz allein.

IT-Deol verbindet technische Härtung mit praxisnahen Awareness-Schulungen und sorgt so für eine Verteidigung, die auf mehreren Ebenen gleichzeitig greift. Diese Kombination aus Technik und geschultem Personal hat sich gerade im Mittelstand als besonders tragfähig erwiesen.

Warum klassischer Virenschutz allein nicht mehr reicht

Vom Steckbrief zur Verhaltensanalyse

Ein reiner Virenscanner bleibt zwar weiterhin nützlich, doch gegen Angriffe mit systemeigenen Werkzeugen stößt er an seine natürlichen Grenzen, weil er nach bekannten Mustern statt nach verdächtigem Verhalten sucht. Moderne Schutzkonzepte setzen deshalb auf Endpoint Detection and Response, kurz EDR.

Diese Systeme beobachten fortlaufend, wie sich Prozesse auf einem Gerät verhalten, und schlagen Alarm, sobald Abläufe aus dem üblichen Rahmen fallen. Die sogenannte Verhaltensanalyse hat sich dabei als besonders treffsicher erwiesen und verbessert die Erkennungsrate solcher Angriffe deutlich gegenüber rein signaturbasierten Verfahren.

Entscheidend ist ein kontinuierliches Monitoring von Netzwerk und Endpunkten, das Anomalien im Verhalten von Nutzern und Geräten zuverlässig erkennt. IT-Deol bündelt diese Verfahren in seinen Managed-Security-Angeboten und nimmt seinen Kunden damit die personalintensive Dauerüberwachung ab, die im Alltag eines Mittelständlers kaum zu stemmen ist.

Wie IT-Deol dich vor unsichtbaren Angriffen schützt

Managed Services und Cyber Security aus einer Hand

Als IT-Systemhaus aus Lohmar betreut IT-Deol Unternehmen in der gesamten Region rund um Köln, Bonn und Siegburg und kennt die typischen Schwachstellen mittelständischer Strukturen aus der Praxis. Die Managed Services nehmen dir den laufenden Betrieb deiner IT ab und sorgen für aktuelle Systeme.

Gerade bei Living-off-the-Land-Angriffen zahlt sich diese dauerhafte Betreuung aus, weil veraltete Software und unbeobachtete Systeme zu den größten Einfallstoren gehören. Über das laufende Monitoring erkennt IT-Deol verdächtige Aktivitäten, lange bevor sie sich zu einem echten Sicherheitsvorfall auswachsen können.

Der Bereich Cyber Security ergänzt das Ganze um moderne Endpoint-Lösungen, durchdachte Härtung der Systeme und regelmäßige Schulungen deiner Belegschaft. Auf diese Weise verbindet IT-Deol Technik und menschliche Wachsamkeit zu einem Schutz, der genau dort ansetzt, wo diese heimtückischen Angriffe ihre Wirkung entfalten.

Wenn du wissen möchtest, wie gut dein Unternehmen gegen diese Form der Bedrohung aufgestellt ist, lohnt sich ein offenes Gespräch mit den Fachleuten von IT-Deol. Gemeinsam schaut ihr euch deine bestehende Umgebung an und entwickelt ein Schutzkonzept, das zu deinem Betrieb und deinem Budget passt.

---

Häufige Fragen zum Thema

Was ist ein Living-off-the-Land-Angriff in einfachen Worten?

Ein Living-off-the-Land-Angriff ist eine Methode, bei der Kriminelle keine eigene Schadsoftware einschleusen, sondern bereits vorhandene Programme deines Systems für ihre Zwecke missbrauchen. Sie nutzen also deine eigenen Windows-Werkzeuge, um unbemerkt Schaden anzurichten und der Erkennung zu entgehen.

Warum erkennt mein Virenscanner solche Angriffe nicht?

Ein klassischer Virenscanner sucht nach bekannten Schaddateien, doch bei dieser Angriffsform kommen ausschließlich vertrauenswürdige Systemprogramme zum Einsatz. Weil viele Aktionen nur im Arbeitsspeicher ablaufen, bleibt kaum eine verräterische Datei übrig, an der ein signaturbasierter Schutz den Angriff festmachen könnte.

Welche Programme werden bei solchen Angriffen am häufigsten missbraucht?

Zu den am häufigsten zweckentfremdeten Werkzeugen gehören PowerShell, die Windows Management Instrumentation sowie certutil, mshta und rundll32. Auch der Task Scheduler wird gern genutzt, weil sich Angreifer damit dauerhaft und unauffällig in einem kompromittierten System verankern können.

Sind kleine Unternehmen überhaupt betroffen?

Gerade kleine und mittlere Unternehmen geraten ins Visier, weil dort oft die Mittel für eine durchgehende Überwachung fehlen. Viele Betriebe stecken zudem als Zulieferer in Lieferketten und dienen Angreifern damit als bequemes Sprungbrett zu größeren und lohnenderen Zielen.

Wie läuft ein solcher Angriff typischerweise ab?

Meist beginnt alles mit einer Phishing-Mail oder gestohlenen Zugangsdaten, woraufhin im Hintergrund systemeigene Werkzeuge gestartet werden. Über Wochen hinweg bewegen sich die Täter durch das Netzwerk, sammeln Daten und schlagen am Ende mit Datendiebstahl oder einer Verschlüsselung zu.

Was sind die wichtigsten Warnsignale?

Ein deutliches Warnsignal ist eine PowerShell-Sitzung, die von einem Office-Programm gestartet wird, ebenso wie geplante Aufgaben zu ungewöhnlichen Zeiten. Auch der Einsatz von certutil zum Herunterladen von Dateien gehört zu den Mustern, die genauere Aufmerksamkeit verdienen.

Wie kann ich mein Unternehmen wirksam schützen?

Ein guter Schutz kombiniert die Härtung kritischer Werkzeuge, die Protokollierung von PowerShell, gezieltes Whitelisting und ein laufendes Monitoring deiner Systeme. Ergänzend dazu solltest du deine Mitarbeiter regelmäßig schulen, weil viele dieser Angriffe mit einem unbedachten Klick beginnen.

Reicht ein normaler Virenscanner heute noch aus?

Ein Virenscanner bleibt eine sinnvolle Grundlage, doch gegen Angriffe mit systemeigenen Werkzeugen braucht es zusätzlich eine Verhaltensanalyse. Moderne Systeme wie Endpoint Detection and Response erkennen verdächtige Abläufe, indem sie das Verhalten von Prozessen statt einzelner Dateien bewerten.

Was bedeutet eigentlich der Begriff LOLBins?

LOLBins steht für Living Off the Land Binaries und bezeichnet systemeigene Programme, die ursprünglich für Verwaltungsaufgaben gedacht sind. Das LOLBAS-Projekt dokumentiert über zweihundert solcher Windows-Komponenten samt ihrer legitimen und ihrer missbräuchlichen Verwendungsmöglichkeiten für Sicherheitsverantwortliche.

Wie unterstützt IT-Deol bei diesem Thema?

IT-Deol aus Lohmar verbindet Managed Services mit modernen Cyber-Security-Lösungen und übernimmt das laufende Monitoring deiner Systeme. Über Endpoint-Schutz, durchdachte Härtung und regelmäßige Schulungen sorgt das Team dafür, dass verdächtige Aktivitäten frühzeitig auffallen und Angriffe rechtzeitig gestoppt werden.

Du führst ein Unternehmen im Rheinland, und die IT läuft irgendwie mit, ohne dass du wirklich weißt, wohin sie eigentlich steuert. Genau dieses Gefühl kennen viele Geschäftsführer aus Köln, Bonn, Siegburg und Lohmar, wenn sie ehrlich auf ihre Technik schauen. Eine IT-Strategie ist der Plan, der diese diffuse Unsicherheit in eine nachvollziehbare Richtung verwandelt und Entscheidungen planbar macht. Du brauchst dafür kein Informatikstudium, sondern eine klare Vorstellung davon, was dein Betrieb in den nächsten Jahren erreichen soll.

Die meisten mittelständischen Firmen treffen ihre Technik-Entscheidungen reaktiv, wenn ein Server stirbt oder eine Software plötzlich nicht mehr funktioniert. So entstehen über Jahre hinweg gewachsene Flickenteppiche, die teuer im Unterhalt sind und am Ende niemanden im Betrieb wirklich glücklich machen. Eine durchdachte IT-Strategie dreht diese Logik um und sorgt dafür, dass jede Investition auf ein definiertes Ziel einzahlt. Ich zeige dir in sieben Schritten, wie du diese Linie findest, ganz ohne tief in technische Details einzutauchen.

Was eine IT-Strategie eigentlich ist (und was nicht)

Ein Plan, kein Aktenordner im Schrank

Eine IT-Strategie beschreibt mittelfristig, wie deine Technik die Ziele deines Unternehmens unterstützt und welche Wege du dafür gehst. Sie legt fest, in welche Systeme du investierst, welche du ausmusterst und ob du bestimmte Aufgaben lieber selbst betreibst oder an einen Partner abgibst. Wichtig ist die Erkenntnis, dass so ein Plan kein einmaliges Dokument ist, das nach der Erstellung im Regal verstaubt. Er lebt, wird in regelmäßigen Abständen geprüft und wächst mit den wechselnden Anforderungen deines Betriebs Schritt für Schritt weiter.

Der Unterschied zum täglichen IT-Betrieb

Der laufende IT-Betrieb kümmert sich um das Hier und Jetzt, also um Updates, Störungen und die Frage, warum der Drucker mal wieder streikt. Die Strategie schaut weiter nach vorne und beantwortet die Frage, wohin sich deine gesamte Technik in den kommenden drei bis fünf Jahren entwickeln soll. Ohne diese übergeordnete Linie bleibst du im Tagesgeschäft gefangen und löschst dauerhaft kleine Brände, anstatt vorausschauend für die kommenden Jahre zu planen. Genau deshalb gehört die strategische Ausrichtung auf den Tisch der Geschäftsführung und nicht allein in die Hände der Technikabteilung.

Schritt 1: Bestandsaufnahme – wo steht deine IT heute?

Eine ehrliche Inventur als Fundament

Bevor du planst, wohin die Reise geht, musst du wissen, wo du gerade stehst und was überhaupt vorhanden ist. Eine systematische Bestandsaufnahme erfasst deine komplette Hardware, alle Software-Lizenzen, die genutzten Cloud-Dienste und die Verbindungen zwischen den einzelnen Standorten. Diese Dokumentation schafft endlich Transparenz über eine Landschaft, die in vielen mittelständischen Betrieben über Jahre weitgehend unkontrolliert gewachsen ist. Du wirst überrascht sein, wie viele Programme und Verträge auftauchen, von denen im Alltag kaum noch jemand etwas weiß.

Versteckte Risiken sichtbar machen

Bei dieser Inventur fallen dir Schwachstellen auf, die im Tagesgeschäft gerne unter den Tisch fallen und niemandem bewusst sind. Gibt es bei dir veraltete Software, die seit vielen Monaten keine Sicherheitsupdates mehr bekommt und damit ein offenes Tor für Angreifer darstellt? Existieren in deinem Unternehmen Systeme, deren Ausfall sofort den kompletten Betrieb lahmlegen würde, weil es dafür keinerlei Ausweichlösung gibt? Genauso wichtig ist die Frage, ob dein Unternehmen von einzelnen Personen oder Dienstleistern abhängig ist, deren plötzlicher Wegfall dich handlungsunfähig machen würde.

Schritt 2: Geschäftsziele zuerst, Technik danach

Vom Unternehmensziel zur Anforderung

Der wohl häufigste Fehler im Mittelstand besteht darin, eine schicke Software zu kaufen und erst danach nach einem sinnvollen Einsatzzweck zu suchen. Eine gute IT-Strategie geht konsequent den umgekehrten Weg und startet immer zuerst bei den geschäftlichen Zielen deines Unternehmens. Willst du in neue Märkte rund um Köln und Bonn expandieren, deine Produktion automatisieren oder einfach effizienter im Tagesgeschäft werden? Aus diesen geschäftlichen Antworten leitest du anschließend ab, welche Technik dich dabei tatsächlich unterstützt und welche du getrost weglassen kannst.

Technik als Mittel zum Zweck

Wenn du diese Reihenfolge konsequent einhältst, vermeidest du teure Fehlinvestitionen in Systeme, die nett aussehen, aber keinen echten Mehrwert liefern. Jede technische Entscheidung lässt sich dann an einer einfachen Frage messen, nämlich ob sie ein konkretes Unternehmensziel voranbringt. Diese Klarheit hilft dir auch bei Budgetgesprächen enorm, weil du jede Ausgabe mit einem geschäftlichen Nutzen begründen kannst. So wird aus dem Kostenfaktor IT ein nachvollziehbarer Hebel, der direkt auf deinen Erfolg einzahlt und sich rechtfertigen lässt.

Schritt 3: Risiken und Sicherheitslücken sichtbar machen

Cyber Security gehört in die Strategie

Sicherheit ist kein nachträglicher Aufsatz auf deine Technik, sondern ein tragender Bestandteil jeder ernsthaften IT-Strategie für den Mittelstand. Veraltete Systeme, fehlende Updates und unklare Zugriffsrechte sind die häufigsten Einfallstore für Angreifer, die es längst auch auf kleinere Betriebe abgesehen haben. Gerade Unternehmen in der Region Köln, Bonn und Siegburg unterschätzen oft, wie attraktiv ihre Daten für Kriminelle tatsächlich sind. Eine strategische Sicht stellt deshalb von Anfang an die Frage, welche Werte du schützen musst und wo deine größten Verwundbarkeiten liegen.

Compliance als Pflicht und Chance

Neben der reinen Abwehr von Angriffen kommen auch regulatorische Anforderungen auf dich zu, die du als Verantwortlicher nicht ignorieren darfst. Die Datenschutzgrundverordnung stellt klare Regeln auf, und mit der NIS2-Richtlinie verschärfen sich die Sicherheitspflichten für viele mittelständische Unternehmen spürbar. Wer diese Vorgaben schon frühzeitig in seine Planung einbaut, vermeidet hektische Notlösungen und im Ernstfall auch empfindliche Bußgelder. Hier setzt die Beratung von IT-Deol aus Lohmar an, indem sie deine Sicherheitslage prüft und dir konkrete Maßnahmen für die nächsten Monate aufzeigt.

Schritt 4: Soll-Bild entwickeln – Cloud, On-Premises oder hybrid?

Die Zielarchitektur in verständlichen Entscheidungen

Jetzt wird es konkret, denn du legst fest, wie deine Technik in einigen Jahren aussehen soll und welche Wege du dafür einschlägst. Eine zentrale Frage betrifft den Speicherort deiner Daten und Anwendungen, also ob du auf eigene Server vor Ort setzt oder Dienste aus der Cloud beziehst. Viele Betriebe in der Region fahren mit einem hybriden Modell gut, das sensible Daten lokal hält und flexible Anwendungen ins Internet auslagert. Welche Mischung am Ende für dich passt, hängt von deinen Sicherheitsanforderungen, deinem verfügbaren Budget und deiner internen Mannschaft ab.

Selbst betreiben oder abgeben?

Eine weitere strategische Weichenstellung dreht sich um die Frage, welche Aufgaben dein eigenes Team stemmt und welche besser ein externer Dienstleister übernimmt. Managed Services bedeuten, dass ein Partner wie IT-Deol aus Lohmar definierte Bereiche deiner IT dauerhaft betreut und für deren reibungslosen Betrieb sorgt. Für viele mittelständische Unternehmen ist das attraktiv, weil sie internes Personal entlasten und gleichzeitig auf spezialisiertes Wissen zugreifen. Du behältst die Kontrolle über die strategische Richtung und gibst die aufwendige tägliche Wartung in erfahrene Hände ab.

Schritt 5: Priorisieren und in eine Roadmap gießen

Nicht alles auf einmal anpacken

Wenn du erst einmal weißt, wo du stehst und wohin du willst, entsteht schnell eine lange Liste an Maßnahmen, die erschlagend wirken kann. Deshalb musst du priorisieren und die einzelnen Vorhaben in eine sinnvolle Reihenfolge bringen, anstatt sämtliche Themen gleichzeitig anzugehen und dich zu verzetteln. Manche Schritte verbessern sofort deine Sicherheit, andere zahlen langfristig auf Effizienz und Wachstum ein und brauchen mehr Vorlauf. Eine ehrliche Priorisierung sorgt dafür, dass du mit begrenzten Ressourcen genau dort ansetzt, wo der Nutzen am größten ausfällt.

Die Roadmap als verbindlicher Fahrplan

Aus dieser Priorisierung entsteht deine Roadmap, also ein zeitlich klar gegliederter Plan mit eindeutigen Verantwortlichkeiten und realistisch kalkulierten Budgets. Sie beantwortet ganz konkret, in welcher Reihenfolge, mit welchen Mitteln und in welchem Zeitrahmen du die einzelnen Bausteine umsetzt. Schnell umsetzbare Maßnahmen mit großer Wirkung gehören an den Anfang, weil sie früh sichtbare Erfolge liefern und Vertrauen schaffen. Mit so einem Fahrplan werden Budgets, Zuständigkeiten und Projekte planbar, und du behältst auch bei vielen parallelen Themen den Überblick.

Schritt 6: Umsetzung mit dem richtigen Partner

Wann interne Ressourcen reichen

Ob du deine Strategie allein umsetzt oder dir Unterstützung holst, hängt stark von der Größe und dem Know-how deines eigenen Teams ab. Kleine Vorhaben mit überschaubarem Aufwand lassen sich oft intern stemmen, sofern du die passenden Leute und genügend Zeit dafür hast. Sobald die Themen komplexer werden oder wichtige Modernisierungen anstehen, stoßen interne Ressourcen im Mittelstand schnell an ihre Grenzen. Genau dann lohnt sich ein strukturierter Blick von außen, der frischen Wind und spezialisiertes Wissen in dein Projekt bringt.

Die Rolle eines IT-Systemhauses aus der Region

Ein erfahrenes IT-Systemhaus begleitet dich nicht nur bei der Technik, sondern hilft dir auch dabei, die richtigen Schritte in die richtige Reihenfolge zu bringen. IT-Deol aus Lohmar kennt die Anforderungen mittelständischer Unternehmen in der Region Köln, Bonn und Siegburg aus zahlreichen Projekten genau. Ein Partner vor Ort versteht deine lokalen Gegebenheiten und ist im Ernstfall schnell erreichbar, ohne lange Anfahrtswege oder anonyme Hotlines. So wird aus deiner Strategie kein theoretisches Papier, sondern ein praktisch umgesetzter Plan mit verlässlicher Begleitung an deiner Seite.

Schritt 7: Messen, prüfen, anpassen

Strategie ist ein laufender Prozess

Deine IT-Strategie ist nie wirklich fertig, sondern sie entwickelt sich mit deinem Unternehmen und dem Markt kontinuierlich weiter. Märkte verändern sich laufend, neue Technologien tauchen auf, und was gestern noch sinnvoll war, kann morgen schon wieder überholt sein. Deshalb solltest du deinen Plan in kurzen Abständen prüfen und ihn an veränderte Bedingungen anpassen, statt ihn als unveränderlich zu betrachten. Eine agile Vorgehensweise erkennt Fehler frühzeitig und erlaubt dir, notwendige Korrekturen rechtzeitig vorzunehmen, bevor sie für dich richtig teuer werden.

Kennzahlen, die wirklich etwas aussagen

Damit du die Wirkung deiner Strategie beurteilen kannst, brauchst du wenige aussagekräftige Kennzahlen, die zu deinen Zielen passen. Das können die Verfügbarkeit deiner Systeme sein, die Zahl der Sicherheitsvorfälle oder die Zeit, die dein Team mit wiederkehrenden Störungen verbringt. Regelmäßige Reviews mit den wichtigsten Entscheidungsträgern sorgen dafür, dass alle Beteiligten dieselbe Linie verfolgen und Anpassungen am Plan gemeinsam beschließen. So bleibt deine IT-Strategie dauerhaft lebendig und liefert dir laufend eine belastbare Grundlage für fundierte Entscheidungen anstelle von reinem Bauchgefühl.

Wie Managed Services und Cyber Security deine Strategie tragen

Betrieb und Schutz aus einer Hand

Eine durchdachte Strategie entfaltet ihren vollen Wert erst dann, wenn sie im Alltag verlässlich umgesetzt und dauerhaft abgesichert wird. Managed Services übernehmen genau diese Daueraufgabe, indem ein Partner deine Systeme überwacht, wartet und bei Störungen sofort eingreift. IT-Deol aus Lohmar betreut dabei Bereiche wie Serverbetrieb, Netzwerke und Arbeitsplätze, sodass dein Team sich auf das Kerngeschäft konzentrieren kann. Diese kontinuierliche Betreuung ist das Rückgrat, das deine strategische Planung Tag für Tag in der Praxis am Laufen hält.

Sicherheit als fester Bestandteil

Parallel dazu sorgen die Cyber-Security-Dienstleistungen dafür, dass deine wertvollen Daten und kritischen Prozesse vor den stetig wachsenden Bedrohungen geschützt bleiben. Dazu gehören die Absicherung deiner Netzwerke, die Verwaltung von Zugriffsrechten und die Reaktion auf akute Sicherheitsvorfälle in deinem Betrieb. Für mittelständische Unternehmen in der Region Köln, Bonn und Siegburg verbindet IT-Deol aus Lohmar diese Schutzmaßnahmen direkt mit deiner übergeordneten Strategie. So bleibt Sicherheit kein isoliertes Einzelthema, sondern wird zu einem integrierten Teil deiner gesamten IT-Ausrichtung und deines Geschäftsmodells.

Häufige Fehler, die Geschäftsführer vermeiden sollten

Aus typischen Stolperfallen lernen

Ein verbreiteter Fehler besteht darin, die IT komplett der Technikabteilung zu überlassen und sich als Geschäftsführer gar nicht einzubringen. Strategische Entscheidungen über die Ausrichtung gehören auf deinen Tisch, weil sie direkt mit den Zielen deines Unternehmens verknüpft sind. Ebenso riskant ist es, Sicherheit erst dann ernst zu nehmen, wenn bereits ein Schaden eingetreten und der Ärger groß ist. Wer Cyber Security von Beginn an konsequent mitdenkt, erspart sich teure Notfälle und schläft als verantwortlicher Geschäftsführer spürbar ruhiger.

Geduld und Konsequenz zahlen sich aus

Genauso häufig scheitern gute Vorhaben daran, dass niemand die klare Verantwortung übernimmt und die Reihenfolge der einzelnen Schritte unklar bleibt. Eine Strategie ohne klar benannte Zuständigkeiten verliert schnell an Schwung und versandet am Ende im hektischen Tagesgeschäft deines Betriebs. Du musst auch nicht mit einem riesigen Projekt starten, denn oft reicht ein einzelner Anwendungsfall als überschaubarer Anfang völlig aus. Aus diesem ersten kleinen Baustein wächst deine Strategie ganz organisch weiter, sofern du sie konsequent pflegst und in Abständen überprüfst.

Klare Linie statt Technik-Bauchgefühl

Dein Weg zur planbaren IT

Eine IT-Strategie nimmt dir die Last ab, ständig reaktiv auf Probleme zu reagieren, und gibt dir stattdessen eine verlässliche Richtung. Die sieben Schritte führen dich von der ehrlichen Bestandsaufnahme über klare Geschäftsziele bis hin zur laufenden Anpassung deines Plans. Du brauchst dafür kein tiefes Technikwissen, sondern die Bereitschaft, deine IT als strategischen Hebel für deinen Unternehmenserfolg zu begreifen. Mit dieser inneren Haltung verwandelst du ein diffuses Bauchgefühl in eine klar nachvollziehbare Linie, die dein gesamtes Unternehmen trägt.

Der nächste Schritt für dein Unternehmen

Wenn du in der Region Köln, Bonn, Siegburg oder Lohmar sitzt und deine IT endlich auf solide Füße stellen willst, lohnt sich ein erstes Gespräch. IT-Deol aus Lohmar analysiert gemeinsam mit dir deine aktuelle Situation und zeigt dir konkret auf, an welchen Stellen dringender Handlungsbedarf besteht. Du bekommst eine ehrliche Einschätzung deiner Lage und einen ersten Eindruck davon, welche Schritte für dich am sinnvollsten sind. Mach den Anfang und hol dir die Unterstützung, die deine IT-Strategie von einem guten Vorsatz zu einer gelebten Realität macht.

---

Häufige Fragen zur IT-Strategie

Was ist eine IT-Strategie?

Eine IT-Strategie ist ein mittelfristiger Plan, der beschreibt, wie die Technik in deinem Unternehmen die geschäftlichen Ziele unterstützt. Sie legt fest, in welche Systeme du investierst, welche du ausmusterst und ob du Aufgaben selbst betreibst oder an einen Partner abgibst. Anstatt bei jedem Problem spontan zu reagieren, gibt dir eine IT-Strategie eine verlässliche Richtung für die nächsten drei bis fünf Jahre.

Warum braucht mein mittelständisches Unternehmen eine IT-Strategie?

Ohne eine IT-Strategie triffst du Technik-Entscheidungen meist reaktiv, also erst dann, wenn ein Server ausfällt oder eine Software streikt. Über die Jahre entstehen so teure Flickenteppiche, die niemand mehr durchschaut und die im Unterhalt richtig Geld kosten. Eine durchdachte IT-Strategie sorgt dafür, dass jede Investition auf ein definiertes Ziel einzahlt und deine IT planbar bleibt. Gerade für Unternehmen in Köln, Bonn und Siegburg wird das mit wachsenden Sicherheitsanforderungen immer wichtiger.

Brauche ich für eine IT-Strategie technisches Fachwissen?

Nein, denn eine IT-Strategie ist in erster Linie eine unternehmerische Aufgabe und keine rein technische Frage. Du musst nicht wissen, wie ein Server konfiguriert wird, sondern eine klare Vorstellung davon haben, was dein Betrieb in den nächsten Jahren erreichen soll. Aus diesen geschäftlichen Zielen leitet sich die passende Technik ab, und genau hier unterstützt dich ein erfahrenes IT-Systemhaus mit dem nötigen Detailwissen.

Wie entwickle ich eine IT-Strategie für mein Unternehmen?

Am Anfang steht eine ehrliche Bestandsaufnahme deiner gesamten Technik, also von Hardware über Software bis zu allen genutzten Cloud-Diensten. Danach definierst du deine Geschäftsziele und leitest daraus ab, welche Technik dich wirklich voranbringt und welche du weglassen kannst. Anschließend bringst du die nötigen Maßnahmen in eine sinnvolle Reihenfolge und gießt sie in eine Roadmap mit klaren Verantwortlichkeiten. Zum Schluss prüfst du deine IT-Strategie regelmäßig und passt sie an veränderte Bedingungen an.

Was kostet die Entwicklung einer IT-Strategie?

Die Kosten hängen stark von der Größe deines Unternehmens und der Komplexität deiner bestehenden IT-Landschaft ab. Viele IT-Systemhäuser bieten ein kostenloses oder günstiges Erstgespräch an, in dem sie deine aktuelle Situation analysieren und den Handlungsbedarf aufzeigen. Wichtig ist die Erkenntnis, dass eine gute IT-Strategie keine reinen Kosten verursacht, sondern teure Fehlinvestitionen und Notfälle vermeidet. So zahlt sich der anfängliche Aufwand über die Jahre durch planbare und passende IT-Ausgaben aus.

Wie oft sollte ich meine IT-Strategie überprüfen?

Eine IT-Strategie ist nie wirklich fertig, sondern entwickelt sich mit deinem Unternehmen und dem Markt kontinuierlich weiter. Märkte verändern sich, neue Technologien tauchen auf, und was gestern sinnvoll war, kann morgen schon überholt sein. Deshalb empfiehlt sich eine Überprüfung in kurzen Abständen, oft im Rahmen regelmäßiger Reviews mit den wichtigsten Entscheidungsträgern. So bleibt deine IT-Strategie lebendig und liefert dir laufend die Grundlage für fundierte Entscheidungen.

Welche Rolle spielt Cyber Security in der IT-Strategie?

Sicherheit ist kein nachträglicher Aufsatz, sondern ein tragender Bestandteil jeder ernsthaften IT-Strategie für den Mittelstand. Veraltete Systeme, fehlende Updates und unklare Zugriffsrechte sind die häufigsten Einfallstore für Angreifer, die längst auch kleinere Betriebe ins Visier nehmen. Eine strategische Sicht stellt deshalb von Anfang an die Frage, welche Werte du schützen musst und wo deine größten Verwundbarkeiten liegen. Regulatorische Vorgaben wie die DSGVO und die NIS2-Richtlinie gehören ebenfalls frühzeitig in die Planung.

Sollte ich meine IT selbst betreiben oder auslagern?

Diese Frage gehört zu den zentralen Weichenstellungen jeder IT-Strategie und hängt von der Größe und dem Know-how deines Teams ab. Kleine Vorhaben lassen sich oft intern stemmen, sobald die Themen aber komplexer werden, stoßen interne Ressourcen schnell an ihre Grenzen. Mit Managed Services übernimmt ein Partner wie IT-Deol aus Lohmar definierte Bereiche deiner IT und sorgt für deren reibungslosen Betrieb. Du behältst die strategische Kontrolle und gibst die aufwendige tägliche Wartung in erfahrene Hände ab.

Wer hilft mir bei der IT-Strategie in der Region Köln, Bonn und Siegburg?

Ein erfahrenes IT-Systemhaus aus deiner Region begleitet dich nicht nur bei der Technik, sondern bringt auch die richtigen Schritte in die richtige Reihenfolge. IT-Deol aus Lohmar kennt die Anforderungen mittelständischer Unternehmen in der Region Köln, Bonn und Siegburg aus zahlreichen Projekten genau. Ein Partner vor Ort versteht deine lokalen Gegebenheiten und ist im Ernstfall schnell erreichbar, ohne lange Anfahrtswege oder anonyme Hotlines. So wird aus deiner IT-Strategie kein theoretisches Papier, sondern ein praktisch umgesetzter Plan mit verlässlicher Begleitung.

Der blinde Fleck im Firmennetzwerk

Jeden Tag installieren Mitarbeitende in Unternehmen Browser-Erweiterungen, ohne groß darüber nachzudenken, welche Zugriffsrechte sie dem jeweiligen Add-on damit erteilen. Ein kleines Programm für den Chrome-Browser, das Werbung blockieren oder die Produktivität steigern soll, wirkt auf den ersten Blick vollkommen harmlos und unverdächtig. Genau diese kleinen Programme sind in den vergangenen Jahren zu einem ernsten Sicherheitsrisiko geworden, das viele mittelständische Betriebe in der Region Köln, Bonn und Siegburg erheblich unterschätzen. IT-Deol aus Lohmar beobachtet diese Entwicklung in der täglichen Arbeit mit regionalen KMU und stellt fest, wie wenig Bewusstsein für Browser-Erweiterungen als Sicherheitsrisiko in vielen Unternehmen noch vorhanden ist.

Der Browser ist heute die wichtigste Arbeitsplattform in nahezu jedem Unternehmen, ganz gleich ob im Homeoffice oder direkt am Büroarbeitsplatz. E-Mails, Cloudanwendungen, Videokonferenzen und Finanzsoftware laufen fast ausnahmslos über den Browser und damit zwangsläufig auch über sämtliche installierten Erweiterungen. Wer diesen Punkt als Geschäftsführer oder IT-Verantwortlicher nicht konsequent im Blick behält, lässt eine Angriffsfläche offen, die Cyberkriminelle gezielt und systematisch für ihre Zwecke ausnutzen können.

Was Browser-Erweiterungen eigentlich sind und warum sie so viel Macht haben

Browser-Erweiterungen, häufig auch Add-ons oder Plugins genannt, sind kleine Softwareprogramme, die direkt im Browser installiert werden und dessen Funktionsumfang erheblich erweitern können. Sie werden über offizielle Plattformen wie den Chrome Web Store oder den Firefox Add-ons-Store bezogen und stammen von Drittentwicklern, die du in den meisten Fällen weder kennst noch jemals überprüft hast. Von Passwortmanagern über Werbeblocker bis hin zu Übersetzungstools gibt es für nahezu jeden Bedarf ein passendes Add-on, und genau das macht diese Erweiterungen im Unternehmensalltag so verbreitet und gleichzeitig so schwer zu kontrollieren.

Das eigentliche Problem liegt in den Berechtigungen, die diese Programme beim Installieren einfordern und die von den meisten Nutzern kaum wahrgenommen werden. Viele Erweiterungen verlangen Zugriff auf alle Websites, die du besuchst, auf gespeicherte Cookies, auf Tastatureingaben und auf sensible Inhalte, die du im Browser eingibst. IT-Deol rät Unternehmen in der Region Köln und Bonn dringend, solche Berechtigungsanfragen sehr genau zu lesen und sie stets durch die zuständige IT-Abteilung prüfen zu lassen. Für einen Passwortmanager lässt sich ein weitreichender Browserzugriff noch technisch begründen, bei anderen Erweiterungen sollte jede einzelne Berechtigungsanfrage kritisch hinterfragt werden.

Wie Angreifer Browser-Erweiterungen als Einfallstor nutzen

Gefälschte Erweiterungen aus dem Web Store

Cyberkriminelle nutzen heute drei etablierte Wege, um über Browser-Erweiterungen in Firmennetzwerke einzudringen, und alle drei sind in der Praxis vielfach dokumentiert. Der erste und häufigste Weg sind gefälschte Erweiterungen, die als nützliche Tools getarnt im Chrome Web Store oder ähnlichen Plattformen angeboten werden und auf den ersten Blick von legitimen Add-ons kaum zu unterscheiden sind. Diese Fake-Erweiterungen kopieren oft Namen und Erscheinungsbild bekannter Programme, etwa von populären Werbeblockern oder Produktivitätstools, und landen so auf den Geräten von Mitarbeitenden, die keine böse Absicht dahinter vermuten würden. IT-Deol sieht in der Praxis immer wieder, dass selbst technisch versierte Nutzer auf solche gefälschten Erweiterungen hereinfallen, weil die Aufmachung professionell wirkt und der Download über offizielle Kanäle erfolgt.

Supply-Chain-Angriffe auf legitime Erweiterungen

Der zweite Angriffsweg ist deutlich heimtückischer, weil er Erweiterungen betrifft, die ursprünglich völlig legitim waren und von vielen Nutzern seit Langem vertrauensvoll eingesetzt wurden. Angreifer kompromittieren dabei das Entwicklerkonto der Originalerweiterung und schleusen über ein manipuliertes Update Schadcode in das bestehende Add-on ein, ohne dass dies für den Endnutzer sichtbar wird.^[2] IT-Deol empfiehlt Unternehmen im Rhein-Sieg-Kreis deshalb, automatische Updates von Erweiterungen aktiv zu überwachen und kritische Add-ons regelmäßig auf auffällige Verhaltensänderungen zu prüfen.

Der dritte Angriffsweg betrifft Erweiterungen, die von Anfang an übermäßige Berechtigungen einfordern und diese dann über Monate oder Jahre still im Hintergrund nutzen, um kontinuierlich Daten abzugreifen. Diese Add-ons bieten oft tatsächlich die beworbene Funktion und übertragen gleichzeitig im Hintergrund Nutzerdaten an externe Server, ohne dass der Betroffene davon etwas bemerkt. Genau hier liegt ein Browser-Erweiterungen-Sicherheitsrisiko, das am schwersten zu erkennen ist, weil kein offensichtlicher Angriff stattfindet und alle Aktivitäten an der Oberfläche völlig normal erscheinen.

Der Weihnachtsangriff auf Cyberhaven: ein reales Warnsignal

Ein besonders eindringliches Beispiel für die Bedrohung durch kompromittierte Browser-Erweiterungen ereignete sich kurz vor Weihnachten 2024 und sorgte weltweit für Aufsehen in der IT-Sicherheitsbranche. Angreifer nutzten eine Phishing-Mail, um das Chrome-Web-Store-Konto eines Mitarbeiters des Cybersicherheitsunternehmens Cyberhaven zu übernehmen, und veröffentlichten anschließend eine mit Schadcode infizierte Version der unternehmenseigenen Browser-Erweiterung. Innerhalb von etwa 24 Stunden hatten die Angreifer Zugriff auf Cookies, Sitzungstoken und Zugangsdaten von Hunderttausenden Nutzern, bevor das Unternehmen den Vorfall bemerkte und den Schadcode entfernte.^[3]

Dieser Fall war kein Einzelereignis, wie Sicherheitsforscher anschließend feststellten, denn derselbe Schadcode steckte in mindestens 25 weiteren Browser-Erweiterungen, die zusammen über zwei Millionen Nutzer betrafen.^[4] Besonders aufschlussreich ist dabei, dass die Angreifer die Weihnachtsfeiertage bewusst als Zeitpunkt wählten, an dem IT-Teams reduziert besetzt sind und Vorfälle deutlich langsamer erkannt werden. IT-Deol weist Unternehmen in Köln, Bonn und Siegburg darauf hin, dass koordinierte Angriffswellen gezielt Phasen geringer Aufmerksamkeit ausnutzen und ein gutes Sicherheitskonzept daher auch in der Urlaubszeit vollständig funktionieren muss.

Was Angreifer tatsächlich abgreifen können

Wenn eine Browser-Erweiterung kompromittiert ist, haben Angreifer Zugang zu einem breiten Spektrum sensibler Unternehmensdaten, dessen Umfang viele Geschäftsführer überraschen würde. Cookies und Sitzungstoken ermöglichen es, bestehende Anmeldesitzungen in SaaS-Anwendungen zu übernehmen, ohne dass ein Passwort benötigt wird, weil der Zugriff aus Sicht des Systems vollkommen legitim wirkt.^[5] In der Praxis können Angreifer auf diese Weise auf E-Mail-Konten, CRM-Systeme, Buchhaltungssoftware und Cloud-Speicher zugreifen, und das alles ohne einen einzigen Alarm auszulösen.

Kompromittierte Erweiterungen können außerdem Tastatureingaben mitschneiden und dabei Passwörter, Kreditkartendaten und vertrauliche Kommunikation abgreifen, noch bevor diese Daten verschlüsselt übertragen werden. IT-Deol sieht im Gespräch mit Unternehmen aus dem Großraum Köln regelmäßig, dass dieser Zusammenhang den meisten Entscheidungsträgern schlicht nicht bewusst ist. Eine bösartige Erweiterung sitzt direkt im Browser und greift Daten ab, noch bevor HTTPS-Verschlüsselung oder Firewallregeln überhaupt greifen können. IT-Deol aus Lohmar betont deshalb, dass ein vollständiges Sicherheitskonzept den Browser und das Endgerät als eigenständige Angriffsflächen einschließen muss.

Das Problem mit den Berechtigungen: Wer liest hier eigentlich mit?

Wenn du eine neue Browser-Erweiterung installierst, erscheint in der Regel ein kurzes Dialogfenster, das um bestimmte Zugriffsrechte bittet und kurz erklärt, wofür diese benötigt werden. Die meisten Nutzer klicken dieses Dialogfenster reflexartig weg, weil es im hektischen Arbeitsalltag als störende Unterbrechung wahrgenommen wird und kaum jemand die tatsächlichen Konsequenzen eines unbedachten Klicks wirklich einschätzen kann. IT-Deol registriert bei Sicherheits-Audits in Unternehmen aus dem Rhein-Sieg-Kreis immer wieder, dass selbst Mitarbeitende in sensiblen Abteilungen wie Buchhaltung oder Personalwesen Add-ons installiert haben, die weitreichenden Zugriff auf alle Browserdaten besitzen.

Berechtigungen wie „Daten auf allen Websites lesen und ändern“ klingen abstrakt, haben aber erhebliche Auswirkungen auf die Datensicherheit im gesamten Unternehmen.^[1] In der Praxis bedeutet eine solche Berechtigung, dass die Erweiterung im Hintergrund sämtliche Inhalte mitliest, die du im Browser öffnest, inklusive Unternehmensportale, Cloudanwendungen und interne Kommunikationsplattformen. IT-Deol empfiehlt deshalb, in jedem Unternehmen klare Richtlinien zur Nutzung von Browser-Erweiterungen einzuführen und Berechtigungsanfragen systematisch durch die IT-Abteilung prüfen zu lassen.

Besonders gefährdet: KMU in Köln, Bonn und dem Rhein-Sieg-Kreis

Mittelständische Unternehmen ohne eigene IT-Sicherheitsabteilung stehen vor einem Problem, das IT-Deol aus Lohmar in der direkten Arbeit mit Betrieben in Köln, Bonn, Siegburg und dem gesamten Rhein-Sieg-Kreis regelmäßig beobachtet. Viele Unternehmen verlassen sich auf einen guten Antivirenschutz und eine Firewall, aber Browser-Erweiterungen als Sicherheitsrisiko werden in den meisten Fällen nicht aktiv überwacht und kontrolliert. Dabei sind es genau diese unbeaufsichtigten Add-ons, über die Angreifer heute besonders häufig und mit erschreckend geringem Aufwand in Firmennetzwerke gelangen.

Branchen wie das Gesundheitswesen, Steuerberatung, Rechtsdienstleistungen und der Finanzsektor sind dabei besonders exponiert, weil sie täglich mit hochsensiblen Daten arbeiten und intensiv auf cloudbasierte Anwendungen setzen, die vollständig über den Browser laufen. IT-Deol hat in Projekten mit regionalen Unternehmen festgestellt, dass auf vielen Mitarbeitergeräten im Schnitt mehr als zehn Erweiterungen installiert sind, von denen ein erheblicher Teil nie durch die IT überprüft wurde.^[6] Diese Situation ist ein reales Risiko, das sich mit den richtigen Maßnahmen gut beherrschbar machen lässt, wenn man es rechtzeitig angeht.

So erkennst du gefährliche Erweiterungen

Erste Überprüfungsschritte für dein Team

Es gibt konkrete Hinweise, die auf eine problematische Browser-Erweiterung hindeuten, und IT-Deol rät Unternehmen, diese Signale in regelmäßigen Abständen aktiv zu überprüfen. Eine Erweiterung, die deutlich mehr Berechtigungen anfordert als für ihren angegebenen Zweck notwendig wäre, ist ein erstes und klares Warnsignal, das nicht ignoriert werden sollte. Dasselbe gilt für Add-ons mit sehr wenigen Nutzerbewertungen, einem unbekannten Herausgeber oder einer letzten Aktualisierung, die bereits mehrere Jahre zurückliegt. Auch ungewöhnlich hohe Netzwerkaktivität im Browser kann darauf hindeuten, dass eine Erweiterung im Hintergrund aktiv Daten überträgt und damit ein ernstes Sicherheitsproblem darstellt.

IT-Deol empfiehlt außerdem, den installierten Erweiterungsbestand auf allen Unternehmensgeräten regelmäßig zu überprüfen, da auf vielen Geräten Add-ons aktiv sind, die irgendwann für ein bestimmtes Projekt installiert wurden und danach schlicht vergessen worden sind. Jede nicht mehr aktiv genutzte Erweiterung sollte konsequent deinstalliert werden, weil auch ein scheinbar inaktives Add-on eine offene Schwachstelle im System darstellen kann. IT-Deol aus Lohmar unterstützt Unternehmen dabei, solche Bestandsaufnahmen strukturiert durchzuführen und dauerhaft in einen kontinuierlichen Prüfprozess zu integrieren.

Technische Schutzmaßnahmen für dein Unternehmen

Auf technischer Ebene gibt es mehrere konkrete Maßnahmen, die Unternehmen in der Region Köln und Bonn umgehend umsetzen sollten, um das Browser-Erweiterungen-Sicherheitsrisiko spürbar zu reduzieren. IT-Deol setzt in Kundenprojekten auf sogenannte Allow-Lists, also Positivlisten geprüfter Erweiterungen, die zentral verwaltet werden und die einzigen Add-ons sind, die auf Unternehmensgeräten überhaupt installiert werden dürfen. Alle anderen Erweiterungen werden per Gruppenrichtlinie oder Mobile Device Management automatisch blockiert, bevor sie aktiv werden und damit ein Risiko darstellen können.

IT-Deol empfiehlt außerdem den Einsatz von Endpoint-Security-Lösungen, die das Verhalten von Erweiterungen aktiv überwachen und bei auffälligen Aktivitäten wie ungewöhnlichem Netzwerkverkehr automatisch Alarm schlagen. Die Umstellung auf Browser und Erweiterungen, die Manifest V3 unterstützen, schränkt die technisch möglichen Berechtigungen von Add-ons ein und reduziert die Angriffsfläche für das gesamte Unternehmen zusätzlich. IT-Deol aus Lohmar hilft Unternehmen dabei, diese technischen Maßnahmen sauber aufzusetzen und dauerhaft zu betreiben, sodass die IT-Sicherheit auch ohne eigenes Spezialistenteam auf einem professionellen Niveau bleibt.

Ein weiterer wichtiger Baustein ist die regelmäßige Protokollierung und Auswertung von Browserdaten im Unternehmensnetz, denn viele Angriffe über kompromittierte Erweiterungen hinterlassen Spuren, die sich im Nachhinein eindeutig zuordnen lassen. IT-Deol richtet für Unternehmen in der Region Köln und dem Rhein-Sieg-Kreis entsprechende Monitoring-Prozesse ein, die auch außerhalb der regulären Geschäftszeiten zuverlässig funktionieren. Wer heute noch keine strukturierte Überwachung seiner Browserumgebung betreibt, sollte das als konkreten Handlungsbedarf werten und schnellstmöglich mit IT-Deol ins Gespräch kommen. Gerade für Betriebe ohne eigene IT-Abteilung ist ein externer Partner wie IT-Deol aus Lohmar dabei der direkteste und verlässlichste Weg zu mehr Sicherheit im Alltag.

Mitarbeitende sensibilisieren: die erste Verteidigungslinie

Technische Maßnahmen allein reichen nicht aus, wenn Mitarbeitende nicht wissen, wie sie mit Browser-Erweiterungen im Arbeitsalltag umgehen sollen und welche Risiken von ungeprüften Add-ons ausgehen. IT-Deol betont in Gesprächen mit Unternehmen aus dem Rhein-Sieg-Kreis regelmäßig, dass Security Awareness Training einer der wirksamsten Hebel im Bereich Cybersecurity ist, weil es dort ansetzt, wo rein technische Maßnahmen an ihre Grenzen stoßen. Wer seine Mitarbeitenden darin schult, Berechtigungsanfragen kritisch zu lesen, unbekannte Erweiterungen zu melden und verdächtige Aktivitäten im Browser zu erkennen, schafft eine deutlich robustere Sicherheitskultur im gesamten Unternehmen.

IT-Deol bietet für Unternehmen in Köln, Bonn, Siegburg und Lohmar gezielte Awareness-Schulungen an, die praxisnah gestaltet sind und ohne großen Zeitaufwand in den laufenden Arbeitsalltag integriert werden können. Die Erfahrung von IT-Deol zeigt, dass Mitarbeitende nach einer solchen Schulung deutlich sensibler auf verdächtige Erweiterungen reagieren und IT-Abteilungen entsprechend seltener mit Schadensfällen konfrontiert werden, die durch ungeprüfte Add-ons ausgelöst wurden. Für Unternehmen in der Region lässt sich festhalten, dass Prävention im Bereich Browser-Sicherheit erheblich günstiger ist als die Beseitigung eines tatsächlichen Sicherheitsvorfalls.

Wie IT-Deol aus Lohmar dein Unternehmen schützt

IT-Deol aus Lohmar bietet mittelständischen Unternehmen in der Region ein umfassendes Portfolio an Cyber-Security-Dienstleistungen, das speziell auf die Bedrohungslagen ausgerichtet ist, mit denen KMU in der heutigen Zeit konfrontiert sind. Im Bereich Managed Security Services übernimmt IT-Deol die kontinuierliche Überwachung von Endgeräten, Netzwerken und Browserumgebungen, sodass auffällige Aktivitäten rund um die Uhr erkannt und zeitnah bearbeitet werden können. Dazu gehört ausdrücklich auch die Überwachung von Browser-Erweiterungen als Sicherheitsrisiko, die in klassischen IT-Sicherheitskonzepten häufig noch nicht systematisch berücksichtigt wird.

Für Unternehmen, die ihren aktuellen Sicherheitsstatus kennenlernen möchten, bietet IT-Deol gezielte Security-Audits an, bei denen Schwachstellen in der gesamten IT-Infrastruktur identifiziert und nach Priorität bewertet werden. IT-Deol analysiert dabei unter anderem, welche Erweiterungen auf Mitarbeitergeräten installiert sind, welche Berechtigungen diese besitzen und ob ein unmittelbarer Handlungsbedarf besteht. Für Unternehmen in Köln, Bonn, Siegburg und dem gesamten Rhein-Sieg-Kreis ist IT-Deol nicht nur Dienstleister, sondern langfristiger IT-Partner, der Cybersicherheit als fortlaufenden Prozess versteht und aktiv begleitet.

Browser-Erweiterungen als Sicherheitsrisiko konsequent angehen

Browser-Erweiterungen als Sicherheitsrisiko stehen in vielen Unternehmen noch immer nicht auf dem Radar der IT-Verantwortlichen, obwohl die Bedrohungslage klar und die Angriffswege vielfach dokumentiert sind. Der Weihnachtsangriff auf Cyberhaven und die damit verbundene Kompromittierung von über zwei Millionen Nutzern zeigt, wie real und aktuell diese Gefahr ist und wie schnell selbst professionelle Sicherheitsanbieter in diese Falle tappen können. IT-Deol aus Lohmar empfiehlt jedem Unternehmen in der Region, jetzt aktiv zu werden und den eigenen Erweiterungsbestand zu prüfen, bevor ein konkreter Vorfall den Handlungsbedarf erzwingt.

Wenn du wissen möchtest, wie gut dein Unternehmen gegen Browser-basierte Angriffe geschützt ist, steht das Team von IT-Deol aus Lohmar für ein unverbindliches Erstgespräch bereit. IT-Deol ist dein lokaler Ansprechpartner für IT-Sicherheit in der Region Köln, Bonn, Siegburg und dem Rhein-Sieg-Kreis und unterstützt dich dabei, Browser-Erweiterungen als Sicherheitsrisiko in deinem Unternehmen gezielt und nachhaltig anzugehen.

---

Häufige Fragen zum Thema:

Wir haben Firewall und Antivirensoftware im Einsatz. Warum sagt unser IT-Betreuer, dass unser Netzwerk trotzdem angreifbar ist?

Weil Browser-Erweiterungen als Sicherheitsrisiko außerhalb der Reichweite klassischer Schutzlösungen agieren können und direkt im Browser auf sensible Daten zugreifen, bevor Firewall oder Antivirus überhaupt aktiv werden.

Ein Mitarbeiter hat sich ein Chrome-Plugin für die Arbeit heruntergeladen. Warum ist unser IT-Verantwortlicher deswegen beunruhigt?

Das installierte Plugin könnte ein klassisches Beispiel für Browser-Erweiterungen als Sicherheitsrisiko sein, denn auch harmlos wirkende Add-ons können weitreichende Berechtigungen besitzen und unbemerkt Unternehmensdaten an externe Server übertragen.

Wir arbeiten fast ausschließlich mit cloudbasierter Software wie Microsoft 365 über den Browser. Ist das ein Problem für unsere IT-Sicherheit?

Genau bei cloudbasierten Arbeitsumgebungen sind Browser-Erweiterungen als Sicherheitsrisiko besonders kritisch, weil ein kompromittiertes Add-on im Browser direkten Zugriff auf alle geöffneten Anwendungen inklusive deiner Microsoft-365-Umgebung haben kann.

Ich habe gehört, dass ein Angreifer auf Firmensysteme zugegriffen hat, ohne das Passwort zu kennen. Wie ist so etwas überhaupt möglich?

Genau das ist ein typisches Schadensbild bei Browser-Erweiterungen als Sicherheitsrisiko, denn ein kompromittiertes Add-on kann bestehende Anmeldesitzungen kapern und Zugriffstoken stehlen, ohne dass dabei ein einziges Passwort benötigt wird.

Meine Mitarbeitenden nutzen viele verschiedene Plugins im Browser für ihre tägliche Arbeit. Muss ich das wirklich kontrollieren lassen?

Wenn Add-ons ohne IT-Prüfung installiert werden und dabei weitreichende Berechtigungen auf alle geöffneten Websites erhalten, sprechen IT-Fachleute von Browser-Erweiterungen als Sicherheitsrisiko, das IT-Deol aus Lohmar durch zentrale Erweiterungsverwaltung für dein Unternehmen dauerhaft beseitigt.

Was genau passiert bei einem Angriff über den Browser, und wie merke ich davon überhaupt etwas?

Bei Browser-Erweiterungen als Sicherheitsrisiko läuft der Angriff oft vollständig unbemerkt ab, weil das kompromittierte Add-on im Hintergrund Daten abgreift und weiterleitet, während der Browser auf dem Bildschirm völlig normal aussieht.

Wir haben das Thema Datenschutz und DSGVO für unser Unternehmen bereits geregelt. Können Browser-Plugins da trotzdem ein Problem sein?

Browser-Erweiterungen als Sicherheitsrisiko können DSGVO-Verstöße verursachen, da kompromittierte Add-ons personenbezogene Daten aus deinen Unternehmensanwendungen abgreifen und unbemerkt an Server außerhalb der EU übertragen können, was zu erheblichen Bußgeldern führen kann.

Ich habe gelesen, dass Hacker über die Feiertage 2024 ein bekanntes IT-Sicherheitsunternehmen über Chrome angegriffen haben. War mein Betrieb davon auch betroffen?

Dieser Angriff auf Cyberhaven ist ein besonders eindrückliches Beispiel für Browser-Erweiterungen als Sicherheitsrisiko, bei dem über eine kompromittierte Chrome-Erweiterung mehr als zwei Millionen Nutzer betroffen waren, inklusive Mitarbeiter in mittelständischen Betrieben wie deinem.

Unser IT-Dienstleister möchte ein Security-Audit durchführen. Was wird dabei in Bezug auf den Browser konkret untersucht?

Im Rahmen eines Security-Audits analysiert IT-Deol aus Lohmar gezielt die auf deinen Mitarbeitergeräten installierten Add-ons, denn Browser-Erweiterungen als Sicherheitsrisiko sind ein fester Bestandteil jeder professionellen IT-Sicherheitsprüfung für Unternehmen in Köln, Bonn und Siegburg.

Welchen ersten Schritt kann ich sofort unternehmen, um mein Unternehmen besser gegen Browser-Angriffe zu schützen?

Der erste und wirkungsvollste Schritt ist eine vollständige Bestandsaufnahme aller installierten Add-ons auf deinen Unternehmensgeräten, denn Browser-Erweiterungen als Sicherheitsrisiko lassen sich nur gezielt beheben, wenn du weißt, welche Add-ons auf deinen Geräten aktiv sind.

Quellenangaben

1 LayerX Security: Grundlegendes zu Sicherheitslücken in Browsererweiterungen, Mai 2025. Primärquelle: https://layerxsecurity.com/de/learn/browser-extension/security-vulnerabilities/

2 Kaspersky Blog: So prüfst du Browser-Erweiterungen in deinem Unternehmen, Dezember 2025. Primärquelle: https://www.kaspersky.de/blog/chrome-extension-security-validation/32947/

3 PC Spezialist Blog: Chrome-Extensions kompromittiert – Cyberkriminelle kapern Add-ons mit mehr als zwei Millionen Nutzern, Januar 2025. Primärquelle: https://pcspezialist.de/blog/2025/01/09/chrome-extensions-kompromittiert/

4 it-daily.net: 25 Chrome-Extensions mit über 2 Mio. Nutzern kompromittiert, Dezember 2024. Primärquelle: https://www.it-daily.net/shortnews/25-chrome-extensions-mit-ueber-2-mio-nutzern-kompromittiert

5 DriveLock Blog: Gefährliche Browser-Erweiterungen – Arten, Risiken und Schutzmaßnahmen, März 2025. Primärquelle: https://www.drivelock.com/de/blog/gefaehrliche-browser-erweiterungen

6 it-boltwise.de: Browser-Sicherheit – Neue Bedrohungen für Unternehmen im Jahr 2025, November 2025. Primärquelle: https://www.it-boltwise.de/browser-sicherheit-neue-bedrohungen-fuer-unternehmen-im-jahr-2025.html

Die neue Qualität der Bedrohung: Was KI-Phishing wirklich bedeutet

Du öffnest morgen früh die E-Mails und findest eine Nachricht, bei der der Schreibstil nach deinem Geschäftsführer klingt, der Bezug auf ein laufendes Projekt stimmt und die Bitte am Ende absolut plausibel wirkt. Die Absenderadresse sieht auf den ersten Blick korrekt aus, Grammatik und Stil sind einwandfrei, und du hast keinen offensichtlichen Grund zur Skepsis. Und genau das passiert täglich in Unternehmen in Lohmar, Köln, Bonn und Siegburg, und in den meisten Fällen bemerkt es niemand im ersten Moment.

Generative KI hat Phishing-Angriffe in den letzten zwei Jahren grundlegend verändert. Laut einer aktuellen Analyse aus dem Frühjahr 2026 wurden bereits 82,6 Prozent aller Phishing-E-Mails weltweit mit KI-Unterstützung erstellt, und diese KI-generierten Nachrichten erzielen eine Klickrate von 54 Prozent gegenüber 12 Prozent bei manuell verfassten Mails.¹ Diese Zahlen beschreiben reale Angriffskampagnen gegen Unternehmen jeder Größe und zeigen, warum KI-Phishing gerade für den Mittelstand in der Region Köln, Bonn und Lohmar so akut geworden ist.

IT-Deol aus Lohmar beobachtet diese Entwicklung sehr genau und unterstützt Unternehmen in Köln, Bonn, Siegburg und der gesamten Rheinregion dabei, ihre IT-Sicherheitsstrategie an die veränderte Bedrohungslage anzupassen. Als IT-Systemhaus mit direktem Draht zu Betrieben im Rheinland kennt IT-Deol die Herausforderungen, mit denen Unternehmen unterschiedlicher Größe heute konfrontiert sind, und hat darauf aufbauend Schutzkonzepte entwickelt, die sich in der Praxis bewährt haben. KI-Phishing betrifft wirklich jeden, der heute digital arbeitet.

Von der Massenmail zur Präzisionswaffe: Wie KI-Phishing technisch funktioniert

Personalisierung in einem früher unmöglichen Maßstab

Das Prinzip hinter KI-Phishing ist technisch raffiniert und deshalb so gefährlich: Angreifer füttern ein KI-Modell mit öffentlich verfügbaren Informationen über ein Zielunternehmen oder eine Zielperson. LinkedIn-Profile, Unternehmenswebsites, Pressemitteilungen, Xing-Einträge und Social-Media-Beiträge liefern genug Material, damit das System eine Nachricht formuliert, die sich für die Zielperson wie normale interne Kommunikation anfühlt. Das Ergebnis ist eine individuell zugeschnittene Nachricht mit korrektem Namen, passender Rolle und konkretem Gesprächskontext, die beim Empfänger keinerlei Misstrauen weckt.

Was früher einen menschlichen Angreifer mehrere Stunden intensiver Recherche gekostet hätte, erledigt ein KI-System in wenigen Sekunden und erstellt dabei tausende individuell angepasste Nachrichten zur gleichen Zeit. Für Unternehmen in Lohmar, Siegburg, Köln und Bonn bedeutet das, dass auch vermeintlich kleine oder unbekannte Betriebe ins Visier geraten können, weil der Aufwand für Angreifer auf ein Minimum gesunken ist. IT-Deol sieht das als grundlegenden Wandel der Angriffsstrategie, der eine entsprechend moderne Schutzantwort erfordert.

Warum klassische Spam-Filter an ihre Grenzen stoßen

Klassische Filter suchen nach Mustern: verdächtige Absender, auffällige Links, bestimmte Schlüsselwörter. KI-Phishing-Systeme erzeugen für jede Zielperson eine leicht andere Nachricht, keine identischen Duplikate, keine wiederholbaren Signaturen. Laut aktuellen Auswertungen werden 74 Prozent aller KI-gestützten Phishing-Angriffe von Standard-Sicherheitsprotokollen nicht erkannt,² was IT-Deol dazu veranlasst, bei der Beratung grundsätzlich auf mehrstufige Sicherheitsarchitekturen zu setzen, die weit über einfache Filterregeln hinausgehen.

Spear-Phishing und CEO-Fraud: Wenn der Chef plötzlich eine Überweisung fordert

Gezielte Angriffe auf Entscheidungsträger

Beim Spear-Phishing richtet sich die KI auf eine einzelne Person, meistens auf jemanden in der Finanzabteilung oder auf eine Führungskraft mit Zugriff auf Zahlungssysteme. Der Angreifer gibt sich als Vorgesetzter aus und fordert eine dringende Überweisung oder die Herausgabe sensibler Zugangsdaten, oft mit dem ausdrücklichen Hinweis, die Sache intern nicht weiterzukommunizieren. Dieser Angriff trägt auch den Namen CEO-Fraud und ist für Unternehmen in der Region Köln, Bonn und Lohmar eine täglich reale Gefahr.

Ein Gerichtsfall in Kanada zeigt das finanzielle Ausmaß solcher Angriffe sehr deutlich: Ein Unternehmen verlor über 200.000 Euro,³ weil Angreifer eine Domain nutzten, die sich nur um einen einzigen Buchstaben von der echten Absenderadresse unterschied. IT-Deol aus Lohmar begleitet Unternehmen im Rheinland dabei, solche Szenarien durch klare interne Freigabeprozesse und technische Verifikationsmechanismen wirksam zu unterbinden, bevor der erste Schadensfall entsteht.

Warum gerade der Mittelstand im Visier steht

Kleine und mittlere Unternehmen in wirtschaftsstarken Regionen wie dem Köln-Bonner Raum sind für Angreifer attraktive Ziele, weil sie relevante Finanzdaten verwalten und häufig noch keine ausgefeilten Sicherheitsstrukturen aufgebaut haben. IT-Deol kennt diese Situation aus der täglichen Beratungspraxis und entwickelt für solche Unternehmen Schutzkonzepte, die zu ihrer tatsächlichen Betriebsgröße und ihren realen Arbeitsabläufen passen, damit der Aufwand realisierbar bleibt.

Deepfakes am Telefon und im Meeting: Vishing und die geklonte Stimme

Wenn die Stimme täuscht

KI-Phishing beschränkt sich längst nicht mehr auf E-Mails. Beim Voice-Phishing, kurz Vishing, ruft dich jemand an und du hörst die Stimme deines Geschäftsführers, deines Steuerberaters oder eines Behördenmitarbeiters. Tatsächlich handelt es sich um einen KI-generierten Stimmklon, der mit nur drei Sekunden Audiomaterial erstellt und in Echtzeit über gängige Telefonleitungen übertragen werden kann.⁴ Vishing-Angriffe haben sich laut aktuellen Berichten im ersten Quartal 2025 um 1.633 Prozent gegenüber dem Vorquartal erhöht.⁵

Noch weiter geht das Deepfake-Video-Phishing: Ein Mitarbeiter eines internationalen Unternehmens überwies 23,5 Millionen Euro,⁶ nachdem er an einer Videokonferenz teilgenommen hatte, bei der eine KI den Finanzvorstand überzeugend simulierte. Für Betriebe in Bonn, Köln, Lohmar und Siegburg ist das ein realistisches Szenario, das IT-Deol aktiv in die Entwicklung von Sicherheitskonzepten einbezieht, weil die technischen Hürden für solche Angriffe rapide gesunken sind.

Multi-Channel-Angriffe: Druck aus mehreren Richtungen gleichzeitig

Moderne KI-Phishing-Kampagnen kombinieren mehrere Kanäle: Eine erste Mail macht den Anfang, dann folgt eine bestätigende Nachricht über Microsoft Teams oder Slack, und am Ende steht ein Vishing-Anruf mit geklonter Stimme. Diese Kombination erzeugt einen Eindruck von Legitimität, dem einzelne Schutzmaßnahmen für nur einen Kanal allein nicht begegnen können. IT-Deol analysiert bei der Sicherheitsberatung deshalb immer alle genutzten Kommunikationskanäle eines Unternehmens gemeinsam und schließt dabei die Lücken zwischen den einzelnen Systemen.

Quishing, Smishing und SMS-Blaster: Phishing jenseits der E-Mail

QR-Codes in E-Mails oder gedruckten Unterlagen sehen harmlos aus, und genau deshalb nutzen Angreifer sie für das sogenannte Quishing. Wer den Code scannt, landet auf einer gefälschten Website, die Login-Daten abgreift oder direkt Schadsoftware installiert. Die Zahl der Quishing-Vorfälle ist im ersten Quartal 2026 um 150 Prozent gestiegen, und 70 Prozent der schädlichen PDF-Dateien enthalten mittlerweile QR-Codes,⁷ weil Angreifer damit die Interaktion von gesicherten Firmenrechnern auf oft weniger geschützte Mobilgeräte verlagern. IT-Deol klärt Unternehmen aus Lohmar und der Region gezielt über diesen Angriffsvektor auf.

Das sogenannte Smishing funktioniert über SMS nach dem gleichen Muster wie E-Mail-Phishing. Besonders besorgniserregend sind dabei SMS-Blaster, mobile Geräte, die sich gegenüber Smartphones in einem Umkreis von bis zu einem Kilometer als Mobilfunkantenne ausgeben und betrügerische Nachrichten direkt zustellen, ohne dass die Filter der Mobilfunkanbieter greifen. Diese Methode lässt sich auf Netzwerkebene kaum abfangen und erfordert eine Kombination aus technisch gehärteten Endgeräten und regelmäßig geschulten Mitarbeitenden, die solche Nachrichten erkennen, bevor sie darauf reagieren.

Warum klassische Sicherheitsmaßnahmen nicht mehr ausreichen

Viele Unternehmen setzen weiterhin auf IT-Sicherheitskonzepte, die vor einigen Jahren entwickelt wurden, mit einem Spam-Filter, einem Antivirusprogramm und der Zwei-Faktor-Authentifizierung als Basis. Laut aktuellen Studien umgingen 84 Prozent aller Adversary-in-the-Middle-Angriffe im Jahr 2025 die Standard-MFA erfolgreich,⁸ was zeigt, dass diese Maßnahmen allein nicht mehr den Schutz bieten, den Unternehmen heute brauchen. IT-Deol aus Lohmar empfiehlt deshalb eine grundlegende Überprüfung der Sicherheitsarchitektur für alle Betriebe in Köln, Bonn und der Region.

Passwortschutz und Zwei-Faktor-Authentifizierung sind weiterhin sinnvoll und notwendig und funktionieren am besten als Teil eines umfassenderen Konzepts, das Verhaltensanomalien erkennt, Zugriffsrechte konsequent begrenzt und Mitarbeitende regelmäßig schult. IT-Deol entwickelt für Unternehmen in der Region maßgeschneiderte Sicherheitskonzepte, die genau dort ansetzen, wo die tatsächlichen Lücken sind, damit der Schutz mit der Angriffsentwicklung Schritt halten kann.

So erkennst du KI-Phishing: Warnsignale, die du ernst nehmen solltest

Eine zu perfekte Nachricht ist verdächtig

Früher rieten IT-Experten, auf Rechtschreibfehler und merkwürdige Formulierungen zu achten. Heute erstellt KI-Phishing Nachrichten, die diesen Test problemlos bestehen, weil sie sprachlich einwandfrei, inhaltlich plausibel und optisch überzeugend sind. Ein konkretes Warnsignal ist deshalb eine Nachricht, die außergewöhnlich präzise deinen internen Jargon trifft und gleichzeitig mit einer ungewöhnlichen Zahlungsaufforderung oder einer Bitte um vertrauliche Zugangsdaten endet. IT-Deol empfiehlt, in solchen Fällen immer einen zweiten Kommunikationskanal zu nutzen und die Anfrage persönlich beim vermeintlichen Absender zu bestätigen.

Ungewöhnliche Absenderadressen, die auf den ersten Blick korrekt wirken, sind ein weiteres Warnsignal. Angreifer nutzen Domains, die sich nur um einen Buchstaben von der echten Adresse unterscheiden, und das reicht meistens aus, um unbemerkt durch die erste Überprüfung zu kommen. IT-Deol schult Mitarbeitende in Unternehmen aus Köln, Bonn, Siegburg und Lohmar gezielt darin, solche Details im Arbeitsalltag aktiv zu überprüfen, weil genau das im Ernstfall den entscheidenden Unterschied machen kann.

Künstlicher Handlungsdruck als Angriffswerkzeug

KI-Phishing-Nachrichten enthalten fast immer Formulierungen, die wenig Zeit zum Nachdenken lassen: eine dringende Zahlungsaufforderung mit konkreter Uhrzeit, ein ausdrücklicher Hinweis auf Vertraulichkeit oder die Bitte um sofortige Reaktion ohne Rückfragen. Dieser künstlich erzeugte Druck ist eine bewährte Taktik, und Mitarbeitende müssen wissen, dass genau diese Kombination aus Dringlichkeit und Vertraulichkeit ein starkes Warnsignal ist, das eine kurze Pause und eine Gegenprüfung erfordert.

Security Awareness: Deine Mitarbeitenden als entscheidende Schutzebene

Am Ende ist es immer ein Mensch, der auf einen Link klickt oder eine Zahlung auslöst, und genau deshalb ist die regelmäßige Schulung von Mitarbeitenden ein fester Bestandteil jedes ernsthaften IT-Sicherheitskonzepts. IT-Deol entwickelt für Unternehmen aus dem Köln-Bonner Raum maßgeschneiderte Security-Awareness-Programme, die auf die tatsächlichen Angriffsmuster eingehen, mit denen Betriebe in Lohmar, Siegburg und der Region heute wirklich konfrontiert werden.

Phishing-Simulationen sind dabei ein zentrales Werkzeug: Mitarbeitende erhalten realistische, aber kontrollierte Testmails, und das Ergebnis zeigt, wo konkreter Schulungsbedarf besteht. IT-Deol wertet diese Simulationen aus und kombiniert die Erkenntnisse mit gezielten Trainings, die die Erkennungsrate nachweislich verbessern. Gerade für Betriebe, die keine eigene IT-Abteilung haben, ist das Security-Awareness-Angebot von IT-Deol aus Lohmar ein zentraler Baustein in der gesamten Schutzstrategie.

Technische Schutzmaßnahmen: Was heute wirklich hilft

E-Mail-Sicherheit auf zeitgemäßem Stand

Auf technischer Ebene gehören DMARC, DKIM und SPF zur Pflichtausstattung jedes Unternehmens, das seine E-Mail-Kommunikation gegen KI-Phishing absichern will. Diese Protokolle prüfen eingehende Nachrichten auf ihre tatsächliche Herkunft und erschweren das Fälschen von Absenderadressen erheblich. IT-Deol richtet diese Mechanismen für Unternehmen in Köln, Bonn und der Umgebung als Teil der Managed Security Services ein und stellt sicher, dass die Konfiguration dauerhaft korrekt bleibt und regelmäßig überprüft wird.

KI-basierte E-Mail-Filter gehen einen Schritt weiter und analysieren Verhaltensmuster, erkennen Anomalien im Schreibstil und vergleichen eingehende Nachrichten mit bekannten Kommunikationsmustern des jeweiligen Absenders. Was für menschliche Augen kaum sichtbar ist, fällt einem gut trainierten System auf, und IT-Deol integriert solche Lösungen in die IT-Umgebung von Unternehmen in Lohmar und der gesamten Region und überprüft sie regelmäßig auf Aktualität.

Zero Trust und hardwarebasierte Authentifizierung

Zero-Trust bedeutet in der Praxis, dass jeder Nutzer, jedes Gerät und jedes System seinen Zugriff aktiv nachweisen muss, bevor er Zugang erhält, und dass Anfragen permanent überprüft werden, auch wenn sie aus dem internen Netzwerk stammen. Hardwarebasierte Sicherheitsschlüssel ersetzen dabei die anfällige SMS-basierte Zwei-Faktor-Authentifizierung und bieten einen Schutz, den KI-Phishing-Angriffe auf herkömmlichem Weg nicht aushebeln können. IT-Deol berät Unternehmen bei der Auswahl und Einrichtung solcher Lösungen und begleitet die Einführung so, dass der tägliche Betrieb reibungslos weiterläuft.

Managed Security Services: Warum professioneller Schutz für den Mittelstand Sinn macht

Was IT-Deol für Unternehmen in der Region leistet

Viele mittelständische Betriebe in Köln, Bonn, Lohmar und Siegburg haben keine eigene IT-Sicherheitsabteilung, stehen aber täglich im Fokus von KI-Phishing-Kampagnen. IT-Deol füllt als IT-Systemhaus aus Lohmar genau diese Lücke: Mit Managed Security Services übernimmt IT-Deol das kontinuierliche Monitoring der IT-Infrastruktur, erkennt ungewöhnliche Zugriffe und Anomalien frühzeitig und reagiert im Ernstfall schnell und koordiniert.

In der Praxis bedeutet das, dass IT-Deol die Infrastruktur eines Unternehmens rund um die Uhr überwacht und eingreift, bevor ein KI-Phishing-Angriff sich ausbreiten kann. Für Betriebe, die sich auf ihr Kerngeschäft konzentrieren wollen, ist das eine echte Entlastung, weil IT-Deol die technische Umsetzung übernimmt und gleichzeitig die Verantwortung für einen dokumentierten, transparenten Sicherheitsprozess trägt, der bei Bedarf gegenüber Versicherungen und Behörden nachvollziehbar ist.

Endpoint Protection und proaktives Threat Management

Zu den Leistungen von IT-Deol gehört auch der Schutz aller Endgeräte im Unternehmen, also der Laptops, Smartphones und Tablets, über die Mitarbeitende täglich arbeiten. Moderne Endpoint-Protection-Lösungen erkennen auch neue und bisher unbekannte Schadsoftware, die über KI-Phishing-Mails eingeschleust wird, und IT-Deol richtet diese Lösungen ein und betreibt sie langfristig, damit Unternehmen aus dem Kölner und Bonner Raum immer auf dem aktuellen Stand sind, auch wenn sich die Angriffsmuster weiterentwickeln.

Was tun, wenn es passiert ist: Die ersten Stunden nach dem Klick

Wenn jemand im Unternehmen auf eine KI-Phishing-Mail hereingefallen ist, kommt es auf die ersten Minuten an. Das betroffene System sollte sofort vom Netzwerk getrennt werden, ohne dass der Rechner ausgeschaltet wird, weil forensisch relevante Daten erhalten bleiben müssen. IT-Deol unterstützt Unternehmen in Lohmar, Siegburg, Köln und Bonn im Ernstfall mit einer schnellen Incident-Response, die genau diesen ersten Schritt koordiniert und alle weiteren Maßnahmen strukturiert begleitet.

Neben der technischen Seite gibt es rechtliche Pflichten: Wenn personenbezogene Daten betroffen sind, besteht gegenüber der zuständigen Datenschutzbehörde eine Meldepflicht innerhalb von 72 Stunden. IT-Deol hilft Unternehmen dabei, diese Meldung korrekt zu formulieren und alle notwendigen Dokumentationsschritte einzuhalten, damit keine zusätzlichen Konsequenzen durch Verfahrensfehler entstehen und das Unternehmen rechtlich abgesichert bleibt.

KI-Phishing ist heutzutage ein echtes Problem

KI-Phishing ist im Jahr 2026 eine alltägliche Bedrohung für mittelständische Unternehmen in Köln, Bonn, Lohmar und Siegburg, und die Angriffe werden präziser und schwerer zu erkennen. Wer jetzt handelt und seine Sicherheitsstrategie anpasst, steht deutlich besser da als jemand, der wartet, bis der erste Schadensfall eingetreten ist, weil Prävention im Bereich Cyber Security grundsätzlich günstiger ist als die Schadensregulierung danach.

IT-Deol aus Lohmar ist der Ansprechpartner für Unternehmen in der Region, die das ernsthaft angehen wollen. IT-Deol bietet eine kostenlose Erstberatung an, in der gemeinsam analysiert wird, wo die größten Lücken im aktuellen Schutzkonzept liegen und welche Maßnahmen den schnellsten Unterschied machen. Melde dich bei IT-Deol, bevor KI-Phishing in deinem Unternehmen zur echten Krise wird.

---

Häufige Fragen zum Thema KI-Phishing

Welche Bedrohung stellt meine Unternehmens-E-Mail-Infrastruktur gerade vor die größte Herausforderung?

Das, was IT-Sicherheitsexperten als KI-Phishing bezeichnen, ist aktuell die gefährlichste Bedrohung für die E-Mail-Kommunikation mittelständischer Betriebe, weil generative KI täuschend echte, individuell zugeschnittene Nachrichten erstellt, die Mitarbeitende in Köln, Bonn, Lohmar und Siegburg kaum noch als Angriff erkennen können.

Warum greifen klassische Spam-Filter bei modernen Phishing-Angriffen auf mein Firmennetzwerk immer seltener?

KI-Phishing erzeugt für jede Zielperson eine individuell variierte Nachricht ohne wiederholbare Muster, und genau diese Anpassungsfähigkeit macht es für IT-Deol aus Lohmar so wichtig, dass Unternehmen in der Region auf mehrstufige Sicherheitsarchitekturen setzen, die weit über einfache Filterregeln hinausgehen.

Was steckt hinter den täuschend echten E-Mails, die meine Mitarbeitenden trotz Schulungen noch immer anklicken?

Hinter diesen Nachrichten steckt KI-Phishing, eine Angriffsmethode, bei der generative KI öffentlich zugängliche Informationen über Ihr Unternehmen auswertet und hyperpersonalisierte Mails generiert, die IT-Deol aus Lohmar mit maßgeschneiderten Security-Awareness-Trainings und technischen Schutzlösungen für Betriebe in Köln, Bonn und Siegburg gezielt adressiert.

Wie schütze ich meine Finanzabteilung vor gefälschten Zahlungsaufforderungen, die scheinbar von meinem eigenen Geschäftsführer stammen?

IT-Deol empfiehlt, der Gefahr des KI-Phishings durch klare interne Freigabeprozesse, einen verpflichtenden zweiten Kommunikationskanal bei allen Zahlungsanfragen und gezielte Schulungen für alle Mitarbeitenden mit Zugang zu Finanzsystemen zu begegnen, weil genau diese Kombination CEO-Fraud-Angriffe wirksam unterbindet.

Wie erkenne ich, ob mein Unternehmen in der Region Bonn und Siegburg ausreichend gegen moderne Cyberangriffe geschützt ist?

Eine der wichtigsten Prüffragen lautet, ob Ihr aktuelles Sicherheitskonzept gezielt auf KI-Phishing ausgelegt ist, denn IT-Deol aus Lohmar stellt in der täglichen Beratungspraxis fest, dass viele Betriebe in der Region noch mit klassischen Filtern arbeiten, die gegen KI-generierte Angriffsnachrichten nicht mehr ausreichen.

Was kann ich tun, damit meine Mitarbeitenden gefährliche Nachrichten eigenständig erkennen, bevor sie reagieren?

Der wirksamste Weg besteht darin, realistische Phishing-Simulationen einzusetzen, bei denen Mitarbeitende mit täuschend echten KI-Phishing-Mails konfrontiert werden, und IT-Deol entwickelt und betreut solche Security-Awareness-Programme für Unternehmen in Köln, Bonn, Lohmar und Siegburg, damit die Erkennungsrate messbar und dauerhaft steigt.

Welchen finanziellen Schaden kann ein einziger erfolgreicher Phishing-Angriff in meinem Betrieb anrichten?

KI-Phishing steht hinter einigen der größten dokumentierten Cyberschäden der letzten Jahre – von sechsstelligen Betrugsvorfällen durch gefälschte E-Mail-Domains bis hin zu einem Deepfake-Videoanruf, der einen Mitarbeiter zur Überweisung von 23,5 Millionen Euro veranlasste, weshalb IT-Deol aus Lohmar diese Bedrohung als eine der dringlichsten für den regionalen Mittelstand einschätzt.

Wie schütze ich meine Unternehmenskommunikation, wenn Angreifer gleichzeitig über E-Mail, Teams und Telefon vorgehen?

Multi-Channel-KI-Phishing, bei dem Angreifer E-Mail, Messenger-Dienste und Vishing-Anrufe mit KI-geklonten Stimmen kombinieren, erfordert ein Sicherheitskonzept, das alle Kommunikationswege gemeinsam absichert, und IT-Deol analysiert für Unternehmen in Köln, Bonn, Lohmar und Siegburg alle genutzten Kanäle und schließt die Lücken zwischen den einzelnen Systemen.

Warum reicht die Zwei-Faktor-Authentifizierung in meinem Unternehmen allein nicht mehr als Schutz aus?

Weil KI-Phishing-Angriffe der Kategorie Adversary-in-the-Middle die Standard-MFA in 84 Prozent der Fälle erfolgreich umgehen, empfiehlt IT-Deol aus Lohmar Unternehmen in der Region, auf hardwarebasierte Sicherheitsschlüssel und eine Zero-Trust-Architektur umzusteigen, die jeden Zugriff auf das Firmennetzwerk aktiv und lückenlos verifiziert.

Wer hilft mir als mittelständischem Unternehmen in der Region Köln und Bonn dabei, meine IT-Infrastruktur gegen KI-Phishing zu sichern?

IT-Deol aus Lohmar ist der regionale Ansprechpartner für Managed Security Services, Security-Awareness-Trainings und technische Schutzmaßnahmen gegen KI-Phishing und bietet eine kostenlose Erstberatung an, in der gemeinsam analysiert wird, wo die größten Sicherheitslücken in der bestehenden IT-Infrastruktur Ihres Unternehmens liegen.

---

Quellen

¹ KnowBe4: The 2025 Phishing by Industry Benchmarking Report / Programs.com – zitiert nach: XICTRON: KI-Cyberangriffe 2026 – Wie Unternehmen sich schützen, Februar 2026. Primärquelle: https://www.xictron.com/de/blog/ki-cyberangriffe-schutz-unternehmen-2026

² BornCity: KI-Kriminalität – 3,4 Milliarden Phishing-Mails täglich – neue Gefahren für Unternehmen, Mai 2026. Primärquelle: https://borncity.com/news/ki-kriminalitaet-34-milliarden-phishing-mails-taeglich-neue-gefahren-fuer-unternehmen/

³ Ad-hoc-news / Canadian Anti-Fraud Centre: KI revolutioniert Cyberkriminalität – 86 Prozent aller Phishing-Angriffe nutzen künstliche Intelligenz, Mai 2026. Primärquelle: https://www.ad-hoc-news.de/wissenschaft/ki-revolutioniert-cyberkriminalitaet-86-prozent-aller-phishing-angriffe/69350040

⁴ McAfee: Voice Cloning Research – zitiert nach: XICTRON: KI-Cyberangriffe 2026 – Wie Unternehmen sich schützen, Februar 2026. Primärquelle: https://www.xictron.com/de/blog/ki-cyberangriffe-schutz-unternehmen-2026

⁵ Ad-hoc-news: KI-Phishing – Cyberkriminelle setzen auf perfekte Täuschung, Oktober 2025. Primärquelle: https://www.ad-hoc-news.de/boerse/news/ueberblick/ki-phishing-cyberkriminelle-setzen-auf-perfekte-taeuschung/68293106

⁶ BornCity: KI-Kriminalität – 3,4 Milliarden Phishing-Mails täglich – neue Gefahren für Unternehmen, Mai 2026. Primärquelle: https://borncity.com/news/ki-kriminalitaet-34-milliarden-phishing-mails-taeglich-neue-gefahren-fuer-unternehmen/

⁷ Ad-hoc-news: KI revolutioniert Cyberkriminalität – 86 Prozent aller Phishing-Angriffe nutzen künstliche Intelligenz, Mai 2026. Primärquelle: https://www.ad-hoc-news.de/wissenschaft/ki-revolutioniert-cyberkriminalitaet-86-prozent-aller-phishing-angriffe/69350040

⁸ Ad-hoc-news: Phishing-Welle 2026 – KI-gesteuerte Angriffe legen Sicherheitslücken bloß, April 2026. Primärquelle: https://www.ad-hoc-news.de/wissenschaft/phishing-welle-2026-ki-gesteuerte-angriffe-legen-sicherheitsluecken-bloss/69261931