Die Buchhaltung lässt sich von ChatGPT eine Mahnung formulieren, der Vertrieb kippt eine Kundenliste in ein KI-Tool, um sie sortieren zu lassen, und im Marketing entstehen Texte und Bilder per Knopfdruck. Alles läuft nebenbei, ohne dass jemand gefragt hätte, was eigentlich erlaubt ist. Für viele Betriebe in Köln und Bonn ist das längst der ganz normale Alltag, und genau das ist das Problem. Die Technik ist in Windeseile im Haus gelandet, die Regeln dazu fehlen bis heute.

Die gute Nachricht vorweg. Du musst KI nicht verbieten, um wieder Ordnung reinzubringen. Du brauchst nur klare, verständliche Leitplanken, an denen sich alle orientieren können. Genau das ist eine KI-Richtlinie. Dieser Beitrag zeigt dir ohne Fachchinesisch und Schritt für Schritt, warum fast jeder Betrieb heute eine braucht, was hineingehört, wie du sie einführst und welche Fehler du dabei vermeiden solltest.

Was eine KI-Richtlinie ist

Eine KI-Richtlinie ist ein kurzes, schriftliches Regelwerk, das festhält, wie in deinem Unternehmen mit künstlicher Intelligenz umgegangen wird. Sie beantwortet die Fragen, die sich im Alltag ständig stellen. Welche Tools dürfen genutzt werden, welche nicht. Welche Daten dürfen in ein KI-Tool und welche auf keinen Fall. Und wer ist Ansprechpartner, wenn jemand unsicher ist. Eine gute KI-Richtlinie ist dabei kein dickes Handbuch, sondern ein paar klare Seiten, die jeder im Team versteht.

Wichtig ist der Zweck dahinter. Eine KI-Richtlinie soll die Arbeit nicht ausbremsen, sondern absichern. Sie gibt deinen Mitarbeitern die Freiheit, KI produktiv zu nutzen, ohne dass dabei versehentlich sensible Daten abfließen oder rechtliche Grenzen überschritten werden. Sie schützt also das Unternehmen und gleichzeitig die Mitarbeiter, die sonst im Zweifel selbst entscheiden müssten, was gerade noch in Ordnung ist und was nicht mehr.

Warum eine mündliche Absprache nicht reicht

Viele Geschäftsführer winken beim Thema Regeln erst mal ab, weil man das doch auch so bespricht. In der Praxis funktioniert das selten. Was nicht aufgeschrieben ist, versteht jeder anders, und im stressigen Alltag greift ohnehin jeder zu dem Tool, das gerade am schnellsten hilft. Erst wenn die Regeln schwarz auf weiß stehen, entsteht eine gemeinsame Linie, auf die sich alle berufen können. Dazu kommt, dass du eine schriftliche KI-Richtlinie im Zweifel auch vorzeigen kannst, wenn es um Datenschutz oder gesetzliche Vorgaben geht.

Ein weiterer Punkt wird oft übersehen. Mitarbeiter wünschen sich sogar klare Regeln, weil sie gar nicht unsicher sein wollen, ob sie gerade etwas Verbotenes tun. Eine mündliche Absprache lässt genau diese Unsicherheit bestehen, denn niemand weiß im Zweifel, woran er sich halten soll. Klare Leitplanken nehmen dem Team diesen Druck und sorgen dafür, dass KI nicht aus Angst gemieden, sondern selbstbewusst und sicher genutzt wird.

Warum fast jeder Betrieb längst eine KI-Richtlinie braucht

Der Grund ist einfach. KI wird in deinem Betrieb längst genutzt, ob du es aktiv steuerst oder nicht. Laut einer Bitkom-Befragung aus dem Jahr 2025 gehen rund vier von zehn Unternehmen davon aus, dass ihre Beschäftigten private KI-Tools für die Arbeit verwenden, oft ohne Wissen der Geschäftsführung.¹ Diese sogenannte Schatten-KI ist der eigentliche Risikofaktor, denn niemand hat im Blick, welche Daten dort eingegeben werden.

Gleichzeitig hat die große Mehrheit noch gar keine Spielregeln dafür. In derselben Befragung hatten erst 23 Prozent der Unternehmen eine KI-Richtlinie aufgestellt.¹ Der Rest verlässt sich auf Zufall und Bauchgefühl. Wer hier früh handelt, verschafft sich also einen echten Vorsprung und schließt eine Lücke, durch die bei vielen Mitbewerbern noch sensible Daten nach außen sickern.

Die KI-Kompetenzpflicht macht es fast zur Pflicht

Es gibt noch einen zweiten Grund, warum das Thema gerade jetzt drängt. Seit dem 2. Februar 2025 gilt die sogenannte KI-Kompetenzpflicht aus der KI-Verordnung der EU.² Sie verlangt, dass Mitarbeiter, die mit KI arbeiten, ein ausreichendes Grundverständnis davon haben, also wissen, was die Tools können, wo ihre Grenzen liegen und welche Risiken es gibt. Eine KI-Richtlinie ist der einfachste Weg, dieser Pflicht nachzukommen und sie auch nachweisen zu können, denn sie hält genau diese Spielregeln fest.

Ein Beispiel aus unserer Region

Stell dir eine Steuerkanzlei aus dem Raum Köln vor, rund 30 Mitarbeiter. Die Mitarbeiter nutzen KI längst, um Schreiben vorzuformulieren und Texte zu kürzen. Eines Tages kopiert jemand einen kompletten Mandantenvorgang mit Namen und Zahlen in ein kostenloses KI-Tool, um sich eine Zusammenfassung erstellen zu lassen. Gut gemeint, aber ein klarer Datenschutzverstoß, von dem die Kanzlei nicht einmal etwas ahnt.

Der Handlungsbedarf ist real, aber überschaubar. Mit einer klaren KI-Richtlinie, die festlegt, welche Tools erlaubt sind und dass Mandantendaten niemals in ein öffentliches Tool gehören, wäre das nicht passiert. Eine kurze Schulung dazu, und das Team weiß, woran es ist. Genau diesen Schritt gehen gerade viele Betriebe in Köln und Bonn.

Das Beispiel zeigt auch, wie wenig es oft braucht. Der Mitarbeiter wollte nichts Böses, im Gegenteil, er wollte nur schneller fertig werden. Ohne Leitplanken wird aus so einem gut gemeinten Handgriff schnell ein ernstes Problem, über das im Zweifel der Chef den Kopf hinhalten muss. Mit klaren Regeln bleibt die gleiche Hilfsbereitschaft erhalten, nur eben auf sicherem Boden.

Woran du merkst, dass dir eine KI-Richtlinie fehlt

Nicht jeder Betrieb merkt sofort, dass ihm Regeln fehlen. Diese Anzeichen sind aber ziemlich deutlich.

• Du weißt nicht, welche KI-Tools im Einsatz sind. Niemand hat einen Überblick, wer womit arbeitet.
• Es gibt keine klare Antwort auf die Frage, was erlaubt ist. Jeder Mitarbeiter entscheidet im Zweifel selbst.
• Sensible Daten landen in kostenlosen Tools. Kundendaten oder interne Zahlen werden einfach eingegeben.
• KI-Ergebnisse gehen ungeprüft raus. Texte oder Zahlen werden übernommen, ohne dass jemand gegenliest.
• Niemand ist zuständig. Es gibt keinen festen Ansprechpartner für Fragen rund um KI.

Wenn dir mehrere dieser Punkte bekannt vorkommen, ist eine KI-Richtlinie längst überfällig. Je länger du wartest, desto mehr gewöhnt sich das Team an Abläufe, die du später wieder mühsam zurückdrehen musst.

Was in eine gute KI-Richtlinie gehört

Eine KI-Richtlinie muss nicht kompliziert sein. Ein paar klare Bausteine reichen aus, damit sie im Alltag wirklich hilft. Wichtig ist, dass jeder Baustein eine Frage beantwortet, die sich deine Mitarbeiter sonst selbst beantworten müssten. Je konkreter du wirst, desto weniger Graubereiche bleiben übrig.

• Erlaubte und verbotene Tools. Lege fest, welche KI-Dienste genutzt werden dürfen, am besten geprüfte Geschäftsversionen, und welche tabu sind.
• Umgang mit Daten. Halte klar fest, welche Daten niemals in ein KI-Tool gehören, vor allem Kundendaten, Personaldaten und Geschäftsgeheimnisse.
• Kennzeichnung. Regle, ob und wie mit KI erstellte Inhalte markiert werden, gerade im Kundenkontakt.
• Verantwortung und Ansprechpartner. Benenne, an wen sich Mitarbeiter bei Unsicherheit wenden können.
• Prüfung der Ergebnisse. Mach deutlich, dass KI-Ausgaben immer von einem Menschen gegengelesen werden, weil KI auch falsch liegen kann.

Mehr braucht es für den Anfang oft nicht. Entscheidend ist, dass die KI-Richtlinie verständlich bleibt und zu deinem Betrieb passt, statt eine Vorlage aus dem Internet blind zu übernehmen.

Lieber ermöglichen als verbieten

Ein häufiger Reflex ist, KI am liebsten ganz zu verbieten. Das geht in der Praxis fast immer schief, weil die Mitarbeiter dann einfach heimlich weitermachen und die Schatten-KI noch größer wird. Eine gute KI-Richtlinie sagt deshalb nicht nur, was verboten ist, sondern vor allem, wie KI sicher genutzt werden darf. So holst du die heimliche Nutzung ans Licht, machst aus einem Risiko einen echten Vorteil und gibst deinem Team ein gutes Gefühl dabei.

So führst du eine KI-Richtlinie ein

Damit die Richtlinie nicht in der Schublade verschwindet, kommt es auf das Vorgehen an. Ein paar klare Schritte bringen dich am weitesten, und keiner davon ist aufwändig oder teuer.

Verschaff dir zuerst einen Überblick, welche KI-Tools in deinem Betrieb überhaupt genutzt werden, auch die inoffiziellen. Erst dann weißt du, was du regeln musst. Danach legst du gemeinsam mit den wichtigsten Beteiligten die Regeln fest, hältst sie kurz und verständlich schriftlich fest und stellst sie dem ganzen Team vor. Entscheidend ist der letzte Schritt, nämlich eine kurze Schulung, damit jeder die KI-Richtlinie nicht nur kennt, sondern auch versteht. Und weil sich KI rasant weiterentwickelt, solltest du die Richtlinie einmal im Jahr überprüfen und anpassen.

Hilfreich ist außerdem, die Mitarbeiter früh einzubinden, statt ihnen die KI-Richtlinie einfach vorzusetzen. Wer mitreden darf, welche Tools im Alltag wirklich helfen, hält sich später auch eher an die Regeln. Gibt es einen Betriebsrat, solltest du ihn frühzeitig beteiligen, denn Regeln zur Nutzung von Software berühren die Mitbestimmung. Das klingt nach Aufwand, ist in der Praxis aber schnell geklärt, wenn von Anfang an klar ist, dass es ums Ermöglichen geht und nicht ums Kontrollieren.

Häufige Fehler, die du vermeiden solltest

Bei vielen Betrieben wiederholen sich dieselben Fehler. Der häufigste ist, die KI-Richtlinie viel zu kompliziert zu machen, sodass sie niemand liest. Kurz und klar schlägt lang und juristisch. Ein zweiter Fehler ist, sie einmal zu schreiben und dann nie wieder anzufassen, obwohl sich die Tools ständig ändern. Und drittens wird oft die Schulung vergessen, sodass die beste KI-Richtlinie wirkungslos bleibt, weil keiner sie wirklich kennt. Wer diese drei Fehler vermeidet, hat schon viel gewonnen.

Was du mit einer KI-Richtlinie gewinnst

Der Aufwand lohnt sich an mehreren Stellen gleichzeitig. Du schützt sensible Daten, weil klar ist, was in welche Tools darf und was nicht. Du reduzierst dein rechtliches Risiko, weil du Datenschutz und die KI-Kompetenzpflicht ein gutes Stück weit abdeckst. Und du gibst deinem Team Sicherheit, weil niemand mehr im Graubereich arbeiten muss.

Dazu kommt ein Effekt, den viele unterschätzen. Eine klare KI-Richtlinie macht KI im Betrieb erst richtig nutzbar. Statt dass jeder heimlich sein eigenes Tool verwendet, arbeiten alle mit denselben sicheren Werkzeugen, und das Wissen darüber bleibt im Unternehmen. So wird aus unkontrolliertem Wildwuchs ein echter Produktivitätsgewinn, auf den du dich verlassen kannst.

Nicht zu unterschätzen ist auch der Eindruck nach außen. Wenn ein Kunde fragt, wie ihr mit seinen Daten und mit KI umgeht, macht es einen großen Unterschied, ob du nur mit den Schultern zuckst oder eine klare Antwort geben kannst. Gerade im Wettbewerbsraum Köln und Bonn wird ein verantwortungsvoller Umgang mit KI zunehmend zum Argument, das Vertrauen schafft und dich von Mitbewerbern abhebt.

Deine nächsten Schritte mit IT-Deol

Verschaff dir zuerst ein ehrliches Bild vom aktuellen Stand. Weißt du, welche KI-Tools in deinem Betrieb genutzt werden, auch inoffiziell? Gibt es bei euch schon Regeln dazu, und kennt sie auch jeder? Und ist dein Team im sicheren Umgang mit KI geschult? Diese Fragen kosten wenig Zeit und zeigen schnell, wo es hakt.

Auf dieser Grundlage entscheidest du, ob du das intern angehst oder dir Unterstützung holst. Als IT-Systemhaus aus Lohmar helfen wir bei IT-Deol Unternehmen in Köln, Bonn und der Umgebung dabei, KI sicher nutzbar zu machen. Wir verschaffen dir den Überblick über die genutzten Tools, erstellen mit dir eine praxistaugliche KI-Richtlinie und schulen dein Team, damit die Regeln im Alltag auch ankommen. So wird aus einem diffusen Risiko ein Thema, das du im Griff hast.

Eine KI-Richtlinie klingt zunächst nach Bürokratie, ist für die meisten Betriebe aber schnell erledigt und zahlt sich sofort aus. Wer die wenigen richtigen Regeln festlegt, nutzt die Chancen der KI und bleibt trotzdem auf der sicheren Seite. Für Unternehmen in Köln und Bonn ist das eine kleine Investition mit großer Wirkung, und je früher du anfängst, desto leichter fällt es.

---

Häufige Fragen zum Thema KI-Richtlinie

Brauche ich als kleiner Betrieb wirklich schon feste Regeln für KI?

Ja, denn sobald auch nur einzelne Mitarbeiter Tools wie ChatGPT nutzen, entstehen Risiken für deine Daten, und eine KI-Richtlinie schafft hier klare Leitplanken, die IT-Deol aus Lohmar gemeinsam mit Unternehmen in Köln und Bonn praxistauglich aufsetzt.

Reicht es nicht, wenn wir die Nutzung von KI mündlich besprechen?

Nein, denn was nicht aufgeschrieben ist, versteht jeder anders, und im Zweifel kannst du nichts belegen, weshalb IT-Deol dir hilft, deine Regeln in einer kurzen, schriftlichen KI-Richtlinie festzuhalten, auf die sich dein ganzes Team berufen kann.

Was genau sollte in so einem Regelwerk überhaupt drinstehen?

Eine gute KI-Richtlinie klärt, welche Tools erlaubt sind, welche Daten tabu sind, wie KI-Inhalte gekennzeichnet werden und wer Ansprechpartner ist, und IT-Deol aus Lohmar bringt genau diese Bausteine mit und passt sie an deinen Betrieb in Köln und Bonn an.

Sollte ich meinen Mitarbeitern die Nutzung von ChatGPT einfach verbieten?

Davon ist abzuraten, denn ein Verbot führt meist nur dazu, dass heimlich weitergemacht wird, weshalb eine KI-Richtlinie besser regelt, wie KI sicher genutzt werden darf, und IT-Deol zeigt dir, wie du so die heimliche Nutzung ans Licht holst.

Was ist diese Schatten-KI, von der alle reden?

Damit ist gemeint, dass Mitarbeiter private KI-Tools für die Arbeit nutzen, ohne dass die Geschäftsführung davon weiß, was laut Bitkom rund vier von zehn Unternehmen betrifft, und eine KI-Richtlinie von IT-Deol aus Lohmar bringt genau diese unkontrollierte Nutzung wieder unter Kontrolle.

Hat eine KI-Richtlinie etwas mit der neuen EU-KI-Verordnung zu tun?

Ja, denn seit Februar 2025 gilt die KI-Kompetenzpflicht, nach der dein Team den sicheren Umgang mit KI beherrschen muss, und eine KI-Richtlinie ist der einfachste Weg, dieser Pflicht nachzukommen, wobei IT-Deol dich bei der Umsetzung in Köln und Bonn begleitet.

Wie aufwändig ist es, so eine Richtlinie einzuführen?

Deutlich geringer als viele denken, denn eine KI-Richtlinie sind nur ein paar klare Seiten plus eine kurze Schulung, und IT-Deol aus Lohmar nimmt dir die Erstellung ab, sodass dein Betrieb in Köln und Bonn in kurzer Zeit abgesichert ist.

Welche Daten dürfen meine Leute auf keinen Fall in ein KI-Tool eingeben?

Vor allem Kundendaten, Personaldaten und Geschäftsgeheimnisse gehören niemals in ein öffentliches KI-Tool, und eine KI-Richtlinie hält genau das verbindlich fest, weshalb IT-Deol diese roten Linien für Unternehmen in Köln und Bonn klar definiert.

Muss ich den Betriebsrat einbeziehen, wenn ich KI-Regeln aufstelle?

Wenn es einen Betriebsrat gibt, solltest du ihn früh beteiligen, denn Regeln zur Softwarenutzung berühren die Mitbestimmung, und IT-Deol aus Lohmar sorgt dafür, dass deine KI-Richtlinie von Anfang an sauber und akzeptiert aufgesetzt ist.

Wer hilft mir in Köln und Bonn dabei, eine KI-Richtlinie zu erstellen?

IT-Deol aus Lohmar ist dein Ansprechpartner für eine praxistaugliche KI-Richtlinie, die passende Tool-Auswahl und die Schulung deines Teams, und bietet dazu eine kostenlose Erstberatung an, in der ihr gemeinsam den größten Handlungsbedarf klärt.

---

Quellen

¹ Bitkom e. V., Presseinformation „Beschäftigte nutzen vermehrt Schatten-KI“ (21.10.2025, Befragung 2025; rund 4 von 10 Unternehmen vermuten die Nutzung privater KI-Tools, erst 23 Prozent haben eine KI-Richtlinie aufgestellt). bitkom.org/Presse/Presseinformation/Beschaeftigte-nutzen-Schatten-KI

² Europäische Kommission, KI-Verordnung (Verordnung (EU) 2024/1689), KI-Kompetenzpflicht nach Artikel 4 seit dem 2. Februar 2025. digital-strategy.ec.europa.eu/de/policies/regulatory-framework-ai

Es ist Montagmorgen, und deine Vertriebsleiterin steht mit ernstem Gesicht in deiner Tür. Im CRM hat jemand am Wochenende die komplette Kundenliste exportiert. Der Login gehört Markus. Markus hat vor vier Monaten gekündigt und arbeitet inzwischen bei der Konkurrenz. Niemand hat daran gedacht, sein Konto zu sperren. Die Mail-Adresse wurde umgeleitet, der Laptop kam zurück, und das Konto im CRM lief einfach weiter.

So etwas passiert öfter, als man denkt. In vielen Unternehmen in Köln und Bonn wachsen Benutzerkonten, Passwörter und Zugriffsrechte über Jahre mit, ohne dass jemand den Überblick behält. Genau hier setzt Identity and Access Management an. Der Begriff klingt nach Konzern und Großprojekt. In der Praxis geht es um eine einfache Frage, die du für deinen Betrieb beantworten können solltest. Wer darf bei uns eigentlich was?

Die gute Nachricht vorweg. Für ein funktionierendes Identity and Access Management brauchst du weder eine teure Speziallösung noch ein halbes Jahr Projektarbeit. Mit klaren Abläufen und den Werkzeugen, die du wahrscheinlich schon hast, bekommst du dein Identity and Access Management in den Griff. Wie das geht, zeigen wir dir in diesem Beitrag.

Was Identity and Access Management eigentlich bedeutet

Wer bist du, und was darfst du?

Hinter Identity and Access Management, kurz IAM, stecken zwei Fragen. Die erste lautet, wer sich gerade anmeldet. Das ist die Identität. Die zweite lautet, was diese Person im System tun darf. Das sind die Zugriffsrechte. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt das Ziel recht nüchtern. Beschäftigte und IT-Komponenten sollen nur auf die Informationen zugreifen, die sie für ihre Arbeit brauchen, und alle anderen bleiben draußen.¹

Klingt selbstverständlich. Ist es in vielen Betrieben aber nicht. Jede neue Software bringt eigene Konten mit, jeder neue Mitarbeiter bekommt Zugänge, und mit jeder Beförderung kommen zusätzliche Rechte dazu. Weggenommen wird dagegen selten etwas.

Warum das Thema gerade kleine Betriebe betrifft

Konzerne haben eigene Abteilungen, die sich um Identity and Access Management kümmern. Im Mittelstand erledigt das oft der Geschäftsführer nebenbei, eine engagierte Assistenz oder der Kollege, der sich halt ein bisschen mit Computern auskennt. Das funktioniert, solange zehn Leute im Büro sitzen und jeder jeden kennt. Ab etwa 25 Beschäftigten, mit Außendienst, Homeoffice und einer Handvoll Cloud-Diensten, wird es unübersichtlich. Dann weiß irgendwann niemand mehr genau, wer auf die Lohnbuchhaltung zugreifen kann oder wer noch Admin-Rechte auf dem Server hat.

Wo in vielen Betrieben die Lücken entstehen

Der Austritt, an den keiner denkt

Wenn jemand neu anfängt, ist die Motivation groß. Laptop, Mail-Adresse, Zugang zum ERP, alles soll am ersten Tag funktionieren. Beim Austritt zeigt sich, ob ein Betrieb sein Identity and Access Management ernst nimmt. Die Personalabteilung kümmert sich um Zeugnis und Resturlaub, die IT erfährt manchmal erst Wochen später davon. Und selbst wenn das Windows-Konto gesperrt wird, laufen Zugänge zu Cloud-Diensten, zum Lieferantenportal oder zum Firmenprofil in den sozialen Netzwerken oft einfach weiter.

Rechte, die sich über Jahre ansammeln

Fachleute nennen das Phänomen „Privilege Creep“, also das schleichende Anwachsen von Berechtigungen. Eine Mitarbeiterin fängt im Einkauf an, wechselt nach drei Jahren in den Vertrieb und übernimmt später die Teamleitung. Bei jedem Wechsel kommen neue Rechte dazu. Die alten bleiben. Am Ende kann sie Bestellungen freigeben, Preise ändern und Gehaltsdaten einsehen, obwohl sie nur einen Bruchteil davon braucht. Ein gutes Identity and Access Management schiebt dem einen Riegel vor. Das BSI fordert deshalb, Kennungen und Rechte nur nach dem tatsächlichen Bedarf für die jeweilige Aufgabe zu vergeben.¹

Geteilte Passwörter und Sammelkonten

„Das Passwort steht auf dem Zettel unter der Tastatur.“ Diesen Satz hören wir bei IT-Deol häufiger, als uns lieb ist. Sammelkonten wie „lager“ oder „buchhaltung“ werden von fünf Leuten mit demselben Passwort genutzt. Das ist bequem. Es bedeutet aber auch, dass sich im Ernstfall nicht nachvollziehen lässt, wer welche Änderung gemacht hat. Und wenn einer der fünf das Unternehmen verlässt, müsste eigentlich das Passwort geändert werden. Passiert das? Meistens nicht.

Dienstleister und externe Kräfte

Der Steuerberater, die Werbeagentur, der Techniker für die Maschinensteuerung. Viele Externe bekommen irgendwann Zugriff auf Teile deiner IT, oft mit weitreichenden Rechten und ohne Ablaufdatum. Nach dem Projekt denkt niemand mehr daran. So entstehen Hintertüren, die du selbst nie bewusst geöffnet hast. Im Identity and Access Management bekommen Externe deshalb Konten mit festem Ablaufdatum.

Homeoffice und private Geräte

Viele Teams arbeiten inzwischen zumindest teilweise von zu Hause. Da meldet man sich schnell mal vom privaten Laptop am Firmenportal an, und im Browser bleibt das Passwort gespeichert. Ein modernes Identity and Access Management kann solche Anmeldungen erkennen und etwa nur von geprüften Geräten zulassen. Ohne solche Regeln verschwimmt die Grenze zwischen Firmenrechner und Familien-PC.

Was fehlendes Identity and Access Management kosten kann

Gestohlene Zugangsdaten als häufigstes Einfallstor

Angreifer brechen heute selten spektakulär durch Firewalls. Sie melden sich einfach an. Laut dem Data Breach Investigations Report 2025 von Verizon war der Missbrauch von Zugangsdaten mit 22 Prozent der häufigste Einstiegsweg bei den untersuchten Datenpannen.² Genau deshalb wirkt Identity and Access Management so direkt. Jedes überflüssige Konto und jedes vergessene Passwort vergrößert also die Fläche, auf der Kriminelle ansetzen können.

Die Schäden sind enorm. Der Digitalverband Bitkom beziffert den Schaden durch Datendiebstahl, Spionage und Sabotage für die deutsche Wirtschaft auf 289,2 Milliarden Euro im Jahr, rund 70 Prozent davon gehen auf Cyberangriffe zurück.³ Für einen Betrieb mit 40 Leuten reicht schon ein einziger Vorfall, um Wochen an Arbeit und viel Vertrauen bei Kunden zu kosten.

Pflichten aus DSGVO und NIS2

Dazu kommt die rechtliche Seite. Die Datenschutz-Grundverordnung verlangt in Artikel 32 geeignete technische und organisatorische Maßnahmen, um personenbezogene Daten zu schützen.⁴ Wer nicht belegen kann, wer Zugriff auf Kundendaten oder Personalakten hat, steht bei einer Prüfung schlecht da.

Seit dem 6. Dezember 2025 gilt außerdem das neu gefasste BSI-Gesetz, mit dem Deutschland die europäische NIS2-Richtlinie umgesetzt hat. Paragraf 30 verpflichtet betroffene Unternehmen unter anderem zu Konzepten für die Zugriffskontrolle und zum Einsatz von Multi-Faktor-Authentifizierung.⁵ Ob dein Betrieb direkt darunter fällt, hängt von Branche und Größe ab. Auch wenn nicht, fragen große Kunden ihre Zulieferer immer genauer nach solchen Nachweisen. Ein sauberes Identity and Access Management wird dann schnell zum Argument im Wettbewerb.

Woran du erkennst, dass dein Identity and Access Management Lücken hat

Die Fünf-Minuten-Probe

Mach einen kleinen Test. Nimm dir fünf Minuten und versuche, ein paar Fragen ohne Nachschauen zu beantworten. Wie viele aktive Benutzerkonten gibt es in deinem Microsoft 365? Wer hat Admin-Rechte? Welche ehemaligen Mitarbeiter hatten Zugriff auf das Online-Banking? Wenn du bei einer dieser Fragen ins Grübeln kommst, bist du in guter Gesellschaft. Den meisten Geschäftsführern, mit denen wir sprechen, geht es genauso.

Typische Warnsignale im Alltag

Neue Kollegen warten tagelang auf ihre Zugänge. Passwörter werden per Mail oder Messenger verschickt. Es gibt Sammelkonten, deren Passwort seit Jahren gleich ist. Und wenn jemand fragt, wer eigentlich die Freigaben auf dem Server verwaltet, zucken alle mit den Schultern. Einzeln wirken diese Signale harmlos. Zusammen zeigen sie, dass dein Identity and Access Management über die Jahre eher zufällig gewachsen ist.

Die Bausteine von Identity and Access Management

Eine zentrale Identität für jede Person

Die Grundlage ist simpel. Jeder Mensch im Unternehmen hat genau ein Benutzerkonto, das an einer zentralen Stelle gepflegt wird. In vielen Betrieben ist das Microsoft Entra ID, das frühere Azure Active Directory, das ohnehin zu Microsoft 365 gehört. Von dort aus werden weitere Anwendungen angebunden. Wird das zentrale Konto gesperrt, ist die Person überall draußen.

Rollen statt Einzelrechte

Anstatt jedem Mitarbeiter einzeln Rechte zuzuweisen, definierst du Rollen wie Vertrieb, Buchhaltung, Lager oder Geschäftsführung. Jede Rolle bekommt ein festes Paket an Berechtigungen. Kommt eine neue Kollegin in den Vertrieb, erhält sie die Rolle Vertrieb, fertig. Wechselt sie in die Buchhaltung, tauschst du die Rolle aus, und die alten Rechte verschwinden automatisch. So wird Identity and Access Management auch für kleine Teams handhabbar.

Mehr-Faktor-Authentifizierung als Pflichtprogramm

Zu jedem Identity and Access Management gehört ein zweiter Faktor, denn ein Passwort allein reicht heute nicht mehr. Mit einem zweiten Faktor, etwa einer Bestätigung per Smartphone-App, bleibt ein gestohlenes Passwort für Angreifer weitgehend wertlos. Wir empfehlen die Mehr-Faktor-Authentifizierung für alle Konten, und ganz besonders für Admin-Zugänge und den Fernzugriff.

Single Sign-on gegen das Passwortchaos

Mit Single Sign-on meldet sich deine Belegschaft einmal an und kommt dann in alle angebundenen Programme. Und es löst ganz nebenbei das Zettelproblem, weil sich niemand mehr zwanzig verschiedene Passwörter merken muss. Für dich als Geschäftsführer bedeutet das vor allem eines. Du hast einen zentralen Schalter, mit dem du Zugänge an- und abschaltest.

Regelmäßige Überprüfung der Rechte

Einmal einrichten und dann vergessen funktioniert leider nicht. Einmal im Quartal oder zumindest zweimal im Jahr sollten die Führungskräfte prüfen, ob die Rechte in ihren Teams noch stimmen. Mit einer übersichtlichen Liste dauert es pro Abteilung aber oft nur eine halbe Stunde. Ehrlich gesagt ist das der Teil, der in der Praxis am häufigsten einschläft. Und wir haben noch kein Patentrezept gefunden, wie man Führungskräfte dauerhaft dazu motiviert.

Ein Beispiel aus unserer Region

Die Ausgangslage

Stell dir ein Ingenieurbüro in Siegburg mit rund 35 Mitarbeitern vor. So oder so ähnlich erleben wir es regelmäßig. Über die Jahre sind Microsoft 365, eine CAD-Software, ein Projektmanagement-Tool in der Cloud, ein Zeiterfassungssystem und ein Datenraum für Bauherren dazugekommen. Jedes System hatte eigene Konten. Bei der Bestandsaufnahme tauchen 58 aktive Benutzerkonten auf, obwohl nur 35 Leute im Büro arbeiten. Darunter drei ehemalige Werkstudenten, ein Praktikant aus dem Vorjahr und zwei Konten eines Planungspartners, dessen Auftrag seit über einem Jahr abgeschlossen ist. Vier Personen haben volle Admin-Rechte, obwohl nur eine sie wirklich braucht.

Was sich verändert

Gemeinsam mit der Geschäftsführung werden zuerst alle verwaisten Konten gesperrt und nach einer kurzen Wartezeit gelöscht. Danach definieren wir fünf Rollen und binden die wichtigsten Anwendungen per Single Sign-on an Microsoft Entra ID an. Mehr-Faktor-Authentifizierung gilt ab sofort für alle. Für Ein- und Austritte gibt es eine kurze Checkliste, die Personalverantwortliche und IT gemeinsam abarbeiten.

Drei Monate später sind neue Kollegen am ersten Tag arbeitsfähig, und beim Austritt reicht ein Klick, um alle Zugänge zu sperren. Für das Identity and Access Management in diesem Büro brauchte es ein paar Wochen, klare Regeln und vor allem gründliches Aufräumen. Die Geschäftsführung gewinnt dabei etwas, das sich schlecht in Euro ausdrücken lässt. Sie weiß wieder, wer was darf.

So startest du mit Identity and Access Management ohne Großprojekt

1. Verschaff dir einen Überblick

Der erste Schritt zu einem guten Identity and Access Management ist eine ehrliche Bestandsaufnahme. Welche Programme und Cloud-Dienste nutzt ihr? Wer hat dort ein Konto? Wer hat Admin-Rechte? Schon eine einfache Tabelle bringt oft erstaunliche Dinge ans Licht.

2. Regle Eintritt, Wechsel und Austritt

Fachleute sprechen vom Joiner-Mover-Leaver-Prozess. Dahinter steckt eine kurze Checkliste für drei Momente, nämlich wenn jemand anfängt, wenn jemand die Abteilung wechselt und wenn jemand geht. Lege fest, wer die IT informiert, wer die Rechte vergibt und wer das Sperren kontrolliert. Besonders der Austritt braucht eine feste Frist, am besten den letzten Arbeitstag.

3. Nutze, was schon da ist

Viele Betriebe in Köln, Bonn und im Rhein-Sieg-Kreis arbeiten bereits mit Microsoft 365. Je nach Lizenz sind Werkzeuge wie Mehr-Faktor-Authentifizierung, bedingter Zugriff und Zugriffsüberprüfungen schon enthalten. Oft fehlt nur jemand, der sie sinnvoll einrichtet. Bevor du also in zusätzliche Software investierst, lohnt sich ein Blick in die vorhandenen Lizenzen.

4. Fang klein an und bleib dran

Du musst nicht alles auf einmal lösen. Starte mit den kritischsten Systemen wie E-Mail, Buchhaltung und Kundendaten. Führe dort Mehr-Faktor-Authentifizierung ein und räume verwaiste Konten auf. Danach folgen Schritt für Schritt die übrigen Anwendungen. Identity and Access Management ist ein Prozess, der mit deinem Betrieb mitwächst, und das ist völlig in Ordnung.

Deine nächsten Schritte mit IT-Deol

Warum ein Partner vor Ort hilft

Als IT-Systemhaus aus Lohmar betreuen wir Unternehmen in Köln, Bonn, Siegburg und der ganzen Region. Wir kennen die typischen Stolperfallen beim Identity and Access Management im Mittelstand, weil wir sie jeden Tag sehen. Bei IT-Deol verbinden wir Identity and Access Management mit unseren Managed Security Services, mit Microsoft 365 und mit Security-Awareness-Trainings für deine Belegschaft. Denn die beste Technik hilft wenig, wenn niemand weiß, warum das Passwort nicht auf den Zettel gehört.

So läuft der Einstieg

Wir starten mit einem Gespräch, in dem du uns erzählst, wie dein Betrieb aufgestellt ist. Danach prüfen wir deine vorhandenen Konten und Berechtigungen und zeigen dir, wo die größten Risiken liegen. Du bekommst einen klaren Plan mit Prioritäten, den wir auf Wunsch gemeinsam umsetzen und danach laufend betreuen. Und falls Markus vom Anfang dieses Beitrags irgendwann doch auf die Idee kommt, sich einzuloggen, weißt du, dass sein Konto längst gesperrt ist.

---

Häufige Fragen zum Thema Identity and Access Management

Wie stelle ich sicher, dass ehemalige Mitarbeiter keinen Zugriff mehr auf unsere Systeme haben?

Am zuverlässigsten klappt das mit einem zentralen Benutzerkonto pro Person, über das alle Anwendungen laufen. Beim Austritt sperrst du dieses eine Konto und die Person ist überall draußen. Genau das ist der Kern von Identity and Access Management. IT-Deol aus Lohmar richtet solche Abläufe für Betriebe in Köln und Bonn ein, inklusive einer Checkliste für den letzten Arbeitstag.

Wer in meinem Betrieb sollte eigentlich welche Zugriffsrechte bekommen?

Jede Person sollte nur die Rechte haben, die sie für ihre Aufgabe wirklich braucht. Praktisch lässt sich das über Rollen wie Vertrieb, Buchhaltung oder Lager lösen, die jeweils ein festes Rechtepaket bekommen. Im Identity and Access Management ordnest du dann nur noch Rollen zu. IT-Deol aus Lohmar hilft dir, passende Rollen für deinen Betrieb zu definieren.

Reicht ein sicheres Passwort, um unsere Firmenkonten zu schützen?

Leider nicht mehr. Gestohlene Zugangsdaten gehören zu den häufigsten Einfallstoren für Angreifer. Mit einem zweiten Faktor, etwa einer Bestätigung per App, bleibt ein erbeutetes Passwort weitgehend wertlos. Diese Mehr-Faktor-Authentifizierung ist ein fester Baustein im Identity and Access Management, den IT-Deol für Unternehmen in Köln, Bonn und Lohmar einführt.

Brauche ich für eine saubere Rechteverwaltung eine teure Zusatzsoftware?

In vielen Fällen nicht. Wenn du Microsoft 365 nutzt, stecken je nach Lizenz schon viele Werkzeuge für Identity and Access Management drin, etwa Mehr-Faktor-Authentifizierung und bedingter Zugriff. Oft fehlt nur die richtige Einrichtung. IT-Deol aus Lohmar prüft deine vorhandenen Lizenzen, bevor du Geld für zusätzliche Software ausgibst.

Wie oft sollte ich prüfen, wer bei uns worauf zugreifen darf?

Für die meisten kleinen und mittleren Betriebe ist eine Überprüfung pro Quartal oder zumindest zweimal im Jahr sinnvoll. Die Führungskräfte schauen dabei, ob die Rechte in ihren Teams noch stimmen. Mit einem gepflegten Identity and Access Management dauert das pro Abteilung oft nur eine halbe Stunde. IT-Deol unterstützt Firmen in Köln und Bonn mit übersichtlichen Berichten dafür.

Ist es schlimm, wenn sich mehrere Kollegen ein Benutzerkonto teilen?

Bequem ist es, sicher aber nicht. Bei geteilten Konten lässt sich im Ernstfall nicht nachvollziehen, wer welche Änderung gemacht hat, und das Passwort wird selten geändert, wenn jemand geht. Ein Identity and Access Management setzt deshalb auf persönliche Konten für jede Person. IT-Deol aus Lohmar hilft dir, Sammelkonten schrittweise abzulösen.

Muss mein Unternehmen wegen NIS2 etwas an der Rechtevergabe ändern?

Das hängt von Branche und Größe ab. Seit dem 6. Dezember 2025 verlangt das neue BSI-Gesetz von betroffenen Unternehmen unter anderem Konzepte für die Zugriffskontrolle und Multi-Faktor-Authentifizierung. Auch wer nicht direkt betroffen ist, wird von großen Kunden zunehmend danach gefragt. Ein dokumentiertes Identity and Access Management hilft in beiden Fällen, und IT-Deol aus Lohmar prüft gern, was für dich gilt.

Wie gebe ich externen Dienstleistern sicher Zugriff auf unsere IT?

Externe sollten eigene Konten mit genau den Rechten bekommen, die sie für ihren Auftrag brauchen, und diese Konten sollten ein festes Ablaufdatum haben. So bleiben keine vergessenen Hintertüren offen. Im Identity and Access Management lässt sich das sauber regeln. IT-Deol richtet solche Gastzugänge für Unternehmen in Köln, Bonn und der Region ein.

Wie bekommen neue Mitarbeiter schon am ersten Tag alle Zugänge, die sie brauchen?

Mit einer festen Checkliste für den Eintritt und klar definierten Rollen. Sobald feststeht, in welcher Abteilung jemand anfängt, bekommt die Person automatisch das passende Rechtepaket. So spart ein gutes Identity and Access Management Zeit und Nerven. IT-Deol aus Lohmar baut solche Abläufe gemeinsam mit deiner Personalabteilung auf.

Woran erkenne ich, dass die Zugriffsrechte in meinem Betrieb aus dem Ruder gelaufen sind?

Typische Warnsignale sind mehr aktive Konten als Beschäftigte, Passwörter auf Zetteln oder im Messenger und mehrere Personen mit vollen Admin-Rechten. Wenn du nicht sofort sagen kannst, wer Zugriff auf das Online-Banking hat, ist es Zeit für eine Bestandsaufnahme. IT-Deol aus Lohmar prüft dein Identity and Access Management und zeigt dir die größten Baustellen in deinem Betrieb in Köln oder Bonn.

---

Quellen

¹ Bundesamt für Sicherheit in der Informationstechnik, IT-Grundschutz-Kompendium, Baustein ORP.4 Identitäts- und Berechtigungsmanagement (Edition 2023): https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-Kompendium_Einzel_PDFs_2023/02_ORP_Organisation_und_Personal/ORP_4_Identitaets_und_Berechtigungsmanagement_Editon_2023.html

² Verizon, 2025 Data Breach Investigations Report, Pressemitteilung: https://www.verizon.com/about/node/928927

³ Bundesamt für Verfassungsschutz, Vorstellung der Bitkom-Studie „Wirtschaftsschutz 2025″: https://www.verfassungsschutz.de/SharedDocs/kurzmeldungen/DE/2025/2025-09-18-studie-bitkom.html

⁴ EUR-Lex, Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Artikel 32: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679

⁵ Bundesministerium der Justiz, BSI-Gesetz § 30 Risikomanagementmaßnahmen: https://www.gesetze-im-internet.de/bsig_2025/__30.html

Du sitzt mit deinem IT-Dienstleister beim Kaffee, und er fragt, wann der letzte Sicherheitscheck deiner Systeme war. Deine Antwort kommt schnell, „wir lassen doch regelmäßig einen Scan laufen, das reicht doch“. Genau dieser Satz fällt in vielen Geschäftsführerbüros zwischen Köln und Bonn, und genau dieser Satz sorgt später für böse Überraschungen. Ein automatisierter Scan ist ein guter erster Schritt. Er ist aber kein Penetrationstest, auch wenn beide Begriffe im Alltag munter durcheinander geworfen werden. Der Unterschied klingt zunächst nach Fachchinesisch, entscheidet im Ernstfall aber darüber, ob ein Angreifer an deiner Firewall abprallt oder mitten in deinem Netzwerk landet.

Die gute Nachricht vorweg, sobald du den Unterschied einmal verstanden hast, kannst du gezielt entscheiden, was dein Unternehmen wirklich braucht, statt dich auf ein trügerisches Gefühl von Sicherheit zu verlassen. Gerade als Geschäftsführerin oder Geschäftsführer eines mittelständischen Betriebs zwischen Köln, Bonn und Siegburg hast du selten Zeit, dich tief in IT-Fachbegriffe einzuarbeiten, und genau deshalb lohnt sich ein kurzer, ruhiger Blick auf die Unterschiede, bevor die nächste Rechnung für einen „Sicherheitscheck“ auf deinem Tisch landet.

Was ein Schwachstellenscan wirklich leistet

Ein Schwachstellenscan ist ein automatisiertes Verfahren. Eine Software durchsucht deine Server, Firewalls, Webanwendungen und Netzwerkgeräte nach bekannten Sicherheitslücken und gleicht die Ergebnisse mit Datenbanken ab, in denen tausende dokumentierte Schwachstellen hinterlegt sind. Das Verfahren läuft weitgehend von selbst, dauert wenige Stunden bis Tage und liefert am Ende einen Bericht mit einer Liste gefundener Probleme.¹

Der große Vorteil liegt in der Geschwindigkeit und den überschaubaren Kosten. Ein Schwachstellenscan eignet sich hervorragend, um regelmäßig, zum Beispiel monatlich, den aktuellen Zustand deiner IT zu überwachen und neue Lücken schnell aufzuspüren, bevor sie sich häufen. Für viele kleine Unternehmen ist ein solcher Scan der erste sinnvolle Baustein einer IT-Sicherheitsstrategie, und niemand sollte darauf verzichten.

Wo die Grenzen eines Scans liegen

Ein Scanner erkennt nur, was er kennt. Er sucht nach bekannten Mustern und Signaturen, testet aber nicht aktiv, ob sich eine gefundene Schwachstelle tatsächlich ausnutzen lässt. Kombinierte Angriffswege, bei denen mehrere kleine Schwachstellen zusammen ein großes Einfallstor ergeben, bleiben für einen automatisierten Scan meist unsichtbar. Genauso wenig erkennt ein Scan menschliche Schwachpunkte wie großzügige Berechtigungen im echten Betrieb oder schlecht abgesicherte Prozesse in der Softwareentwicklung.

Das Ergebnis ist häufig eine lange Liste mit vermeintlichen Problemen, von denen einige in der Praxis harmlos sind, sogenannte Fehlalarme, während echte kritische Lücken in der Kombination übersehen werden.² Wer sich allein auf diese Liste verlässt, bekommt ein unvollständiges Bild seiner tatsächlichen Angriffsfläche. Für die IT-Abteilung oder den externen Dienstleister ist das kein Vorwurf, sondern liegt schlicht an der Natur des Werkzeugs, eine Software kann eben nur das prüfen, wofür sie programmiert wurde, und sie denkt nicht kreativ mit wie ein Mensch, der gezielt nach Umwegen sucht.

Was einen echten Penetrationstest ausmacht

Ein Penetrationstest geht einen entscheidenden Schritt weiter. Erfahrene Sicherheitsexperten schlüpfen für einen begrenzten Zeitraum in die Rolle eines Angreifers und versuchen mit denselben Methoden wie echte Hacker, in dein System einzudringen. Anders als beim Scan werden gefundene Schwachstellen nicht nur aufgelistet, sondern aktiv ausprobiert. Die Tester kombinieren mehrere kleinere Lücken zu einem realistischen Angriffsszenario und zeigen dir am Ende genau, wie weit ein Angreifer tatsächlich kommen würde und welche Daten er einsehen könnte.

Die fünf Phasen eines professionellen Penetrationstests

Das Bundesamt für Sicherheit in der Informationstechnik hat mit seinem Praxis-Leitfaden einen anerkannten Ablauf für einen seriösen Penetrationstest beschrieben.³ Vereinfacht läuft ein solcher Penetrationstest in fünf Phasen ab. Zuerst sammeln die Tester Informationen über dein Unternehmen und deine Systeme. Danach bewerten sie, welche Angriffswege vielversprechend erscheinen. Es folgt die eigentliche aktive Phase, in der die Tester versuchen, tatsächlich einzudringen. Anschließend werden die Ergebnisse ausgewertet und schließlich in einem verständlichen Bericht mit konkreten Handlungsempfehlungen zusammengefasst.

Am Ende bekommst du also nicht nur eine technische Liste, sondern eine echte Einschätzung deines Risikos, formuliert so, dass auch du als Geschäftsführer ohne IT-Hintergrund genau verstehst, wo dringender Handlungsbedarf besteht.

Black-Box, Grey-Box und White-Box, drei unterschiedliche Testtiefen

Nicht jeder Penetrationstest läuft gleich ab. Beim Black-Box-Test bekommen die Tester vorab keinerlei Informationen und starten wie ein echter, fremder Angreifer bei null. Beim White-Box-Test erhalten sie dagegen vollen Einblick in Dokumentation, Netzpläne und Quellcode und können dadurch besonders tief prüfen. Der Grey-Box-Test liegt dazwischen und orientiert sich häufig an dem Wissen, das ein ehemaliger Mitarbeiter oder ein kompromittiertes Nutzerkonto mitbringen würde, ein Szenario, das in der Praxis erstaunlich oft zutrifft. Für die meisten mittelständischen Unternehmen bietet ein Grey-Box-Penetrationstest das beste Verhältnis aus Aufwand und Aussagekraft.

Warum die Verwechslung schnell teuer wird

Angreifer nutzen genau das, was ein Scan übersieht

Kriminelle interessieren sich nicht für einzelne, isolierte Schwachstellen. Sie suchen nach Kombinationen, mit denen sie sich Schritt für Schritt durch dein Netzwerk bewegen können, von einem schwach gesicherten Drucker über ein veraltetes Content-Management-System bis zum Zugriff auf sensible Kundendaten. Laut dem aktuellen BSI-Lagebericht werden täglich rund 119 neue Softwareschwachstellen bekannt, ein Anstieg von 24 Prozent gegenüber dem Vorjahr, und rund 80 Prozent der registrierten Ransomware-Angriffe treffen kleine und mittlere Unternehmen.⁴ Wer sich allein auf einen automatisierten Scan verlässt, übersieht damit genau die Angriffswege, die in der Praxis am häufigsten ausgenutzt werden. Ein Penetrationstest deckt diese Kombinationen gezielt auf, bevor es ein Angreifer tut.

Compliance verlangt mehr als einen Klick auf Scan starten

Auch aus rechtlicher Sicht reicht ein reiner Schwachstellenscan oft nicht aus. Artikel 32 der Datenschutzgrundverordnung verpflichtet Unternehmen dazu, ein regelmäßiges Verfahren zur Überprüfung, Bewertung und Evaluierung der technischen Sicherheitsmaßnahmen einzurichten, und ein Penetrationstest gilt in der Praxis als anerkannter Nachweis für diese Pflicht.⁵ Seit Dezember 2025 kommt für viele Unternehmen eine weitere Ebene hinzu. Mit dem NIS2-Umsetzungsgesetz sind inzwischen rund 29.500 Unternehmen in Deutschland zu einem strukturierten Risikomanagement verpflichtet, wozu regelmäßige Sicherheitsüberprüfungen wie ein Penetrationstest ausdrücklich gehören.⁶ Auch wenn dein Unternehmen selbst nicht direkt betroffen ist, lohnt sich ein Blick auf die eigene Lieferkette, denn größere Kunden verlangen zunehmend einen Nachweis, dass ihre Zulieferer die eigene IT regelmäßig mit einem Penetrationstest überprüfen lassen.

Wie oft dein Unternehmen einen Penetrationstest braucht

Ein Penetrationstest ist kein einmaliges Projekt, das du abhakst und danach vergisst. Für den Mittelstand hat sich ein Rhythmus von zwei bis drei Jahren bewährt, ergänzt um einen zusätzlichen Penetrationstest nach größeren Veränderungen, etwa nach der Einführung einer neuen Software, einem Umzug in die Cloud oder einem größeren Umbau deiner Netzwerkstruktur. Webanwendungen mit direktem Kundenkontakt solltest du nach jedem größeren Release erneut prüfen lassen, weil dort mit jeder neuen Funktion auch neue Angriffsflächen entstehen.

Scan und Penetrationstest ergänzen sich, statt sich zu ersetzen

Die beste Lösung ist selten ein Entweder-oder. Ein regelmäßiger, automatisierter Scan hält die offensichtlichen Lücken klein und günstig unter Kontrolle, während ein Penetrationstest in größeren Abständen die wirklich kritischen Fragen beantwortet. Kombiniert bekommst du ein realistisches, laufend aktuelles Bild deiner IT-Sicherheit, ohne bei jeder kleinen Änderung gleich ein aufwendiges Testteam beauftragen zu müssen.

Woran du einen seriösen Anbieter erkennst

Qualifikation und Erfahrung zählen mehr als der Preis

Der Markt für Penetrationstests ist unübersichtlich, und als Laie fällt es schwer, gute von schlechten Anbietern zu unterscheiden. Achte auf anerkannte Zertifizierungen der Tester, auf nachvollziehbare Referenzen aus deiner Branche und auf einen Bericht, der nicht nur eine automatisch generierte Fundliste ist, sondern verständlich erklärte, priorisierte Handlungsempfehlungen enthält. Ein günstiges Angebot, das im Kern nur einen Schwachstellenscan mit anderem Namen verkauft, hilft dir im Ernstfall wenig.

Ein klarer, rechtssicherer Vertrag schützt beide Seiten

Ein Penetrationstest darf ausschließlich mit ausdrücklicher, schriftlicher Vereinbarung stattfinden, denn ohne einen klar abgegrenzten Auftrag bewegt sich ein Tester sonst schnell im Bereich strafbarer Handlungen. Ein seriöser Anbieter legt dir vor Beginn genau fest, welche Systeme getestet werden, in welchem Zeitraum getestet wird und welche Angriffsmethoden ausdrücklich erlaubt sind. Diese Klarheit schützt nicht nur den Tester, sondern vor allem dich als Auftraggeber, falls während des Penetrationstests unerwartet etwas ausfällt.

Was ein Penetrationstest kostet

Realistische Preisspannen für den Mittelstand

Viele Geschäftsführer schrecken schon beim Gedanken an ein Angebot zurück, weil sie eine fünfstellige Summe erwarten. Am deutschen Markt üblich sind Tagessätze zwischen 1.000 und 1.800 Euro, und je nach Umfang dauert ein Penetrationstest zwischen zwei und zehn Tagen.⁷ Für ein einzelnes Netzwerk oder eine überschaubare Webanwendung bewegt sich ein solider Penetrationstest damit häufig im niedrigen bis mittleren vierstelligen Bereich, während ein umfassender Test über mehrere Systeme hinweg entsprechend mehr kostet. Wichtiger als der reine Preis ist, was am Ende im Bericht steht, denn ein Angebot deutlich unter diesen Spannen ist in der Regel nur ein umbenannter Schwachstellenscan mit hübscherem Namen.

Die Investition zahlt sich im Ernstfall aus

Verglichen mit den Folgekosten eines echten Sicherheitsvorfalls, von Betriebsunterbrechung über Wiederherstellung bis zu möglichen Bußgeldern, ist ein Penetrationstest eine überschaubare, gut planbare Ausgabe. Wer den Test zusätzlich mit dem eigenen Cyber-Versicherer bespricht, kann die Ergebnisse mitunter sogar für bessere Konditionen nutzen, weil ein nachgewiesener Penetrationstest das versicherte Risiko aus Sicht des Versicherers senkt. Gerade für Unternehmen in Köln und Bonn, die eng mit größeren Auftraggebern verflochten sind, wird ein dokumentierter Penetrationstest zunehmend auch zur Voraussetzung, um überhaupt an bestimmten Ausschreibungen teilnehmen zu dürfen.

Ein Beispiel aus unserer Region

Ein Kölner Maschinenbaubetrieb mit rund 60 Mitarbeitenden hatte über Jahre einen monatlichen Schwachstellenscan im Einsatz und fühlte sich damit gut aufgestellt. Als wir gemeinsam mit dem Unternehmen einen ersten Penetrationstest durchführten, zeigte sich schnell ein anderes Bild. Der Scan hatte zwar mehrere veraltete Softwareversionen erkannt, aber niemand hatte bemerkt, dass ein Mitarbeiter im Vertrieb noch mit einem alten VPN-Zugang arbeitete, der eigentlich seit einem Teamwechsel längst hätte gesperrt werden müssen. Unsere Tester kombinierten diesen vergessenen Zugang mit einer veralteten Softwarekomponente und waren innerhalb weniger Stunden mitten im internen Netzwerk, inklusive Zugriff auf Konstruktionsdaten und Kundenlisten.

Genau solche Kombinationen aus mehreren kleinen, für sich genommen harmlos wirkenden Lücken sind es, die ein reiner Schwachstellenscan praktisch nie aufdeckt. Nach dem Penetrationstest wurden die betroffenen Zugänge geschlossen, das interne Rechtekonzept überarbeitet, und das Unternehmen aus dem Kölner Umland konnte seinen nächsten Kunden gegenüber erstmals einen belastbaren Nachweis über die eigene IT-Sicherheit vorlegen. Ähnliche Fälle erleben wir regelmäßig auch bei Unternehmen aus Bonn und der weiteren Region, und fast immer ist die Überraschung groß, wie wenig ein reiner Scan von der eigentlichen Angriffsfläche zeigt.

Besonders bemerkenswert war in diesem Fall, wie unaufgeregt die Geschäftsführung am Ende reagierte. Statt Panik gab es eine klare Priorisierung, welche Lücken sofort geschlossen werden mussten und welche Maßnahmen etwas Zeit hatten, weil sie mit dem nächsten geplanten Softwareupdate ohnehin erledigt wurden. Genau dieses ruhige, planbare Vorgehen ist es, was wir uns für jedes Unternehmen in der Region wünschen, unabhängig davon, ob es zehn oder zweihundert Mitarbeitende beschäftigt.

Deine nächsten Schritte mit IT-Deol

Ein Schwachstellenscan ist ein sinnvoller Anfang, aber eben nur ein Anfang. Wenn du wirklich wissen willst, ob deine Firewalls, deine Webanwendungen und dein internes Netzwerk einem echten Angriff standhalten, führt an einem professionellen Penetrationstest kein Weg vorbei. Als IT-Systemhaus aus Lohmar begleiten wir Unternehmen in Köln, Bonn, Siegburg und der gesamten Region dabei, genau diesen Unterschied in der Praxis zu schließen, von der ersten Bestandsaufnahme über den eigentlichen Penetrationstest bis zur Umsetzung der empfohlenen Maßnahmen. Du musst dafür kein IT-Experte sein, das übernehmen wir für dich, verständlich erklärt und ohne unnötigen Fachjargon.

---

Häufige Fragen zum Thema Penetrationstest

Was ist der Unterschied zwischen einem Penetrationstest und einem Schwachstellenscan?

Ein Schwachstellenscan läuft automatisiert und listet bekannte Sicherheitslücken auf, ohne sie auszunutzen. Ein Penetrationstest geht weiter, denn erfahrene Tester versuchen aktiv, in dein System einzudringen, und kombinieren dabei mehrere kleine Lücken zu einem realistischen Angriffsszenario. IT-Deol aus Lohmar erklärt dir gern, welche Variante zu deinem Unternehmen in Köln oder Bonn passt.

Reicht ein Schwachstellenscan nicht aus, um mein Unternehmen zu schützen?

Ein Scan ist ein guter Anfang und deckt viele bekannte Probleme zuverlässig auf. Er übersieht aber häufig genau die Kombinationen aus mehreren kleinen Lücken, mit denen echte Angreifer arbeiten. Deshalb empfehlen wir Unternehmen aus der Region Köln und Bonn, einen regelmäßigen Scan mit einem gelegentlichen Penetrationstest zu ergänzen.

Wie lange dauert ein Penetrationstest?

Je nach Umfang deiner Systeme dauert ein Penetrationstest meist zwischen zwei und zehn Arbeitstagen. Ein einzelnes Netzwerk oder eine überschaubare Webanwendung sind schneller geprüft als eine komplexe Umgebung mit vielen Anwendungen. IT-Deol stimmt den genauen Umfang vorab gemeinsam mit dir ab.

Was kostet ein Penetrationstest für ein kleines oder mittleres Unternehmen?

Am deutschen Markt sind Tagessätze zwischen 1.000 und 1.800 Euro üblich, sodass ein Penetrationstest je nach Umfang häufig im niedrigen bis mittleren vierstelligen Bereich liegt. Ein Angebot deutlich darunter ist in der Regel nur ein umbenannter Schwachstellenscan. IT-Deol erstellt dir ein transparentes Angebot passend zu deiner Unternehmensgröße in Köln, Bonn oder Umgebung.

Wie oft sollte ich einen Penetrationstest durchführen lassen?

Für den Mittelstand hat sich ein Rhythmus von zwei bis drei Jahren bewährt, ergänzt um einen zusätzlichen Penetrationstest nach größeren Änderungen wie einem Umzug in die Cloud oder einer neuen Software. Webanwendungen mit Kundenkontakt solltest du nach jedem größeren Release erneut prüfen lassen.

Ist ein Penetrationstest gesetzlich vorgeschrieben?

Direkt vorgeschrieben ist ein Penetrationstest selten, er gilt aber als anerkannter Nachweis für die technischen Sicherheitsmaßnahmen nach Artikel 32 der Datenschutzgrundverordnung. Seit dem NIS2-Umsetzungsgesetz müssen zudem viele Unternehmen in Deutschland ein strukturiertes Risikomanagement nachweisen, wozu regelmäßige Sicherheitsüberprüfungen gehören. IT-Deol prüft mit dir gemeinsam, ob dein Unternehmen betroffen ist.

Was passiert, wenn bei einem Penetrationstest eine kritische Lücke gefunden wird?

Du bekommst die Information nicht erst im fertigen Bericht, sondern bei wirklich kritischen Funden meist umgehend, damit du sofort reagieren kannst. Anschließend erhältst du eine klare Priorisierung, welche Lücken zuerst geschlossen werden sollten. IT-Deol unterstützt dich bei Bedarf direkt bei der Umsetzung der Maßnahmen.

Kann ein Penetrationstest meinen laufenden Betrieb stören?

Ein sorgfältig geplanter Penetrationstest wird so abgestimmt, dass dein Tagesgeschäft in Köln, Bonn oder Siegburg möglichst nicht beeinträchtigt wird. Zeitraum, Systeme und erlaubte Methoden legt IT-Deol vorab schriftlich mit dir fest, damit es keine Überraschungen gibt.

Welche Systeme sollte ein Penetrationstest umfassen?

Das hängt von deinem Unternehmen ab, typischerweise gehören aber dein externes Netzwerk, deine Webanwendungen und, je nach Szenario, auch interne Systeme wie Active Directory dazu. IT-Deol legt den passenden Umfang gemeinsam mit dir fest, orientiert an dem, was für dein Unternehmen wirklich relevant ist.

Wie läuft die Zusammenarbeit mit IT-Deol bei einem Penetrationstest ab?

Wir starten mit einem unverbindlichen Erstgespräch, in dem wir gemeinsam den Umfang und die passende Testtiefe klären. Danach erhältst du ein transparentes Angebot, und nach Abschluss des Penetrationstests einen verständlichen Bericht mit konkreten Handlungsempfehlungen für dein Unternehmen in Köln, Bonn oder der Region.

---

Quellen

1 Trend Micro, „Was ist Penetration Testing (Pentest)?“, https://www.trendmicro.com/de_de/what-is/penetration-testing.html

2 Computer Weekly, „So unterscheiden sich Pentests und Schwachstellenscans“, https://www.computerweekly.com/de/tipp/So-unterscheiden-sich-Pentests-und-Schwachstellenscans

3 Bundesamt für Sicherheit in der Informationstechnik, „Ein Praxis-Leitfaden für IS-Penetrationstests“, https://www.bsi.bund.de

4 Bundesamt für Sicherheit in der Informationstechnik, „Die Lage der IT-Sicherheit in Deutschland 2025“, https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Lageberichte/Lagebericht2025_Achtseiter.pdf

5 Verordnung (EU) 2016/679 (Datenschutzgrundverordnung), Artikel 32, https://eur-lex.europa.eu/eli/reg/2016/679/oj

6 SECJUR, „NIS2 Umsetzung in Deutschland, Gesetz, Fristen und nächste Schritte“, https://www.secjur.com/blog/nis2umsucg

7 Channelpartner, „Was kostet ein professioneller Penetrationstest?“, https://www.channelpartner.de/a/was-kostet-ein-professioneller-penetrationstest,3049113

Du öffnest morgens den Laptop und brauchst erst mal fünf verschiedene Logins. Die Warenwirtschaft läuft beim einen Anbieter, die Buchhaltung in einem anderen Tool, die E-Mails über einen dritten Dienst, und wer eigentlich den Server im Keller betreut, weiß so ganz genau auch niemand mehr. Für viele Geschäftsführer in Köln und Bonn ist das der ganz normale Alltag geworden, und genau das ist das eigentliche Problem. Über die Jahre ist nach und nach ein Flickenteppich entstanden, den im Betrieb keiner mehr vollständig überblickt.

Die gute Nachricht vorweg. Du musst nicht alles auf einmal umkrempeln, um da wieder herauszukommen. Mit ein paar gezielten Schritten kannst du deine IT-Komplexität reduzieren und dir Überblick, Zeit und Nerven zurückholen. Dieser Beitrag zeigt dir ohne Fachchinesisch und Schritt für Schritt, wie das geht und worauf du dabei als Geschäftsführer besonders achten solltest.

Was mit IT-Komplexität eigentlich gemeint ist

IT-Komplexität bedeutet, dass in deinem Betrieb viele einzelne Systeme, Programme, Geräte und Dienstleister nebeneinander laufen, die schlecht zusammenpassen und schwer zu überblicken sind. Jedes Tool für sich mag sinnvoll sein. In der Summe entsteht daraus aber ein Gewirr, in dem niemand mehr genau sagen kann, welche Software wofür da ist, wer worauf Zugriff hat und was passiert, wenn ein Teil ausfällt.

Wichtig ist der Unterschied zwischen gesunder und ungesunder Komplexität. Eine gewisse Vielfalt ist normal, denn kein Betrieb kommt mit einem einzigen Programm aus. Kritisch wird es erst, wenn die Teile nicht mehr zusammenspielen, Daten doppelt gepflegt werden und jede kleine Änderung zur Zitterpartie wird. Dann ist es Zeit, die IT-Komplexität zu reduzieren.

Warum IT-Komplexität fast immer schleichend entsteht

Kaum ein Unternehmer entscheidet sich bewusst für ein IT-Chaos. Es wächst von selbst. Mal wird schnell ein neues Tool eingeführt, weil eine Abteilung es gerade braucht. Mal bleibt eine alte Software liegen, weil die Umstellung zu aufwändig scheint. Mal springt ein Mitarbeiter auf einen Cloud-Dienst um, von dem die Geschäftsführung gar nichts weiß. Jede dieser Entscheidungen ist für sich harmlos, aber Stück für Stück wächst die IT-Komplexität, bis sie zur Last wird. Genau deshalb lohnt es sich, das Thema aktiv anzugehen, statt zu warten, bis es von selbst schlimmer wird.

Warum zu viel IT-Komplexität dich als Geschäftsführer ausbremst

Auf den ersten Blick ist Komplexität ein abstraktes Wort. Im Alltag ist sie aber sehr konkret spürbar. Wenn niemand mehr den Überblick hat, dauert jede Aufgabe länger. Ein neuer Mitarbeiter braucht Zugänge zu einem halben Dutzend Systemen. Eine einfache Auswertung wird zur Puzzlearbeit, weil die Daten in drei Programmen verstreut liegen. Und wenn etwas ausfällt, sucht erst mal jeder, wer überhaupt zuständig ist.

Dazu kommt das Risiko. Je mehr Systeme unkoordiniert nebeneinander laufen, desto mehr Einfallstore gibt es für Angreifer und desto leichter geht etwas verloren. Ein vergessenes Tool ohne Updates oder ein alter Zugang eines längst ausgeschiedenen Mitarbeiters wird schnell zur offenen Tür. Hohe IT-Komplexität ist damit nicht nur unbequem, sondern auch ein echtes Sicherheitsproblem. Und schließlich kostet sie Geld, denn für jedes System zahlst du Lizenzen, Wartung und Zeit, oft auch für Funktionen, die sich längst überschneiden.

Der Fachkräftemangel macht Komplexität besonders teuer

Es gibt noch einen Grund, warum sich das Thema gerade jetzt lohnt. Komplexe IT braucht Spezialisten, die sie am Laufen halten, und die sind schwer zu bekommen. Laut der Bitkom-Studie von 2025 fehlen in Deutschland rund 109.000 IT-Fachkräfte, und eine offene IT-Stelle bleibt im Schnitt 7,7 Monate unbesetzt.¹ Für einen Mittelständler in Köln oder Bonn heißt das, dass er sich kaum darauf verlassen kann, das ganze Gewirr mit eigenem Personal zu beherrschen. Je einfacher deine IT aufgebaut ist, desto weniger bist du von schwer zu findenden Spezialisten abhängig. Auch das ist ein starkes Argument, die IT-Komplexität zu reduzieren.

Ein Beispiel aus unserer Region

Stell dir einen Handelsbetrieb aus dem Raum Köln vor, rund 50 Mitarbeiter, über zwanzig Jahre gewachsen. Im Laufe der Zeit sind ein Warenwirtschaftssystem, zwei getrennte E-Mail-Umgebungen, ein selbst gebautes Excel-Konstrukt für die Lagerplanung und drei verschiedene Cloud-Speicher zusammengekommen. Jeder Mitarbeiter hat seine eigenen kleinen Umwege, um trotzdem arbeiten zu können. Als der langjährige Mitarbeiter, der das meiste im Kopf hatte, in Rente geht, steht die Firma plötzlich vor einem Rätsel, weil niemand sonst die Zusammenhänge kennt.

Der Aufwand, das wieder zu ordnen, ist real, aber er lohnt sich. Nach einer Bestandsaufnahme und ein paar klaren Entscheidungen laufen die wichtigsten Aufgaben über eine einheitliche Umgebung, die Zahl der Systeme ist deutlich kleiner, und der Betrieb ist nicht mehr vom Wissen einer einzigen Person abhängig. Genau diesen Weg gehen gerade viele Betriebe in Köln und Bonn.

Woran du merkst, dass deine IT zu komplex geworden ist

Ganz eindeutig lässt sich Komplexität nicht messen, aber es gibt verlässliche Warnsignale. Wenn dir mehrere davon bekannt vorkommen, ist es Zeit zu handeln.

• Niemand hat den vollen Überblick. Es gibt keine Liste, welche Programme, Geräte und Zugänge überhaupt im Einsatz sind.
• Onboarding dauert ewig. Ein neuer Mitarbeiter braucht Tage, bis er alle Zugänge und Tools hat.
• Daten liegen mehrfach. Dieselben Informationen werden in verschiedenen Systemen gepflegt und stimmen dann doch nicht überein.
• Jede Änderung macht Angst. Keiner traut sich, etwas anzufassen, weil unklar ist, was davon abhängt.
• Viele Dienstleister, keiner verantwortlich. Bei Problemen schiebt einer die Schuld auf den anderen.

Je mehr dieser Punkte zutreffen, desto dringender solltest du deine IT-Komplexität reduzieren, bevor sie im Ernstfall zum echten Problem wird.

So kannst du deine IT-Komplexität reduzieren

Die gute Nachricht ist, dass du dafür keine große Revolution brauchst. Ein strukturiertes Vorgehen in klaren Schritten bringt dich am weitesten.

Zuerst Überblick schaffen

Am Anfang steht immer die Bestandsaufnahme. Schreib auf, welche Programme, Geräte, Zugänge und Dienstleister in deinem Betrieb tatsächlich im Einsatz sind. Oft ist das mehr, als die Geschäftsführung vermutet, weil einzelne Abteilungen ihre eigenen Tools nutzen. Erst wenn du weißt, was alles läuft, kannst du sinnvoll entscheiden, was bleibt und was weg kann. Dieser erste Überblick ist der wichtigste Schritt, um IT-Komplexität zu reduzieren.

Standardisieren und zusammenlegen

Im nächsten Schritt schaust du, was sich zusammenführen lässt. Häufig erledigen zwei oder drei Tools fast dasselbe. Wenn dein Team ohnehin schon mit einer Umgebung wie Microsoft 365 arbeitet, lassen sich E-Mail, Dokumente, Chat und Videokonferenzen oft dort bündeln, statt für jedes davon einen eigenen Anbieter zu haben. Weniger Systeme bedeuten weniger Schnittstellen, weniger Passwörter und weniger Stellen, an denen etwas schiefgehen kann. Jedes Tool, das du streichst, senkt die IT-Komplexität spürbar.

Dass sich das lohnt, zeigt auch ein Blick auf den Arbeitsalltag. Einer viel zitierten Untersuchung der Harvard Business Review zufolge wechseln Mitarbeiter am Tag hunderte Male zwischen verschiedenen Anwendungen und verlieren damit rund vier Stunden pro Woche allein durch das ständige Hin und Her.² Wer die Zahl der Tools reduziert, gewinnt also nicht nur Übersicht, sondern auch echte Arbeitszeit zurück.

Automatisieren und zentral verwalten

Viel IT-Komplexität entsteht durch Handarbeit, die eigentlich niemand machen müsste. Wenn Daten von einem System ins nächste übertragen werden, sollte das automatisch geschehen und nicht per Copy und Paste. Genauso hilft es, Geräte und Zugänge zentral zu verwalten, statt jeden Rechner einzeln zu pflegen. So behältst du auch bei vielen Mitarbeitern den Überblick, wer worauf Zugriff hat, und kannst einen Zugang im Ernstfall mit einem Klick sperren.

Aufgaben bündeln statt verzetteln

Der wohl größte Hebel ist, die Verantwortung zu bündeln. Wenn ein einziger Partner deine IT betreut, statt drei verschiedener Anbieter, hast du einen festen Ansprechpartner, der die Zusammenhänge kennt. Du musst nicht mehr selbst zwischen Dienstleistern vermitteln, und im Problemfall ist klar, wer sich kümmert. Genau das nimmt dir im Alltag am meisten ab und ist oft der entscheidende Schritt, um die IT-Komplexität dauerhaft zu reduzieren.

Dafür sorgen, dass die Komplexität nicht zurückkommt

Die IT-Komplexität einmal zu reduzieren ist das eine, sie dauerhaft klein zu halten das andere. Ohne feste Regeln wächst der Flickenteppich sonst einfach von Neuem, und in zwei Jahren stehst du wieder am selben Punkt. Hilfreich ist eine ganz einfache Absprache, dass neue Tools erst nach kurzer Rücksprache eingeführt werden und nicht mehr unbemerkt an der Geschäftsführung vorbei. So verhinderst du, dass jede Abteilung wieder ihre eigenen Insellösungen aufbaut.

Genauso gehört ein regelmäßiger Blick auf die Liste der Systeme dazu. Einmal im Jahr durchzugehen, was noch genutzt wird und was weg kann, hält die IT schlank. Das kostet wenig Zeit und sorgt dafür, dass die mühsam gewonnene Übersicht erhalten bleibt. So bleibt die IT-Komplexität dauerhaft im Griff, statt Jahr für Jahr weiter anzuwachsen.

Häufige Fehler, die du vermeiden solltest

Bei vielen Betrieben wiederholen sich dieselben Fehler. Der häufigste ist, immer nur neue Tools oben draufzusetzen, ohne je etwas abzuschalten. So wächst die IT-Komplexität immer weiter. Ein zweiter Fehler ist, alles auf einmal umstellen zu wollen, was schnell zu Chaos und Frust führt. Besser ist ein Schritt nach dem anderen. Und drittens wird die Bestandsaufnahme oft übersprungen, obwohl niemand sinnvoll aufräumen kann, der gar nicht weiß, was alles da ist. Wer diese drei Fehler vermeidet, kommt deutlich leichter voran.

Was du gewinnst, wenn du die IT-Komplexität reduzierst

Der Aufwand lohnt sich, weil du an vielen Stellen gleichzeitig profitierst. Am deutlichsten spürst du es bei der Zeit. Weniger Systeme bedeuten weniger Handgriffe, weniger Passwörter und weniger Wechsel zwischen Programmen, und dein Team kann sich wieder auf die eigentliche Arbeit konzentrieren.

Dazu kommt die Sicherheit. Wer die IT-Komplexität reduziert, verkleinert automatisch die Angriffsfläche, weil es weniger vergessene Tools, veraltete Zugänge und ungeschützte Schnittstellen gibt. Eine schlanke, überschaubare IT lässt sich schlicht besser absichern als ein gewachsener Flickenteppich.

Auch finanziell zahlt es sich aus. Jedes System, das du einsparst, spart Lizenzkosten, Wartung und Zeit. Und schließlich wirst du unabhängiger, denn eine einfache IT braucht weniger seltene Spezialisten und macht dich damit weniger anfällig für den Fachkräftemangel. Nicht zuletzt schaffst du eine saubere Grundlage für alles, was noch kommt, denn wer heute die IT-Komplexität reduziert, kann neue Themen wie moderne Cloud-Lösungen oder KI später viel leichter aufsetzen.

Deine nächsten Schritte mit IT-Deol

Verschaff dir zuerst ein ehrliches Bild vom aktuellen Stand. Gibt es bei euch eine aktuelle Liste aller Programme, Geräte und Zugänge? Weißt du, welche Tools sich in ihren Funktionen überschneiden? Und hast du einen festen Ansprechpartner, wenn etwas nicht läuft? Diese Fragen kosten wenig Zeit und zeigen schnell, wo es hakt.

Auf dieser Grundlage entscheidest du, ob du das intern angehst oder dir Unterstützung holst. Als IT-Systemhaus aus Lohmar helfen wir bei IT-Deol Unternehmen in Köln, Bonn und der Umgebung dabei, ihre IT zu entwirren. Wir verschaffen dir den Überblick über alles, was läuft, legen doppelte Systeme zusammen und betreuen deine IT anschließend aus einer Hand. So wird aus einem gewachsenen Flickenteppich eine Umgebung, die du wieder verstehst und die im Alltag einfach funktioniert.

Zu viel IT-Komplexität kostet dich Zeit, Geld und Sicherheit, ohne dass du im Tagesgeschäft merkst, wie sehr sie dich ausbremst. Wer sie gezielt reduziert, arbeitet ruhiger, sicherer und günstiger. Und je früher du anfängst, desto kleiner ist der Aufwand, weil ein überschaubarer Flickenteppich sich leichter entwirren lässt als ein über weitere Jahre gewachsener. Für Unternehmen in Köln und Bonn ist das eine Investition, die sich fast immer schnell auszahlt.

---

Häufige Fragen zum Thema IT-Komplexität reduzieren

Woran erkenne ich, dass meine IT zu komplex geworden ist?

Typische Anzeichen sind ein fehlender Überblick über alle Systeme, ewig langes Onboarding neuer Mitarbeiter, doppelt gepflegte Daten und die Angst, etwas zu verändern, und genau hier setzt IT-Deol aus Lohmar an, um für Unternehmen in Köln und Bonn die IT-Komplexität sichtbar zu machen und zu reduzieren.

Wie entsteht diese IT-Komplexität in meinem Betrieb überhaupt?

Sie wächst fast immer schleichend, weil über die Jahre immer neue Tools dazukommen und alte nie abgeschaltet werden, und IT-Deol hilft dir, diesen gewachsenen Flickenteppich zu entwirren, statt ihn einfach weiter anwachsen zu lassen.

Muss ich für weniger IT-Komplexität gleich alles auf einmal umstellen?

Nein, ein großer Umbau auf einen Schlag führt meist nur zu Chaos, und IT-Deol aus Lohmar geht deshalb Schritt für Schritt vor, sodass du deine IT-Komplexität reduzieren kannst, ohne dass der Betrieb in Köln und Bonn dabei stillsteht.

Womit fange ich am besten an, wenn ich meine IT vereinfachen will?

Der erste und wichtigste Schritt ist eine ehrliche Bestandsaufnahme aller Programme, Geräte und Zugänge, denn niemand kann sinnvoll aufräumen, ohne zu wissen was alles läuft, und genau diese Bestandsaufnahme übernimmt IT-Deol für dich.

Was hat der IT-Fachkräftemangel mit meiner IT-Komplexität zu tun?

Komplexe IT braucht Spezialisten, die laut Bitkom kaum zu bekommen sind, denn in Deutschland fehlen rund 109.000 IT-Fachkräfte, und je einfacher deine IT ist, desto weniger bist du davon abhängig, weshalb IT-Deol aus Lohmar dir diese Last als Partner abnimmt.

Spare ich durch weniger Systeme wirklich Geld?

Ja, denn jedes System kostet Lizenzen, Wartung und Zeit, und wer die IT-Komplexität reduziert, spart an all diesen Stellen gleichzeitig, weshalb IT-Deol gemeinsam mit dir prüft, welche Tools sich in Köln und Bonn zusammenlegen oder ganz einsparen lassen.

Ist weniger IT-Komplexität auch besser für die Sicherheit?

Deutlich sogar, denn eine schlanke IT bietet weniger vergessene Tools, veraltete Zugänge und offene Schnittstellen, und IT-Deol aus Lohmar sorgt dafür, dass deine überschaubare Umgebung in Köln und Bonn zugleich sauber abgesichert ist.

Bringt es wirklich etwas, meine IT bei einem Partner zu bündeln?

Ja, denn mit einem festen Ansprechpartner statt drei verschiedener Anbieter entfällt das ständige Vermitteln, und im Problemfall ist klar, wer sich kümmert, weshalb die Betreuung aus einer Hand durch IT-Deol oft der größte Hebel ist, um IT-Komplexität dauerhaft zu reduzieren.

Wie verhindere ich, dass die Komplexität nach dem Aufräumen wieder zurückkommt?

Mit einer einfachen Regel, dass neue Tools erst nach kurzer Rücksprache eingeführt werden, und einem jährlichen Blick auf die Systemliste, und IT-Deol aus Lohmar begleitet Unternehmen in Köln und Bonn dabei, die einmal gewonnene Übersicht dauerhaft zu halten.

Wer hilft mir in Köln und Bonn dabei, meine IT-Komplexität zu reduzieren?

IT-Deol aus Lohmar ist dein Ansprechpartner, um deine IT zu entwirren, doppelte Systeme zusammenzulegen und deine gesamte IT anschließend aus einer Hand zu betreuen, und bietet dazu eine kostenlose Erstberatung an, in der ihr gemeinsam den größten Handlungsbedarf klärt.

---

Quellen

¹ Bitkom e. V., Studie „Der Arbeitsmarkt für IT-Fachkräfte 2025″ (rund 109.000 offene Stellen für IT-Fachkräfte in Deutschland, im Schnitt 7,7 Monate bis zur Besetzung einer freien IT-Stelle). https://www.bitkom.org/Presse/Presseinformation/Deutschland-fehlen-IT-Fachkraefte

² Harvard Business Review, „How Much Time and Energy Do We Waste Toggling Between Applications?“ (2022) (Beschäftigte wechseln pro Tag mehrere hundert Mal zwischen Anwendungen und verlieren dadurch rund vier Stunden pro Woche). https://hbr.org/2022/08/how-much-time-and-energy-do-we-waste-toggling-between-applications

Dienstagmorgen, kurz nach halb neun. Eine Mitarbeiterin in einem Handwerksbetrieb in Lohmar öffnet den Browser, um eine Lieferantenrechnung herunterzuladen. Der Bildschirm färbt sich rot. Eine Sicherheitswarnung meldet fünf Virenfunde, eine Telefonnummer blinkt, ein Countdown läuft. Sie ruft an. Zwanzig Minuten später hat ein Fremder Fernzugriff auf ihren Rechner, und im Betrieb weiß niemand davon.

Über genau diesen Ablauf reden wir bei IT-Deol öfter, als uns lieb ist. Die Technik im Hintergrund ist selten das Problem. Das Problem ist die halbe Sekunde zwischen dem Auftauchen einer Sicherheitswarnung und dem Klick darauf.

Warum der erste Klick über alles entscheidet

Eine Sicherheitswarnung ist erst mal nur ein Bild auf einem Bildschirm. Sie kann vom Betriebssystem kommen, vom Virenschutz, vom Browser, vom Monitoring oder von einem Kriminellen, der genau weiß, wie eine echte Meldung aussieht. Der Unterschied steckt in Details, die niemand kennt, dem sie nie jemand gezeigt hat.

Der Reflex kostet mehr als die Schadsoftware

Menschen reagieren auf Alarm mit Handlung. Das Popup drängt, der Countdown macht Druck, und die Zahl der angeblichen Funde steigt, während man noch liest. Das Bundeskriminalamt zählt für 2024 rund 131.391 in Deutschland verübte Cybercrime-Fälle und beziffert den jährlichen Schaden durch Cyberattacken auf 178,6 Milliarden Euro¹. Ein großer Teil davon fängt mit einer einzigen Handlung an einem einzigen Arbeitsplatz an.

Die Schadsoftware richtet oft weniger an als die Panik danach. Klingt hart, ist aber so. Wer aus Reflex eine Nummer anruft, eine Fernwartung freigibt oder Zugangsdaten eintippt, macht die Tür selbst auf. IT-Deol sieht in der Region Köln Bonn regelmäßig Fälle, in denen der technische Schutz sauber funktioniert hat und trotzdem alles schiefging. Weil die Person davor halt nicht wusste, was sie da eigentlich vor sich hat.

Was in Lohmar und Umgebung typischerweise passiert

Ein Fliesenleger in Siegburg, eine Steuerkanzlei in Sankt Augustin, ein Pflegedienst in Hennef. Drei völlig verschiedene Betriebe, ein identischer Ablauf. Der Bildschirm zeigt eine Sicherheitswarnung, die Person klickt sie weg, arbeitet weiter und erzählt niemandem davon. Die Sicherheitswarnung war echt. Wochen später fällt auf, dass Daten abgeflossen sind.

Wenn wir nach so einem Vorfall in den Betrieb kommen und nach der Meldekette fragen, hören wir fast immer denselben Satz: Da hätte man halt beim Chef Bescheid sagen können. Hätte. Da liegt die Lücke.

Echte Meldungen vom System und gefälschte Popups auseinanderhalten

Die gute Nachricht für jeden Betrieb im Rhein-Sieg-Kreis: Den Unterschied kann man lernen, in einer halben Stunde. Es braucht kein IT-Studium, um eine gefälschte Sicherheitswarnung zu erkennen. Es braucht drei Merkmale, die man einmal gesehen hat.

So sieht eine echte Sicherheitswarnung von Windows aus

Eine echte Meldung des Betriebssystems erscheint außerhalb des Browsers. Kein Werbebanner, keine Telefonnummer, kein Countdown, keine bunte Grafik mit Sirenen. Der Windows-Sicherheitsdienst meldet sich in einem eigenen Fenster oder als kleine Benachrichtigung rechts unten. Er verlangt nie eine Zahlung, und er nennt nie eine Rufnummer. Eine Sicherheitswarnung mit Bezahlaufforderung gibt es bei Windows schlicht nicht.

Der Virenschutz im Betrieb ist genauso unspektakulär. Er meldet einen Fund, schiebt die Datei in Quarantäne, fertig. Eine echte Sicherheitswarnung braucht keine Dramaturgie. Unsere Kunden bekommen deshalb eine kurze Übersicht, wie ihre eigenen Meldungen aussehen, mit Screenshot aus dem eigenen System und nicht aus einem Lehrbuch.

Woran du Scareware im Browser erkennst

Das Bundesamt für Sicherheit in der Informationstechnik beschreibt die Masche direkt. Kriminelle zeigen Meldungen, die denen seriöser Antivirenprogramme täuschend ähnlich sehen, und behaupten, der Rechner sei infiziert. Die angebotenen Programme haben laut BSI häufig überhaupt keine Funktion und dienen lediglich dazu, an Kreditkartendaten zu gelangen².

Praktisch heißt das: Jede Sicherheitswarnung, die im Browserfenster auftaucht, ist erst mal verdächtig. Eine Webseite kann gar nicht wissen, ob dein Rechner infiziert ist. Sie kann es nur behaupten. Und wenn eine Sicherheitswarnung dich zum Telefonieren auffordert, ist sie gefälscht. Immer.

Der Test mit der Taskleiste

Es gibt einen simplen Handgriff, den wir jedem Mitarbeitenden zeigen. Windows-Taste drücken. Erscheint das Startmenü über der angeblichen Sicherheitswarnung, war das Ganze nur eine Webseite im Vollbildmodus. Danach schließt man den Browser über den Task-Manager, ohne irgendwas im Fenster anzuklicken.

• Kein Klick auf Schaltflächen im Popup, auch kein Klick auf das X
• Kein Anruf bei einer angezeigten Nummer
• Kein Download einer angeblichen Reinigungssoftware
• Browser über den Task-Manager beenden
• Vorgang melden, auch wenn scheinbar nichts passiert ist

Ein Autohaus in Troisdorf hat diese fünf Punkte ausgedruckt an jedem Arbeitsplatz hängen. Seitdem kommt jede Sicherheitswarnung bei uns an, bevor jemand etwas anklickt.

Zertifikatswarnungen im Browser richtig lesen

Die zweite Kategorie sorgt für die meiste Verwirrung. Der Browser blockiert eine Seite und zeigt eine Sicherheitswarnung zum Zertifikat. Diese Meldung ist echt, sie kommt vom Browser selbst, und sie bedeutet etwas ganz anderes als ein Virenfund.

Was der Browser dir wirklich sagt

Der Browser prüft, ob die Verschlüsselung zur aufgerufenen Adresse passt. Passt sie nicht, kann das an einem abgelaufenen Zertifikat liegen, an einer falsch gestellten Uhr im Rechner oder daran, dass sich jemand zwischen dich und die Webseite geschaltet hat. Die Sicherheitswarnung sagt dir, dass die Verbindung gerade nicht überprüfbar ist. Mehr sagt sie nicht.

Das BSI weist bei Phishing darauf hin, dass gefälschte Seiten sich optisch kaum vom Original unterscheiden lassen und die Adresszeile der entscheidende Prüfpunkt bleibt. Wenn eine Bank, ein Lieferantenportal oder das Steuerprogramm plötzlich eine Sicherheitswarnung auslöst, gehört das gemeldet, bevor irgendwer weiterklickt.

Wann du weiterklicken darfst und wann nicht

Bei internen Systemen mit eigenem Zertifikat, etwa einem Terminalserver oder einer Steuerungsoberfläche in der Produktion, ist die Meldung oft harmlos und längst bekannt. Bei allem, was im Internet liegt und mit Geld, Kundendaten oder Zugangsdaten zu tun hat, gilt das Gegenteil. Da wird nicht weitergeklickt.

Diese Unterscheidung kann kein Mitarbeitender aus dem Bauch heraus treffen. Deshalb pflegt IT-Deol für Betriebe zwischen Rösrath und Bad Honnef eine kurze Liste der internen Systeme, bei denen eine Sicherheitswarnung erwartbar ist. Alles außerhalb dieser Liste geht an die IT. Für einen Maschinenbauer in Overath hat diese Liste sieben Zeilen. Mehr braucht es nicht.

Anrufe, Mails und die Nummer im Popup

Der gefährlichste Teil der Masche kommt gar nicht vom Bildschirm. Er kommt aus dem Telefonhörer. Und er funktioniert, weil er höflich ist.

Der angebliche Microsoft-Support

Die Polizeiliche Kriminalprävention der Länder und des Bundes wird deutlich. Angebliche Microsoft-Mitarbeiter behaupten, der Rechner des Angerufenen sei von Viren befallen oder gehackt worden. Über Fernwartungssoftware bekommen die Täter Zugriff und können sensible Daten wie Passwörter für das Online-Banking ausspähen. Der zentrale Satz der Polizei lautet: Seriöse Unternehmen wie Microsoft nehmen nicht unaufgefordert Kontakt zu ihren Kunden auf³.

Die Verbraucherzentrale beschreibt dieselbe Masche mit dem Popup als Einstieg. Betrügerische Fenster sehen aus, als handele es sich um eine Sicherheitswarnung von Windows, und fordern zum Anruf beim angeblichen Support auf. Danach sollen Betroffene bis zu 400 Euro für ein angebliches Wartungspaket zahlen und Fernzugriff gewähren. Die Empfehlung ist eindeutig: Reagiere nicht auf vermeintliche Warnhinweise, die im Browser erscheinen⁴.

Für dich als Inhaber folgt daraus eine einzige Regel. Jede Fernwartung im Betrieb läuft ausschließlich über bekannte Wege. Wer bei IT-Deol im Vertrag ist, weiß, welche Software wir nutzen und wie wir uns ankündigen. Ein unangekündigter Anruf mit einer angeblichen Sicherheitswarnung ist damit sofort als Betrug erkennbar.

Phishing-Mails mit Sicherheitshinweis

Die Mail-Variante arbeitet mit denselben Hebeln. Betreff: Sicherheitswarnung für dein Konto. Inhalt: Ungewöhnliche Anmeldung festgestellt, Konto wird in 24 Stunden gesperrt, bitte hier bestätigen. Der Link führt auf eine Seite, die aussieht wie das Original.

Drei Prüfschritte reichen für den Anfang. Erstens: Erwarte ich diese Nachricht überhaupt? Zweitens: Stimmt die Absenderadresse bis hinter das at-Zeichen? Drittens: Wohin führt der Link, wenn ich mit der Maus draufzeige, ohne zu klicken? Eine echte Sicherheitswarnung deines Providers überlebt es problemlos, wenn du dich stattdessen selbst über die dir bekannte Adresse einloggst.

Bei einer Zahnarztpraxis in Neunkirchen-Seelscheid war es eine angebliche Sicherheitswarnung des Abrechnungsdienstleisters, die den Vorfall ausgelöst hat. Die Praxis hat es am selben Tag gemeldet. Deshalb blieb es bei einem gesperrten Zugang statt einer Datenpanne.

Wenn das Netzwerk-Monitoring Alarm schlägt

Nicht jede Sicherheitswarnung landet auf einem Bildschirm im Büro. Ein Teil entsteht im Hintergrund, da, wo niemand hinschaut.

Warnungen ohne Bildschirm

Monitoring erkennt Dinge, die kein Mensch bemerkt. Ein Rechner, der nachts um drei größere Datenmengen ins Ausland schiebt. Eine Firewall, die auffällig viele blockierte Verbindungen zählt. Ein Benutzerkonto, das sich innerhalb von Minuten aus zwei Ländern anmeldet. So eine Sicherheitswarnung kommt per Ticket oder Mail bei der IT an, und der Betrieb merkt davon erst mal nichts.

Für Betriebe in Much, Ruppichteroth oder Wiehl mit wenigen Arbeitsplätzen lohnt sich das genauso wie für größere Häuser in Bergisch Gladbach. Wir richten das Monitoring so ein, dass es meldet und nicht rauscht. Zu viele Meldungen sind so schlecht wie keine.

Warum Monitoring ohne Reaktionsplan wenig bringt

Eine Sicherheitswarnung, die keiner bearbeitet, ist ein Protokolleintrag. Zu jedem Alarm gehört deshalb eine festgelegte Reaktion, ein zuständiger Mensch und eine Zeitvorgabe. Wer meldet an wen, wer entscheidet, wer informiert die Geschäftsführung. Das passt auf eine halbe Seite. Aufgeschrieben hat es trotzdem fast keiner, und dann steht bei der ersten ernsten Sicherheitswarnung jeder ratlos im Flur.

Die Meldekette im Betrieb

Hier liegt der wunde Punkt in den meisten kleinen Betrieben der Region. Technik ist da, Zuständigkeit nicht.

Eine Nummer, die jeder kennt

Das BSI hat dafür die IT-Notfallkarte entwickelt, ausdrücklich als Hinweisschild analog zum bekannten Format Verhalten im Brandfall. Sie nennt drei Punkte: Kenntnis der Ansprechpartner für IT-Notfälle und deren Erreichbarkeit, sofortige Weitergabe entscheidender Informationen und Gegenmaßnahmen nur nach Absprache mit den zuständigen Ansprechpartnern⁵.

So setzen wir das auch um. IT-Deol hinterlegt auf der Karte eine einzige Rufnummer, die im Flur, in der Werkstatt und in der Küche hängt. Wer eine Sicherheitswarnung sieht, ruft diese Nummer an. Das war die ganze Regel.

Die Regel gegen Eigenmaßnahmen

Der zweite Punkt ist der unbequeme. Niemand im Betrieb repariert selbst. Kein Neustart, keine Reinigungssoftware aus dem Netz, kein eigenständiges Löschen von Dateien. Das BSI formuliert es so, dass die Entscheidung in die richtigen Hände gehört, weil nicht jeder IT-Notfall leicht zu erkennen ist⁵.

Für eine Spedition in Sankt Augustin hat das den Unterschied gemacht. Der Disponent sah eine Sicherheitswarnung, fasste nichts an und griff zum Telefon. Wir waren innerhalb von zwölf Minuten auf dem System und konnte den betroffenen Rechner isolieren, bevor sich etwas ausbreitete.

Fehlerkultur statt Schuldsuche

Der häufigste Grund für verschwiegene Vorfälle ist Angst vor Ärger. Wer Ärger befürchtet, meldet nichts. Damit verlierst du als Unternehmer die wertvollste Ressource im Ernstfall, nämlich Zeit. Sag deinem Team einmal deutlich, dass eine gemeldete Sicherheitswarnung nie zu Vorwürfen führt, auch dann nicht, wenn schon geklickt wurde. Dieser eine Satz ist mehr wert als manche Software.

Was in den ersten 15 Minuten passieren muss

Wenn der Verdacht im Raum steht, zählt die Reihenfolge. Sie ist kurz und immer gleich.

Was sofort passiert

• Hände weg von der Tastatur, Bildschirm anlassen
• Foto der Sicherheitswarnung mit dem Handy, samt Uhrzeit
• Anruf bei der hinterlegten Nummer, kurz und sachlich
• Notieren, was genau vorher gemacht wurde: Mail, Link, Datei, Anruf
• Netzwerkkabel oder WLAN trennen, sobald die IT es anweist
• Betroffene Zugangsdaten von einem anderen Gerät aus ändern

Das Foto klingt banal und ist es nicht. Eine Sicherheitswarnung verschwindet, sobald jemand den Browser schließt. Danach fehlt genau die Information, die uns sagt, welche Masche gelaufen ist. Bei IT-Deol fängt die Analyse fast immer mit so einem Handyfoto an.

Was warten kann

Die Suche nach dem Schuldigen wartet. Die Diskussion über neue Software wartet. Die Rundmail an alle wartet, bis klar ist, was die Sicherheitswarnung überhaupt ausgelöst hat. In den ersten 15 Minuten geht es ums Eingrenzen und ums Sichern von Spuren.

Netzstecker ziehen oder nicht

Der beliebteste Ratschlag aus dem Internet ist auch der gefährlichste, wenn man ihn pauschal befolgt.

Wann Trennen sinnvoll ist

Die Netzwerkverbindung zu kappen ist richtig, wenn Verschlüsselung sichtbar läuft, wenn eine Fernwartung durch Fremde aktiv ist oder wenn Dateien reihenweise umbenannt werden. Verbraucherzentrale und Polizei empfehlen bei bestätigtem Fremdzugriff ausdrücklich, den Rechner vom Internet zu trennen und danach alle Passwörter zu ändern³⁴.

Gemeint ist damit das Netzwerkkabel oder das WLAN. Der Unterschied zum Stromstecker ist wichtig, aber kaum jemand kennt ihn.

Warum Ausschalten Beweise vernichtet

Das BSI erklärt in den FAQ zur IT-Notfallkarte, warum dort bewusst keine Empfehlung zum Ziehen von Strom- oder Netzwerkkabeln steht. IT-Notfälle sind zu unterschiedlich, weitere Maßnahmen lassen sich nur individuell empfehlen und entscheiden. Als wesentlicher erster Schritt gilt die schnelle Erreichbarkeit von qualifiziertem IT-Personal⁶.

Technisch dahinter steckt der Arbeitsspeicher. Dort stehen im Ernstfall Schlüssel, aktive Verbindungen und laufende Prozesse, die nach dem Ausschalten weg sind. Bei manchen Verschlüsselungsfällen ließ sich genau daraus etwas retten. Wer den Strom zieht, entscheidet das ungewollt vorweg. Die Regel bei uns lautet deshalb: Netzwerk trennen darf jeder auf Anweisung, Strom trennen entscheidet die IT.

Meldepflichten, die viele Betriebe übersehen

Nach dem technischen Teil kommt der rechtliche. Er wird gern verdrängt und hat Fristen.

Artikel 33 DSGVO und die 72 Stunden

Wenn bei einem Vorfall personenbezogene Daten betroffen sein könnten, greift die Meldepflicht. Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen schreibt es so: Der Verantwortliche muss die Datenpanne unverzüglich, möglichst innerhalb von 72 Stunden nach dem Bekanntwerden, an die zuständige Aufsichtsbehörde melden, sofern ein mehr als geringes Risiko für die betroffenen Personen besteht. Auftragsverarbeiter müssen ihre Auftraggeber unverzüglich informieren⁷.

Die Frist läuft ab Kenntnis. Wird eine Sicherheitswarnung am Montag weggeklickt und der Vorfall erst am Freitag bekannt, hast du vier Tage verloren, die dir keiner zurückgibt. Für Betriebe mit Kunden- oder Patientendaten in Lohmar, Siegburg und Umgebung ist das der teuerste Teil einer fehlenden Meldekette.

Anzeige bei der Polizei

Die Polizei empfiehlt Betroffenen ausdrücklich, Anzeige zu erstatten³. Das gilt auch dann, wenn kein Geld geflossen ist. Anzeigen sind die Grundlage für Ermittlungen, und sie sind oft Voraussetzung für Leistungen aus einer Cyber-Versicherung. Wir bereiten Kunden dafür die technische Dokumentation auf, damit die Anzeige nicht aus drei Sätzen besteht.

Vorbereitung schlägt Improvisation

Alles bisher Beschriebene funktioniert nur, wenn es vor dem Ernstfall festgelegt wurde. Danach ist es Improvisation.

Übung im Betriebsalltag

Eine Übung dauert 20 Minuten. Du schickst deinem Team eine harmlose Testmail mit Sicherheitshinweis oder zeigst im Meeting den Screenshot einer gefälschten Sicherheitswarnung und fragst, wer jetzt wen anruft. Kommen drei verschiedene Antworten, kennst du dein Ergebnis. Wiederhol das zweimal im Jahr.

Ein Architekturbüro in Bad Honnef macht das im Rahmen der Sicherheitsunterweisung, direkt nach dem Feuerlöscher. Der Vergleich passt gut, denn die IT-Notfallkarte des BSI ist genau daran angelehnt⁵.

Was IT-Deol dabei übernimmt

Wir richten das Monitoring ein, hinterlegen die Notfallnummer, schulen das Team an echten Beispielen aus dem eigenen Betrieb und legen fest, welche Sicherheitswarnung intern erwartbar ist. Im Vorfall übernimmt IT-Deol die Analyse, grenzt den Schaden ein und dokumentiert alles, inklusive der Unterlagen für Aufsichtsbehörde und Anzeige.

Was wir dir nicht abnehmen können, ist die halbe Sekunde am Bildschirm. Die entscheidet immer noch jemand aus deinem Team, allein, unter Druck, morgens um halb neun. Ob diese Person dann die Nummer im Popup anruft oder die Nummer an der Wand, hängt davon ab, was ihr vorher miteinander vereinbart habt. Die meisten Betriebe im Rhein-Sieg-Kreis haben diese Vereinbarung bis heute nicht getroffen. Und die nächste Sicherheitswarnung wartet nicht, bis ihr euch einig seid.

---

Auf dem Rechner meiner Buchhalterin blinkt ein rotes Fenster mit einer Telefonnummer. Was soll sie tun?

Finger weg von der Nummer. Ein rotes Fenster mit Rufnummer und Countdown ist eine gefälschte Sicherheitswarnung, also eine Meldung, die dir vorgaukelt, dein Gerät sei in Gefahr. Windows und dein Virenschutz melden sich außerhalb des Browsers und nennen niemals eine Telefonnummer. Lass sie die Windows-Taste drücken, den Browser über den Task-Manager schließen und sofort im Betrieb Bescheid geben.

Ein Mitarbeiter hat bei einem angeblichen Microsoft-Support angerufen und ihn auf den Rechner gelassen. Wie schlimm ist das?

Das ist ernst, aber beherrschbar, wenn ihr schnell seid. Trenn das Gerät vom Netzwerk, lass die Fernwartungssoftware entfernen und ändere alle Passwörter von einem anderen Gerät aus. Die Sicherheitswarnung auf dem Bildschirm, also die angebliche Virenmeldung, war nur der Köder. Der Schaden entsteht im Telefonat. Erstatte Anzeige bei der Polizei. IT-Deol prüft, was in der Zeit passiert ist.

Mein Browser sagt, die Verbindung zu unserem Lieferantenportal sei nicht sicher. Kann ich trotzdem weiterarbeiten?

Arbeite dort erst mal nicht weiter. Diese Sicherheitswarnung, also die Meldung deines Browsers über eine unsichere Verbindung, heißt, dass die Verschlüsselung gerade nicht überprüfbar ist. Ursache kann ein abgelaufenes Zertifikat sein, eine falsch gestellte Uhr im Rechner oder jemand, der sich dazwischengeschaltet hat. Bei Portalen mit Zugangsdaten oder Rechnungen gilt: erst klären lassen, dann weiterklicken.

Bei uns weiß niemand, wen er anrufen soll, wenn am Rechner etwas komisch ist. Wie regelt man das?

Häng eine einzige Rufnummer sichtbar auf, im Flur, in der Werkstatt und in der Küche. Das BSI nennt so ein Schild IT-Notfallkarte, angelehnt an das bekannte Verhalten im Brandfall. Wer eine Sicherheitswarnung sieht, also einen Hinweis auf eine mögliche Gefahr am Rechner, ruft diese Nummer an und fasst sonst nichts an. IT-Deol hinterlegt die Nummer und übt den Ablauf mit deinem Team.

Wenn bei uns ein Computer plötzlich verrückt spielt, soll ich dann einfach den Stecker rausziehen?

Zieh das Netzwerkkabel oder schalte das WLAN ab, den Strom lieber nicht. Im Arbeitsspeicher liegen Informationen, die nach dem Ausschalten weg sind und bei der Aufklärung helfen. Das BSI gibt bewusst keine pauschale Empfehlung zum Ziehen von Kabeln. Melde die Sicherheitswarnung, also den Hinweis auf ein mögliches Problem, erst deiner IT und trenne dann auf Anweisung.

Wir bekommen ständig Mails, unser Konto werde gesperrt, wenn wir nicht sofort klicken. Sind die alle gefälscht?

Sehr wahrscheinlich ja. Kriminelle bauen eine Sicherheitswarnung in die Mail ein, also einen dringlichen Hinweis auf eine angebliche Gefahr, damit du unter Zeitdruck klickst. Prüfe drei Dinge: Erwartest du die Nachricht überhaupt? Stimmt die Absenderadresse komplett? Wohin führt der Link, wenn du mit der Maus draufzeigst? Logg dich im Zweifel über die dir bekannte Adresse ein.

Ein Fremder hatte kurz Zugriff auf einen Rechner mit Kundendaten. Muss ich das irgendwem melden?

Wahrscheinlich ja. Bei mehr als geringem Risiko für die betroffenen Personen musst du die Datenpanne der Aufsichtsbehörde melden, möglichst innerhalb von 72 Stunden ab Kenntnis. Die Frist läuft ab dem Moment, in dem du davon erfährst. Wurde vorher tagelang eine Sicherheitswarnung ignoriert, also ein Hinweis des Systems auf eine Gefahr, verlierst du wertvolle Tage. Dokumentiere jeden Vorfall.

Was sind die ersten Schritte, wenn ich morgens merke, dass mit einem Arbeitsplatz etwas nicht stimmt?

Hände weg von der Tastatur, Bildschirm anlassen, mit dem Handy ein Foto machen. Dann die Notfallnummer anrufen und sagen, was kurz vorher gemacht wurde. Das Foto einer Sicherheitswarnung, also der Meldung auf dem Bildschirm, verrät später die genaue Masche und ist nach dem Schließen des Fensters für immer weg. Getrennt und neu gestartet wird erst auf Anweisung der IT.

Ich habe den Verdacht, dass meine Leute Computerprobleme lieber verschweigen. Was kann ich tun?

Der Grund ist fast immer Angst vor Ärger. Sag deinem Team einmal deutlich, dass Melden nie zu Vorwürfen führt, auch wenn schon geklickt wurde. Eine gemeldete Sicherheitswarnung, also ein Hinweis auf eine mögliche Gefahr am Rechner, kostet dich ein paar Minuten. Eine verschwiegene kann dich Wochen kosten. Häng die Notfallnummer auf und übe den Ablauf zweimal im Jahr.

Wir sind nur fünf Leute im Büro. Lohnt sich eine Überwachung unseres Netzwerks überhaupt?

Gerade dann. Eine Überwachung erkennt, was kein Mensch bemerkt: nächtliche Datenabflüsse, Anmeldungen aus zwei Ländern innerhalb von Minuten, auffällig viele blockierte Verbindungen. So eine Sicherheitswarnung, also ein automatischer Alarm des Systems, landet direkt bei der IT statt auf einem Bildschirm im Büro. Wichtig ist die Feineinstellung, damit es meldet und nicht rauscht. IT-Deol richtet das für kleine Betriebe ein.

---

Quellen

1 Bundeskriminalamt, Primärquelle: https://www.bka.de/DE/AktuelleInformationen/StatistikenLagebilder/Lagebilder/Cybercrime/2024/CC_2024.html

2 Bundesamt für Sicherheit in der Informationstechnik, Primärquelle: https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Virenschutz-Firewall/Virenschutzprogramme/virenschutzprogramme.html

3 Polizeiliche Kriminalprävention der Länder und des Bundes, Primärquelle: https://www.polizei-beratung.de/themen-und-tipps/betrug/falsche-microsoft-mitarbeiter/

4 Verbraucherzentrale, Primärquelle: https://www.verbraucherzentrale.de/wissen/vertraege-reklamation/abzocke/warnung-abzocke-durch-angebliche-microsoftmitarbeiter-24641

5 Bundesamt für Sicherheit in der Informationstechnik, Primärquelle: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Unternehmen-allgemein/IT-Notfallkarte/IT-Notfallkarte/it-notfallkarte.html

6 Bundesamt für Sicherheit in der Informationstechnik, Primärquelle: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Unternehmen-allgemein/IT-Notfallkarte/FAQ/faq_node.html

7 Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Primärquelle: https://www.ldi.nrw.de/datenpanne-was-nun

In fast jedem Büro zwischen Bonn und Köln steht ein Gerät, das seit Jahren keiner angeschaut hat. Es druckt. Es scannt. Es faxt sogar noch. Genau deshalb fällt es keinem auf. IT-Deol sieht das bei neuen Kunden im Rhein-Sieg-Kreis fast wöchentlich: Server gepatcht, Firewall aktiv, Backups geprüft, und mitten im Netz hängt ein Multifunktionsgerät mit den Werkseinstellungen vom Tag der Anschaffung. Druckersicherheit steht auf keiner Liste.

Wenn wir mit Steuerberatern, Kanzleien oder Arztpraxen über Drucker als Sicherheitsrisiko sprechen, kommt fast immer dieselbe Reaktion. Ein Stirnrunzeln. Dann die Frage, ob das wirklich ein Thema ist. Ist es. Das Bundesamt für Sicherheit in der Informationstechnik widmet der Druckersicherheit einen eigenen Baustein im IT-Grundschutz.

Das Gerät, das niemand für einen Computer hält

Warum Druckersicherheit einen eigenen Baustein hat

Das BSI schreibt im Grundschutz-Baustein SYS.4.1 klipp und klar: Moderne Drucker, Kopierer und Multifunktionsgeräte sind komplexe Geräte, die neben mechanischen Komponenten eigene Betriebssysteme enthalten und Serverdienste bereitstellen.¹ Übersetzt: Das Ding im Flur ist ein Rechner. Mit eigener Firmware, eigenem Webserver, eigener Benutzerverwaltung und eigenem Speicher. Es hat eine IP-Adresse, offene Ports und ein Passwort. Damit gehört Druckersicherheit in dieselbe Kategorie wie das Härten eines Servers.

Behandelt wird das Gerät trotzdem wie ein Möbelstück. Ein Notebook bekommt Updates, Virenschutz und eine verschlüsselte Festplatte. Das Multifunktionsgerät bekommt Toner. IT-Deol hat in Betrieben im Bergischen Land Geräte gefunden, deren Firmware sechs Jahre alt war, während direkt daneben ein tadellos gepflegtes Windows-Netz lief.

Der Moment, in dem es in der Kanzlei still wird

Im Erstgespräch stellen wir immer dieselbe Frage: Wer ist für dieses Gerät eigentlich zuständig? In kleinen und mittleren Betrieben antwortet darauf fast nie jemand. Der Lieferant macht Toner und Wartung. Die IT macht Server und Clients. Das Gerät fällt in die Lücke dazwischen, und in dieser Lücke verschwindet die Druckersicherheit komplett. Genau dort beginnt IT-Deol mit der Bestandsaufnahme.

Standardpasswörter: Wo Druckersicherheit anfängt

Was das BSI dazu sagt

Vernetzte Drucker lassen sich über das Bedienfeld und den eingebauten Webserver verwalten. Bei Auslieferung haben sie in der Regel kein oder nur ein Standardpasswort. Wird es nicht gesetzt oder nicht geändert, kann sehr leicht auf die Geräte zugegriffen werden.¹ Die Basis-Anforderung SYS.4.1.A2 verlangt deshalb Gerätepasswörter nach den Vorgaben des Berechtigungsmanagements.¹ Ein Standardpasswort aus dem Handbuch erfüllt das nie. Es steht im Internet. An dieser Stelle scheitert Druckersicherheit am häufigsten.

Ein Passwort für alle Geräte im Haus

Das BSI beschreibt eine zweite Variante, die noch öfter vorkommt: einheitliche Passwörter für alle Drucker und Multifunktionsgeräte, die nur selten geändert werden. Dadurch sind sie oft vielen internen und externen Personen bekannt.¹ Der Azubi von 2018 kennt es. Der Techniker vom Wartungsdienst kennt es. Der ehemalige Mitarbeiter, der jetzt beim Wettbewerber sitzt, kennt es auch.

In einer Steuerkanzlei in Hennef hat IT-Deol genau das dokumentiert: vier Geräte, ein Passwort, seit der Erstinstallation unverändert. Über das Webinterface waren Adressbuch, Faxprotokolle und die letzten Scanaufträge einsehbar. Für jeden im Netz, ohne dass irgendwo eine Spur zurückblieb. Beim Thema Druckersicherheit fangen wir deshalb immer hier an, weil die Sache in zehn Minuten erledigt ist.

Offene Ports und Protokolle aus der Werkseinstellung

Warum bei Lieferung alles eingeschaltet ist

Hersteller liefern Geräte so aus, dass sie überall auf Anhieb funktionieren. Das BSI beschreibt die Folge: Drucker sind mit zahlreichen Netzprotokollen ausgerüstet, bei Auslieferung sind meistens alle aktiviert. Angreifende könnten dadurch auf die Geräteeinstellungen zugreifen und diese so verändern, dass schützenswerte Informationen aus dem Netz abfließen.¹ Für die Druckersicherheit heißt das: Jede Funktion, die du nicht brauchst, gehört aus.

Die Standard-Anforderung SYS.4.1.A18 fordert genau das und verlangt zusätzlich die Verwaltung über verschlüsselte Protokolle wie HTTPS und SNMPv3. Protokolle wie SNMP, Telnet und PJL sollen ersetzt oder abgeschaltet werden.¹ Die Umsetzungshinweise ergänzen: Alle Port-Nummern, die für den Betrieb nicht gebraucht werden, sollten gefiltert werden.²

Druckersicherheit endet nicht am Gehäuse

Dazu kommt ein zweites Problem. Drucker werden meist demselben Subnetz zugeordnet wie die Clients. Ein Netzdrucker kann dadurch zu einem Einfallstor für Angriffe aus dem Internet werden, schreibt das BSI wörtlich.¹ Die Empfehlung aus SYS.4.1.A11 ist eindeutig: eigenes Netzsegment, getrennt von Clients und Servern.¹

Bei einem Handwerksbetrieb in Rösrath hat IT-Deol das Gerät in ein eigenes VLAN gelegt und den Internetzugang für dieses Segment dichtgemacht. Aufwand: ein halber Tag. Segmentierung ist der stärkste einzelne Hebel für die Druckersicherheit, weil sie auch dann noch trägt, wenn andere Maßnahmen im Alltag schleifen.

Firmware: Der blinde Fleck der Druckersicherheit

Ein Betriebssystem ohne Update-Routine

Das BSI nennt die regelmäßige Aktualisierung der installierten Software einen essentiellen Schwerpunkt bei der Absicherung dieser Geräte, um Softwareschwachstellen zu schließen.¹ Firmware ist Software. Sie hat Fehler. Dafür kommen Sicherheitsupdates, oft mehrmals im Jahr.

Nur: Wer lädt die runter? Wer spielt sie ein? Wer prüft danach, ob das Gerät noch macht, was es soll? In den meisten Büros im Rhein-Sieg-Kreis lautet die ehrliche Antwort: keiner. IT-Deol nimmt die Geräte deshalb in dieselbe Patch-Routine auf wie Server und Arbeitsplätze. Druckersicherheit lässt sich einmal herstellen, aber sechs Monate später sieht die Lage schon wieder anders aus.

Wer zuständig ist, entscheidet über die Druckersicherheit

Aus Unternehmersicht ist genau das der Punkt, an dem sich Geld und Ärger entscheiden. Was du hier einkaufst, ist eine geklärte Verantwortung mit einem Namen dran. Solange niemand benannt ist, rutscht das Thema jedes Quartal weiter nach hinten. IT-Deol übernimmt diese Zuständigkeit vertraglich, inklusive Inventarliste, Firmware-Stand und festem Prüfintervall. Klingt unspektakulär. Macht bei der Druckersicherheit aber den ganzen Unterschied.

Die Festplatte im Gerät: Dein Archiv, von dem du nichts weißt

Was da tatsächlich drauf liegt

Multifunktionsgeräte sind oft mit nichtflüchtigen Speichern ausgestattet, auf denen Adressbücher, Dokumente, Fax-Dateien und Druckaufträge liegen, teils dauerhaft. Sind diese Informationen unzureichend geschützt, können Dritte darauf zugreifen und sie auslesen. Unter Umständen lassen sich sogar bereits gelöschte Informationen rekonstruieren, wenn unsichere Löschmethoden angewendet wurden.¹

Der Landesbeauftragte für Datenschutz der Freien Hansestadt Bremen formuliert es so: Noch gespeicherte Aufträge seien ebenso leicht auszudrucken wie scheinbar gelöschte, real aber noch vorhandene Daten alter Kopien, Faxe oder Druckaufträge.⁵ Denk kurz darüber nach, was in einer Arztpraxis in Sankt Augustin in zwei Jahren durch so ein Gerät läuft. Befunde. Abrechnungen. Krankschreibungen. Für Praxen und Kanzleien wird Druckersicherheit hier sehr konkret, weil dort das Berufsgeheimnis gilt.

Verschlüsselung als Basis der Druckersicherheit

Das BSI empfiehlt in SYS.4.1.A15, alle auf geräteinternen Speichermedien abgelegten Informationen zu verschlüsseln, und in SYS.4.1.A17, Nutz- und Metadaten nach einer vordefinierten Zeit automatisch zu löschen.¹ Die Umsetzungshinweise werden deutlicher: Einfaches Löschen reicht nicht, um die Wiederherstellung zu verhindern. Hat das Gerät eine Funktion zum sicheren Löschen mit Überschreiben, sollte sie aktiviert werden.²

Wir prüfen bei jedem Gerät genau drei Dinge:

• Ist überhaupt eine Festplatte verbaut, und wie groß ist sie?
• Arbeitet dieser Speicher verschlüsselt?
• Ist die automatische Löschung nach Auftragsende aktiv?

Bei ungefähr der Hälfte der vorgefundenen Geräte lautet die Antwort dreimal nein. So viel zum Stand der Druckersicherheit im Mittelstand.

Druckaufträge im Klartext quer durchs Netz

Mitlesen ist einfacher, als es klingt

Druck- und Scandaten werden oft unverschlüsselt über das Netz übertragen. Dadurch können die gesendeten Dokumente mitgelesen werden.¹ Wenn der Steuerberater in Troisdorf eine Bilanz an den Etagendrucker schickt, wandert sie in vielen Netzen im Klartext über den Switch. Wer im selben Netz sitzt, greift sie ab. Verschlüsselte Übertragung gehört deshalb zur Grundausstattung der Druckersicherheit.

Für die Administration gilt dasselbe. Wird über HTTP, SNMPv2 oder Telnet auf Drucker zugegriffen, werden die Informationen ungeschützt transportiert, wodurch Zugriffsdaten inklusive Gerätepasswörter gefährdet sind.¹ Die Umsetzungshinweise nennen als sichere Alternative das Internet Printing Protocol zusammen mit TLS.² IT-Deol stellt Druckwege konsequent darauf um.

Metadaten verraten oft mehr als der Inhalt

Mit jedem Druckauftrag gehen Metadaten mit: Kennung der Benutzenden, Datum, Uhrzeit und der Name des Druckauftrags. Diese Daten zeigen viele Geräte im Bedienfeld und im Webserver an.¹ Der Dateiname allein reicht oft völlig aus. „Kuendigung_Mueller_final.pdf“ im Display erklärt einer ganzen Abteilung die Personalplanung. In einer Kanzlei genügt ein Mandantenname im Auftragstitel. Zur Druckersicherheit gehört deshalb auch die Frage, wer diese Anzeige überhaupt sehen darf.

Fax und Scan-to-Mail: Die Türen nach außen

Wenn das Gerät Mails unter fremdem Namen verschickt

Viele vernetzte Drucker lassen sich so konfigurieren, dass Druckaufträge per E-Mail ankommen und gescannte Dokumente als Anhang rausgehen. Dabei lässt sich die freie Eingabe der Absendendenadresse missbrauchen, um E-Mails unter fremden Namen an interne und externe Personen zu versenden.¹ Wer das Webinterface erreicht, hat einen glaubwürdigen Versandkanal aus deinem Haus heraus. Der Empfänger sieht deine Domain.

Bei erhöhtem Schutzbedarf empfiehlt das BSI, den Versand auf die Adressen authentisierter Benutzender und auf interne Empfänger zu beschränken. Eingehende Fax-Dokumente und Sendeberichte sollen nur autorisierten Personen zugänglich sein.¹ Für eine Arztpraxis in Siegburg sollte diese Stufe der Druckersicherheit der Normalfall sein.

Die Faxleitung als stille Brücke

Fax ist im Rhein-Sieg-Kreis längst nicht tot. Viele Praxen und Kanzleien nutzen es täglich. Das BSI verlangt in SYS.4.1.A11, sicherzustellen, dass zwischen dem Datennetz der Institution und dem Telefonnetz keine unkontrollierten Datenverbindungen aufgebaut werden.¹ Ein Multifunktionsgerät hängt an beidem gleichzeitig. Diese Doppelanbindung übersehen die meisten, wenn sie Druckersicherheit zum ersten Mal bewerten. Wir prüfen sie bei jedem Gerät mit Faxmodul.

Dann sind da noch die Sendeprotokolle. Sie lassen sich bei vielen Geräten ohne Zugriffsschutz ausdrucken. Selbst wenn nur Telefonnummer, Datum, Uhrzeit und Seitenzahl daraufstehen, sind damit schon Rückschlüsse auf personenbezogene Daten oder geschäftliche Vorgänge möglich.¹ Eine Liste von Faxnummern einer Praxis ist eine Liste von Laboren und Kliniken.

Leasingrückgabe: Der Tag, an dem deine Daten das Haus verlassen

Was im Leasingvertrag meistens fehlt

Das BSI wird hier sehr direkt: Auf diesen Geräten sind oft vertrauliche Informationen gespeichert, die nach der Außerbetriebnahme auf ihnen verbleiben. Geleaste Geräte werden nach einer festgelegten Nutzungsdauer ausgetauscht und spätestens nach Ablauf des Vertrags zurückgegeben. Bevor sie ausgesondert, getauscht, instandgesetzt oder zurückgegeben werden, müssen alle sensiblen Informationen von ihnen gelöscht werden.¹ Hier entscheidet sich Druckersicherheit an einem einzigen Nachmittag.

Der Bremer Landesbeauftragte hält fest, dass Verkauf, Rückgabe und Entsorgung eines Geräts Datenschutzrisiken mit sich bringen und alle noch auf dem System verbliebenen Daten gelöscht werden müssen.⁵ In der Praxis sieht es anders aus. Der Techniker holt das alte Gerät ab, das neue steht am selben Nachmittag da, und die Festplatte fährt einfach mit. Wohin, weiß im Betrieb keiner.

So sieht eine saubere Rückgabe aus

Der Baustein CON.6 legt Mindestanforderungen fest. In Geräten integrierte Datenträger müssen über die integrierten Funktionen sicher gelöscht werden. Geht das nicht, müssen die Massenspeicher ausgebaut und entweder von einem separaten IT-System aus sicher gelöscht oder mindestens nach Sicherheitsstufe E-3 beziehungsweise H-3 nach ISO/IEC 21964-2 vernichtet werden.³

IT-Deol begleitet Geräterückgaben für Kunden in Köln und Umgebung deshalb als eigenen Vorgang: Löschlauf am Gerät, Protokoll, Bestätigung. Fehlt die Löschfunktion, wird der Datenträger ausgebaut und bleibt im Haus. Eine Stunde Aufwand für ein Stück Druckersicherheit, das dir im Ernstfall die Meldung an die Aufsichtsbehörde erspart.

DSGVO: Was passiert, wenn es auffliegt

Die Frist läuft ab Kenntnis

Für Betriebe in Köln und Bonn ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen zuständig. Sie stellt klar: Verantwortliche müssen Verletzungen des Schutzes personenbezogener Daten unverzüglich melden, möglichst binnen 72 Stunden, sobald mehr als nur ein geringes Risiko für die Rechte Betroffener besteht. Bei hohem Risiko kommt deren Benachrichtigung dazu, dokumentieren musst du jede Verletzung.⁴

72 Stunden sind kurz. Sie starten, sobald du Kenntnis hast, auch an einem Freitagnachmittag im August. Wer dann erst anfängt, seine Geräte zu inventarisieren, verbrennt den halben Zeitraum mit Grundlagenarbeit. Solide Druckersicherheit spart dir an so einem Tag vor allem Zeit.

Der Schaden, den du nicht auf der Rechnung siehst

Der Bitkom beziffert die jährlichen Schäden durch Datendiebstahl, Industriespionage und Sabotage in der deutschen Wirtschaft auf 211 bis 270,8 Milliarden Euro. 96 Prozent der befragten Unternehmen waren betroffen oder vermuten das.⁶ Das erklärt, warum Versicherer und größere Auftraggeber inzwischen genauer hinschauen, auch bei der Druckersicherheit.

Für eine Kanzlei in Bad Honnef oder einen Zulieferer in Much wiegt am Ende etwas anderes schwerer als der Bußgeldrahmen. Es ist der Anruf beim Mandanten, beim Patienten, beim Auftraggeber. Vertrauen, das über zwanzig Jahre gewachsen ist, bekommt an einem Nachmittag einen Riss.

Dein Fahrplan für die nächsten zwei Wochen

Die Bestandsaufnahme, die keiner gemacht hat

Fang mit einer Liste an. Druckersicherheit braucht am Anfang kein Projekt. Sechs Zeilen pro Gerät reichen:

• Welche Geräte hängen im Netz, mit welcher IP-Adresse?
• Wer kennt das Administrationspasswort, und wann wurde es zuletzt geändert?
• Steckt eine Festplatte drin, und ist sie verschlüsselt?
• Wann kam das letzte Firmware-Update?
• Ist Scan-to-Mail eingerichtet, und mit welcher Absenderadresse?
• Läuft ein Leasingvertrag, und wann endet er?

Bei den meisten Betrieben im Bergischen Land ist diese Liste das erste Dokument, das zu den Geräten überhaupt existiert. Danach kommen eigene Gerätepasswörter, abgeschaltete Dienste und Verwaltung über HTTPS.¹ Das ist an einem Vormittag machbar.

Ein Punkt für die Druckersicherheit kostet gar nichts: das Ausgabefach. Ausdrucke bleiben oft lange liegen, und laut BSI können dadurch auch Unbefugte schützenswerte Informationen einsehen oder mitnehmen.¹ Bei erhöhtem Schutzbedarf empfiehlt das BSI Secure Print, der Druck startet also erst nach Anmeldung am Gerät.¹ In einer Praxis mit Wartezimmer neben dem Kopierer ist das gelebte Druckersicherheit.

Druckersicherheit in der Praxis: so geht IT-Deol vor

Wir arbeiten in der Reihenfolge, die am schnellsten wirkt: Passwörter und Zugriffe zuerst, dann Netzsegmentierung, dann Firmware und Speicher, zuletzt Fax, Scan-to-Mail und der Rückgabeprozess. Für Betriebe in Köln und Bonn und dem Umland geht das meistens ohne Betriebsunterbrechung, weil die Arbeiten außerhalb der Sprechstunden oder Kanzleizeiten laufen können. Melde dich bei IT-Deol, wenn du wissen willst, was bei dir im Flur eigentlich steht.

Und dann bleibt eine Frage übrig, die dir keiner abnimmt. In deinem Netz hängen noch andere Geräte, die niemand für Computer hält. Die Zeiterfassung an der Tür. Die Kamera im Lager. Das smarte Thermostat, das der Elektriker letztes Jahr eingebaut hat. Wer den Drucker als Sicherheitsrisiko einmal verstanden hat und die Druckersicherheit im Griff hat, stellt bei all diesen Geräten die gleichen sechs Fragen. Die Antworten fallen selten beruhigender aus.

---

Unser Drucker läuft seit sechs Jahren im Büro, und keiner weiß, ob dafür je ein Passwort vergeben wurde. Wie schlimm ist das?

Ziemlich schlimm. Viele Geräte kommen ganz ohne Passwort oder mit einem Standardpasswort aus dem Handbuch, das frei im Internet steht. Das BSI nennt genau das als Grund, warum sich Fremde sehr leicht Zugriff verschaffen. Druckersicherheit, also der Schutz deiner Drucker und Kopierer vor unbefugtem Zugriff, fängt mit einem eigenen Gerätepasswort an. Das ist in zehn Minuten erledigt.

Unser Kopierer steht frei zugänglich im Flur und speichert offenbar alles, was gescannt wird. Sollte mich das beunruhigen?

Ja, das solltest du dir ansehen. In größeren Geräten steckt oft eine Festplatte, auf der Scans, Faxe und Druckaufträge liegen, teilweise monatelang. Laut BSI lassen sich gelöschte Daten sogar wiederherstellen, wenn unsichere Löschverfahren verwendet wurden. Zur Druckersicherheit, dem Schutz der Daten im Gerät selbst, gehören deshalb Verschlüsselung und eine automatische Löschung nach jedem Auftrag.

Wir geben nächsten Monat drei Leasinggeräte zurück. Muss ich vorher irgendetwas löschen lassen?

Unbedingt. Das BSI verlangt, dass vor Rückgabe, Tausch oder Reparatur alle sensiblen Informationen von den Geräten gelöscht werden. Sonst fährt die Festplatte mit euren Mandanten- oder Patientendaten einfach mit. Zur Druckersicherheit gehört hier ein dokumentierter Löschlauf mit Protokoll, oder der Ausbau des Datenträgers. IT-Deol begleitet Rückgaben genau so. Eine Stunde pro Gerät reicht meistens.

Bei uns fühlt sich niemand für die Bürogeräte zuständig, weder die IT noch der Kopiererhändler. Wer sollte das übernehmen?

Diese Lücke ist typisch. Der Händler kümmert sich um Toner und Wartung, die IT um Server und Arbeitsplätze, und das Gerät dazwischen fällt durch. Druckersicherheit, also der laufende Schutz von Druckern und Kopierern im Netzwerk, braucht eine benannte Person mit Inventarliste, Passwortverwaltung und festem Prüfintervall. IT-Deol übernimmt diese Rolle für Betriebe im Rhein-Sieg-Kreis vertraglich.

Unsere Buchhaltung scannt Rechnungen direkt vom Gerät an eine E-Mail-Adresse. Wie sicher ist das eigentlich?

Weniger sicher, als es aussieht. Das BSI warnt, dass sich die frei eingebbare Absenderadresse missbrauchen lässt, um Mails unter fremdem Namen zu verschicken. Der Empfänger sieht dann eure Firmendomain. Zur Druckersicherheit, dem sauberen Einrichten solcher Funktionen, gehört, den Versand auf angemeldete Personen und interne Empfänger zu beschränken. Prüf außerdem, ob der Übertragungsweg verschlüsselt läuft.

In unserer Praxis steht der Drucker neben dem Wartezimmer, und Ausdrucke liegen dort manchmal stundenlang. Reicht es, wenn wir die Mitarbeiter ermahnen?

Ermahnen hilft wenig, solange die Technik es zulässt. Laut BSI können liegengebliebene Ausdrucke von Unbefugten eingesehen oder mitgenommen werden. Bei sensiblen Unterlagen empfiehlt das Amt Secure Print: Der Druck startet erst, wenn sich die Person am Gerät anmeldet. Solche Einstellungen sind gelebte Druckersicherheit, also praktischer Schutz rund um Drucker und Kopierer, und kosten nichts extra.

Für unsere Computer gibt es regelmäßig Sicherheitsupdates. Bekommt ein Drucker auch welche?

Ja, und das regelmäßig. In jedem Netzwerkdrucker läuft eine eigene Software, die Firmware heißt. Sie enthält Fehler, und die Hersteller schließen diese oft mehrmals im Jahr mit Updates. Das BSI nennt diese Aktualisierung einen wesentlichen Punkt der Absicherung. Druckersicherheit, also die dauerhafte Pflege dieser Geräte, braucht dafür eine feste Routine. IT-Deol nimmt Drucker in denselben Update-Zyklus wie Server auf.

Wenn über ein Bürogerät Kundendaten nach außen gelangen, muss ich das dann irgendwo melden?

In vielen Fällen ja. Die Datenschutzbehörde in Nordrhein-Westfalen verlangt eine Meldung unverzüglich, möglichst binnen 72 Stunden, sobald mehr als nur ein geringes Risiko für die betroffenen Personen besteht. Bei hohem Risiko musst du zusätzlich die Betroffenen informieren. Wer die Druckersicherheit vorher geregelt hat, also weiß, welches Gerät was speichert, verliert in diesen 72 Stunden keine Zeit.

Wir faxen in der Kanzlei täglich, und das Gerät hängt gleichzeitig am Internet und an der Telefonleitung. Ist das riskant?

Diese Doppelanbindung übersehen die meisten. Das BSI verlangt, dass zwischen dem Firmennetz und dem Telefonnetz keine unkontrollierten Verbindungen entstehen können. Ein Multifunktionsgerät hängt an beidem gleichzeitig. Zur Druckersicherheit, dem Absichern des Geräts nach allen Seiten, gehört deshalb eine Prüfung des Faxmoduls. Denk auch an die Sendeprotokolle, aus denen sich Mandanten und Kontakte ablesen lassen.

Wir sind ein Betrieb mit zwölf Leuten und zwei Kopierern. Was kostet es, die Geräte einmal sauber absichern zu lassen?

Für zwei Geräte reicht meistens ein Tag. Den größten Teil machen Bestandsaufnahme, eigene Passwörter, abgeschaltete Dienste und ein getrenntes Netzsegment aus. Druckersicherheit, also der geordnete Schutz eurer Bürogeräte, verursacht danach vor allem laufende Pflege. IT-Deol arbeitet außerhalb eurer Öffnungszeiten, damit der Betrieb weiterläuft, und nennt dir den Preis vorher verbindlich.

---

Quellen

Primärquellen

1 Bundesamt für Sicherheit in der Informationstechnik (BSI), IT-Grundschutz-Kompendium, Baustein SYS.4.1 Drucker, Kopierer und Multifunktionsgeräte, Edition 2023, Primärquelle: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-Kompendium_Einzel_PDFs_2023/07_SYS_IT_Systeme/SYS_4_1_Drucker_Kopierer_und_Multifunktionsgeraete_Edition_2023.pdf

2 Bundesamt für Sicherheit in der Informationstechnik (BSI), Umsetzungshinweise zum Baustein SYS.4.1 Drucker, Kopierer und Multifunktionsgeräte, Primärquelle: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Umsetzungshinweise/Umsetzungshinweise_2022/Umsetzungshinweis_zum_Baustein_SYS_4_1_Drucker_Kopierer_und_Multifunktionsgeraete.pdf

3 Bundesamt für Sicherheit in der Informationstechnik (BSI), IT-Grundschutz-Kompendium, Baustein CON.6 Löschen und Vernichten, Edition 2023, Primärquelle: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-Kompendium_Einzel_PDFs_2023/03_CON_Konzepte_und_Vorgehensweisen/CON_6_Loeschen_und_Vernichten_Edition_2023.pdf

4 Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Meldepflicht für Verantwortliche bei Verletzungen des Schutzes personenbezogener Daten, Primärquelle: https://www.ldi.nrw.de/kontakt/meldepflicht-fuer-verantwortliche-verletzungen-des-schutzes-personenbezogener-daten

5 Die Landesbeauftragte für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen, Fotokopierer: Die angreifbare Datenstation, Primärquelle: https://www.datenschutz.bremen.de/datenschutztipps/orientierungshilfen-und-handlungshilfen/fotokopierer-die-angreifbare-datenstation-3904

6 Bitkom e. V., Presseinformation zur Studie Wirtschaftsschutz, Primärquelle: https://www.bitkom.org/Presse/Presseinformation/Angriffe-auf-deutsche-Wirtschaft-Spur-auslaendische-Geheimdienste

Vielleicht lässt du dir von ChatGPT Angebotstexte schreiben, deine Buchhaltung nutzt ein Tool zum Sortieren von Belegen, und im Kundenservice antwortet ein Chatbot. Ganz normaler Alltag in vielen Betrieben in Köln und Bonn. Was den wenigsten Unternehmern klar ist, ist die Tatsache, dass in genau diesem Moment die KI-Verordnung der EU greift. Und zwar nicht erst irgendwann, sondern in Teilen schon heute.

Keine Sorge, das ist kein Grund zur Panik. Die meisten Pflichten sind mit überschaubarem Aufwand zu erfüllen, wenn du weißt, worauf es ankommt. Dieser Beitrag erklärt dir ohne Fachchinesisch und Schritt für Schritt, was die KI-Verordnung ist, was sie von dir verlangt und was du als Unternehmer jetzt konkret tun solltest.

Was die KI-Verordnung überhaupt ist

Die KI-Verordnung, oft auch AI Act genannt, ist das erste umfassende Gesetz der EU für künstliche Intelligenz. Sie gilt seit August 2024 und wird seitdem Schritt für Schritt scharf geschaltet. Ihr Ziel ist, dass KI in Europa sicher und nachvollziehbar eingesetzt wird. Für dich als Unternehmer bedeutet das vor allem, dass es klare Regeln dafür gibt, wie du KI im Betrieb nutzen darfst.

Das Wichtige vorweg. Die KI-Verordnung nimmt nicht nur die in die Pflicht, die KI entwickeln, sondern auch die, die KI einfach nur nutzen. Genau das trifft die allermeisten kleinen und mittleren Betriebe. Du programmierst keine KI, aber du setzt sie ein, und schon dadurch wirst du zum sogenannten Betreiber mit eigenen Pflichten.

Das Risikoprinzip einfach erklärt

Die KI-Verordnung sortiert KI-Anwendungen nach ihrem Risiko. Manche Praktiken sind komplett verboten, etwa das heimliche Manipulieren von Menschen oder das Auswerten der Gefühle von Mitarbeitern. Andere Anwendungen gelten als hochriskant, zum Beispiel eine KI, die über Bewerbungen oder Kredite mitentscheidet. Für sie gelten strenge Auflagen. Der große Rest, worunter die meisten Alltags-Tools wie ChatGPT fallen, ist mit vergleichsweise leichten Pflichten verbunden. Je höher das Risiko, desto strenger die Regeln, so lässt sich die KI-Verordnung im Kern zusammenfassen.

Warum die KI-Verordnung gerade dich als Unternehmer betrifft

Viele Geschäftsführer denken, so ein EU-Gesetz sei etwas für Tech-Konzerne. Bei der KI-Verordnung stimmt das nicht. Sobald in deinem Betrieb KI genutzt wird, und sei es nur ein Chatbot oder ein Text-Tool, bist du betroffen. Und weil kaum noch ein Unternehmen ganz ohne KI arbeitet, geht die KI-Verordnung heute fast jeden etwas an.

Bist du Anbieter oder nur Betreiber?

Die KI-Verordnung unterscheidet vor allem zwei Rollen. Anbieter sind die, die eine KI entwickeln oder unter eigenem Namen auf den Markt bringen. Betreiber sind alle, die eine fertige KI beruflich einsetzen. Als typischer Betrieb aus Köln oder Bonn bist du fast immer Betreiber und nicht Anbieter. Das ist eine gute Nachricht, denn für Betreiber sind die Pflichten deutlich leichter. Du musst keine KI zertifizieren lassen, sondern vor allem dafür sorgen, dass dein Team die Tools versteht und verantwortungsvoll nutzt. Erst wenn du eine KI stark veränderst oder unter eigenem Namen weitergibst, kann aus dem Betreiber ein Anbieter mit strengeren Pflichten werden.

Die Pflicht, die schon heute gilt

Der Punkt, den kaum jemand auf dem Schirm hat, ist die KI-Kompetenzpflicht, die seit dem 2. Februar 2025 gilt.¹ Sie verlangt, dass alle Mitarbeiter, die mit KI arbeiten, ein ausreichendes Grundverständnis davon haben. Sie müssen wissen, was das Tool kann, wo seine Grenzen liegen und welche Risiken es gibt, etwa dass eine KI auch falsche Antworten sehr überzeugend formulieren kann. Wie du das umsetzt, bleibt dir überlassen, aber du musst es tun und im Zweifel nachweisen können. Wer ChatGPT im Betrieb nutzt und sein Team nie geschult hat, erfüllt diese Pflicht der KI-Verordnung heute schlicht nicht.

Was schon verboten ist

Ebenfalls seit Februar 2025 sind bestimmte KI-Praktiken komplett verboten. Dazu gehört zum Beispiel Software, die Emotionen von Mitarbeitern am Arbeitsplatz auswertet, oder ein System, das Menschen gezielt manipuliert. Für die meisten Betriebe ist das kein Alltagsthema, aber es lohnt sich zu wissen, dass die KI-Verordnung hier eine klare rote Linie zieht.

Ein Beispiel aus unserer Region

Stell dir eine Steuerkanzlei aus dem Raum Bonn vor, rund 25 Mitarbeiter. Die Kanzlei nutzt seit einem Jahr KI-Tools, um Mandantenschreiben vorzuformulieren und Belege vorzusortieren. Niemand hat sich groß Gedanken über Regeln gemacht, es lief ja alles gut. Bei einer Fortbildung hört die Chefin zum ersten Mal von der KI-Kompetenzpflicht und stellt fest, dass ihr Team zwar fleißig KI nutzt, aber niemand je erklärt bekommen hat, welche Daten man auf keinen Fall in ein öffentliches Tool eingeben darf.

Der Handlungsbedarf ist real, aber überschaubar. Eine kurze Schulung, ein paar klare Regeln zum Umgang mit KI und eine knappe Dokumentation, und die Kanzlei erfüllt die wichtigste Pflicht der KI-Verordnung. Genau diese Situation erleben Betriebe in Köln und Bonn gerade reihenweise, vom Handwerksbetrieb mit KI-Chatbot auf der Website bis zur Agentur, die täglich mit Text- und Bildgeneratoren arbeitet. Das Muster ist fast immer dasselbe. Die Technik ist längst im Haus, die Regeln dazu fehlen noch.

Welche Fristen bei der KI-Verordnung gelten

Die KI-Verordnung wird in Stufen wirksam, und ein paar Termine solltest du kennen.

Seit dem 2. Februar 2025 gelten die Verbote und die KI-Kompetenzpflicht. Seit dem 2. August 2025 greifen die Regeln für große KI-Modelle wie das hinter ChatGPT sowie der Bußgeldrahmen der Verordnung.¹ Die strengen Auflagen für hochriskante KI greifen erst danach und wurden zuletzt im Zuge des sogenannten Digital-Omnibus noch einmal nach hinten verschoben, um den Unternehmen mehr Zeit für die Umsetzung zu geben. Bei bestimmten KI-Anwendungen, die in regulierte Produkte eingebaut sind, reicht die Frist inzwischen bis zum 2. August 2028.² Für die meisten Betriebe zählt aber ohnehin die Pflicht, die schon heute gilt, und nicht die ferne Frist für Hochrisiko-KI.

Für dich als Betreiber von Alltags-KI ist die wichtigste Botschaft aber nicht die ferne Frist, sondern die Pflicht, die schon heute gilt. Die KI-Kompetenz deines Teams musst du jetzt sicherstellen, nicht erst in ein paar Jahren.

Was du deinen Kunden gegenüber offenlegen musst

Ein Teil der KI-Verordnung, der viele Betriebe ganz direkt betrifft, sind die Transparenzpflichten. Wenn ein Kunde mit einem Chatbot schreibt, muss er erkennen können, dass am anderen Ende eine Maschine sitzt und kein Mensch. Und wenn du Texte, Bilder oder Videos von einer KI erstellen lässt und veröffentlichst, sollen diese als künstlich erzeugt erkennbar sein.

Für dich bedeutet das keinen großen Aufwand, aber du solltest deine Chatbots und deine KI-Inhalte entsprechend kennzeichnen. So bleibt der Umgang mit deinen Kunden ehrlich, und du erfüllst nebenbei eine weitere Vorgabe der KI-Verordnung. Gerade im Kundenkontakt ist Offenheit ohnehin die bessere Strategie, weil verschleierte KI schnell Vertrauen kostet, wenn sie auffliegt.

Was bei Verstößen gegen die KI-Verordnung droht

Kommen wir zu dem Punkt, der Unternehmern am meisten Bauchschmerzen macht, den Bußgeldern. Die KI-Verordnung sieht bei den schwersten Verstößen, also dem Einsatz verbotener KI, Strafen von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes vor.¹ Für weniger schwere Verstöße gibt es niedrigere Stufen. Für kleine und mittlere Unternehmen gelten dabei anteilige Obergrenzen, damit ein Bußgeld nicht gleich die Existenz kostet.

Auch wenn diese Höchstsummen vor allem große Anbieter treffen sollen, ist die Botschaft eindeutig. Die KI-Verordnung ist kein zahnloses Papier. Dazu kommt ein zweites Risiko, das schneller real wird als ein Bußgeld. Wer KI unbedacht einsetzt, riskiert, dass sensible Daten in einem öffentlichen Tool landen, und das ist zugleich ein Datenschutzverstoß mit eigenen Folgen. Die KI-Verordnung und der Datenschutz greifen an dieser Stelle ineinander.

Was du jetzt konkret tun solltest

Die gute Nachricht ist, dass du die wichtigsten Pflichten der KI-Verordnung mit überschaubarem Aufwand erfüllen kannst. Diese Schritte bringen dich auf die sichere Seite.

Verschaff dir zuerst einen Überblick, welche KI-Tools in deinem Betrieb überhaupt genutzt werden. Oft ist das mehr, als die Geschäftsführung denkt, weil einzelne Mitarbeiter eigenständig Tools ausprobieren. Danach schulst du dein Team, damit alle den sicheren Umgang mit KI kennen. Das ist der Kern der KI-Kompetenzpflicht und gleichzeitig der Schritt mit dem größten Nutzen im Alltag.

Lege außerdem klare Regeln fest, welche Daten in welche Tools dürfen und welche auf keinen Fall. Gerade Kundendaten und Gesundheitsdaten haben in einem öffentlichen KI-Tool nichts zu suchen. Halte diese Regeln und deine Schulungen kurz schriftlich fest, damit du im Zweifel nachweisen kannst, dass du deine Pflichten aus der KI-Verordnung ernst nimmst. Mehr braucht es für den Anfang oft nicht.

Ein oft unterschätzter Hebel ist die Wahl des richtigen Tools. Viele kostenlose KI-Dienste verarbeiten deine Eingaben weiter und nutzen sie sogar zum Training ihrer Modelle. Für den beruflichen Einsatz gibt es dagegen Geschäftsversionen, bei denen deine Daten vertraulich bleiben und nicht zum Training verwendet werden. Wer im Betrieb auf solche Varianten setzt, löst gleich zwei Probleme auf einmal, denn er schützt sensible Daten und handelt genau im Sinne dessen, was die KI-Verordnung eigentlich will, nämlich einen verantwortungsvollen Umgang mit KI.

Häufige Fehler, die du vermeiden solltest

Bei vielen Betrieben wiederholen sich dieselben Fehler. Der häufigste ist, KI einfach laufen zu lassen, ohne dem Team je Regeln oder eine Schulung an die Hand zu geben. Ein zweiter Fehler ist, sensible Daten in kostenlose Tools zu tippen, deren Anbieter damit machen können, was sie wollen. Und drittens wird das Thema oft als reine Rechtsfrage abgetan und liegen gelassen, obwohl der wichtigste Schritt, die Schulung des Teams, ganz praktisch ist. Wer diese drei Punkte angeht, hat die KI-Verordnung schon zum großen Teil im Griff.

Die KI-Verordnung ist auch eine Chance

Bei allem Fokus auf Pflichten lohnt sich ein zweiter Blick. Ein Betrieb, der klar regelt, wie KI genutzt wird, arbeitet nicht nur sicherer, sondern oft auch besser. Die Mitarbeiter trauen sich, die Werkzeuge produktiv einzusetzen, weil sie wissen, was erlaubt ist und was nicht. Statt aus Unsicherheit heimlich private Tools zu nutzen, arbeiten alle mit denselben sicheren Werkzeugen.

Wer die KI-Verordnung früh ernst nimmt, verschafft sich außerdem einen Vorsprung gegenüber Wettbewerbern, die das Thema noch vor sich herschieben. Gerade im wirtschaftsstarken Raum Köln und Bonn kann ein sichtbar verantwortungsvoller Umgang mit KI sogar zum Argument gegenüber Kunden werden, die genau auf solche Dinge achten.

Deine nächsten Schritte mit IT-Deol

Verschaff dir zuerst ein ehrliches Bild vom aktuellen Stand. Weißt du, welche KI-Tools in deinem Betrieb genutzt werden? Wurde dein Team jemals im sicheren Umgang mit KI geschult? Und gibt es klare Regeln, welche Daten in ein KI-Tool dürfen? Diese Fragen kosten wenig Zeit und zeigen schnell, wo es hakt.

Auf dieser Grundlage entscheidest du, ob du das intern angehst oder dir Unterstützung holst. Als IT-Systemhaus aus Lohmar helfen wir bei IT-Deol Unternehmen in Köln, Bonn und der Umgebung dabei, KI sicher einzuführen. Wir verschaffen dir den Überblick über die genutzten Tools, schulen dein Team im Sinne der KI-Kompetenzpflicht und richten technische Leitplanken ein, damit sensible Daten geschützt bleiben. Für die rein juristischen Feinheiten arbeiten wir bei Bedarf mit deinem Rechtsberater zusammen, die praktische Umsetzung nehmen wir dir ab.

Die KI-Verordnung klingt zunächst nach Bürokratie, ist für die meisten Betriebe aber gut zu bewältigen. Wer die wenigen richtigen Schritte geht, nutzt die Chancen der KI und bleibt trotzdem auf der sicheren Seite. Für Unternehmen in Köln und Bonn ist das eine kleine Investition mit großer Wirkung, gerade weil das Thema mit jedem Monat wichtiger wird und der frühe Start dir Ruhe und einen Vorsprung verschafft.

---

Häufige Fragen zum Thema KI-Verordnung

Betrifft die KI-Verordnung wirklich auch mein kleines Unternehmen?

Ja, denn die KI-Verordnung nimmt nicht nur Entwickler in die Pflicht, sondern auch alle Betriebe, die fertige KI nutzen, und weil fast jedes Unternehmen heute Tools wie ChatGPT einsetzt, unterstützt IT-Deol aus Lohmar gerade kleine und mittlere Betriebe in Köln und Bonn dabei, die Vorgaben unkompliziert zu erfüllen.

Wir nutzen nur ChatGPT und ähnliche Tools. Reicht das schon für eine Pflicht?

Schon der reine Einsatz solcher Tools macht dich zum Betreiber im Sinne der KI-Verordnung, und damit gilt seit Februar 2025 die KI-Kompetenzpflicht, weshalb IT-Deol dein Team in einer praxisnahen Schulung fit macht, damit alle die Werkzeuge sicher und verantwortungsvoll nutzen.

Was ist die KI-Kompetenzpflicht und was muss ich dafür tun?

Die KI-Kompetenzpflicht der KI-Verordnung verlangt, dass alle Mitarbeitenden, die mit KI arbeiten, ein ausreichendes Grundverständnis der Tools, ihrer Grenzen und Risiken haben, und IT-Deol aus Lohmar setzt das mit kurzen Schulungen und einer knappen Dokumentation um, sodass du die Pflicht im Zweifel auch nachweisen kannst.

Welche Fristen der KI-Verordnung gelten schon und welche kommen noch?

Seit Februar 2025 gelten die Verbote und die KI-Kompetenzpflicht, seit August 2025 die Regeln für große KI-Modelle und der Bußgeldrahmen, während die strengen Auflagen für hochriskante KI per Digital-Omnibus nach hinten verschoben wurden und bei bestimmten Anwendungen erst bis 2028 greifen, und IT-Deol behält diese Fristen für Unternehmen in Köln und Bonn im Blick.

Welche Strafen drohen bei Verstößen gegen die KI-Verordnung?

Bei den schwersten Verstößen sieht die KI-Verordnung Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes vor, für kleinere Verstöße gelten niedrigere Stufen mit anteiligen Obergrenzen für KMU, und IT-Deol aus Lohmar hilft dir, mit den richtigen Maßnahmen gar nicht erst in diese Lage zu kommen.

Sind wir Anbieter oder Betreiber im Sinne der KI-Verordnung?

Als typischer Betrieb, der fertige KI nur einsetzt, bist du Betreiber und nicht Anbieter, was die Pflichten der KI-Verordnung deutlich leichter macht, und IT-Deol klärt für Unternehmen in Köln und Bonn im Zweifel, ob eine bestimmte Nutzung dich doch zum Anbieter mit strengeren Pflichten machen könnte.

Müssen wir kennzeichnen, wenn wir KI im Kundenkontakt einsetzen?

Ja, die KI-Verordnung sieht Transparenzpflichten vor, sodass Kunden erkennen müssen, wenn sie mit einem Chatbot schreiben, und auch KI-generierte Inhalte als solche erkennbar sein sollen, und IT-Deol aus Lohmar hilft dir, deine Chatbots und KI-Inhalte richtig zu kennzeichnen.

Dürfen wir einfach die kostenlose Version von KI-Tools im Betrieb nutzen?

Davon ist abzuraten, weil viele kostenlose Dienste deine Eingaben weiterverarbeiten und zum Training nutzen, was gegen den Gedanken der KI-Verordnung und den Datenschutz läuft, weshalb IT-Deol Unternehmen in Köln und Bonn zu Geschäftsversionen berät, bei denen deine Daten vertraulich bleiben.

Ist die KI-Verordnung nur eine Rechtsfrage für unseren Anwalt?

Nein, denn der wichtigste Schritt ist ganz praktisch, nämlich dein Team zu schulen und den KI-Einsatz zu ordnen, und genau diese Umsetzung nimmt dir IT-Deol aus Lohmar ab, während für rein juristische Feinheiten bei Bedarf dein Rechtsberater hinzugezogen wird.

Wer hilft uns in Köln und Bonn dabei, die KI-Verordnung praktisch umzusetzen?

IT-Deol aus Lohmar ist dein Ansprechpartner für die praktische Umsetzung der KI-Verordnung, von der Bestandsaufnahme der genutzten Tools über die Schulung deines Teams bis zu technischen Leitplanken für den Datenschutz, und bietet eine kostenlose Erstberatung an, in der ihr gemeinsam den Handlungsbedarf klärt.

Quellen

¹ Amt für Veröffentlichungen der EU, EUR-Lex, Verordnung (EU) 2024/1689 (KI-Verordnung), amtliche deutsche Fassung (KI-Kompetenz nach Art. 4, verbotene Praktiken nach Art. 5, Bußgelder bis 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes nach Art. 99, Geltungsdaten nach Art. 113). eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R1689

² Europäische Kommission, „KI-Gesetz“ (amtliche deutschsprachige Übersicht zu Fristen und Pflichten, u. a. Verbote seit 2.2.2025, Governance und Regeln für KI-Modelle seit 2.8.2025, verlängerte Fristen für Hochrisiko-KI in regulierten Produkten bis 2.8.2028). digital-strategy.ec.europa.eu/de/policies/regulatory-framework-ai

Ein normaler Tag im Unternehmen, und plötzlich meldet sich die Buchhaltung: Über Nacht hat sich jemand im Kundenportal angemeldet. Mitten in der Nacht, von einer fremden IP-Adresse. Das Merkwürdige daran ist, dass das Passwort stimmte. Niemand hat etwas geknackt, niemand ist in die Systeme eingebrochen. Der Angreifer hat sich einfach mit gültigen Zugangsdaten eingeloggt. Für viele Betriebe in Köln und Bonn ist das der Moment, in dem sie zum ersten Mal von Credential Stuffing hören.

Wenn du wissen willst, ob dein Unternehmen davon betroffen sein kann, hilft ein nüchterner Blick darauf, wie Credential Stuffing funktioniert. Die gute Nachricht vorweg. Sobald du das Muster verstanden hast, kannst du dich mit ein paar gezielten Maßnahmen wirksam schützen. Und die meisten davon kosten weniger, als du vielleicht denkst.

Was Credential Stuffing ist

Credential Stuffing ist eine Angriffsmethode, bei der Kriminelle riesige Listen gestohlener Zugangsdaten automatisiert bei möglichst vielen Diensten ausprobieren. Der Begriff bedeutet sinngemäß das Vollstopfen von Login-Feldern mit fremden Passwörtern. Die Angreifer knacken dabei nichts. Sie nutzen Benutzernamen und Passwörter, die bei früheren Datenlecks anderer Firmen erbeutet wurden, und testen sie bei deinem Webshop, deinem Kundenportal oder eurem Microsoft-365-Konto.

Der Trick ist einfach und deshalb so wirksam. Sehr viele Menschen nutzen dasselbe Passwort für mehrere Dienste. Wird ein Passwort bei einem beliebigen Onlineshop gestohlen, probieren die Angreifer es überall sonst durch. Genau darauf baut Credential Stuffing. Es braucht keine ausgefeilte Technik, sondern nur eine Liste geklauter Daten und ein Programm, das automatisiert tausende Logins pro Minute testet.

Warum die Wiederverwendung von Passwörtern das Einfallstor ist

Rund 65 Prozent der Nutzer verwenden dasselbe Passwort für mehrere Konten.² Für den Alltag ist das bequem, für die Sicherheit ist es fatal. Sobald ein einziges dieser Passwörter irgendwo im Netz auftaucht, steht damit die Tür zu allen anderen Konten offen, die mit denselben Daten geschützt sind. Ein Mitarbeiter, der sein privates Lieblingspasswort auch fürs Firmenkonto nutzt, wird so unfreiwillig zum Risiko. Und weil das ursprüngliche Leck bei einem ganz anderen Anbieter passiert ist, hat dein Unternehmen davon oft nie erfahren. Genau diese Kette aus fremdem Leck und wiederverwendetem Passwort macht Credential Stuffing so gefährlich.

Warum Credential Stuffing kein klassisches Passwort-Knacken ist

Viele denken bei einem Angriff auf Passwörter an Software, die stur alle Kombinationen durchprobiert. Dieses sogenannte Brute-Force-Verfahren ist langsam, laut und fällt schnell auf. Credential Stuffing arbeitet ganz anders. Hier rät niemand, denn die Angreifer kennen die echten Passwörter bereits aus fremden Datenlecks und probieren sie nur noch an der richtigen Stelle aus. Das ist der Grund, warum Credential Stuffing so effizient und gleichzeitig so unauffällig ist. Es sieht eben nicht aus wie ein Angriff, sondern wie ein ganz normaler Anmeldeversuch mit einem gültigen Passwort.

Warum Credential Stuffing gerade KMU in Köln und Bonn trifft

Man könnte meinen, für so einen automatisierten Massenangriff sind kleine Firmen zu unbedeutend. Das stimmt nicht. Credential Stuffing läuft vollautomatisch und macht keinen Unterschied zwischen Konzern und Handwerksbetrieb. Die Bots testen einfach alles, was ein Login-Feld hat. Kleine und mittlere Unternehmen im Raum Köln und Bonn sind sogar besonders gefährdet, weil sie selten eine Überwachung haben, die verdächtige Anmeldungen bemerkt.

Dazu kommt der eigentliche Schmerzpunkt. Du kannst deine eigenen Systeme mustergültig absichern und trotzdem betroffen sein, weil das geklaute Passwort aus einem fremden Datenleck stammt. Der Angriff nutzt keine Lücke in deiner IT, sondern eine Gewohnheit deiner Mitarbeiter oder Kunden. Genau das macht Credential Stuffing für viele Geschäftsführer so frustrierend, denn der beste eigene Schutz hilft nichts gegen ein Passwort, das längst woanders verloren ging.

Warum du davon oft gar nichts mitbekommst

Ein klassischer Hackerangriff hinterlässt Spuren, ein Alarm geht los, etwas funktioniert nicht mehr. Bei Credential Stuffing ist das anders. Der Angreifer meldet sich mit einem gültigen Passwort an, so wie es dein Mitarbeiter jeden Tag tut. Für das System sieht das nach einem normalen Login aus. Deshalb bleibt der Zugriff oft wochenlang unentdeckt, während im Hintergrund Daten abfließen oder Bestellungen manipuliert werden. Laut dem Verizon Data Breach Investigations Report 2025 gehen inzwischen zwischen 19 und 44 Prozent der Login-Versuche auf großen Anmeldeportalen auf Credential Stuffing zurück.¹ Ein erheblicher Teil dessen, was wie normaler Verkehr aussieht, ist in Wahrheit ein Angriff.

Ein Beispiel aus unserer Region

Stell dir einen Onlinehändler aus dem Raum Köln vor, rund 30 Mitarbeiter, gut laufender Shop. Eines Morgens häufen sich Beschwerden von Kunden, dass in ihren Konten fremde Bestellungen auftauchen. Die IT prüft die Logins und stellt fest, dass sich über Nacht tausende Anmeldeversuche aus dem Ausland gehäuft haben, ein kleiner Teil davon erfolgreich. Niemand hat den Shop gehackt. Die Angreifer hatten schlicht Zugangsdaten aus einem fremden Leck durchprobiert, und weil viele Kunden ihr Passwort mehrfach nutzten, hatten sie Erfolg.

Der Schaden ist real. Rückabwicklungen, verärgerte Kunden, ein ramponierter Ruf und viele Stunden Arbeit. Dabei hätte ein einfacher zweiter Sicherheitsfaktor die meisten dieser Übernahmen verhindert. Genau diese Erfahrung mit Credential Stuffing machen Betriebe in Köln und Bonn immer häufiger.

Wie ein Credential-Stuffing-Angriff abläuft

Der Ablauf eines Credential-Stuffing-Angriffs ist fast immer gleich, auch wenn die Ziele sich unterscheiden.

Am Anfang steht ein Datenleck bei irgendeinem Dienst, oft weit weg von deinem Unternehmen. Die erbeuteten Zugangsdaten landen als sogenannte Combolisten im Darknet, wo sie gehandelt oder frei geteilt werden. Aktuell kursieren rund zwei Milliarden geleakte Zugangsdaten aus solchen Quellen.² Ein Angreifer lädt sich so eine Liste, füttert sie in ein Programm und lässt es automatisiert bei vielen Diensten durchlaufen. Weltweit zählen Sicherheitsforscher rund 26 Milliarden solcher Login-Versuche pro Monat.²

Die Erfolgsquote pro Versuch ist mit 0,1 bis 2 Prozent niedrig, aber bei Millionen von Versuchen bleiben genug Treffer übrig. Für jeden Treffer bekommt der Angreifer Zugang zu einem echten Konto. Was dann passiert, hängt vom Ziel ab. Mal werden Waren auf fremde Rechnung bestellt, mal sensible Daten abgezogen, mal dient das gekaperte Konto als Sprungbrett für den nächsten Angriff, etwa eine täuschend echte E-Mail an die Buchhaltung. So wird aus einem fremden Datenleck ganz konkret dein Problem, und Credential Stuffing verwandelt einen alten Passwortdiebstahl in einen frischen Angriff auf dein Unternehmen.

Was Credential Stuffing für dein Unternehmen bedeutet

Die Folgen eines erfolgreichen Angriffs reichen weit über den einzelnen Zugang hinaus. Wird ein Mitarbeiterkonto übernommen, kann der Angreifer auf E-Mails, Dokumente und interne Systeme zugreifen. Wird ein Kundenkonto gekapert, drohen Betrug, Datenschutzverstöße und ein Vertrauensverlust, der sich nur schwer reparieren lässt. Dazu kommen Ausfallzeiten, Aufwand für die Aufklärung und im schlimmsten Fall Meldepflichten gegenüber Behörden und Betroffenen.

Besonders tückisch ist, dass ein gekapertes Konto selten das Ende der Geschichte ist. Oft ist es erst der Anfang. Aus einem übernommenen Postfach heraus verschicken Angreifer täuschend echte Nachrichten an Kollegen, Kunden oder Lieferanten, weil diese Mails ja von einer echten Adresse kommen. So wird aus dem stillen Zugriff schnell ein Betrugsversuch, dem noch mehr Menschen zum Opfer fallen. Ein einziger Treffer beim Credential Stuffing kann auf diese Weise eine ganze Kette weiterer Angriffe auslösen.

Auch finanziell ist Credential Stuffing kein Kavaliersdelikt. Die Bitkom-Studie „Wirtschaftsschutz 2025″ beziffert den jährlichen Schaden für die deutsche Wirtschaft auf 289,2 Milliarden Euro, und gestohlene Zugangsdaten gehören zu den häufigsten Einfallstoren überhaupt.³ Für ein kleines oder mittleres Unternehmen kann schon ein einzelner Vorfall schnell fünfstellig werden, wenn man Arbeitszeit, Schaden und Folgekosten zusammenrechnet.

Woran du einen Credential-Stuffing-Angriff erkennst

Auch wenn Credential Stuffing unauffällig ist, gibt es Anzeichen, an denen du einen laufenden Angriff erkennen kannst. Das deutlichste ist eine plötzliche Welle fehlgeschlagener Anmeldungen. Wenn in kurzer Zeit hunderte oder tausende Logins scheitern, testet dort mit hoher Wahrscheinlichkeit ein Bot eine Combolist durch. Auffällig sind auch Anmeldungen zu ungewöhnlichen Zeiten, etwa mitten in der Nacht, oder aus Ländern, in denen dein Unternehmen gar nicht tätig ist.

Ein weiteres Warnsignal sind Meldungen von Kunden oder Mitarbeitern, die von fremden Bestellungen, geänderten Passwörtern oder seltsamen E-Mails aus ihrem Konto berichten. Spätestens dann läuft der Angriff nicht mehr im Verborgenen. Das Problem ist, dass viele kleine Betriebe diese Zeichen gar nicht sehen, weil niemand die Logins auswertet. Genau hier setzt eine Überwachung an, die verdächtige Muster automatisch erkennt und meldet, statt darauf zu warten, dass der Schaden von selbst auffällt.

So schützt du dich vor Credential Stuffing

Die gute Nachricht ist, dass ein paar gezielte Maßnahmen den allergrößten Teil dieser Angriffe ins Leere laufen lassen.

Der wichtigste Schutz vor Credential Stuffing ist die Zwei-Faktor-Authentifizierung. Selbst wenn ein Angreifer das richtige Passwort hat, scheitert er am zweiten Faktor, etwa einem Code auf dem Handy. Damit fällt der Großteil aller Angriffe einfach aus. Noch einen Schritt weiter gehen Passkeys, bei denen gar kein Passwort mehr im klassischen Sinn existiert und die deshalb nicht geklaut und durchprobiert werden können.

Genauso wichtig sind einzigartige Passwörter. Wenn jedes Konto ein eigenes, starkes Passwort hat, bringt ein einzelnes Leck den Angreifern nichts. Ein Passwort-Manager nimmt deinen Mitarbeitern die Arbeit ab, sich das alles zu merken. Ergänzend lohnt sich eine Überwachung, die meldet, wenn Zugangsdaten deines Unternehmens in einem bekannten Leck auftauchen. So erfährst du von der Gefahr, bevor die Angreifer sie nutzen. Auf technischer Seite helfen eine Begrenzung der Login-Versuche und ein Bot-Schutz, der die typischen automatisierten Massenanfragen erkennt und blockiert.

Technik allein reicht aber nicht. Deine Mitarbeiter müssen verstehen, warum ein eigenes Passwort für jedes Konto so wichtig ist und warum das private Passwort im Firmenkonto nichts zu suchen hat. Eine kurze, verständliche Sensibilisierung wirkt hier oft mehr als jede Vorschrift, die niemand liest. Am besten legst du klare Regeln fest, die für alle gelten, von der Buchhaltung bis zur Geschäftsleitung, und machst die Zwei-Faktor-Authentifizierung zur Pflicht statt zur freiwilligen Option. So schließt du die Lücke, die Credential Stuffing überhaupt erst nutzbar macht.

Häufige Fehler, die du vermeiden solltest

Bei vielen Betrieben wiederholen sich dieselben Fehler. Der häufigste ist, sich allein auf das Passwort zu verlassen und auf einen zweiten Faktor zu verzichten. Ein zweiter Fehler ist, die Wiederverwendung von Passwörtern zu dulden, weil niemand die Mitarbeiter darauf anspricht. Und drittens fehlt oft jede Überwachung, sodass ein übernommenes Konto erst auffällt, wenn der Schaden schon da ist. Wer diese drei Punkte angeht, macht sich für Credential Stuffing zu einem unattraktiven Ziel.

Deine nächsten Schritte mit IT-Deol

Verschaff dir zuerst ein ehrliches Bild vom aktuellen Stand. Ist bei euch überall die Zwei-Faktor-Authentifizierung aktiv, vor allem beim Zugang zu E-Mail und wichtigen Systemen? Nutzen deine Mitarbeiter einzigartige Passwörter oder immer wieder dieselben? Und würdest du überhaupt merken, wenn sich jemand mit gültigen Daten unbefugt anmeldet? Diese Fragen kosten wenig Zeit und zeigen schnell, wo es hakt.

Auf dieser Grundlage entscheidest du, ob du das intern angehst oder dir Unterstützung holst. Als IT-Systemhaus aus Lohmar richten wir bei IT-Deol für Unternehmen in Köln, Bonn und der Umgebung die Zwei-Faktor-Authentifizierung ein, führen einen Passwort-Manager ein und überwachen, ob eure Zugangsdaten in Lecks auftauchen. So wird aus einem diffusen Risiko ein Thema, das du im Griff hast.

Credential Stuffing lebt davon, dass viele Unternehmen es nicht auf dem Schirm haben. Wer die wenigen richtigen Hebel umlegt, nimmt den Angreifern ihre Grundlage und macht das eigene Unternehmen für automatisierte Angriffe schlicht uninteressant. Für Betriebe in Köln und Bonn ist der Schutz vor Credential Stuffing eine kleine Investition mit großer Wirkung, gerade weil ein einziger vermiedener Vorfall die Kosten meist um ein Vielfaches übersteigt.

---

Häufige Fragen zum Thema Credential Stuffing

Was genau ist Credential Stuffing und warum sollte ich als Geschäftsführer davon wissen?

Credential Stuffing ist ein automatisierter Angriff, bei dem Kriminelle gestohlene Zugangsdaten aus fremden Datenlecks massenhaft bei anderen Diensten durchprobieren, und IT-Deol aus Lohmar klärt Unternehmen in Köln und Bonn darüber auf, weil schon ein einziger Treffer den Zugang zu Firmenkonten öffnen kann.

Kann mein Unternehmen betroffen sein, obwohl wir selbst nie gehackt wurden?

Ja, und genau das ist der tückische Kern von Credential Stuffing, denn die Angreifer nutzen Passwörter, die bei ganz anderen Anbietern gestohlen wurden, weshalb IT-Deol prüft, ob Zugangsdaten aus deinem Betrieb bereits in bekannten Lecks kursieren und für einen Angriff bereitstehen.

Warum bemerke ich einen solchen Angriff auf mein Firmennetzwerk oft gar nicht?

Beim Credential Stuffing meldet sich der Angreifer mit einem gültigen Passwort an, sodass der Zugriff für dein System wie ein normaler Login aussieht, und deshalb richtet IT-Deol aus Lohmar für Unternehmen in Köln und Bonn eine Überwachung ein, die verdächtige Anmeldemuster automatisch erkennt.

Sind wirklich auch kleine und mittlere Betriebe in Köln und Bonn ein Ziel?

Credential Stuffing läuft vollautomatisch und testet jedes Login-Feld, egal ob Konzern oder Handwerksbetrieb, weshalb gerade kleinere Unternehmen ohne eigene Überwachung gefährdet sind und von IT-Deol einen schnellen und bezahlbaren Einstieg in wirksamen Schutz bekommen.

Was ist der wichtigste Schutz gegen Credential Stuffing in meinem Unternehmen?

Der wichtigste Schutz ist die Zwei-Faktor-Authentifizierung, denn selbst mit dem richtigen Passwort scheitert ein Angreifer am zweiten Faktor, und IT-Deol aus Lohmar richtet diese Absicherung für Betriebe in Köln und Bonn ein, sodass der Großteil aller Angriffe ins Leere läuft.

Reicht ein sicheres, langes Passwort nicht schon aus?

Nein, denn beim Credential Stuffing wird das Passwort nicht geknackt, sondern ist bereits bekannt, weshalb auch ein langes Passwort nichts nützt, wenn es mehrfach verwendet wird, und IT-Deol setzt deshalb auf einzigartige Passwörter je Konto, einen Passwort-Manager und einen zweiten Faktor.

Wie erkenne ich, dass gerade ein Angriff auf unsere Logins läuft?

Typische Anzeichen für Credential Stuffing sind eine plötzliche Welle fehlgeschlagener Anmeldungen, Logins zu ungewöhnlichen Zeiten oder aus fremden Ländern und Meldungen über fremde Aktivitäten in Konten, und IT-Deol aus Lohmar hilft Unternehmen in Köln und Bonn, diese Muster frühzeitig sichtbar zu machen.

Welchen Schaden kann ein einziger erfolgreicher Angriff in meinem Betrieb anrichten?

Ein durch Credential Stuffing übernommenes Konto kann für Betrug, Datendiebstahl und weitere Angriffe aus einem echten Postfach heraus genutzt werden, und weil gestohlene Zugangsdaten laut Bitkom zu den häufigsten Einfallstoren zählen, wird ein einzelner Vorfall für ein KMU schnell fünfstellig.

Sind Passkeys eine echte Alternative zum klassischen Passwort?

Ja, denn bei Passkeys existiert kein klassisches Passwort mehr, das gestohlen und durchprobiert werden könnte, wodurch Credential Stuffing ins Leere läuft, und IT-Deol aus Lohmar berät Unternehmen in Köln und Bonn, wo sich der Umstieg auf Passkeys im Alltag bereits lohnt.

Wer hilft mir als mittelständisches Unternehmen in Köln und Bonn beim Schutz vor Credential Stuffing?

IT-Deol aus Lohmar ist dein Ansprechpartner für Zwei-Faktor-Authentifizierung, Passwort-Management, Leak-Überwachung und Managed Security Services und bietet eine kostenlose Erstberatung an, in der gemeinsam analysiert wird, wie angreifbar deine Zugänge heute sind und welche Schritte den größten Effekt bringen.

---

Quellen

¹ Verizon, „2025 Data Breach Investigations Report“ (22 % der Breaches über gestohlene Zugangsdaten; 19 % bis 44 % der Login-Versuche auf Anmeldeportalen durch Credential Stuffing). https://www.verizon.com/business/resources/reports/dbir/

² Deepstrike, „Credential Stuffing Statistics“ (rund 2 Mrd. geleakte Zugangsdaten in Umlauf; ca. 26 Mrd. Stuffing-Login-Versuche pro Monat laut Akamai; rund 65 % der Nutzer verwenden Passwörter mehrfach). https://deepstrike.io/blog/credential-stuffing-statistics

³ Bitkom e. V., Studie „Wirtschaftsschutz 2025″ (Gesamtschaden 289,2 Mrd. Euro; gestohlene Zugangsdaten als häufiges Einfallstor). https://www.bitkom.org/Bitkom/Publikationen/Wirtschaftsschutz

Es ist ein ganz normaler Dienstagmorgen. Eine E-Mail landet im Postfach, angeblich von der Personalabteilung, mit der Bitte, kurz die neuen Urlaubsregeln im verlinkten Portal zu bestätigen. Ein Klick, die Zugangsdaten eingegeben, fertig. Zum Glück war es nur eine Phishing-Simulation und kein echter Angriff. Für viele Betriebe in Nürnberg und Köln ist genau dieser Moment der Augenöffner, weil er zeigt, wie schnell selbst aufmerksame Mitarbeiter ins Netz gehen.

Wenn du überlegst, ob sich so ein Test für dein Unternehmen lohnt, hilft ein nüchterner Blick darauf, was eine Phishing-Simulation wirklich leistet und wo ihre Grenzen liegen. Richtig eingesetzt macht sie aus deinem Team die stärkste Verteidigungslinie, die du hast. Falsch eingesetzt verpufft sie oder sorgt sogar für Frust. Wenn du den Unterschied einmal verstanden hast, kannst du das Thema gezielt angehen.

Was eine Phishing-Simulation ist

Eine Phishing-Simulation ist ein geplanter, harmloser Testangriff auf die eigenen Mitarbeiter. Das Unternehmen verschickt gefälschte E-Mails, die echten Betrugsmails nachempfunden sind, und beobachtet, wer klickt, wer Daten eingibt und wer die Mail meldet. Niemand kommt zu Schaden, denn hinter den Links steckt keine Schadsoftware, sondern eine Auswertung. Wer auf eine simulierte Mail hereinfällt, landet meist auf einer kurzen Lernseite, die erklärt, woran die Fälschung zu erkennen gewesen wäre.

Der Sinn dahinter ist einfach. Phishing funktioniert, weil es Menschen unter Druck setzt und Vertrauen ausnutzt, nicht weil es technische Lücken findet. Eine Phishing-Simulation trainiert genau diese menschliche Seite. Sie macht die Gefahr erlebbar, statt sie nur in einer Schulung zu beschreiben. Und sie liefert dir zum ersten Mal echte Zahlen darüber, wie anfällig dein Betrieb tatsächlich ist.

Warum der Mensch die wichtigste Verteidigungslinie ist

Die meisten erfolgreichen Cyberangriffe beginnen nicht mit einem genialen Hack, sondern mit einer E-Mail, auf die jemand klickt. Firewalls, Virenscanner und Spamfilter fangen viel ab, aber eben nicht alles. Sobald eine gut gemachte Mail durchrutscht, entscheidet ein einzelner Mensch am Bildschirm, ob der Angriff gelingt. Genau deshalb ist der Mensch die letzte und wichtigste Verteidigungslinie. Eine Phishing-Simulation setzt genau dort an, wo Technik allein nicht mehr weiterhilft, und verwandelt ein Risiko in eine Stärke.

Warum das Thema gerade Unternehmen in Nürnberg und Köln betrifft

Man könnte meinen, Cyberkriminelle hätten es vor allem auf große Konzerne abgesehen. Das Gegenteil stimmt. Kleine und mittlere Unternehmen sind besonders im Visier. Laut dem BSI-Lagebericht 2025 sind bei Ransomware-Angriffen rund 80 Prozent der Betroffenen kleine und mittelgroße Betriebe, und im Schnitt erfüllen kleinere Firmen nur etwa 56 Prozent der Basisanforderungen an IT-Sicherheit.³ Gerade in wirtschaftsstarken Räumen wie der Metropolregion Nürnberg und dem Großraum Köln, wo unzählige Mittelständler, Handwerksbetriebe und Dienstleister sitzen, ist das eine gefährliche Mischung.

Dazu kommt, dass diese Betriebe zwar Geld und wertvolle Daten haben, aber selten eine eigene Sicherheitsabteilung. Die Angreifer wissen das und wählen ihre Ziele danach aus. Ein einziger unbedachter Klick reicht, um ihnen die Tür zu öffnen. Eine Phishing-Simulation deckt auf, wie leicht dieser Klick im eigenen Haus passieren kann, bevor es ein echter Angreifer tut.

Warum Phishing heute gefährlicher ist als je zuvor

Die Bitkom-Studie „Wirtschaftsschutz 2025″ beziffert den jährlichen Schaden für die deutsche Wirtschaft auf 289,2 Milliarden Euro, und Phishing gehört mit 22 Prozent betroffener Unternehmen zu den häufigsten Einfallstoren.¹ Früher waren solche Mails oft an holprigem Deutsch und plumpen Absendern zu erkennen. Heute schreibt künstliche Intelligenz fehlerfreie, persönlich zugeschnittene Nachrichten, die kaum noch auffallen. Angreifer werten öffentlich verfügbare Informationen über dein Unternehmen aus und bauen daraus Mails, die täuschend echt wirken.

Genau deshalb reicht es nicht mehr, einmal im Jahr eine Warnung an alle zu verschicken. Das Wissen verblasst, die Angriffe werden besser, und die nächste gut gemachte Mail trifft auf ein Team, das längst wieder unaufmerksam geworden ist. Eine Phishing-Simulation hält das Bewusstsein wach und macht aus einer abstrakten Warnung eine konkrete Erfahrung.

Ein Beispiel aus unserer Region

Stell dir einen mittelständischen Maschinenbauer aus dem Raum Nürnberg vor, rund 120 Mitarbeiter, gut aufgestellt. Die Geschäftsführung ist überzeugt, dass die eigene Belegschaft für Betrugsmails längst sensibilisiert ist. Dann läuft die erste Phishing-Simulation, eine gefälschte Mail der Buchhaltung mit der Bitte, eine geänderte Bankverbindung zu bestätigen. Fast jeder Dritte klickt, mehrere geben sogar ihre Zugangsdaten ein.

Es entsteht kein realer Schaden, aber der Weckruf sitzt. Ein halbes Jahr und mehrere Durchläufe später klickt nur noch ein kleiner Teil der Belegschaft, und die Zahl der gemeldeten Verdachtsmails ist deutlich gestiegen. Genau das ist der Punkt. Die Belegschaft hat nicht durch eine Theorie gelernt, sondern durch das eigene Erlebnis. Und dieselbe Erfahrung machen Betriebe im Großraum Köln genauso wie in Franken.

Wie eine Phishing-Simulation abläuft

Eine gute Phishing-Simulation folgt einem klaren Muster, auch wenn die Details je nach Unternehmen variieren. Wichtig ist, dass sie kein einmaliger Schuss ins Blaue ist, sondern ein geplanter Ablauf mit einem klaren Ziel.

Von der Planung bis zur Auswertung

Am Anfang steht die Planung. Gemeinsam wird festgelegt, welche Abteilungen getestet werden, wie realistisch die Mails sein sollen und welche Szenarien zum Betrieb passen. Eine Mail an die Buchhaltung sieht anders aus als eine an den Vertrieb oder an die Geschäftsleitung. Danach folgt der erste Testlauf, meist ohne Vorwarnung, um einen ehrlichen Ausgangswert zu bekommen. Dieser erste Wert zeigt, wo dein Unternehmen wirklich steht, und nicht, wo es zu stehen glaubt.

Die Szenarien einer Phishing-Simulation orientieren sich an echten Maschen. Das reicht von der angeblichen Paketbenachrichtigung über die gefälschte Rechnung eines bekannten Lieferanten bis zur dringenden Bitte des Chefs, schnell einen Gutschein zu kaufen. Je näher die Mail am Arbeitsalltag der jeweiligen Abteilung liegt, desto aussagekräftiger ist das Ergebnis. Genau deshalb bringt eine Vorlage von der Stange weniger als eine Mail, die auf euer Unternehmen zugeschnitten ist.

Klickt jemand auf einen Link in der Phishing-Simulation, wird er nicht bloßgestellt, sondern landet auf einer kurzen Lernseite. Dort steht, woran die Mail zu erkennen war und worauf man beim nächsten Mal achten sollte. Dieser Moment direkt nach dem Klick ist der wertvollste, weil das Erlebnis noch frisch ist und im Kopf bleibt. Zum Schluss steht die Auswertung. Wie viele haben geklickt, wie viele Daten eingegeben, wie viele die Mail gemeldet? Aus diesen Zahlen entsteht ein Bild, das du über die Zeit verfolgen kannst.

Entscheidend ist die Wiederholung. Eine einzelne Phishing-Simulation ist nur eine Momentaufnahme. Erst wenn du regelmäßig testest, mit wechselnden Szenarien über einen längeren Zeitraum, wird aus dem Test ein echter Trainingseffekt. Aus einer Prüfung wird so nach und nach ein Reflex, der im Ernstfall greift.

Was du zu Datenschutz und Betriebsrat wissen musst

Eine Phishing-Simulation ist in Deutschland grundsätzlich erlaubt, aber es gibt Spielregeln, die du kennen solltest. Sobald du auswertest, wer geklickt hat, verarbeitest du personenbezogene Daten, und damit greift die DSGVO. Der sauberste Weg ist eine anonyme oder aggregierte Auswertung, bei der du die Klickrate der Abteilung siehst, aber nicht einzelne Namen an den Pranger stellst.

Wenn es in deinem Betrieb einen Betriebsrat gibt, solltest du ihn früh einbinden, denn eine Phishing-Simulation berührt die Leistungs- und Verhaltenskontrolle der Mitarbeiter und ist damit mitbestimmungspflichtig. Das klingt nach Aufwand, ist in der Praxis aber schnell geklärt, wenn von Anfang an klar ist, dass niemand bestraft wird und es allein ums Lernen geht. Kommuniziere offen, dass getestet wird, ohne den genauen Zeitpunkt zu verraten. So bleibt die Phishing-Simulation rechtssicher und wird von der Belegschaft als faire Übung akzeptiert statt als heimliche Überwachung.

Was eine Phishing-Simulation wirklich bringt

Die Wirkung ist gut belegt. In einer viel zitierten Untersuchung sank der Anteil der Mitarbeiter, die in einer realen Umgebung sensible Daten preisgaben, nach gezieltem Simulationstraining von 41 auf 13 Prozent.² Andere Studien zeigen ein ähnliches Bild. Wer regelmäßig übt, klickt seltener und meldet verdächtige Mails häufiger. Das Team entwickelt ein Gespür dafür, wann etwas nicht stimmt.

Besonders aufschlussreich ist fast immer der allererste Durchlauf. Viele Geschäftsführer rechnen mit einer Handvoll unaufmerksamer Kollegen und sind überrascht, wenn ein erheblicher Teil der Belegschaft klickt. Diese ehrliche Ausgangszahl ist keine schlechte Nachricht, sondern der eigentliche Startpunkt. Sie zeigt schwarz auf weiß, wie viel Luft nach oben da ist, und sie macht den Fortschritt der nächsten Monate erst messbar.

Ehrlich ist aber auch, dass eine Phishing-Simulation kein Selbstläufer ist. Der Effekt hält nicht ewig. In Langzeitstudien fielen manche Personen im zweiten Durchlauf wieder auf simulierte Angriffe herein. Auch die Selbstüberschätzung ist ein bekanntes Problem. Viele Mitarbeiter sind fest überzeugt, niemals auf Phishing hereinzufallen, scheitern dann aber im Test. Eine Phishing-Simulation wirkt also nur dann dauerhaft, wenn sie kein einmaliges Ereignis bleibt, sondern zu einer festen Routine wird und von verständlichen Schulungen begleitet ist.

So holst du das Beste aus einer Phishing-Simulation heraus

Damit sich der Aufwand lohnt, kommt es auf ein paar Punkte an. Teste regelmäßig statt einmalig, denn nur Wiederholung schafft einen bleibenden Effekt. Halte die Mails realistisch und passe sie an die einzelnen Abteilungen an, sonst lernt niemand etwas Praxisnahes. Kombiniere die Phishing-Simulation mit kurzen, verständlichen Schulungen, damit die Mitarbeiter nicht nur ertappt werden, sondern auch wissen, wie es besser geht.

Ganz entscheidend ist der Umgang mit denen, die klicken. Wer sich blamiert fühlt, meldet künftige Verdachtsfälle aus Angst lieber gar nicht. Deshalb gehören keine Namen an den Pranger und keine Strafen dazu. Eine gute Phishing-Simulation schafft eine Kultur, in der Nachfragen und Melden selbstverständlich sind. Mach außerdem Fortschritte sichtbar. Wenn die Klickrate von Test zu Test sinkt, ist das ein Erfolg, den das ganze Team sehen darf und der zusätzlich motiviert.

Hilfreich ist es auch, einen einfachen Melde-Weg einzurichten, etwa einen Knopf im Mailprogramm, mit dem verdächtige Nachrichten mit einem Klick gemeldet werden. So wird aus der passiven Erkenntnis eine aktive Handlung. Eine Phishing-Simulation zeigt dann nicht nur, wer klickt, sondern auch, wer mitdenkt und meldet, und genau dieses Melden ist im Ernstfall Gold wert, weil deine IT dadurch früh von einem laufenden Angriff erfährt.

Häufige Fehler, die du vermeiden solltest

Bei vielen Betrieben wiederholen sich dieselben Fehler. Der häufigste ist die einmalige Aktion. Eine einzige Phishing-Simulation im Jahr bringt kaum etwas, weil der Effekt schnell verfliegt. Ein zweiter Fehler ist das Bloßstellen einzelner Mitarbeiter, das Vertrauen zerstört und dazu führt, dass Verdachtsfälle gar nicht mehr gemeldet werden. Und drittens läuft der Test oft ohne begleitende Schulung. Dann wissen die Mitarbeiter zwar, dass sie geklickt haben, aber nicht, wie sie es künftig besser machen. Wer diese drei Fehler vermeidet, holt das meiste aus einer Phishing-Simulation heraus.

Deine nächsten Schritte mit IT-Deol

Verschaff dir zuerst ein ehrliches Bild vom aktuellen Stand. Wie gut erkennt dein Team verdächtige Mails heute wirklich? Gibt es einen klaren Weg, um eine verdächtige Nachricht zu melden? Und wird das Thema regelmäßig aufgefrischt oder nur einmal beim Onboarding erwähnt? Diese Fragen kosten wenig Zeit und zeigen schnell, wo es hakt.

Auf dieser Grundlage entscheidest du, ob du das intern angehst oder dir Unterstützung holst. Als IT-Systemhaus aus Lohmar begleiten wir bei IT-Deol Unternehmen in Köln, Nürnberg und der jeweiligen Umgebung von der ersten Phishing-Simulation bis zum laufenden Awareness-Programm. Wir planen die Tests, werten sie verständlich aus und verbinden sie mit kurzen Schulungen, die im Alltag hängen bleiben.

Eine Phishing-Simulation ist keine Schikane für deine Mitarbeiter, sondern eine Chance. Sie verwandelt die vermeintlich schwächste Stelle im Unternehmen in deine stärkste Verteidigung. Für Betriebe in Nürnberg und Köln ist das eine Investition, die sich in aller Regel schnell auszahlt.

---

Häufige Fragen zum Thema Phishing-Simulation

Welche Schwachstelle in meiner IT-Sicherheit wird gerade am meisten unterschätzt?

Die eigenen Mitarbeitenden sind aktuell das häufigste Einfallstor für Cyberangriffe, weil kein Filter einen unbedachten Klick verhindert, und genau deshalb setzt IT-Deol aus Lohmar für Unternehmen in Köln und Nürnberg auf eine Phishing-Simulation, die das Verhalten der Belegschaft realistisch testet und gezielt verbessert.

Warum reichen Firewall und Spamfilter zum Schutz meines Firmennetzwerks nicht mehr aus?

Technische Schutzmaßnahmen fangen viel ab, aber sobald eine gut gemachte Betrugsmail durchrutscht, entscheidet ein Mensch am Bildschirm über den Erfolg des Angriffs, weshalb eine Phishing-Simulation von IT-Deol genau diese menschliche Verteidigungslinie in Betrieben aus Köln und Nürnberg trainiert.

Was genau ist eine Phishing-Simulation und wie läuft sie in meinem Unternehmen ab?

Eine Phishing-Simulation ist ein geplanter, harmloser Testangriff, bei dem gefälschte E-Mails an die Belegschaft verschickt und die Reaktionen ausgewertet werden, und IT-Deol aus Lohmar plant diese Tests, wertet sie verständlich aus und verbindet sie mit kurzen Schulungen, die im Arbeitsalltag hängen bleiben.

Wie erkenne ich, ob meine Mitarbeitenden in Köln oder Nürnberg wirklich gegen Phishing gewappnet sind?

Erst eine Phishing-Simulation liefert eine ehrliche Ausgangszahl, denn viele Geschäftsführer sind überrascht, wie hoch die Klickrate im ersten Durchlauf ausfällt, und IT-Deol nutzt genau diesen Wert als Startpunkt, um den Fortschritt der folgenden Monate messbar zu machen.

Wie oft sollte ich eine solche Simulation durchführen, damit sie wirklich etwas bringt?

Eine einzelne Phishing-Simulation ist nur eine Momentaufnahme, deren Effekt schnell verfliegt, weshalb IT-Deol aus Lohmar Unternehmen in der Region zu regelmäßigen Durchläufen mit wechselnden Szenarien rät, denn erst die Wiederholung macht aus einem Test einen dauerhaften Trainingseffekt.

Ist eine Phishing-Simulation in Deutschland überhaupt erlaubt und was muss ich beim Datenschutz beachten?

Eine Phishing-Simulation ist grundsätzlich erlaubt, verarbeitet aber personenbezogene Daten und fällt damit unter die DSGVO, weshalb IT-Deol grundsätzlich anonym oder aggregiert auswertet und den Betriebsrat früh einbindet, damit der Test rechtssicher bleibt und von der Belegschaft als faire Übung akzeptiert wird.

Wie gehe ich mit Mitarbeitenden um, die im Test auf die gefälschte Mail hereinfallen?

Wer sich blamiert fühlt, meldet künftige Verdachtsfälle aus Angst gar nicht mehr, deshalb verzichtet IT-Deol bei jeder Phishing-Simulation bewusst auf Namen am Pranger und Strafen und schafft stattdessen eine Kultur, in der Nachfragen und Melden für Teams in Köln und Nürnberg selbstverständlich werden.

Bringt eine Phishing-Simulation nachweisbar etwas oder ist das nur ein netter Test?

Studien belegen die Wirkung deutlich, so sank in einer viel zitierten Untersuchung der Anteil der Mitarbeitenden, die sensible Daten preisgaben, nach gezieltem Simulationstraining von 41 auf 13 Prozent, und IT-Deol aus Lohmar macht diesen Fortschritt für Ihr Unternehmen über die Zeit sichtbar.

Warum sind gerade kleine und mittlere Betriebe in meiner Region so gefährdet?

Laut BSI-Lagebericht 2025 sind rund 80 Prozent der Ransomware-Betroffenen kleine und mittelgroße Betriebe, die selten eine eigene Sicherheitsabteilung haben, weshalb IT-Deol mit einer Phishing-Simulation gerade Mittelständlern in Köln, Nürnberg und Umgebung einen schnellen und bezahlbaren Einstieg in mehr Sicherheit bietet.

Wer hilft mir als mittelständisches Unternehmen in Köln und Nürnberg bei der Umsetzung einer Phishing-Simulation?

IT-Deol aus Lohmar ist der Ansprechpartner für Phishing-Simulationen, Security-Awareness-Trainings und Managed Security Services und bietet eine kostenlose Erstberatung an, in der gemeinsam analysiert wird, wie anfällig Ihr Unternehmen heute ist und welche Schritte den größten Effekt bringen.

Quellen

¹ Bitkom e. V., Studie „Wirtschaftsschutz 2025″ (Gesamtschaden 289,2 Mrd. Euro; Phishing bei 22 % der Unternehmen). https://www.bitkom.org/Bitkom/Publikationen/Wirtschaftsschutz

² Computer Weekly, „Was Phishing-Simulationen in Unternehmen bewirken“ (Rückgang der Datenpreisgabe von 41 % auf 13 % nach Simulationstraining, PhishGuru-Studie). https://www.computerweekly.com/de/meinung/Was-Phishing-Simulationen-in-Unternehmen-bewirken

³ BSI, „Die Lage der IT-Sicherheit in Deutschland 2025″ (rund 80 % der Ransomware-Betroffenen sind KMU; kleinere Betriebe erfüllen im Schnitt etwa 56 % der Basisanforderungen). https://www.bsi.bund.de/

Oft fängt es mit einem ganz normalen Anruf an. Am Apparat meldet sich dein Geschäftsführer. Stimme, Tonfall, sogar die typische kleine Ungeduld, alles passt. Es gehe um eine vertrauliche Sache, die eilig sei, das Geld müsse noch heute raus. Für viele mittelständische Betriebe in Köln, Bonn und dem Umland ist das der Moment, in dem ein bis dahin abstraktes Thema plötzlich sehr konkret wird, denn am anderen Ende sitzt gar nicht der Chef, sondern ein Deepfake-Betrüger mit einer künstlich erzeugten Stimme.

Wenn dir so etwas schon passiert ist oder du damit rechnest, lohnt sich ein nüchterner Blick auf die Frage, wie diese Masche wirklich funktioniert. Deepfake-Betrug klingt nach Science-Fiction, folgt aber einem klaren Muster. Wenn du dieses Muster einmal verstanden hast, kannst du das Thema als Geschäftsführer deutlich gelassener angehen.

Worum es bei Deepfake-Betrug geht

Deepfake setzt sich aus „Deep Learning“ und „Fake“ zusammen. Gemeint sind Bilder, Videos oder Tonaufnahmen, die eine künstliche Intelligenz so überzeugend fälscht, dass sie kaum noch von echtem Material zu unterscheiden sind. Die KI lernt aus vorhandenem Material, etwa aus einem Vortrag, einem Interview auf der Website oder einer Sprachnachricht, und erzeugt daraus eine neue Stimme oder ein neues Gesicht, das sagt und tut, was der Angreifer will.

Vor ein paar Jahren brauchte man dafür teure Software und viel Rechenleistung. Heute reichen frei verfügbare Tools und ein kurzer Schnipsel. Für eine geklonte Stimme genügen oft weniger als 30 Sekunden Originalmaterial. Und Material gibt es reichlich, etwa LinkedIn-Videos, Podcast-Auftritte, das Grußwort auf YouTube oder den Vortrag auf der Messe. Alles, was du öffentlich sagst, kann zum Rohstoff für deine digitale Kopie werden.

Warum eine bekannte Stimme zur Schwachstelle wird

Die Masche selbst ist nicht neu. Den sogenannten CEO-Fraud, also gefälschte Anweisungen im Namen der Chefetage, gibt es seit Jahren. Früher lief das über E-Mails, und aufmerksame Mitarbeiter erkannten den Betrug an der falschen Absenderadresse, an Rechtschreibfehlern oder am ungewöhnlichen Ton.

Deepfake räumt genau diese Warnsignale weg. Jetzt kommt die Anweisung nicht mehr als Text, sondern als Anruf mit der echten Stimme oder als Video mit dem echten Gesicht. Das Vertrauen, das wir einer bekannten Stimme entgegenbringen, wird zur Schwachstelle. Wir sind darauf trainiert, einem Menschen zu glauben, den wir hören und sehen. Genau diese uralte Intuition führt hier in die Irre.

Warum das Thema gerade Köln, Bonn und den Mittelstand trifft

Man könnte meinen, so etwas passiert nur den ganz Großen. Das Gegenteil stimmt. Kleine und mittlere Unternehmen sind für Deepfake-Betrüger oft die attraktiveren Ziele, und der Wirtschaftsraum Köln Bonn ist voll davon. Handwerksbetriebe mit solidem Umsatz, Agenturen, Kanzleien, Zulieferer und familiengeführte Firmen mit gewachsenen Strukturen gehören dazu.

Diese Betriebe haben Geld auf dem Konto, aber selten eine eigene IT-Sicherheitsabteilung. Die Wege sind kurz, man kennt sich, man vertraut sich. Genau das nutzen die Täter aus. Wenn die Buchhaltung gewohnt ist, dass der Chef auch mal spontan per Anruf eine Zahlung anweist, fällt ein gefälschter Anruf weniger auf als in einem Konzern mit festen Freigabeprozessen. Dazu liegen die Kontaktdaten offen, ob im Impressum, auf der Team-Seite, im Handelsregister oder in den sozialen Medien. Wer eine Firma ins Visier nimmt, findet dort meist heraus, wer Geschäftsführer ist, wer in der Buchhaltung sitzt und wie die Leute heißen.

Warum Deepfake heute gefährlicher ist als je zuvor

Vor zehn Jahren war ein geklontes Video noch aufwändig und teuer. Heute macht das eine Software in Minuten, und die Ergebnisse werden ständig besser. Die Bitkom-Studie „Wirtschaftsschutz 2025″ beziffert den jährlichen Schaden für die deutsche Wirtschaft auf 289,2 Milliarden Euro, der größte Teil davon durch Cyberangriffe. Vier Prozent der befragten Unternehmen waren bereits direkt von Deepfakes betroffen, drei Prozent von automatisierten Betrugsanrufen.² Das klingt zunächst nach wenig, ist aber eine völlig neue Angriffsart, die vor kurzem in keiner Statistik auftauchte. Und das sind nur die gemeldeten Fälle. Viele Firmen sprechen aus Scham oder Sorge um den Ruf gar nicht darüber.

Ein Beispiel aus unserer Region

Stell dir einen mittelständischen Zulieferer im Kölner Umland vor, 40 Mitarbeiter, solide aufgestellt. Freitag, kurz vor Feierabend. Die Buchhalterin bekommt einen Anruf vom Geschäftsführer, der eigentlich im Urlaub ist. Man habe kurzfristig die Chance, einen Konkurrenten zu übernehmen, die Anzahlung müsse noch heute an eine Kanzlei fließen, streng vertraulich, der Beirat wisse schon Bescheid. Die Stimme klingt genau richtig, sogar der leichte rheinische Einschlag stimmt. 180.000 Euro gehen raus.

Am Montag ruft der echte Chef an und weiß von nichts. Kein technischer Fehler, kein Hackerangriff auf die Systeme, nur ein Anruf, dem man geglaubt hat. Genau das macht diese Masche so tückisch, denn sie greift nicht die Technik an, sondern das Vertrauen zwischen Menschen. Und sie funktioniert gerade dort besonders gut, wo man sich auf kurze Wege und ein gutes Bauchgefühl verlässt, also in genau den Betrieben, die das Rheinland prägen.

Wie ein Deepfake-Angriff konkret abläuft

Ein typischer Ablauf sieht so aus. Der Angreifer sammelt Material über das Unternehmen und die Zielperson. Er klont die Stimme des Geschäftsführers. Dann ruft er in der Buchhaltung an, oft freitagnachmittags oder kurz vor einem Feiertag, wenn Rückfragen schwerer sind. Er baut Druck auf, schwört zur Verschwiegenheit und nennt einen plausiblen Grund. Die Überweisung geht raus, das Geld verschwindet über mehrere Konten ins Ausland. Bis der Betrug bemerkt wird, ist es meist zu spät.

Beim Geld hört es nicht auf. Die gleiche Technik lässt sich für andere Ziele einsetzen. Ein gefälschter Anruf kann Mitarbeiter dazu bringen, Zugangsdaten herauszugeben oder eine Datei zu öffnen, die dann Schadsoftware ins Firmennetz bringt. Auch bei Bewerbungen taucht die Technik inzwischen auf, mit manipulierten Videos und gefälschten Identitäten, häufig für Remote-Jobs in der IT. Wer solche Wege im Blick behält, denkt Sicherheit breiter als nur „keine falschen Überweisungen“.

So verlor Arup 25 Millionen über eine Deepfake-Videokonferenz

Wie weit ein Deepfake-Angriff gehen kann, zeigt ein Fall aus dem Jahr 2024. Beim britischen Ingenieurbüro Arup wurde ein Mitarbeiter der Finanzabteilung in Hongkong zu einer Videokonferenz eingeladen. Am Bildschirm saßen der Finanzchef und mehrere Kollegen, die er kannte. Sie sprachen über eine vertrauliche Transaktion, alles wirkte normal.

Nur war niemand davon echt. Sämtliche Teilnehmer in dieser Konferenz waren Deepfakes, aufgesetzt auf reale Personen aus dem Unternehmen. Der Mitarbeiter hatte keinen Grund zu zweifeln, er sah ja seine Vorgesetzten. In 15 Überweisungen flossen rund 25 Millionen US-Dollar ab, bevor der Betrug aufflog.¹ Der Fall ist deshalb so lehrreich, weil er mit keinem der alten Merkmale zu erkennen war. Keine seltsame E-Mail-Adresse, kein holpriger Ton, kein verpixeltes Foto. Der Deepfake war gut genug, um einen erfahrenen Finanzfachmann in einer Live-Konferenz zu täuschen.

Woran du einen Deepfake erkennst

Ganz spurlos arbeiten die Deepfake-Fälschungen noch nicht. Es gibt Anzeichen, auf die du achten kannst, gerade bei Video und Live-Anrufen.

Bei Videobildern lohnt der Blick auf Details. Die Lippenbewegungen passen manchmal nicht exakt zum Ton, es gibt eine winzige Verzögerung. Das Blinzeln wirkt unnatürlich, mal zu selten, mal zu mechanisch. An den Rändern von Gesicht und Haaren flackert es gelegentlich, besonders bei Bewegung. Bei der Stimme klingt der Ton oft leicht metallisch, die Betonung sitzt an ungewohnten Stellen, Atempausen fehlen. Wer die Person gut kennt, spürt manchmal, dass etwas nicht stimmt, ohne es genau benennen zu können. Auf dieses Bauchgefühl solltest du hören.

Die verräterischsten Signale sind aber gar nicht technischer Natur, sondern liegen im Verhalten. Deepfake-Betrug lebt fast immer von denselben Zutaten, die in dieser Liste stehen.

• Zeitdruck. Es muss sofort passieren, angeblich läuft eine Frist ab oder ein Deal platzt.
• Geheimhaltung. Niemand sonst darf davon wissen, die Sache sei streng vertraulich.
• Ungewöhnlicher Kanal. Der Chef meldet sich plötzlich über einen Weg, den er sonst nie nutzt.
• Abweichung vom Prozess. Es wird eine Zahlung verlangt, die so nicht in den üblichen Ablauf passt.
• Ablenkung bei Nachfragen. Wer kritisch nachhakt, wird abgewürgt oder unter Druck gesetzt.

Wenn mehrere dieser Punkte zusammenkommen, sollten alle Alarmglocken läuten, egal wie echt die Stimme klingt.

Wie du dein Unternehmen vor Deepfake-Betrug schützt

Die gute Nachricht vorweg. Du bist dem nicht hilflos ausgeliefert. Der beste Schutz gegen Deepfake-Betrug ist keine Wundertechnik, sondern eine Kombination aus klaren Abläufen und wachsamen Mitarbeitern. Technik allein reicht nicht, weil die Deepfake-Fälschungen immer besser werden. Prozesse dagegen greifen unabhängig davon, wie gut der Deepfake ist.

Ein Rückruf über einen bekannten Kanal ist die einfachste und wirksamste Maßnahme. Kommt eine dringende Zahlungsanweisung per Anruf oder Video, rufst du die Person unter der gespeicherten Nummer zurück, nicht unter der, von der der Anruf kam. Ein echter Chef nimmt das nie krumm. Ein Betrüger fliegt damit auf. Dazu gehört das Vier-Augen-Prinzip, also keine Überweisung über einem festgelegten Betrag ohne zweite Freigabe. Das kostet ein paar Minuten und verhindert im Ernstfall den Totalschaden.

Ein internes Codewort für sensible Transaktionen klingt nach Agentenfilm, funktioniert aber. Ein vorher vereinbartes Stichwort, das bei ungewöhnlichen Zahlungsanweisungen abgefragt wird, kann kein Angreifer kennen, so gut seine Stimme auch geklont ist. Technisch unterstützen Zwei-Faktor-Freigaben, klar getrennte Berechtigungen und ein Zahlungssystem, das größere Beträge nur mit doppelter Bestätigung durchlässt. Solche Hürden wirken auch dann, wenn jemand im ersten Moment auf die Fälschung hereingefallen ist.

Genauso wichtig ist die Unternehmenskultur. Mitarbeiter müssen nachfragen dürfen, ohne Angst vor Ärger. Wo eine Rückfrage an den Chef als Misstrauen gilt, haben Betrüger leichtes Spiel. Wo Nachhaken selbstverständlich ist, wird es schwer für sie. Und schließlich helfen Schulungen. Wer die Masche kennt, erkennt sie wieder. Kurze, regelmäßige Trainings mit echten Fällen sind mehr wert als ein dickes Handbuch, das niemand liest.

Was du als Geschäftsführung falsch machen kannst

Bei vielen Betrieben wiederholen sich dieselben Fehler. Der häufigste ist, das Thema komplett an die IT abzugeben. Deepfake-Betrug zielt auf Menschen und Abläufe, nicht auf Server. Buchhaltung, Einkauf und Geschäftsleitung sind genauso betroffen wie die Technik. Ohne klare Rückendeckung aus der Chefetage bleibt so ein Vorhaben oft in Zuständigkeitsfragen stecken. Mach das Thema deshalb sichtbar zur Chefsache, auch wenn du die Umsetzung delegierst.

Der zweite verbreitete Fehler ist, erst zu handeln, wenn es schon passiert ist. Sollte trotz aller Vorsicht Geld geflossen sein, zählt jede Minute. Informiere sofort die Bank und versuche, die Überweisung zu stoppen, erstatte danach Anzeige bei der Polizei und sichere alle Belege. In Köln und Bonn sind die Kriminalpolizeien für solche Fälle zuständig. Scham ist hier ein schlechter Ratgeber, denn diese Betrügereien sind professionell gemacht und darauf ausgelegt, kluge Menschen zu täuschen.

Deine nächsten Schritte mit IT-Deol

Verschaff dir zuerst ein ehrliches Bild vom eigenen Stand. Wer darf bei euch welche Zahlung freigeben? Ab welcher Summe gilt das Vier-Augen-Prinzip? Wissen die Leute in der Buchhaltung, dass sie bei einem Anruf des Chefs zurückrufen dürfen und sollen? Diese Fragen kosten einen Nachmittag. Ein Deepfake-Betrug kostet schnell den Jahresgewinn.

Auf dieser Grundlage entscheidest du, ob du das intern umsetzt oder dir Unterstützung holst. Für kleinere Betriebe ohne eigene Sicherheitsabteilung ist externe Begleitung meist die wirtschaftlichere Wahl. Als IT-Systemhaus für die Region Köln und Bonn schauen wir uns bei IT-Deol deine Prozesse an, decken Schwachstellen auf und richten Abläufe ein, die auch dann greifen, wenn eine Stimme am Telefon täuschend echt klingt. Dazu schulen wir dein Team, damit die Masche im Ernstfall erkannt wird, bevor Geld fließt.

Der Satz „Überweisen Sie sofort!“ wirkt beim ersten Lesen wie eine Drohung. Wenn du das Thema früh und strukturiert angehst, kannst du ihm aber gelassen begegnen. Für Unternehmen in Köln, Bonn und dem Rheinland ist das eine Investition, die sich in aller Regel auszahlt.

---

Häufige Fragen zum Thema Deepfake-Betrug

Welche Bedrohung für meine Unternehmenskommunikation wird gerade am meisten unterschätzt?

Der sogenannte Deepfake-Betrug zählt aktuell zu den gefährlichsten Bedrohungen für mittelständische Betriebe, weil künstliche Intelligenz täuschend echte Stimmen und Videos von Vorgesetzten erzeugt, die Mitarbeitende in Köln, Bonn, Lohmar und Siegburg am Telefon oder im Videocall kaum noch als Fälschung erkennen können.

Warum greifen klassische Schutzmaßnahmen wie Firewall und Spamfilter bei diesen Angriffen immer seltener?

Deepfake-Betrug greift keine Technik an, sondern das Vertrauen zwischen Menschen, und genau deshalb ist es für IT-Deol aus Lohmar so wichtig, dass Unternehmen in der Region neben technischen Lösungen vor allem klare Prozesse und geschulte Mitarbeitende als eigene Schutzebene aufbauen.

Was steckt hinter den täuschend echten Anrufen, auf die meine Mitarbeitenden trotz Schulungen noch hereinfallen?

Dahinter steckt Deepfake-Betrug, eine Methode, bei der künstliche Intelligenz aus wenigen Sekunden öffentlich verfügbarem Material die Stimme oder das Gesicht einer echten Person klont, weshalb IT-Deol aus Lohmar für Betriebe in Köln, Bonn und Siegburg praxisnahe Trainings mit echten Fallbeispielen anbietet.

Wie schütze ich meine Finanzabteilung vor gefälschten Zahlungsaufforderungen, die scheinbar von meinem eigenen Geschäftsführer stammen?

IT-Deol empfiehlt gegen diese Form des Deepfake-Betrugs klare Freigabeprozesse, einen verpflichtenden Rückruf über eine bekannte Nummer und das Vier-Augen-Prinzip bei allen Zahlungen ab einem festgelegten Betrag, weil genau diese Kombination CEO-Fraud-Angriffe wirksam unterbindet.

Wie erkenne ich, ob mein Unternehmen in der Region Bonn und Siegburg ausreichend gegen moderne Cyberangriffe geschützt ist?

Eine der wichtigsten Prüffragen lautet, ob Ihr Sicherheitskonzept gezielt auch den Deepfake-Betrug berücksichtigt, denn IT-Deol aus Lohmar stellt in der täglichen Beratungspraxis fest, dass viele Betriebe zwar ihre Technik absichern, aber keine festen Abläufe für verdächtige Anrufe und Zahlungsanweisungen haben.

Was kann ich tun, damit meine Mitarbeitenden einen gefälschten Anruf eigenständig erkennen, bevor sie reagieren?

Der wirksamste Weg besteht aus regelmäßigen Schulungen und realistischen Übungen, in denen Mitarbeitende die typischen Merkmale von Deepfake-Betrug selbst erleben, und IT-Deol entwickelt und betreut solche Security-Awareness-Programme für Unternehmen in Köln, Bonn, Lohmar und Siegburg, damit die Erkennungsrate messbar und dauerhaft steigt.

Welchen finanziellen Schaden kann ein einziger erfolgreicher Deepfake-Angriff in meinem Betrieb anrichten?

Deepfake-Betrug steht hinter einigen der größten dokumentierten Schadensfälle der letzten Jahre, etwa beim Ingenieurbüro Arup, wo ein gefälschter Videoanruf einen Mitarbeiter zur Überweisung von rund 25 Millionen US-Dollar veranlasste, weshalb IT-Deol aus Lohmar diese Bedrohung als eine der dringlichsten für den regionalen Mittelstand einschätzt.

Wie schütze ich meine Unternehmenskommunikation, wenn Angreifer gleichzeitig über E-Mail, Teams und Telefon vorgehen?

Solche kombinierten Angriffe, bei denen Deepfake-Betrug im Videocall mit gefälschten E-Mails und geklonten Stimmen am Telefon zusammenkommt, erfordern ein Sicherheitskonzept, das alle Kommunikationswege gemeinsam absichert, und IT-Deol analysiert für Unternehmen in Köln, Bonn, Lohmar und Siegburg sämtliche genutzten Kanäle und schließt die Lücken zwischen den einzelnen Systemen.

Warum reicht die Zwei-Faktor-Authentifizierung in meinem Unternehmen allein nicht mehr als Schutz aus?

Die Zwei-Faktor-Authentifizierung schützt vor allem Logins, aber Deepfake-Betrug zielt nicht auf Passwörter, sondern bringt Mitarbeitende dazu, eine Zahlung freiwillig freizugeben, weshalb IT-Deol aus Lohmar zusätzlich zur technischen Absicherung feste Rückruf- und Freigaberegeln sowie ein internes Codewort für sensible Transaktionen empfiehlt.

Wer hilft mir als mittelständischem Unternehmen in der Region Köln und Bonn dabei, meine IT-Infrastruktur gegen Deepfake-Betrug zu sichern?

IT-Deol aus Lohmar ist der regionale Ansprechpartner für Managed Security Services, Mitarbeiterschulungen und technische Schutzmaßnahmen gegen Deepfake-Betrug und bietet eine kostenlose Erstberatung an, in der gemeinsam analysiert wird, wo die größten Sicherheitslücken in der bestehenden IT-Infrastruktur Ihres Unternehmens liegen.

---

Quellen

¹ CNN Business, „Arup revealed as victim of $25 million deepfake scam involving Hong Kong employee“ (16.05.2024). cnn.com/2024/05/16/tech/arup-deepfake-scam-loss-hong-kong-intl-hnk

² Bitkom e. V., Studie „Wirtschaftsschutz 2025″ (Gesamtschaden 289,2 Mrd. Euro; 4 % der Unternehmen von Deepfakes, 3 % von Betrugsanrufen betroffen). bitkom.org/Bitkom/Publikationen/Wirtschaftsschutz