BSI-Lagebild: Cyberresilienz bleibt für KMU eine organisatorische Daueraufgabe

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) veröffentlicht jährlich seinen Lagebericht zur IT-Sicherheit in Deutschland. Der aktuelle BSI-Lagebericht 2025 bestätigt: Die IT-Sicherheitslage bleibt auf angespanntem Niveau. Für kleine und mittlere Unternehmen bedeutet das, Cyberresilienz nicht als abstraktes Compliance-Thema zu verstehen, sondern als konkrete Vorbereitung auf Störungen, die irgendwann eintreten werden.

Kernaussagen des BSI-Lageberichts

Der Bericht wertet die Lage seit 2025 umfangreicher anhand konkreter Messzahlen aus. Über 70 statistische Diagramme und Tabellen dienen als Grundlage, mehr als doppelt so viele wie im Vorjahr. Das BSI beobachtet kontinuierlich Ransomware-Angriffe auf Unternehmen und Kommunen, phishingbasierte Einbruchsversuche, Supply-Chain-Angriffe und gezielte Angriffe auf kritische Infrastrukturen. Die Kernbotschaft ist eindeutig: Es besteht kein Grund zur Entwarnung.

Für KMU ist dabei eine Erkenntnis wichtig: Die meisten Angriffe sind nicht hochkomplex, sondern nutzen bekannte Schwachstellen, fehlende Updates oder unzureichend geschützte Zugänge. Wer die Grundlagen der IT-Sicherheit praktisch umsetzt, reduziert sein Risiko bereits erheblich.

Was Cyberresilienz im KMU bedeutet

Cyberresilienz beschreibt die Fähigkeit eines Unternehmens, IT-Störungen oder Angriffe aufzufangen, die Folgen zu begrenzen und den Betrieb möglichst schnell wiederherzustellen. Im Gegensatz zur reinen Prävention umfasst Resilienz auch die Reaktion auf bereits eingetretene Schäden. Das BSI empfiehlt einen risikobasierten Ansatz, der auf mehreren Säulen aufbaut:

Praktische Umsetzung Schritt für Schritt

Viele KMU scheitern nicht an fehlenden Lösungen, sondern an fehlender Struktur. Eine schrittweise Umstellung ist realistischer als der Versuch, alles gleichzeitig zu ändern. Folgende Reihenfolge hat sich in der Praxis bewährt:

1. Inventar erstellen: Welche Systeme, Dienste und Zugänge existieren überhaupt? Wer ist verantwortlich? Ohne Bestandsaufnahme bleibt alles andere zufällig.
2. Backups prüfen: Existiert eine 3-2-1-Regel (drei Kopien, zwei Medien, eine außer Haus)? Wann wurde zuletzt ein Restore getestet? Ein ungetestetes Backup ist kein Backup.
3. Patchprozess etablieren: Wer patcht was, wann und wie? Mindestens ein monatlicher Zyklus für Microsoft-Produkte, wöchentlich für WordPress und andere Web-Anwendungen.
4. MFA erzwingen: Alle Admin-Konten, alle Remote-Zugänge, alle Cloud-Dienste mit administrativen Rechten. Keine Ausnahmen.
5. Notfallhandbuch schreiben: Kurzes Dokument mit Ansprechpartnern, Eskalationsstufen und den ersten Schritten bei einem Vorfall. Drei Seiten genügen für den Anfang.
6. Mitarbeiter sensibilisieren: Einmal pro Jahr eine Schulung, zusätzlich Hinweise bei neuen Angriffswellen. Phishing-Simulationen ergänzen das Bewusstsein.

Verbindung zu NIS2 und Compliance

Spätestens mit der NIS2-Umsetzungsverordnung bekommen Cyberresilienz eine rechtliche Dimension. Unternehmen, die unter NIS2 fallen, müssen Nachweise über ihre Sicherheitsmaßnahmen erbringen. Der BSI-Lagebericht liefert dafür eine Orientierung: Wer die darin genannten Grundlagen praktisch umsetzt und dokumentiert, ist auch bei einer NIS2-Prüfung besser aufgestellt. Auch wer nicht direkt unter NIS2 fällt, sollte die Maßnahmen als Best Practice verstehen, denn Versicherungen und Kunden fordern zunehmend Nachweise.

Passende Anleitungen auf S-EDV

1. IT-Notfallhandbuch nach BSI 200-4 erstellen – Vorlage und Praxisleitfaden für ein Notfallhandbuch im KMU.
2. Ransomware-Notfallplan: die ersten 60 Minuten – Was in den ersten Minuten nach einem Angriff zu tun ist.
3. Linux-Server absichern: UFW-Firewall und Fail2ban – Grundlagen für Härtung öffentlich erreichbarer Systeme.

Quellen

1. BSI: Die Lage der IT-Sicherheit in Deutschland (Lagebericht)
2. BSI: Informationen für Unternehmen und Organisationen
3. BSI: NIS2-regulierte Unternehmen