Wo sollten KMU bei der Sicherheit anfangen? — Ein Durchgang durch die IPA-„Informationssicherheitsleitlinien für KMU“, 4. Ausgabe

„Ein Kunde hat uns eine Sicherheitscheckliste geschickt, aber wir wissen nicht, was wir tun sollen oder wie weit wir gehen sollen.“

„Wir wissen, dass Sicherheit wichtig ist, aber wir können es uns nicht leisten, jemanden fest damit zu betrauen.“

„Man sagt uns, wir sollen Maßnahmen ergreifen, aber wir haben keine Ahnung, was das kosten würde, also haben wir es nicht angefasst.“

Sicherheitsberatungen mit kleinen und mittleren Unternehmen beginnen fast immer so.

Zufällig gibt es ein offizielles Handbuch, das genau diese Frage nach dem „Wo und wie weit“ beantwortet: die von der IPA (der Information-technology Promotion Agency) veröffentlichten Informationssicherheitsleitlinien für kleine und mittlere Unternehmen. Am 27. März 2026 veröffentlichte die IPA die Ausgabe 4.0 — die erste größere Überarbeitung seit etwa drei Jahren.

Dieser Artikel stützt sich auf den Inhalt der Ausgabe 4.0, um der Reihe nach darzulegen, wie ein Unternehmen ohne dedizierten Sicherheitsbeauftragten bei Sicherheitsmaßnahmen vorgehen sollte.

1. Das Ergebnis zuerst

Hier vorab der Ansatz, den die Ausgabe 4.0 vorgibt.

• Der erste Schritt ist nicht der Kauf teurer Produkte — es sind die „Sechs Artikel der Informationssicherheit“, die Basismaßnahmen, die jedes Unternehmen unabhängig von seiner Größe umsetzen muss, und keine davon erfordert ein großes Budget
• Als Nächstes den aktuellen Stand mit der „5-Minuten-Selbstbewertung zur Informationssicherheit“ (25 Punkte) aus dem Anhang verstehen und ausgehend von den noch nicht abgedeckten Punkten verbessern
• Sobald begonnen wurde, sich über die „SECURITY ACTION“ der IPA (kostenlos) selbst erklären — das gibt Ihnen etwas, das Sie Kunden zeigen können, und ist auch eine Voraussetzung für manche öffentlichen Förderprogramme
• Von dort aus schrittweise zur Erstellung einer Grundrichtlinie, zur Einführung interner Regeln und zum Aufbau einer Struktur für die Reaktion auf Vorfälle übergehen
• Unternehmer haben Rollen, die sich nicht einfach an Mitarbeiter delegieren lassen — etwa „die Bemühungen mit Führung vorantreiben“ und „auch die Sicherheit ausgelagerter Anbieter berücksichtigen“

Kurz gesagt: Die Designphilosophie dieser Leitlinie lautet: Streben Sie nicht sofort nach Perfektion — gehen Sie in einer festgelegten Reihenfolge, Schritt für Schritt, beginnend mit dem, was Sie können.

2. Was sind die „Informationssicherheitsleitlinien für kleine und mittlere Unternehmen“?

Diese Leitlinie ist ein Dokument, das die Denkweise und Verfahren darlegt, um wichtige Informationen eines kleinen oder mittleren Unternehmens vor Bedrohungen wie Lecks, Manipulation und Verlust zu schützen und Schäden an der Geschäftskontinuität vorzubeugen. Erstmals im November 2016 veröffentlicht, ist sie seither zum De-facto-Standard für KMU-orientierte Sicherheitsmaßnahmen geworden. Einzelunternehmer und Kleinstunternehmen sind ebenfalls eingeschlossen.

Sie gliedert sich grob in drei Teile.

Der Hauptteil umfasst etwa 70 Seiten, aber wie unten behandelt, besteht keine Notwendigkeit, ihn von Anfang an vollständig zu lesen. Er ist so aufgebaut, dass Sie ihn dort nutzen können, wo er zur aktuellen Stufe Ihres Unternehmens passt.

Was sich in der Ausgabe 4.0 geändert hat

Die Überarbeitung zur Ausgabe 4.0 nennt drei Umfeldveränderungen seit der Ausgabe 3.1 (April 2023):

• Ransomware-Schäden haben sich über Informationslecks hinaus zu vollständigen Betriebsstillständen ausgeweitet
• Über die Lieferkette vermittelte Schäden haben sich sowohl im In- als auch im Ausland ausgebreitet, was den Bedarf an Maßnahmen im gesamten Handelsnetzwerk erhöht
• Es gibt einen deutlichen Mangel an Personen innerhalb von KMU, die Sicherheitsmaßnahmen vorantreiben können

Als Reaktion darauf erweiterte die Leitlinie die „Fünf Artikel der Informationssicherheit“ durch „Backups erstellen“ auf sechs, ordnete ihre organisatorischen und technischen Gegenmaßnahmen im Licht des vom Wirtschaftsministerium und dem Nationalen Zentrum für Vorfallbereitschaft und -strategie im Kabinettssekretariat entwickelten SCS-Bewertungssystems (ein Sicherheitsbewertungssystem zur Stärkung der Lieferkette) neu und fügte einen praktischen Leitfaden (Anhang 1) zur Unterstützung bei der Gewinnung und Entwicklung von Sicherheitspersonal hinzu.

Die zwei Säulen dieser Überarbeitung — „Backups“ und „Lieferkette“ — spiegeln genau die Bedrohungen wider, denen KMU heute gegenüberstehen. Ransomware und über Geschäftspartner geleitete Angriffe haben in der jährlichen IPA-Liste „10 große Bedrohungen der Informationssicherheit“ (Ausgabe für Organisationen) jeweils 11 bzw. 8 Jahre in Folge einen Spitzenplatz belegt. (Details in unserem Artikel zu den 10 großen Bedrohungen 2026.)

3. Für Unternehmer — Sicherheit ist nicht „Sache der Mitarbeiter“

Teil 1, für Unternehmer, geht kaum auf Technik ein. Behandelt wird stattdessen, was durch vernachlässigte Sicherheit verloren geht (Geschäftsunterbrechung, Vertrauensverlust, Schadensersatz), welche rechtlichen Verantwortlichkeiten ein Unternehmer trägt (Sicherheitsmanagementmaßnahmen nach dem Gesetz zum Schutz personenbezogener Daten, die Treuepflicht nach dem Gesellschaftsgesetz und Ähnliches), und was Unternehmer selbst tun sollten.

Die drei Prinzipien, die Unternehmer beachten sollen, lauten:

1. Informationssicherheitsmaßnahmen mit der eigenen Führung des Unternehmers vorantreiben
2. Auch die Informationssicherheitsmaßnahmen ausgelagerter Anbieter berücksichtigen
3. Ständige Kommunikation über Informationssicherheit mit allen Beteiligten aufrechterhalten

Darauf aufbauend legt die Leitlinie „sieben zentrale Maßnahmen“ fest, die Unternehmer ergreifen sollten: eine organisationsweite Reaktionsrichtlinie festlegen, Budget und Personal sichern, notwendige Maßnahmen prüfen lassen und deren Umsetzung anweisen, die regelmäßige Überprüfung dieser Maßnahmen anweisen, eine Struktur für Notfallreaktion und Wiederherstellung aufbauen, Sicherheitsverantwortlichkeiten bei Auslagerung oder Nutzung externer Dienste klären, und sich über die neuesten Entwicklungen auf dem Laufenden halten.

Von der Front aus betrachtet, neigen Sicherheitsmaßnahmen dazu, wie eine lästige Behinderung zu wirken, die den Komfort verringert. Genau deshalb steht „der Unternehmer beurteilt, entscheidet und führt“ als allererstes Prinzip. Die durchgängige Haltung dieser Leitlinie ist, dass es nicht funktioniert, einem Mitarbeiter einfach zu sagen, er solle sich „irgendwie darum kümmern“.

4. Der praktische Teil — in drei Stufen vorgehen

Teil 2, der praktische Teil, ist in Stufen gegliedert: „mit dem beginnen, was möglich ist“ → „organisatorische Bemühungen beginnen“ → „es ernsthaft angehen“.

Stufe 1: Mit dem beginnen, was möglich ist
        Die Sechs Artikel der Informationssicherheit umsetzen
        ↓
Stufe 2: Organisatorische Bemühungen beginnen
        Eine Informationssicherheits-Grundrichtlinie entwerfen und kommunizieren
        Den aktuellen Stand mit der „5-Minuten-Selbstbewertung“ bewerten (25 Punkte)
        Entscheiden, welche Maßnahmen noch nicht vorhanden sind, und das kommunizieren
        ↓
Stufe 3: Es ernsthaft angehen
        Regelwerk entwerfen, Anlagen verwalten, Angriffe abwehren und erkennen,
        prüfen und verbessern, eine Struktur für Vorfallreaktion aufbauen, Geschäftspartner verwalten
        ↓
Weiter: Maßnahmen zur weiteren Stärkung
        Risikoanalyse, Maßnahmen für Websites, Cloud und Telearbeit

Wichtig ist, dass die Stufen 1 und 2 fast kein Fachwissen und fast kein Budget erfordern. Statt „ohne Budget können wir nichts tun“ ist es so gestaltet, dass „auch ohne Budget können Sie heute so viel beginnen“.

5. Die Sechs Artikel der Informationssicherheit — was der erste Schritt tatsächlich umfasst

Die „Sechs Artikel der Informationssicherheit“ der Stufe 1 sind die Basismaßnahmen, die jedes Unternehmen unabhängig von seiner Größe umsetzen muss.

Für den fünften, in der Ausgabe 4.0 hinzugefügten Punkt, „Backups“, legt die Leitlinie fest, ihn als Dreiklang zu betreiben: Erfassung (Umfang und Intervall festlegen), Aufbewahrung (Ort, Generationsverwaltung und Aufbewahrungsdauer festlegen) und Wiederherstellung (einen Plan aufbauen und bestätigen, dass tatsächlich korrekt wiederhergestellt werden kann). Erst wenn Sie zusätzlich das Backup von der Produktionsumgebung getrennt halten — damit es nicht zusammen mit den Originaldaten von Ransomware verschlüsselt wird — und die Wiederherstellung bestätigen, um die Falle zu vermeiden, „wir dachten, wir hätten ein Backup, aber es stellt sich heraus, dass wir nicht wiederherstellen können“, zählt es als echte Maßnahme.

Jeder dieser Punkte wirkt einmal aufgeschrieben selbstverständlich. Aber die meisten realen Schäden geschehen genau dort, wo dieses Selbstverständliche nicht konsequent umgesetzt wurde. Diese sechs Punkte unter der Führung des Unternehmers von oben herab unternehmensweit gründlich durchzusetzen, ist der Ausgangspunkt.

6. Die 5-Minuten-Selbstbewertung und organisatorische Bemühungen ab Stufe zwei

Das Kernstück der Stufe 2 ist Anhang 3, die „5-Minuten-Selbstbewertung zur Informationssicherheit“. Allein das Beantworten von 25 Fragen mit „vorhanden / teilweise vorhanden / nicht vorhanden / weiß nicht“ macht den aktuellen Stand und die Schwachpunkte Ihres Unternehmens sichtbar.

Die Ausgabe 4.0 überarbeitete die Beispiel-Gegenmaßnahmen in der Bewertung und fügte Punkte hinzu, die aktuelle Einbruchswege widerspiegeln, etwa „unnötige Kommunikation von außen in das interne Netzwerk blockieren“ und „die Website sicher betreiben“. Einbrüche, die Schwachstellen in VPN-Geräten ausnutzen, und Manipulationen an vernachlässigten Websites sind Wege, über die KMU weiterhin realen Schaden erleiden. (Maßnahmen auf Website-Seite behandelt ausführlich ein separater Artikel, „Wie man IPAs ‚Anleitung zur Absicherung Ihrer Website‘ nutzt“.)

Das Ergebnis der Bewertung ist nicht als Wettbewerbs-Score gedacht. Nutzen Sie es als Material zur Priorisierung: Beheben Sie unter den noch nicht vorhandenen Punkten zuerst diejenigen mit dem größten Risiko für Ihr eigenes Geschäft.

7. SECURITY ACTION — ein kostenloses Programm, um Ihre Bemühungen sichtbar zu machen

Sobald Sie begonnen haben, lohnt es sich, auch SECURITY ACTION zu nutzen. Es ist ein Programm, bei dem KMU selbst erklären, an Informationssicherheitsmaßnahmen zu arbeiten, und je nach Fortschritt kostenlos ein „Ein-Stern“- oder „Zwei-Sterne“-Logo verwenden dürfen.

Da es sich um eine Selbsterklärung handelt, gibt es kein Prüfverfahren — was auch bedeutet, dass Sie sofort beginnen können. Das Logo auf Visitenkarten oder der Website anzuzeigen, gibt Ihnen etwas, das Sie Kunden zeigen können, und die Erklärung wird manchmal für die Beantragung öffentlicher Förderprogramme wie der IT-Einführungssubvention verlangt.

Für ein Unternehmen, das gerade eine Sicherheitscheckliste von einem Kunden erhalten hat und nicht weiß, was zu tun ist, ist es ein realistischer und ehrlicher erster Schritt, sagen zu können: „wir arbeiten anhand der sechs Artikel und der Selbstbewertung der Leitlinie und haben SECURITY ACTION erklärt“.

8. Die Anhänge sind zugleich eine „Vorlagenbibliothek“

Man kann sagen, dass ein Großteil des praktischen Werts dieser Leitlinie in ihren Anhängen liegt. Die Ausgabe 4.0 kommt mit den folgenden acht, alle kostenlos herunterladbar von der Seite der IPA.

• Anhang 1: Praktischer Leitfaden zur Gewinnung und Entwicklung von KMU-Sicherheitspersonal (neu in der Ausgabe 4.0)
• Anhang 2: Informationssicherheits-Grundrichtlinie (Muster)
• Anhang 3: 5-Minuten-Selbstbewertung zur Informationssicherheit
• Anhang 4: Informationssicherheits-Handbuch (Vorlage)
• Anhang 5: Informationssicherheitsbezogenes Regelwerk (Muster)
• Anhang 6: Anlagenverwaltungsverzeichnis (Muster)
• Anhang 7: Leitfaden zur sicheren Nutzung von Cloud-Diensten für KMU
• Anhang 8: Leitfaden zur Reaktion auf Sicherheitsvorfälle für KMU

Sie müssen die Grundrichtlinie, das Regelwerk oder das Anlagenverzeichnis nicht von Grund auf schreiben — das Design geht davon aus, dass Sie die Muster an Ihr eigenes Unternehmen anpassen. Hakt Ihr Unternehmen bei der Einführung interner Regeln, bringt Sie der Beginn mit Anhang 2 und Anhang 5 schneller voran.

Näher am Tagesgeschäft stehen einzelne Themen wie die Überprüfung passwortgeschützter ZIP-Dateien, die per E-Mail versendet werden — das sogenannte PPAP („Warum PPAP eine schlechte Idee ist“) — und die Verhinderung von Informationslecks bei der Entsorgung von PCs („Eine Checkliste vor der Entsorgung eines Windows-PCs“), die mit der Denkweise dieser Leitlinie im Einklang stehen.

Zusammenfassung

Hier die wichtigsten Punkte der IPA-„Informationssicherheitsleitlinien für kleine und mittlere Unternehmen“, Ausgabe 4.0.

• Veröffentlicht am 27. März 2026. Eine Überarbeitung, die Umfeldveränderungen widerspiegelt: Geschäftsunterbrechung durch Ransomware, über die Lieferkette vermittelte Schäden und ein Personalmangel
• Der Ansatz ist gestuft: mit den Sechs Artikeln der Informationssicherheit beginnen, dann die 25-Punkte-Selbstbewertung, dann Richtlinie, Regelwerk und Struktur aufbauen
• Die sechs Artikel umfassen nun „Backups erstellen!“ — ein echtes Backup deckt Erfassung, Aufbewahrung und bestätigte Wiederherstellung ab
• Unternehmer haben eigene drei Prinzipien und sieben zentrale Maßnahmen, sodass die Bemühungen nicht vollständig den Mitarbeitern überlassen bleiben
• Sich über SECURITY ACTION (kostenlos) selbst zu erklären, macht Ihre Bemühungen sichtbar und ist auch eine Voraussetzung für manche öffentlichen Förderprogramme
• Die acht Anhänge funktionieren als einsatzbereite Vorlagenbibliothek für die tägliche Praxis

Das größte Hindernis für Sicherheitsmaßnahmen ist, nicht zu wissen, was zu tun ist — und genau das hat eine offizielle Leitlinie bereits für Sie beantwortet. Was bleibt, ist, sie auf Ihre eigene Umgebung anzuwenden und tatsächlich umzusetzen.

Für alle, die Schwierigkeiten haben, dies auf ihre eigene Umgebung anzuwenden

Viele Unternehmen stoßen beim Versuch, das „OS und Software aktuell halten“ der sechs Artikel umzusetzen, direkt auf die Mauer: „unsere alte Business-Anwendung lässt sich nicht aktualisieren, weil sie auf einem neueren OS nicht läuft“. Ebenso hängt die Reihenfolge, in der in der Selbstbewertung gefundene Probleme behoben werden, von der Konfiguration Ihrer Geschäftssysteme ab.

Aufbauend auf unserer Erfahrung in der Entwicklung und Wartung von Windows-Business-Anwendungen und Websystemen übernimmt die KomuraSoft LLC (合同会社小村ソフト) Beratungen zur Änderung bestehender Software, die eine Aktualisierung blockiert, und zur Priorisierung von Gegenmaßnahmen. Selbst in der Phase „wir haben die Bewertung durchgeführt, aber ab hier wird es zu einem technischen Gespräch, das wir nicht weiterführen können“, begrüßen wir eine Beratung, die mit der Bestätigung Ihres aktuellen Stands beginnt.

Verwandte Artikel

Aktuelle Artikel mit denselben Schlagwörtern führen zu verwandten Themen weiter.

Verwandte Themen

Diese Seiten ordnen den Artikel in einen größeren Leistungs- und Entscheidungskontext ein.

Leistungen zu diesem Thema

Dieser Artikel ist direkt mit den folgenden Leistungen verbunden.

Häufige Fragen

Fragen, die in Beratungen zu diesem Artikelthema häufig gestellt werden.

Was sind die Sechs Artikel der Informationssicherheit?

Das sind die Basismaßnahmen, die laut der 4. Ausgabe der IPA-„Informationssicherheitsleitlinien für kleine und mittlere Unternehmen“ jedes Unternehmen unabhängig von seiner Größe umsetzen muss. Sie lauten: (1) OS und Software immer aktuell halten, (2) Antivirus-Software installieren, (3) Passwörter stärken, (4) Freigabeeinstellungen überprüfen, (5) Backups erstellen und (6) die genutzten Bedrohungen und Angriffstechniken kennen. Bis zur Ausgabe 3.1 waren dies fünf Artikel; der sechste, „Backups erstellen“, wurde angesichts der wachsenden Schäden durch Ransomware hinzugefügt.

Was ist der Unterschied zwischen einem und zwei Sternen bei SECURITY ACTION?

Ein Stern ist eine Selbsterklärung, dass das Unternehmen an den Sechs Artikeln der Informationssicherheit arbeitet, und jedes Unternehmen, das gerade erst mit der Sicherheit beginnt, kann sie sofort abgeben. Zwei Sterne bedeutet, dass das Unternehmen seine eigene Situation anhand des Anhangs der Leitlinie, der „5-Minuten-Selbstbewertung zur Informationssicherheit“, bewertet und eine „Informationssicherheits-Grundrichtlinie“ erstellt und veröffentlicht hat, und damit erklärt, an Gegenmaßnahmen zu arbeiten. Beides sind Selbsterklärungen gegenüber der IPA und kostenlos.

Ein Unternehmen ohne eigenes IT-Personal — wo sollte es anfangen?

Der praktische Teil der Leitlinie ist um „mit dem beginnen, was möglich ist“ strukturiert. Er legt die Reihenfolge fest: zuerst, unter der Führung des Unternehmers von oben herab, die Sechs Artikel der Informationssicherheit umsetzen; als Nächstes mit den 25 Punkten aus Anhang 3, der „5-Minuten-Selbstbewertung zur Informationssicherheit“, den aktuellen Stand verstehen; und dann ausgehend von den Punkten verbessern, die noch nicht umgesetzt sind. Weder die sechs Artikel noch die Selbstbewertung erfordern Fachwissen oder ein großes Budget.

Was hat sich zwischen der Ausgabe 3.1 und der Ausgabe 4.0 geändert?

Die am 27. März 2026 veröffentlichte Ausgabe 4.0 spiegelt eine Reihe von Umfeldveränderungen wider: Geschäftsunterbrechungen durch Ransomware-Schäden, die sich ausbreitende Wirkung von über die Lieferkette vermittelten Angriffen und einen Mangel an Sicherheitspersonal. Konkret erweitert sie die „Fünf Artikel der Informationssicherheit“ durch „Backups erstellen“ auf sechs, ordnet Gegenmaßnahmen im Licht des vom Wirtschaftsministerium und anderen entwickelten SCS-Bewertungssystems (ein Sicherheitsbewertungssystem zur Stärkung der Lieferkette) neu, und fügt einen praktischen Leitfaden-Anhang zur Unterstützung bei der Gewinnung und Entwicklung von Sicherheitspersonal hinzu.

Autorenprofil

Profilseite des Artikelautors.

Go Komura

Geschäftsführer von KomuraSoft LLC

Spezialisiert auf Windows-Softwareentwicklung, technische Beratung und Fehleranalyse, insbesondere bei bestehenden Systemen und schwer reproduzierbaren Störungen.