Unternehmens-IT absichern

Cybersicherheit in kleinen und mittleren Unternehmen

Die deutsche NIS2-Richtlinie erhöht Anforderungen an die IT-Sicherheit. Auch kleine und mittlere Bauunternehmen können davon betroffen sein – direkt oder als Teil digitaler Lieferketten.

Viele kleine und mittlere Unternehmen gehen zunächst davon aus, dass NIS2 nur große Konzerne oder Betreiber Kritischer Infrastrukturen betrifft. Tatsächlich geraten jedoch auch zahlreiche kleinere Betriebe zunehmend in den Fokus – insbesondere dann, wenn sie für größere Unternehmen, öffentliche Auftraggeber oder Infrastrukturprojekte arbeiten.

Die Baubranche ist längst digital vernetzt

In der Bauwirtschaft bestehen heute enge digitale Abhängigkeiten. Projektplattformen, Ausschreibungen, mobile Baustellenkommunikation und cloudbasierte Dokumentation gehören längst zum Alltag. Fällt diese Infrastruktur aus oder wird kompromittiert, stehen Abläufe oft innerhalb kurzer Zeit still.

Gleichzeitig gelten kleine und mittlere Unternehmen für Angreifer häufig als attraktive Ziele. Die Schutzmaßnahmen sind meist weniger umfangreich als in Großunternehmen, während gleichzeitig enge Verbindungen zu Auftraggebern, Kunden und Partnerunternehmen bestehen.

Indirekte Betroffenheit über die Lieferkette

Die meisten Bauunternehmen fallen nicht unmittelbar unter NIS2. Indirekt betroffen sind sie dennoch: Große Auftraggeber verlangen zunehmend nachvollziehbare Sicherheitsstandards, dokumentierte Prozesse und klare Zuständigkeiten.

IT-Sicherheit wird damit zunehmend zum Wettbewerbsfaktor. Unternehmen, die ihre Maßnahmen strukturiert organisieren und belegen können, verbessern ihre Chancen bei Ausschreibungen und Rahmenverträgen.

IT-Sicherheit beginnt mit Übersicht

Der erste Schritt ist eine realistische Bestandsaufnahme der eigenen IT-Struktur. In vielen kleineren Unternehmen sind Systeme über Jahre gewachsen: mobile Geräte, Baustellenzugänge, Cloud-Dienste oder externe IT-Betreuung wurden oft schrittweise eingeführt, ohne dass ein vollständiger Überblick erhalten blieb. © Visualisierung: KI-generiert mit Adobe Firefly [2026]

Genau dort entstehen Risiken. Häufig ist unklar, welche Systeme genutzt werden, wer Zugriff besitzt oder welche externen Dienstleister eingebunden sind. Schon eine einfache Übersicht über Geräte, Zugänge und Verantwortlichkeiten verbessert die Sicherheitslage deutlich.

Klare Zuständigkeiten schaffen Sicherheit

Auch kleinere Unternehmen brauchen klare Verantwortlichkeiten. Wer kümmert sich um Updates? Wer verwaltet Zugriffsrechte? Wer ist Ansprechpartner für externe IT-Dienstleister? Und wer entscheidet im Ernstfall?

Gerade in kleineren Betrieben werden IT-Aufgaben oft nebenbei erledigt. Zuständigkeiten bleiben unklar, wichtige Aufgaben gehen im Alltag unter. Bereits einfache organisatorische Regeln können hier viel bewirken.

Technische Grundmaßnahmen konsequent umsetzen

Kleinere Unternehmen benötigen meist keine hochkomplexen Sicherheitslösungen. Entscheidend sind grundlegende Maßnahmen wie aktuelle Sicherheitsupdates, abgesicherte Fernzugriffe, Multi-Faktor-Authentifizierung, funktionierende Datensicherungen sowie mindestens eine Festplattenverschlüsselung.

Backups werden dabei häufig unterschätzt. Entscheidend ist nicht nur, dass Sicherungen vorhanden sind, sondern dass Daten im Ernstfall tatsächlich wiederhergestellt werden können.

Ebenso wichtig ist die Verwaltung von Zugriffsrechten. Problematisch wird es häufig dann, wenn ehemalige Mitarbeiter, externe Dienstleister oder alte Projektzugänge dauerhaft aktiv bleiben.

Fernzugriffe und externe Zugänge absichern

Mobile Geräte, externe IT-Dienstleister und Baustellenzugänge spielen in der Bauwirtschaft eine immer größere Rolle. Genau dort entstehen häufig Sicherheitslücken, etwa durch ungesicherte Fernzugriffe, gemeinsam genutzte Konten oder dauerhaft aktive externe Zugänge. © Visualisierung: KI-generiert mit Adobe Firefly [2026]

Nicht mehr benötigte Zugänge sollten konsequent entfernt, Zugriffsrechte klar geregelt und Fernwartungen möglichst nur bei Bedarf freigeschaltet werden. Multi-Faktor-Authentifizierung sollte dabei selbstverständlich sein.

IT-Sicherheit ist kein einmaliges Projekt

IT-Sicherheit ist keine einmalige Anschaffung. Risiken und Angriffsmethoden verändern sich permanent. Schutzmaßnahmen müssen deshalb regelmäßig überprüft und angepasst werden.

Zunehmend wichtig wird außerdem die nachvollziehbare Dokumentation von Sicherheitsmaßnahmen – auch gegenüber Auftraggebern, Geschäftspartnern und Cyberversicherungen.

Der Faktor Mensch bleibt entscheidend

Viele erfolgreiche Angriffe beginnen nicht mit technischen Schwachstellen, sondern mit menschlichen Fehlern. Phishing-Mails, manipulierte Anhänge und gestohlene Zugangsdaten gehören weiterhin zu den häufigsten Angriffsmethoden.

Schon regelmäßige, praxisnahe Schulungen und klare Verhaltensregeln können das Risiko deutlich reduzieren.

Externe Hilfe ist völlig normal

Nicht jedes Unternehmen verfügt über eigene IT-Sicherheitskompetenz. Externe IT-Dienstleister, Managed Security-Angebote oder spezialisierte Berater gehören heute für viele Betriebe zum normalen Sicherheitskonzept.

Wichtig ist jedoch, externe Partner bewusst auszuwählen und Verantwortlichkeiten klar zu regeln.

Frühzeitig beginnen lohnt sich

Mit der nationalen Umsetzung der NIS2-Richtlinie steigen die Anforderungen an die IT-Sicherheit weiter. Auch kleinere Unternehmen werden sich zunehmend mit organisatorischen und technischen Mindeststandards beschäftigen müssen.

Wer frühzeitig beginnt, reduziert nicht nur Risiken und Ausfallzeiten, sondern verbessert häufig auch seine Position gegenüber Auftraggebern, Partnern und Versicherungen.

ESET Deutschland GmbH
www.eset.de/NIS2

Autor: Eugen Schmitz

Die wichtigsten Sofortmaßnahmen für kleine und mittlere Unternehmen

Für besseren Schutz braucht es keine hochkomplexen Lösungen, sondern grundlegende Maßnahmen, die konsequent umgesetzt und regelmäßig überprüft werden. Gerade einfache Versäumnisse gehören noch immer zu den häufigsten Ursachen erfolgreicher Cyberangriffe.

Was hilft:

Multi-Faktor-Authentifizierung (MFA) für E-Mail-Konten, Cloud-Dienste und Fernzugriffe aktivieren

Sicherheitsupdates für Systeme, Software und mobile Geräte konsequent und zeitnah einspielen

Backups regelmäßig erstellen und testen

Zugriffsrechte bereinigen: Nicht mehr benötigte Zugänge von ehemaligen Mitarbeitern, externen Dienstleistern und alten Projekten konsequent entfernen

Mitarbeitende sensibilisieren: Regelmäßige, praxisnahe Schulungen zu Phishing, Passwörtern und verdächtigen Anhängen können viele Angriffe bereits im Ansatz verhindern

Maßnahmen dokumentieren: Eine nachvollziehbare Dokumentation ist zunehmend Voraussetzung gegenüber Versicherungen, Auftraggebern und Geschäftspartnern

IT-Sicherheit wird zum Wettbewerbsfaktor

IT-Sicherheit entwickelt sich zunehmend zum Kriterium bei Ausschreibungen und Auftragsvergaben. Große Auftraggeber, öffentliche Stellen und Generalunternehmer achten immer häufiger darauf, wie Unternehmen ihre digitalen Systeme absichern.

In Ausschreibungen tauchen vermehrt Formulierungen auf wie „Nachweis geeigneter IT-Sicherheitsmaßnahmen“, „dokumentierte Datensicherungsprozesse“ oder „Absicherung externer Zugänge“. Kleine und mittlere Bauunternehmen, die als Teil digitaler Lieferketten tätig sind, müssen deshalb künftig nachweisen können, dass grundlegende Sicherheitsstandards vorhanden sind.

Gefragt sind dabei nur selten hochkomplexe Speziallösungen. Meist geht es um nachvollziehbare Standards wie etwa geregelte Zuständigkeiten, abgesicherte Zugänge, funktionierende Datensicherungen, dokumentierte Prozesse und sensibilisierte Mitarbeitende. Wer das belegen kann, verbessert seine Chancen bei Ausschreibungen, Rahmenverträgen und langfristigen Geschäftsbeziehungen.