Genau das ist der Punkt, an dem es sich lohnt, kurz innezuhalten. Nicht weil KI gefährlich wäre, sondern weil in diesem Moment Kundendaten, Preise und Vertragsinhalte das Unternehmen verlassen haben, ohne dass jemand es entschieden hätte. Dieser Beitrag zeigt, was dabei tatsächlich passiert, was unbedenklich ist und mit welchen drei Schritten Sie das in einer Woche geordnet bekommen.

Was mit einer Eingabe passiert

Was Sie in einen KI-Chat tippen oder hochladen, wird auf den Servern des Anbieters verarbeitet, bei den bekannten Diensten meist in den USA. Bei privaten Konten hängt es von den Einstellungen ab, ob der Anbieter die Eingaben auch zum Weitertrainieren seiner Modelle verwenden darf. Viele wissen nicht einmal, dass es diese Einstellung gibt.

Bei Geschäftskonten sieht das anders aus: Die großen Anbieter schließen das Training mit Kundendaten dort in der Regel vertraglich aus und bieten einen Vertrag zur Auftragsverarbeitung an. Der Unterschied zwischen „ein Mitarbeiter nutzt sein privates Konto“ und „der Betrieb nutzt ein Firmenkonto“ ist also kein technischer, sondern ein vertraglicher, und genau der zählt, wenn später jemand fragt.

Was unbedenklich ist

• Texte ohne Bezug zu bestimmten Personen: Stellenanzeigen, Produktbeschreibungen, allgemeine Rundschreiben
• Formulierungshilfe für eigene Texte, solange keine Namen, Beträge oder Vertragsdetails darin stehen
• Recherche und Erklärungen, etwa zu einer Norm, einer Software oder einem Fachbegriff
• Übersetzungen von Unterlagen, die ohnehin öffentlich sind

Was nicht hineingehört

• Namen, Adressen und Kontaktdaten von Kunden, Mandanten oder Patienten
• Verträge, Angebote und Rechnungen mit Kundennamen oder Konditionen
• Bewerbungen, Personalakten, Krankmeldungen
• Zugangsdaten, Passwörter, interne Adressen und Konfigurationen
• Alles, was unter ein Berufsgeheimnis oder eine Verschwiegenheitspflicht fällt

Die Faustregel ist einfach: Was Sie nicht auf einer Postkarte verschicken würden, gehört auch nicht in ein privates KI-Konto.

Das eigentliche Problem sind nicht die Werkzeuge

Die meisten Betriebe haben kein KI-Problem, sondern ein Regelproblem. Es gibt keine Absprache, welche Werkzeuge erlaubt sind, also nutzt jeder, was er kennt. Die Konten laufen auf private E-Mail-Adressen, niemand hat einen Überblick, und wenn ein Mitarbeiter geht, nimmt er seinen Verlauf mit, samt allem, was er dort je hochgeladen hat.

Ein Verbot hilft dabei selten. Die Werkzeuge sind zu nützlich, und was verboten ist, wird eben heimlich genutzt. Besser ist es, den Einsatz zu ordnen.

Drei Schritte, die sofort helfen

1. Eine Regel aufschreiben. Zwei Seiten reichen: welche Werkzeuge erlaubt sind, welche Daten hinein dürfen und welche nicht, und wer bei Zweifeln entscheidet. Die Listen oben sind ein guter Anfang. Wichtig ist, dass die Regel alle kennen, nicht dass sie vollständig ist.

2. Firmenkonten statt Privatkonten. Wer KI im Arbeitsalltag nutzt, bekommt ein Konto, das dem Betrieb gehört, mit Vertrag zur Auftragsverarbeitung und ausgeschlossenem Training. Wenn Sie Microsoft 365 einsetzen, läuft die Anmeldung idealerweise über die bestehenden Zugänge, dann gilt auch dort der zweite Faktor. Wie das bei Microsoft 365 aussieht, beschreiben wir unter Microsoft 365 absichern.

3. Vor der Eingabe aufräumen. Viele Aufgaben funktionieren genauso gut ohne Namen. „Formuliere eine freundliche Zahlungserinnerung über einen offenen Betrag“ braucht weder den Kunden noch die Summe. Diese Gewohnheit kostet zehn Sekunden und löst einen großen Teil des Problems.

Wann eine eigene KI-Umgebung sinnvoll ist

Für die meisten Betriebe sind Regeln und Firmenkonten die richtige Antwort. Anders ist es, wenn Daten das Haus überhaupt nicht verlassen dürfen, etwa in Kanzleien, Praxen oder bei Beratern mit vertraulichen Unterlagen. Dann kann eine KI sinnvoll sein, die im eigenen Firmennetz oder in einem deutschen Rechenzentrum läuft und Ihre eigenen Dokumente kennt, ohne dass etwas nach außen geht. Welche Stufe zu welchem Betrieb passt, erklären wir auf unserer Seite KI im Haus.

Was das nicht ist

Dieser Beitrag ist keine Rechtsberatung. Ob Ihr konkreter Einsatz datenschutzrechtlich zulässig ist, beurteilt Ihr Datenschutzbeauftragter oder Anwalt. Wir sorgen für die technische Seite: Konten, Zugriffe, Regeln, die im Alltag funktionieren. Wie es in Ihrem Betrieb aussieht, zeigt der IT-Sicherheitscheck, in dem die KI-Nutzung jetzt fester Prüfpunkt ist. Oder Sie sprechen direkt mit uns im Erstgespräch.

Häufige Fragen

Homeoffice und ein zweiter Standort sind technisch dasselbe Thema: Menschen und Geräte außerhalb des Büros brauchen Zugriff auf Dinge, die im Büro oder in der Cloud liegen. Sicher wird das nicht durch ein einzelnes Produkt, sondern durch vier Entscheidungen, die die meisten Unternehmen bislang nicht bewusst getroffen haben.

Entscheidung 1: Welche Geräte dürfen überhaupt ran?

Die ehrliche Antwort in vielen Unternehmen lautet „alle, auf denen sich jemand anmelden kann“. Der private Laptop, das Tablet der Kinder, das alte Notebook aus dem Schrank. Das Unternehmen weiß nicht, ob diese Geräte Updates bekommen, ob ein Virenschutz läuft, ob sie verschlüsselt sind, wer sie sonst noch nutzt.

Die bessere Antwort: Firmendaten liegen auf Firmengeräten. Die sind verschlüsselt, bekommen Updates zentral, haben einen überwachten Virenschutz und lassen sich aus der Ferne löschen, wenn sie im Zug bleiben. Wo das nicht geht, bleibt der Zugriff über den Browser mit zweitem Faktor, ohne dass Dateien auf dem Gerät landen. Was es nicht mehr geben sollte: den vollen Zugang von einem Gerät, das niemand kennt.

Entscheidung 2: Wie kommen die Geräte ins Büro?

Hier liegt der Fehler von 2020. Damals wurde in vielen Unternehmen ein Remote-Desktop direkt aus dem Internet erreichbar gemacht, oder ein VPN mit einem Passwort für alle eingerichtet, das seitdem nie geändert wurde und das auch die Mitarbeiter kennen, die längst gegangen sind. Offene Remote-Desktops sind seit Jahren der häufigste Einstieg für Ransomware, weil sie sich automatisiert finden und mit gestohlenen Passwörtern durchprobieren lassen.

Ein Fernzugang braucht drei Eigenschaften: Er ist persönlich, jeder Mitarbeiter hat seinen eigenen, der sich einzeln sperren lässt. Er verlangt einen zweiten Faktor. Und er ist von außen nicht als offene Tür sichtbar, sondern läuft über ein VPN oder einen Zugangsdienst, der erst nach der Anmeldung etwas freigibt. Alles, was heute direkt aus dem Internet erreichbar ist, gehört auf die Liste – und zwar oben.

Entscheidung 3: Brauchen Sie das Büro überhaupt noch als Zentrum?

Viele Unternehmen mit zehn bis fünfzig Arbeitsplätzen haben inzwischen fast alles in Microsoft 365: Mail, Dateien, Teams. Was noch im Büro steht, ist ein alter Server mit der Branchensoftware und ein Drucker. Für die Cloud brauchen Sie kein VPN, dort regelt der bedingte Zugriff, welche Geräte und Konten hineindürfen. Ein VPN ins Büro brauchen Sie nur noch für das, was dort tatsächlich steht.

Das ist eine Gelegenheit: Wer den letzten lokalen Server ablöst oder in ein Rechenzentrum verlagert, braucht keine Vernetzung mehr, sondern an jedem Standort nur noch eine ordentliche Firewall und Internet. Ob das bei Ihnen geht, hängt von der Branchensoftware ab. Erstaunlich oft geht es.

Entscheidung 4: Wie hängen zwei Standorte zusammen?

Wenn beide Standorte auf dieselben lokalen Systeme zugreifen müssen, ist eine feste Verbindung zwischen den beiden Firewalls der saubere Weg – ein Tunnel, der dauerhaft steht, verschlüsselt, ohne dass Mitarbeiter etwas tun müssen. Wichtig dabei: Die Firewalls an beiden Enden müssen gleichwertig sein. Ein Standort mit professioneller Firewall und einer mit dem Provider-Router sind zusammen so sicher wie der Provider-Router.

Und in beiden Büros gilt, was auch für eines gilt: Gäste-WLAN getrennt vom Firmennetz, Drucker und Kameras in einem eigenen Bereich, kein Gerät, das seit Jahren mit Standardpasswort läuft. Was ein Firmennetz an Grundlagen braucht, steht in IT für 10 bis 50 Mitarbeiter.

Was am Küchentisch dann anders ist

Der Laptop ist ein Firmengerät, verschlüsselt, mit Updates, die nachts kommen. Der Mitarbeiter meldet sich mit seinem Konto und seinem Handy als zweitem Faktor an. Auf Microsoft 365 greift er direkt zu, auf die Branchensoftware über ein VPN, das nur für ihn gilt. Was im Heim-WLAN sonst noch hängt, spielt keine Rolle mehr, weil der Laptop dem Netz nicht vertraut, in dem er steht. Und wenn er eines Tages im Zug liegen bleibt, ist er nach einem Anruf leer.

Das ist kein Großprojekt. Bei einem Unternehmen mit zwanzig Arbeitsplätzen sind das einige Tage Umstellung, verteilt auf einige Wochen, damit der Betrieb nicht stört. Wenn Sie wissen wollen, wo Ihr Fernzugang heute steht – und ob ein Remote-Desktop bei Ihnen offen aus dem Internet erreichbar ist, was wir von außen in wenigen Minuten sehen –, ist das Erstgespräch der richtige Ort.

Häufige Fragen

1. „Unsere Bankverbindung hat sich geändert“

Eine Mail vom Lieferanten, mit dem Sie seit Jahren arbeiten. Der Ton stimmt, die Signatur stimmt, sogar der Bezug auf die laufende Bestellung stimmt. Nur die Kontonummer auf der angehängten Rechnung ist neu. Was dahintersteckt: Das Postfach des Lieferanten ist gekapert, und der Angreifer hat wochenlang mitgelesen, bis eine Rechnung fällig war.

Woran Sie es erkennen: gar nicht, an der Mail. Nur an der Regel: Eine geänderte Bankverbindung wird immer telefonisch bestätigt, über die Nummer, die Sie schon hatten – nicht über die aus der Mail.

2. „Ihr Passwort läuft in 24 Stunden ab“

Angeblich von Microsoft, mit Logo, mit einem Knopf „Passwort beibehalten“. Der Link führt auf eine Anmeldeseite, die aussieht wie die echte. Wer dort Benutzername und Passwort eingibt, hat sie gerade verschenkt – und wenn danach der Zwei-Faktor-Code abgefragt wird, den auch.

Woran Sie es erkennen: Microsoft schickt keine Mails, dass Ihr Passwort abläuft. Und kein Dienst braucht Ihr Passwort per Link. Wer unsicher ist, öffnet den Browser und tippt die Adresse selbst ein, statt zu klicken.

3. „Ich bin gerade in einer Besprechung, kannst du mir kurz helfen?“

Per SMS oder WhatsApp, angeblich vom Chef, an eine Mitarbeiterin in der Buchhaltung. Es folgt die Bitte, Gutscheinkarten zu kaufen oder eine dringende Überweisung freizugeben, und die Bitte, das diskret zu behandeln. Der Name stimmt, das Foto manchmal auch. Die Nummer ist neu, „weil das Diensthandy kaputt ist“.

Woran Sie es erkennen: an der Kombination aus Eile, Geheimhaltung und einer neuen Nummer. Ein Chef, der wirklich Gutscheinkarten braucht, ruft an. Und ein Unternehmen, in dem klar ist, dass niemand allein Geld freigibt, ist gegen diese Masche immun.

4. „Ihr Paket konnte nicht zugestellt werden“

SMS oder Mail von DHL, Hermes oder der Post: eine kleine Zollgebühr sei fällig, bitte hier zahlen. Der Betrag ist klein, die Seite sieht echt aus, und irgendjemand im Büro wartet immer auf ein Paket. Ziel sind die Kreditkartendaten, und manchmal die Installation einer App, die dann alles mitliest.

Woran Sie es erkennen: Paketdienste verlangen keine Gebühren per Link, und schon gar nicht per SMS. Wer ein Paket erwartet, prüft die Sendungsnummer direkt auf der Seite des Dienstes.

5. „Bewerbung als Sachbearbeiter – Anschreiben und Lebenslauf anbei“

Sie haben eine Stelle ausgeschrieben, und es kommt eine Bewerbung mit Anhang. Der Anhang ist keine PDF, sondern eine ZIP-Datei, eine ISO-Datei oder ein Word-Dokument, das beim Öffnen fragt, ob es „Inhalte aktivieren“ darf. Wer ja sagt, hat den Trojaner selbst gestartet.

Woran Sie es erkennen: an der Dateiendung. Bewerbungen kommen als PDF. Alles andere – ZIP, ISO, Dateien, die nach dem Öffnen um Erlaubnis fragen – wird nicht geöffnet, sondern gemeldet.

6. „AW: AW: Ihr Angebot vom 14.03.“

Die gefährlichste Variante, weil sie die echte Historie mitbringt. Die Mail antwortet auf einen Austausch, den Sie vor Monaten tatsächlich mit einem Kunden hatten. Der Absender ist der echte Kunde, der Betreff auch. Nur der Text ist knapp – „anbei die besprochenen Unterlagen“ – und der Anhang oder Link ist neu. Das Postfach des Kunden ist übernommen, und der Angreifer antwortet auf alles, was er dort findet.

Woran Sie es erkennen: am Bruch zwischen Historie und Inhalt. Ein Kunde, der nach fünf Monaten Schweigen plötzlich ohne ein persönliches Wort „Unterlagen“ schickt, ist verdächtig. Anrufen. Meist ist er dankbar, weil er von der Übernahme noch nichts wusste.

7. „Bestätigen Sie, dass Sie kein Roboter sind“

Die neueste Variante, vor der das BSI seit September 2026 ausdrücklich warnt: Eine Webseite zeigt eine angebliche Sicherheitsabfrage und bittet Sie, zur Bestätigung eine Tastenkombination zu drücken und etwas einzufügen. Was Sie damit tun: einen Befehl in Windows ausführen, der Schadsoftware nachlädt. Kein Anhang, kein Download, nur drei Tastendrücke.

Woran Sie es erkennen: Keine echte Sicherheitsabfrage verlangt, dass Sie Tasten drücken oder etwas in ein Fenster einfügen. Ein Klick auf ein Kästchen, mehr nicht. Alles andere ist ein Angriff.

Was alle sieben gemeinsam haben

Sie funktionieren nicht wegen der Technik, sondern wegen des Moments: Eile, Autorität, ein echter Vorgang, ein vertrauter Name. Und sie scheitern alle am selben Verhalten: nachfragen, bevor man klickt, und zwar bei jemandem, den man über einen anderen Weg erreicht als den aus der Nachricht.

Damit das im Unternehmen passiert, braucht es weniger eine Schulung als eine Kultur: Wer nachfragt, hat recht, auch wenn es Fehlalarm war. Wer geklickt hat, sagt es sofort und bekommt Hilfe, keinen Vorwurf. In Unternehmen, in denen das gilt, richten Phishing-Mails selten Schaden an. In den anderen erfahren wir es drei Tage später. Was dann zu tun ist, steht im Ransomware-Notfallfahrplan – besser, Sie brauchen ihn nie.

Technisch lässt sich vieles abfedern: Zwei-Faktor-Anmeldung macht gestohlene Passwörter fast wertlos, ein Linkschutz im Postfach fängt die Anmeldeseiten ab, und gesperrte Weiterleitungen verhindern das wochenlange Mitlesen. Die zehn wichtigsten Einstellungen dafür haben wir in Microsoft 365: 10 Einstellungen zusammengestellt. Wenn Sie wissen wollen, wie es bei Ihnen aussieht, reicht ein Erstgespräch.

Häufige Fragen

Das Spannungsfeld ist bekannt. Das Geldwäschegesetz zwingt Sie, Daten zu erheben und Jahre aufzubewahren. Die Datenschutz-Grundverordnung verlangt, dass Sie genau das so sparsam und so sicher wie möglich tun – und den Rest zügig löschen. Welche Pflicht in welchem Vorgang gilt, ist eine Frage für Ihren Anwalt. Wo die Daten dann liegen und wer sie sehen kann, ist eine Frage für uns. Und da sieht es in vielen Büros so aus:

Wo die Ausweise wirklich liegen

Nicht in einem Ordner. Sie liegen in der Handy-Galerie des Maklers, der sie beim Notartermin fotografiert hat. In seinem iCloud- oder Google-Backup, weil das Handy automatisch sichert. Im WhatsApp-Verlauf mit dem Käufer, der sein Ausweisfoto dorthin geschickt hat. Im Postfach der Büroadresse, in das alle schauen. Auf dem Scanner, der die letzten dreihundert Scans zwischenspeichert. Und in dem Ordner „Ausweise“, der einmal auf dem Server angelegt wurde und den jeder im Büro öffnen kann.

Keiner dieser Orte ist böse gemeint. Zusammen ergeben sie aber ein Bild, das Sie einer Aufsichtsbehörde nicht erklären wollen: Sie wissen nicht, wo die Ausweiskopien Ihrer Kunden liegen, wer sie sehen kann, und ob sie je gelöscht werden.

Vier Dinge, die das ändern

Ein Ort, nicht sechs

Alles, was Identität oder Bonität eines Kunden betrifft, liegt an genau einem Ort: in der Maklersoftware, wenn sie das kann, sonst in einem eigenen, verschlüsselten Bereich, auf den nur die zugreifen, die es für den Vorgang brauchen. Nicht „das ganze Büro“. Der Ordner „Ausweise“ auf dem Server, den jeder öffnen kann, wird abgeschafft. Das klingt trivial und ist in der Praxis der Punkt, an dem die meisten Büros scheitern, weil er Gewohnheiten ändert.

Das Handy als Werkzeug, nicht als Archiv

Makler fotografieren Ausweise, das wird sich nicht ändern. Was sich ändern lässt: womit. Eine Scan-App, die das Bild direkt in den geschützten Bereich lädt und nicht in der Galerie speichert. Firmenhandys, auf denen der geschäftliche Teil vom privaten getrennt ist und sich aus der Ferne löschen lässt. Und die Regel, dass Ausweisfotos nicht per WhatsApp kommen – mit einem Link zum Upload, den Sie dem Kunden stattdessen schicken.

E-Mail ist für Termine, nicht für Selbstauskünfte

Interessenten schicken Gehaltsnachweise als Anhang, weil Sie sie darum gebeten haben. Bitten Sie sie um etwas anderes: einen Upload über ein Portal oder ein Formular, das die Unterlagen direkt in den geschützten Bereich legt. Für das Büro heißt das, dass Anhänge mit Bonitätsunterlagen nicht mehr im Postfach liegen, wo sie jeder Mitarbeiter, jeder Angreifer mit einem gestohlenen Passwort und jede Weiterleitungsregel erreicht. Was im Postfach sonst noch schiefgehen kann, steht in Microsoft 365: 10 Einstellungen.

Löschen muss jemand tun

Die Selbstauskunft des Interessenten, der die Wohnung nicht bekommen hat, muss weg. Die GwG-Unterlagen nach Ablauf der Frist auch. Das passiert nur, wenn ein Ablauf existiert: Wer prüft wann, was gelöscht werden muss, und wie stellt er sicher, dass es überall weg ist – auch aus dem Backup-Zyklus, auch vom Handy. Die Fristen gibt Ihr Anwalt vor. Dass das Löschen dann tatsächlich stattfindet, ist Technik und Routine.

Die andere Seite: Ihr Name als Köder

Ein Maklerbüro hat noch ein zweites Problem, das mit Ausweisen nichts zu tun hat. Ihr Konto bei ImmoScout, Immowelt oder Kleinanzeigen ist für Betrüger wertvoll: Wer es übernimmt, stellt unter Ihrem Namen Wohnungen ein, die es nicht gibt, und kassiert Kautionen von Suchenden, die Ihrem Namen vertrauen. Die Beschwerden landen dann bei Ihnen. Zwei-Faktor-Anmeldung für jedes Portalkonto, ein eigenes Passwort pro Portal, und niemand meldet sich mit dem Bürokonto von seinem privaten Rechner an. Das ist alles – und es ist in vielen Büros nicht so.

Was Sie sich nicht kaufen müssen

Kein DSGVO-Komplettpaket, keine Zertifizierung, keine Software, die „GwG-konform“ im Namen trägt. Die vier Punkte oben sind Ordnung, ein paar Einstellungen und ein Gespräch mit dem Team darüber, was ab jetzt anders läuft. Wenn Sie wissen wollen, wo Ihr Büro heute steht, schauen wir uns das im Erstgespräch an – ohne Ihre Kundendaten zu sehen, versprochen. Die Frage nach dem Ordner „Ausweise“ stellen wir trotzdem.

Häufige Fragen

Und trotzdem sieht die IT in vielen Kanzleien so aus wie überall: gewachsen, von jemandem betreut, der nebenbei auch Steuerberater ist, und mit DATEV als beruhigendem Gefühl, dass sich die Großen schon kümmern. DATEV kümmert sich auch – um DATEV. Der Rest ist Ihr Terrain, und dort liegen fast immer dieselben fünf Lücken.

Lücke 1: Der Kanzleiserver, den seit Jahren niemand angefasst hat

Er steht im Nebenraum, auf ihm laufen DATEV-Komponenten, das Dokumentenmanagement und die Freigaben, und er läuft. Genau das ist das Problem. Updates werden verschoben, weil ein Neustart den Betrieb stört. Das Betriebssystem ist manchmal älter als die jüngste Mitarbeiterin. Und das Backup davon läuft auf eine Festplatte im selben Raum, die noch nie zurückgespielt wurde.

Ein Kanzleiserver braucht drei Dinge: Updates, die tatsächlich eingespielt werden, mit einem festen Wartungsfenster am Abend. Ein Backup, das außer Haus liegt und das jemand vierteljährlich testet. Und einen Plan, was passiert, wenn er morgen früh nicht mehr startet – mit einer Zahl, wie lange die Wiederherstellung dauert. Warum das Backup der wichtigste Punkt ist, steht in Backup ist kein Sync.

Lücke 2: Mandantenunterlagen per E-Mail-Anhang

Die Bilanz als PDF an die Privatadresse des Mandanten. Der Vertragsentwurf an den Gegenanwalt. Die Lohnabrechnungen an die Buchhaltung des Kunden. Alles per E-Mail, unverschlüsselt, an Adressen, die niemand geprüft hat. E-Mail ist eine Postkarte, und Kanzleien verschicken damit täglich Dinge, die in einen versiegelten Umschlag gehören.

Die Werkzeuge gibt es: Mandantenportale, das beA für Anwälte, DATEV-Freigaben, verschlüsselte Übermittlung. Sie werden nur nicht benutzt, weil der Anhang schneller ist. Hier hilft weniger Technik als eine klare Regel in der Kanzlei: Was Mandantendaten enthält, geht nicht als Anhang raus. Ohne Ausnahme, auch nicht, wenn der Mandant es ausdrücklich so möchte.

Lücke 3: Das eine Passwort, das alle kennen

Das Kanzlei-Postfach, in das alle schauen. Der DATEV-Zugang, der auf einem Zettel im Sekretariat klebt. Das WLAN-Passwort, das seit dem Einzug gilt. Gemeinsame Zugänge sind in Kanzleien verbreitet, weil Vertretung ständig nötig ist – wer krank ist, dessen Post muss trotzdem gelesen werden.

Vertretung geht auch mit persönlichen Konten: Postfächer lassen sich freigeben, DATEV kennt Stellvertreterregelungen, Passwort-Manager teilen Zugänge nachvollziehbar. Der Unterschied ist, dass Sie hinterher wissen, wer wann auf was zugegriffen hat. Bei einem gemeinsamen Konto wissen Sie es nie – und das ist, wenn ein Mandant fragt, die schlechteste Antwort, die eine Kanzlei geben kann.

Lücke 4: Der Fernzugang aus dem Homeoffice

Seit 2020 arbeiten auch Kanzleimitarbeiter von zu Hause. Der Weg dorthin wurde damals schnell gebaut: eine Remote-Desktop-Verbindung, ein VPN mit einem Passwort für alle, TeamViewer auf dem Kanzleirechner. Vieles davon läuft heute noch so.

Ein offener Fernzugang ohne zweiten Faktor ist der Einstieg, den Ransomware-Gruppen am liebsten nehmen, weil er so bequem ist wie für den Mitarbeiter. Was es braucht: ein VPN mit persönlichen Zugängen und Zwei-Faktor-Anmeldung, keine direkt aus dem Internet erreichbaren Remote-Desktops, und Laptops, die verschlüsselt sind, falls einer im Zug bleibt. Wie das sauber geht, beschreibt Homeoffice und Standortvernetzung.

Lücke 5: Wer alles noch Zugriff hat

Die Auszubildende von vor drei Jahren. Der Kollege, der zur Konkurrenz gewechselt ist. Der alte IT-Dienstleister. Der Steuerberater, der die Kanzlei verkauft hat und noch ein Admin-Konto besitzt. Bei Bestandsaufnahmen in Kanzleien finden wir fast immer Zugänge von Menschen, die längst nicht mehr da sein sollten – und niemand kann sagen, ob sie benutzt wurden.

Die Lösung ist keine Technik, sondern eine Liste und ein Ablauf: Welche Zugänge hat jede Person, und wer sperrt sie am letzten Arbeitstag? Bei einem Berufsgeheimnisträger ist das kein Ordnungsthema. Es ist die Frage, ob die Kanzlei noch die Kontrolle darüber hat, wer Mandantenakten lesen kann.

Was das nicht ist

Keine dieser fünf Lücken erfordert ein Projekt, ein Zertifikat oder ein Sicherheitsprodukt mit langem Namen. Es sind fünf Nachmittage Arbeit, verteilt über ein paar Wochen, und danach Pflege. Was es erfordert, ist jemand, der es tut und der die Verschwiegenheit, die Sie Ihren Mandanten schulden, vertraglich mitträgt. Die rechtliche Bewertung, was in Ihrer Kanzlei verpflichtend ist, bleibt bei Ihnen als Berufsträger. Die technische Umsetzung nicht.

Wenn Sie wissen wollen, welche der fünf Lücken bei Ihnen offen sind, ist der 15-Punkte-Selbstcheck ein Anfang für den Abend. Für den Rest gibt es das Erstgespräch, gern mit Blick auf Ihre konkrete DATEV-Umgebung.

Häufige Fragen

Die zehn Punkte unten sind die, die wir bei einer Bestandsaufnahme als Erstes prüfen. Nicht, weil sie kompliziert wären, sondern weil sie fast immer offen sind – und weil hinter fast jedem Vorfall, den wir bei Microsoft-365-Kunden gesehen haben, einer dieser Punkte steckte.

Zugänge

1. Zwei-Faktor-Anmeldung für jedes Konto, ohne Ausnahme

Nicht nur für die Geschäftsführung, nicht nur für die, die es freiwillig eingerichtet haben. Für alle, auch für das Postfach der Rezeption und das Konto für den Scanner. Der Angreifer sucht sich das eine Konto ohne zweiten Faktor, und das ist erfahrungsgemäß nie das des Chefs.

2. Administratoren arbeiten nicht mit Administratorkonten

Wer die Umgebung verwaltet, braucht zwei Konten: eines zum Arbeiten und Mailen, eines für die Verwaltung. Das Admin-Konto hat keine Mailbox, keine Lizenz und wird nur benutzt, wenn etwas eingestellt wird. Ein Admin, der mit seinem Admin-Konto Mails liest, ist die Einladung, die am häufigsten angenommen wird.

3. Ein Notfall-Admin, dessen Zugang im Tresor liegt

Wenn der einzige Administrator im Urlaub ist, sein Handy verliert oder das Unternehmen verlässt, ist die Umgebung ohne dieses Konto nicht mehr erreichbar. Deshalb gehört ein zweites Admin-Konto dazu, das nur in der Cloud existiert, keiner Person zugeordnet ist und im Alltag nicht benutzt wird. Microsoft empfiehlt sogar zwei solcher Notfallkonten. Weil Microsoft für Administratoren inzwischen eine Mehrfaktor-Anmeldung verlangt, gehört auch dieses Konto geschützt: am besten mit einem Sicherheitsschlüssel (Passkey, FIDO2) oder einem Zertifikat statt mit einem Passwort allein. Die Zugangsdaten und der Schlüssel werden getrennt aufbewahrt, und mindestens alle 90 Tage sollte ein Anmeldetest laufen. Klingt nach Overkill, bis man es braucht.

E-Mail

4. Weiterleitungen nach außen sind blockiert

Der Klassiker nach einem gestohlenen Passwort: Der Angreifer richtet eine Regel ein, die alle Mails still an eine externe Adresse kopiert, und liest wochenlang mit. Exchange Online kann automatische Weiterleitungen nach außen zentral unterbinden. Die Einstellung kostet zwei Minuten und wird trotzdem in den meisten Umgebungen nie gesetzt.

5. Phishing-Schutz, der Links und Anhänge wirklich prüft

Der einfache Spamfilter ist bei jeder Lizenz dabei. Was er nicht tut: Links beim Anklicken prüfen und Anhänge in einer geschützten Umgebung öffnen, bevor sie beim Mitarbeiter landen. Das können die erweiterten Schutzfunktionen, die in Business Premium enthalten sind. Ob Sie die brauchen, hängt davon ab, wie viele Mails mit Anhängen bei Ihnen ankommen. Bei einer Kanzlei oder einem Makler lautet die Antwort ja.

6. Ihre Domain ist gegen Missbrauch abgesichert

Drei Einträge im Domain-System – SPF, DKIM, DMARC – sorgen dafür, dass niemand Mails in Ihrem Namen verschicken kann, ohne dass die Empfänger gewarnt werden. Sie schützen weniger Sie als Ihre Kunden, und seit große Anbieter Mails ohne diese Einträge zunehmend abweisen, schützen sie auch Ihre Zustellbarkeit. Ob sie bei Ihnen gesetzt sind, sieht man von außen in einer Minute.

Daten

7. Freigaben sind nicht „jeder mit dem Link“

OneDrive und SharePoint erlauben standardmäßig Links, die jeder öffnen kann, der sie hat. Das ist praktisch und der Grund, warum Angebote und Personalunterlagen in fremden Postfächern liegen. Die Voreinstellung lässt sich auf „nur Personen in der Organisation“ oder „nur bestimmte Personen“ setzen. Ausnahmen bleiben möglich, nur eben bewusst.

8. Es gibt ein Backup, das nicht bei Microsoft liegt

Microsoft hält den Dienst am Laufen. Was ein Mitarbeiter löscht, ein Trojaner verschlüsselt oder ein Angreifer mit Admin-Rechten leert, ist nicht Microsofts Problem, sondern Ihres. Der Papierkorb hilft dreißig Tage, danach nicht mehr. Ein echtes Backup der Postfächer, Dateien und Teams-Daten liegt außerhalb des Kontos, bei einem anderen Anbieter, und wird gelegentlich zurückgespielt, um zu prüfen, dass es funktioniert. Mehr dazu in Backup ist kein Sync.

Geräte und Kontrolle

9. Firmendaten nur auf Geräten, die Sie kennen

Wenn sich jeder von jedem Gerät anmelden kann, liegen Ihre Kundendaten auf dem privaten Laptop des Praktikanten und auf dem Handy, das der Ex-Mitarbeiter behalten hat. Mit der Geräteverwaltung in Business Premium lässt sich festlegen, dass Firmendaten nur auf verwalteten oder zumindest verschlüsselten Geräten landen – und dass sie sich aus der Ferne löschen lassen, wenn ein Gerät weg ist.

10. Jemand schaut regelmäßig ins Protokoll

Microsoft 365 protokolliert Anmeldungen, Regeländerungen, Freigaben, Admin-Aktionen. Das nützt nur, wenn jemand die Warnungen bekommt und liest: Anmeldung aus einem Land, in dem niemand von Ihnen ist. Neue Weiterleitungsregel. Massenhaftes Herunterladen. Diese Benachrichtigungen lassen sich einrichten, und sie sind der Unterschied zwischen einem Vorfall, den Sie nach zwei Stunden bemerken, und einem, den Ihr Kunde Ihnen nach drei Monaten meldet.

Und dann?

Die zehn Punkte sind kein Projekt, sondern ein Nachmittag Einrichtung und danach Routine. Was in den meisten Unternehmen fehlt, ist nicht das Wissen, sondern jemand, der es tatsächlich macht und einmal im Quartal wieder hinschaut. Wenn Sie nicht sicher sind, wie Ihre Umgebung heute eingestellt ist, prüfen wir das im Erstgespräch – bei bestehenden Umgebungen dauert allein die Bestandsaufnahme meist weniger als eine Stunde, und das Ergebnis ist selten so schlecht, wie befürchtet, aber fast nie so gut, wie gedacht.

Häufige Fragen

Der folgende Ablauf ist für ein Unternehmen ohne eigene IT-Abteilung gedacht. Er ersetzt keinen Notfallplan, den Sie mit Ihrem Dienstleister für Ihre Systeme geschrieben haben. Aber wenn Sie so einen Plan nicht haben, ist er besser als Panik.

Zum Ausdrucken: Notfallfahrplan als PDF – eine Seite zum Aufhängen, mit Feldern für Ihre eigenen Notfallnummern.

Die erste Stunde: Ausbreitung stoppen

Netzwerk trennen, Geräte nicht ausschalten

Ziehen Sie das Netzwerkkabel aus dem betroffenen Rechner, schalten Sie das WLAN ab, und wenn Sie nicht wissen, welche Geräte betroffen sind, trennen Sie das ganze Unternehmen vom Internet: Stecker am Router oder an der Firewall. Das klingt radikal. Es ist der einzelne Schritt, der am meisten rettet, weil Verschlüsselungstrojaner sich über das Netz ausbreiten und mit dem Angreifer draußen kommunizieren.

Schalten Sie die Rechner nicht aus und starten Sie nichts neu. Im Arbeitsspeicher liegen Spuren, die später zeigen, was passiert ist und wie weit es gekommen ist. Wer alles neu startet, löscht die Beweise, bevor jemand sie ansehen konnte.

Das Backup vom Netz nehmen – sofort

Wenn Ihre Sicherung auf einem NAS im Haus läuft oder auf einem Server erreichbar ist, trennen Sie das Gerät als Erstes. Ransomware sucht gezielt nach Backups und verschlüsselt sie zuerst, weil ein Unternehmen ohne Backup zahlt. Was nicht erreichbar ist, kann nicht verschlüsselt werden.

Anrufen, nicht mailen

Ihr IT-Dienstleister, mit Telefonnummer. Wenn Sie keinen haben, jemanden, der so etwas schon gesehen hat. Ihre E-Mail kann mitgelesen sein, also Telefon. Und sagen Sie im Betrieb Bescheid: Niemand meldet sich mehr irgendwo an, niemand öffnet Anhänge, niemand versucht, „schnell noch“ etwas zu retten.

Die ersten Stunden: Verstehen, was passiert ist

Was ist betroffen, was nicht?

Welche Rechner zeigen die Meldung? Ist der Server betroffen? Die Cloud? Die Buchhaltung? Machen Sie eine Liste, mit Handy-Fotos der Bildschirme. Das brauchen Sie später für die Versicherung und die Anzeige, und es hilft dem, der jetzt helfen soll.

Die Erpresserbotschaft fotografieren, nicht antworten

Sie enthält meist eine Kennung und eine Kontaktadresse. Beides ist wichtig für die Ermittlungsbehörden und für die Frage, welche Gruppe dahintersteckt. Antworten Sie nicht, verhandeln Sie nicht auf eigene Faust. Und zahlen Sie am ersten Tag auf keinen Fall.

Wurden Daten gestohlen?

Fast alle Ransomware-Gruppen kopieren die Daten vor dem Verschlüsseln und drohen mit Veröffentlichung. Das ändert alles an den Meldepflichten. Gehen Sie davon aus, dass es passiert ist, bis jemand das Gegenteil belegt.

Noch am ersten Tag: Melden und informieren

Hier hört unsere Zuständigkeit auf und die Ihres Anwalts oder Datenschutzbeauftragten beginnt. Was Sie wissen sollten, damit Sie die richtigen Fragen stellen:

Datenschutzbehörde. Wenn personenbezogene Daten betroffen sein könnten – und das sind sie fast immer, Kundendaten, Mitarbeiterdaten, Mails –, gilt eine Meldefrist von 72 Stunden. Die läuft ab dem Moment, in dem Sie den Vorfall bemerkt haben. Nicht ab dem Moment, in dem Sie ihn verstanden haben.

Versicherung. Wenn Sie eine Cyber-Versicherung haben, steht in den Bedingungen fast immer eine sofortige Meldepflicht. Viele Versicherer stellen dann selbst Spezialisten, die Ihnen helfen. Das ist der Moment, in dem sich die Police bezahlt macht – wenn Sie sie rechtzeitig aktivieren.

Polizei. Anzeige erstatten, bei der Zentralen Ansprechstelle Cybercrime Ihres Bundeslandes. Nicht, weil die den Fall lösen werden. Sondern weil die Versicherung sie braucht, und weil Ihre Kennung aus der Erpresserbotschaft anderen hilft.

Kunden und Partner. Wenn Ihre E-Mail betroffen ist, verschicken die Angreifer möglicherweise in Ihrem Namen weiter. Ein kurzer Anruf bei den wichtigsten Kunden, dass sie Mails von Ihnen gerade nicht öffnen sollen, ist unangenehm. Der Anruf, warum Ihr Kunde jetzt auch verschlüsselt ist, ist schlimmer.

Ab Tag zwei: Wiederherstellen, aber richtig

Jetzt entscheidet sich, ob Sie ein Backup hatten oder nur geglaubt haben, eines zu haben. Wenn eine saubere Sicherung existiert, die vor dem Vorfall liegt und nicht erreichbar war, ist die Wiederherstellung Arbeit, aber planbar. Wenn nicht, wird es die teuerste Woche in der Geschichte Ihres Unternehmens. Warum ein Cloud-Sync hier nicht hilft, steht in Backup ist kein Sync.

Ein Fehler, den wir immer wieder sehen: Rechner neu aufsetzen und weitermachen, ohne zu wissen, wie die Angreifer hineingekommen sind. Ein offener Fernzugang, ein altes Passwort, ein Rechner ohne Updates – wenn die Tür noch offen ist, kommen sie wieder. Erst die Ursache, dann der Neustart. Auch wenn jeder Tag Stillstand Geld kostet.

Was Sie heute tun können, damit dieser Text nur Lektüre bleibt

Alles oben wird einfacher, wenn drei Dinge vorher geklärt sind: Wen rufen Sie an, mit Nummer, und weiß derjenige das? Wo liegt das Backup, ist es vom Netz getrennt, und wann wurde es zuletzt getestet? Und wer im Unternehmen darf im Notfall entscheiden, wenn Sie gerade im Urlaub sind?

Diese drei Fragen sind Teil des 15-Punkte-Selbstchecks. Wenn Sie sie nicht sicher beantworten können, ist das kein Grund zur Panik, aber ein Grund, es diese Woche zu klären. Wir helfen dabei im Erstgespräch, und ehrlich gesagt lieber vorher als nachher.

Häufige Fragen

Vorab, damit wir uns nicht missverstehen: Ob Ihr Unternehmen unter NIS2 fällt, ist am Ende eine Rechtsfrage, und die beantwortet Ihr Anwalt oder das Prüfwerkzeug des BSI. Vier Fragen reichen aber, um ein Gefühl dafür zu bekommen, ob Sie sich damit beschäftigen müssen – oder ob Sie das Thema mit gutem Gewissen zur Seite legen können.

Worum es überhaupt geht

NIS2 ist eine europäische Richtlinie, die in Deutschland seit Ende 2025 als Gesetz gilt. Sie verpflichtet Unternehmen in bestimmten Branchen ab einer bestimmten Größe, ihre IT-Sicherheit nachweisbar in Ordnung zu bringen: Risiken bewerten, Maßnahmen umsetzen, Vorfälle melden, die Geschäftsführung in die Verantwortung nehmen. Neu daran ist nicht, was verlangt wird. Neu ist, dass es verlangt wird – und dass es Konsequenzen hat, wenn nicht.

Die Schätzungen, wie viele Unternehmen in Deutschland betroffen sind, liegen bei rund dreißigtausend. Das klingt nach viel und ist es auch. Die meisten davon haben keine IT-Abteilung.

Vier Fragen

1. In welcher Branche sind Sie?

NIS2 nennt Sektoren. Einige davon erwarten Sie: Energie, Wasser, Gesundheit, Verkehr, Banken, digitale Infrastruktur. Andere überraschen: verarbeitendes Gewerbe in bestimmten Bereichen, Lebensmittelproduktion, Entsorgung, Chemie, Post- und Kurierdienste, Hersteller von Maschinen, Fahrzeugen oder elektronischen Geräten. Wenn Ihre Branche in keiner Liste auftaucht, ist die Wahrscheinlichkeit hoch, dass Sie nicht direkt betroffen sind. Wenn sie auftaucht, geht es weiter mit Frage 2.

2. Wie groß sind Sie?

Die Grenze liegt bei 50 Mitarbeitern oder 10 Millionen Euro Jahresumsatz und Bilanzsumme. Darunter fallen Sie in den meisten Sektoren nicht unter das Gesetz, auch wenn die Branche stimmt. Es gibt Ausnahmen, bei denen die Größe keine Rolle spielt – etwa bestimmte Anbieter digitaler Dienste oder Unternehmen, die als einziger Anbieter einer wichtigen Leistung gelten. Das ist selten, aber es kommt vor.

3. Wer sind Ihre Kunden?

Hier wird es für viele kleine Unternehmen relevant, die bei Frage 2 aufgeatmet haben. NIS2 verpflichtet betroffene Unternehmen, auch ihre Lieferkette abzusichern. Wenn Ihr größter Kunde ein Energieversorger, ein Krankenhaus oder ein Automobilzulieferer ist, wird der früher oder später von Ihnen wissen wollen, wie es um Ihre IT-Sicherheit steht. Nicht, weil das Gesetz Sie meint. Sondern weil es ihn meint, und Sie sein Risiko sind. Der Fragebogen, der dann kommt, sieht aus wie eine NIS2-Prüfung. Nur ohne Behörde.

4. Könnten Sie es nachweisen?

Diese Frage steht nicht im Gesetz, aber sie entscheidet in der Praxis über alles. Angenommen, Sie sind betroffen oder Ihr Kunde behandelt Sie so. Könnten Sie heute zeigen, dass Ihr Backup getestet ist, wer Zugriff auf welche Systeme hat, was bei einem Vorfall passiert und wer ihn meldet? Mit Dokument, nicht mit „das haben wir im Griff“? Wenn nicht, ist das die eigentliche Baustelle, unabhängig davon, wie die ersten drei Fragen ausgegangen sind.

Was das für die drei häufigsten Fälle heißt

Branche nicht dabei, unter 50 Mitarbeiter, Kunden ohne NIS2-Bezug. Sie sind draußen. Legen Sie das Thema zur Seite und kümmern Sie sich um Backup, Zugänge und Updates, weil das ohnehin ansteht. Der 15-Punkte-Selbstcheck reicht dafür als Einstieg.

Branche nicht dabei, aber ein großer Kunde fragt. Der häufigste Fall bei unseren Kunden. Sie müssen dem Gesetz nicht genügen, aber dem Fragebogen. Ein strukturierter IT-Sicherheitscheck entlang der Prüfbereiche der DIN SPEC 27076 liefert genau die Antworten und die Dokumentation, die der Kunde sehen will. Wir haben erlebt, dass allein die Vorlage eines solchen Berichts die Rückfragen beendet hat.

Branche dabei und über der Größenschwelle. Dann ist das keine Frage mehr. Lassen Sie die Betroffenheit anwaltlich prüfen, registrieren Sie sich fristgerecht beim BSI, und bauen Sie die technische Seite mit jemandem auf, der das schon gemacht hat. Auch hier ist der Sicherheitscheck der Anfang, aber eben nur der.

Der Fehler, den wir am häufigsten sehen

Unternehmen, die vermuten, betroffen zu sein, und deshalb gar nichts tun, weil das Ganze zu groß wirkt. Und Unternehmen, die vermuten, nicht betroffen zu sein, und deshalb gar nichts tun, weil es sie ja nicht betrifft. Beide sitzen in derselben Lage: ohne getestetes Backup, ohne Übersicht über die Zugänge, ohne Plan für den Ernstfall. NIS2 ändert daran nichts. Es macht es nur für manche zur Pflicht.

Wenn Sie nach den vier Fragen unsicher sind, sprechen wir das im Erstgespräch durch. Wir sagen Ihnen, was technisch fehlt und was nicht. Die juristische Einordnung bleibt beim Anwalt – das ist keine Bescheidenheit, sondern die richtige Arbeitsteilung.

Wie das Prüfverfahren im Detail aufgebaut ist, erklären wir auf der Seite DIN SPEC 27076.

Häufige Fragen

Was braucht ein Unternehmen dieser Größe also tatsächlich? Weniger, als die meisten Angebote vermuten lassen. Eine Handvoll Dinge in der richtigen Reihenfolge – und den Mut, den Rest wegzulassen.

Erst die Basis: Was jeder Arbeitsplatz braucht

Klingt langweilig, ist aber der Teil, an dem später alles hängt. Wenn hier etwas fehlt, nützt die beste Firewall nichts.

Ein Netzwerk, das jemand bewusst eingerichtet hat

Nicht der Router vom Provider, an dem über die Jahre Switch um Switch angesteckt wurde. Ein Firmennetz braucht eine richtige Firewall am Übergang ins Internet, ein getrenntes Gäste-WLAN, und – wenn Maschinen, Kassen oder Kameras im Spiel sind – ein eigenes Netz dafür. Das ist kein Luxus. Es ist der Unterschied zwischen „ein Rechner ist infiziert“ und „alles ist infiziert“.

Rechner, die noch Updates bekommen

Windows 10 ist seit Oktober 2025 ohne Sicherheitsupdates. Wenn im Lager oder an der Zeiterfassung noch so ein Gerät steht, gehört das auf die Liste, ganz oben. Für den Rest gilt: Firmenlaptops verschlüsseln, ein Virenschutz, den jemand überwacht, und Updates, die nicht monatelang auf „später“ stehen.

E-Mail und Dateien an einem Ort, der Ihnen gehört

Für die meisten Unternehmen dieser Größe heißt das heute Microsoft 365, gelegentlich Google Workspace. Wichtig ist weniger, welches Produkt, sondern dass die Firma Vertragspartner ist, nicht der Dienstleister, und dass jeder Mitarbeiter ein eigenes Konto hat. Kein „Büro-Login“, den alle kennen. Wie Sie Microsoft 365 dann vernünftig absichern, steht in Microsoft 365: 10 Einstellungen.

Dann der Schutz: Drei Dinge, die den Unterschied machen

Wenn Sie in diesem Jahr nur drei Dinge angehen, dann diese. Sie kosten wenig, und sie verhindern die Fälle, die wir am häufigsten sehen.

Ein Backup, das nicht am selben Ort liegt und das jemand getestet hat

Wir fangen jede Bestandsaufnahme mit dieser Frage an, und die Antwort ist selten befriedigend. Ein Cloud-Sync ist kein Backup. Eine Festplatte im Serverschrank ist kein Backup außer Haus. Und ein Backup, das noch nie zurückgespielt wurde, ist eine Vermutung. Was stattdessen nötig ist, haben wir in Backup ist kein Sync aufgeschrieben.

Zwei-Faktor-Anmeldung, und zwar überall, nicht nur bei der Hälfte

Die zusätzliche Bestätigung per App beim Anmelden. Sie ist der einzelne Punkt, der Angreifern das Leben am meisten schwer macht. In vielen Unternehmen ist sie aktiv – bei den Konten, bei denen es sich gerade ergeben hat. Die anderen sind die, über die es dann passiert.

Ein fester Ablauf, wenn jemand geht

Der Mitarbeiter verlässt das Unternehmen, und seine Zugänge bleiben Monate offen. Das ist kein seltener Sonderfall, das ist der Normalzustand, den wir bei Bestandsaufnahmen antreffen. Eine Liste, wer welche Zugänge hat, und ein Ablauf, der sie am letzten Arbeitstag schließt. Mehr braucht es nicht.

Was Sie sich sparen können

Ehrlich gesagt: einiges. Eine Firewall für zwanzigtausend Euro, wenn eine für ein Zehntel dasselbe tut. Ein eigener Server, wenn Microsoft 365 die Aufgabe bereits erledigt. Ein Sicherheitsprodukt mit „KI-gestützter Bedrohungserkennung“, solange das Backup nicht getestet ist. Ein Systemhaus, das Ihnen all das trotzdem verkaufen will, hat andere Interessen als Sie.

Genauso können Sie sich das große Konzeptpapier sparen, das erst in einem halben Jahr fertig wäre. Unternehmen dieser Größe brauchen keinen IT-Masterplan. Sie brauchen eine Reihenfolge und jemanden, der sie abarbeitet.

Wer kümmert sich?

Das ist am Ende die eigentliche Frage. Alles oben ist keine Raketentechnik. Es ist Fleißarbeit, die regelmäßig getan werden muss, von jemandem, dessen Aufgabe das ist. Der Mitarbeiter, der sich „damit auskennt“, hat einen anderen Job, und er macht die IT abends, wenn etwas brennt. Das ist niemandem vorzuwerfen. Es ist nur kein Zustand, auf dem man ein Unternehmen aufbauen sollte.

Die Alternative ist ein Dienstleister, der die Verantwortung übernimmt. Nicht als Hotline, die man anruft, wenn etwas kaputt ist, sondern als jemand, der die Systeme überwacht, die Updates einspielt, das Backup prüft und Ihnen sagt, was ansteht, bevor Sie es merken. Wie Sie erkennen, ob Sie so jemanden haben, steht in IT-Dienstleister wechseln.

Wenn Sie wissen wollen, wo Ihr Unternehmen steht, ist der 15-Punkte-Selbstcheck ein Anfang, den Sie in zwanzig Minuten allein machen können. Für alles danach gibt es das Erstgespräch. Wir hören zuerst zu, was bei Ihnen läuft, und sagen dann, was fehlt. Manchmal ist das weniger, als Sie befürchten.

Häufige Fragen

Zwei Fragen stellen sich dann sofort. Ist das ernst zu nehmen? Und wo soll man jetzt suchen?

Was hinter der Meldung steckt

Das BSI und andere Stellen beobachten Server, die für Schadsoftware betrieben werden. Wer sich dort meldet, wird notiert. Weil von außen nur die öffentliche IP-Adresse sichtbar ist, geht die Information an den Anbieter, dem diese Adresse gehört, und der leitet sie an den Anschlussinhaber weiter. Das ist keine Anschuldigung, sondern eine Beobachtung: Von diesem Anschluss ging zu dieser Sekunde Verkehr an einen Server, der zu bekannter Schadsoftware gehört.

Ernst nehmen sollte man es trotzdem. Meist ist eine Frist zur Rückmeldung gesetzt, und wer nicht reagiert, muss damit rechnen, dass der Anschluss eingeschränkt wird.

Proxyware: Ihr Anschluss wird vermietet

Hinter solchen Kennungen steckt oft keine Erpressersoftware, sondern etwas Leiseres. Proxyware macht den infizierten Rechner zum Ausgangspunkt für fremden Internetverkehr. Betreiber solcher Netze verkaufen das als Dienstleistung an Dritte, die Webseiten aus vielen Ländern abrufen wollen. Die Anschlussinhaber wissen davon nichts.

Für ein Unternehmen hat das drei Folgen. Fremder Verkehr läuft unter der eigenen Adresse, mit allem, was dieser Verkehr anstellt. Die eigene Adresse landet auf Sperrlisten, was irgendwann E-Mails und Onlinedienste trifft. Und im Haus läuft ein Programm mit hohen Rechten, das jemand anderes steuert.

Fünf Merkmale, an denen Sie es erkennen

Der Zeitstempel in der Meldung ist in UTC angegeben, im Sommer also zwei Stunden vor der deutschen Uhrzeit. Wer weiß, wer zu dieser Zeit gearbeitet hat, hat den Kreis der Geräte schon eingegrenzt. Auf dem Rechner selbst suchen Sie dann nach diesen fünf Dingen.

Ein Programm mit dem Namen eines Windows-Dienstes am falschen Ort

Ein verbreitetes Beispiel ist eine Datei namens Windows Driver Foundation (WDF).exe direkt im Windows-Ordner. Den echten Dienst gibt es, er heißt allerdings WUDFHost.exe und liegt in System32. Vertrauter Name, falscher Pfad: Das ist die Masche.

Eine absurde Dateigröße

Mehrere hundert Megabyte für ein Programm, das dafür keinen Grund hat. Das ist Absicht, denn viele Virenscanner und Analysedienste prüfen Dateien oberhalb einer bestimmten Größe nicht mehr vollständig.

Keine gültige Signatur, gefälschtes Datum

Rechtsklick, Eigenschaften, Digitale Signaturen. Bei echten Windows-Dateien steht dort Microsoft. Fehlt der Reiter ganz, ist das ein Warnzeichen. Oft ist zusätzlich das Änderungsdatum auf ein altes Windows-Datum gesetzt, damit die Datei in Ordnerlisten nicht auffällt.

Autostart an einer ungewöhnlichen Stelle

Nicht im Autostart-Ordner und nicht in der Aufgabenplanung, sondern in der Registrierung unter dem Schlüssel für die Windows-Anmeldung. Dort steht normalerweise nur explorer.exe. Stehen weitere Programme dahinter, hat sie jemand mit Administratorrechten eingetragen.

Systembibliotheken an einem Ort, an den sie nicht gehören

Dutzende Dateien mit den Namen echter Windows-Bibliotheken im Profilordner des Browsers. Ein Browserprofil enthält Lesezeichen und Einstellungen, keine Systemdateien. Solche Ansammlungen sind ein sicheres Zeichen.

Warum der Virenschutz schweigt

Das ist der unangenehmste Teil, und er ist fast immer gleich. Der Virenschutz ist aktiv und meldet nichts, weil der Pfad in seiner Ausnahmeliste steht. Eingetragen hat ihn nicht der Nutzer, sondern die Schadsoftware selbst.

Daneben stehen in solchen Listen oft Ausnahmen für Werkzeuge zur Aktivierung von Windows oder Office aus zweifelhaften Quellen. Diese Werkzeuge verlangen, dass man den Schutz für sie abschaltet, und gelten seit Jahren als einer der häufigsten Träger für genau diese Art Software. Wenn Sie nur eine Sache aus diesem Text mitnehmen: Schauen Sie in die Ausnahmeliste Ihres Virenschutzes. Was dort steht und nicht von Ihnen kommt, ist ein Befund für sich.

Der zweite typische Punkt: Der letzte vollständige Suchlauf liegt Jahre zurück. Schnellprüfungen sehen die Stellen, an denen so etwas liegt, gar nicht erst an.

Entfernen, in dieser Reihenfolge

Sichern Sie zuerst die Beweise. Kopieren Sie die verdächtigen Dateien in einen Ordner, notieren Sie Pfade und Prüfsummen, machen Sie Bildschirmfotos vom Autostart-Eintrag und von der Ausnahmeliste. Das brauchen Sie für die Antwort an den Anbieter und möglicherweise für die Versicherung.

Danach: laufende Prozesse beenden, den Autostart-Eintrag auf den ursprünglichen Wert zurücksetzen, Programmdateien und untergeschobene Bibliotheken löschen, alle fremden Einträge aus der Ausnahmeliste entfernen, Signaturen aktualisieren, vollständigen Suchlauf starten. Erst der Autostart, dann die Dateien, sonst legt sich das Programm beim nächsten Start neu an.

Sauber heißt nicht wieder vertrauenswürdig

Hier hört die Arbeit nicht auf, auch wenn es sich so anfühlt. Die Software lief mit Administratorrechten, oft über Wochen. In dieser Zeit war alles erreichbar, was auf dem Rechner geöffnet oder gespeichert war: Zugänge im Browser, Schlüssel für Server, Verwaltungsoberflächen, Postfächer. Dass kein Abfluss nachweisbar ist, heißt nicht, dass keiner stattgefunden hat.

Angemessen ist deshalb: Passwörter und Schlüssel, die auf dem Gerät lagen, tauschen. Angemeldete Sitzungen überall beenden. Und den Rechner neu aufsetzen, statt darauf zu vertrauen, dass alles gefunden wurde. Das dauert einen Tag. Die Alternative ist, monatelang mit einem Fragezeichen zu arbeiten.

Damit es nicht wieder vorkommt

Drei Dinge, die wenig kosten. Ein vollständiger Suchlauf in festem Takt statt nur Schnellprüfungen. Ein regelmäßiger Blick in die Ausnahmelisten, mit der Regel, dass dort nichts steht, was niemand erklären kann. Und Arbeitsplätze, an denen im Alltag niemand mit Administratorrechten angemeldet ist, weil sich ohne diese Rechte kein Autostart in der Registrierung eintragen lässt.

Liegt bei Ihnen gerade so eine Meldung auf dem Tisch, gehen wir sie im Erstgespräch gemeinsam durch: welches Gerät es war, was zu entfernen ist und was danach ansteht. Wie ein Notfall grundsätzlich abläuft, steht im Notfallfahrplan für die ersten 24 Stunden.

Häufige Fragen