Es gibt eine Unternehmensgröße, in der die IT niemandem gehört. Bei fünf Leuten macht es der Chef selbst. Ab hundert gibt es jemanden dafür. Dazwischen, bei zehn bis fünfzig Arbeitsplätzen, kümmert sich meistens „der, der sich damit auskennt“ – ein Mitarbeiter aus der Buchhaltung, der Sohn des Inhabers, ein Bekannter, der abends vorbeikommt. Das funktioniert erstaunlich lange. Bis es das nicht mehr tut.
Was braucht ein Unternehmen dieser Größe also tatsächlich? Weniger, als die meisten Angebote vermuten lassen. Eine Handvoll Dinge in der richtigen Reihenfolge – und den Mut, den Rest wegzulassen.
Erst die Basis: Was jeder Arbeitsplatz braucht
Klingt langweilig, ist aber der Teil, an dem später alles hängt. Wenn hier etwas fehlt, nützt die beste Firewall nichts.
Ein Netzwerk, das jemand bewusst eingerichtet hat
Nicht der Router vom Provider, an dem über die Jahre Switch um Switch angesteckt wurde. Ein Firmennetz braucht eine richtige Firewall am Übergang ins Internet, ein getrenntes Gäste-WLAN, und – wenn Maschinen, Kassen oder Kameras im Spiel sind – ein eigenes Netz dafür. Das ist kein Luxus. Es ist der Unterschied zwischen „ein Rechner ist infiziert“ und „alles ist infiziert“.
Rechner, die noch Updates bekommen
Windows 10 ist seit Oktober 2025 ohne Sicherheitsupdates. Wenn im Lager oder an der Zeiterfassung noch so ein Gerät steht, gehört das auf die Liste, ganz oben. Für den Rest gilt: Firmenlaptops verschlüsseln, ein Virenschutz, den jemand überwacht, und Updates, die nicht monatelang auf „später“ stehen.
E-Mail und Dateien an einem Ort, der Ihnen gehört
Für die meisten Unternehmen dieser Größe heißt das heute Microsoft 365, gelegentlich Google Workspace. Wichtig ist weniger, welches Produkt, sondern dass die Firma Vertragspartner ist, nicht der Dienstleister, und dass jeder Mitarbeiter ein eigenes Konto hat. Kein „Büro-Login“, den alle kennen. Wie Sie Microsoft 365 dann vernünftig absichern, steht in Microsoft 365: 10 Einstellungen.
Dann der Schutz: Drei Dinge, die den Unterschied machen
Wenn Sie in diesem Jahr nur drei Dinge angehen, dann diese. Sie kosten wenig, und sie verhindern die Fälle, die wir am häufigsten sehen.
Ein Backup, das nicht am selben Ort liegt und das jemand getestet hat
Wir fangen jede Bestandsaufnahme mit dieser Frage an, und die Antwort ist selten befriedigend. Ein Cloud-Sync ist kein Backup. Eine Festplatte im Serverschrank ist kein Backup außer Haus. Und ein Backup, das noch nie zurückgespielt wurde, ist eine Vermutung. Was stattdessen nötig ist, haben wir in Backup ist kein Sync aufgeschrieben.
Zwei-Faktor-Anmeldung, und zwar überall, nicht nur bei der Hälfte
Die zusätzliche Bestätigung per App beim Anmelden. Sie ist der einzelne Punkt, der Angreifern das Leben am meisten schwer macht. In vielen Unternehmen ist sie aktiv – bei den Konten, bei denen es sich gerade ergeben hat. Die anderen sind die, über die es dann passiert.
Ein fester Ablauf, wenn jemand geht
Der Mitarbeiter verlässt das Unternehmen, und seine Zugänge bleiben Monate offen. Das ist kein seltener Sonderfall, das ist der Normalzustand, den wir bei Bestandsaufnahmen antreffen. Eine Liste, wer welche Zugänge hat, und ein Ablauf, der sie am letzten Arbeitstag schließt. Mehr braucht es nicht.
Was Sie sich sparen können
Ehrlich gesagt: einiges. Eine Firewall für zwanzigtausend Euro, wenn eine für ein Zehntel dasselbe tut. Ein eigener Server, wenn Microsoft 365 die Aufgabe bereits erledigt. Ein Sicherheitsprodukt mit „KI-gestützter Bedrohungserkennung“, solange das Backup nicht getestet ist. Ein Systemhaus, das Ihnen all das trotzdem verkaufen will, hat andere Interessen als Sie.
Genauso können Sie sich das große Konzeptpapier sparen, das erst in einem halben Jahr fertig wäre. Unternehmen dieser Größe brauchen keinen IT-Masterplan. Sie brauchen eine Reihenfolge und jemanden, der sie abarbeitet.
Wer kümmert sich?
Das ist am Ende die eigentliche Frage. Alles oben ist keine Raketentechnik. Es ist Fleißarbeit, die regelmäßig getan werden muss, von jemandem, dessen Aufgabe das ist. Der Mitarbeiter, der sich „damit auskennt“, hat einen anderen Job, und er macht die IT abends, wenn etwas brennt. Das ist niemandem vorzuwerfen. Es ist nur kein Zustand, auf dem man ein Unternehmen aufbauen sollte.
Die Alternative ist ein Dienstleister, der die Verantwortung übernimmt. Nicht als Hotline, die man anruft, wenn etwas kaputt ist, sondern als jemand, der die Systeme überwacht, die Updates einspielt, das Backup prüft und Ihnen sagt, was ansteht, bevor Sie es merken. Wie Sie erkennen, ob Sie so jemanden haben, steht in IT-Dienstleister wechseln.
Wenn Sie wissen wollen, wo Ihr Unternehmen steht, ist der 15-Punkte-Selbstcheck ein Anfang, den Sie in zwanzig Minuten allein machen können. Für alles danach gibt es das Erstgespräch. Wir hören zuerst zu, was bei Ihnen läuft, und sagen dann, was fehlt. Manchmal ist das weniger, als Sie befürchten.
Häufige Fragen
Brauchen wir mit 15 Mitarbeitern wirklich einen eigenen Server?
Nicht zwingend. Viele Unternehmen dieser Größe kommen mit Microsoft 365 und einem kleinen Gerät für Backup und Drucker aus. Ein Server lohnt sich, wenn eine Branchensoftware ihn verlangt oder große Dateien lokal bearbeitet werden. Die Antwort kommt aus dem, was Sie tun, nicht aus der Mitarbeiterzahl.
Was kostet die IT für ein Unternehmen dieser Größe?
Das hängt so stark von Branche, Software und Vorgeschichte ab, dass jede Zahl hier eine Falle wäre. Was wir sagen können: Die teuerste IT ist die, die jahrelang „irgendwie lief“ und dann an einem Tag alles auf einmal braucht. Im Erstgespräch nennen wir Ihnen eine Größenordnung für Ihren Fall.
Können wir das nicht einfach selbst machen?
Vieles ja, und wir sagen Ihnen auch, was. Die Frage ist weniger, ob Sie es können, sondern ob jemand es wirklich regelmäßig tut – Updates, Backup-Kontrolle, Zugänge pflegen. In den meisten Unternehmen dieser Größe bleibt genau das liegen, weil der, der es könnte, eigentlich einen anderen Job hat.
In welcher Reihenfolge sollten wir anfangen?
Backup, dann Zugänge und Zwei-Faktor-Anmeldung, dann Updates. Das sind drei Dinge, die den größten Unterschied machen und am wenigsten kosten. Alles andere kommt danach, und zwar in der Reihenfolge, in der es Ihnen im Alltag wehtut.