Cyberhygiene im Unternehmen bedeutet, einfache Schutzmaßnahmen nicht einmal einzuführen, sondern dauerhaft und regelmäßig zu pflegen – so wie Zähneputzen statt einer jährlichen Grundreinigung. Die meisten erfolgreichen Angriffe auf kleine und mittlere Betriebe nutzen keine raffinierten Methoden, sondern fehlende Updates, schwache Anmeldungen oder ungetestete Backups. Hier erfahren Sie, welche Routinen wirklich zählen und wie Sie sie in den Arbeitsalltag bringen.

Was Cyberhygiene konkret umfasst

Cyberhygiene ist kein Produkt und kein einmaliges Projekt. Gemeint sind wiederkehrende Grundregeln für Geräte, Konten, Daten und Menschen. Sie lassen sich in vier Bereiche gliedern:

• Systeme: Betriebssysteme, Programme, Firmware von Firewall, Switches und Druckern aktuell halten.
• Zugänge: starke Anmeldeverfahren, Mehr-Faktor-Authentifizierung und nur so viele Rechte wie nötig.
• Daten: Backups, die funktionieren und getrennt vom Netzwerk aufbewahrt werden.
• Menschen: Mitarbeitende, die verdächtige Nachrichten erkennen und wissen, wen sie anrufen.

Der Wert liegt in der Regelmäßigkeit. Ein Update-Prozess, der nur funktioniert, wenn jemand daran denkt, ist kein Prozess.

Warum Grundlagen die meisten Angriffe verhindern

Laut BSI-Lagebericht 2025 ist die Zahl der täglich neu entdeckten Schwachstellen im Berichtszeitraum um 24 Prozent gestiegen. Das BSI nennt Ransomware-Gruppen weiterhin die größte Bedrohung und weist darauf hin, dass gerade kleinen und mittleren Unternehmen oft Ressourcen und Bewusstsein für die eigene Verwundbarkeit fehlen. Angreifer suchen automatisiert nach Systemen mit bekannten Lücken. Wer zeitnah patcht, fällt aus diesem Raster.

Hinzu kommt: Windows 10 erhält seit dem 14. Oktober 2025 keine regulären Sicherheitsupdates mehr. Rechner, die noch damit laufen und nicht über ein kostenpflichtiges Extended-Security-Programm abgedeckt sind, sind ein offenes Einfallstor.

Die wichtigsten Routinen im Überblick

1. Updates automatisieren und überwachen

Aktivieren Sie automatische Updates für Windows, Office, Browser und PDF-Programme. Wichtiger als das Einschalten ist die Kontrolle: Prüfen Sie monatlich, ob alle Geräte tatsächlich aktuell sind. Vergessen Sie Netzwerkgeräte, NAS-Systeme und die Telefonanlage nicht. Mehr dazu lesen Sie in unserem Beitrag warum Software-Updates wichtig sind.

2. Anmeldungen absichern statt Passwörter ständig wechseln

Das BSI empfiehlt seit einigen Jahren nicht mehr, Passwörter ohne Anlass regelmäßig zu ändern. Entscheidend sind lange, einzigartige Passwörter, ein Passwort-Manager und ein Wechsel nur dann, wenn ein Konto kompromittiert sein könnte. Für E-Mail, Microsoft 365, VPN und Online-Banking gehört eine Zwei-Faktor-Authentifizierung zum Pflichtprogramm. Wo Dienste Passkeys anbieten, sind diese eine noch phishing-resistentere Alternative.

3. Rechte begrenzen

Mitarbeitende arbeiten mit Standardkonten, nicht als lokale Administratoren. Admin-Konten werden nur für Verwaltungsaufgaben genutzt und nicht zum Surfen oder Mailen. Verlässt jemand das Unternehmen, werden Konten am letzten Arbeitstag deaktiviert.

4. Backups nach der 3-2-1-Regel

Drei Kopien, zwei verschiedene Medien, eine davon außer Haus oder unveränderbar gespeichert. Ein Backup ist erst dann etwas wert, wenn eine Wiederherstellung getestet wurde. Planen Sie mindestens einen Rücksicherungstest pro Quartal ein.

5. Inventar pflegen

Sie können nur schützen, was Sie kennen. Eine einfache Liste aller Geräte, Softwarelizenzen und Cloud-Dienste mit Verantwortlichen zeigt schnell, wo veraltete oder vergessene Systeme stehen.

6. Aufräumen

Entfernen Sie nicht mehr genutzte Programme, Browser-Erweiterungen, Benutzerkonten und Freigaben. Jede überflüssige Komponente ist eine mögliche Schwachstelle mehr. Das gilt besonders für alte Testkonten, Fernwartungszugänge früherer Dienstleister und Cloud-Abos, die niemand mehr nutzt, die aber noch Zugriff auf Firmendaten haben.

7. Mitarbeitende sensibilisieren

Kurze, regelmäßige Schulungen wirken besser als eine jährliche Pflichtveranstaltung. Zeigen Sie echte Beispiele für Phishing-E-Mails aus dem eigenen Postfach und legen Sie fest, wie verdächtige Nachrichten gemeldet werden. Wer einen Fehler meldet, darf dafür nicht bestraft werden.

Was das für Ihr Unternehmen bedeutet

Cyberhygiene funktioniert am besten mit festen Intervallen. Diese Checkliste können Sie direkt übernehmen:

• Wöchentlich: Backup-Protokolle auf Fehler prüfen, Warnungen der Firewall und des Virenschutzes sichten.
• Monatlich: Update-Stand aller Geräte kontrollieren, Benutzerkonten mit Personalveränderungen abgleichen.
• Quartalsweise: Wiederherstellung testen, Admin-Rechte und Freigaben überprüfen, Inventar aktualisieren.
• Jährlich: Notfallplan durchspielen, IT-Richtlinien überarbeiten, Hardware ohne Herstellersupport ersetzen.

Halten Sie die Regeln schriftlich fest. Unser Beitrag zu klaren IT-Richtlinien für Unternehmen zeigt, wie das ohne Bürokratiemonster gelingt. Fällt Ihr Betrieb unter NIS2 – das deutsche Umsetzungsgesetz ist seit Dezember 2025 in Kraft –, sind viele dieser Punkte ohnehin Pflicht und müssen dokumentiert werden.

Wenn intern niemand die Zeit dafür hat, lassen sich die Routinen auslagern. Bei Managed Workplace übernehmen wir Updates und Überwachung der Arbeitsplätze, Managed Backup sorgt für überwachte und getestete Sicherungen. Für eine Bestandsaufnahme Ihrer IT-Sicherheit bieten wir IT-Sicherheitsberatung an.

Häufige Fragen

Ist Cyberhygiene nur etwas für größere Unternehmen?

Nein. Gerade kleine Betriebe profitieren, weil die Grundmaßnahmen wenig kosten und die häufigsten Angriffswege schließen. Ein Büro mit zehn Arbeitsplätzen kann die Checkliste oben mit überschaubarem Aufwand umsetzen.

Wie oft sollten Mitarbeitende ihre Passwörter ändern?

Nur bei Anlass, etwa nach einem Datenleck oder einem Verdacht auf Missbrauch. Das entspricht der aktuellen BSI-Empfehlung. Wichtiger sind lange, einzigartige Passwörter und eine zweite Anmeldestufe.

Reicht ein Virenschutz nicht aus?

Ein Virenschutz ist ein Baustein, ersetzt aber weder Updates noch Backups noch geschulte Mitarbeitende. Viele Angriffe beginnen mit gestohlenen Zugangsdaten, bei denen ein Virenscanner gar nicht anschlägt.

Cyberhygiene mit einem Partner aus der Region

Interate-IT aus Gensingen unterstützt Unternehmen in Rheinhessen und an der Nahe dabei, IT-Sicherheit zur Routine zu machen – von der ersten Bestandsaufnahme bis zum laufenden Betrieb. Sprechen Sie uns an, wir schauen gemeinsam, wo Ihr Unternehmen steht.