Bild: AI generated (Higgsfield)
Stand: 18.10.2026 · Für Betriebe mit 10 bis 200 Arbeitsplätzen in Niedersachsen und NRW
Kurz gesagt: IT-Sicherheit im Mittelstand entscheidet sich nicht an der teuersten Firewall, sondern an sieben Grundmaßnahmen, die fast jeden realen Angriff stoppen: Mehrfaktor-Anmeldung überall, ein Backup nach der 3-2-1-Regel, das jemand regelmäßig zurückspielt, automatische Updates, zentral verwaltete Geräte, E-Mail-Schutz, ein Notfallplan auf Papier und Mitarbeiter, die Phishing erkennen. Die meisten davon kosten weniger als eine Stunde Stillstand. Wir setzen sie als IT-Systemhaus aus Osnabrück täglich bei Betrieben um – hier ist die Liste mit Aufwand und Preisrahmen.
Warum gerade der Mittelstand
Angreifer suchen keine bestimmten Firmen, sie suchen offene Türen. Ein Betrieb mit 30 Arbeitsplätzen, einem Admin in Teilzeit und einem Server im Abstellraum ist für automatisierte Angriffe genauso erreichbar wie ein Konzern – nur ohne Sicherheitsabteilung. Dazu kommen Versicherer, die inzwischen Nachweise verlangen, bevor sie eine Cyberpolice ausstellen, und Kunden aus Industrie und öffentlicher Hand, die Sicherheitsfragebögen schicken. Die sieben Maßnahmen unten sind genau das, was in diesen Fragebögen steht.
Die 7 Maßnahmen – mit Aufwand und Preisrahmen
Microsoft 365, VPN, Fernwartung, Banking. Mit Passkeys statt SMS. Aufwand: ein Tag für den ganzen Betrieb. Kosten: in Microsoft 365 Business enthalten.
Drei Kopien, zwei Medien, eine außer Haus – inklusive Microsoft-365-Postfächer und SharePoint, die Microsoft selbst nicht sichert. Einmal im Quartal zurückspielen. Kosten: ab wenigen Euro je Nutzer und Monat.
Windows, Browser, Office und Server-Software innerhalb von Tagen gepatcht. Windows 10 und alte Serverversionen sind keine Sparmaßnahme mehr, sondern die offene Tür.
Verschlüsselung, Richtlinien, Fernlöschung bei Verlust, Virenschutz mit Alarm an jemanden, der reagiert. Teil von Microsoft 365 Business Premium.
SPF, DKIM, DMARC für deine Domain, Anhangs- und Linkprüfung im Postfach. Verhindert die häufigste Einfallstür: die täuschend echte Rechnung vom „Lieferanten“.
Wer ruft wen an, wenn nichts mehr geht? Wo liegen Zugangsdaten, Backups, Versicherungsnummer? Zwei Seiten, einmal im Jahr geprobt. Aufwand: ein halber Tag.
Eine Stunde im Jahr, dazu Phishing-Simulationen. Der Klick auf den falschen Link bleibt der Angriff Nummer eins – und ist der günstigste, den du verhindern kannst.
Was das kostet – und was ein Vorfall kostet
Mit Microsoft 365 Business Premium (Intune, Defender, MFA, Verschlüsselung) und einem Cloud-Backup liegt ein Betrieb bei einem monatlichen Betrag je Arbeitsplatz, der sich mit einem Mittagessen vergleichen lässt – die genauen Preise findest du in unseren Managed-Workplace-Paketen. Dagegen steht der Vorfall: Bei den Betrieben, die nach einem Angriff zu uns kamen, lagen Stillstand, Wiederherstellung und Forensik regelmäßig im fünfstelligen Bereich – ohne den Vertrauensverlust bei Kunden. Die Versicherung zahlt dabei nur, wenn die Maßnahmen oben nachweislich umgesetzt waren.
Wie wir das umsetzen
Wir starten mit einem Sicherheitscheck: Microsoft-365-Konfiguration, Secure Score, Backup-Stand, Geräte, offene Updates, E-Mail-Absicherung. Daraus entsteht eine priorisierte Liste mit Aufwand je Punkt – die meisten Betriebe sind nach zwei bis drei Wochen auf dem Stand, den Versicherer und Kunden verlangen. Danach betreuen wir das laufend als IT-Sicherheit aus einer Hand, mit monatlichem Sicherheitsbericht. Für die Geräteverwaltung lohnt sich ein Blick auf unseren Artikel Microsoft Intune im Mittelstand.
Häufige Fragen
Brauchen wir eine Firewall-Appliance?
Meist erst nach den sieben Punkten oben. Eine teure Firewall schützt nicht, wenn das Backup fehlt und die Anmeldung ohne MFA läuft. Für Betriebe mit eigenen Servern oder Produktionsnetz ist sie dann der nächste Schritt.
Gilt NIS-2 für uns?
Direkt betroffen sind vor allem größere Betriebe in bestimmten Sektoren. Viele Mittelständler trifft es indirekt: als Zulieferer, denen der Kunde die Pflichten weiterreicht. Die sieben Maßnahmen sind in beiden Fällen die Basis – und genau das, was die Fragebögen abfragen.
Was ist, wenn wir schon einen IT-Dienstleister haben?
Dann ist der Sicherheitscheck eine Zweitmeinung. Wir schreiben auf, was gut ist und was fehlt – ob der bisherige Dienstleister es umsetzt oder wir, entscheidest du.
Sicherheitscheck für deinen Betrieb
Wir prüfen die sieben Punkte für deine Umgebung und sagen dir, was fehlt, was es kostet und was zuerst dran ist.
Hast du eine Frage zu diesem Artikel?
Schreib uns – wir antworten in der Regel innerhalb eines Werktages.