Top IT-Risiken in Vorarlberg: Was KMU schützt

Ein Mitarbeiter öffnet eine gut gemachte Rechnung per E-Mail, gibt seine Microsoft-365-Anmeldedaten ein und der Angreifer liest ab diesem Moment mit. Solche Vorfälle beginnen selten mit einem spektakulären Hack. Wer nach den Top IT Risiken Vorarlberg sucht, sollte deshalb nicht zuerst an komplizierte Technik denken, sondern an die alltäglichen Abläufe im eigenen Betrieb.

Für Unternehmen mit 5 bis 100 Mitarbeitenden ist IT meist kein Selbstzweck. Sie muss funktionieren, Aufträge ermöglichen, Daten schützen und bei einem Ausfall rasch wieder verfügbar sein. Das Risiko entsteht oft dort, wo Zuständigkeiten unklar sind, Einstellungen über Jahre mitwandern oder man annimmt, eine Cloud-Lizenz löse Sicherheits- und Backupfragen automatisch.

Top IT-Risiken in Vorarlberg: Die kritischen Lücken

Die folgenden Risiken betreffen nicht nur große Unternehmen. Gerade kleinere und mittlere Betriebe sind attraktiv, weil Angreifer auf fehlende Kontrollen, knappe Zeit und gewachsene IT-Landschaften setzen. Nicht jedes Risiko hat für jedes Unternehmen das gleiche Gewicht. Ein Produktionsbetrieb braucht etwa andere Notfallabläufe als ein Dienstleister mit fast ausschließlich cloudbasierten Arbeitsplätzen. Die Grundfragen bleiben aber gleich: Wer darf worauf zugreifen? Sind Daten wiederherstellbar? Und kann der Betrieb bei einem Vorfall weiterarbeiten?

1. Phishing und gestohlene Zugänge

E-Mail bleibt der häufigste Einstiegspunkt. Heute geht es dabei nicht nur um offensichtlich schlechte Nachrichten mit Tippfehlern. Gefälschte Rechnungen, angebliche Freigaben von Vorgesetzten oder Einladungen zu Microsoft-365-Dateien sehen oft glaubwürdig aus. Besonders gefährlich wird es, wenn ein Konto ohne zusätzliche Anmeldungsschutz übernommen wird.

Mehrstufige Anmeldung, also ein zweiter Bestätigungsschritt neben dem Passwort, reduziert dieses Risiko deutlich. Sie ist aber keine vollständige Antwort. Entscheidend ist auch, ob ungewöhnliche Anmeldungen erkannt werden, ob Weiterleitungsregeln im Postfach kontrolliert werden und ob Berechtigungen regelmäßig überprüft werden. Ein ehemaliger Mitarbeiter mit aktivem Zugang ist kein theoretisches Problem, sondern eine offene Tür.

Schulungen helfen, wenn sie konkret sind. Mitarbeitende müssen keine Sicherheitsexperten werden. Sie sollten aber wissen, woran sie verdächtige Zahlungsanweisungen erkennen, warum sie Anmeldedaten nie über einen E-Mail-Link eingeben und an wen sie sich bei Unsicherheit sofort wenden können.

2. Microsoft 365 ist eingerichtet, aber nicht abgesichert

Microsoft 365 ist für viele Betriebe die zentrale Arbeitsplattform. E-Mails, Teams-Chats, Dateien und Kalender liegen dort. Trotzdem werden Tenants häufig mit Standardeinstellungen betrieben, weil der Fokus bei der Einführung verständlicherweise auf E-Mail und Zusammenarbeit lag.

Typische Lücken sind zu großzügige Freigaben von Dateien, fehlende Regeln gegen verdächtige Anmeldungen, mehrere globale Administratoren oder Konten, die nicht mehr benötigt werden. Auch externe Freigaben sind nicht grundsätzlich falsch. Sie sind oft nötig, etwa für die Zusammenarbeit mit Kunden oder Lieferanten. Sie brauchen aber klare Regeln: Welche Daten dürfen extern geteilt werden, wie lange gilt ein Zugriff und wer kontrolliert ihn?

Eine unabhängige Sicherheitsprüfung schafft hier Klarheit. Nicht als Papierübung, sondern mit einer nachvollziehbaren Liste: Was ist bereits gut eingerichtet, welche Lücken sind dringend und welche Maßnahmen können geplant werden? Für kleine Teams ist das hilfreicher als ein unübersichtlicher Maßnahmenkatalog, den niemand im Alltag umsetzt.

3. Kein eigenständiges Backup für Cloud-Daten

Gelöschte Dateien landen zunächst im Papierkorb. Das ist praktisch, aber kein vollständiges Backup-Konzept. Wenn Daten durch Ransomware verschlüsselt, durch einen fehlerhaften Synchronisationsvorgang verändert oder absichtlich gelöscht werden, reichen Standardaufbewahrungen unter Umständen nicht aus. Dasselbe gilt für E-Mails, Teams-Daten und wichtige SharePoint-Bereiche.

Ein brauchbares Backup beantwortet drei Fragen: Was wird gesichert? Wie lange kann man zurückgehen? Und wurde die Wiederherstellung tatsächlich getestet? Besonders der letzte Punkt wird gern übersehen. Ein Backup, das im Ernstfall nicht schnell auffindbar oder nicht lesbar ist, hilft dem Betrieb nicht.

Dabei braucht nicht jede Datei dieselbe Sicherungsdauer. Buchhaltungsunterlagen, Projektakten und vertrauliche Personalunterlagen haben andere Anforderungen als interne Entwürfe. Eine gute Backup-Strategie richtet sich nach dem Geschäftsbetrieb und den rechtlichen Aufbewahrungspflichten, nicht nach einer beliebigen Voreinstellung.

4. Unverwaltete Geräte und fehlende Updates

Notebooks, Smartphones und Heimarbeitsplätze sind heute normale Arbeitsmittel. Das Risiko beginnt, wenn nicht klar ist, welche Geräte auf Unternehmensdaten zugreifen, ob sie verschlüsselt sind und ob Sicherheitsupdates tatsächlich installiert werden. Ein verlorenes Notebook ohne Geräteschutz kann mehr Schaden verursachen als ein kurzfristiger Serverausfall.

Mit zentraler Geräteverwaltung lassen sich Mindeststandards durchsetzen: aktuelle Updates, Bildschirmsperre, Festplattenverschlüsselung und die Trennung privater von geschäftlichen Daten. Bei Verlust kann ein Gerät bei Bedarf aus der Ferne gesperrt oder die geschäftliche Umgebung entfernt werden.

Hier zählt Augenmaß. Ein Betrieb mit wenigen fixen Büroarbeitsplätzen braucht nicht dieselben Vorgaben wie ein Unternehmen mit mobilen Servicetechnikern. Dennoch sollte es für jedes Gerät, das auf E-Mail und Dateien zugreift, eine klare Verantwortlichkeit geben.

5. Ransomware trifft auf unklare Notfallpläne

Ransomware ist nicht nur ein Verschlüsselungsproblem. Oft werden Daten vorher kopiert und später mit Veröffentlichung gedroht. Ein Angriff kann also Datenschutz, Betriebsfähigkeit und Vertrauen bei Kunden gleichzeitig betreffen.

Die beste technische Absicherung nimmt dem Betrieb nicht die Notwendigkeit eines Notfallplans ab. Wenn E-Mail, Telefonie oder zentrale Dateien ausfallen: Wer entscheidet? Wer informiert Mitarbeitende? Welche Arbeitsprozesse müssen zuerst wieder laufen? Welche Konten werden gesperrt und wer stimmt sich mit IT-Partner, Versicherung oder Behörden ab?

Ein Notfallplan muss kein dicker Ordner sein. Für viele KMU reicht ein kurzes, gepflegtes Dokument mit Ansprechpartnern, Prioritäten und verständlichen Erstmaßnahmen. Wichtig ist, dass es nicht nur auf einem System liegt, das im Ernstfall ebenfalls nicht erreichbar ist.

NIS2 und Geschäftsführung: Verantwortung nicht wegdelegieren

Mit NIS2 und der österreichischen Umsetzung im NISG 2024 rückt Cybersecurity stärker in die Verantwortung der Geschäftsleitung. Nicht jedes Vorarlberger KMU fällt unmittelbar in den Anwendungsbereich. Das hängt von Branche, Größe, Rolle in der Lieferkette und weiteren Kriterien ab. Wer sich vorschnell für nicht betroffen erklärt, kann jedoch wichtige vertragliche und organisatorische Erwartungen übersehen.

Auch wenn keine direkte Pflicht besteht, sind die Grundprinzipien sinnvoll: Risiken bewerten, Verantwortlichkeiten festlegen, Vorfälle behandeln, Mitarbeitende sensibilisieren und Schutzmaßnahmen dokumentieren. Kunden, größere Auftraggeber und Versicherungen fragen diese Punkte zunehmend ab.

Die Geschäftsführung muss dabei nicht jede Einstellung selbst verstehen. Sie muss aber entscheiden können, welche Risiken akzeptiert werden, welche Maßnahmen Priorität haben und wer deren Umsetzung verantwortet. Eine monatliche IT-Übersicht mit offenen Punkten, Backup-Status und Sicherheitsvorfällen ist oft wertvoller als ein einmaliger Bericht, der danach verschwindet.

Wo KMU konkret anfangen sollten

Der häufigste Fehler ist, alles gleichzeitig lösen zu wollen. Besser ist eine ehrliche Bestandsaufnahme und eine Reihenfolge nach Schaden und Wahrscheinlichkeit. Zuerst gehören alle privilegierten Konten, die mehrstufige Anmeldung und ein getestetes Backup auf den Tisch. Danach folgen Geräteverwaltung, Berechtigungen und ein praxistauglicher Notfallplan.

Achten Sie auch auf die Zuständigkeit. Wenn mehrere externe Anbieter einzelne Teile betreuen, aber niemand den Gesamtüberblick hat, bleiben Lücken leicht liegen. Ein klar benannter Ansprechpartner ersetzt kein internes Wissen, schafft aber Verbindlichkeit: Wer prüft, wer dokumentiert, wer informiert und wer setzt nach?

Cloudschmiede begleitet Betriebe in Vorarlberg dabei mit Microsoft-nativen Lösungen, festen Leistungsmodellen und einem persönlichen Kontakt. Entscheidend ist nicht, möglichst viele Werkzeuge einzukaufen. Entscheidend ist, dass die vorhandene Umgebung sauber eingerichtet, laufend betreut und bei einem Vorfall beherrschbar ist.

Beginnen Sie mit einer einfachen Frage: Wenn morgen ein wichtiges Konto übernommen oder ein zentraler Datenbereich gelöscht würde, wüssten Ihre Mitarbeitenden und Ihre Geschäftsführung in der ersten Stunde genau, was zu tun ist? Wenn die Antwort nicht eindeutig Ja lautet, ist das ein guter Zeitpunkt für den ersten konkreten Schritt.