Erfolgreiche Ransomware-Angriffe auf KMU beruhen selten auf raffinierter Schadsoftware — meist nutzen sie vermeidbare Strukturlücken: ein flaches Netz ohne Segmentierung, Konten mit Vollzugriff auf alle Laufwerke, eine Firewall ohne Updates, kein Monitoring. Ist ein einziges Gerät infiziert — etwa der Laptop eines Praktikanten —, breitet sich der Angriff ungehindert bis zu Konstruktionsplänen, Angeboten und Kundendaten aus. Solche Lücken sind vermeidbar, und zwar systematisch.

Diese Checkliste beschreibt sechs Stufen, mit denen ein KMU-Netzwerk systematisch abgesichert wird — von der Grundstruktur bis zur Reaktionsfähigkeit. Die Reihenfolge ist nicht zufällig: Jede Stufe setzt auf der vorherigen auf.

Stufe 1: Das Netz wird aufgeteilt

Segmentierung schützt vor dem Totalschaden

Netzwerksegmentierung bedeutet, ein Firmennetzwerk in getrennte Bereiche aufzuteilen, zwischen denen der Datenverkehr kontrolliert wird. Vereinfacht gesagt: Wer in der Buchhaltung sitzt, hat technisch keinen Weg in den Produktionsbereich — und ein kompromittierter Drucker kommt nicht an den Server heran.

Das BSI IT-Grundschutz-Kompendium beschreibt das Prinzip im Baustein NET.1.1 (Netzwerkarchitektur) mit der Anforderung, dass nur Endgeräte mit vergleichbarem Sicherheitsniveau in einem Segment zusammengefasst werden dürfen (). Für KMU bedeutet das in der Praxis: mindestens vier Segmente.

Checkliste Segmentierung:

Stufe 2: Die Firewall ist kein Einmalprojekt — sie muss gewartet werden

Eine Firewall ist ein System, das den Datenverkehr zwischen Netzwerkzonen nach definierten Regeln filtert. Vereinfacht gesagt: eine kontrollierte Schleuse. Ohne regelmäßige Pflege wird aus der Schleuse ein offenes Tor — die Regeln veralten, Firmware-Lücken bleiben offen, Ausnahmen häufen sich.

Cisco empfiehlt für Kleinunternehmen den Einsatz von Next-Generation Firewalls (NGFW), die über klassische Portfilterung hinaus auch Anwendungssignaturen und Bedrohungsdaten prüfen. Das BSI nennt die Firewall-Konfiguration explizit als Teil der Basis-Absicherung für KMU — zusammen mit Updates und Zugriffsrechten.

Checkliste Firewall:

Stufe 3: Das WLAN ist ein Einfallstor — wenn es falsch konfiguriert ist

WLAN-Sicherheit betrifft nicht nur den Zugangspunkt zum Firmennetz, sondern die gesamte Konfiguration des drahtlosen Netzwerks. Vereinfacht gesagt: Ein unsicheres WLAN ist ein offenes Fenster neben der gesicherten Eingangstür.

Das BSI IT-Grundschutz-Kompendium widmet dem Thema zwei eigene Bausteine: NET.2.1 (WLAN-Betrieb) und NET.2.2 (WLAN-Nutzung) — mit konkreten Anforderungen an Verschlüsselung, Trennung von Gast- und Firmennetz und die Verwaltung von Zugangsdaten (). Der aktuelle Standard für die Verschlüsselung lautet WPA3; WPA2 gilt als Mindeststandard, WEP und WPA sind abgekündigt.

Checkliste WLAN

Stufe 4: Zugänge & Passwörter sind  Schlüssel — sie müssen kontrolliert sein

Zugangskontrolle (englisch: Access Control) bezeichnet das Regelwerk, das bestimmt, wer auf welche Systeme und Daten zugreift. Vereinfacht gesagt: Nicht jeder braucht alle Schlüssel. Das Least-Privilege-Prinzip — jeder bekommt nur die Rechte, die er für seine Arbeit benötigt — ist der wichtigste Grundsatz.

Cisco beschreibt Network Access Control (NAC) als zentralen Bestandteil der Netzwerksicherheit: Noncompliant-Geräte werden blockiert oder in ein Quarantänenetz umgeleitet (). Das BSI empfiehlt für privilegierte Zugänge — also Administrator-Konten — zwingend Mehrfaktor-Authentifizierung (MFA) ().

Checkliste Zugänge und Passwörter:

Stufe 5: Updates sind keine Wahl — sie sind die einfachste Schutzmaßnahme

Patch-Management bezeichnet den systematischen Prozess, Softwareaktualisierungen (Patches) zu identifizieren, zu prüfen und einzuspielen. Vereinfacht gesagt: Hersteller schließen Sicherheitslücken mit Updates. Wer nicht aktualisiert, lässt die Lücke offen.

Das BSI IT-Grundschutz-Kompendium behandelt Patch-Management im Baustein OPS.1.1.3 und zählt es zu den Maßnahmen mit dem höchsten Sicherheitsgewinn für KMU (). Cisco empfiehlt, automatische Updates für Firewall und Antivirus-Software explizit zu aktivieren — manuelle Update-Prozesse werden in der Praxis zu oft verschoben ().

Checkliste Updates und Patches:

Stufe 6: Monitoring und Backup entscheiden, wie lange ein Angriff nachwirkt

Netzwerk-Monitoring bedeutet, den Datenverkehr und Systemzustand kontinuierlich zu beobachten, um Anomalien frühzeitig zu erkennen. Backup bezeichnet die gesicherte Kopie der Daten nach einem definierten Schema. Vereinfacht gesagt: Monitoring zeigt, wenn etwas schiefläuft. Backup bestimmt, wie viel verloren geht, wenn es schieflaufen ist.

Cisco warnt ausdrücklich davor, sich nur auf Alarme zu verlassen: Jemand im Team muss die Monitoring-Berichte tatsächlich lesen und verstehen (). Das BSI regelt Datensicherung im Baustein CON.3 und empfiehlt die 3-2-1-Regel: drei Kopien der Daten, auf zwei verschiedenen Medientypen, eine davon außerhalb des Hauptstandorts ().

Checkliste Monitoring und Backup:

Die eigentliche Frage ist nicht ob, sondern wann

Die sechs Stufen dieser Checkliste sind kein Perfektion-Anspruch. Sie sind ein Realitätsscheck. Wer alle Punkte abhaken kann, hat kein unknackbares Netz — aber eines, das einem Angreifer den Weg deutlich schwerer macht und das im Ernstfall den Schaden begrenzt.

Der Ransomware-Fall aus dem Einstieg — der infizierte Praktikanten-Laptop im flachen Netz — wäre mit Stufe 1 anders ausgegangen: Der Praktikant wäre im Mitarbeiter-Segment geblieben. Die Konstruktionspläne lägen in einem anderen Segment — unberührt. Und das Backup hätte die verbleibenden Daten wiederhergestellt.

Netzwerksicherheit ist kein Einmalprojekt. Das BSI empfiehlt, den Sicherheitsstatus mindestens einmal jährlich zu überprüfen (). Diese Checkliste ist der Ausgangspunkt — und das Werkzeug für genau diese jährliche Prüfung.