Im Jahr 2026 ist die Datensicherheit in Unternehmen kein Thema mehr, das man auf „später, wenn Zeit ist“ verschieben kann. In Italien wurden im ersten Halbjahr 2025 2.755 Cybervorfälle verzeichnet – der höchste jemals gemessene Wert –, was einem Anstieg von 36 % gegenüber Ende 2024 entspricht; zudem konzentrierte sich laut dem im Jahr 2025 zitierten Clusit-Update etwa ein Fünftel aller seit 2020 erfassten Angriffe allein auf die ersten sechs Monate des Jahres 2025 (Quelle). Für viele KMU ändert dies die Sichtweise: Es geht nicht nur darum, Antivirenprogramme und Backups zu haben, sondern darum, schwache Signale, Anomalien und profilfremde Zugriffe zu erkennen, bevor der Schaden operativ wird.
Die gute Nachricht ist, dass die Grundlage dafür in vielen Unternehmen bereits vorhanden ist. Im Jahr 2022 nutzten 74,4 % der italienischen Unternehmen mit mindestens 10 Mitarbeitern mindestens drei IT-Sicherheitsmaßnahmen – ein Wert, der dem EU-Durchschnitt (74,0 %) entspricht (ISTAT). Das Problem ist, dass eine weit verbreitete Basis noch keinen umfassenden Schutz bedeutet. Wenn die Kontrollen voneinander getrennt bleiben, entweichen die Daten zwischen lokalen Dateien, der Cloud, E-Mails, privaten Geräten und vergessenen Berechtigungen. Hier kommt ein praxisorientierterer Ansatz ins Spiel, der sich am Lebenszyklus der Daten und an der kontinuierlichen Überwachung orientiert und nicht nur auf Prävention ausgerichtet ist.
Die wichtigste Zahl, die man im Hinterkopf behalten sollte, ist folgende: 2.755 Cybervorfälle in Italien im ersten Halbjahr 2025 – der höchste jemals verzeichnete Wert, was einem Anstieg von 36 % gegenüber Ende 2024 entspricht. Für ein KMU lautet die Botschaft jedoch nicht, in Panik zu verfallen. Es geht vielmehr darum, das Cyberrisiko als festen Bestandteil des Betriebs zu betrachten, auf derselben Ebene wie die Geschäftskontinuität oder die Verfügbarkeit der E-Mail.
Viele italienische Unternehmen verfügen bereits über grundlegende Sicherheitsmaßnahmen, setzen diese jedoch oft uneinheitlich ein. Eine Firewall schützt nicht vor einer unsachgemäß freigegebenen Datei, ein Backup schützt kein Konto mit zu weitreichenden Berechtigungen, und ein Antivirenprogramm behebt keinen Konfigurationsfehler in der Cloud. Das Ergebnis ist ein Schutz, der auf dem Papier vollständig erscheint, aber ganz konkrete Einfallstore offen lässt.
Sicherheit versagt oft nicht aufgrund fehlender Instrumente, sondern aufgrund mangelnder Koordination zwischen Instrumenten, Personen und Prozessen.
KMU sind besonders anfällig, wenn die Arbeit zwischen Büro, Zuhause, externen Beratern und privaten Geräten aufgeteilt ist. In solchen Situationen muss ein Angriff nicht besonders ausgeklügelt sein, um erfolgreich zu sein. Es reicht schon ein unsachgemäß wiederhergestellter Zugang, eine offen gelassene Sitzung oder eine versehentlich freigegebene Datei in einem Cloud-Ordner.
Der Gedanke, nur die Netzwerkgrenze zu schützen, ist nicht mehr zeitgemäß. Daten werden übertragen, dupliziert und in mehreren Systemen wiederverwendet. Daher muss die Sicherheit von Unternehmensdaten als die Fähigkeit verstanden werden, die Angriffsfläche zu verringern und sofort zu erkennen, wenn etwas vom normalen Muster abweicht.
Eine nützliche Orientierungshilfe – auch für diejenigen, die sich mit Architektur- und Compliance-Entscheidungen befassen – ist die Analyse zum Thema „NIS 2: Chance oder Hindernis“. Die praktische Erkenntnis daraus ist, dass Compliance allein nicht ausreicht, da Daten kontinuierlich geschützt werden müssen und nicht nur dokumentiert werden dürfen.
Ein erheblicher Teil der Vorfälle geht auf einen einfachen Fehler zurück, nicht auf einen ausgeklügelten Angriff. Daten befinden sich nicht alle am selben Ort und lassen sich nicht auf dieselbe Weise schützen. Eine auf einem Server gespeicherte Datei, eine per E-Mail versendete Rechnung und ein in einem Verwaltungssystem geöffneter Bericht erfordern unterschiedliche Sicherheitsmaßnahmen, da sich die Angriffsfläche, die Zugriffsmodalitäten und die Kopiermöglichkeiten unterscheiden. Die Unterscheidung zwischen archivierten Daten, Daten während der Übertragung und Daten in der Nutzung bleibt der nützlichste Ausgangspunkt, um allgemeine Sicherheitsmaßnahmen zu vermeiden, die zwar solide erscheinen, aber nur einen begrenzten Schutz bieten.
Bei den archivierten Daten handelt es sich um statische Daten, die sich auf lokalen Servern, in Cloud-Repositorys oder in Backups befinden. Hier kommen Verschlüsselung, Zugriffskontrollen und, falls erforderlich, Techniken wie Anonymisierung und Tokenisierung zum Tragen (Digitale Agenda). Die richtige Frage lautet nicht nur „Haben wir die Dateien gespeichert?“, sondern „Wer kann sie öffnen, kopieren oder verschieben, ohne dass wir es bemerken?“.
Für ein KMU bedeutet dies ganz konkrete Maßnahmen, und oft besteht der eigentliche Zielkonflikt zwischen operativer Einfachheit und strenger Kontrolle:
Wenn ein Archiv auch alte Versionen, Exporte oder vergessene Anhänge enthält, steigt das Risiko, ohne dass es jemand bemerkt. Hier ist der Umgang mit „Dark Data“ genauso wichtig wie der Schutz der aktuellen Datei.
Daten im Transit sind solche, die zwischen Nutzern, Anwendungen und Standorten übertragen werden. Hier sind sichere Protokolle wie SFTP, HTTPS, SSH und TLS (Digitale Agenda) erforderlich. Wenn ein Unternehmen Preislisten, Kundenstammdaten oder Personalunterlagen versendet, darf der Schutz nicht am Zielserver enden. Er muss auch die Übertragung abdecken, denn genau dort konzentrieren sich Abhörversuche, Konfigurationsfehler und unzulässige Weiterleitungen.
Bei den verwendeten Daten handelt es sich um solche, die in Anwendungen, Browsern und Verwaltungssystemen geöffnet sind. In diesem Zusammenhang ist das Prinzip der geringsten Berechtigungen entscheidend, da es den Zugriff ausschließlich auf autorisierte Benutzer beschränkt und die Auswirkungen eines kompromittierten Kontos mindert (Digitale Agenda). Wenn ein Vertriebsmitarbeiter mehr Daten sieht, als nötig sind, ist das Risiko nicht nur theoretischer, sondern operativer Natur, denn jede zusätzlich sichtbare Information kann kopiert, exportiert oder weitergegeben werden.
Faustregel: Wenn du nicht weißt, in welchem Zustand sich eine bestimmte Information befindet, weißt du auch nicht wirklich, wie du sie schützen kannst.
Eine gute erste Bestandsaufnahme besteht darin, drei Dinge zu erfassen: wo sich die Daten befinden, wer darauf zugreift und welche Systeme sie weiterleiten. Dabei werden Lücken sofort sichtbar, oft eher bei den Berechtigungen und Datenflüssen als bei der Software. Für ein KMU ist das nützliche Ergebnis einfach: weniger Risiko bei Daten, die ungenutzt bleiben, weniger unnötige Schritte bei Daten, die weitergeleitet werden, und weniger Zugriffsrechte für Daten, die täglich genutzt werden.
Dark Data sind vergessene, doppelte oder ungenutzte Daten, die sich ohne klaren operativen Nutzen ansammeln. Viele Leitfäden befassen sich mit Backups und Verschlüsselung, lassen diesen Punkt jedoch außer Acht, da die Risikofläche oft schon wächst, bevor Schutzmaßnahmen ergriffen werden. Alte Exporte, Anhänge, lokale Kopien und Projektarchive landen verstreut an verschiedenen Orten, und niemand weiß mehr genau, wo sie sich befinden oder wer sie nutzt. TechRadar Italia weist darauf hin, dass diese Daten auch geistiges Eigentum und sensible vertrauliche Informationen enthalten können und dass ihre Verwaltung ein Verständnis der Herkunft, der Bearbeitung und der Nutzung der Daten erfordert.
Der häufigste Fehler besteht darin, alles „zur Sicherheit“ zu speichern. Je mehr Daten man speichert, desto mehr mögliche Zugriffspunkte, Fehlerquellen und Kosten für die Datenverwaltung entstehen. Die Datensicherheit in Unternehmen lässt sich oft verbessern, indem man nicht mehr benötigte Daten reduziert, anstatt lediglich weitere Kontrollmaßnahmen hinzuzufügen.
Für ein KMU geht es nicht nur darum, Ordnung zu schaffen. Es geht darum, zu entscheiden, welche Daten es wirklich verdienen, online zu bleiben, welche ins Archiv verschoben werden sollten und welche aus den aktiven Systemen entfernt werden müssen, bevor sie zu einem Risiko hinsichtlich der Datensicherheit oder der Compliance werden.
Der Leitfaden des EDPB für kleine Unternehmen legt besonderen Wert auf Datenminimierung, Pseudonymisierung oder Anonymisierung, regelmäßige Überprüfung der Berechtigungen und Verschlüsselung (EDPB). Was in Unternehmen oft fehlt, ist die Umsetzung dieser Grundsätze in einen Prozess des Datenlebenszyklusmanagements für selten genutzte oder vergessene Daten mit klaren Regeln für Aufbewahrung, Archivierung und Löschung.
Ein einfaches Kriterium funktioniert besser als eine abstrakte Regel. Wenn eine Datenangabe nicht für einen aktiven Prozess, eine gesetzliche Verpflichtung oder eine definierte betriebliche Wiederherstellung benötigt wird, sollte sie gelöscht oder kontrolliert archiviert werden. Wenn sie hingegen tatsächlich für das Geschäft notwendig ist, sollte sie unter klarer Zuständigkeit und regelmäßiger Überprüfung aktiv beibehalten werden.
Bei den Projekten, die ich betreue, verhindert dieser praktische Ansatz endlose Diskussionen über Dateien, „die vielleicht noch gebraucht werden könnten“. Wenn ein Ordner nur aus Gewohnheit offen bleibt, ist das Risiko nicht nur theoretischer Natur. Jede zusätzliche Kopie erhöht die Zahl der Personen, die darauf zugreifen, sie exportieren oder weiterleiten können, und jedes unkontrollierte Archiv erschwert es, nachzuvollziehen, wo sensible Daten gelandet sind.
Du kannst diese Reihenfolge verwenden:
Hier gibt es einen doppelten Vorteil. Sie verringern das Risiko einer Datenpreisgabe und vereinfachen den Schutz dessen, was wirklich zählt. KMU, die diesen Schritt gehen, stellen oft fest, dass ein Teil des Problems nicht der fehlende Schutz war, sondern die Menge an Daten, die ohne triftigen Grund im Umlauf gelassen wurde.
Eine wirksame Absicherung entsteht nicht durch vereinzelte Maßnahmen, sondern durch aufeinander abgestimmte Kontrollen. In den KMU, die ich betreue, sind nach wie vor die Maßnahmen am nützlichsten, die auf automatische Sitzungsbeendigung, aktualisierte Firewalls und Antivirenprogramme, sichere Backups, eindeutige Identifikatoren, den Entzug veralteter Berechtigungen und die regelmäßige Überprüfung der Zugriffe setzen. Das Prinzip ist einfach. Jede einzelne Maßnahme hilft, aber der eigentliche Durchbruch gelingt erst, wenn sie den blinden Fleck der anderen Maßnahme ausgleicht.
Die Logik der „Defense in Depth“ funktioniert, wenn jede Ebene die Schwachstellen der vorherigen ausgleicht. Die Verschlüsselung schützt den Inhalt auch dann, wenn eine Datei den erwarteten Perimeter verlässt, das Backup dient dazu, den Betrieb wieder aufzunehmen, ohne die Aktivitäten zu unterbrechen, DLP reduziert unbefugte Datenlecks, MFA erschwert den Missbrauch von Anmeldedaten, die Zugriffsverwaltung schränkt Berechtigungen ein unddie Absicherung verringert die Angriffsflächen. Fehlt eine dieser Schichten, ist die Verteidigung anfälliger, als es den Anschein hat.
Der praktische Aspekt liegt in der Integration, nicht in der Auflistung. Die in der Quelle erwähnte Dokumentation betont, dass der Schutz sensibler Daten durch Klassifizierung und Datenschutz (DNCSRL) von der Microsoft 365-Umgebung auf SaaS-Dienste, die Cloud und lokale Repositorys ausgeweitet werden muss. Für ein KMU ist dies ein wichtiger Punkt, da arbeitsrelevante Daten heutzutage nicht mehr in einem einzigen System gespeichert sind und oft zwischen Anwendungen hin- und herbewegt werden, die nicht dafür ausgelegt sind, sicher miteinander zu kommunizieren.
Genau hier setzt der Zero-Trust-Sicherheitsansatz für Unternehmen an. Jeder Zugriff muss im richtigen Kontext überprüft werden – unter Berücksichtigung von Identität, Gerät, Standort und Risikostufe –, damit die Zugriffsberechtigung nicht allein deshalb gültig bleibt, weil sich jemand bereits im Netzwerk befindet.
Beim hybriden Arbeiten ist nicht nur der Fernzugriff ein Problem, sondern auch die Vielzahl der beteiligten Geräte. Der Leitfaden des EDPB für KMU enthält Empfehlungen zu Richtlinien für Telearbeit, zum Schutz privater Geräte, zu VPNs, zur automatischen Sitzungssperre und zur Löschung veralteter Zugangsdaten. Für viele Unternehmen ist das Problem eher kultureller als technischer Natur. Sie wenden Regeln, die für den Büro-PC konzipiert wurden, auf ein dezentrales Umfeld an und wundern sich dann, wenn die Sicherheitsmaßnahmen versagen.
Ein privater Laptop darf nicht als stillschweigende Erweiterung des Unternehmensnetzwerks behandelt werden. Er muss als Zugangspunkt verwaltet werden, mit klaren Richtlinien zu Verschlüsselung, Updates, Zugriffen und der Trennung von Profilen.
Für diejenigen, die entscheiden müssen, wo sie anfangen sollen, geht es nicht in erster Linie darum, Tools anzuhäufen. Ein gut durchgeführtes Backup ist zwar nützlich, gleicht aber chaotische Berechtigungen oder zu lange gültige Anmeldedaten nicht aus. Die Sicherheit von Unternehmensdaten ist dann wirklich gewährleistet, wenn die Kontrollmechanismen miteinander kommunizieren und wenn der Schutzumfang auch die vergessenen Daten umfasst – jene, die oft unter dem Radar bleiben und das am schwersten zu erkennende Risiko darstellen.
Künstliche Intelligenz verändert die Art und Weise, wie Sie Daten betrachten, da sie den Fokus von festen Regeln auf das Verhalten verlagert. In einem KMU ist dies von großem Wert, da abweichende Muster inmitten der normalen Aktivitäten von Nutzern, Lieferanten und Beratern oft unbemerkt bleiben. ELECTE, eine KI-gestützte Datenanalyseplattform für KMU, setzt genau auf automatisierte Analysen und die Erkennung von Anomalien – ein Ansatz, der sich gut in einen Kontext der kontinuierlichen Überwachung einfügt.
Herkömmliche Sicherheitsmaßnahmen basieren oft auf Schwellenwerten, Signaturen und bereits bekannten Regeln. Das funktioniert in vielen Situationen gut, stößt jedoch an seine Grenzen, wenn sich das Verhalten auf subtile Weise ändert. Ein KI-System kann hingegen ungewöhnliche Zugriffe, ungewöhnliche Zeitpunkte, ein vom Profil abweichendes Aktivitätsvolumen oder Kombinationen von Ereignissen erkennen, die für sich genommen harmlos erscheinen.
Der praktische Nutzen besteht nicht darin, das IT-Team zu ersetzen, sondern ihm dabei zu helfen, Probleme frühzeitig zu erkennen. Wenn Daten aus verschiedenen Quellen wie CRM, ERP, der Cloud und Zugriffsprotokollen stammen, wird die manuelle Überwachung schnell reaktiv. KI erleichtert den Übergang zu einer kontinuierlichen Auswertung der Signale.
Für ein KMU sind sinnvolle Einsatzmöglichkeiten sehr praxisnah:
Eine solche Analyse lässt sich auch gut mit dem Thema der Bewältigung von Daten-Spitzen und -Einbrüchen verknüpfen, denn dieselbe Logik, die dabei hilft, eine geschäftliche Anomalie zu erkennen, kann auch dabei helfen, eine Sicherheitsanomalie zu erkennen. Es geht darum, über eine Plattform zu verfügen, die sich nicht darauf beschränkt, Daten zu speichern, sondern diese aktiv zu beobachten.
Bei einer kontinuierlichen Überwachung ist die Sicherheit von Unternehmensdaten nicht mehr nur ein Nachlaufen hinter Vorfällen her. Sie wird zu einer Fähigkeit, kleine Abweichungen frühzeitig zu erkennen, bevor sie zu Zugriffsproblemen oder Informationsverlusten führen.
Ein wirksamer Plan für KMU muss schrittweise und nicht idealistisch sein. Unternehmen, denen es gelingt, sich wirklich zu verbessern, beginnen mit wenigen, aber hochwirksamen Maßnahmen und festigen dann den Rest. Die Priorität liegt darauf, zunächst Ordnung zu schaffen, noch bevor neue Instrumente hinzugefügt werden, denn der Schutz funktioniert am besten, wenn Rollen, Daten und Zugriffsrechte bereits übersichtlich strukturiert sind.
Konzentriere dich innerhalb einer Woche auf das, was die unmittelbare Exposition beseitigt.
Im folgenden Monat arbeitet er an Struktur und Kontrolle.
Innerhalb von drei Monaten soll die Sicherheit reproduzierbar werden.
Die sinnvollste Kontrolle ist nicht die perfekte, sondern die, die jemand tatsächlich jede Woche einhalten kann.
Wenn du einen einfachen Indikator suchst, messe die Anzahl der beseitigten unberechtigten Zugriffe, die Erfolgsquote bei der Wiederherstellung und die Geschwindigkeit, mit der eine Anomalie den Verantwortlichen zur Kenntnis gebracht wird. Das sind weitaus nützlichere Anhaltspunkte als eine Checkliste, die nur einmal ausgefüllt wird.
Die Sicherheit von Unternehmensdaten funktioniert dann, wenn sie die Arbeit nicht behindert, sondern unterstützt. In einer Vertriebsabteilung kann das Team beispielsweise Angebote und Preislisten in klassifizierten Umgebungen gemeinsam nutzen, wobei die Zugriffsrechte bei Beendigung der Zusammenarbeit widerrufen werden. In der Verwaltung bleiben sensible Dokumente nur denjenigen zugänglich, die sie tatsächlich bearbeiten müssen, während im operativen Bereich Produktions- oder Logistikdaten überwacht werden, ohne dass ständige manuelle Kontrollen erforderlich sind.
Den Unterschied macht die Unternehmenskultur aus. Wenn die Mitarbeiter Sicherheit als Hindernis empfinden, werden sie die Regeln umgehen. Sehen sie sie hingegen als Möglichkeit, Blockaden, Fehler und Zeitverschwendung zu vermeiden, werden sie sie leichter annehmen. Hier sind eine einfache Sprache, konkrete Beispiele und eine Verteilung der Verantwortung gefragt – nicht nur in der Schublade verstaute Verfahren.
Das Ziel besteht nicht darin, der IT-Abteilung alles sichtbar zu machen, sondern alles steuerbar zu machen. Die Unternehmen, die die besten Ergebnisse erzielen, behandeln Daten als betrieblichen Vermögenswert und setzen Kontrollen ein, die Schutz bieten, ohne den Verkaufszyklus, die Rechnungsstellung oder den Kundensupport zu verlangsamen.
ELECTE unterstützt KMU dabei, Rohdaten in aussagekräftige Signale umzuwandeln – mithilfe automatisierter Analysen und der Erkennung von Anomalien, die auch für die kontinuierliche Sicherheitsüberwachung nützlich sind. Wenn Sie mehr Kontrolle über Ihre Informationsflüsse erlangen und erfahren möchten, wie ein KI-gestützter Ansatz die Governance und die Erkennung von Anomalien unterstützen kann, besuchen Sie ELECTE und prüfen Sie, wie Sie die Lösung in Ihre Prozesse integrieren können.
.svg)
.svg)
.svg)
