Datensicherheit in deiner Software: das Minimum, das du verlangen musst
Deine Software bewahrt nach der Kasse das Wertvollste des Geschäfts: die Daten deiner Kunden, deine Preise, deine Historie. Und die echte Bedrohung ist nicht der Filmhacker — es ist das auf einem Zettel geteilte Passwort, der Zugang des vor einem Jahr gegangenen Mitarbeiters und das Backup, das nie jemand getestet hat. Sicherheit ist kein Produkt, das man kauft: Es sind Praktiken, die man einfordert.
21. September 20255 Min. LesezeitIn diesem Artikel
Deine Software bewahrt nach der Kasse das Wertvollste des Geschäfts: die Daten deiner Kunden, deine Preise und Margen, deine Vorgangshistorie. Eine Datenpanne kassiert dreifach — der Betrieb steht, das Kundenvertrauen bricht, und die rechtlichen Folgen kommen dazu, wenn personenbezogene Daten im Spiel waren — und anders als beim physischen Einbruch kannst du Monate brauchen, um überhaupt davon zu erfahren.
Die gute Nachricht gegen die Lähmung: Du musst kein Cybersicherheits-Experte werden. Die Pannen, die KMU treffen, kommen fast nie von raffinierten Hackern — sie kommen von angesammelter Nachlässigkeit, und Nachlässigkeit korrigiert man mit einer kurzen Liste von Praktiken und Fragen. Dieser Guide gibt dir die echten Bedrohungen, das Minimum, das du von jeder Software verlangen musst, und die exakten Fragen an deinen Anbieter.
Was genau auf dem Spiel steht
Mach das mentale Inventar: Namen, Telefonnummern und E-Mails der Kunden; Kaufhistorien und offene Posten; deine Einkaufspreise und Lieferanten; Bank- und Rechnungszugänge. Jedes davon hat seinen Käufer auf dem schlimmsten Markt und sein Bußgeld in der DSGVO. Und der größte Schaden ist selten der direkte: Es ist das Gespräch, in dem du deinen Kunden erklärst, dass ihre Daten aus deinem Geschäft geflossen sind — manche Geschäftsbeziehung überlebt diese Nachricht nicht.
Die echten Bedrohungen (kein Filmstoff)
- Durch Täuschung gestohlene Zugangsdaten: die falsche E-Mail, die deine Bank oder deinen Lieferanten imitiert und jemandem im Team das Passwort abfischt — Phishing verursacht mehr Pannen als alle technische Raffinesse zusammen.
- Die Zugänge derer, die längst weg sind: Ex-Mitarbeiter und Ex-Dienstleister mit aktiven Benutzerkonten — die am billigsten zu verhindernde Panne und eine der häufigsten.
- Ungepatchte Software: Jedes ausstehende Update ist eine veröffentlichte Schwachstelle mit Anleitung — automatisierte Angriffe durchkämmen das Internet nach genau so etwas.
- Geteilte und schwache Passwörter: der Systemschlüssel am Bildschirm, das "123456" des Panels, dasselbe Passwort für alles — offene Türen, die keine Firewall ausgleicht.
Das Minimum, das du von jeder Software verlangst
| Front | Was verlangen | Wie prüfen |
|---|---|---|
| Verschlüsselung unterwegs | Jede Verbindung mit Schloss (HTTPS) — keine Ausnahmen, keine "komischen" Seiten | Blick auf die Browserleiste; die Details stehen im Guide zu SSL und Grundsicherheit |
| Zugänge und Passwörter | Ein Benutzer pro Person, Rollen nach Funktion, Zwei-Faktor (2FA) beim Kritischen | Frage: Wer kann was sehen/löschen? Lautet die Antwort "alle alles", gibt es Hausaufgaben |
| Updates | System und Abhängigkeiten aktuell, mit benanntem Verantwortlichen | Frag nach dem letzten Update — das Schweigen ist die Antwort |
| Geprüfte Backups | Automatisch, außerhalb des Hauptsystems, und probeweise wiederhergestellt | Die vollständige Regel steht im Guide zu Backups |
Die Lieblingstür: die Zugänge derer, die schon weg sind
Die Fragen an deinen Software-Anbieter
- Wo werden die Daten gespeichert, und wer kann sie sehen?: erwartbare Antwort: seriöser Cloud-Anbieter, Verschlüsselung, rollenbeschränkter Zugriff — Ausflüchte sind hier disqualifizierend.
- Wie werden Passwörter behandelt?: Das Wort, das du hören willst, ist "gehasht" (nicht einmal das System selbst kann sie lesen); das, das dich erschrecken sollte: "Wir schicken es dir zu, wenn du es vergisst".
- Was passiert bei einer Datenpanne?: Wer informiert dich, wie schnell, was wird getan — dass es eine Antwort gibt, sagt dir schon, dass sie darüber nachgedacht haben.
- Wie wird gesichert, und wie oft wird die Wiederherstellung getestet?: Das Backup, das nie probeweise wiederhergestellt wurde, ist eine Hoffnung, kein Backup.
Die menschliche Hälfte: Kultur vor Werkzeugen
Die beste Infrastruktur verliert gegen einen arglosen Klick, deshalb ist die andere Hälfte der Arbeit Kultur: ein Passwortmanager fürs Team (tötet wiederholte Passwörter und geklebte Zettel), fünfzehn Minuten Anti-Phishing-Training (drei echte falsche E-Mails zu zeigen lehrt mehr als ein Handbuch) und das Prinzip des geringsten Zugriffs — jeder sieht, was seine Arbeit braucht, nicht mehr; nicht aus Misstrauen, sondern weil jeder eingesparte Zugang eingesparte Angriffsfläche ist. Wenn du neue Software beauftragst, gehören diese Forderungen von Anfang an in den Vertrag — der komplette Rahmen steht im Guide zur eigenen App.
Häufige Fragen
Muss ich einen Cybersicherheits-Experten einstellen?
Auf KMU-Niveau fast nie fest: 90% des Risikos schneiden die Praktiken dieses Guides ab — individuelle Zugänge mit 2FA, Updates, geprüfte Backups, Offboarding und Anti-Phishing —, die dein eigener Software- oder IT-Dienstleister umsetzen kann. Ein punktuelles externes Audit ergibt Sinn, wenn du sensible Daten im Volumen verarbeitest (Gesundheit, Finanzen) oder ein Großkunde es als Bedingung stellt.
Ist die Cloud sicher, oder ist alles auf meinem Rechner sicherer?
Gegen die Intuition: Für ein KMU ist die seriöse Cloud fast immer SICHERER als der eigene Server — die großen Anbieter haben Sicherheitsteams mit Hunderten Leuten, Verschlüsselung und Backups, die kein KMU nachbaut. Die echten Cloud-Risiken sind deine, nicht ihre: schwache Passwörter ohne 2FA, falsch gesetzte Berechtigungen, öffentlich geteilte Links. Der Bürorechner dagegen wird gestohlen, brennt und infiziert sich ohne Vorwarnung.
Was tue ich bei Verdacht auf eine Datenpanne?
Der Reihe nach und ohne Panik: Ändere sofort die Passwörter der betroffenen Systeme (und widerrufe aktive Sitzungen, wenn das System es erlaubt), sichere die Beweise (noch keine Logs löschen, nichts neu installieren), ruf deinen technischen Dienstleister, um zu dimensionieren, worauf zugegriffen wurde — und waren personenbezogene Kundendaten betroffen, prüfe deine Meldepflichten: Die DSGVO kennt die 72-Stunden-Frist. Was nie geht: verstecken und hoffen; von Dritten entdeckte Pannen kosten doppelt an Vertrauen.
Wie viel sollte ich in Sicherheit investieren?
Weniger, als du fürchtest, denn das Wirksamste ist billig: 2FA ist gratis, der Passwortmanager kostet wenige Euro pro Person, Updates und Offboarding sind Disziplin, und Backups sind in jeder anständigen Infrastruktur enthalten. Die richtige Rechnung läuft nicht gegen das IT-Budget, sondern gegen die Kosten eines einzigen Vorfalls: Eine Woche Stillstand plus die Kunden, die nicht zurückkommen, bezahlen Jahre dieser Praktiken.