Cyber-Sicherheit für Kleinunternehmer 2026: Die Praxis-Checkliste in 10 Schritten

Montagmorgen.

Du bekommst eine E-Mail von einem Lieferanten: „Bitte beachten Sie unsere neue Bankverbindung.“

Die Rechnung sieht aus wie immer. Der Betrag stimmt. Das Logo stimmt. Der Absender wirkt vertraut.

Du überweist.

Drei Wochen später kommt die Mahnung. Dein Lieferant hat das Geld nie bekommen.

Genau darum geht es bei Cyber-Sicherheit für Kleinunternehmer 2026.

Nicht um Hacker mit Kapuzenpulli und drei Bildschirmen.

Sondern um ganz alltägliche Risiken, die dich Geld, Zeit und im schlimmsten Fall das Vertrauen deiner Kunden kosten können.

In diesem Artikel bekommst du deshalb eine Cyber-Checkliste in 10 konkreten Schritten, die du auch als kleines Unternehmen umsetzen kannst.

Außerdem schauen wir darauf, was NIS-2 für kleine Unternehmen bedeutet, welche Pflichten sich aus der DSGVO ergeben können und vor allem:

Was kostet es dein Business eigentlich, wenn deine Systeme plötzlich nicht mehr funktionieren?

Wie groß ist das Cyberrisiko wirklich?

Cyberkriminalität ist kein Problem, das nur große Konzerne betrifft.

Laut Cybercrime-Report 2025 des Bundeskriminalamts wurden 2025 in Österreich 63.459 Fälle von Internetkriminalität angezeigt. Im Jahr davor waren es 62.328.

Allein 31.001 Anzeigen entfielen auf Internetbetrug.

Die Aufklärungsquote lag bei 30,8 %.

Bei den 111 angezeigten Ransomware-Fällen richtete sich laut Bericht der überwiegende Teil gegen Unternehmen. Eine klare Konzentration auf bestimmte Branchen war dabei nicht erkennbar.

Die wichtigste Erkenntnis für kleine Unternehmen ist deshalb:

Du musst für Betrüger nicht besonders interessant sein.

Du brauchst im schlimmsten Fall nur:

• ein E-Mail-Postfach
• ein Bankkonto
• einen Computer
• und einen kurzen Moment, in dem du nicht genau hinschaust.

Betrug muss nicht technisch kompliziert sein

Das Beispiel mit der geänderten Bankverbindung zeigt das sehr gut.

Ein Angreifer muss nicht dein gesamtes Unternehmen hacken.

Es kann reichen, wenn eine manipulierte Rechnung oder Nachricht glaubwürdig genug aussieht.

Du überweist beispielsweise 4.800 € an die vermeintlich neue Bankverbindung eines Lieferanten.

Später stellt sich heraus: Die Kontodaten wurden manipuliert.

Ob du das Geld zurückbekommst und wer den Schaden letztlich trägt, hängt vom konkreten Fall ab.

Im schlechtesten Fall hast du aber ein massives Liquiditätsproblem.

Und deshalb ist Cyber-Sicherheit für mich nicht nur ein IT-Thema.

Sie ist auch Risikomanagement.

Betrifft NIS-2 auch kleine Unternehmen?

Seit 1. Oktober 2026 gilt in Österreich das NISG 2026 (BGBl. I Nr. 94/2025). Die NISV 2026 (BGBl. II Nr. 290/2026) konkretisiert unter anderem Anforderungen an Risikomanagementmaßnahmen und Kriterien für erhebliche Cybersicherheitsvorfälle.

Für viele klassische EPU und kleine Betriebe bedeutet das allerdings nicht automatisch, dass sie unmittelbar unter das NISG fallen.

Der Anwendungsbereich hängt insbesondere von Unternehmensgröße, Tätigkeit und Sektor ab. Für bestimmte Tätigkeiten bestehen Sonderregelungen.

Für kleine Unternehmen ist deshalb eine andere Frage häufig relevanter:

Kann NIS-2 mich indirekt betreffen?

Ja.

Wenn du für ein Unternehmen arbeitest, das selbst entsprechende Cybersicherheitsanforderungen erfüllen muss, können Anforderungen an dessen Lieferkette auch bei dir ankommen.

Dein Auftraggeber kann beispielsweise bestimmte Sicherheitsmaßnahmen, Nachweise oder vertragliche Verpflichtungen verlangen.

Wenn du wissen möchtest, wer konkret betroffen sein kann, findest du die ausführliche Einordnung in meinem Artikel „NIS-2 ab 1. Oktober 2026“.

Eine Regel betrifft fast jedes Unternehmen: die DSGVO

Auch wenn NIS-2 für dich nicht unmittelbar gilt, verarbeitest du wahrscheinlich personenbezogene Daten. Zum Beispiel:

• Namen
• E-Mail-Adressen
• Adressen
• Rechnungsdaten
• Mitarbeiterdaten
• oder andere Kundendaten.

Dann spielt die DSGVO eine Rolle.

Art. 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen entsprechend dem jeweiligen Risiko.

Welche Maßnahmen angemessen sind, hängt von deinem Unternehmen und den verarbeiteten Daten ab. Für eine Arztpraxis sieht die Risikosituation anders aus als für einen kleinen Handwerksbetrieb.

Aber: „Ich bin zu klein“ ist keine Datenschutzstrategie.

Kommt es zu einer Verletzung des Schutzes personenbezogener Daten, kann außerdem eine Meldepflicht gegenüber der Datenschutzbehörde entstehen.

Art. 33 DSGVO sieht grundsätzlich eine Meldung unverzüglich und möglichst binnen 72 Stunden nach Kenntnis vor, sofern die Verletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.

Bei einem voraussichtlich hohen Risiko kann zusätzlich eine Benachrichtigung der betroffenen Personen erforderlich sein.

Genau deshalb sollte dein Notfallplan bereits existieren, bevor etwas passiert.

Die Cyber-Sicherheits-Checkliste 2026 in 10 Schritten

Jetzt wird es praktisch.

Du musst daraus kein IT-Projekt für die nächsten sechs Monate machen. Beginne mit diesen zehn Punkten.

1. Zwei-Faktor-Authentifizierung aktivieren

Beginne mit den wichtigsten Zugängen:

• E-Mail
• Online-Banking
• Buchhaltung
• Cloud-Speicher
• wichtige Unternehmenssoftware

Gerade dein E-Mail-Konto ist besonders sensibel. Wer darauf Zugriff bekommt, kann möglicherweise Passwort-Rücksetzungen anderer Dienste auslösen und sensible Kommunikation einsehen.

Deshalb: 2FA zuerst beim E-Mail-Konto.

2. Für jeden Dienst ein eigenes Passwort

Ein Passwort für zehn verschiedene Dienste ist bequem. Bis genau dieses eine Passwort bekannt wird.

Dann wird aus einem kompromittierten Zugang möglicherweise ein Problem bei mehreren Diensten.

Nutze deshalb lange, individuelle Passwörter und einen Passwortmanager. Damit musst du dir nicht zwanzig verschiedene Passwörter merken.

3. Updates nicht aufschieben

Betriebssystem. Browser. Smartphone. Buchhaltungssoftware. Router. Andere Programme.

Sicherheitsupdates sollten möglichst zeitnah installiert werden. Wenn möglich: automatische Updates aktivieren.

Und Geräte beziehungsweise Software, die keine Sicherheitsupdates mehr erhalten, gehören auf deine Prüfliste.

4. Backups erstellen

Stell dir eine einfache Frage:

Wenn mein Laptop heute kaputtgeht oder alle Daten verschlüsselt werden, wann kann ich wieder arbeiten?

Eine Sicherung sollte so gestaltet sein, dass nicht sämtliche Backups bei demselben Vorfall ebenfalls verloren gehen oder verschlüsselt werden. Deshalb kann eine getrennte Sicherung besonders wichtig sein.

Aber ein Backup allein reicht noch nicht.

5. Wiederherstellung testen

Das wird oft vergessen.

Du siehst jeden Tag: „Backup erfolgreich.“ Super. Aber kannst du die Daten auch wiederherstellen?

Teste deshalb regelmäßig zumindest stichprobenartig die Wiederherstellung.

Denn: Ein Backup ist erst dann wirklich wertvoll, wenn du es wiederherstellen kannst.

6. Änderungen von Bankverbindungen immer überprüfen

Das ist eine meiner wichtigsten Regeln für jedes Unternehmen.

Bekommst du per E-Mail plötzlich eine neue Bankverbindung: Nicht einfach überweisen.

Ruf deinen Geschäftspartner über eine bereits bekannte Telefonnummer an. Nicht über eine Telefonnummer, die ausschließlich in derselben Nachricht steht.

Und frag: „Habt ihr eure Bankverbindung geändert?“

Zwei Minuten Kontrolle können dir Tausende Euro ersparen.

7. Klare Regeln für Überweisungen festlegen

Bei Mitarbeitern kann beispielsweise ab einem bestimmten Betrag ein Vier-Augen-Prinzip sinnvoll sein.

Als EPU kannst du eine einfachere Regel verwenden: Neue oder geänderte Bankverbindungen werden vor der ersten Überweisung telefonisch bestätigt.

Mach daraus keinen Vorsatz. Mach daraus einen Prozess.

8. Auch deine Kunden schützen

Cyber-Sicherheit funktioniert in beide Richtungen. Wenn Betrüger deine Identität verwenden, können auch deine Kunden betroffen sein.

Du kannst beispielsweise bereits im Angebot oder Vertrag klar kommunizieren, welche Bankverbindung du verwendest. Und bei einer tatsächlichen Änderung besonders sichere Kommunikationswege wählen.

So wissen Kunden: Eine überraschende E-Mail mit neuer IBAN sollte überprüft werden.

9. Zugänge regelmäßig aufräumen

Wer hat Zugriff auf E-Mail, Cloud, Buchhaltung, Website, Social Media, Kundendaten und Online-Banking?

Gerade bei ehemaligen Mitarbeitern, Agenturen und Freelancern bleiben Zugänge manchmal länger bestehen als notwendig.

Deshalb regelmäßig prüfen: Wer braucht welchen Zugriff noch? Was nicht mehr benötigt wird, wird entfernt.

10. Einen Notfallplan haben

Wenn etwas passiert, ist nicht der richtige Zeitpunkt, Telefonnummern und Zuständigkeiten zu suchen. Halte deshalb in deinem Notfallplan zumindest fest:

• Bank
• IT-Betreuung
• WKO Cyber-Security-Hotline
• Polizei
• Datenschutz-Verantwortliche beziehungsweise notwendige Meldewege

Die WKO Cyber-Security-Hotline ist unter 0800 888 133 erreichbar.

Und wenn personenbezogene Daten betroffen sein könnten, gehört die mögliche 72-Stunden-Frist nach Art. 33 DSGVO ebenfalls auf deine Notfall-Checkliste.

Was kostet dich ein Cybervorfall?

Hier wird Cyber-Sicherheit zum Finanzbuddha-Thema. Nehmen wir zwei unterschiedliche Fälle.

Fall 1: Manipulierte Rechnung

Du überweist 4.800 € auf ein manipuliertes Konto.

Möglicher unmittelbarer Schaden: 4.800 €. Je nach Fall können weitere Kosten und Verpflichtungen hinzukommen.

Fall 2: Dein Unternehmen steht drei Tage

Nehmen wir an, dein Business erwirtschaftet durchschnittlich 600 € pro Arbeitstag.

Drei Tage Ausfall: 3 × 600 € = 1.800 €

Dazu kommen beispielsweise:

• IT-Betreuung
• Datenwiederherstellung
• zusätzliche Arbeitszeit
• mögliche Vertragsprobleme
• und eventuell weitere Folgekosten.

Plötzlich ist Cyber-Sicherheit keine abstrakte IT-Frage mehr. Sondern eine wirtschaftliche Frage:

Wie viel kostet mich ein Ausfall und wie viel bin ich bereit zu investieren, um dieses Risiko zu reduzieren?

Brauchst du eine Cyberversicherung?

Vielleicht. Aber sie wäre für mich nicht Schritt 1.

Zuerst:

• Zugänge absichern.
• Backups einrichten.
• Zahlungsprozesse definieren.
• Notfallplan erstellen.
• Risiko berechnen.

Danach kannst du beurteilen, welches Restrisiko übrig bleibt und ob du dieses selbst tragen kannst oder versichern möchtest.

Denn: Eine Versicherung ersetzt keine Cyber-Sicherheit. Sie kann lediglich einen Teil des verbleibenden finanziellen Risikos absichern.

Dein Cyber-Check in 60 Minuten

Wenn du aus diesem Artikel nur eine Sache umsetzt, dann blockiere dir diese Woche eine Stunde.

• 15 Minuten: 2FA für E-Mail und wichtige Konten aktivieren.
• 15 Minuten: Backup prüfen und eine Datei testweise wiederherstellen.
• 10 Minuten: Regel festlegen: Neue oder geänderte Bankverbindung nur nach Rückruf.
• 10 Minuten: Zugänge kontrollieren und alte Berechtigungen entfernen.
• 10 Minuten: Notfallkontakte dokumentieren.

Danach bist du nicht unangreifbar. Aber du hast einige der wichtigsten vermeidbaren Risiken deutlich reduziert.

Was bedeutet Cyber-Sicherheit für deine Zahlen?

Ein Punkt fehlt mir bei vielen Cyber-Checklisten: Wie viel Risiko kann dein Unternehmen finanziell überhaupt tragen?

Rechne deshalb einmal:

• Wie viel kostet mich ein Tag Stillstand?
• Wie viele Tage kann ich ohne normalen Betrieb finanzieren?
• Welche IT-Kosten könnte ich kurzfristig bezahlen?
• Wie hoch ist meine Liquiditätsreserve?
• Welchen größeren Schaden könnte ich nicht mehr problemlos selbst tragen?

Das hilft dir auch bei der Entscheidung über Rücklagen und Versicherungen.

Denn wie bei vielen unternehmerischen Entscheidungen gilt: Erst das Risiko verstehen. Dann die Zahlen kennen. Dann entscheiden.

Häufige Fragen

Gilt NIS-2 für mich als Einzelunternehmer?

Für viele klassische Einzelunternehmer und kleine Unternehmen nicht unmittelbar. Der konkrete Anwendungsbereich hängt allerdings von Tätigkeit, Sektor, Unternehmensgröße und möglichen Sonderregelungen ab. Zusätzlich können Sicherheitsanforderungen indirekt über Kunden und Lieferketten relevant werden.

Muss ich einen Cyberangriff melden?

Nicht jeder Cybervorfall löst automatisch dieselben Meldepflichten aus. Ist der Schutz personenbezogener Daten verletzt, kann insbesondere Art. 33 DSGVO relevant werden. Eine Meldung an die Datenschutzbehörde muss dann grundsätzlich unverzüglich und möglichst binnen 72 Stunden erfolgen, sofern die Verletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.

Was mache ich, wenn ich auf ein falsches Konto überwiesen habe?

Kontaktiere sofort deine Bank, damit mögliche Rückholmaßnahmen geprüft werden können. Bei Betrugsverdacht solltest du außerdem möglichst rasch Anzeige erstatten. Ob das Geld zurückgeholt werden kann und wer den Schaden letztlich trägt, hängt vom konkreten Fall ab.

Was bietet die Cyber-Security-Hotline der WKO?

Unter 0800 888 133 bietet die WKO ihren Mitgliedern Unterstützung bei Cybervorfällen und vermittelt bei Bedarf entsprechende IT-Security-Experten.

Brauche ich als kleines Unternehmen eine Cyberversicherung?

Nicht automatisch. Entscheidend sind dein tatsächliches Risiko, mögliche Schadenshöhe, vorhandene Rücklagen und bestehende Schutzmaßnahmen. Eine Versicherung sollte grundlegende Sicherheitsmaßnahmen ergänzen und nicht ersetzen.

Was ist die wichtigste Cybermaßnahme für ein kleines Unternehmen?

Es gibt nicht die eine Maßnahme, die jedes Risiko verhindert. Wenn du heute aber nur einen Punkt umsetzt, würde ich mit Zwei-Faktor-Authentifizierung für dein E-Mail-Konto beginnen und anschließend deine Backup- und Zahlungsprozesse prüfen.

Fazit: Cyber-Sicherheit ist auch Liquiditätsschutz

Du brauchst kein großes Unternehmen, um Opfer von Cyberkriminalität zu werden.

Und du brauchst auch keine eigene IT-Abteilung, um dein Risiko deutlich zu reduzieren.

Beginne mit den Grundlagen:

• Zwei-Faktor-Authentifizierung aktivieren.
• Individuelle Passwörter verwenden.
• Backups erstellen und testen.
• Änderungen von Bankverbindungen telefonisch bestätigen.
• Zugänge regelmäßig überprüfen.
• Einen Notfallplan vorbereiten.

Denn ein Cybervorfall kostet nicht nur Daten. Er kann Umsatz, Liquidität, Arbeitszeit und Vertrauen kosten.

Das Geld, das du dir in deinem Business erarbeitet hast, sollte auch dort bleiben.

Und nicht auf einem fremden Konto landen, nur weil eine E-Mail überzeugend ausgesehen hat.