Die meisten Betriebe denken bei IT-Sicherheit an Virenscanner und starke Passwörter. Das ist nicht falsch, aber es reicht nicht. Ein IT-Sicherheitskonzept ist das, was dahintersteht: eine strukturierte Antwort auf die Frage, welche Risiken Ihr Betrieb hat, was Sie schützen müssen und wie Sie im Ernstfall reagieren. Ohne diese Grundlage sind einzelne Maßnahmen Flickwerk.

Dieser Beitrag zeigt, wie ein IT-Sicherheitskonzept aufgebaut ist, was es von anderen Begriffen wie Datenschutzkonzept oder ISMS unterscheidet und wie die 7 Schritte zur Erstellung für KMU konkret aussehen. Am Ende wissen Sie, ob Ihr Betrieb bereits ein tragfähiges Fundament hat oder wo die dringendsten Lücken liegen.

Was ist ein IT-Sicherheitskonzept eigentlich?

Ein IT-Sicherheitskonzept dokumentiert, welche Systeme, Daten und Prozesse Ihr Betrieb schützen muss, welche Risiken dafür bestehen und welche technischen sowie organisatorischen Maßnahmen diese Risiken auf ein akzeptables Niveau senken. Es ist kein einmaliges Dokument, sondern ein Steuerungsinstrument, das regelmäßig aktualisiert wird.

Drei Begriffe, die sich ähneln und doch unterscheiden:

IT-Sicherheitskonzept schützt die gesamte IT-Infrastruktur, alle Systeme und Unternehmensdaten. Datensicherheitskonzept fokussiert auf Vertraulichkeit, Integrität und Verfügbarkeit von Daten. Datenschutzkonzept adressiert die rechtskonforme Verarbeitung personenbezogener Daten nach DSGVO. Alle drei ergänzen sich und bauen aufeinander auf.

Ein IT-Sicherheitskonzept ist kein ISMS (Informationssicherheitsmanagementsystem). Das ISMS ist der organisatorische Rahmen und die Managementstruktur. Das IT-Sicherheitskonzept ist das konkrete Dokument darin: Was wird geschützt und wie. Für KMU ohne zertifiziertes ISMS ist das Konzept häufig der pragmatischere Einstieg.

Wer braucht ein IT-Sicherheitskonzept?

Die ehrliche Antwort: Jeder Betrieb, der digitale Systeme nutzt, Kundendaten verarbeitet oder auf eine funktionierende IT angewiesen ist. Und das ist heute nahezu jedes Unternehmen.

Konkret ergibt sich die Pflicht aus mehreren Regelwerken gleichzeitig:

  • DSGVO, Artikel 32: Verpflichtet zur Umsetzung geeigneter technischer und organisatorischer Maßnahmen zum Schutz personenbezogener Daten. Ein IT-Sicherheitskonzept ist die strukturierte Grundlage dafür.
  • NIS2 bzw. BSIG (seit Dezember 2025): Verpflichtend für rund 29.000 Einrichtungen in Deutschland als wichtige oder besonders wichtige Einrichtungen. In Österreich gilt die NISG-Umsetzung vergleichbar.
  • Cyber Resilience Act: Für Hersteller von Produkten mit digitalen Elementen gelten ab Dezember 2027 umfassende Sicherheitspflichten. Ein IT-Sicherheitskonzept ist die notwendige Grundlage dafür.
  • Versicherungsanforderungen: Viele Cyber-Versicherungen setzen ein nachweisbares IT-Sicherheitskonzept als Voraussetzung für die Deckung voraus.

Datenpanne ohne Konzept: doppeltes Risiko. Wer nach einem Sicherheitsvorfall nicht nachweisen kann, dass angemessene Maßnahmen bestanden, trägt gegenüber der Datenschutzbehörde das volle Risiko. Ein fehlendes IT-Sicherheitskonzept ist nicht nur ein operatives Problem, sondern ein Compliance-Problem. Bußgelder nach DSGVO können bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes betragen.

Die 7 Schritte zur Erstellung

Die gute Nachricht für KMU: Ein IT-Sicherheitskonzept muss nicht von Grund auf neu erfunden werden. Der Aufbau folgt einer bewährten Logik, die sich an der BSI IT-Grundschutz-Methodik orientiert und für kleine Betriebe vereinfacht angewendet werden kann.

Schritt 01

Geltungsbereich festlegen

Definieren Sie klar, welche Systeme, Prozesse, Standorte und Abteilungen das Konzept abdeckt. Was gehört dazu? Was bewusst nicht? Diese Entscheidung verhindert, dass das Konzept entweder zu vage oder nie fertig wird.

Empfehlung für KMU: Beginnen Sie mit dem Kern, also denjenigen Systemen, auf denen Kundendaten liegen oder die für den Betrieb existenziell sind. Erweitern Sie den Geltungsbereich schrittweise. Ein begrenztes Konzept, das wirklich umgesetzt wird, ist besser als ein umfassendes, das im Schrank liegt.

Schritt 02

Strukturanalyse: Was haben Sie eigentlich?

Erfassen Sie alle IT-Systeme, Anwendungen, Datenflüsse und Schnittstellen innerhalb des Geltungsbereichs. Server, Endgeräte, Cloud-Dienste, externe Dienstleister, Fernzugriffe. Viele Betriebe unterschätzen, wie viele digitale Verbindungen sie tatsächlich haben.

Typische blinde Flecken: Buchhaltungssoftware, die Kundendaten in die Cloud überträgt. Fernwartungszugänge für Dienstleister. Privatgeräte, die auf betriebliche Systeme zugreifen. Shadow IT in einzelnen Abteilungen.

Ergebnis dieses Schritts: Eine vollständige Liste aller relevanten Systeme und Datenflüsse als Grundlage für alles Weitere.

Schritt 03

Schutzbedarf bewerten

Nicht alle Systeme sind gleich kritisch. Bewerten Sie für jedes System und jede Datenkategorie, wie schwerwiegend ein Ausfall, ein Datenverlust oder eine unbefugte Offenlegung wäre. Der BSI IT-Grundschutz unterscheidet drei Kategorien: normal, hoch und sehr hoch.

Normal: Ein Ausfall ist unangenehm, aber der Betrieb erholt sich ohne gravierende Schäden.
Hoch: Ein Ausfall verursacht erhebliche finanzielle Schäden, rechtliche Konsequenzen oder Vertrauensverlust.
Sehr hoch: Ein Ausfall gefährdet die Existenz des Unternehmens oder hat schwerwiegende Folgen für Dritte.

Für Systeme mit hohem oder sehr hohem Schutzbedarf ist nach BSI Standard 200-3 eine vollständige Risikoanalyse verpflichtend.

Schritt 04

Risiken analysieren

Erfassen Sie für jedes System die relevanten Bedrohungen und Schwachstellen. Was könnte schiefgehen? Ransomware-Angriff, Phishing, technischer Ausfall, menschliches Versagen, unbefugter Zugriff durch Dienstleister, Verlust eines Endgeräts.

Bewerten Sie jedes Risiko nach zwei Dimensionen: Eintrittswahrscheinlichkeit und möglicher Schaden. Deren Kombination ergibt das Risikopotenzial und bestimmt, welche Maßnahmen priorisiert werden müssen.

Wichtig: Die Risikoanalyse muss nicht akademisch vollständig sein. Sie muss die tatsächlichen Risiken Ihres Betriebs widerspiegeln, praxisnah und aktuell.

Schritt 05

Maßnahmen planen und dokumentieren

Für jedes identifizierte Risiko legen Sie fest, welche technischen und organisatorischen Maßnahmen es auf ein akzeptables Niveau senken. Diese Maßnahmen nennt die DSGVO TOM, technische und organisatorische Maßnahmen.

Technische Maßnahmen sind zum Beispiel: Firewalls, Verschlüsselung, Zugriffskontrollen, automatisierte Backups, Mehr-Faktor-Authentifizierung. Organisatorische Maßnahmen sind: Passwortrichtlinien, Schulungen, klare Regelungen für Homeoffice, Dienstleisterverträge mit Sicherheitsanforderungen.

Dokumentieren Sie für jede Maßnahme: Was genau umgesetzt wird, wer dafür verantwortlich ist und bis wann. Ohne diese drei Punkte bleibt der Maßnahmenplan eine Wunschliste.

Schritt 06

Notfallplan aufstellen

Ein IT-Sicherheitskonzept ohne Notfallplan ist unvollständig. Der Notfallplan regelt, was passiert, wenn eine Maßnahme versagt und ein Sicherheitsvorfall eintritt. Nicht ob, sondern wann.

Zentrale Bausteine eines Notfallplans für KMU:

Klare Meldewege: Wer wird zuerst informiert? Wer entscheidet?
Wiederanlaufpläne für kritische Systeme: Wie lange darf was ausfallen?
Getestete Backup-Wiederherstellung: Backups, die nie getestet wurden, sind wertlos.
DSGVO-Meldepflicht: Datenpannen müssen innerhalb von 72 Stunden an die Datenschutzbehörde gemeldet werden.

Schritt 07

Prüfen, aktualisieren, verbessern

Ein IT-Sicherheitskonzept, das einmal erstellt und dann nicht mehr angefasst wird, verliert schnell seinen Wert. Bedrohungen entwickeln sich weiter. Systeme ändern sich. Neue Dienstleister kommen hinzu. Mitarbeitende wechseln.

Planen Sie feste Revisionszyklen: mindestens einmal jährlich, zusätzlich nach wesentlichen Änderungen der IT-Infrastruktur oder nach Sicherheitsvorfällen. Interne Audits und, ab einer gewissen Betriebsgröße, externe Penetrationstests geben Ihnen ein realistisches Bild davon, wie wirksam Ihre Maßnahmen tatsächlich sind.

Der PDCA-Zyklus (Plan, Do, Check, Act) ist das einfachste Modell für diese Kontinuität: Planen, umsetzen, prüfen, verbessern. Wer das konsequent tut, hat ein lebendes Sicherheitskonzept statt ein verstaubtes Dokument.

Wer trägt im Betrieb die Verantwortung?

IT-Sicherheit ist Chefsache. Das klingt nach einer Floskel, hat aber eine klare rechtliche Grundlage: Die Geschäftsleitung trägt die Letztverantwortung dafür, dass angemessene Sicherheitsmaßnahmen bestehen. Wer das an die IT-Abteilung delegiert, ohne Ressourcen und klare Ziele mitzugeben, hat das Problem nicht gelöst, sondern nur verschoben.

Funktion Verantwortung
Geschäftsleitung Strategische Entscheidungen, Ressourcenfreigabe, Festlegung der Sicherheitsziele. Letztverantwortung gegenüber Behörden und Partnern.
ISB oder IT-Verantwortlicher Entwicklung, Pflege und Umsetzung des Konzepts. Bei KMU häufig in Personalunion mit der IT-Abteilung oder extern vergeben.
IT-Abteilung Technische Umsetzung der Maßnahmen, Systemhärtung, Monitoring, Patch-Management.
Datenschutzbeauftragter Abstimmung der Sicherheitsmaßnahmen mit DSGVO-Anforderungen, Schnittstellenklärung zwischen IT-Sicherheit und Datenschutz.
Mitarbeitende Umsetzung im Alltag, Meldung von Auffälligkeiten, Teilnahme an Schulungen. Menschliches Versagen ist die häufigste Ursache für Sicherheitsvorfälle.

Die Verbindung zur DSGVO

Datenschutz und IT-Sicherheit werden in der Praxis häufig getrennt behandelt. Das ist ein Fehler. Artikel 32 DSGVO verpflichtet zur Implementierung geeigneter technischer und organisatorischer Maßnahmen. Ein IT-Sicherheitskonzept ist die Grundlage, um diese Pflicht systematisch und nachweisbar zu erfüllen.

Wer seinen Datenschutz ordentlich aufgestellt hat, hat die Hälfte des IT-Sicherheitskonzepts bereits geschrieben. Beide Disziplinen teilen dieselbe Basis: wissen, was man hat, wer darauf zugreift und was im Ernstfall passiert. Aus der Beratungspraxis als externer Datenschutzbeauftragter

In der Praxis bedeutet das konkret: Die Schutzbedarfsanalyse für personenbezogene Daten (Schritt 3) fließt direkt in die DSGVO-Dokumentation ein. Der Notfallplan (Schritt 6) deckt gleichzeitig die DSGVO-Meldepflicht bei Datenpannen ab. Die dokumentierten TOM (Schritt 5) sind exakt das, was Datenschutzbehörden im Prüfungsfall sehen wollen.

Synergie statt Doppelarbeit: Wer IT-Sicherheitskonzept und DSGVO-Dokumentation gemeinsam aufstellt, spart erheblichen Aufwand. Viele Grundlagen überschneiden sich direkt. Das ist ein zentraler Vorteil der integrierten Betreuung durch einen externen Datenschutzbeauftragten mit IT-Sicherheitserfahrung.

Was tun, wenn Sie noch kein Konzept haben?

Fangen Sie an. Nicht mit dem perfekten Dokument, sondern mit Schritt 1. Ein begrenzter Geltungsbereich, der wirklich durchdacht ist, hat mehr Wert als ein umfassendes Konzept, das nie vollständig umgesetzt wird.

Fünf konkrete erste Schritte für Betriebe ohne bestehendes Konzept:

  • Systemliste erstellen: Welche IT-Systeme, Anwendungen und Cloud-Dienste nutzt Ihr Betrieb? Schreiben Sie es auf.
  • Kritische Daten identifizieren: Wo liegen Kundendaten, Finanzdaten, Verträge? Wer hat darauf Zugriff?
  • Verantwortlichkeit klären: Wer ist in Ihrem Betrieb für IT-Sicherheit zuständig? Ist das explizit geregelt?
  • Notfallkontakte festlegen: Wen rufen Sie an, wenn Montag früh alle Systeme verschlüsselt sind?
  • Backups testen: Wann haben Sie zuletzt geprüft, ob Ihre Backups tatsächlich wiederhergestellt werden können?

Diese fünf Punkte ersetzen kein vollständiges IT-Sicherheitskonzept. Aber sie zeigen Ihnen sofort, wo die kritischsten Lücken liegen. Und sie sind in einem halben Tag umsetzbar.

IT-Sicherheitskonzept IT-Sicherheit KMU NIS2 DSGVO Art. 32 TOM BSI IT-Grundschutz Risikomanagement Datenschutz Österreich