IT-Sicherheitskonzept erstellen: Aufbau & Vorlage für KMU

Inhalt in Kürze

• Ein IT-Sicherheitskonzept dokumentiert, wie Sie Ihre IT schützen — strukturiert über neun Kapitel von Geltungsbereich über Schutzbedarf und Risikoanalyse bis Notfallmanagement und regelmäßiger Überprüfung.
• Drei Treiber machen es für KMU zur Pflicht: Cyberversicherungen verlangen ein nachweisbares Sicherheitsniveau, Großkunden und NIS2-pflichtige Auftraggeber fordern es im Lieferketten-Audit, und es ist die Vorstufe zu BSI IT-Grundschutz oder ISO 27001.
• Der passende Standard hängt vom Ziel ab: Für den schlanken Einstieg eignen sich die BSI Basis-Absicherung (Standard 200-2) und die VdS 10000; eine anerkannte Zertifizierung liefert ISO 27001.
• Pragmatik schlägt Umfang: Ein KMU braucht kein 200-Seiten-Werk, sondern ein gelebtes Konzept mit klaren Verantwortlichkeiten, einer Mindest-Maßnahmen-Checkliste und einem Überprüfungsrhythmus.

Stand: Juni 2026 · Autor: Jens Hagel · Lesezeit: 11 Minuten

Ihr größter Kunde schickt einen Fragebogen zur Lieferantensicherheit. Die Cyberversicherung will vor Vertragsverlängerung wissen, wie Sie Ihre Systeme absichern. Oder ein NIS2-pflichtiger Auftraggeber verlangt einen Nachweis Ihres Sicherheitsniveaus. In allen drei Fällen brauchen Sie dasselbe Dokument: ein IT-Sicherheitskonzept. Dieser Artikel zeigt Ihnen, wie Sie ein IT-Sicherheitskonzept erstellen, das prüffähig ist — mit klarem Aufbau, Inhalten je Kapitel und einer Mindest-Maßnahmen-Checkliste, ohne Konzern-Overhead.

Warum ein KMU ein IT-Sicherheitskonzept erstellen muss

Ein IT-Sicherheitskonzept ist die dokumentierte Antwort auf eine einfache Frage: Wie schützen Sie Ihre Daten, Systeme und Geschäftsprozesse vor Ausfall, Diebstahl und Manipulation? Vier Treiber machen es für KMU vom „Nice-to-have” zur Geschäftsgrundlage.

Cyberversicherung. Versicherer zahlen nur, wenn ein Mindestschutz nachweisbar ist. Im Schadensfall prüft der Versicherer, ob die zugesagten Maßnahmen — Backup, MFA, Patch-Management — tatsächlich umgesetzt waren. Ohne dokumentiertes Konzept fehlt die Grundlage, und der Schutz wird teuer oder fällt ganz weg.

Kunden-Audits und NIS2-Lieferkette. Die NIS2-Richtlinie verpflichtet betroffene Unternehmen, die Sicherheit ihrer Lieferkette zu steuern. Das reicht die Anforderung an Zulieferer durch — auch an solche, die selbst nicht direkt unter NIS2 fallen. Wer als Lieferant kein Konzept vorlegen kann, fliegt aus der Ausschreibung.

Vorstufe zu Zertifizierung. Ein sauberes Sicherheitskonzept ist die Basis für BSI IT-Grundschutz oder ISO 27001. Wer es früh strukturiert anlegt, spart sich später die Doppelarbeit.

Basis für die DSGVO-TOMs. Die technischen und organisatorischen Maßnahmen, die Art. 32 DSGVO verlangt, sind inhaltlich dieselben wie im Sicherheitskonzept. Beides getrennt zu führen ist Verschwendung — wie das ohne Doppelerfassung gelingt, zeigt unsere TOMs-Vorlage.

Die Bedrohungslage gibt den Takt vor. Das BSI registrierte im Berichtszeitraum Juli 2023 bis Juni 2024 durchschnittlich 309.000 neue Schadprogramm-Varianten pro Tag — ein Anstieg um rund 26 Prozent gegenüber dem Vorjahr (BSI-Lagebericht 2024).

Welcher Standard? BSI, ISO 27001, VdS 10000 oder CISIS12

Sie müssen das Rad nicht neu erfinden. Vier etablierte Standards geben die Struktur vor — die Wahl hängt davon ab, wer Ihr Konzept später sehen will.

Die BSI Basis-Absicherung nach IT-Grundschutz (BSI-Standard 200-2) ist der schnelle, kostengünstige Einstieg. Der „Leitfaden zur Basis-Absicherung nach IT-Grundschutz” führt durch die elementaren Schritte zur Überprüfung und Steigerung des Sicherheitsniveaus (BSI IT-Grundschutz). Restrisiken bleiben bewusst bestehen — für ein KMU ist das oft der richtige Pragmatismus.

Die VdS 10000 ist ein branchenneutraler Maßnahmenkatalog, speziell auf KMU zugeschnitten. Sie bietet ein geringeres Schutzniveau als ISO 27001 oder die volle BSI-Standard-Absicherung, definiert aber ein vollständiges, in Checklisten-Form abarbeitbares ISMS. Eine Zertifizierung beginnt branchenüblich bei rund 3.600 Euro.

CISIS12 ist eine weitere KMU-Alternative mit definierten Bausteinen — praxisnah, aber weniger bekannt. ISO/IEC 27001 ist der internationale Goldstandard: aufwändiger und in der Zertifizierung teurer (typischerweise ab etwa 15.000 Euro), dafür weltweit anerkannt — der richtige Weg, wenn Konzern-Kunden eine akkreditierte Zertifizierung verlangen.

Der Aufbau: 9 Kapitel als Vorlage

Ein prüffähiges IT-Sicherheitskonzept folgt einer festen Logik: vom Was (Geltungsbereich, Assets) über das Wie kritisch (Schutzbedarf, Risiko) zum Was tun wir dagegen (Maßnahmen, Notfall) bis zum Bleibt es wirksam (Überprüfung). Diese neun Kapitel sind Ihre Gliederung.

1. 1. Geltungsbereich (Scope): Welche Standorte, Systeme, Prozesse und Daten deckt das Konzept ab? Grenzen Sie bewusst ab — lieber ein kleiner, vollständig umgesetzter Scope als ein großer auf dem Papier.
2. 2. Verantwortlichkeiten und Rollen: Wer ist Informationssicherheitsbeauftragter, wer ist Notfallkoordinator, wer entscheidet über Risiken? Die Geschäftsleitung trägt die Gesamtverantwortung — das gehört schriftlich fixiert.
3. 3. Asset-Inventar: Eine Liste aller schützenswerten Werte — Server, Clients, Anwendungen, Cloud-Dienste, Netzwerk, Daten und ein einfacher Netzplan. Was Sie nicht kennen, können Sie nicht schützen.
4. 4. Schutzbedarfsfeststellung: Je Asset bewerten Sie Vertraulichkeit, Integrität und Verfügbarkeit in Stufen (normal / hoch / sehr hoch). So erkennen Sie, wo Sie investieren müssen.
5. 5. Risikoanalyse: Welche Bedrohungen treffen auf welche Schwachstellen? Bewerten Sie Eintrittswahrscheinlichkeit und Schadenshöhe und priorisieren Sie die Top-Risiken.
6. 6. Technische und organisatorische Maßnahmen: Das Herzstück — die konkreten Schutzmaßnahmen je Risiko (siehe Mindest-Checkliste unten). Identisch mit den DSGVO-TOMs.
7. 7. Notfallmanagement / BCM: Was passiert bei Ausfall, Ransomware oder Datenpanne? Wiederanlaufpläne, Notfallkontakte, Meldewege und definierte Wiederherstellungszeiten.
8. 8. Awareness und Schulung: Mitarbeitende sind die häufigste Einfallstür. Regelmäßige Schulungen und Phishing-Simulationen gehören ins Konzept — mit Nachweis.
9. 9. Überprüfung und kontinuierliche Verbesserung (KVP): Wer prüft wann, ob die Maßnahmen wirken? Legen Sie einen Review-Rhythmus fest (mindestens jährlich) und dokumentieren Sie Anpassungen.

So sieht ein BSI-konformes Vorgehen aus: Das Sicherheitskonzept dokumentiert für jeden Zielobjekt-Bereich die ausgewählten Maßnahmen und den Status der Umsetzung — genau diese Struktur empfiehlt das BSI in seinem IT-Grundschutz-Online-Kurs (BSI, Lerneinheit Sicherheitskonzept).

Die Mindest-Maßnahmen-Checkliste für KMU

Kapitel 6 entscheidet, ob Ihr Konzept Papier oder Schutz ist. Diese acht Maßnahmen bilden den Kern der Basis-Absicherung — wer sie umsetzt, wehrt den Großteil der automatisierten Angriffe ab und erfüllt die typischen Anforderungen von Cyberversicherungen.

• Patch- und Update-Management. Betriebssysteme, Anwendungen und Firmware zeitnah aktualisieren. Ungepatchte Schwachstellen sind das häufigste Einfallstor.
• Backup nach 3-2-1. Drei Kopien, zwei Medien, eine Kopie offline oder unveränderbar (immutable). Nur ein getestetes Offline-Backup übersteht Ransomware.
• Multi-Faktor-Authentifizierung. MFA auf allen externen Zugängen und kritischen Konten — der wirksamste Einzelschutz gegen Kontoübernahme. Anleitung im MFA-Rollout-Guide.
• Firewall und Endpoint-Schutz (EDR). Perimeter-Firewall plus moderne Endpoint-Detection-and-Response statt nur klassischem Virenscanner.
• Berechtigungskonzept (Least Privilege). Jeder Zugriff nur so weit wie nötig, getrennte Admin-Konten, regelmäßige Rechte-Reviews.
• Logging und Monitoring. Sicherheitsrelevante Ereignisse protokollieren und auswerten — sonst bemerken Sie einen Angriff erst, wenn es zu spät ist.
• Notfallplan und Meldewege. Wer ruft wen an, wenn es brennt? Eine Datenpanne ist nach Art. 33 DSGVO binnen 72 Stunden zu melden — der Ablauf gehört vorab geübt. Siehe Ransomware-Sofortmaßnahmen.
• Awareness-Schulungen. Regelmäßige Sensibilisierung und Phishing-Simulationen mit dokumentiertem Nachweis.

Verzahnung mit Datenschutz und NIS2 — nichts doppelt machen

Der größte Hebel für KMU liegt in der Verzahnung. Ein IT-Sicherheitskonzept steht nicht neben Datenschutz und NIS2, sondern liefert die gemeinsame technische Basis.

Die DSGVO-TOMs nach Art. 32 sind inhaltlich identisch mit Kapitel 6 Ihres Konzepts. Wer die technischen und organisatorischen Maßnahmen einmal sauber dokumentiert, leitet daraus beide Nachweise ab — die Sicherheits- und die Datenschutz-Sicht. Doppelpflege ist unnötig; wie Sie das vermeiden, zeigt die TOMs-Vorlage.

Für die NIS2-Lieferkette ist das Konzept der Nachweis, den Ihr Auftraggeber sehen will. Statt jeden Kunden-Fragebogen neu zu beantworten, halten Sie ein gepflegtes Konzept bereit und reichen Auszüge daraus weiter. Ob Sie selbst unter NIS2 fallen, klären Sie in zwei Minuten mit unserem NIS2-Schnellcheck.

Auch die Aufsicht denkt in diesen Kategorien. Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI, Ludwig-Erhard-Straße 22) bewertet im Prüffall, ob Ihre technischen Maßnahmen dem Stand der Technik entsprechen — ein dokumentiertes Sicherheitskonzept ist dafür der beste Beleg (datenschutz-hamburg.de). Hilfreiche Orientierung für KMU liefert auch die EU-Agentur für Cybersicherheit ENISA mit ihren KMU-Leitfäden (enisa.europa.eu).

Aus der Praxis

Wie eng Sicherheitskonzept und Zertifizierungs-Audit zusammenhängen, zeigt ein Fall aus unserer Mandantschaft. Manchmal entscheidet eine einzige Woche.

Fünf Tage vor der TÜV-Rezertifizierung kam die E-Mail: Können Sie uns helfen? Es fehlte die ganze IT-Sicherheitsdokumentation. Wir haben in der kurzen Zeit das Konzept strukturiert aufgesetzt — Scope, Schutzbedarf, Maßnahmen, Notfallplan. Der Auditor war am Ende begeistert. Das zeigt: Mit einer klaren Gliederung lässt sich auch unter Zeitdruck etwas Belastbares bauen. Aber niemand sollte es darauf ankommen lassen.

Nils OehmichenExterner Datenschutzbeauftragter bei frag.hugo

Die Lehre daraus: Ein Sicherheitskonzept braucht keine Monate, wenn die Struktur steht und jemand die richtigen Fragen stellt. Aber es darf nicht das Dokument sein, das man fünf Tage vor dem Audit zum ersten Mal anfasst.

Pragmatik schlägt Umfang — so bleibt es KMU-tauglich

Der häufigste Grund, warum Sicherheitskonzepte scheitern, ist nicht zu wenig, sondern zu viel. Ein 200-Seiten-Werk, das niemand liest und pflegt, schützt nichts. Halten Sie es schlank.