So erstellen Sie ein realistisches Budget für die Cybersicherheit in Ihrem KMU

Die meisten kleinen Unternehmen haben keine Probleme mit der Cybersicherheit, weil ihnen das Thema gleichgültig ist. Sie haben damit zu kämpfen, dass Sicherheitsausgaben oft reaktiv erfolgen, auf verschiedene Tools verteilt sind und keinen Bezug zu den Unternehmenszielen haben. Ein realistisches Budget für Cybersicherheit hilft Ihnen dabei, Ihre Ausgaben zielgerichtet einzusetzen: zum Schutz der Systeme, die Ihren Umsatz sichern, zur Verringerung des Risikos einer Sicherheitsverletzung und zur Verbesserung Ihrer Fähigkeit, sich im Falle eines Vorfalls schnell wieder zu erholen.

Warum kleine und mittlere Unternehmen ein eigenes Budget für Cybersicherheit benötigen

KMU werden zunehmend ins Visier genommen, da Angreifer davon ausgehen, dass diese über kleinere Sicherheitsteams, weniger Sicherheitsmaßnahmen und eine geringere Überwachung verfügen. Viele Angriffe beginnen mit einfachen Angriffspunkten wie dem Phishing nach Zugangsdaten, schwachen Passwörtern oder falsch konfigurierten Zugriffsrechten. Was zunächst wie ein kleiner Sicherheitsvorfall erscheint, kann schnell zu einer Kontoübernahme, einem Ransomware-Angriff oder einem Datenleck eskalieren.

Die Auswirkungen beschränken sich selten auf den IT-Bereich. Eine Sicherheitslücke kann folgende Folgen haben:

• Finanzieller Schaden: Notfallmaßnahmen, Wiederherstellungsarbeiten, Umsatzausfälle während der Ausfallzeit sowie langfristig steigende Kosten für die Cybersicherheit
• Betriebsstörungen: Unterbrechungen bei der Rechnungsstellung, Verzögerungen bei der Auftragsabwicklung, Systemausfälle und Produktivitätsverluste
• Rufschädigung: sinkendes Kundenvertrauen, Kundenabwanderung und damit verbundene Risiken im Falle einer Offenlegung personenbezogener Daten

Ein eigens dafür vorgesehenes Sicherheitsbudget verwandelt den Gedanken „Wir sollten die Sicherheit verbessern“ in einen Plan, der die Geschäftskontinuität gewährleistet. Ebenso werden die Haushaltsbedürfnisse auch von externen Erwartungen geprägt. Viele Anbieter und Partner verlangen mittlerweile im Rahmen von Risikobewertungen eine entsprechende Sicherheitsbereitschaft, und der Reifegrad im Bereich Cybersicherheit kann darüber entscheiden, ob Ihr Unternehmen für Aufträge in Frage kommt oder größere Geschäfte abschließen kann. 

Wie viel sollte ein kleines oder mittleres Unternehmen für Cybersicherheit ausgeben?

Es gibt keine single „richtige“ Zahl, aber es gibt zuverlässige Methoden, um auf der Grundlage Ihrer IT-Ausgaben und Ihres Risikoprofils einen realistischen Bereich abzuschätzen. Orientieren Sie sich an Benchmarks und passen Sie diese anschließend an die Abläufe in Ihrem Unternehmen an.

Benchmark-Prozentsätze

Viele kleine und mittlere Unternehmen legen die Ausgaben für Cybersicherheit zunächst als Prozentsatz ihres gesamten IT-Budgets fest. Die Vergleichswerte variieren, doch ein gängiger Anhaltspunkt ist ein Anteil im niedrigen zweistelligen Bereich an den IT-Ausgaben, der im Durchschnitt bei etwa 13,2% liegt. 

Dennoch sollten Richtwerte als Orientierungshilfe und nicht als feste Regel betrachtet werden. Ein besserer Ansatz besteht darin, ein Basisbudget festzulegen, das die wesentlichen Ausgaben abdeckt, und die Investitionen dann im Laufe der Zeit schrittweise zu erhöhen. Ein schrittweiser Einstieg verringert die finanzielle Belastung, insbesondere wenn Sie den Schutzmaßnahmen Vorrang einräumen, die Ihre Risiken mit der höchsten Eintrittswahrscheinlichkeit zuerst mindern, wie beispielsweise E-Mail-basierte Angriffe, den Missbrauch von Zugangsdaten und Ransomware.

Faktoren, die die Höhe des Budgets beeinflussen

Die Budgetierung für Cybersicherheit in kleinen Unternehmen hängt stark davon ab, wie Ihr Unternehmen geführt wird. Die Unternehmensgröße spielt eine Rolle, ebenso wie die Komplexität des Systems. Eine im Homeoffice tätige Belegschaft führt in der Regel zu einer erhöhten Gefährdung der Identitäten und einer größeren Vielfalt an Geräten. 

Eine stärkere Nutzung von Cloud-Anwendungen kann zwar bestimmte Infrastrukturkosten vereinfachen, birgt jedoch möglicherweise zusätzliche Risiken hinsichtlich des Zugriffs und der Konfiguration. Compliance-Verpflichtungen können zudem Ihre grundlegenden Sicherheitskosten erhöhen, und die Art der von Ihnen verarbeiteten Daten beeinflusst ebenfalls Ihre Risikotoleranz.

Wenn Sie sensible Informationen, Kundendaten oder Zahlungsdaten speichern oder verarbeiten, sollte Ihr Budget der höheren Wahrscheinlichkeit und den schwerwiegenderen Folgen einer Datenpanne Rechnung tragen. Das Ziel besteht nicht darin, übermäßig viel Geld auszugeben. Es geht darum, Ihre Ausgaben an Ihr Risiko anzupassen.

Aufschlüsselung des Budgets für Cybersicherheit: Wohin die Mittel kleiner und mittlerer Unternehmen fließen sollten

Ein solides Sicherheitsbudget ist nicht nur eine Auflistung von Tools. Die widerstandsfähigsten Programme für kleine und mittlere Unternehmen verteilen die Ausgaben auf die Bereiche Personal, Technologie, Schulungen und Vorfallbewältigung, sodass der Schutz auch dann gewährleistet bleibt, wenn eine Schutzebene versagt.

Kernanlagekategorien

Ein realistisches Budget für Cybersicherheit sollte Personal, Tools, Prozesse und Notfallplanung abdecken. Viele kleine und mittlere Unternehmen geben zu viel Geld für Lösungen aus, die sie nicht angemessen verwalten können, und stellen dann zu wenig Mittel für Schulungen zur Sensibilisierung für Sicherheitsfragen und für die Vorbereitung auf Notfälle bereit. Eine ausgewogene Ausgabenpolitik führt in der Regel zu einem besseren Schutz, da sie sowohl die Wahrscheinlichkeit eines Vorfalls als auch die Kosten für die Wiederherstellung verringert.

Technologieinvestitionen

Bei den Technologieausgaben sollten Maßnahmen Vorrang haben, die die häufigsten Angriffswege eindämmen und den Schaden begrenzen, falls doch einmal etwas durchrutscht. Viele kleine und mittelständische Unternehmen erzielen schnellere Verbesserungen, wenn sie sich auf eine kleine Auswahl wirkungsvoller Schutzmaßnahmen konzentrieren, anstatt unzusammenhängende Tools zu kombinieren, die schwer zu verwalten sind.

Eine praktische Grundlage für die meisten kleinen Unternehmen umfasst:

• Mehrfaktorauthentifizierung (MFA) für E-Mail, Verwaltungstools, Fernzugriff und wichtige Cloud-Anwendungen
• Endgeräteschutz für Laptops, Desktop-Computer und Server sowie grundlegende Geräteverwaltung
• Maßnahmen zur Netzwerksicherheit wie Firewalls und Richtlinien für den sicheren Fernzugriff
• Schwachstellenmanagement durch Patch-Routinen und einfache Schwachstellen-Scans
• Sicherungen und Wiederherstellung mit regelmäßigen Tests – nicht nur „einmal einrichten und dann vergessen“

Ist das Budget knapp bemessen, können integrierte Sicherheitslösungen die Sicherheitskosten und den Aufwand reduzieren, indem sie den Schutzumfang bündeln und den Verwaltungsaufwand senken.

Menschen und Fachwissen

Die meisten kleinen Unternehmen können es sich nicht leisten, für jeden Sicherheitsbereich Vollzeit-Fachkräfte zu beschäftigen, und viele benötigen dies auch nicht, um effektiv zu arbeiten. Entscheidend ist der Zugang zum richtigen Fachwissen zum richtigen Zeitpunkt. 

Managed Security Services können eine Überwachungs- und Reaktionsabdeckung bieten, die intern nur schwer aufrechtzuerhalten wäre, während eine partielle Führungsunterstützung beim Risikomanagement, bei der Priorisierung und bei Entscheidungen zur Cybersicherheit in KMU hilfreich sein kann. Ein gemeinsam verwaltetes Modell kann einen praktischen Mittelweg darstellen: Sie behalten den Überblick und reduzieren gleichzeitig den täglichen Arbeitsaufwand im operativen Bereich.

Schulungen und Risikominderung im Bereich Personal

Menschliches Versagen ist nach wie vor einer der häufigsten Angriffspunkte, insbesondere bei Phishing und dem Diebstahl von Zugangsdaten. Die Bereitstellung von Mitteln für Mitarbeiterschulungen ist unverzichtbar, wenn Sie möchten, dass Ihre Mitarbeiter gute Leistungen erbringen. 

Programme zur Sensibilisierung für Sicherheitsfragen sind am wirksamsten, wenn sie kontinuierlich und auf die jeweiligen Rollen zugeschnitten sind und durch Phishing-Simulationen sowie klare Berichtsabläufe unterstützt werden. Eine konsequente Verwaltung von Zugangsdaten, einschließlich der Einführung der Multi-Faktor-Authentifizierung (MFA) und der Nutzung eines Passwortmanagers, verringert zudem die Wahrscheinlichkeit, dass ein single Klick zur Kompromittierung eines Kontos führt.

Mittel für die Reaktion auf Zwischenfälle und für Notfälle

Selbst leistungsfähige Sicherheitsprogramme sollten die Möglichkeit eines Vorfalls einkalkulieren. Ein realistisches Sicherheitsbudget sieht Mittel für die Unterstützung bei der Reaktion auf Sicherheitsvorfälle, bei Bedarf für rechtliche und Compliance-Beratung sowie für Wiederherstellungsdienste vor, die Ausfallzeiten reduzieren. 

Zur Vorsorge gehört auch die Festlegung der Rollen bei der Reaktion auf Vorfälle sowie die Durchführung kurzer Tabletop-Übungen, damit Ihr Team unter Druck nicht improvisieren muss. In den meisten Fällen sind die Kosten für die Planung weitaus geringer als die Kosten, die entstehen, wenn man während eines tatsächlichen Vorfalls in Eile Maßnahmen ergreifen muss.

Ein Schritt-für-Schritt-Leitfaden zur Erstellung eines realistischen Cybersicherheitsbudgets für kleine und mittlere Unternehmen

Die Budgetplanung wird einfacher, wenn Sie einem wiederholbaren Prozess folgen, anstatt zu raten oder auf Schlagzeilen zu reagieren. Die folgenden Schritte helfen Ihnen dabei, Sicherheitsinvestitionen auf geschäftliche Anforderungen abzustimmen, Lücken zu identifizieren, Risiken zu priorisieren und für das Wachstum vorzusorgen.

Schritt 1: Die Cybersicherheit auf die Unternehmensziele abstimmen

Verbinden Sie Investitionen in die Sicherheit mit den Führungswerten im Hinblick auf die Ergebnisse: Verringerung des Risikos von Ausfallzeiten, Sicherung des Kundenvertrauens, Förderung des Wachstums und Aufrechterhaltung der betrieblichen Widerstandsfähigkeit. Dadurch wird Cybersicherheit eher zu einem geschäftlichen als zu einem technischen Thema. Wenn Sie Sicherheit als Schutz der Umsatzprozesse und der Kundenbeziehungen betrachten, lässt sich die Budgetierung leichter begründen und der Fortschritt besser messen.

Schritt 2: Bestandsaufnahme der Anlagen und Systeme

Listen Sie die Systeme auf, auf die Ihr Unternehmen angewiesen ist, einschließlich Hardware, Cloud-Dienste, Datenspeicher und Netzwerkabhängigkeiten. Ordnen Sie diese anschließend nach Schweregrad und Ausmaß der Gefährdung ein. Dieser Schritt ist wichtig, da er aufzeigt, wo tatsächlich Risiken bestehen, anstatt die Budgetierung auf Annahmen zu stützen. In den meisten kleinen und mittleren Unternehmen tragen eine Handvoll Systeme den Großteil des Betriebsrisikos, und diese sollten Ihre Ausgabenprioritäten beeinflussen.

Schritt 3: Bewertung der derzeitigen Sicherheitstools und Sicherheitslücken

Überprüfen Sie, wofür Sie bereits bezahlen und ob die entsprechenden Funktionen korrekt konfiguriert und genutzt werden. Viele kleine und mittlere Unternehmen verfügen über Tools, die sie nicht in vollem Umfang nutzen. Bei dieser Überprüfung werden häufig doppelte Ausgaben, ungenutzte Lizenzen und Lücken in der Abdeckung in Bereichen wie der Durchsetzung der MFA, der Prüfung von Datensicherungen, der Patch-Verwaltung und der Überwachung aufgedeckt. Das Ziel besteht darin, Verschwendung zu vermeiden und die Haushaltsmittel auf Kontrollmaßnahmen umzuschichten, die tatsächliche Risiken mindern.

Schritt 4: Durchführung einer Risikobewertung

Eine Risikobewertung muss nicht kompliziert sein, um nützlich zu sein. Ermitteln Sie zunächst Ihre wahrscheinlichsten Bedrohungen und Ihre schwerwiegendsten Ausfallszenarien. Für viele kleine Unternehmen stehen Phishing, der Missbrauch von Zugangsdaten, Ransomware-Angriffe und Risiken durch Drittanbieter ganz oben auf der Liste. Wenn Sie einen strukturierten Rahmen suchen, stellt das NIST einen Schnellstartleitfaden für kleine Unternehmen zur Verfügung, der auf das Cybersecurity Framework 2.0 abgestimmt ist.

Schritt 5: Neue Anforderungen und Prioritäten festlegen

Setzen Sie Ihre Risikobewertung in klare Anforderungen um: Welche Kontrollmaßnahmen müssen eingeführt, welche Prozesse formalisiert und welche Schulungen durchgeführt werden? Der Schlüssel liegt in der Reihenfolge. Priorisieren Sie zunächst Investitionen, die sich auf besonders wertvolle Systeme und hohe Risikopositionen konzentrieren, und erweitern Sie den Schutzumfang dann im Zuge des Unternehmenswachstums. Dadurch wird verhindert, dass zu Beginn zu hohe Ausgaben anfallen, während die Sicherheitslage dennoch stetig verbessert wird.

Schritt 6: Ermitteln Sie weitere zu berücksichtigende Aspekte

Ihr Budget sollte Wachstum und Veränderungen berücksichtigen. Neue Teammitglieder, neue Arbeitsmittel, neue Standorte und neue Beziehungen zu Lieferanten bergen allesamt neue Risiken. Schulungen sollten regelmäßig stattfinden und nicht nur einmal im Jahr, insbesondere in Zeiten rascher Neueinstellungen. Viele kleine und mittlere Unternehmen ziehen im Rahmen ihres Risikomanagements auch den Abschluss einer Cyberversicherung in Betracht. Eine Versicherung kann bei der finanziellen Wiederherstellung nach einem Vorfall helfen, sollte jedoch eher als Sicherheitsnetz denn als Ersatz für strenge Sicherheitsmaßnahmen betrachtet werden.

Häufige Fehler bei der Budgetplanung, die kleine und mittlere Unternehmen vermeiden sollten

Viele Budgets kleiner und mittlerer Unternehmen scheitern nicht, weil sie zu klein sind, sondern weil das Geld an die falschen Stellen fließt. Wenn Sie häufige Fehler vermeiden, können Sie Verschwendung reduzieren, Abläufe vereinfachen und die Sicherheit verbessern, ohne dabei die Kosten in die Höhe zu treiben.

Übermäßige Investitionen in Tools ohne Strategie

Der Kauf mehrerer Tools ohne klare Prioritäten führt häufig zu Funktionsüberschneidungen, einer höheren betrieblichen Komplexität und unnötigen Ausgaben. Wenn Ihr Team die Tools nicht warten, optimieren und auf die Warnmeldungen reagieren kann, führen die Ausgaben nicht zu einem sinnvollen Schutz. Bei der Budgetplanung sollten zunächst Ziele zur Risikominderung festgelegt werden; anschließend sollten Instrumente ausgewählt werden, die diese Ziele unterstützen.

Reaktive, ereignisgesteuerte Ausgaben

Sicherheitsbudgets, die erst nach Sicherheitsvorfällen aufgestellt werden, führen häufig zu übereilten Anschaffungen und Entscheidungen, die von Angst getrieben sind. Diese Investitionen mögen zwar das offensichtliche Problem beheben, gehen jedoch nicht auf die eigentlichen Ursachen ein, wie beispielsweise eine unzureichende Zugangskontrolle, mangelhafte Schulungen oder fehlende Überwachung. Ein proaktiver Plan verringert sowohl die Wahrscheinlichkeit eines Vorfalls als auch die langfristigen Sicherheitskosten, die durch wiederholte Bereinigungszyklen entstehen.

Unzureichende Mittel für Schulungen und Einsatzplanung

Wenn für Schulungen und die Reaktion auf Vorfälle zu wenig Mittel bereitgestellt werden, treten Sicherheitsmängel häufiger auf und verursachen höhere Kosten. Menschliches Versagen ist nach wie vor eine der Hauptursachen für Angriffe, und mangelnde Vorbereitung auf Vorfälle führt zu längeren Ausfallzeiten und höheren Wiederherstellungskosten. Investitionen in Sensibilisierungsmaßnahmen, Leitfäden und Reaktionsabläufe tragen häufig wirksamer zur Verringerung des allgemeinen Cybersicherheitsrisikos bei als der Kauf eines weiteren eigenständigen Produkts.

Budgetgerechte Cybersicherheitsstrategien für kleine und mittlere Unternehmen

Selbst mit begrenzten Ressourcen können kleine und mittlere Unternehmen einen wirksamen Schutz aufbauen, indem sie Strategien wählen, die die Komplexität verringern und den Schutzumfang verbessern. Das Ziel besteht darin, durch den Einsatz skalierbarer Werkzeuge und bewährter Rahmenkonzepte die größtmögliche Risikominderung pro Dollar zu erzielen.

Nutzung cloudbasierter Sicherheitstools

Cloud-native Tools können die anfänglichen Infrastrukturkosten senken und eine vorhersehbare monatliche Preisgestaltung bieten, was für kleine Unternehmen bei der Steuerung ihres Cashflows von Vorteil ist. Zudem vereinfachen sie die Bereitstellung und Wartung für kleine Teams. Der Nachteil dabei ist, dass die Einführung von Cloud-Lösungen disziplinierte Zugriffskontrollen und ein Konfigurationsmanagement erfordert, da Fehlkonfigurationen und schwache Identitäten schnell zu Sicherheitslücken führen können.

Zusammenarbeit mit Anbietern von Managed-Security-Lösungen

Managed Security Services können Überwachung, Erkennung und Reaktion auf Vorfälle gewährleisten, ohne dass hierfür eine vollständige interne Personalausstattung erforderlich ist. Dies kann eine der kostengünstigsten Optionen für kleine und mittlere Unternehmen sein, die sich einen besseren Schutz wünschen, aber nicht über die Ressourcen verfügen, um eine umfassende Sicherheitsabteilung zu betreiben. Gemeinsam verwaltete Ansätze können ebenfalls gut funktionieren, wenn ein Unternehmen fachliche Unterstützung wünscht, dabei aber die interne Transparenz und die Entscheidungshoheit bewahren möchte.

Strategischer Einsatz kostenloser und kostengünstiger Ressourcen

Frameworks, Toolkits und Leitfäden aus vertrauenswürdigen Quellen können kleinen und mittleren Unternehmen dabei helfen, grundlegende Sicherheitsmaßnahmen zu etablieren, ohne dass dadurch zusätzliche Kosten entstehen. Die Ressourcen des NIST zum Thema Cybersicherheit für kleine Unternehmen bieten einen praktischen Ausgangspunkt für die Prioritätensetzung und das Risikomanagement. Open-Source-Tools können in bestimmten Fällen ebenfalls hilfreich sein, jedoch nur, wenn das Unternehmen über die Zeit und das Fachwissen verfügt, um sie ordnungsgemäß zu warten; andernfalls stellen sie ein unkontrolliertes Risiko dar.

Erstellung eines intelligenteren Cybersicherheitsbudgets für kleine und mittlere Unternehmen

Die Budgetierung im Bereich Cybersicherheit ist eine strategische Kompetenz für kleine und mittlere Unternehmen und kein bloßer „Nice-to-have“-Posten. Proaktive Investitionen senken das Cyberrisiko, verbessern die Widerstandsfähigkeit und verhindern die höheren Kosten, die durch reaktive Ausgaben nach einem Sicherheitsvorfall entstehen.

Ein solider Haushalt sorgt für ein ausgewogenes Verhältnis zwischen Sicherheitsmaßnahmen, Schulungen, Zugriffskontrollen und der Bereitschaft zur Reaktion auf Vorfälle, da moderne Angriffe selten nur eine einzige Schwachstelle ausnutzen. Bei der Feinabstimmung Ihres Budgets für Cybersicherheit sollten Sie Investitionen Vorrang einräumen, die häufige Angriffspunkte reduzieren und sensible Daten schützen.

Mimecast kann eine äußerst wirkungsvolle Investition sein, um die E-Mail-Sicherheit in KMU zu stärken, durch menschliches Versagen bedingte Risiken zu verringern und Workflows im Bereich Datenschutz und Compliance im Rahmen realistischer Budgetvorgaben zu unterstützen.