Warum dein KMU gerade jetzt eine IT-Sicherheitsrichtlinie braucht

Eine IT-Sicherheitsrichtlinie ist ein schriftliches Dokument, das festlegt, wie dein Unternehmen seine Daten, Geräte und Systeme vor unbefugtem Zugriff, Verlust und Missbrauch schützt. Jedes KMU braucht eine solche Richtlinie – auch ohne eigenes IT-Team –, denn Kunden, Versicherer und Aufsichtsbehörden verlangen zunehmend einen dokumentierten Nachweis dafür, dass du das Thema Sicherheit ernst nimmst.

Die Dringlichkeit ist real. Die DSGVO verlangt „geeignete technische und organisatorische Maßnahmen" von jedem Unternehmen, das personenbezogene Daten verarbeitet. Die deutsche NIS2-Umsetzung ist bereits in Kraft, und Lieferkettenklauseln geben Sicherheitsanforderungen an kleine Zulieferer weiter. Bei Anträgen auf Cyberversicherungen wird mittlerweile routinemäßig eine schriftliche Richtlinie verlangt, bevor ein Prämienangebot unterbreitet wird.

Dieser Leitfaden bietet dir eine vollständige IT-Sicherheitsrichtlinien-Vorlage zum Kopieren und Einfügen, die neun Abschnitte umfasst. Sie richtet sich an Unternehmen mit 10 bis 100 Mitarbeitern ohne internes IT-Personal, und du kannst sie an einem Nachmittag anpassen. Die vollständige Vorlage findest du in Schritt 2 weiter unten.

Was ist eine IT-Sicherheitsrichtlinie?

Eine IT-Sicherheitsrichtlinie ist ein formelles Regelwerk, das festlegt, wie Mitarbeiter, Auftragnehmer und Systeme mit Unternehmensdaten, Geräten und Zugangsdaten umgehen. Sie legt genau fest, was erlaubt ist, was nicht und was passiert, wenn etwas schiefgeht.

Es handelt sich dabei weder um eine ISO 27001-Zertifizierung noch um ein technisches Konfigurationsdokument oder ein einmaliges Projekt. Stell dir die Richtlinie als ein lebendiges Regelwerk vor: kurz genug, dass die Leute sie tatsächlich lesen, konkret genug, dass sie das Verhalten verändert, und strukturiert genug, dass ein Auditor oder Versicherer überprüfen kann, ob du dich daran hältst.

Voraussetzungen: Was du brauchst, bevor du loslegst

• Ein Textverarbeitungsprogramm (Google Docs, Notion oder sogar Word reichen aus)
• Eine Bestandsaufnahme deiner aktuellen IT-Ressourcen: Laptops, Smartphones, SaaS-Konten und eine Liste, wer Zugriff auf was hat
• Kenntnis deiner Compliance-Verpflichtungen. Die DSGVO gilt für fast jedes europäische KMU. Wenn deine Kunden ISO 27001 verlangen oder du in Branchen verkaufst, die unter NIS2 fallen, beachte auch diese Anforderungen.

Für das Verfassen der Richtlinie selbst sind keine speziellen Tools erforderlich. Die Durchsetzung ist eine andere Geschichte – darauf gehen wir in Schritt 4 ein.

Schritt 1: Identifiziere deine Risiken und Ressourcen

Bevor du auch nur eine einzige Klausel der Richtlinie verfasst, erstelle eine Bestandsaufnahme dessen, was du schützt. Liste jedes Gerät auf, das dein Unternehmen besitzt oder verwaltet, jeden Cloud-Dienst, für den du bezahlst, und die Kategorien der Daten, die du speicherst (Kundendaten, Mitarbeiterakten, Finanzdaten).

Notiere dann, wer Zugriff auf was hat. Hier wirst du die wichtigsten Lücken entdecken: nicht verwaltete private Geräte, die sich mit der Firmen-E-Mail verbinden, gemeinsam genutzte Passwörter für kritische Tools und ehemalige Mitarbeiter, deren Konten nie gesperrt wurden. Laut dem „Verizon Data Breach Investigations Report 2026" waren bei 62 % der Datenpannen menschliche Faktoren beteiligt – Fehler, Social Engineering oder Missbrauch (Verizon). Deine Bestandsaufnahme der Ressourcen und Zugriffsrechte ist die Grundlage, um dieses Risiko zu verringern.

Wenn du ohne IT-Abteilung keinen Überblick über deine IT-Sicherheit hast, wird dir dieser Schritt unangenehm vorkommen. Genau das ist der Sinn der Sache: Er zeigt dir, was du zuerst in Angriff nehmen musst.

Schritt 2: Definiere die neun wesentlichen Abschnitte deiner Richtlinie

Die folgende Tabelle listet alle Abschnitte auf, die deine IT-Sicherheitsrichtlinie enthalten sollte, zusammen mit einer kurzen Beschreibung ihres Inhalts. Unterhalb der Tabelle findest du den eigentlichen Vorlagentext, den du kopieren und anpassen kannst.

Vorlage: Richtlinientext zum Kopieren und Einfügen

1. Zugriffskontrolle und MFA. Alle Systeme bei [Firmenname] nutzen rollenbasierten Zugriff. Mitarbeiter erhalten nur die für ihre Rolle erforderlichen Berechtigungen. Multi-Faktor-Authentifizierung (MFA) – also ein zweiter Verifizierungsschritt zusätzlich zum Passwort – ist für jede SaaS-Anwendung und jedes E-Mail-Konto verpflichtend. [Richtlinienverantwortlicher] überprüft die Zugriffsrechte vierteljährlich.

2. Passwörter und Verwaltung von Zugangsdaten. Passwörter müssen mindestens 15 Zeichen lang sein. Die Länge ist wichtiger als die Komplexität: NIST SP 800-63B (Rev. 4, 2025) lässt keine vorgeschriebenen Zeichenklassenregeln oder planmäßige Passwortablaufdaten mehr zu und verlangt, dass neue Passwörter anhand einer Sperrliste bekannter kompromittierter Zugangsdaten geprüft werden. Alle Mitarbeiter müssen den vom Unternehmen freigegebenen Passwortmanager verwenden. Passwörter dürfen nicht für verschiedene Dienste wiederverwendet oder per E-Mail oder Chat weitergegeben werden und werden nur geändert, wenn es Hinweise auf eine Kompromittierung gibt.

3. Geräte- und BYOD-Verwaltung. Vom Unternehmen ausgegebene Geräte werden in ein Mobile Device Management (MDM) eingebunden und müssen das jeweils aktuelle, unterstützte Betriebssystem verwenden. Private Geräte dürfen nur dann auf Unternehmensdaten zugreifen, wenn sie dieselben Verschlüsselungs- und Betriebssystemanforderungen erfüllen. Verlorene oder gestohlene Geräte müssen innerhalb von vier Stunden gemeldet werden, damit sie per Fernzugriff gelöscht werden können.

4. Umgang mit und Klassifizierung von Daten. Daten werden als „Öffentlich", „Intern" oder „Vertraulich" klassifiziert. Vertrauliche Daten (personenbezogene Kundendaten, Finanzunterlagen) müssen sowohl im Ruhezustand als auch während der Übertragung verschlüsselt sein. Die Weitergabe vertraulicher Daten nach außen erfordert die Genehmigung durch [Richtlinienverantwortlicher]. Werden Daten nicht mehr benötigt, müssen sie sicher gelöscht werden.

5. Remote-Arbeit. Mitarbeiter, die außerhalb des Büros arbeiten, müssen sich über das Unternehmens-VPN verbinden. Das Arbeiten über öffentliche WLAN-Netze ohne VPN ist verboten. Bildschirme müssen gesperrt werden, wenn sie unbeaufsichtigt sind, und vertrauliche Gespräche sollten nicht in öffentlichen Räumen geführt werden.

6. Datensicherung und Wiederherstellung. Kritische Geschäftsdaten werden täglich gesichert. Die Backups werden an einem von der Produktionsumgebung getrennten Ort gespeichert. [Richtlinienverantwortlicher] plant mindestens einmal pro Quartal einen Wiederherstellungstest ein. Nicht getestete Backups gelten als unzuverlässig.

7. Zugriff von Dritten und Anbietern. Externe Anbieter erhalten nur den für ihre Aufgabe erforderlichen Mindestzugriff, der in Umfang und Dauer begrenzt ist. Jeder Anbieterzugriff wird protokolliert und monatlich überprüft. Verträge mit Anbietern, die personenbezogene Daten verarbeiten, müssen eine DSGVO-konforme Datenverarbeitungsvereinbarung enthalten.

8. Reaktion auf Vorfälle. Jeder vermutete Sicherheitsvorfall (Phishing-Klick, unbefugter Zugriff, Datenverlust) muss unverzüglich dem [Richtlinienverantwortlichen] gemeldet werden. Der [Richtlinienverantwortliche] bewertet den Schweregrad, isoliert betroffene Systeme und koordiniert die Reaktion. Gemäß Artikel 33 der DSGVO müssen Datenschutzverletzungen innerhalb von 72 Stunden nach Bekanntwerden der Aufsichtsbehörde gemeldet werden. [Firmenname] führt ein Protokoll über Datenschutzverletzungen, in dem jeder Vorfall und die ergriffenen Maßnahmen dokumentiert werden.

9. Einarbeitung und Austritt. Neue Mitarbeiter erhalten am ersten Arbeitstag gemäß einer rollenbasierten Checkliste Zugangsdaten und Gerätezugang. Am letzten Arbeitstag werden alle Konten deaktiviert und die Geräte vor Geschäftsschluss eingesammelt oder per Fernzugriff gelöscht. Der [Richtlinienverantwortliche] bestätigt die vollständige Sperrung innerhalb von 24 Stunden.

Schritt 3: Passe die Richtlinie an DSGVO, ISO 27001 und NIS2 an

Deine Richtlinie existiert nicht im luftleeren Raum. Sie muss standhalten, wenn ein Kunde dir einen Sicherheitsfragebogen schickt oder ein Versicherer deine Kontrollmaßnahmen prüft.

Die DSGVO gilt für praktisch jedes europäische KMU. Die Abschnitte zu Datenverarbeitung, Reaktion auf Vorfälle und Offboarding entsprechen direkt den Artikeln 5, 32 und 33. Wenn du einem Prüfer nachweisen kannst, dass deine Richtlinie diese Bereiche abdeckt und du sie auch durchsetzt, hast du die zentralen IT-Anforderungen erfüllt.

ISO 27001 ist ein freiwilliger Standard, wird aber von Unternehmenskunden zunehmend von Lieferanten verlangt. Die neun oben genannten Richtlinienabschnitte entsprechen weitgehend den Anhang-A-Kontrollen der ISO 27001 für Zugriffsmanagement, Umgang mit Ressourcen und Vorfallmanagement. Eine dokumentierte Richtlinie ist der erste Schritt auf dem Weg zur Zertifizierungsreife.

NIS2 verdient eine genaue Erläuterung. Das deutsche NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist seit dem 6. Dezember 2025 ohne Übergangsfrist in Kraft. Die BSI-Registrierungsfrist vom 6. März 2026 ist bereits abgelaufen. Der direkte Geltungsbereich umfasst Unternehmen mit mehr als 50 Mitarbeitern oder einem Jahresumsatz von über 10 Mio. € in den aufgeführten Branchen. Die meisten KMUs fallen nicht direkt darunter. Aber hier ist der Grund, warum es trotzdem wichtig ist: Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette gewährleisten und die Verpflichtungen vertraglich an ihre Lieferanten weitergeben. Wenn du an einen mittelständischen Hersteller, Energieversorger oder ein Gesundheitsunternehmen verkaufst, ist eine dokumentierte IT-Sicherheitsrichtlinie inzwischen eine vertragliche Anforderung – kein „Nice-to-have" mehr. Laut dem Verizon DBIR 2026 sind bei 48 % aller Sicherheitsvorfälle Dritte beteiligt – ein Anstieg von 60 % im Vergleich zum Vorjahr. Diese Zahl erklärt, warum größere Kunden die Anforderungen an ihre Lieferanten schneller verschärfen, als es das Gesetz vorschreibt.

Cyberversicherungsanträge fragen typischerweise, ob du über eine schriftliche Sicherheitsrichtlinie verfügst, MFA durchsetzt und regelmäßige Backups durchführst. Mit der Vorlage aus Schritt 2 kannst du alle drei Fragen mit „Ja" beantworten – und das mit Belegen.

Schritt 4: Integriere die Durchsetzung in deine Abläufe

Eine Richtlinie ohne Durchsetzung ist nur ein PDF, das auf einem gemeinsamen Laufwerk verstaubt. Jeder Abschnitt deiner Richtlinie braucht eine entsprechende technische Kontrollmaßnahme, die es schwer macht, gegen die Regeln zu verstoßen – nicht nur eine Regel, die die Leute bittet, sich richtig zu verhalten.

• Zugriffskontrolle: Setze MFA über die Einstellungen deines Identitätsanbieters durch, nicht über eine Richtlinienklausel, die besagt: „Bitte aktiviere MFA."
• Regeln für Passwörter und Bildschirmsperren: Lege sie einmalig auf Geräteflottenebene fest – erforderlicher Passcode, Mindestlänge, Zeitlimit für die automatische Sperre, Begrenzung der fehlgeschlagenen Anmeldeversuche –, damit die Regel vom Gerät durchgesetzt wird, anstatt dass sich der Mitarbeiter daran erinnern muss.
• Geräteverwaltung: Registriere Geräte im MDM, damit du die Verschlüsselung überprüfen, Betriebssystem-Updates einspielen und verlorene Geräte aus der Ferne löschen kannst.
• Offboarding: Automatisiere die Deaktivierung von Konten, damit der Zugriff sofort entzogen wird, sobald die Personalabteilung ein Ausscheiden verarbeitet – und nicht erst Tage später, wenn jemand daran denkt.
• Patch-Compliance: Überwache Betriebssystem- und Anwendungsversionen zentral, markiere Geräte, die hinterherhinken, und sperre nicht konforme Geräte vom Zugriff auf Unternehmensressourcen.
• Software-Bestandsaufnahme: Führe für jedes Gerät Buch darüber, welche Anwendungen tatsächlich installiert sind und seit wann. Dadurch wird die Bestandsaufnahme aus Schritt 1 von einer einmaligen Tabelle zu etwas, das dauerhaft aktuell bleibt.

Für KMUs ohne internes IT-Team wird hier die Kluft zwischen Richtlinie und Praxis besonders spürbar. Plattformen wie deeploi schließen diese Lücke auf verschiedene Weise. Du legst in wenigen Minuten Richtlinien für Passwörter und Bildschirmsperren für die gesamte Geräteflotte fest und siehst dann den Compliance-Status jedes einzelnen Geräts im Vergleich zu dieser Richtlinie – genau der Nachweis, den ein Versicherer oder Unternehmenskunde verlangt, wenn er beweisen möchte, dass eine Richtlinie nicht nur auf dem Papier steht, sondern auch durchgesetzt wird. Jedes Gerät zeigt außerdem an, welche Anwendungen wann installiert wurden, sodass Lücken beim Onboarding sichtbar werden, bevor sie zu Sicherheitslücken werden. Und das Offboarding läuft automatisch ab: Konten werden deaktiviert und Geräte am Austrittstag gelöscht, ohne dass sich jemand daran erinnern muss.

Schritt 5: Schule dein Team und führe die Richtlinie ein

Die Richtlinie zu verfassen, ist die halbe Arbeit. Die andere Hälfte besteht darin, sicherzustellen, dass jeder Mitarbeiter sie versteht und befolgt.

• Führe neue Mitarbeiter während des Onboardings durch die Richtlinie. Erkläre das „Warum" hinter jeder Regel, nicht nur die Regel selbst.
• Führe vierteljährlich kurze Auffrischungen durch: Eine 15-minütige Einheit zu einem Thema (Phishing erkennen, Passworthygiene oder Vorfälle melden) ist effektiver als ein jährlicher zweistündiger Vortrag.
• Ziehe Phishing-Simulationen in Betracht, um das Bewusstsein in der Praxis zu testen. Die Ergebnisse sind meist ernüchternd und immer lehrreich.

Bestimme einen Verantwortlichen für die Richtlinie. Das muss kein Sicherheitsexperte sein. In den meisten KMUs übernimmt der Büroleiter, der Personalverantwortliche oder ein Gründer diese Rolle. Entscheidend ist, dass eine Person dafür verantwortlich ist, das Dokument aktuell zu halten und bei Verstößen nachzuhaken.

Sammle abschließend die dokumentierte Bestätigung der Mitarbeiter. Eine unterschriebene oder protokollierte Bestätigung, dass jeder Mitarbeiter die Richtlinie gelesen hat, ist genau das, was Auditoren, NIS2-Lieferkettenprüfer, Versicherer und Unternehmenskunden tatsächlich sehen wollen. Die Richtlinie allein reicht selten aus.

Häufige Fehler, die deine Richtlinie schwächen

• Ein 40-seitiges Dokument verfassen, das niemand liest. Beschränke dich auf maximal 15 Seiten. Ist es länger, wird es komplett übersprungen.
• Vergessen, den Zugriff beim Ausscheiden zu entziehen. Das ist die mit Abstand häufigste Sicherheitslücke in KMUs. Automatisiere diesen Vorgang.
• Eine Backup-Richtlinie zu haben, aber die Wiederherstellung nie zu testen. Plane vierteljährlich einen Wiederherstellungstest ein und dokumentiere das Ergebnis.
• Die Richtlinie als einmaliges Projekt zu betrachten. Bedrohungen entwickeln sich weiter, Tools ändern sich, und Mitarbeiter kommen und gehen. Überprüfe die Richtlinie mindestens einmal jährlich.
• Kein Durchsetzungsmechanismus. Eine Richtlinie, die sich ausschließlich auf Vertrauen und das Gedächtnis stützt, wird scheitern. Kombiniere jede Regel nach Möglichkeit mit einer technischen Kontrollmaßnahme.

FAQ

Wer ist in einem Unternehmen ohne IT-Team für die IT-Sicherheitsrichtlinie verantwortlich?

In der Regel der Gründer, der Büroleiter oder der Personalverantwortliche. Der Verantwortliche muss kein technischer Experte sein; er muss jedoch befugt sein, Entscheidungen zu treffen und diese weiterzuverfolgen. Viele KMUs weisen die Verantwortung intern zu und nutzen einen externen IT-Partner wie deeploi, um die Richtlinie in der Praxis zu pflegen und durchzusetzen.

Wie lang sollte eine IT-Sicherheitsrichtlinie sein?

Bei den meisten KMUs zwischen 8 und 15 Seiten. Das ist lang genug, um konkret auf Zugriffskontrolle, Reaktion auf Vorfälle und den Umgang mit Daten einzugehen, aber kurz genug, damit die Mitarbeiter sie auch wirklich lesen. Wenn deine Richtlinie mehr als 15 Seiten umfasst, lagere operative Abläufe in ein separates Runbook aus und konzentriere die Richtlinie auf Regeln und Verantwortlichkeiten.

Wie oft solltest du die Richtlinie überprüfen und aktualisieren?

Mindestens einmal im Jahr. Du solltest sie außerdem nach jedem Sicherheitsvorfall, einer größeren Änderung im Tool-Stack, einer Änderung deiner Compliance-Verpflichtungen oder erheblichem Teamwachstum überprüfen. Richte eine wiederkehrende Kalendererinnerung für den Richtlinienverantwortlichen ein, damit die Überprüfung nicht in Vergessenheit gerät.

Gilt NIS2 auch für kleine Unternehmen?

Nicht direkt, wenn du weniger als 50 Mitarbeiter und einen Jahresumsatz von unter 10 Mio. € hast. Aber sie gilt indirekt über Anforderungen an die Lieferkette. Betroffene Unternehmen müssen sicherstellen, dass ihre Lieferanten bestimmte Sicherheitsstandards erfüllen, und setzen dies durch Vertragsklauseln durch. Wenn du an größere Organisationen in regulierten Branchen verkaufst oder mit diesen zusammenarbeitest, ist eine dokumentierte IT-Sicherheitsrichtlinie inzwischen eine praktische Notwendigkeit.

Nächste Schritte

Du hast nun einen fünfstufigen Prozess vor dir: Erstelle eine Bestandsaufnahme deiner Ressourcen und Risiken, verfasse die neun Abschnitte der Richtlinie mithilfe der obigen Vorlage, passe sie gegebenenfalls an DSGVO, ISO 27001 und NIS2 an, integriere die Durchsetzung in deinen täglichen Betrieb und schule dein Team.

Kopiere zunächst die Vorlage in das Dokumentensystem deines Unternehmens und fülle die Platzhalter aus. Plane einen vierteljährlichen Überprüfungszyklus ein, damit die Richtlinie stets aktuell bleibt. Und wenn du willst, dass die Richtlinie mehr ist als nur Worte auf dem Papier, verbinde sie mit automatisierter Durchsetzung über eine Plattform wie das Sicherheits- und Gerätemanagement von deeploi, damit Zugriffskontrollen, Patch-Compliance und Offboarding tatsächlich so ablaufen, wie es deine Richtlinie vorschreibt.