Virenschutz, Zwei-Faktor und Passwörter im Betrieb

Sicherheit ist in kleinen Betrieben kein Projekt, sondern eine Nebenbeschäftigung: keine IT-Abteilung, niemand zuständig, Thema erst dann, wenn etwas passiert ist. Dieser Ratgeber ordnet die drei meistdiskutierten Maßnahmen ein, benennt ihre Grenzen und stellt sie am Ende in eine Reihenfolge. Fachliche Grundlage sind die Veröffentlichungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) unter bsi.bund.de.

Was Virenschutz heute leistet – und was nicht

Ein Virenschutzprogramm arbeitet mit zwei Verfahren. Das erste ist signaturbasiert: Das BSI beschreibt es als Abgleich mit den „Fingerabdrücken” bekannter Schadprogramme und betont, dass diese Signaturen immer aktuell sein müssen, weil täglich neue Varianten auftreten.

Wie viele, steht im BSI-Lagebericht „Die Lage der IT-Sicherheit in Deutschland 2025” (Berichtszeitraum 1. Juli 2024 bis 30. Juni 2025): durchschnittlich rund 280.000 neue Schadprogramm-Varianten pro Tag, ein Rückgang von neun Prozent gegenüber dem Vorzeitraum mit rund 309.000. Entscheidend ist die Begründung des BSI: Neue Varianten werden oft automatisch erzeugt, gerade um der signaturbasierten Erkennung zu entgehen. Der Abgleich mit bekannten Mustern hinkt also konstruktionsbedingt hinterher.

Deshalb gibt es das zweite Verfahren, die Verhaltenserkennung: Die Software beurteilt nicht, wie eine Datei aussieht, sondern was sie tut – etwa reihenweise Dokumente verschlüsseln. Das erkennt auch Unbekanntes, produziert aber Fehlalarme. Das BSI formuliert die Einschränkung deutlich: Um nicht zu viele Fehlalarme zu produzieren, sei die Erkennungsleistung dieser heuristischen Verfahren nicht sehr gut. Beide Verfahren zusammen sind sinnvoll – ein Garantieversprechen ist keines davon.

Der im Betriebssystem enthaltene Schutz oder ein Zusatzprodukt?

Die BSI-Position ist unaufgeregt: Kostenlose Virenschutzprogramme seriöser Hersteller seien ausreichend, sofern zusätzliche Funktionen wie etwa Kinderschutzfilter nicht benötigt werden – und die Hersteller der Betriebssysteme selbst böten ein kostenloses Virenschutzprogramm an. Für einen Kleinbetrieb mit einer Handvoll Windows-Rechnern ist der eingebaute Schutz damit eine vertretbare Grundlage.

Testsieger und Erkennungsraten nennen wir bewusst nicht: Solche Ranglisten ändern sich mit jedem Testzyklus, und die Unterschiede zwischen seriösen Anbietern sind selten der Punkt, an dem es scheitert. Ein Zusatzprodukt lohnt sich bei zentraler Verwaltung über viele Geräte, Protokollierung oder Unterstützung im Ernstfall. Das BSI empfiehlt zudem, Programme direkt von der Herstellerseite zu laden und automatisch aktualisieren zu lassen.

Die Lücke, die kein Schutzprogramm schließt

Ein Virenschutzprogramm prüft Dateien und Prozesse auf Ihrem Gerät. Zwei der häufigsten Schadensfälle laufen daran vorbei, weil dabei gar keine Schadsoftware auf dem Rechner landet:

• Phishing. Zugangsdaten werden auf einer nachgebauten Anmeldeseite eingegeben. Das BSI beschreibt, wie überzeugend das aussieht: Angreifern gelinge es oft, durch professionelle Imitation des Corporate Designs inklusive Logo, Farbgebung und Schriftarten Echtheit vorzutäuschen. Wie solche Nachrichten im Betrieb ankommen, beschreibt der Beitrag Phishing, Spam und Betrugsanrufe.
• Schwache oder wiederverwendete Passwörter. Wer sich mit korrekten Zugangsdaten anmeldet, ist für jedes Schutzprogramm ein legitimer Nutzer.

Virenschutz ist also Grundhygiene, nicht die Lösung.

Passwörter: Länge geht vor Komplexität

Die verbreitete Vorstellung vom sicheren Passwort – kurz, mit Sonderzeichen, alle drei Monate gewechselt – ist überholt. Das BSI nennt drei gleichwertige Varianten:

• 20 bis 25 Zeichen bei zwei Zeichenarten, zum Beispiel eine Folge aus mehreren Wörtern,
• 8 bis 12 Zeichen bei vier Zeichenarten, also kurz und komplex,
• 8 Zeichen bei drei Zeichenarten, wenn das Konto zusätzlich durch eine Mehr-Faktor-Authentisierung abgesichert ist.

Für Menschen, die sich Zugänge merken müssen, ist die erste Variante die praktikabelste: Vier zusammenhanglose Wörter lassen sich behalten und diktieren; ein achtstelliges Sonderzeichen-Kauderwelsch landet auf einem Zettel unter der Tastatur.

Ebenso wichtig ist, was das BSI nicht mehr empfiehlt. In der Pressemitteilung vom 30. Januar 2026 heißt es, ein routinemäßiger Passwortwechsel erhöhe die Sicherheit nicht automatisch; wichtiger sei, dass ein Passwort stark und einzigartig ist. Erzwungene Wechselintervalle führen in der Praxis zu Sommer2026!, Herbst2026! und so weiter. Gewechselt wird anlassbezogen.

Passwortmanager als Arbeitsmittel im Team

Das BSI empfiehlt Passwortmanager ausdrücklich: Sie helfen, den Überblick zu behalten, und erzeugen lange Zufallspasswörter – die sicherste Art von Passwörtern. Welches Programm sinnvoll ist, lässt das BSI offen; das erfordere ein individuelles Abwägen. Es gibt freie und quelloffene Lösungen zum Selbstbetrieb und kommerzielle Anbieter mit Team-Funktionen; eine Produktempfehlung sprechen wir nicht aus. Für den betrieblichen Einsatz zählen drei Dinge:

1. Geteilte Tresore statt geteilter Passwörter. Zugänge für mehrere Personen liegen in einem gemeinsamen Ordner – nicht in einer Chat-Nachricht, nicht in einer Excel-Datei im Netzlaufwerk.
2. Rechte, die man wieder entziehen kann. Wenn jemand geht, wird der Zugriff auf den Tresor entzogen. Bei einem per Mail verschickten Passwort geht das nicht.
3. Ein Notfallzugang. Genau eine weitere Person muss im Ernstfall an die Zugänge kommen – geklärt vorher, nicht im Moment des Bedarfs.

Und die Regel, die alles andere trägt: kein Passwort zweimal. Das BSI warnt ausdrücklich davor, dasselbe Passwort für viele verschiedene Dienste zu nutzen. Der Grund steht im übernächsten Abschnitt.

Was bei einem Leck zu tun ist

1. Passwort des betroffenen Kontos ändern – von einem Gerät aus, dem Sie vertrauen.
2. Alle Konten nachziehen, bei denen dasselbe oder ein ähnliches Passwort im Einsatz war.
3. Aktive Sitzungen beenden, damit bestehende Anmeldungen ungültig werden.
4. Wiederherstellungs-Adresse, Telefonnummer und Weiterleitungsregeln prüfen – wer Zugriff hatte, hinterlässt dort gern eine Hintertür.
5. Zwei-Faktor-Authentifizierung aktivieren.

Sind personenbezogene Daten von Kunden oder Mitarbeitenden betroffen, endet unsere Zuständigkeit: Ob und in welcher Frist gemeldet werden muss, klären Sie mit Ihrer oder Ihrem Datenschutzbeauftragten und der zuständigen Aufsichtsbehörde. Was auf der Website selbst datenschutzseitig sauber sein sollte, steht in unserer DSGVO-Checkliste für Websites.

Zwei-Faktor-Authentifizierung: Verfahren, Reihenfolge, Stolperfallen

Zwei-Faktor-Authentifizierung (2FA) heißt: Passwort allein genügt nicht. Das BSI formuliert die Empfehlung knapp – wenden Sie eine Zwei-Faktor-Authentisierung an, sobald ein Online-Dienst dies ermöglicht.

Die Verfahren im Vergleich

Das BSI hat acht Verfahren nach IT-Sicherheit, Nutzbarkeit und Vertraulichkeit der Daten bewertet. Die für Unternehmen wichtigste Aussage: Vor Phishing-Angriffen, die in Echtzeit stattfinden, schützen E-Mail- und SMS-TAN-Verfahren sowie TOTP nicht. Die beiden Passkey-Verfahren seien dagegen resistent gegen übliche Phishing-Angriffe.

• SMS-Code. Bequem, aber das schwächste der gängigen Verfahren. Das BSI rät zudem davon ab, für den Empfang dasselbe Gerät zu verwenden wie für das Login, weil das die Trennung der Faktoren aufhebt. Trotzdem: besser als kein zweiter Faktor.
• Code aus einer Authenticator-App (TOTP). Der sechsstellige Code, der alle 30 Sekunden wechselt. Solide Standardlösung – aber ein Code, den jemand auf einer nachgebauten Seite eingibt, funktioniert für den Angreifer genauso.
• Hardware-Schlüssel (FIDO2). Ein kleiner Stick, der an den Rechner gesteckt oder ans Handy gehalten wird. Er prüft mit, welche Website gerade fragt – deshalb läuft ein nachgebautes Anmeldeformular ins Leere.
• Passkeys. Dasselbe Prinzip ohne separaten Stick: Der Schlüssel liegt im Smartphone, im Rechner oder im Passwortmanager und wird per Fingerabdruck, Gesicht oder PIN freigegeben – der beste Kompromiss aus Schutz und Alltagstauglichkeit, vorausgesetzt, das Backup funktioniert. Stand September 2026 bieten nicht alle Dienste Passkeys an; wo sie fehlen, bleibt die Authenticator-App die richtige Wahl.

Wo 2FA zuerst hingehört

Nicht überall gleichzeitig. Die Reihenfolge folgt der Frage, was ein fremder Zugriff anrichten könnte:

1. Geschäftliches E-Mail-Konto. Die wichtigste Tür, weil die Passwort-zurücksetzen-Funktion fast aller anderen Dienste dorthin schreibt.
2. Domain-Verwaltung und Hosting. Wer die Domain kontrolliert, kontrolliert Website und E-Mail-Zustellung.
3. Website- und Shop-Backend. Der Administrator-Zugang zum Content-Management-System und zum Onlineshop – dort liegen Inhalte, Bestellungen und Kundendaten.
4. Werbekonten. Google Ads, Meta und Co. haben eine Zahlungsmethode hinterlegt; unbefugter Zugriff kostet unmittelbar Geld.
5. Social-Media-Konten. Schaden vor allem am Ruf, aber schnell sichtbar und mühsam zurückzuholen.

Drei Stolperfallen aus der Praxis

• Verlust des zweiten Faktors. Das Handy geht kaputt oder wird ersetzt – und mit ihm verschwindet die Authenticator-App. Für Device-bound Passkeys (FIDO2) sieht das BSI deshalb zwei Hardware-Token vor, damit die Wiederherstellung über den zweiten Token erfolgen kann. Für den Alltag heißt das: zweiten Weg einrichten, bevor Sie ihn brauchen.
• Wiederherstellungscodes, die niemand hat. Fast jeder Dienst zeigt beim Einrichten einmalig Ersatzcodes. Die gehören sofort in den Tresor oder in den Passwortmanager. Zu synchronisierten Passkeys merkt das BSI an, dass sie über alle Kategorien positiv abschneiden, sofern ein funktionierendes Backup vorhanden ist.
• Gemeinsam genutzte Konten. Ein Login, den sich drei Personen teilen, verträgt sich schlecht mit 2FA: Der Code landet auf einem Gerät. Die saubere Lösung sind echte Team-Zugänge mit eigenen Benutzern und Rollen.

Wie Zugangsdaten tatsächlich abfließen

Wer weiß, wo die Lecks sind, priorisiert anders. Fünf Wege, die in kleinen Betrieben realistisch vorkommen:

Phishing. Der mit Abstand häufigste. Eine Mail imitiert Hoster, Zahlungsdienstleister, Paketdienst oder die eigene Geschäftsführung und nimmt auf einer nachgebauten Seite Zugangsdaten entgegen. Auch der 2FA-Code wird bei Echtzeit-Angriffen abgefragt und sofort weiterverwendet – deshalb hebt das BSI phishing-resistente Verfahren wie Passkeys hervor. Dass dabei inzwischen auch Stimme und Gesicht gefälscht werden, steht im Beitrag Deepfakes im Geschäftsalltag.

Wiederverwendete Passwörter aus fremden Datenlecks. Irgendein Forum, Shop oder Newsletter-Dienst wird kompromittiert; die erbeuteten Kombinationen werden automatisiert bei anderen Diensten durchprobiert. War das Passwort dort dasselbe, ist auch dieser Zugang offen – ganz ohne Angriff auf Ihre Systeme.

Ob Ihre Adressen in bekannten Leaks auftauchen, können Sie kostenlos prüfen: Der HPI Identity Leak Checker des Hasso-Plattner-Instituts schickt das Ergebnis an die geprüfte E-Mail-Adresse, Have I Been Pwned zeigt es direkt im Browser. Beide liefern einen Hinweis, keine Entwarnung: Nicht jedes Leck ist öffentlich bekannt.

Schadsoftware auf dem Rechner. Programme, die Tastatureingaben mitschneiden oder gespeicherte Browser-Passwörter auslesen. Hier greift der Virenschutz tatsächlich – zusammen mit zeitnahen Updates von Betriebssystem und Browser.

Ungesicherte Zugänge bei Dienstleistern. Der frühere Webdesigner hat noch einen Administrator-Account, die Agentur speichert FTP-Daten in einer Textdatei, ein Abo läuft über die Mailadresse einer längst ausgeschiedenen Person. Eine Liste, wer welchen Zugang hat, ist unspektakulär und verhindert erstaunlich viel – das gehört zur laufenden Website-Pflege.

Offen liegende Konfigurationsdateien. Bei Umzügen und Updates bleiben gelegentlich Sicherungskopien, Datenbank-Exporte oder Log-Dateien öffentlich erreichbar im Webverzeichnis liegen – mitsamt Zugangsdaten. Kein Angriff, ein Versehen – aber automatisiert gesucht. Ist eine Website bereits kompromittiert, beschreiben wir das Vorgehen unter Website gehackt und im Beitrag Website gehackt: Erste Hilfe in 10 Schritten.

Bots: Anmeldeversuche, Spam und falscher Traffic

Ein großer Teil dessen, was auf einer kleinen Website passiert, ist kein Mensch.

Automatisierte Anmeldeversuche (Credential Stuffing). Listen aus fremden Datenlecks werden maschinell gegen Ihr Login durchprobiert – nichts wird „geknackt”, es wird nur probiert, was anderswo funktioniert hat. Wirksam dagegen: Fehlversuche je Konto und Herkunft begrenzen, kein offensichtlicher Benutzername für den Administrator-Zugang, und ein zweiter Faktor – der macht ein erratenes Passwort wertlos.

Formular-Spam. Ein Honeypot – ein für Menschen unsichtbares Zusatzfeld, das nur Bots ausfüllen – filtert den Großteil, ohne echten Interessenten ein Rätsel vorzusetzen. CAPTCHAs kosten Conversions und sind bei Barrierefreiheit und Datenschutz die unangenehmere Wahl; sie sollten die Ausnahme sein. Bei Newsletter-Anmeldungen sortiert das ohnehin gebotene Double-Opt-in gefälschte Eintragungen aus.

Scraping. Preise, Texte und Bilder werden systematisch abgezogen. Ganz verhindern lässt sich das nicht; begrenzen schon – über serverseitige Ratenbegrenzung und die Auswertung auffälliger Zugriffsmuster. Eine Frage der Hosting-Konfiguration, nicht eines Plugins.

Gefälschter Traffic in der Statistik. Bot-Besuche verzerren Besucherzahlen und Absprungraten. Bekannte Bots filtern Analyse-Werkzeuge meist heraus, aber nicht alle. Steigen Zahlen sprunghaft, ohne dass Anfragen folgen, lohnt der Blick auf Herkunft und Verweildauer – Grundlagen im Ratgeber Was ist Webanalyse?.

Über allem steht Monitoring: Benachrichtigung bei Anmeldungen von neuen Geräten, Blick auf fehlgeschlagene Logins, Meldung bei Ausfall. Ohne das merkt man einen Vorfall erst, wenn ein Kunde anruft.

Prioritätenliste für kleine Betriebe

Zuerst – diese Woche, ohne Budget:

1. 2FA auf dem geschäftlichen E-Mail-Konto, Wiederherstellungscodes sichern.
2. Passwortmanager einführen, die zehn wichtigsten Zugänge auf lange, einmalige Passwörter umstellen.
3. Virenschutz auf allen Geräten prüfen: aktiv, aktuell, nicht abgeschaltet. Automatische Updates einschalten.
4. Liste erstellen, wer welchen Zugang hat – inklusive ehemaliger Dienstleister. Alte Konten entfernen.

Danach – in den nächsten Wochen:

5. 2FA auf Domain, Hosting, Website- und Shop-Backend, Werbekonten und Social Media.
6. Geprüftes Backup: Es zählt nicht, dass gesichert wird, sondern dass eine Wiederherstellung einmal funktioniert hat.
7. Updates für CMS, Plugins und Shop-System verbindlich terminieren statt „wenn Zeit ist”. Warum gerade veraltete Plugins das häufigste Einfallstor sind, steht im Beitrag WordPress-Sicherheit.
8. Anmeldeversuche begrenzen, Honeypot in die Formulare einbauen.
9. Das Team auf Phishing ansprechen – an echten Beispielen, nicht als Schulungsfolie.

Optional – bei Bedarf und Budget:

10. Hardware-Schlüssel für die Konten mit den weitreichendsten Rechten.
11. Zentral verwalteter Virenschutz mit Protokollierung ab einer größeren Zahl Geräte.
12. Erweitertes Monitoring mit Auswertung auffälliger Zugriffe.

Die Punkte 1 bis 4 kosten zusammen etwa einen halben Tag und decken den größten Teil des realistischen Risikos ab.

Häufige Fragen

Reicht der in Windows enthaltene Virenschutz für ein kleines Unternehmen? Für viele kleine Betriebe ja. Das BSI hält kostenlose Virenschutzprogramme seriöser Hersteller für ausreichend, sofern zusätzliche Funktionen nicht gebraucht werden, und weist darauf hin, dass die Hersteller der Betriebssysteme selbst ein kostenloses Virenschutzprogramm anbieten. Entscheidend ist weniger das Produkt als die Frage, ob es aktiv, aktuell und nicht abgeschaltet ist. Ein Zusatzprodukt lohnt sich vor allem bei zentraler Verwaltung über viele Geräte.

Wie lang muss ein sicheres Passwort sein? Das BSI nennt drei gleichwertige Varianten: 20 bis 25 Zeichen mit zwei Zeichenarten, 8 bis 12 Zeichen mit vier Zeichenarten, oder 8 Zeichen mit drei Zeichenarten, wenn zusätzlich eine Mehr-Faktor-Authentisierung aktiv ist. Praktikabel ist die lange Variante: Eine Folge aus mehreren Wörtern kann man sich merken, ein kurzes Sonderzeichen-Kauderwelsch nicht.

Muss ich meine Passwörter regelmäßig wechseln? Nicht routinemäßig. Das BSI schreibt in seiner Pressemitteilung vom 30. Januar 2026, ein routinemäßiger Passwortwechsel erhöhe die Sicherheit nicht automatisch – wichtiger sei, dass ein Passwort stark und einzigartig ist. Gewechselt wird anlassbezogen: bei einem bekannten Datenleck, bei Verdacht auf Missbrauch und wenn jemand mit Zugriff den Betrieb verlässt.

Welche Zwei-Faktor-Methode ist die sicherste? Nach der BSI-Bewertung der 2FA-Verfahren schützen E-Mail- und SMS-TAN sowie TOTP-Apps nicht vor Phishing-Angriffen, die in Echtzeit stattfinden; die beiden Passkey-Verfahren sind laut BSI resistent gegen übliche Phishing-Angriffe. Praktisch: Passkeys oder Hardware-Schlüssel, wo der Dienst sie anbietet, sonst Authenticator-App. SMS ist die schwächste Variante, aber immer noch besser als kein zweiter Faktor.

Wo sollte ich Zwei-Faktor-Authentifizierung zuerst aktivieren? Beim geschäftlichen E-Mail-Konto. Über die E-Mail-Adresse laufen die Passwort-zurücksetzen-Funktionen fast aller anderen Dienste – wer dort hineinkommt, bekommt den Rest hinterher. Danach folgen Domain-Verwaltung und Hosting, das Backend von Website und Shop, Werbekonten mit hinterlegter Zahlungsmethode und zuletzt die Social-Media-Konten.

Was tun, wenn Zugangsdaten in einem Datenleck aufgetaucht sind? Betroffenes Passwort ändern, danach alle Konten mit demselben oder einem ähnlichen Passwort. Anschließend aktive Sitzungen beenden, hinterlegte Wiederherstellungs-Adresse und Weiterleitungsregeln prüfen und Zwei-Faktor-Authentifizierung aktivieren. Sind personenbezogene Daten von Kunden oder Mitarbeitenden betroffen, klären Sie Meldepflichten und Fristen mit Ihrer oder Ihrem Datenschutzbeauftragten und der zuständigen Aufsichtsbehörde – nicht mit einer Agentur.

Fazit

Virenschutz, Passwörter und Zwei-Faktor-Authentifizierung lösen drei verschiedene Probleme – und nur zusammen decken sie ab, was in kleinen Betrieben tatsächlich schiefgeht. Der Virenschutz hält bekannte Schadsoftware vom Gerät fern und hinkt bei neuen Varianten konstruktionsbedingt hinterher. Lange, einmalige Passwörter aus einem Manager nehmen automatisierten Anmeldeversuchen die Grundlage. Der zweite Faktor sorgt dafür, dass ein abgefischtes Passwort allein nichts mehr wert ist. Die Reihenfolge ist wichtiger als die Produktauswahl: E-Mail zuerst, dann Domain und Hosting, dann alles andere.

Sie wollen das nicht nebenbei erledigen? Wir richten Zugänge, Updates und Backups im Rahmen der Website-Pflege ein und halten sie aktuell – Konditionen stehen offen auf der Seite Preise, und wer vorher sortieren will, wo er steht, beginnt mit der Beratung. nova.02:media ist inhabergeführt, sitzt in Strausberg, ist seit 2002 am Markt, hat über 1.600 Projekte umgesetzt und arbeitet deutschlandweit remote.

Fachliche Grundlage sind die Veröffentlichungen des BSI unter bsi.bund.de – die Empfehlungen zu Virenschutzprogrammen, sicheren Passwörtern und Zwei-Faktor-Authentisierung sowie der Lagebericht „Die Lage der IT-Sicherheit in Deutschland 2025”. Stand: September 2026. Dieser Beitrag ersetzt keine Rechtsberatung.