IT-Infrastruktur absichern: Strategien für den deutschen Mittelstand

Das Problem: Infrastruktur als unterschätztes Risiko

Ein Kunde rief mich an einem Donnerstagabend an. Seine CRM-Datenbank war seit sechs Stunden nicht erreichbar. Der Anbieter meldete sich nicht. Backup? Wurde automatisch beim gleichen Hoster gespeichert, also ebenfalls offline. Umsatzverlust in dieser Zeit: geschätzt 14.000 Euro, dazu Reputationsschaden.

Viele mittelständische Unternehmen investieren in Digitalisierung, Automatisierung und KI-Projekte, vergessen aber die Basis: eine resiliente, sichere IT-Infrastruktur. Wenn Server ausfallen, Daten verloren gehen oder Angriffe unbemerkt bleiben, helfen die besten Workflows nicht weiter.

In diesem Artikel zeige ich, wie Sie Ihre IT-Infrastruktur systematisch absichern: von der Wahl des Hosting-Standorts über Backup-Strategien bis hin zu Monitoring und Incident-Response. Keine Theorie, sondern praxisnahe Maßnahmen, die sich im deutschen Mittelstand bewährt haben.

Was IT-Infrastruktur-Sicherheit konkret bedeutet

IT-Infrastruktur umfasst alle technischen Komponenten, auf denen Ihre Anwendungen laufen: Server, Datenbanken, Netzwerke, Storage, Betriebssysteme. Sicherheit bedeutet hier drei Dinge:

• Verfügbarkeit: Systeme laufen auch bei Störungen weiter oder sind schnell wiederherstellbar.
• Integrität: Daten bleiben unverändert, Manipulationen werden erkannt.
• Vertraulichkeit: Nur berechtigte Personen und Systeme haben Zugriff.

Im Mittelstand kommt ein vierter Punkt hinzu: DSGVO-Konformität. Art. 32 DSGVO fordert technische und organisatorische Maßnahmen, um ein angemessenes Schutzniveau zu gewährleisten. Dazu gehören verschlüsselte Übertragung, Zugriffskontrollen und regelmäßige Sicherheitstests.

Hosting-Standort und Anbieter: Die erste Weichenstellung

Die Wahl des Hosting-Standorts entscheidet über Latenz, rechtliche Risiken und Reaktionszeiten im Störfall.

EU-Hosting als Standard: Für personenbezogene Daten empfehle ich grundsätzlich Rechenzentren in der EU, idealerweise in Deutschland. Damit entfällt die Notwendigkeit für Standardvertragsklauseln oder Binding Corporate Rules. Anbieter wie Hetzner, netcup oder IONOS bieten ISO-27001-zertifizierte Rechenzentren zu Preisen ab 15 Euro pro Monat für kleinere VPS.

Self-Hosted vs. Managed Cloud: Self-Hosted bedeutet, Sie betreiben eigene Server (physisch oder virtuell) und sind für Updates, Patches und Backups verantwortlich. Das gibt maximale Kontrolle, erfordert aber internes Know-how. Managed Cloud (z. B. AWS Frankfurt, Google Cloud Belgien) lagert Betrieb und Wartung aus, kostet aber mehr und bindet Sie an einen Anbieter.

Für den Mittelstand bewährt sich oft ein Hybrid-Modell: kritische Datenbanken und Authentifizierung self-hosted auf deutschen VPS, unkritische Anwendungen in der Managed Cloud. So balancieren Sie Kosten, Kontrolle und Aufwand.

Anbieter-Auswahl: Prüfen Sie fünf Kriterien:

1. ISO-27001 oder vergleichbare Zertifizierung
2. Transparente SLAs mit Verfügbarkeitsgarantie (mindestens 99,5 Prozent)
3. 24/7-Support in deutscher Sprache
4. Klare AVV (Auftragsverarbeitungsvertrag) gemäß Art. 28 DSGVO
5. Physische Sicherheit der Rechenzentren (Zutrittskontrolle, Brandschutz, Notstromversorgung)

Backup-Strategie: Automatisch, getrennt, getestet

Ein Backup, das nur auf demselben Server liegt, ist kein Backup. Ein Backup, das nie getestet wurde, ist Hoffnung.

Die 3-2-1-Regel: Drei Kopien Ihrer Daten, auf zwei verschiedenen Medientypen, eine Kopie außerhalb des Standorts. Konkret:

• Primärdaten: Produktivserver (z. B. Hetzner Frankfurt)
• Lokales Backup: Tägliches Snapshot auf separatem Storage beim gleichen Anbieter (schnelle Wiederherstellung bei logischen Fehlern)
• Off-Site-Backup: Wöchentliches verschlüsseltes Backup auf zweitem Anbieter (z. B. Backblaze B2, Wasabi) oder physischem Medium im Tresor

Automatisierung und Verifizierung: Setzen Sie Backups per Cron-Job oder Backup-Software (z. B. Restic, Borg, duplicity) auf. Jedes Backup muss automatisch verifiziert werden: Checksummen prüfen, Restore-Test in Sandbox durchführen. Legen Sie fest, wer bei Backup-Fehlern alarmiert wird.

Aufbewahrungsfristen: Speichern Sie tägliche Backups für 7 Tage, wöchentliche für 4 Wochen, monatliche für 12 Monate. Bei personenbezogenen Daten müssen Aufbewahrungsfristen mit Art. 17 DSGVO (Recht auf Löschung) abgestimmt sein.

Restore-Zeit: Definieren Sie ein Recovery Time Objective (RTO): Wie lange darf der Ausfall maximal dauern? Für ein CRM-System im Vertrieb sollte RTO unter 4 Stunden liegen. Testen Sie mindestens quartalsweise, ob Sie dieses Ziel erreichen.

Zugriffskontrolle und Verschlüsselung

Nicht jede Person im Unternehmen braucht Root-Zugriff auf alle Server. Principle of Least Privilege gilt auch im Mittelstand.

Rollenbasierte Zugriffsrechte: Definieren Sie Rollen (z. B. Admin, Developer, Read-Only) und vergeben Sie SSH-Schlüssel oder API-Tokens pro Rolle. Deaktivieren Sie Passwort-Login für SSH, nutzen Sie ausschließlich Key-basierte Authentifizierung.

Zwei-Faktor-Authentifizierung: Für administrative Zugänge (Server-Panel, Cloud-Console, Backup-Dashboard) ist 2FA Pflicht. Setzen Sie auf Hardware-Token (YubiKey) oder TOTP-Apps (Aegis, andOTP), niemals SMS.

Verschlüsselung: Daten in Transit verschlüsseln Sie per TLS 1.3 (HTTPS, SSH). Daten at Rest (auf der Festplatte) verschlüsseln Sie mit LUKS (Linux Unified Key Setup) oder vergleichbaren Mechanismen. Schlüssel lagern Sie getrennt vom Server, z. B. in einem Hardware Security Module (HSM) oder Key Management Service (KMS).

Monitoring und Incident-Response

Sie merken Angriffe oder Ausfälle erst, wenn Monitoring existiert.

Was überwachen: Mindestens diese Metriken:

• CPU, RAM, Disk I/O: Warnung bei über 80 Prozent Auslastung über 15 Minuten
• Netzwerk-Traffic: Anomalien (plötzlicher Spike) können auf DDoS oder Datenleck hinweisen
• Log-Dateien: Failed SSH-Logins, ungewöhnliche API-Anfragen, Fehlercodes 500 oder 403
• Dienste-Status: Ist Webserver, Datenbank, Cron-Daemon erreichbar?
• Zertifikate: Warnung 14 Tage vor Ablauf von SSL/TLS-Zertifikaten

Tools: Open-Source-Lösungen wie Prometheus mit Grafana, Netdata oder Zabbix. Für kleinere Setups reicht oft ein simpler Uptime-Monitor (UptimeRobot, Healthchecks.io) kombiniert mit Log-Aggregation (Loki, Graylog).

Alerting: Definieren Sie, wer bei welchem Alert benachrichtigt wird. Kritische Ausfälle (Server offline, Datenbank nicht erreichbar) gehen per SMS oder Telefon an mindestens zwei Personen. Nicht-kritische Warnungen per E-Mail oder Slack.

Incident-Response-Plan: Ein einseitiges Dokument genügt:

1. Wer entscheidet, ob ein Incident vorliegt?
2. Wer wird informiert (intern, extern, Kunden)?
3. Welche Sofortmaßnahmen (Server isolieren, Backup einspielen, Passwörter rotieren)?
4. Wie dokumentieren Sie den Vorfall (wichtig für DSGVO-Meldepflicht Art. 33)?
5. Wie stellen Sie den Normalbetrieb wieder her?

Patch-Management und Updates

Veraltete Software ist die häufigste Ursache für erfolgreiche Angriffe.

Automatische Security-Updates: Auf Debian/Ubuntu aktivieren Sie unattended-upgrades für Sicherheitspatches. Auf Red Hat/CentOS nutzen Sie dnf-automatic. So werden kritische Kernel- und Bibliotheks-Updates innerhalb von 24 Stunden eingespielt.

Anwendungs-Updates: Middleware wie Nginx, PostgreSQL, Redis aktualisieren Sie manuell nach Testphase. Legen Sie ein monatliches Wartungsfenster fest (z. B. jeden zweiten Sonntag, 22 bis 24 Uhr). Informieren Sie Nutzer vorab.

End-of-Life: Betreiben Sie keine Systeme, deren Support ausgelaufen ist (z. B. Ubuntu 18.04 seit Mai 2023). Planen Sie Migrations-Projekte mindestens 6 Monate vor EOL-Datum.

Was nicht funktioniert

Sicherheit durch Verschleierung: Einen SSH-Port von 22 auf 2222 zu ändern, bremst Skript-Kiddies, aber keine ernsthaften Angreifer. Setzen Sie auf Fail2Ban und Key-Only-Auth, nicht auf Portverstecken.

Einmaliges Setup: IT-Sicherheit ist kein Projekt, sondern ein Prozess. Planen Sie quartalsweise Reviews: Sind Backups aktuell? Laufen Monitoring-Alerts? Wurden Zugriffsrechte angepasst?

Externes Team ohne Übergabe: Wenn eine Agentur Ihre Server aufsetzt, aber Zugänge und Dokumentation behält, entsteht Vendor-Lock-in und Risiko. Bestehen Sie auf vollständige Übergabe: Root-Passwörter, SSH-Keys, Netzwerkdiagramme, Backup-Skripte.

Realistische Outcomes

Ein mittelständischer Fertigungsbetrieb mit 80 Mitarbeitenden hat nach Umsetzung der beschriebenen Maßnahmen folgende Ergebnisse erzielt:

• Verfügbarkeit: Von 97,2 auf 99,7 Prozent (gemessen über 12 Monate), entspricht Reduktion ungeplanter Ausfälle von 245 auf 26 Stunden pro Jahr.
• Restore-Zeit: Testweise eingespieltes Backup nach 2,5 Stunden vollständig produktiv (vorher: unklar, nie getestet).
• Incident-Erkennung: Erfolgreicher Brute-Force-Angriff auf SSH innerhalb von 8 Minuten erkannt und geblockt (vorher: Logs wurden nicht überwacht).
• Kosten: Zusätzlicher Aufwand für zweiten Backup-Anbieter, Monitoring-Tool und monatliche Wartungsfenster: 320 Euro pro Monat.

Wie Sie starten

1. Inventar: Erstellen Sie eine Liste aller Server, Datenbanken, Dienste. Wer betreibt sie, wo stehen sie, welche Daten liegen dort?
2. Risiko-Bewertung: Welche Systeme sind kritisch? Was passiert bei Ausfall (Umsatzverlust, DSGVO-Verstoß, Reputationsschaden)?
3. Quick-Wins: Aktivieren Sie unattended-upgrades, richten Sie tägliche Backups mit Off-Site-Kopie ein, schalten Sie SSH-Passwort-Login ab.
4. Monitoring aufsetzen: Installieren Sie Prometheus und Grafana oder nutzen Sie einen Managed-Dienste. Definieren Sie 5 bis 10 kritische Alerts.
5. Dokumentation: Schreiben Sie Incident-Response-Plan und Backup-Restore-Anleitung. Testen Sie beide mindestens einmal.

Zusammenfassung

IT-Infrastruktur-Sicherheit ist kein Luxus, sondern wirtschaftliche Notwendigkeit. Ein Ausfall kostet nicht nur Umsatz, sondern gefährdet Vertrauen und Compliance. Mit EU-Hosting, 3-2-1-Backups, rollenbasierter Zugriffskontrolle, kontinuierlichem Monitoring und strukturiertem Patch-Management schaffen Sie ein belastbares Fundament für Digitalisierung und Automatisierung.

Wenn Sie Ihre Infrastruktur absichern oder auf Schwachstellen prüfen möchten, unterstützen wir Sie gern bei Architektur, Umsetzung und laufendem Betrieb.

Sprechen Sie mit uns

Sie möchten das in Ihrem Betrieb umsetzen? Wir bauen die passende Maschine mit Ihnen.

Telefon: 040 468 967 680
E-Mail: info@whitefox-automations.com
Oder über unser Kontaktformular.