Informationssicherheit: 13 von 15 Kanzlei-Websites zeigen Lücken bei den Basics

1. Einführung: Warum Informationssicherheit jeden Betrieb angeht

13 von 15. So viele Steuerberater-Websites aus Göttingen und Südniedersachsen ließen bei unserer Stichprobe im Juli 2026 mindestens eine von vier geprüften Sicherheits-Basics offen. Acht davon verraten im Quelltext sogar die exakte Version ihrer Software. Ausgerechnet Kanzleien, die täglich Bilanzen, Gehälter und Steuerdaten verarbeiten. Der Befund passt zu dem, was wir in Projekten immer wieder sehen. Informationssicherheit gilt als Konzern-Thema. Dabei entscheidet sie längst über das Vertrauen in jeden kleinen Betrieb.

Auf einen Blick

• Täglich entstehen im Schnitt rund 280.000 neue Schadprogramm-Varianten (BSI-Lagebericht 2025).
• Die drei Schutzziele der Informationssicherheit sind Vertraulichkeit, Integrität und Verfügbarkeit (BSI).
• 13 von 15 geprüften Kanzlei-Websites aus Südniedersachsen zeigen mindestens eine offene Sicherheits-Basic, 8 von 15 legen ihre exakte Software-Version offen (Kreativschock-Stichprobe, Juli 2026).
• Der CyberRisikoCheck nach DIN SPEC 27076 prüft 27 Anforderungen aus sechs Themenbereichen in ein bis zwei Stunden und richtet sich an Unternehmen mit weniger als 50 Beschäftigten (BSI).
• Artikel 32 DSGVO verlangt technische und organisatorische Maßnahmen für ein dem Risiko angemessenes Schutzniveau (DSGVO).

Informationssicherheit ist der Schutz von Daten und Informationen vor unbefugtem Zugriff, Manipulation und Verlust, unabhängig davon, ob sie digital, auf Papier oder im Gespräch vorliegen. Sie verfolgt drei Schutzziele: Vertraulichkeit, Integrität und Verfügbarkeit. Umgesetzt wird sie durch technische, organisatorische und personelle Maßnahmen, von Verschlüsselung über Richtlinien bis zur Schulung der Beschäftigten.

Dieser Leitfaden erklärt die Basis, grenzt die Begriffe ab und zeigt den Weg, der zu einem kleinen Betrieb passt. Die technischen Basismaßnahmen haben wir in einem eigenen Beitrag über IT Sicherheit für Betriebe beschrieben. Und weil die Website Tag und Nacht offen im Netz steht, gehört ihre Pflege in feste Hände, etwa über eine laufende WordPress-Wartung.

2. Schutzziele der Informationssicherheit: Vertraulichkeit, Integrität und Verfügbarkeit

Jede Sicherheitsmaßnahme dient mindestens einem von drei Zielen. International heißen sie CIA-Triade, nach den englischen Begriffen der Information Security: Confidentiality, Integrity, Availability.

Ein Personalordner im Büroschrank macht alle drei greifbar. Nur die Chefin hat den Schlüssel, das ist Vertraulichkeit: Kein unbefugter Zugriff, sensible Daten bleiben unter Verschluss. Niemand tauscht heimlich Seiten aus, das ist Integrität: Informationen bleiben korrekt und unverfälscht. Und der Ordner ist zur Stelle, wenn das Finanzamt fragt, das ist Verfügbarkeit: Systeme und Daten funktionieren, wenn autorisierte Personen sie brauchen.

Fällt eines der drei Ziele aus, entsteht ein Sicherheitsrisiko mit sehr realen Folgen: Ein geleaktes Angebot ruiniert Verhandlungen, eine manipulierte Rechnung leitet Zahlungen um, ein Serverausfall stoppt den Betrieb.

Kurz zusammengefasst: Die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit von Informationen sind der Maßstab für jede Entscheidung. Vertraulichkeit begrenzt den Zugriff auf Befugte. Integrität sichert die Korrektheit von Daten und Systemen. Verfügbarkeit hält beides nutzbar. Wer eine Maßnahme plant, prüft zuerst, welches dieser drei Ziele sie stärkt.

3. Informationssicherheit, IT-Sicherheit und Datenschutz: Die Abgrenzung

Im Alltag wirft man die Begriffe gern in einen Topf. Dabei meinen sie nicht dasselbe. Die Abgrenzung zu IT-Sicherheit ist einfach: IT-Sicherheit schützt IT-Systeme, also Server, Netzwerke und Geräte, durch technische Maßnahmen wie Firewalls und Verschlüsselung. Informationssicherheit ist der Oberbegriff. Sie schützt Informationen auch dann, wenn sie auf Papier im Altpapier liegen oder im Zugabteil laut besprochen werden. IT-Sicherheit und Datensicherheit sind Teilmengen davon. Cybersicherheit betont die Angriffe aus dem Netz.

Datenschutz und Informationssicherheit überschneiden sich, sind aber nicht identisch. Datenschutz schützt personenbezogene Daten und ist gesetzlich geregelt, vor allem durch die DSGVO. Die verlangt in Artikel 32 wörtlich „die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen“, nachzulesen bei Artikel 32 DSGVO. Von den Schutzzielen der Informationssicherheit steht der Kern damit längst im Gesetz.

Wer Informationssicherheit und Datenschutz zusammen denkt, erledigt beides mit denselben Werkzeugen.

4. Bedrohungen und Risiken: Was kleine Unternehmen wirklich trifft

Die Bedrohungslage ist keine gefühlte Größe. Laut BSI-Lagebericht entstanden zuletzt täglich im Schnitt rund 280.000 neue Schadprogramm-Varianten. Das Bundesamt für Sicherheit in der Informationstechnik zählt neben Cyberangriffen auch menschliche Fehler, technische Ausfälle und simple Schwachstellen zu den größten Bedrohungen für die Informationssicherheit. Die wirtschaftlichen Schäden treffen kleine Betriebe härter, weil Rücklagen und Spezialisten fehlen.

Wie sichtbar solche Schwachstellen sind, zeigt unsere Stichprobe: Wir haben im Juli 2026 die Websites von 15 Steuerkanzleien aus Göttingen und Südniedersachsen auf vier messbare Kriterien geprüft. 13 von 15 ließen mindestens einen Punkt offen. 8 von 15 verraten im Quelltext die exakte Version ihres CMS oder ihrer Plugins. 8 von 15 verzichten auf den HSTS-Header, der Verbindungen dauerhaft auf HTTPS festnagelt. Eine Website erzwingt nicht einmal die verschlüsselte Verbindung.

Eine offen einsehbare Versionsnummer wirkt harmlos. Tatsächlich ist sie ein Zettel neben der Haustür, auf dem Schlossmodell und Baujahr stehen: Angreifer gleichen die Version automatisiert mit bekannten Schwachstellen ab und klingeln nur dort, wo der Dietrich schon passt.

Genau solche Einfallstore sehen wir auch nach Angriffen. In unseren Projekten sanieren wir regelmäßig gehackte WordPress-Seiten. Fast immer war eine veraltete Komponente oder ein schwaches Passwort der Anfang. Was im Ernstfall zu tun ist, steht in unserem Beitrag WordPress gehackt: erste Hilfe.

5. ISMS und ISO 27001: Der strukturierte Weg und seine Grenzen

Ein ISMS, ausgeschrieben Managementsystem für Informationssicherheit, ist kein Programm, das man installiert. Es ist ein Rahmen aus Richtlinien, Zuständigkeiten und Prozessen, mit dem ein Unternehmen seine Risiken systematisch erfasst, bewertet und behandelt. Die internationale Norm ISO 27001 beschreibt die Anforderungen an ein solches System, inklusive Risikomanagement, interner Audits und kontinuierlicher Verbesserung. Wer die Zertifizierung besteht, hat einen anerkannten Nachweis, den Konzerne und kritische Infrastrukturen von ihren Lieferanten immer öfter fordern.

Die meisten Ratgeber empfehlen kleinen Unternehmen deshalb, Informationssicherheit nach ISO 27001 mit einem ISMS aufzubauen. Unsere Position: Für einen Betrieb mit zehn Leuten ist das Zertifikats-Projekt der falsche erste Schritt. Es ist die Brandschutzübung fürs Hochhaus, wenn Sie in einer Dreizimmerwohnung wohnen. Das BSI selbst stuft die Standardwerke, darunter das eigene IT-Grundschutz-Kompendium und die ISO/IEC 27001, für Unternehmen mit weniger als 50 Beschäftigten als „nicht optimal geeignet“ ein.

Für genau diese Zielgruppe gibt es den CyberRisikoCheck nach DIN SPEC 27076. Ein qualifizierter IT-Dienstleister prüft in einem ein- bis zweistündigen Interview 27 Anforderungen aus sechs Bereichen. Danach gibt es einen Bericht, in dem die Empfehlungen nach Dringlichkeit sortiert sind. Das BSI beschreibt den Nutzen so: „Er ermöglicht einem Unternehmen jedoch eine Positionsbestimmung des eigenen IT-Sicherheitsniveaus“ und zeigt auf, welche konkreten Maßnahmen ein Unternehmen umsetzen oder beauftragen sollte. Eine Zertifizierung ist der Check ausdrücklich nicht. Ein ISMS ersetzt er auch nicht. Als Einstieg schlägt er beides.

Wächst der Betrieb oder verlangen Auftraggeber einen Nachweis, bleibt der Weg zur ISO 27001 offen. Der Check ist dann die Vorarbeit, nicht der Umweg.

6. Erste Schritte: Informationssicherheit im Unternehmen ohne Zertifikats-Projekt

Der Einstieg gelingt strukturiert in vier Schritten, organisatorische und personelle Maßnahmen eingeschlossen. Sicherheit ist kein Produkt, sondern eine Gewohnheit.

1. Bestandsaufnahme: Welche Daten und Informationen sind wirklich sensibel? Kundendaten, Verträge, Zugangsdaten, Konstruktionspläne. Notieren Sie, wo sie liegen. Und wer Zugriff hat.
2. Risiko-Matrix light: Bewerten Sie jedes Risiko: Wie wahrscheinlich ist es? Wie hoch wäre der Schaden? Drei Stufen genügen. Ein vertraulicher Mandantenordner in der offenen Cloud landet oben rechts. Das private Handy des Azubis eher unten links. Behandelt wird von oben rechts nach unten links.
3. Maßnahmen zur Risikominimierung umsetzen: Erst die technischen Maßnahmen mit großem Hebel: automatische Updates, Zwei-Faktor-Anmeldung, Verschlüsselung und getestete Backups nach einer sauberen Backup-Strategie. Dazu die Härtung von exponierten IT-Systemen wie der Website, Schritt für Schritt erklärt im Leitfaden zur WordPress Sicherheit.
4. Regeln und Schulung: Eine kurze Richtlinie, wer was darf, plus eine jährliche Schulung gegen Phishing und schwache Passwörter. Menschliche Fehler bleiben das häufigste Einfallstor, hier zahlt jede Stunde doppelt ein.

Danach heißt es dranbleiben. Einmal im Jahr prüfen, ob Liste und Matrix noch stimmen. Cyber Resilience entsteht nicht durch ein einzelnes Werkzeug, sondern durch diese Routine.

7. Fazit: Sicherheit wird Routine

Informationssicherheit ist kein Konzern-Luxus, sondern Handwerk in klaren Schritten. Schutzziele verstehen. Risiken nüchtern bewerten. Die wichtigsten Maßnahmen umsetzen. Den Rest planvoll nachziehen. Der CyberRisikoCheck liefert dafür die Landkarte, unsere vier Schritte den Anfang.

Das Ziel ist ein nüchternes Bild. Der Bericht mit den Empfehlungen liegt abgearbeitet im Ordner. Die Backups laufen nachts von allein. Und die nächste täuschend echte Phishing-Mail? Ihr Team meldet sie kommentarlos an die richtige Stelle. Aus dem Notfall ist ein Protokolleintrag geworden.

Wenn Sie beim Fundament anfangen möchten: Eine unverbindliche Erstberatung klärt, wo Ihre Website heute steht.

8. Anhang: Checkliste für den Einstieg

• Sensible Informationen erfasst (digital, Papier, Köpfe).
• Risiko-Matrix erstellt: Wie oft trifft es uns? Wie teuer wird es?
• Updates und Zwei-Faktor-Anmeldung überall aktiviert.
• Backups eingerichtet und Wiederherstellung getestet.
• Website auf HTTPS-Zwang, HSTS und sichtbare Versionsnummern geprüft.
• Kurze Sicherheits-Richtlinie verteilt und Schulung geplant.
• CyberRisikoCheck nach DIN SPEC 27076 angefragt.
• Jahrestermin für den nächsten Check notiert.

Kontakt aufnehmen

Sie möchten Ihre Website absichern lassen oder wissen nicht, wo Sie anfangen sollen? Schreiben Sie uns, wir melden uns innerhalb von 24 Stunden:

Disclaimer: Alle genannten Angaben und Marktbewertungen sind Erfahrungswerte aus der Agentur-Praxis beziehungsweise den verlinkten Quellen. Sie können je nach Region, Anbieter und Projektumfang abweichen. Die Kreativschock-Stichprobe ist eine nicht repräsentative Momentaufnahme. Diese Inhalte ersetzen keine fachjuristische Beratung, insbesondere nicht zu DSGVO und NIS-2.