Ein Virenscanner ist kein Sicherheitskonzept. Wer sich allein darauf verlässt, schützt nur einen Teil seines Unternehmens.

Wenn wir bei ICTE mit Unternehmen über IT-Sicherheit sprechen, hören wir häufig zuerst: „Wir haben eh einen Virenscanner.“

Gut. Aber ehrlich gesagt: Das ist heute nur der Anfang.

Ein Antivirusprogramm erkennt Schadsoftware und blockiert viele bekannte Gefahren. Moderne Lösungen können auch verdächtiges Verhalten erkennen. Diese Schutzschicht ist wichtig und gehört auf geschäftlich genutzte Geräte.

Aber sie schützt nicht automatisch Benutzerkonten, Cloud-Dienste, E-Mail-Prozesse, Backups oder offene Sicherheitslücken. Und sie beantwortet auch nicht die entscheidende Frage: Wer reagiert, wenn etwas Auffälliges passiert?

Unsere klare Haltung bei ICTE: Wer Antivirus mit IT-Sicherheit verwechselt, verwechselt einen Rauchmelder mit einem Brandschutzkonzept.

Ein Angriff, bei dem der Virenscanner grün bleibt

Ein Mitarbeiter erhält eine glaubwürdig gestaltete E-Mail. Der Link führt zu einer gefälschten Anmeldeseite. Dort gibt er seine Zugangsdaten für Microsoft 365 ein.

Auf dem Computer wurde keine schädliche Datei gestartet. Es musste kein Virus installiert werden. Für das Antivirusprogramm gibt es daher möglicherweise nichts zu blockieren.

Der Angreifer versucht anschließend, sich mit den gestohlenen Zugangsdaten anzumelden. Gelingt das, kann er E-Mails lesen, Kontakte ausforschen oder unbemerkt auf den passenden Moment warten. Besonders attraktiv sind echte Rechnungen und laufende Zahlungsvorgänge.

Der Virenscanner kann währenddessen weiterhin ein grünes Häkchen anzeigen. Genau das ist der Punkt, der aufwecken sollte.

Das bedeutet nicht, dass der Virenscanner schlecht ist. Es bedeutet nur: Dieser Angriff findet außerhalb seines eigentlichen Schutzbereichs statt. Hier braucht es andere Maßnahmen – zum Beispiel Mehrfaktor-Anmeldung, Überwachung auffälliger Anmeldungen, E-Mail-Schutz, klare Freigabeprozesse und eine schnelle Reaktion.

Was ein Antivirusprogramm gut kann

Virenschutz ist keineswegs überflüssig. Er kann unter anderem:

• bekannte Schadprogramme erkennen und blockieren,
• verdächtige Dateien prüfen,
• schädliche Downloads stoppen,
• infizierte Dateien isolieren,
• bei modernen Lösungen auch auffälliges Verhalten erkennen.

Es wäre also falsch, Antivirus kleinzureden. Genauso falsch ist aber die bequeme Annahme, damit sei die gesamte IT abgesichert.

Aus unserer Sicht zählt nicht der Produktname auf der Rechnung. Entscheidend ist, welche Risiken tatsächlich abgedeckt sind, wer die Lösung betreut und ob im Ernstfall jemand handelt.

Wo Virenschutz allein gefährlich bequem wird

Viele heutige Angriffe brauchen keinen klassischen Computervirus mehr. Angreifer nutzen gestohlene Passwörter, schlecht geschützte Cloud-Zugänge, veraltete Programme oder Werkzeuge, die auf dem Gerät ohnehin vorhanden sind.

Darum kann ein Antivirusprogramm mehrere wichtige Aufgaben nicht alleine übernehmen:

Gestohlene Zugangsdaten

Wird ein Passwort über eine gefälschte Anmeldeseite abgegriffen, ist zunächst keine Schadsoftware notwendig. Schutz entsteht hier durch Mehrfaktor-Anmeldung, sichere Zugriffsregeln und die Überwachung ungewöhnlicher Anmeldungen.

Sicherheitslücken in Programmen

Veraltete Software kann bekannte Schwachstellen enthalten. Ein Virenscanner ersetzt deshalb weder regelmäßige Updates noch ein geregeltes Patch-Management.

Angriffe über E-Mail und Täuschung

Technik kann viele verdächtige Nachrichten filtern. Sie kann aber nicht jede gut gemachte Täuschung verhindern. Mitarbeitende brauchen verständliche Regeln, kurze Schulungen und einen einfachen Weg, verdächtige Nachrichten zu melden.

Angriffe auf Cloud-Dienste

Unternehmensdaten liegen heute nicht nur auf einem PC. Sie befinden sich in Microsoft 365, Fachanwendungen und anderen Cloud-Diensten. Ein Virenscanner auf dem Notebook überwacht diese Umgebungen nicht automatisch.

Wiederherstellung nach einem Vorfall

Selbst guter Schutz verhindert nicht jeden Zwischenfall. Ein Antivirusprogramm ersetzt kein getrenntes Backup. Vor allem ersetzt es keinen getesteten Wiederherstellungsplan.

Welche Schutzschichten ein Unternehmen wirklich braucht

Ein Sicherheitskonzept muss nicht aus möglichst vielen Produkten bestehen. Es muss zum Unternehmen passen, die wichtigsten Risiken abdecken und im Alltag funktionieren. Genau das ist der Unterschied zwischen gekaufter Sicherheit und gelebter Sicherheit.

In vielen KMU sind aus unserer Sicht diese sechs Bereiche entscheidend:

Schutzschicht	Worum es geht	Warum Antivirus allein nicht genügt
Konten und Zugriffe	Mehrfaktor-Anmeldung, klare Berechtigungen, getrennte Administratorkonten	Gestohlene Passwörter und missbrauchte Konten sind nicht immer ein Schadsoftware-Fall.
Geräte und Updates	Zentrale Verwaltung, sichere Einstellungen, zeitnahe Sicherheitsupdates	Offene Schwachstellen bleiben trotz aktivem Virenschutz bestehen.
E-Mail und Mitarbeitende	E-Mail-Filter, verständliche Regeln, regelmäßige Sensibilisierung	Täuschung und Fehlentscheidungen lassen sich nicht allein technisch verhindern.
Erkennung auf Endgeräten	Moderne Endgerätesicherheit, die auch Abläufe und Verhalten betrachtet	Einzelne Aktionen wirken oft harmlos. Erst ihr Zusammenhang zeigt einen Angriff.
Backup und Wiederherstellung	Getrennte Sicherungen und regelmäßig geprüfte Rücksicherung	Ein vorhandenes Backup hilft nur, wenn es geschützt und tatsächlich wiederherstellbar ist.
Überwachung und Reaktion	Alarme bewerten, Zuständigkeiten klären, betroffene Geräte schnell isolieren	Eine Warnung schützt das Unternehmen erst, wenn jemand sie sieht und richtig handelt.

Die europäische Cybersicherheitsagentur ENISA nennt Virenschutz ebenfalls nur als Teil grundlegender Cyberhygiene. Dazu gehören unter anderem Mehrfaktor-Anmeldung, regelmäßige Updates, sichere Backups und Schulungen. Das britische NCSC empfiehlt Unternehmen zusätzlich, Protokolle zu überwachen, Wiederherstellungen zu testen und einen Reaktionsplan aktuell zu halten.

Der oft übersehene Unterschied: Ein Alarm ist noch keine Reaktion

Viele Sicherheitslösungen erzeugen Meldungen. Doch wer erhält diese Meldungen? Wie schnell werden sie geprüft? Und wer darf ein betroffenes Gerät vom Netzwerk trennen?

Diese Fragen wirken organisatorisch. Im Ernstfall entscheiden sie aber darüber, ob ein Vorfall früh gestoppt wird oder ob aus einem kleinen Problem ein echter Schaden entsteht.

Ein vollständiges Sicherheitskonzept legt deshalb nicht nur technische Maßnahmen fest. Es regelt auch:

• wer Sicherheitsmeldungen überwacht,
• welche Vorfälle sofort behandelt werden,
• wer intern Entscheidungen treffen darf,
• wie betroffene Geräte oder Konten gesperrt werden,
• wie der Betrieb wiederhergestellt wird,
• wen das Unternehmen im Notfall kontaktiert.

Mehrere gekaufte Sicherheitsprodukte ergeben noch kein Sicherheitskonzept. Erst wenn Schutz, Überwachung und Reaktion ineinandergreifen, entsteht ein System, auf das sich ein Unternehmen verlassen kann.

Fünf unbequeme Fragen für den Realitätscheck

Wenn Sie wissen möchten, ob Ihr Unternehmen nur einzelne Schutzprodukte oder bereits ein Sicherheitskonzept hat, helfen diese Fragen weiter:

1. Ist die Mehrfaktor-Anmeldung für alle wichtigen Konten verpflichtend?
2. Werden Computer und Programme zentral und nachvollziehbar aktualisiert?
3. Prüft jemand Sicherheitsmeldungen zeitnah und mit klarer Verantwortung?
4. Werden Backups regelmäßig auf eine echte Wiederherstellung getestet?
5. Ist festgelegt, wer bei einem Cybervorfall welche Schritte setzt?

Wenn mehrere Antworten unklar bleiben, ist das kein Grund zur Panik. Es ist aber ein deutlicher Hinweis: Die IT läuft vielleicht – aber sie ist noch nicht ausreichend geführt, kontrolliert und vorbereitet.

Antivirus bleibt wichtig. Die falsche Sicherheit ist das Problem.

Ein Virenscanner gehört weiterhin auf geschäftlich genutzte Geräte. Er reduziert Risiken und stoppt viele alltägliche Bedrohungen.

Aber kein einzelnes Produkt kann jede Sicherheitsaufgabe übernehmen. Wer das erwartet, baut seine IT-Sicherheit auf Hoffnung.

Gute IT-Sicherheit entsteht aus passenden Schutzschichten: sichere Konten, aktuelle Systeme, geschulte Mitarbeitende, laufende Überwachung, getestete Backups und eine vorbereitete Reaktion. Für ein kleines Unternehmen darf dieses Konzept schlanker sein als für einen Konzern. Unkoordiniert darf es nicht sein.

Sie möchten wissen, welche Schutzschichten in Ihrem Unternehmen bereits greifen – und wo Sie sich vielleicht auf ein gutes Gefühl verlassen? Die ICTE Infrastrukturanalyse gibt Ihnen einen unabhängigen zweiten Blick auf Ihre IT und zeigt verständlich, welche Maßnahmen zuerst sinnvoll sind.

FAQ

Ist ein Antivirusprogramm heute noch notwendig?

Ja. Ein aktuelles und zentral verwaltetes Antivirusprogramm bleibt eine wichtige Schutzschicht. Es erkennt und blockiert viele bekannte Bedrohungen. Es ersetzt jedoch keine weiteren Maßnahmen wie Mehrfaktor-Anmeldung, Updates, Backups und Überwachung.

Was ist der Unterschied zwischen Antivirus und EDR?

Ein klassischer Virenscanner konzentriert sich vor allem auf das Erkennen und Blockieren von Schadsoftware. EDR steht für „Endpoint Detection and Response“. Eine EDR-Lösung beobachtet zusätzlich Vorgänge auf dem Gerät, setzt einzelne Ereignisse in Zusammenhang und unterstützt die gezielte Reaktion auf einen Angriff. Die Grenzen zwischen modernen Produkten sind allerdings fließend.

Brauchen auch kleine Unternehmen ein IT-Sicherheitskonzept?

Ja. Das Konzept muss jedoch zur Größe, Arbeitsweise und Risikolage des Unternehmens passen. Ein KMU braucht keine Konzernstruktur. Es braucht klare Schutzmaßnahmen, geregelte Zuständigkeiten und einen funktionierenden Plan für den Ernstfall.

Woran erkennt man ein vollständiges Sicherheitskonzept?

Es verbindet technische und organisatorische Maßnahmen. Dazu zählen der Schutz von Konten, Geräten, E-Mails und Daten sowie laufende Überwachung, getestete Backups und klare Abläufe bei einem Vorfall.

Empfohlene externe Quellen:

• ENISA: Cyber Hygiene – https://www.enisa.europa.eu/topics/cyber-hygiene
• ENISA: Cybersecurity Guide for SMEs – https://www.enisa.europa.eu/publications/cybersecurity-guide-for-smes
• NCSC: Mitigating Malware and Ransomware Attacks – https://www.ncsc.gov.uk/guidance/mitigating-malware-and-ransomware-attacks
• NCSC: Actions to Take When the Cyber Threat Is Heightened – https://www.ncsc.gov.uk/guidance/actions-to-take-when-the-cyber-threat-is-heightened