Der Figuli Consulting News Blog

Proxmox Backup: VMs richtig sichern und wiederherstellen

Mon, 14 Sep 2026 05:52:31 GMT

Proxmox Backup: So sichern Sie Ihre virtuellen Maschinen richtig

Proxmox Backup sichert virtuelle Maschinen und Container einer Proxmox-Umgebung so, dass sie nach einem Ausfall, einer Fehlkonfiguration oder einem Angriff vollständig zurückgeholt werden können.

In der Praxis scheitern Wiederherstellungen selten an der Technik. Sie scheitern daran, dass die Sicherung auf demselben Server liegt wie die virtuellen Maschinen , dass die Aufbewahrungsdauer zu kurz ist oder dass niemand je geprüft hat , wie lange eine vollständige Wiederherstellung tatsächlich dauert. Grüne Statusmeldungen sind kein Nachweis.

Dieser Artikel richtet sich an technisch versierte Verantwortliche in kleinen und mittleren Unternehmen. Er ordnet die beiden Sicherungswege in Proxmox ein, zeigt, worauf es bei Speicherwahl und Aufbewahrung ankommt, wie Sicherungen gegen Ransomware abgesichert werden – und wie ein Wiederanlauf auf neuer Hardware abläuft.

Inhaltsverzeichnis

vzdump, Proxmox Backup Server oder veeam: die drei Wege
Was vor der Technik zu klären ist
Wohin die Sicherung gehört: Speicher und Auslagerung
Aufbewahrung und Bereinigung sinnvoll einstellen
Sicherungen gegen Ransomware absichern
Wiederherstellung: vom Einzelfall bis zur neuen Hardware
Überwachung und typische Fehler
Fazit
FAQ zum Proxmox Backup

vzdump, Proxmox Backup Server oder veeam: die drei Wege

Proxmox Virtual Environment (Proxmox VE) ist eine Virtualisierungsplattform, mit der Unternehmen virtuelle Maschinen und Container auf eigener Serverhardware betreiben. Für ein Proxmox Backup gibt es unterschiedliche Sicherungswege, die sich technisch grundlegend unterscheiden.

vzdump ist das integrierte Werkzeug. Es erzeugt bei jedem Lauf ein vollständiges Archiv der virtuellen Maschine. Das ist einfach, robust und ohne Zusatzsystem nutzbar.

Proxmox Backup Server , kurz PBS , ist ein eigenständiges System. Er arbeitet inkrementell, überträgt also nur geänderte Datenblöcke, erkennt mehrfach vorhandene Daten und speichert sie nur einmal, und kann Sicherungen bereits auf dem Quellsystem verschlüsseln.
veeam Proxmox Backup , d ie Integration von Proxmox VE in die Veeam Data Platform und in der neuen veeam Software Appliance (VSA) bietet Unternehmen die Möglichkeit, ihre auf Proxmox VE laufenden Workloads effizient zu sichern. Die Backup-Lösung vereinfacht das Datenmanagement, indem sie detaillierte Einblicke in die Proxmox VE-Backups bietet. Die benutzerfreundliche Oberfläche und der umfassende Support machen Veeam zu einer hervorragenden Ergänzung für Proxmox VE.

Wichtig zur Einordnung: Gemeint ist hier der Unterschied zwischen klassischen dateibasierten vzdump-Backups auf lokale oder Netzwerkziele und der Sicherung auf einen Proxmox Backup Server. In der Proxmox-Oberfläche kann die Jobsteuerung ähnlich wirken, technisch unterscheidet sich die Speicherung aber deutlich.

Für Umgebungen mit wenigen virtuellen Maschinen und ausreichend Speicherplatz genügt vzdump. Sobald mehrere Maschinen gesichert werden oder eine längere Aufbewahrung gewünscht ist, wird der Unterschied deutlich: Bei täglicher Vollsicherung über vier Wochen liegen 28 vollständige Kopien vor. Inkrementell ist derselbe Zeitraum ein Bruchteil davon.

Der praktisch wichtigste Vorteil von PBS ist jedoch nicht der Speicherplatz, sondern die Verifikation : Das System prüft eigenständig, ob gespeicherte Sicherungen noch lesbar und unbeschädigt sind. Damit fällt ein beschädigter Sicherungsbestand auf, bevor er gebraucht wird.

Proxmox Backup in der Praxis: Backup-Job und Wiederherstellung

In Proxmox VE wird ein Backup-Job typischerweise über Datacenter, Backup und Add angelegt. Dort werden Zielspeicher, Zeitplan, Auswahl der virtuellen Maschinen und Aufbewahrungsregeln definiert. Entscheidend ist, dass der Zielspeicher nicht auf demselben Host liegt wie die produktiven Maschinen.

Für die Wiederherstellung sollte mindestens ein Testfall dokumentiert werden: eine einzelne Datei zurückholen, eine virtuelle Maschine auf eine neue VM-ID wiederherstellen und anschließend prüfen, ob Dienste, Netzwerk, Anmeldung und Anwendung aus Nutzersicht funktionieren. Erst dadurch wird aus einer erfolgreichen Sicherungsmeldung ein belastbarer Wiederherstellungsnachweis.

Wann eine übergreifende Backup-Lösung sinnvoll ist

Beide Wege sichern ausschließlich Proxmox. Betreiben Sie daneben weitere Systeme – Windows-Server auf anderer Virtualisierung, physische Maschinen, Microsoft 365 – entstehen mehrere getrennte Sicherungswelten mit eigener Überwachung und eigenen Wiederherstellungswegen.

In solchen gemischten Umgebungen kann eine herstellerübergreifende Backup-Lösung, etwa Veeam , sinnvoller sein, wenn Proxmox gemeinsam mit weiteren Servern, physischen Maschinen oder Microsoft 365 zentral überwacht und wiederhergestellt werden soll. Der Vorteil liegt in der einheitlichen Verwaltung, Überwachung und Berichterstattung über alle Systeme hinweg, nicht in der Sicherung von Proxmox selbst.

Die Entscheidung ist damit weniger eine technische als eine betriebliche: Wie viele unterschiedliche Sicherungssysteme wollen und können Sie dauerhaft betreuen?

Was vor der Technik zu klären ist

Vor jeder Werkzeugentscheidung stehen zwei Fragen, die pro virtueller Maschine zu beantworten sind:

Wie viel Arbeit dürfen wir verlieren? Eine Maschine mit laufenden Buchungen verträgt keinen Tag. Ein Testsystem verträgt eine Woche. Daraus ergibt sich die Sicherungshäufigkeit.
Wie lange darf die Wiederherstellung dauern? Ein Server, ohne den niemand arbeiten kann, braucht ein schnelleres Verfahren als ein Archivsystem. Daraus ergeben sich Speicherort und Anbindung.

Diese beiden Werte bestimmen Kosten und Aufwand stärker als jede Produktentscheidung. Sie sollten je Maschine festgehalten werden – eine einfache Tabelle genügt.

Ergänzend zu klären: Was passiert außerhalb der virtuellen Maschinen? Die Proxmox-Konfiguration selbst, also Clusterinformationen, Netzwerkeinstellungen und Firewallregeln, liegt nicht in den VM-Sicherungen. Ohne sie dauert der Wiederaufbau eines Hosts erheblich länger als nötig.

Wie sich diese Fragen in ein Gesamtkonzept einfügen, behandelt der Beitrag zum Cloud Backup .

Wohin die Sicherung gehört: Speicher und Auslagerung

Die wichtigste Regel ist zugleich die am häufigsten verletzte: Die Sicherung darf nicht dort liegen, wo auch die Produktivdaten liegen.

Eine Sicherung auf dem lokalen Speicher desselben Hosts überlebt keinen Hardware-Defekt und keinen Angriff, der diesen Host erreicht. Sie schützt nur vor versehentlichem Löschen innerhalb einer virtuellen Maschine.

Typische Zielorte und ihre Eignung:

Netzwerkspeicher im eigenen Haus: guter Standard für die tägliche Sicherung, schnelle Wiederherstellung. Wichtig ist, dass die Freigabe nicht mit denselben Zugangsdaten erreichbar ist wie das Produktivsystem.
Dedizierter Backup-Server: bei PBS der empfohlene Weg, idealerweise eigene Hardware in einem anderen Brandabschnitt.
Externe Datenträger im Wechsel: einfach und wirksam, solange der Wechsel tatsächlich stattfindet. In der Praxis der häufigste Schwachpunkt, weil er von einer Person abhängt.
Auslagerung außer Haus: die einzige Absicherung gegen Brand, Wasserschaden und Diebstahl am Standort.

Mindestens eine Kopie gehört außer Haus. Das kann ein zweiter Standort sein, ein Backup-Server bei einem Partner oder ein Cloud-Ziel. Entscheidend ist, dass diese Kopie nicht dauerhaft mit demselben Netz verbunden und mit denselben Zugangsdaten erreichbar ist.

Wie eine Auslagerung in die Cloud praktisch aussieht, beschreibt der Beitrag zum Cloud Backup . Für Umgebungen mit mehreren Hosts ist zudem die Frage der Ausfallsicherheit relevant – dazu der Beitrag zum Proxmox Cluster .

Für kleine und mittlere Unternehmen ohne eigenes Serverteam ist genau dieser laufende Betrieb die Hürde: Laufen die Sicherungen wirklich? Werden Fehler bemerkt? FIGULI CONSULTING plant und betreibt Proxmox-Umgebungen samt Sicherung für KMU, überwacht die Läufe und prüft in festen Abständen, ob sich Maschinen tatsächlich zurückholen lassen.

Proxmox Backup mit FIGULI prüfen

Aufbewahrung und Bereinigung sinnvoll einstellen

Die Aufbewahrung entscheidet darüber, wie weit Sie zurückspringen können – und zugleich über den Speicherbedarf.

Ein bewährtes Muster für den Regelbetrieb:

Die konkreten Werte hängen von den Anforderungen ab. Wichtiger als die exakten Zahlen ist der Gedanke dahinter: Die Aufbewahrung muss länger sein als die realistische Zeit, bis ein Problem entdeckt wird.

Das gilt besonders für schleichende Fehler. Wird eine Datenbankbeschädigung erst nach drei Wochen bemerkt, nützen vierzehn tägliche Sicherungen nichts – sie enthalten den Fehler alle bereits. Genau dafür existieren die wöchentlichen und monatlichen Stände.

Bei PBS gehört zur Bereinigung ein zweiter Schritt: Nach dem Entfernen alter Sicherungspunkte muss der Speicherplatz durch einen Aufräumlauf tatsächlich freigegeben werden. Wird dieser Lauf nicht regelmäßig ausgeführt, wächst der Speicherbedarf trotz korrekter Aufbewahrungsregeln weiter – ein häufiger Grund für volle Backup-Speicher.

Planen Sie Sicherungs- und Aufräumläufe zeitlich getrennt, damit sie sich nicht gegenseitig ausbremsen.

Sicherungen gegen Ransomware absichern

Angreifer suchen gezielt nach erreichbaren Sicherungen und löschen sie, bevor sie verschlüsseln. Für Proxmox-Umgebungen bedeutet das drei konkrete Maßnahmen:

Getrennte Zugangsdaten. Das Konto, mit dem der Host auf den Sicherungsspeicher zugreift, darf nur schreiben und lesen dürfen, was nötig ist – insbesondere kein Löschrecht auf bestehende Sicherungen . Bei PBS lässt sich das über eigene Benutzer mit eingeschränkten Rechten je Datenspeicher abbilden.
Unveränderbare oder getrennte Kopie. Mindestens ein Sicherungsstand muss so abgelegt sein, dass er auch mit vollen Administratorrechten auf dem Produktivsystem nicht gelöscht werden kann – etwa auf einem Ziel mit Schreibschutzfunktion oder auf einem Datenträger, der nach dem Lauf physisch getrennt wird.
Die offiziellen Funktionen des Proxmox Backup Servers umfassen unter anderem Zugriffskontrolle, Integritätsprüfung und externe Backups über Remote-Synchronisation oder Tape Backup.

Verschlüsselung. PBS kann Sicherungen bereits auf dem Quellsystem verschlüsseln. Das schützt die ausgelagerte Kopie, verlagert aber die Verantwortung auf die Schlüsselverwaltung: Ohne den Schlüssel ist die Sicherung wertlos. Der Schlüssel gehört an einen sicheren Ort außerhalb der gesicherten Umgebung – nicht auf den Server, den er absichern soll.

Den Gesamtzusammenhang beschreibt der Beitrag zum Ransomware Schutz .

Wiederherstellung: vom Einzelfall bis zur neuen Hardware

Die drei Wiederherstellungsfälle

Einzelne Datei. Der häufigste Fall im Alltag. Mit PBS lässt sich der Inhalt einer Sicherung direkt durchsuchen und eine einzelne Datei entnehmen, ohne die gesamte Maschine zurückzuspielen. Bei vzdump muss dafür das Archiv bereitgestellt werden.
Vollständige virtuelle Maschine. Zurückspielen auf denselben oder einen anderen Host. Wichtig: auf eine neue Maschinen-Nummer zurückspielen , statt die bestehende zu überschreiben, solange der Erfolg nicht bestätigt ist. So bleibt der alte Stand im Zweifel erhalten.
Kompletter Host nach Hardware-Ausfall. Der aufwendigste Fall und der einzige, den fast niemand testet.

Wiederanlauf auf neuer Hardware

Gerade für KMU ist das ein zentraler Vorteil von Proxmox Virtualisierung: Virtuelle Maschinen lassen sich unabhängig von einzelner Hardware sichern und auf neuer Hardware wiederherstellen. Damit wird ein Hardwarewechsel planbarer, solange Backup, Host-Konfiguration, Speicheranbindung und Restore-Tests sauber vorbereitet sind.

Fällt ein Host vollständig aus, läuft der Wiederaufbau in dieser Reihenfolge:

Proxmox VE auf der neuen Hardware installieren
Netzwerk und Speicheranbindung einrichten
Sicherungsspeicher als Datenquelle einbinden
Virtuelle Maschinen nach Priorität zurückspielen – zuerst jene, ohne die niemand arbeiten kann
Netzwerkeinstellungen und Firewallregeln prüfen
Funktion aus Anwendersicht testen, nicht nur den Startvorgang

Genau hier zahlt sich die gesicherte Host-Konfiguration aus. Ohne sie werden Schritte 2 und 5 zur Rekonstruktionsarbeit aus dem Gedächtnis.

Ein häufig übersehener Punkt: Die Wiederherstellung ist durch die Leseleistung des Sicherungsspeichers und die Netzwerkanbindung begrenzt.

Wer mehrere Terabyte über eine langsame Verbindung zurückholt, wartet Tage. Genau deshalb muss der Wiederanlauf einmal gemessen worden sein – die tatsächliche Dauer weicht regelmäßig erheblich von der Schätzung ab.

Überwachung und typische Fehler

Ein Sicherungssystem, dessen Meldungen niemand liest, ist ein ungesichertes System. Nötig sind: Benachrichtigung bei Fehlern an eine tatsächlich gelesene Adresse, regelmäßige Verifikation der gespeicherten Stände und ein Blick auf die Speicherauslastung, bevor der Speicher voll ist.

Die häufigsten Fehler in der Praxis:

Die Sicherung liegt auf demselben Host wie die virtuellen Maschinen
Es existiert keine Kopie außer Haus
Der Aufräumlauf wird nicht ausgeführt, der Speicher läuft unbemerkt voll
Fehlermeldungen gehen an ein Postfach, das niemand öffnet
Der Verschlüsselungsschlüssel liegt auf dem gesicherten System
Die Host-Konfiguration ist nicht gesichert
Die Wiederherstellung wurde nie vollständig getestet

Der letzte Punkt fasst alle anderen zusammen: Ein Test hätte jeden dieser Fehler aufgedeckt. Ein sinnvoller Rhythmus ist monatlich eine einzelne Datei und jährlich eine vollständige Maschine – mit Protokoll über Dauer und Ergebnis.

Fazit

Ein belastbares Proxmox Backup steht auf vier Punkten: einem Sicherungsziel außerhalb des Produktivhosts , einer Aufbewahrung, die länger reicht als die Zeit bis zur Entdeckung eines Problems , Sicherungen, die ein Angreifer nicht löschen kann , und einer regelmäßig getesteten Wiederherstellung .

Bei der Werkzeugwahl gilt: vzdump genügt für kleine Umgebungen mit wenigen Maschinen. Sobald mehrere virtuelle Maschinen gesichert werden oder eine längere Aufbewahrung gewünscht ist, spielt der Proxmox Backup Server oder veeam seine Stärken aus – vor allem durch inkrementelle Sicherung und die eingebaute Prüfung der gespeicherten Stände. In gemischten Umgebungen mit weiteren Plattformen kann eine übergreifende Lösung die bessere betriebliche Entscheidung sein.

Der entscheidende Satz bleibt derselbe wie bei jeder Datensicherung: Nicht die Frage "Haben wir ein Backup?" zählt, sondern "Wie lange dauert es, bis wir wieder arbeiten?" – und diese Antwort kennt nur, wer sie einmal gemessen hat.

FIGULI CONSULTING unterstützt KMU dabei, Proxmox-Umgebungen zuverlässig zu planen, zu betreiben und abzusichern: mit passender Backup-Strategie, sauberer Aufbewahrung, Auslagerung, Monitoring und regelmäßig getesteter Wiederherstellung. So wird Proxmox Backup nicht nur technisch eingerichtet, sondern als verlässlicher Teil des IT-Betriebs geführt.

Proxmox-Umgebung mit FIGULI besprechen

FAQ zum Proxmox Backup

Was ist der Unterschied zwischen vzdump und Proxmox Backup Server?

vzdump ist in Proxmox VE integriert und erstellt bei jedem Lauf eine Vollsicherung. Der Proxmox Backup Server ist ein eigenständiges System, das inkrementell sichert, mehrfach vorhandene Daten nur einmal speichert, Sicherungen prüfen kann und Verschlüsselung auf dem Quellsystem ermöglicht.

Wohin sollten Proxmox-Backups gespeichert werden?

Niemals auf denselben Host wie die virtuellen Maschinen. Geeignet sind ein Netzwerkspeicher oder ein dedizierter Backup-Server, idealerweise in einem anderen Brandabschnitt. Mindestens eine Kopie gehört außer Haus, ohne dauerhafte Verbindung zum selben Netz und mit eigenen Zugangsdaten.

Wie oft sollten virtuelle Maschinen gesichert werden?

Das richtet sich danach, wie viel Arbeit im Ernstfall wiederholt werden könnte. Für viele Systeme genügt eine tägliche Sicherung. Maschinen mit laufenden Buchungen oder hoher Änderungsrate brauchen mehrere Sicherungen pro Tag, Testsysteme deutlich weniger.

Wie lange sollten Sicherungen aufbewahrt werden?

Bewährt hat sich eine Staffelung: tägliche Stände für ein bis zwei Wochen, wöchentliche für vier bis sechs Wochen, monatliche für sechs bis zwölf Monate. Entscheidend ist, dass die Aufbewahrung länger reicht als die Zeit, bis ein schleichendes Problem auffällt.

Wie schützt man Proxmox-Backups vor Ransomware?

Durch getrennte Zugangsdaten ohne Löschrecht auf bestehende Sicherungen, mindestens eine unveränderbare oder physisch getrennte Kopie sowie Verschlüsselung mit einem Schlüssel, der außerhalb der gesicherten Umgebung verwahrt wird.

Warum wird der Speicher trotz Aufbewahrungsregeln voll?

Beim Proxmox Backup Server entfernt das Löschen alter Sicherungspunkte den Speicherplatz nicht sofort. Erst ein nachgelagerter Aufräumlauf gibt ihn frei. Wird dieser nicht regelmäßig ausgeführt, wächst der Speicherbedarf trotz korrekt eingestellter Aufbewahrung weiter.

Wie stelle ich einen kompletten Host nach einem Ausfall wieder her?

Proxmox VE auf neuer Hardware installieren, Netzwerk und Speicher einrichten, den Sicherungsspeicher einbinden und die virtuellen Maschinen nach Priorität zurückspielen. Voraussetzung ist eine gesicherte Host-Konfiguration, sonst müssen Netzwerk- und Firewalleinstellungen rekonstruiert werden.

Wie teste ich ein Proxmox Backup richtig?

Ein Proxmox Backup sollte nicht nur durch eine erfolgreiche Statusmeldung geprüft werden. Sinnvoll ist ein regelmäßiger Restore-Test: einzelne Datei zurückholen, eine virtuelle Maschine auf eine neue VM-ID wiederherstellen und anschließend Dienste, Netzwerk, Anmeldung und Anwendung aus Nutzersicht prüfen. Das Ergebnis sollte mit Dauer und Auffälligkeiten dokumentiert werden.

Proxmox Backup: Properly backing up and restoring VMs

Mon, 14 Sep 2026 05:52:29 GMT

Proxmox Backup: How to properly back up your virtual machines

Proxmox Backup backs up virtual machines and containers in a Proxmox environment, ensuring they can be fully restored following a failure, misconfiguration, or attack.

In practice, recovery efforts rarely fail due to technical issues. Instead, they fail because the backup is stored on the same server as the virtual machines , the retention period is too short , or no one has ever verified how long a full recovery actually takes. Green status indicators are not proof of a successful recovery.

This article is aimed at technically savvy decision-makers in small and medium-sized enterprises. It outlines the two backup methods available in Proxmox, highlights key considerations regarding storage selection and retention, explains how to protect backups against ransomware, and describes the process of restarting operations on new hardware.

vzdump, Proxmox Backup Server, or Veeam: The Three Approaches
What to Clarify Beforehand
Where Backups Should Go: Storage and Offloading
Configuring Retention and Cleanup Effectively
Protecting Backups Against Ransomware
Restoration: From Individual Cases to New Hardware
Monitoring and Common Errors
Conclusion
Proxmox Backup FAQ

vzdump, Proxmox Backup Server, or Veeam: the three options

Proxmox Virtual Environment (Proxmox VE) is a virtualization platform that enables enterprises to run virtual machines and containers on their own server hardware. There are various methods for backing up Proxmox that differ fundamentally from a technical standpoint.

vzdump is the built-in tool. With each run, it creates a complete archive of the virtual machine. It is simple, robust, and can be used without any additional systems.
Proxmox Backup Server (PBS) is a standalone system. It operates incrementally—transferring only changed data blocks—detects duplicate data to store it only once, and can encrypt backups directly on the source system.
Veeam Proxmox Backup , integrating Proxmox VE into the Veeam Data Platform and the new Veeam Software Appliance (VSA)—enables enterprises to efficiently back up workloads running on Proxmox VE. This backup solution simplifies data management by providing detailed insights into Proxmox VE backups. Its user-friendly interface and comprehensive support make Veeam an excellent complement to Proxmox VE.

To put this in context: the distinction here is between classic file-based vzdump backups (stored locally or on network targets) and backups made to a Proxmox Backup Server. While job management may appear similar in the Proxmox interface, the underlying storage methods differ significantly.

For environments with few virtual machines and sufficient storage space, vzdump is adequate. However, the difference becomes apparent when backing up multiple machines or requiring longer retention periods: a daily full backup routine over four weeks results in 28 complete copies, whereas an incremental approach covers the same period using only a fraction of that space.

Yet, the most practically significant advantage of PBS is not storage space, but verification : the system automatically checks whether stored backups remain readable and intact. This ensures that any corrupted backup data is detected before it is actually needed.

Proxmox Backup in Practice: Backup Job and Restore

In Proxmox VE, a backup job is typically created by navigating to **Datacenter** > **Backup** > **Add**. Here, you define the target storage, schedule, selection of virtual machines, and retention rules. Crucially, the target storage must not reside on the same host as the production machines.

For the recovery process, at least one test case should be documented: restoring a single file and restoring a virtual machine to a new VM ID, followed by verifying that services, networking, logins, and applications function correctly from the user's perspective. Only then does a successful backup notification become reliable proof of recoverability.

When a comprehensive backup solution makes sense

Both methods back up only Proxmox. If you also operate other systems—such as Windows servers on a different virtualization platform, physical machines, or Microsoft 365—you end up with multiple, separate backup environments, each with its own monitoring and recovery procedures.

In such mixed environments, a cross-vendor backup solution like Veeam may be more practical if you want to centrally monitor and restore Proxmox alongside other servers, physical machines, or Microsoft 365. The advantage lies in unified management, monitoring, and reporting across all systems, rather than in the backup of Proxmox itself.

The decision is therefore less technical than operational: How many different backup systems do you want to—and can you—manage in the long term?

What needs to be clarified before the technical implementation

Before every tool decision is made, there are two questions that must be answered for each virtual machine:

How much work can we lose? A machine with ongoing bookings can't take a day. A test system can last for a week. This results in the backup frequency.
How long should the recovery take? A server, without which no one can work, needs a faster process than an archive system. This results in the storage location and connection.

These two values determine costs and effort more than any product decision. They should be recorded for each machine - a simple table is sufficient.

Additionally to clarify: What happens outside the virtual machines? The Proxmox configuration itself, i.e. cluster information, network settings and firewall rules, is not in the VM backups. Without it, rebuilding a host takes significantly longer than necessary.

The article on cloud backup deals with how these questions fit into an overall concept.

Where the backup belongs: Storage and offloading

The most important rule is also the one most frequently broken: backups must not be stored in the same location as production data.

A backup stored on the local storage of the same host will not survive a hardware failure or an attack that compromises that host. It only protects against accidental deletion within a virtual machine.

Typical storage locations and their suitability:

On-premises network storage: a solid standard for daily backups, offering fast recovery. Crucially, the share must not be accessible using the same credentials as the production system.
Dedicated backup server: the recommended approach for PBS—ideally using dedicated hardware located in a separate fire compartment.
Rotating external storage media: simple and effective, provided the rotation actually takes place. In practice, this is often the weakest link, as it relies on human action.
Off-site storage: the only safeguard against fire, water damage, or theft at the primary site.

At least one copy must be stored off-site. This could be a secondary location, a partner’s backup server, or a cloud destination. It is vital that this copy is not permanently connected to the same network or accessible via the same credentials.

The article on cloud backup explains what off-site cloud storage looks like in practice. For multi-host environments, resilience is also a key factor—see the article on Proxmox clusters for details.

For small and medium-sized enterprises (SMEs) without a dedicated server team, ongoing maintenance is often the biggest hurdle: Are backups actually running? Are errors being detected? FIGULI CONSULTING plans and manages Proxmox environments—including backup systems—for SMEs; we monitor backup jobs and regularly verify that machines can indeed be restored.

Evaluate Proxmox backup solutions with FIGULI

Configure retention and cleanup settings appropriately.

The retention policy determines how far back you can go—and also the storage requirements.

A proven pattern for standard operations:

The specific values depend on the requirements. More important than the exact figures is the underlying principle: the retention period must exceed the time it realistically takes to discover a problem.

This applies particularly to insidious errors. If database corruption is only detected after three weeks, fourteen daily backups are useless—they all already contain the error. That is precisely why weekly and monthly backups exist.

With PBS, the cleanup process involves a second step: after removing old backup points, the storage space must actually be freed up by running a cleanup job. If this job is not executed regularly, storage consumption continues to rise despite correct retention rules — a common reason for backup storage filling up.

Schedule backup and cleanup jobs at different times so they do not slow each other down.

Configure retention and cleanup settings appropriately.

Attackers specifically search for accessible backups and delete them before encrypting them. For Proxmox environments this means three concrete measures:

Separate credentials. The account with which the host accesses the backup storage must only be allowed to write and read what is necessary - in particular, no deletion rights to existing backups. With PBS, this can be done using your own users with limited rights for each data storage.

Unchangeable or separate copy. At least one backup must be stored in such a way that it cannot be deleted on the productive system even with full administrator rights - for example on a target with a write protection function or on a data medium that is physically separated after the run.
The official functions of the Proxmox Backup Server include, among others, access control, integrity checking and external backups via remote synchronization or tape backup.

Encryption . PBS can encrypt backups already on the source system. This protects the outsourced copy, but shifts the responsibility to the key management: without the key, the backup is worthless. The key belongs in a safe place outside the secured environment - not on the server it is intended to secure.

The overall context is described in the article on ransomware protection .

Restoration: from individual cases to new hardware

The three cases of restoration

Individual file . The most common scenario in day-to-day operations. With PBS, you can search the contents of a backup directly and extract a single file without restoring the entire machine. With vzdump, the archive must be mounted to do this.
Complete virtual machine. Restoring to the same host or a different one. Important: restore to a new machine ID rather than overwriting the existing one until success is confirmed. This ensures the old state is preserved just in case.
Entire host after hardware failure. The most complex scenario—and the only one that hardly anyone tests.

Restart on new hardware

For SMEs in particular, this is a key advantage of Proxmox virtualization: virtual machines can be backed up independently of specific hardware and restored on new hardware. This makes hardware migration more predictable, provided that backups, host configuration, storage connectivity, and restore tests have been properly prepared.

If a host fails completely, the recovery process follows this sequence:

Install Proxmox VE on the new hardware
Configure network and storage connectivity
Mount the backup storage as a data source
Restore virtual machines based on priority—starting with those essential for operations
Check network settings and firewall rules
Test functionality from the user's perspective, not just the startup process

This is precisely where a saved host configuration pays off. Without it, steps 2 and 5 become a process of reconstruction based on memory.

One frequently overlooked point: the recovery process is limited by the read performance of the backup storage and the network connection.

Restoring several terabytes over a slow connection can take days. That is precisely why the recovery process needs to be measured at least once — the actual duration often differs significantly from estimates.

Monitoring and typical errors

A backup system whose notifications go unread is an unsecured system. What is required is: error notifications sent to an address that is actually monitored , regular verification of stored backups, and monitoring of storage utilization before capacity is reached.

Common errors encountered in practice:

The backup resides on the same host as the virtual machines
There is no off-site copy
The cleanup process is not executed, causing storage to fill up unnoticed
Error notifications are sent to an unmonitored mailbox
The encryption key is stored on the system being backed up
The host configuration is not backed up
Recovery has never been fully tested

The last point encompasses all the others: a test would have revealed every one of these errors. A sensible schedule involves restoring a single file monthly and a full machine annually—with a log documenting the duration and outcome.

Conclusion

A robust Proxmox backup strategy rests on four pillars: a backup destination separate from the production host ; a retention policy that extends beyond the time it takes to detect a problem; backups that an attacker cannot delete ; and a regularly tested recovery process .

When it comes to choosing tools, *vzdump* suffices for small environments with few machines. However, as soon as multiple virtual machines require backup or longer retention periods are needed, Proxmox Backup Server or Veeam demonstrate their strengths—particularly through incremental backups and built-in verification of stored backup states. In mixed environments involving other platforms, a cross-platform solution may be the better operational choice.

The crucial point remains the same as with any data backup strategy: it is not the question "Do we have a backup?" that matters, but rather "How long will it take us to get back to work?"—and the only way to know that answer is to have measured it.

FIGULI CONSULTING helps SMEs reliably plan, operate, and secure their Proxmox environments by implementing appropriate backup strategies, sound retention policies, off-site storage, monitoring, and regularly tested recovery procedures. This ensures that Proxmox backup is not merely a technical setup, but a reliable component of IT operations.

Discuss your Proxmox environment with FIGULI

FAQ Proxmox Backup

What is the difference between vzdump and Proxmox Backup Server?

vzdump is integrated into Proxmox VE and creates a full backup every time it runs. Proxmox Backup Server is a standalone system that performs incremental backups, uses deduplication (storing duplicate data only once), can verify backups, and enables encryption on the source system.

Where should Proxmox backups be stored?

Never on the same host as the virtual machines. Suitable options include network storage or a dedicated backup server, ideally located in a separate fire compartment. At least one copy should be kept off-site, without a permanent connection to the same network and using separate access credentials.

How often should virtual machines be backed up?

This depends on how much work would need to be redone in the event of a failure. A daily backup suffices for many systems. Machines processing ongoing transactions or experiencing high rates of change require multiple backups per day, whereas test systems need far fewer.

How long should backups be retained?

A tiered approach has proven effective: daily backups for one to two weeks, weekly backups for four to six weeks, and monthly backups for six to twelve months. The crucial factor is that the retention period exceeds the time it takes to detect a latent issue.

How can Proxmox backups be protected against ransomware?

By using separate access credentials that do not grant permission to delete existing backups, maintaining at least one immutable or physically isolated copy, and using encryption with a key stored outside the backed-up environment.

Why does storage fill up despite retention rules?

With Proxmox Backup Server, deleting old backup snapshots does not immediately free up storage space; a subsequent cleanup process is required to release it. If this process is not run regularly, storage usage continues to grow despite correctly configured retention settings.

How do I restore an entire host after a failure?

Install Proxmox VE on new hardware, configure networking and storage, mount the backup storage, and restore virtual machines based on priority. A backed-up host configuration is a prerequisite; otherwise, network and firewall settings will need to be reconstructed.

How do I properly test a Proxmox backup?

A Proxmox backup should not be verified solely based on a successful status notification. Conducting regular restore tests is advisable: restore individual files, restore a virtual machine to a new VM ID, and then verify services, networking, login functionality, and applications from a user's perspective. The results should be documented, noting the duration and any anomalies.

Ransomware Protection: Measures, Backup & Emergency Plan

Thu, 10 Sep 2026 10:05:04 GMT

Ransomware protection: How to protect your company from ransomware trojans

Ransomware protection encompasses all measures that prevent ransomware from infiltrating a system, limit its spread, and enable an orderly recovery in the event of an attack.

The most important point to remember: There is no such thing as 100% protection. Accepting this leads to the right question – not "How do we prevent every attack?" but "How do we ensure that an attack doesn't cost us our company?"

Because modern attacks do more than just encrypt data. Attackers often move undetected within the network for weeks, stealing data, taking over administrator accounts, and selectively deleting backups before striking . A virus scanner alone is not enough to withstand this.

This article shows how such an attack unfolds, which layers of protection are effective and in what order, why backups are the real insurance – and what needs to be done in the first hours after an infection.

What makes ransomware different today
How an attack unfolds: the attack chain
The four levels of protection at a glance
Why backups are the real insurance
Emergency plan: what to do in an emergency
Should you pay the ransom?
Checklist for ransomware protection
Conclusion – Ransomware protection
FAQ on ransomware protection

What makes ransomware different today

Ransomware is malicious software that encrypts data or locks systems to extort a ransom. In companies, there's almost always a second stage: the data is copied before encryption.

This gives the attacker two points of leverage. Even if you can restore the data cleanly, the threat of publishing internal documents, customer data, or calculations remains. A good backup solves the availability problem — it doesn't solve the confidentiality problem.

This leads to an important implication for planning: prevention and detection don't become less important just because backups exist. The earlier an attack is detected, the less data is compromised.

How an attack unfolds: the attack chain

Ransomware attacks are rarely a single event, but rather a chain reaction. The good news is that each link offers an opportunity to stop the attack.

The crucial factor is the time lag: Weeks often pass between the initial attack and the encryption. During this time, the attack is technically successful but not yet detectable.

There are three most common entry points:

a phishing email
a stolen or reused password without two-factor authentication
an unpatched vulnerability in an externally accessible system – typically a firewall, VPN connection, or remote access point.

The four protection levels at a glance

A viable concept operates on four levels. They build upon each other.

Level 1: Prevent entry

This is where the greatest leverage lies, because this is where the attack chain begins.

Multi-factor authentication for all accounts, especially for remote access and administrators. A stolen password should not be enough. Details can be found in the article on multi-factor authentication .
Priority updates for all externally accessible systems. How to manage this systematically is described in the article on patch management .
Email filters that check links and attachments, supplemented by clear reporting channels. See phishing protection .
Limit remote access: Remote maintenance services should never be exposed to the internet without protection.

Level 2: early detection

Since attackers can remain online for weeks, the detection time determines the extent of the damage.

Modern endpoint protection detects suspicious behavior, not just known malware—unusual scripts, unauthorized access to login credentials, mass file modifications — and can automatically disconnect a device from the network. The article on endpoint security explains why traditional antivirus software is no longer sufficient.

Equally important: Someone actually has to see the warnings. An alert system whose messages end up in an unread inbox is practically nonexistent.

Level 3: Limit spread

This level determines whether an infected notebook remains an incident or results in a total system failure.

Minimal access rights: No one works with administrator privileges in their daily tasks. Administrator accounts are separate, dedicated accounts.
Network segmentation: Servers, workstations, guest access, and — if applicable — production facilities should be located in separate network segments.
Access on demand: Not everyone needs access to every drive. This access level determines how much data a compromised account can encrypt.

Level 4: able to restore

The last layer is the only one that remains effective even when everything else has failed. It is therefore not a fallback position, but the foundation.

For SMEs without their own IT department, the difficulty usually lies not in selecting individual measures, but in operating them continuously and keeping them up-to-date. FIGULI CONSULTING builds these protective layers for Austrian companies, monitors them during operation, and regularly verifies that recovery is actually working.

Review your protection concept with FIGULI

Which ransomware protection measures are a priority for SMEs?

For SMEs, it's crucial not to start with too many individual measures at once. A clear order based on risk and impact is advisable:

Activate multi-factor authentication for administrators, Microsoft 365, and remote access
Pattern externally accessible systems such as firewalls, VPNs, and remote maintenance systems as a priority
Set up email protection and clear reporting channels for suspicious messages
Implement modern endpoint protection with behavioral detection
Consistently reduce administrator privileges in daily operations
Set up immutable backups with separate authentication and sufficient retention time
Test recovery and disaster recovery plans at least annually

This order helps to quickly mitigate the greatest risks without overwhelming the company with an overly large security project.

The four protection levels at a glance

All preventative measures reduce the likelihood of an attack. Only a backup determines the consequences.

That's why attackers specifically target backups. They search for accessible backup drives, connected network storage, and backup servers—and delete or encrypt them before encrypting the rest. A backup accessible with the same credentials as the production system is worthless at that moment.

Three characteristics make all the difference:

Immutability. Once created, backups cannot be deleted or modified for a defined period—not even with administrator privileges. This is the most effective single measure because it remains effective even if the entire environment is compromised.
Separation. The backup account is a separate account with two-factor authentication, not the administrator account used for daily operations. At least one copy is stored off-site.
Sufficient retention period. If the attack is discovered after three weeks, backups from the last seven days are useless—they already contain the malware. The retention period must cover the realistic time until detection.

How to practically implement off-site backups is discussed in the article on cloud backup .

And the point where things most often fail in practice: The recovery process must be tested. In a crisis, the crucial question isn't "Do we have a backup?" but "How long will it take before we can work again?" – and only someone who has tested the scenario knows the answer to that.

Emergency plan: what to do in an emergency

In an emergency, the most consequential mistakes are made in the first few minutes – usually out of reflex to want to do something quickly.

The first steps

Disconnect affected systems from the network , but do not power them down. Disconnect the network cable or disable Wi-Fi. Shutting down the system destroys traces in RAM that are crucial for the investigation.
Immediately remove backups from the network to prevent them from being compromised as well.
Do not attempt to restore the system yourself until it is clear how the attackers gained access. Restoring to an open environment will directly lead to a second attack.
Inform the relevant parties: management, IT partners, and, if applicable, your insurance company.
Document: What was noticed and when, which systems are affected, and what steps were taken?
Check reporting obligations . If personal data is affected, deadlines may apply under the General Data Protection Regulation (GDPR). The Austrian Data Protection Authority describes the obligations of data controllers .
The contact point for affected individuals in Austria is onlinesicherheit.gv.at , which provides information on cybercrime and reporting procedures.

What needs to be clarified beforehand

An emergency plan is only useful if it's readable without functioning IT systems . If it's stored as a file on an encrypted server, it's useless.

We use bookstack for this on a separate and independent server.

The following should be defined in advance:

Who makes the decisions, and who represents that person?
Phone numbers for IT partners and insurance companies – on paper.
In what order will systems be restored? What's needed first to get work started?
How will communication take place if email and the phone system fail?
What will we tell customers and suppliers?

This last point is regularly overlooked and determines the extent of reputational damage.

Should one pay a ransom?

Making a payment is generally discouraged for practical reasons:

Decryption is not guaranteed , and the tools provided are often slow or faulty.
Payment does not prevent the publication of already stolen data.
Those who pay are perceived as willing to pay and are more likely to be targeted again.
Depending on the recipient, legal issues may arise.

However, the decision is rarely made at a desk, but under pressure – when operations are at a standstill. This is precisely why a tested backup is the only way to confidently answer this question. Anyone who knows they will be operational again in two days isn't going to negotiate.

In a serious situation, consult your IT partner and, if applicable, your insurance company before contacting the attackers.

Ransomware protection checklist

Multi-factor authentication for all accounts, especially for remote access
Priority updates for externally accessible systems
Email filter with link and attachment checking
Remote maintenance not accessible from the internet without protection
Modern endpoint protection with behavioral detection
Designated person who actually reviews warning messages
No administrator rights for day-to-day operations
Network divided into separate areas
Access rights limited to what is absolutely necessary
Immutable backups with sufficient retention time
An off-site backup copy
Dedicated backup account with two-factor authentication
Restore fully tested at least once a year
Paper emergency plan with phone numbers and priority list
Employees trained, reporting procedures known

Conclusion

Ransomware protection isn't a single product, but rather a combination of four layers: preventing intrusion, early detection, limiting spread, and recovery.

Because there's no such thing as complete protection, the fourth layer determines the consequences. An immutable backup, retained for a sufficient period and regularly tested, is the most important safeguard against total system failure—but only if access is restricted, recovery procedures are practiced, and responsibilities are clearly documented.

Equally important is preparing for an emergency. The most serious mistakes occur in the first few hours: systems are shut down instead of disconnected, recovery is attempted before the point of entry is closed, or no one knows who to call.

FIGULI CONSULTING helps SMEs establish ransomware protection as an ongoing security process: with multi-factor authentication, patch management, endpoint security, secure backups, monitoring, and a practical emergency plan.

Discuss ransomware protection with FIGULI

FAQ on Ransomware Protection

How do you protect a company from ransomware?

Through the interplay of four layers: preventing entry via multi-factor authentication, updates, and email filters; early detection via modern endpoint protection; limiting spread via network segmentation and restricted privileges; and the ability to restore via immutable, tested backups.

Is a virus scanner sufficient against ransomware?

No. Traditional antivirus software primarily detects known malware. Modern attacks use stolen login credentials and legitimate system tools, making them technically undetectable. What's needed is the detection of suspicious behavior combined with access restrictions and secure backups.

How does a backup protect against ransomware?

Only if the backup itself is inaccessible. Crucial factors are immutable backups that cannot be deleted for a defined period, even with administrator privileges; a separate backup account with two-factor authentication; and a retention period longer than the time until detection.

What should you do first in the event of a ransomware attack?

Disconnect affected systems from the network, but do not shut them down, as this will cause traces in the RAM to be lost. Immediately remove backups from the network. Do not restore them until the point of entry is unknown. Then inform management and IT partners and document everything.

Should you pay the ransom?

This is generally not recommended. Decryption is not guaranteed, data that has already been stolen is not protected, and paying the ransom is seen as a sign of willingness to pay. A tested backup is the only way to answer this question without pressure.

How long are attackers in the network beforehand?

Several weeks often pass between the initial intrusion and the encryption. During this time, data is copied, other accounts are compromised, and backups are searched for. This is why early detection and a sufficiently long backup retention period are so important.

Are small businesses also affected?

Yes. Attacks are predominantly automated and look for accessible vulnerabilities, not for specific company sizes. Small businesses are often more vulnerable because updates, access control, and backups get lost in the shuffle of daily operations.

Which ransomware protection measures should SMEs implement first?

SMEs should first enable multi-factor authentication for administrators and remote access, regularly patch externally accessible systems, set up email protection and reporting channels, reduce administrator privileges, and implement immutable backups with restore tests. These measures quickly reduce the risk and form the basis for further layers of protection.

Ransomware Schutz: Maßnahmen, Backup & Notfallplan

Thu, 10 Sep 2026 10:05:02 GMT

Ransomware Schutz: So schützen Sie Ihr Unternehmen vor Erpressertrojanern

Ransomware Schutz umfasst alle Maßnahmen, die einen Erpressertrojaner am Eindringen hindern, seine Ausbreitung begrenzen und im Ernstfall eine geordnete Wiederherstellung ermöglichen.

Der wichtigste Satz vorweg: Es gibt keinen hundertprozentigen Schutz. Wer das akzeptiert, kommt zur richtigen Frage – nicht "Wie verhindern wir jeden Angriff?", sondern "Wie stellen wir sicher, dass ein Angriff uns nicht das Unternehmen kostet?"

Denn moderne Angriffe tun mehr als verschlüsseln. Die Angreifer bewegen sich oft wochenlang unbemerkt im Netzwerk, stehlen Daten, übernehmen Administratorkonten und löschen gezielt die Sicherungen , bevor sie zuschlagen. Ein Virenscanner allein hält dem nicht stand.

Dieser Artikel zeigt, wie ein solcher Angriff abläuft, welche Schutzschichten in welcher Reihenfolge sinnvoll sind, warum das Backup die eigentliche Versicherung ist – und was in den ersten Stunden eines Befalls zu tun ist.

Inhaltsverzeichnis

Was Ransomware heute anders macht
Wie ein Angriff abläuft: die Angriffskette
Die vier Schutzebenen im Überblick
Warum das Backup die eigentliche Versicherung ist
Notfallplan: was im Ernstfall zu tun ist
Sollte man Lösegeld zahlen?
Checkliste für den Ransomware Schutz
Fazit – Ransomware Schutz
FAQ zum Ransomware Schutz

Was Ransomware heute anders macht

Ransomware ist Schadsoftware, die Daten verschlüsselt oder Systeme sperrt, um Lösegeld zu erpressen. In Unternehmen kommt fast immer eine zweite Stufe hinzu: Die Daten werden vor der Verschlüsselung kopiert.

Damit hat der Angreifer zwei Hebel. Selbst wenn Sie sauber wiederherstellen können, bleibt die Drohung, interne Unterlagen, Kundendaten oder Kalkulationen zu veröffentlichen. Ein gutes Backup löst das Verfügbarkeitsproblem – es löst nicht das Vertraulichkeitsproblem .

Daraus folgt eine wichtige Konsequenz für die Planung: Prävention und Erkennung verlieren nicht an Bedeutung, nur weil Sicherungen vorhanden sind. Je früher ein Angriff auffällt, desto weniger Daten sind abgeflossen.

Wie ein Angriff abläuft: die Angriffskette

Ransomware ist selten ein einzelnes Ereignis, sondern eine Kette. Das ist die gute Nachricht: Jedes Glied bietet eine Gelegenheit, den Angriff zu stoppen.

Entscheidend ist der zeitliche Abstand: Zwischen Einstieg und Verschlüsselung liegen häufig Wochen . In dieser Zeit ist der Angriff technisch bereits erfolgreich, aber noch nicht sichtbar.

Der häufigste Einstieg sind drei Wege:

eine Phishing-Mail
ein gestohlenes oder wiederverwendetes Passwort ohne zweiten Faktor
eine ungepatchte Schwachstelle in einem von außen erreichbaren System – typischerweise Firewall, VPN-Zugang oder Fernwartung.

Die vier Schutzebenen im Überblick

Ein tragfähiges Konzept arbeitet auf vier Ebenen. Sie bauen aufeinander auf.

Ebene 1: Eintritt verhindern

Hier liegt der größte Hebel, weil hier die Angriffskette beginnt.

Mehrfaktor-Anmeldung für alle Konten, insbesondere für Fernzugriffe und Administratoren. Ein gestohlenes Passwort darf nicht genügen. Details im Beitrag zur Multifaktor-Authentifizierung .
Updates für alle von außen erreichbaren Systeme mit Vorrang. Wie sich das strukturiert betreiben lässt, beschreibt der Beitrag zum Patch Management .
E-Mail-Filter mit Prüfung von Links und Anhängen, ergänzt um klare Meldewege. Siehe Phishing Schutz .
Fernzugänge begrenzen: Fernwartungsdienste gehören niemals ungeschützt ins Internet.

Ebene 2: früh erkennen

Da die Angreifer wochenlang im Netz sind, entscheidet die Erkennungszeit über den Schaden.

Moderner Endgeräteschutz erkennt verdächtiges Verhalten statt nur bekannter Schadsoftware – ungewöhnliche Skripte, Zugriffe auf Zugangsdaten, massenhafte Dateiänderungen – und kann ein Gerät automatisch vom Netz trennen. Warum klassischer Virenschutz dafür nicht mehr genügt, erklärt der Beitrag zur Endpoint Security .

Ebenso wichtig: Jemand muss die Warnmeldungen tatsächlich sehen. Ein Alarmsystem, dessen Meldungen in einem ungelesenen Postfach landen, existiert praktisch nicht.

Ebene 3: Ausbreitung begrenzen

Diese Ebene entscheidet, ob ein befallenes Notebook ein Zwischenfall bleibt oder zum Totalausfall wird.

Sparsame Rechte: Niemand arbeitet im Tagesgeschäft mit Administratorrechten. Administratorkonten sind eigene, getrennte Konten.
Netzwerktrennung: Server, Arbeitsplätze, Gästezugang und – falls vorhanden – Produktionsanlagen gehören in getrennte Netzbereiche.
Zugriffe nach Bedarf: Nicht jede Person braucht Zugriff auf jedes Laufwerk. Genau dieser Zugriff bestimmt, wie viel ein übernommenes Konto verschlüsseln kann.

Ebene 4: wiederherstellen können

Die letzte Ebene ist die einzige, die auch dann noch wirkt, wenn alles andere versagt hat. Sie ist deshalb keine Rückfallposition, sondern das Fundament.

Für KMU ohne eigene IT-Abteilung liegt die Schwierigkeit meist nicht in der Auswahl einzelner Maßnahmen, sondern darin, sie dauerhaft zu betreiben und im Zusammenspiel aktuell zu halten. FIGULI CONSULTING baut diese Schutzschichten für österreichische Unternehmen auf, überwacht sie im laufenden Betrieb und prüft regelmäßig, ob die Wiederherstellung tatsächlich funktioniert.

Schutzkonzept mit FIGULI prüfen

Welche Maßnahmen für Ransomware Schutz haben für KMU Priorität?

Für KMU ist entscheidend, nicht mit zu vielen Einzelmaßnahmen gleichzeitig zu starten. Sinnvoll ist eine klare Reihenfolge nach Risiko und Wirkung:

Mehrfaktor-Anmeldung für Administratoren, Microsoft 365 und Fernzugänge aktivieren
von außen erreichbare Systeme wie Firewall, VPN und Fernwartung priorisiert patchen
E-Mail-Schutz und klare Meldewege für verdächtige Nachrichten einrichten
modernen Endgeräteschutz mit Verhaltenserkennung einsetzen
Administratorrechte im Alltag konsequent reduzieren
unveränderbare Backups mit getrennter Anmeldung und ausreichender Vorhaltezeit aufsetzen
Wiederherstellung und Notfallplan mindestens einmal jährlich testen

Diese Reihenfolge hilft, schnell die größten Risiken zu reduzieren, ohne das Unternehmen mit einem zu großen Sicherheitsprojekt zu überfordern.

Die vier Schutzebenen im Überblick

Alle Präventionsmaßnahmen senken die Wahrscheinlichkeit eines Angriffs. Nur das Backup entscheidet über die Folgen.

Deshalb greifen Angreifer Sicherungen gezielt an. Sie suchen nach erreichbaren Sicherungslaufwerken, verbundenen Netzwerkspeichern und Backup-Servern – und löschen oder verschlüsseln sie, bevor sie den Rest verschlüsseln. Ein Backup, das mit denselben Zugangsdaten erreichbar ist wie das Produktivsystem, ist in diesem Moment wertlos.

Drei Eigenschaften machen den Unterschied:

Unveränderbarkeit. Einmal geschriebene Sicherungen lassen sich für einen festgelegten Zeitraum nicht löschen oder verändern – auch nicht mit Administratorrechten. Das ist die wirksamste einzelne Maßnahme, weil sie selbst bei vollständiger Übernahme der Umgebung greift.
Trennung. Das Backup-Konto ist ein eigenes Konto mit zweitem Faktor, nicht das Administratorkonto des Tagesgeschäfts. Mindestens eine Kopie liegt außer Haus.
Ausreichende Vorhaltezeit. Wird der Angriff nach drei Wochen entdeckt, nützen Sicherungen der letzten sieben Tage nichts – sie enthalten die Schadsoftware bereits. Die Aufbewahrungsdauer muss die realistische Zeit bis zur Entdeckung abdecken.

Wie sich eine Sicherung außer Haus praktisch umsetzen lässt, behandelt der Beitrag zum Cloud Backup .

Und der Punkt, an dem es in der Praxis am häufigsten scheitert: Die Wiederherstellung muss getestet sein. Nicht die Frage "Haben wir ein Backup?" entscheidet im Ernstfall, sondern "Wie lange dauert es, bis wir wieder arbeiten können?" – und diese Antwort kennt nur, wer es einmal durchgespielt hat.

Notfallplan: was im Ernstfall zu tun ist

Im Ernstfall werden die folgenreichsten Fehler in den ersten Minuten gemacht – meist aus dem Reflex, schnell etwas tun zu wollen.

Die ersten Schritte

Betroffene Systeme vom Netz trennen , aber nicht ausschalten . Trennen Sie das Netzwerkkabel oder deaktivieren Sie das WLAN. Ein Herunterfahren vernichtet Spuren im Arbeitsspeicher, die für die Aufklärung wichtig sind.
Sicherungen sofort vom Netz nehmen , damit sie nicht ebenfalls betroffen werden.
Nicht auf eigene Faust wiederherstellen , solange unklar ist, wie die Angreifer hereingekommen sind. Eine Wiederherstellung in eine noch offene Umgebung führt direkt zum zweiten Angriff.
Zuständige informieren: Geschäftsführung, IT-Partner, gegebenenfalls Versicherung.
Dokumentieren: Was wurde wann bemerkt, welche Systeme sind betroffen, welche Schritte wurden gesetzt?
Meldepflichten prüfen. Sind personenbezogene Daten betroffen, können Fristen nach der Datenschutz-Grundverordnung laufen. Die österreichische Datenschutzbehörde beschreibt die Pflichten von Verantwortlichen .
Anlaufstelle für Betroffene in Österreich ist zudem onlinesicherheit.gv.at mit Hinweisen zu Cyberkriminalität und Meldewegen.

Was vorab geklärt sein muss

Ein Notfallplan taugt nur, wenn er ohne funktionierende IT lesbar ist. Liegt er als Datei auf dem verschlüsselten Server, ist er nutzlos.

Wir nutzen dafür bookstack auf einen eigenständigen und unabhängigen Server.

Vorab festgelegt sein sollten:

Wer entscheidet, und wer vertritt diese Person?
Telefonnummern von IT-Partner und Versicherung – auf Papier
In welcher Reihenfolge kommen Systeme zurück? Was ist zuerst nötig, damit überhaupt gearbeitet werden kann?
Wie wird kommuniziert, wenn E-Mail und Telefonanlage ausfallen?
Was sagen wir Kunden und Lieferanten?

Der letzte Punkt wird regelmäßig vergessen und entscheidet über den Reputationsschaden.

Sollte man Lösegeld zahlen?

Von einer Zahlung wird allgemein abgeraten, und zwar aus praktischen Gründen:

Eine Entschlüsselung ist nicht garantiert , und gelieferte Werkzeuge arbeiten oft langsam oder fehlerhaft
Die Zahlung verhindert keine Veröffentlichung bereits gestohlener Daten
Wer zahlt, gilt als zahlungsbereit und wird häufiger erneut angegriffen
Je nach Empfänger können rechtliche Fragen entstehen

Die Entscheidung fällt allerdings selten am Schreibtisch, sondern unter Druck – wenn der Betrieb steht. Genau deshalb ist ein getestetes Backup die einzige Position, aus der sich diese Frage souverän beantworten lässt. Wer weiß, dass er in zwei Tagen wieder arbeitsfähig ist, verhandelt nicht.

Ziehen Sie im Ernstfall Ihren IT-Partner und gegebenenfalls die Versicherung hinzu, bevor Sie Kontakt zu den Angreifern aufnehmen.

Checkliste für den Ransomware Schutz

Mehrfaktor-Anmeldung für alle Konten, besonders für Fernzugriffe
Updates für von außen erreichbare Systeme mit Vorrang
E-Mail-Filter mit Link- und Anhangsprüfung
Fernwartung nicht ungeschützt aus dem Internet erreichbar
moderner Endgeräteschutz mit Verhaltenserkennung
benannte Person, die Warnmeldungen tatsächlich prüft
keine Administratorrechte im Tagesgeschäft
Netzwerk in getrennte Bereiche unterteilt
Zugriffsrechte auf das tatsächlich Nötige beschränkt
unveränderbare Sicherungen mit ausreichender Vorhaltezeit
eine Sicherungskopie außer Haus
eigenes Backup-Konto mit zweitem Faktor
Wiederherstellung mindestens einmal jährlich vollständig getestet
Notfallplan auf Papier, mit Telefonnummern und Reihenfolge
Mitarbeitende geschult, Meldeweg bekannt

Fazit

Ransomware Schutz ist kein einzelnes Produkt, sondern ein Zusammenspiel aus vier Ebenen: Eintritt verhindern, früh erkennen, Ausbreitung begrenzen und wiederherstellen können.

Weil es keinen vollständigen Schutz gibt, entscheidet die vierte Ebene über die Folgen. Ein unveränderbares, ausreichend lange vorgehaltenes und regelmäßig getestetes Backup ist die wichtigste Absicherung gegen einen Totalausfall – aber nur dann, wenn Zugänge getrennt, Wiederherstellungen geprobt und Verantwortlichkeiten klar dokumentiert sind.

Ebenso wichtig ist die Vorbereitung auf den Ernstfall. Die schwerwiegendsten Fehler entstehen in den ersten Stunden: Systeme werden ausgeschaltet statt getrennt, es wird wiederhergestellt, bevor die Einbruchstelle geschlossen ist, oder niemand weiß, wen er anrufen soll.

FIGULI CONSULTING unterstützt KMU dabei, Ransomware Schutz als laufenden Sicherheitsprozess aufzusetzen: mit Mehrfaktor-Anmeldung, Patch Management, Endpoint Security, abgesicherten Backups, Monitoring und einem praxistauglichen Notfallplan.

Ransomware Schutz mit FIGULI besprechen

FAQ zum Ransomware Schutz

Wie schützt man ein Unternehmen vor Ransomware?

Durch das Zusammenspiel von vier Ebenen: Eintritt verhindern über Mehrfaktor-Anmeldung, Updates und E-Mail-Filter, früh erkennen über modernen Endgeräteschutz, Ausbreitung begrenzen über Netzwerktrennung und sparsame Rechte sowie wiederherstellen können über unveränderbare, getestete Backups.

Reicht ein Virenscanner gegen Ransomware?

Nein. Klassischer Virenschutz erkennt vor allem bekannte Schadsoftware. Moderne Angriffe nutzen gestohlene Zugangsdaten und legitime Systemwerkzeuge und wirken dadurch technisch unauffällig. Nötig ist eine Erkennung verdächtigen Verhaltens in Kombination mit Zugriffsbeschränkungen und gesicherten Backups.

Wie schützt ein Backup vor Ransomware?

Nur, wenn es selbst nicht erreichbar ist. Entscheidend sind unveränderbare Sicherungen, die für einen festgelegten Zeitraum auch mit Administratorrechten nicht gelöscht werden können, ein getrenntes Backup-Konto mit zweitem Faktor und eine Vorhaltezeit, die länger ist als die Zeit bis zur Entdeckung.

Was ist bei einem Ransomware-Befall zuerst zu tun?

Betroffene Systeme vom Netz trennen, aber nicht ausschalten, da sonst Spuren im Arbeitsspeicher verloren gehen. Sicherungen sofort vom Netz nehmen. Nicht wiederherstellen, solange die Einbruchstelle unbekannt ist. Anschließend Geschäftsführung und IT-Partner informieren und alles dokumentieren.

Sollte man Lösegeld zahlen?

Davon wird allgemein abgeraten. Eine Entschlüsselung ist nicht garantiert, bereits gestohlene Daten werden dadurch nicht geschützt, und wer zahlt, gilt als zahlungsbereit. Ein getestetes Backup ist die einzige Position, aus der sich diese Frage ohne Druck beantworten lässt.

Wie lange sind Angreifer vorher im Netzwerk?

Zwischen dem ersten Eindringen und der Verschlüsselung liegen häufig mehrere Wochen. In dieser Zeit werden Daten kopiert, weitere Konten übernommen und Sicherungen gesucht. Deshalb sind frühe Erkennung und eine ausreichend lange Backup-Vorhaltezeit so wichtig.

Sind auch kleine Unternehmen betroffen?

Ja. Angriffe erfolgen überwiegend automatisiert und suchen nach erreichbaren Schwachstellen, nicht nach bestimmten Unternehmensgrößen. Kleine Betriebe sind oft leichter angreifbar, weil Updates, Rechtevergabe und Backup-Absicherung im Tagesgeschäft untergehen.

Welche Ransomware-Schutzmaßnahmen sollten KMU zuerst umsetzen?

KMU sollten zuerst Mehrfaktor-Anmeldung für Administratoren und Fernzugänge aktivieren, von außen erreichbare Systeme regelmäßig patchen, E-Mail-Schutz und Meldewege einrichten, Administratorrechte reduzieren und unveränderbare Backups mit Restore-Tests umsetzen. Diese Maßnahmen senken das Risiko schnell und bilden die Grundlage für weitere Schutzschichten.

Business management system for SMEs: Functions & selection

Fri, 04 Sep 2026 05:01:07 GMT

Merchandise management system for SMEs: Functions, costs & selection

An merchandise management system consolidates purchasing, warehousing, and sales into a single database. It shows at any time which items are available, which orders are open, and which documents belong to a given order.

For many small and medium-sized enterprises (SMEs), the purchase of such a system becomes a pressing issue when Excel spreadsheets and separate programs no longer work together: inventory levels are inaccurate, prices are inconsistent, and delivery commitments cannot be reliably met. The real challenge rarely lies in the software itself, but rather in data quality, interfaces, and processes.

This article explains which functions an merchandise management system for SMEs truly needs, how it differs from an ERP system, what costs and project duration you should expect, and how to objectively compare providers in a demo. The focus is on Austrian SMEs in the retail, e-commerce, manufacturing, and service sectors.

What is an merchandise management system?
merchandise management system or ERP: What's the difference?
What functions does an merchandise management system need for SMEs?
Industry check: Retail, e-commerce, manufacturing, and services
Selection criteria: Cloud or on-premise, interfaces, usability
How much does an merchandise management system cost for SMEs?
Step-by-step implementation: from requirements to go-live
Conclusion
FAQ about merchandise management systems

What is an merchandise management system?

An merchandise management system often abbreviated as ERP ( enterprise resource planning) or business management software , centrally manages a company's flow of goods : from purchasing and warehousing to sales, delivery, and invoicing. Item master data, inventory levels, prices, and documents are stored in a single database instead of being scattered across multiple files and programs.

The practical benefit arises from data reuse: An item is entered once and is subsequently available for purchase orders, goods receipts, quotations, delivery notes, and invoices. This eliminates duplicate data entry, and the figures in purchasing, warehousing, and sales are consistent.

An ERP system typically provides:

a central database for items, customers, suppliers, and prices
traceable goods movements for receipts, transfers, and issues
a seamless document chain from quotation to invoice
reliable inventory levels as a basis for planning and delivery commitments
reports on sales, inventory coverage, and open transactions

How to tell that Excel is no longer enough

Excel is manageable as long as only a few people are using it and the number of items remains manageable. It becomes problematic as soon as multiple employees make changes simultaneously.

Typical warning signs include:

Stock levels in the list regularly differ from the actual inventory;
the same items or customers exist multiple times with different spellings;
prices and discounts are researched anew for each offer;
the status of an order can only be clarified by asking;
inventory counts are lengthy and reveal significant discrepancies;
reports are created manually and quickly become outdated.

If several of these points apply, the problem is usually not a lack of diligence, but rather the lack of a common data source .

Which results are realistic

An enterprise resource planning (ERP) system accelerates processes primarily through standardization. Order processing becomes faster because items, prices, availability, and shipping data are consistently available, and documents are generated directly from the process.

Realistically, this translates to less manual data entry, fewer queries between sales and the warehouse, and significantly shorter inventory counts. However, it's unrealistic to expect that unclear responsibilities or inconsistent pricing logic will be resolved solely through software. An ERP system maps processes; it doesn't replace them.

Merchandise management system or ERP: What is the difference?

An merchandise management system covers the flow of goods and the document chain. An ERP system (Enterprise Resource Planning, i.e., company-wide software for resource planning) expands this core functionality to include other areas such as financial accounting, controlling, human resources, and planning.

For SMEs, this distinction is crucial because it determines the scope, costs, project duration, and organizational effort. A system that is too large complicates simple processes, while one that is too small will later hinder growth.

In practice, the lines are blurred. Many modern systems for SMEs start as merchandise management systems and can be expanded modularly to include accounting or project functions. This phased approach reduces risk and initial costs: you first stabilize your core processes and only expand when the need actually arises.

If the boundaries are unclear within your own company, it's worth taking a structured look at your processes and interfaces before comparing providers. FIGULI CONSULTING supports small and medium-sized enterprises in selecting, implementing, and operating merchandise management and IT infrastructure, determining which system scope best suits your operations. This way, you avoid paying for modules that no one uses in daily practice.

And what about blue office?

blue office is modular – it can be used as both an merchandise management system and an ERP system , and you only pay for the features you need.

Clarify your requirements with FIGULI.

What functions does an enterprise resource planning (ERP) system need for SMEs?

It is not the length of the function list that determines the success of the project, but rather the fit with your processes and data . Prioritization into must-have, target- and optional-requirements has proven successful. This means the comparison remains objective and the introduction does not overwhelm the organization or budget.

Essential, must have functions: the basis for daily operation

Essential functions ensure smooth daily operations. These include a clean item master with units, packaging sizes, and—where necessary—variant logic, as well as merchandise management for each storage location.

In purchasing, you need supplier management, order processing, goods receipt, and invoice verification. In sales, the entire document chain, from quotation to order and delivery note to invoice and credit note, must be seamless, including pricing and terms logic.

Should have functions: faster noticeable benefits

Target functions improve efficiency and data quality most quickly. Barcode scanning and mobile warehouse processes significantly reduce typing errors and accelerate goods receipt, relocation, order picking, and inventory because data is recorded directly at the shelf instead of later at a desk.

The article on mobile data capture in the warehouse demonstrates how this translates into practical benefits. It makes sense to first implement automations that save time on a daily basis—not those that appear most impressive in a demo.

Optional features: important as soon as requirements increase

These functions become relevant when regulatory or sales requirements increase. Batch and serial numbers are crucial for traceability, warranty processing, and quality management, for example, in the food industry, medical devices, or electronics.

A variant matrix is worthwhile as soon as a product exists in many variations, such as size and color—otherwise, the master data multiplies. Consider whether these features are needed now or only in two to three years. Both are legitimate decisions; they should simply be made thoughtfully.

Industry check: Trade, e-commerce, craftsmen, production and services

The best feature list is of little use if the system doesn't fit the business model. Pricing logics, data volumes, and warehousing processes vary considerably depending on the industry.

Trade and wholesale

Speed and terms are paramount here. Customer-specific pricing, tiered discounts, promotional periods, and minimum order quantities must be reliably managed.

Reservations and backorder management are equally important: If an item is not fully available, the system must accurately reflect the partial delivery and automatically track the backorder. Otherwise, you'll end up with precisely the manual wish lists you were trying to eliminate.

E-commerce with shop integration

In online retail, data quality is crucial. Product data, variants, images, and attributes must be consistent because they are directly visible in the shop.

The key is up-to-date inventory across all channels : If you sell through your online shop, marketplace, and physical store, every sale must be immediately reflected in the shared inventory. Otherwise, you risk overselling and cancellations. In the demo, clearly explain how often inventory synchronization occurs and what happens in the event of an interface failure.

Craftsmen

For craftsmen, mobile access and time tracking are essential, in addition to order processing and documentation. They typically require pre- and post-calculation for labor and materials.

When using applications for CAD, measurement, or tendering, interfaces for import and export (Datanorm, ÖNORM A 2063, GAEB) are crucial.

Production

Bills of materials are crucial in production. The system should be able to track material consumption, intermediate storage, completion reports, and feedback from production.

Depending on the product, scrap, rework, and serial numbers may also be relevant. It's essential to realistically assess whether merchandise management with manufacturing functions is sufficient or whether true production planning is necessary—the latter being significantly more complex to implement and maintain.

Service

Service companies such as agencies, consultancies, or craft businesses have little need for storage, but they do require project management, time tracking, and billing. A traditional, retail-oriented system is often unsuitable for them. This article on ERP for service providers discusses which functions are more relevant.

Selection criteria: Cloud or on-premise, interfaces, usability

In addition to the functions, technical and organizational criteria determine the long-term benefits: operating model, interface quality, usability, rights concept and support.

Cloud or On-Premise

Cloud means the software runs in the provider's data center and you access it via a browser.
On-premise means operation on your own company's servers.

For most SMEs without their own IT department, cloud computing is the more pragmatic approach. On-premises solutions remain viable if machines, point-of-sale systems, or legacy systems are tightly integrated locally or if offline operation is required.

Regardless of the model, it's crucial to establish binding backup and recovery procedures. Even with cloud software, the question of how quickly you can resume operations after a failure or accidental deletion is a valid one. The article on cloud strategy describes what a sound policy decision on this should look like.

If personal data is processed—which is always the case with customer data — you need a data processing agreement with the provider in accordance with the GDPR. The Austrian Data Protection Authority summarizes the obligations of data controllers .

Check interfaces, don't just query them

Interfaces are often the critical success factor. For Austrian SMEs, the transfer of data to accounting and tax advisors is particularly important, in practice usually to BMD or RZL , or via a standardized export interface.

Typically relevant interfaces include:

Accounting and tax advisors, such as BMD or RZL
Online shops and marketplaces
Point-of-sale systems with mandatory electronic cash registers
Shipping service providers for labels and shipment tracking
E-invoicing, especially for public sector contracts

Don't just query interfaces, test them with real test data : Is the field mapping correct? Are tax codes transferred correctly? What happens in case of an error, and where do you see it? An interface that only exists in the data sheet will cost weeks later. The Austrian Federal Economic Chamber offers guidance on procuring suitable e-invoicing software.

Evaluate usability in everyday life

Usability isn't revealed in sales presentations, but in everyday use: clear interfaces, fast search, sensible default values, and easily understandable statuses.

Therefore, test with the people who will be using it daily – one person each from purchasing, warehousing, and sales. Have them click through a typical process themselves, instead of just having it demonstrated. How many clicks does a standard order require? Where does it get bogged down? This observation reveals more than any list of features.

How much does an enterprise resource planning (ERP) system cost for SMEs?

The costs are comprised of several components. Experience shows that the greatest expenses arise not from the license, but from data quality and integrations .

How long the introduction will take

The duration depends on process maturity, data quality, and the scope of integration. A streamlined project with standard processes and few interfaces can go live in just a few weeks. Multiple warehouses, shop integration, and custom pricing logic significantly extend the timeframe.

Plan for a stabilization phase after go-live. Unforeseen issues will arise in the first few weeks. Those who plan for this period will experience it as normal rather than a crisis. A detailed description of the project phases can be found in the article on ERP implementation .

Avoid hidden costs

Hidden costs almost always arise from data issues: duplicates, inconsistent units, missing EAN codes, unclear storage locations, and inconsistent pricing logic.

This can be avoided through early data analysis . Review your master data before inviting vendors. Often, this is the most tedious but most effective preliminary work of the entire project—and it's beneficial regardless of the system you choose.

In Austria, SMEs can also access subsidized consulting through the KMU.DIGITAL program for digitization projects. It's worth exploring this option before starting a project.

Step-by-step introduction: from requirements to go-live

A successful implementation is achieved through clear phases, binding responsibilities, and rigorous testing. SMEs benefit from a pragmatic approach: first stabilize core processes, then expand.

Define goals and scope, assign responsibilities
Document requirements as concrete use cases
Conduct vendor demos with identical test cases
Run a pilot project with real data and clear acceptance criteria
Go live with enhanced support readiness
Stabilize and gradually optimize

Migration from Excel and legacy systems

The migration begins with a data inventory : Which files exist, which fields are reliable, and which source should be considered authoritative in case of doubt?

This is followed by data cleansing: removing duplicates, defining article number logic, standardizing units, and structuring storage locations. Finally, perform a test import with samples before migrating the complete dataset.

Demo checklist for comparing providers

Have all vendors demonstrate the same processes. Only then will the results be comparable:

Order through invoice, including partial deliveries and backorders
Goods receipt with storage in a specific warehouse location
Reservation logic for low stock levels
Returns with credit notes
Pricing with tiered pricing and customer-specific conditions
Transfer to accounting with real test data
An evaluation of open transactions or delivery capability

Typical mistakes in selection and implementation

Projects most often fail due to excessive scope, unclear responsibilities, and a selection of functions that lacks process relevance.

Equally critical: Data migration starts too late, interfaces are never tested with real data, and training is relegated to the last week before go-live. Binding acceptance criteria, a test plan with deadlines, and early user involvement reliably prevent these issues.

For SMEs that cannot manage selection and implementation on their own, FIGULI CONSULTING provides support throughout the entire process: from process analysis and realistic interface testing to operation. With blue office , FIGULI relies on an industry-independent solution tailored to small and medium-sized enterprises that can be set up and trained relatively quickly – a significant cost factor, as a large portion of the project budget typically goes toward implementation and training.

View blue office for ERP

Conclusion

An merchandise management system provides the foundation for managing purchasing, warehousing, and sales using a consistent data basis. Four key elements are crucial for success: a clear distinction between merchandise management and ERP, a feature list prioritized as essential, and desirable, robustly tested interfaces to accounting, the online shop, and shipping, and an implementation plan that takes data migration and testing seriously.

The most important lever lies before the software decision: those who understand their processes and master data make faster choices, negotiate more effectively, and implement more smoothly. Skipping this step will cost them later in the project.

FIGULI CONSULTING supports Austrian SMEs in structuring requirements, realistically evaluating interfaces, and planning implementation to ensure stable operations.

Discuss your selection with FIGULI CONSULTING

FAQ about the merchandise management system

What is an merchandise management system?

An merchandise management system centrally controls a company's flow of goods: purchasing, warehousing, sales, delivery, and invoicing. Item, inventory, and document data are stored in a common database, ensuring all departments work with the same figures and eliminating duplicate data entry.

How do merchandise management systems and ERP systems differ?

An merchandise management system focuses on the flow of goods and the document chain. An ERP system expands this core functionality to include areas such as financial accounting, controlling, human resources, and planning. For SMEs, a phased approach is often beneficial: first, stabilize the merchandise management system, and later expand it modularly.

What are the minimum functions an SME needs?

Essential features include an item master, merchandise management for each storage location, purchasing with goods receipt, sales with a complete document chain from quotation to invoice, inventory counting, and standard reports. Barcode support, as well as roles and permissions, provide additional benefits early on.

Cloud or on-premise: Which is better for an SME?

For SMEs without their own IT department, the cloud is usually more practical because operation and updates are handled by the provider. On-premises solutions remain viable if point-of-sale systems, machinery, or legacy systems are tightly integrated locally. A stable internet connection is a prerequisite for cloud computing.

Which interfaces are important in Austria?

The key interface is the transfer to accounting, usually to BMD or RZL, or via a standardized export interface. Depending on the business model, online shops, point-of-sale systems, shipping providers, and e-invoicing may also be involved. Test each interface beforehand with real test data.

How much does an ERP system cost?

In addition to the license or subscription, there are costs for implementation, data migration, interfaces, training, and ongoing support. The greatest effort is usually required for data quality and integrations, not the software itself. A reliable estimate is only possible after clarifying processes and interfaces.

How long does implementation take?

Streamlined projects with standard processes and few interfaces can go live in a few weeks. Multiple warehouses, shop integrations, or custom pricing logic significantly extend the implementation time. Plan for a few additional weeks of stabilization after the go-live.

When does an merchandise management system make sense?

An merchandise management system makes sense when stock levels, prices, orders, or delivery commitments can no longer be reliably managed using Excel and individual solutions. Typical signs include duplicate master data, manual document chains, unclear order statuses, lengthy inventory counts, and error-prone interfaces between the warehouse, sales, and accounting departments.

Warenwirtschaftssystem für KMU: Funktionen & Auswahl

Fri, 04 Sep 2026 05:01:06 GMT

Warenwirtschaftssystem für KMU: Funktionen, Kosten & Auswahl

Ein Warenwirtschaftssystem bündelt Einkauf, Lager und Verkauf in einer gemeinsamen Datenbasis. Es zeigt jederzeit, welche Artikel verfügbar sind, welche Bestellungen offen sind und welche Belege zu einem Auftrag gehören.

Für viele kleine und mittlere Unternehmen wird die Anschaffung dann zum Thema, wenn Excel-Listen und getrennte Programme nicht mehr zusammenpassen: Bestände stimmen nicht, Preise sind uneinheitlich, Lieferzusagen lassen sich nicht sicher einhalten. Der Aufwand steckt dabei selten in der Software selbst, sondern in Datenqualität, Schnittstellen und Prozessen .

Dieser Artikel zeigt, welche Funktionen ein Warenwirtschaftssystem für KMU wirklich braucht, wie es sich von einem ERP-System unterscheidet, womit Sie bei Kosten und Projektdauer rechnen sollten und wie Sie Anbieter in einer Demo objektiv vergleichen. Der Fokus liegt auf österreichischen KMU aus Handel, E-Commerce, Produktion und Dienstleistung.

Inhaltsverzeichnis

Was ist ein Warenwirtschaftssystem?
Warenwirtschaftssystem oder ERP: Wo liegt der Unterschied?
Welche Funktionen ein Warenwirtschaftssystem für KMU braucht
Branchen-Check: Handel, E-Commerce, Produktion und Dienstleistung
Auswahlkriterien: Cloud oder On-Premise, Schnittstellen, Bedienbarkeit
Was kostet ein Warenwirtschaftssystem für KMU?
Einführung Schritt für Schritt: von der Anforderung bis zum Go-live
Fazit
FAQ zum Warenwirtschaftssystem

Was ist ein Warenwirtschaftssystem?

Ein Warenwirtschaftssystem, oft WWS oder Wawi abgekürzt, steuert den Warenfluss eines Unternehmens zentral: vom Einkauf über das Lager bis zu Verkauf, Lieferung und Rechnung. Artikelstammdaten, Bestände, Preise und Belege liegen in einer Datenbasis, statt auf mehrere Dateien und Programme verteilt zu sein.

Der praktische Nutzen entsteht durch Wiederverwendung: Ein Artikel wird einmal angelegt und steht anschließend in Bestellung, Wareneingang, Angebot, Lieferschein und Rechnung zur Verfügung. Damit entfallen Doppelerfassungen, und die Zahlen in Einkauf, Lager und Verkauf stimmen überein.

Ein Warenwirtschaftssystem liefert typischerweise:

eine zentrale Datenbasis für Artikel, Kunden, Lieferanten und Preise
nachvollziehbare Warenbewegungen bei Zugang, Umlagerung und Abgang
eine durchgängige Belegkette vom Angebot bis zur Rechnung
verlässliche Bestände als Grundlage für Disposition und Lieferzusagen
Auswertungen zu Umsatz, Lagerreichweite und offenen Vorgängen

Woran Sie erkennen, dass Excel nicht mehr reicht

Excel trägt so lange, wie wenige Personen damit arbeiten und die Artikelzahl überschaubar bleibt. Kritisch wird es, sobald mehrere Mitarbeitende parallel Änderungen vornehmen.

Typische Warnzeichen sind:

Bestände in der Liste weichen regelmäßig vom tatsächlichen Lager ab
dieselben Artikel oder Kunden existieren mehrfach in unterschiedlicher Schreibweise
Preise und Rabatte werden pro Angebot neu recherchiert
der Status eines Auftrags lässt sich nur durch Nachfragen klären
Inventuren dauern lange und fördern große Differenzen zutage
Auswertungen entstehen manuell und sind schnell veraltet

Treffen mehrere Punkte zu, ist meist nicht fehlende Sorgfalt das Problem, sondern die fehlende gemeinsame Datenbasis .

Welche Ergebnisse realistisch sind

Ein Warenwirtschaftssystem beschleunigt Abläufe vor allem durch Standardisierung. Die Auftragsabwicklung wird schneller, weil Artikel, Preise, Verfügbarkeiten und Versanddaten konsistent vorliegen und Belege direkt aus dem Prozess entstehen.

Realistisch sind weniger manuelle Erfassung, weniger Rückfragen zwischen Verkauf und Lager sowie deutlich kürzere Inventuren. Nicht realistisch ist, dass sich unklare Zuständigkeiten oder uneinheitliche Preislogiken allein durch die Software auflösen. Ein Warenwirtschaftssystem bildet Prozesse ab, es ersetzt sie nicht.

Warenwirtschaftssystem oder ERP: Wo liegt der Unterschied?

Ein Warenwirtschaftssystem deckt den Warenfluss und die Belegkette ab. Ein ERP-System (Enterprise Resource Planning, also eine unternehmensweite Software zur Ressourcenplanung) erweitert diesen Kern um weitere Bereiche wie Finanzbuchhaltung, Controlling, Personal und Planung.

Für KMU ist die Abgrenzung wichtig, weil sie Umfang, Kosten, Projektdauer und organisatorischen Aufwand bestimmt. Ein zu großes System verkompliziert einfache Abläufe, ein zu kleines bremst später das Wachstum.

In der Praxis sind die Grenzen fließend. Viele moderne Systeme für KMU starten als Warenwirtschaft und lassen sich modular um Buchhaltung oder Projektfunktionen erweitern. Dieses Stufenmodell senkt Risiko und Anfangskosten: Sie stabilisieren zuerst die Kernprozesse und erweitern erst, wenn der Bedarf tatsächlich entsteht.

Wenn die Abgrenzung im eigenen Unternehmen unklar ist, lohnt ein strukturierter Blick auf Prozesse und Schnittstellen, bevor Anbieter verglichen werden. FIGULI CONSULTING betreut kleine und mittlere Unternehmen bei Auswahl, Einführung und Betrieb von Warenwirtschaft und IT-Infrastruktur und ordnet dabei ein, welcher Systemumfang zu Ihren Abläufen passt. So vermeiden Sie, dass Sie Module bezahlen, die im Alltag niemand nutzt.

Und wie sieht das bei blue office aus?

blue office ist modular aufgebaut - man kann es sowohl als Warenwirtschaftssystem als auch als ERP-System nutzen und bezahlt nur für die Funktionen die man braucht.

Anforderungen mit FIGULI klären

Welche Funktionen ein Warenwirtschaftssystem für KMU braucht

Nicht die Länge der Funktionsliste entscheidet über den Projekterfolg, sondern die Passung zu Ihren Prozessen und Daten . Bewährt hat sich eine Priorisierung in Muss-, Soll- und Kann-Anforderungen. So bleibt der Vergleich objektiv und die Einführung überfordert weder Organisation noch Budget.

Muss-Funktionen: die Basis für den täglichen Betrieb

Muss-Funktionen sichern die tägliche Abwicklung. Dazu gehört ein sauberer Artikelstamm mit Einheiten, Verpackungsgrößen und – wo nötig – Variantenlogik, außerdem die Bestandsführung je Lagerort.

Im Einkauf brauchen Sie Lieferantenverwaltung, Bestellungen, Wareneingang und Rechnungsprüfung. Im Verkauf muss die Belegkette vom Angebot über Auftrag und Lieferschein bis zu Rechnung und Gutschrift durchgängig sein, inklusive Preis- und Konditionslogik.

Soll-Funktionen: schneller spürbarer Nutzen

Soll-Funktionen verbessern Effizienz und Datenqualität am schnellsten. Barcode-Scanning und mobile Lagerprozesse reduzieren Tippfehler und beschleunigen Wareneingang, Umlagerung, Kommissionierung und Inventur deutlich, weil direkt am Regal gebucht wird statt später am Schreibtisch.

Wie sich das im Lager konkret auswirkt, zeigt der Beitrag zur mobilen Datenerfassung im Lager . Sinnvoll ist, zuerst jene Automatisierungen einzuführen, die täglich Zeit sparen – nicht jene, die in der Demo am beeindruckendsten wirken.

Kann-Funktionen: wichtig, sobald Anforderungen steigen

Kann-Funktionen werden relevant, wenn regulatorische oder vertriebliche Anforderungen wachsen. Chargen- und Seriennummern sind bei Rückverfolgbarkeit, Garantieabwicklung und Qualitätsmanagement entscheidend, etwa in Lebensmittelhandel, Medizinprodukten oder Elektronik.

Eine Variantenmatrix lohnt sich, sobald ein Produkt in vielen Ausprägungen wie Größe und Farbe existiert – sonst vervielfachen sich die Stammdaten. Prüfen Sie bei diesen Punkten, ob sie heute schon gebraucht werden oder erst in zwei bis drei Jahren. Beides ist eine legitime Entscheidung, sie sollte nur bewusst fallen.

Branchen-Check: Handel, E-Commerce, Handwerker, Produktion und Dienstleistung

Die beste Funktionsliste nützt wenig, wenn das System nicht zum Geschäftsmodell passt. Preislogiken, Datenmengen und Lagerprozesse unterscheiden sich je nach Branche erheblich.

Handel und Großhandel

Hier stehen Geschwindigkeit und Konditionen im Vordergrund. Kundenspezifische Preise, Rabattstaffeln, Aktionszeiträume und Mindestabnahmen müssen prozesssicher abbildbar sein.

Ebenso wichtig sind Reservierungen und Rückstandsmanagement : Wenn ein Artikel nicht vollständig lieferbar ist, muss das System die Teillieferung sauber abbilden und den Rückstand automatisch nachverfolgen. Sonst entstehen genau die manuellen Merklisten, die Sie eigentlich abschaffen wollten.

E-Commerce mit Shop-Anbindung

Im Online-Handel entscheidet die Datenqualität. Produktdaten, Varianten, Bilder und Attribute müssen konsistent sein, weil sie direkt im Shop sichtbar werden.

Zentral ist der kanalübergreifend aktuelle Bestand : Verkaufen Sie über Shop, Marktplatz und Ladengeschäft, muss jeder Verkauf sofort auf den gemeinsamen Bestand wirken. Andernfalls drohen Überverkäufe und Stornierungen. Klären Sie in der Demo konkret, wie oft der Bestandsabgleich erfolgt und was bei einem Ausfall der Schnittstelle passiert.

Handwerker

Für Handwerker sind neben der Auftragsbearbeitung und dem Belegwesen eine mobile Nutzung und eine Zeiterfassung wichtig. Handwerker benötigen zumeist eine Vor- und Nachkalkulation für Lohn und Material.

Bei Nutzung von Anwendungen für CAD, Aufmaß- oder Aussschreibungen sind Schnittstellen für Import und Export (Datanorm, ÖNORM A 2063, GAEB) essentiell.

Produktion

In der Produktion sind Stücklisten zentral. Das System sollte Materialverbrauch, Zwischenlager, Fertigmeldungen und Rückmeldungen aus der Fertigung abbilden können.

Je nach Produkt kommen Ausschuss, Nacharbeit und Seriennummern hinzu. Wichtig ist die realistische Einschätzung, ob eine Warenwirtschaft mit Fertigungsfunktionen ausreicht oder ob eine echte Produktionsplanung nötig ist – letztere ist deutlich aufwendiger in Einführung und Pflege.

Dienstleistung

Dienstleistungsbetriebe wie Agenturen, Beratungen oder Handwerksunternehmen haben kaum Lagerbedarf, dafür aber Projekte, Zeiterfassung und Leistungsabrechnung. Für sie ist ein klassisches, auf Handel ausgerichtetes System oft ungeeignet. Welche Funktionen stattdessen zählen, behandelt der Beitrag zu ERP für Dienstleister .

Auswahlkriterien: Cloud oder On-Premise, Schnittstellen, Bedienbarkeit

Neben den Funktionen entscheiden technische und organisatorische Kriterien über den langfristigen Nutzen: Betriebsmodell, Schnittstellenqualität, Bedienbarkeit, Rechtekonzept und Support.

Cloud oder On-Premise

Cloud bedeutet, dass die Software beim Anbieter im Rechenzentrum läuft und Sie über den Browser zugreifen.
On-Premise bedeutet Betrieb auf eigenen Servern im Unternehmen.

Für die meisten KMU ohne eigene IT-Abteilung ist Cloud der pragmatischere Weg. On-Premise bleibt sinnvoll, wenn Maschinen, Kassen oder Altsysteme lokal eng angebunden sind oder Offline-Betrieb möglich sein muss.

Unabhängig vom Modell gilt: Klären Sie Backup und Wiederherstellung verbindlich. Auch bei Cloud-Software ist die Frage berechtigt, wie schnell Sie nach einem Ausfall oder einer versehentlichen Löschung wieder arbeitsfähig sind. Wie eine tragfähige Grundsatzentscheidung dazu aussieht, beschreibt der Beitrag zur Cloud-Strategie .

Werden personenbezogene Daten verarbeitet – bei Kundendaten ist das immer der Fall – brauchen Sie mit dem Anbieter einen Auftragsverarbeitungsvertrag nach DSGVO. Die österreichische Datenschutzbehörde fasst die Pflichten von Verantwortlichen zusammen.

Schnittstellen prüfen, nicht nur abfragen

Schnittstellen sind häufig der kritische Erfolgsfaktor. Für österreichische KMU ist vor allem die Übergabe an die Buchhaltung und Steuerberatung zentral, in der Praxis meist an BMD oder RZL oder über eine standardisierte Export-Schnittstelle.

Typischerweise relevant sind:

Buchhaltung und Steuerberatung, etwa BMD oder RZL
Onlineshop und Marktplätze
Kassensystem mit Registrierkassenpflicht
Versanddienstleister für Labels und Sendungsverfolgung
E-Rechnung, insbesondere bei Aufträgen der öffentlichen Hand

Fragen Sie Schnittstellen nicht nur ab, sondern testen Sie sie mit echten Testdaten : Stimmt das Feldmapping? Werden Steuerschlüssel korrekt übergeben? Was passiert bei einem Fehler, und wo sehen Sie ihn? Eine Schnittstelle, die nur im Datenblatt existiert, kostet später Wochen. Zur Beschaffung passender Software für die E-Rechnung bietet die Wirtschaftskammer Österreich eine Orientierungshilfe .

Bedienbarkeit im Alltag bewerten

Bedienbarkeit zeigt sich nicht in der Verkaufspräsentation, sondern im Alltag: klare Masken, schnelle Suche, sinnvolle Standardwerte, nachvollziehbare Status.

Testen Sie deshalb mit den Personen, die später täglich damit arbeiten – je eine Person aus Einkauf, Lager und Verkauf. Lassen Sie diese einen typischen Vorgang selbst durchklicken, statt ihn vorgeführt zu bekommen. Wie viele Klicks braucht ein Standardauftrag? Wo stockt es? Diese Beobachtung sagt mehr aus als jede Funktionsliste.

Was kostet ein Warenwirtschaftssystem für KMU?

Die Kosten setzen sich aus mehreren Blöcken zusammen. Erfahrungsgemäß entstehen die größten Aufwände nicht bei der Lizenz, sondern bei Datenqualität und Integrationen .

Wie lange die Einführung dauert

Die Dauer hängt von Prozessreife, Datenqualität und Integrationsumfang ab. Ein schlankes Projekt mit Standardprozessen und wenigen Schnittstellen kann in wenigen Wochen produktiv gehen. Mehrere Lager, Shop-Anbindung und individuelle Preislogiken verlängern das deutlich.

Planen Sie nach dem Go-live eine Stabilisierungsphase ein. In den ersten Wochen treten Sonderfälle auf, die vorher niemand bedacht hat. Wer diese Zeit einplant, erlebt sie als normal statt als Krise. Eine ausführliche Darstellung der Projektphasen finden Sie im Beitrag zur ERP-Implementierung .

Versteckte Kosten vermeiden

Versteckte Kosten entstehen fast immer bei den Daten: Dubletten, uneinheitliche Einheiten, fehlende EAN-Codes, unklare Lagerorte, inkonsistente Preislogiken.

Vermeiden lässt sich das durch eine frühe Datenanalyse . Sehen Sie sich Ihre Stammdaten an, bevor Sie Anbieter einladen. Oft ist das die unangenehmste, aber wirkungsvollste Vorarbeit des gesamten Projekts – und sie ist unabhängig davon nützlich, für welches System Sie sich entscheiden.

Für Digitalisierungsvorhaben in KMU besteht in Österreich zudem die Möglichkeit einer geförderten Beratung über das Programm KMU.DIGITAL . Ein Blick darauf lohnt sich, bevor ein Projekt startet.

Einführung Schritt für Schritt: von der Anforderung bis zum Go-live

Eine gelungene Einführung entsteht durch klare Phasen, verbindliche Zuständigkeiten und konsequentes Testen. KMU profitieren von einem pragmatischen Vorgehen: zuerst die Kernprozesse stabilisieren, dann erweitern.

Ziele und Umfang definieren, Verantwortliche benennen
Anforderungen als konkrete Anwendungsfälle dokumentieren
Anbieter-Demos mit identischen Testfällen durchführen
Pilotbetrieb mit echten Daten und klaren Abnahmekriterien
Go-live mit erhöhter Supportbereitschaft
Stabilisierung und schrittweise Optimierung

Migration aus Excel und Altsystemen

Die Migration beginnt mit einer Dateninventur : Welche Dateien existieren, welche Felder sind verlässlich, welche Quelle gilt im Zweifel?

Danach folgt die Bereinigung: Dubletten entfernen, eine Artikelnummernlogik festlegen, Einheiten standardisieren, Lagerorte strukturieren. Führen Sie anschließend einen Testimport mit Stichproben durch, bevor die vollständigen Daten übernommen werden.

Demo-Checkliste für den Anbietervergleich

Lassen Sie alle Anbieter dieselben Prozesse zeigen. Nur so sind die Ergebnisse vergleichbar:

Auftrag bis Rechnung inklusive Teillieferung und Rückstand
Wareneingang mit Einlagerung auf einen konkreten Lagerplatz
Reservierungslogik bei knappem Bestand
Retoure mit Gutschrift
Preisfindung mit Staffel und kundenspezifischer Kondition
Übergabe an die Buchhaltung mit echten Testdaten
eine Auswertung zu offenen Vorgängen oder Lieferfähigkeit

Typische Fehler bei Auswahl und Einführung

Am häufigsten scheitern Projekte an einem zu großen Umfang, unklaren Zuständigkeiten und einer Funktionsauswahl ohne Prozessbezug.

Ebenso kritisch: Die Datenmigration startet zu spät, Schnittstellen werden nie mit realen Daten getestet, und die Schulung rutscht auf die letzte Woche vor dem Go-live. Verbindliche Abnahmekriterien, ein Testplan mit Terminen und frühe Einbindung der Anwender verhindern das zuverlässig.

Für KMU, die Auswahl und Einführung nicht allein stemmen können, begleitet FIGULI CONSULTING den gesamten Weg: von der Aufnahme der Prozesse über die realistische Prüfung der Schnittstellen bis zum Betrieb. Mit blue office setzt FIGULI dabei auf eine branchenunabhängige Lösung, die auf kleine und mittlere Unternehmen zugeschnitten ist und sich vergleichsweise rasch einrichten und einschulen lässt – ein wesentlicher Kostenfaktor, weil ein Großteil des Projektbudgets typischerweise in Einführung und Schulung fließt.

blue office für Warenwirtschaft ansehen

Fazit

Ein Warenwirtschaftssystem schafft die Grundlage, um Einkauf, Lager und Verkauf über eine konsistente Datenbasis zu steuern. Entscheidend für den Erfolg sind vier Punkte: eine klare Abgrenzung zwischen Warenwirtschaft und ERP, eine nach Muss, Soll und Kann priorisierte Funktionsliste , belastbar getestete Schnittstellen zu Buchhaltung, Shop und Versand sowie ein Einführungsplan , der Datenmigration und Tests ernst nimmt.

Der wichtigste Hebel liegt dabei vor der Software-Entscheidung: Wer seine Prozesse und Stammdaten kennt, wählt schneller, verhandelt besser und führt ruhiger ein. Wer diesen Schritt überspringt, bezahlt ihn später im Projekt.

FIGULI CONSULTING unterstützt österreichische KMU dabei, Anforderungen zu strukturieren, Schnittstellen realistisch zu prüfen und die Einführung so zu planen, dass der laufende Betrieb stabil bleibt.

Auswahl mit FIGULI CONSULTING besprechen

FAQ zum Warenwirtschaftssystem

Was ist ein Warenwirtschaftssystem?

Ein Warenwirtschaftssystem steuert den Warenfluss eines Unternehmens zentral: Einkauf, Lager, Verkauf, Lieferung und Rechnung. Artikel-, Bestands- und Belegdaten liegen in einer gemeinsamen Datenbasis, sodass alle Bereiche mit denselben Zahlen arbeiten und Doppelerfassungen entfallen.

Worin unterscheiden sich Warenwirtschaftssystem und ERP?

Ein Warenwirtschaftssystem konzentriert sich auf Warenfluss und Belegkette. Ein ERP-System erweitert diesen Kern um Bereiche wie Finanzbuchhaltung, Controlling, Personal und Planung. Für KMU ist häufig ein Stufenmodell sinnvoll: zuerst die Warenwirtschaft stabilisieren, später modular erweitern.

Welche Funktionen braucht ein KMU mindestens?

Unverzichtbar sind Artikelstamm, Bestandsführung je Lagerort, Einkauf mit Wareneingang, Verkauf mit durchgängiger Belegkette vom Angebot bis zur Rechnung, Inventur und Standardauswertungen. Barcode-Unterstützung sowie Rollen und Rechte bringen früh zusätzlichen Nutzen.

Cloud oder On-Premise: Was passt für ein KMU besser?

Für KMU ohne eigene IT-Abteilung ist die Cloud meist praktikabler, weil Betrieb und Updates beim Anbieter liegen. On-Premise bleibt sinnvoll, wenn Kassen, Maschinen oder Altsysteme lokal eng angebunden sind. Voraussetzung für die Cloud ist eine stabile Internetanbindung.

Welche Schnittstellen sind in Österreich wichtig?

Zentral ist die Übergabe an die Buchhaltung, meist an BMD oder RZL oder über eine standardisierte Exportschnittstelle. Je nach Geschäftsmodell kommen Onlineshop, Kassensystem, Versanddienstleister und E-Rechnung hinzu. Prüfen Sie jede Schnittstelle vorab mit echten Testdaten.

Was kostet ein Warenwirtschaftssystem?

Neben Lizenz oder Abo entstehen Kosten für Einführung, Datenmigration, Schnittstellen, Schulung und laufenden Support. Der größte Aufwand liegt meist bei Datenqualität und Integrationen, nicht bei der Software. Eine seriöse Schätzung ist erst nach Klärung von Prozessen und Schnittstellen möglich.

Wie lange dauert die Einführung?

Schlanke Projekte mit Standardprozessen und wenigen Schnittstellen können in wenigen Wochen produktiv gehen. Mehrere Lager, Shop-Anbindungen oder individuelle Preislogiken verlängern die Dauer deutlich. Planen Sie zusätzlich einige Wochen Stabilisierung nach dem Go-live ein.

Wann lohnt sich ein Warenwirtschaftssystem?

Ein Warenwirtschaftssystem lohnt sich, wenn Bestände, Preise, Aufträge oder Lieferzusagen nicht mehr zuverlässig über Excel und Einzellösungen gesteuert werden können. Typische Anzeichen sind doppelte Stammdaten, manuelle Belegketten, unklare Auftragsstatus, lange Inventuren und fehleranfällige Schnittstellen zwischen Lager, Verkauf und Buchhaltung.

Cloud Backup for Businesses: Security and Implementation

Sat, 29 Aug 2026 07:16:08 GMT

Cloud backup for businesses: Securely back up data off-site

Cloud backup means storing backup copies of company data not on local hard drives or tapes, but automatically transferring them to an external data center.

The crucial advantage lies in the physical separation. A backup located in the same server room as the original will not survive fire, water damage, or theft — and in many cases, it won't even survive ransomware attacks , because modern malware specifically targets accessible backup drives.

This article explains how cloud backup differs from synchronization and archiving, how it protects against ransomware, which systems should be backed up, what to consider when choosing a provider and regarding data protection—and why a backup without tested recovery is of little value.

What cloud backup is – and what it isn’t
Cloud, local or hybrid: which model fits when
Ransomware protection: immutable backups
Which systems need to be secured
Setting up cloud backup: step by step
Choice of provider, data protection and costs
Conclusion
FAQ about cloud backup

What Cloud Backup is – and what it isn't

A cloud backup is an automated, versioned backup stored on an external server, from which a defined previous state can be restored.

Three terms are frequently confused, even though they serve completely different purposes:

The middle point is the most dangerous misconception. Cloud storage like OneDrive or a network drive is not a backup. If a file is accidentally deleted or encrypted by malware, synchronization reliably transfers this change to the cloud. Without true versioning, the original is then lost there as well.

The distinction between backup and archiving is discussed in more detail in the article on email archiving : A backup serves for recovery, an archive for documentation.

What security actually depends on

A cloud storage destination doesn't automatically provide protection. Four points are crucial:

Encryption during transmission and storage
Separate access: The login for backups must be different from the login for daily operations
Immutable retention , so backups cannot be deleted for a defined period
Logging , so deletions and accesses remain traceable

The second point is most often overlooked. Anyone who can log in to the backup with the regular administrator account gives an attacker who takes over that account access to both production data and the backup simultaneously.

Cloud, on-premises or hybrid: which model is right when?

For most SMEs, a hybrid approach is the most practical: a local backup for quick recovery in everyday operations—for example, an accidentally deleted file or a faulty update—combined with a cloud copy as protection against on-site data breaches and attacks.

A simple guideline is the 3-2-1 rule: Companies should have at least three copies of important data, store them on two different storage devices, and keep one copy off-site. Cloud backup primarily fulfills the last point: It creates an external backup that is not affected by the same on-site data breaches as the production data.

Often, it's not about replacing an existing solution, but rather about supplementing it: The existing local backup remains, and a second copy is moved off-site. This is usually the fastest way to achieve a noticeable increase in security because existing processes remain unaffected.

A special case is cloud-to-cloud backup. It backs up data that is already in the cloud to a second, independent location. This is particularly relevant for Microsoft 365: The provider is responsible for operating its platform, but not for restoring your content after accidental deletion or an attack. The article on Microsoft 365 backup explains why this requires a separate backup solution.

The article on cloud strategy discusses how this fits into a broader policy decision.

Protection against ransomware: immutable backups

Encryption Trojans have adapted their approach. They do not encrypt immediately, but often remain unnoticed in the network for weeks - and during this time they specifically search for accessible backups in order to delete them or encrypt them.

This results in three requirements for a backup that can be used in an emergency:

immutable storage. Once backups have been written, they cannot be deleted or changed for a set period of time - even with administrator rights. This is the single most effective measure because it works even when attackers have full control of the environment.
sufficiently long storage. If an attack is only noticed after three weeks, backups from the last seven days are of no use - they already contain the malware. The retention period must be longer than the realistic time until discovery.
Separate entrances with multi-factor registration. The backup account should exist solely for this purpose and require a second factor in addition to the password login. The article on multifactor authentication describes how this can be implemented.

In addition, the end devices need protection that detects suspicious behavior early - see Endpoint Security . The earlier an attack is noticed, the shorter the time period in which you have to jump back.

For small and medium-sized companies without their own IT department, the hurdle is rarely the technology, but rather the reliable operation: Does the backup really run every night? Does anyone see the error messages? FIGULI CONSULTING sets up cloud backup for Austrian SMEs, monitors the backup runs and checks at fixed intervals whether the data can actually be retrieved.

Check backup concept with FIGULI

Which systems need to be secured?

The selection isn't based on the amount of data, but rather on the question: Without which data does the business grind to a halt?

Typically, this includes:

File servers and network storage containing the current workspace
Virtual machines and their configurations, enabling the restoration of entire systems
Databases for inventory management, accounting, and industry-specific software
Microsoft 365 with mailboxes, files, and Teams content
Firewall , network, and server configurations
Laptops belonging to people who frequently work remotely

The last two points are most often overlooked. A firewall configuration is small, but reconstructing it after a failure can take days. And laptops regularly contain files that were never stored on a server.

How often should backups be performed

The frequency of backups stems from a simple question: How many hours of work could we reasonably afford to redo?

If a single overnight backup is considered acceptable, a daily backup is sufficient. For inventory management or accounting, where entries are made continuously, multiple backups per day are advisable. Equally important is the counter-question: How long can the recovery process take? A server that is essential for operations requires a faster backup method than an archive drive.

These two values—acceptable data loss and acceptable downtime, often referred to as RPO and RTO—determine the technology and costs more than any other factor. They should be defined for each system and documented.

Setting up cloud backup: step by step

Inventory: Which systems and data sources exist, and which are business-critical?
Define objectives: acceptable data loss and downtime for each system
Choose a model: pure cloud or hybrid, depending on data volume and connectivity
Check providers: data location, immutable storage, recovery options
Perform initial backup – for large data volumes, factor in the duration of the first transfer
Separate access: separate backup account with two-factor authentication
Set up monitoring: Who receives notifications of failed backups?
Document the process: In an emergency, who restores what, and in what order?
Test the recovery – and repeat the test.

Why the restore test is the most important step

A backup that has never been restored is an assumption, not a backup.

In practice, restores rarely fail because there is no data available. More often, the reasons are: A critical system was never included in the backup job. The backup process has been running for months without anyone reading the error messages. The restore takes three times longer than expected. Or no one knows the correct order in which systems need to be restored.

A sensible testing schedule: a single file monthly , a complete system annually – with a log of the duration and results. Comparing the actual duration with the planned target time is the real key to gaining valuable insights.

Provider selection, data protection and costs

What to consider when choosing a provider

Storage price is the weakest selection criterion. More important are:

Data location: In which country is the data stored, and is this contractually guaranteed?
Immutable storage as an actual, available feature, not as an optional extra.
Recovery options: individual files as well as entire systems.
Recovery costs: Some providers charge separately for downloads – precisely when you urgently need them.
Emergency availability , including response times.
Logging of access and deletions.

The fourth point deserves special attention. With very cheap storage offers, the costs often lie in the retrieval. In the event of a major data recovery, this can become significant.

Data protection

When using an external provider, a data processing agreement in accordance with the GDPR is required. This also includes a data deletion and retention policy, transparent logging, and clarification of the data location.

The Austrian Federal Economic Chamber's guide offers practical guidance on technical and organizational measures. Digital Austria provides an overview of Austrian digitalization and cloud initiatives.

Cost

The costs are comprised of storage volume, the number of backed-up systems, the retention period, any retrieval fees, and the effort required for setup and ongoing monitoring.

The biggest cost driver is usually the retention period , not the amount of data. One year of retention costs many times more than four weeks. This is precisely where a deliberate decision is worthwhile, rather than a one-size-fits-all approach: Not all systems require the same retention period.

Conclusion

Cloud backup protects against precisely those scenarios that local backups are powerless against: fire, water damage, theft, and ransomware that compromises accessible backup drives.

For it to be effective in a crisis, four things are crucial: immutable backups , a retention period longer than the time it takes to detect an attack, separate access with two-factor authentication , and regularly tested recovery procedures .

The most common mistake isn't the wrong technology, but rather the untested assumption. Almost every company has a backup. Far fewer have checked in the last twelve months whether data can actually be recovered from it.

FIGULI CONSULTING helps Austrian SMEs establish cloud backup as a reliable operational process: with a suitable backup strategy, separate access, ongoing monitoring, restore tests, and clear recovery planning. Furthermore, FIGULI is a partner for related IT topics such as Microsoft 365, IT security, endpoint security, and ongoing IT support.

Implementing Cloud Backup & IT Security with FIGULI

FAQ about Cloud Backup

What is a cloud backup?

A cloud backup is an automated, versioned backup of company data stored in an external data center. It allows you to restore a previous state after data loss, user error, or an attack, and is physically separate from the original.

Is cloud storage like OneDrive a backup?

No. Cloud storage synchronizes data between devices, including deletions and encryptions. Without true versioning and a controlled recovery process, this is not a backup, but rather synchronization.

How does a cloud backup protect against ransomware?

Crucial factors are immutable backups that cannot be deleted for a defined period, even with administrator privileges, a sufficiently long retention period, and separate backup access with two-factor authentication. This ensures that a state before encryption remains accessible.

How often should data be backed up?

The frequency depends on how much work could be repeated in a worst-case scenario. For many areas, a daily backup is sufficient. Systems with ongoing transactions, such as inventory management or accounting, usually require several backups per day.

Which systems should be backed up?

File servers, virtual machines, databases of specialist and accounting software, and Microsoft 365 data. Firewall and network configurations, as well as laptops used by people who travel frequently, are often overlooked.

How do I check if my backup is working?

Through scheduled restore tests: a single file monthly, a complete system annually. Document the duration and results, and compare the actual duration with the target. Successful backup notifications alone are not sufficient proof.

What should be considered regarding data protection?

A data processing agreement with the provider, a deletion and retention policy, traceable logging, and clarity regarding data location are essential. The location should be contractually guaranteed, not just advertised.

How much does cloud backup cost?

The costs depend primarily on storage volume, the number of systems backed up, the retention period, recovery options, and ongoing monitoring. Potential retrieval costs in an emergency are particularly important. Compare not only the storage price but also restore speed, data location, and support.

Cloud Backup für Unternehmen: Sicherheit und Umsetzung

Sat, 29 Aug 2026 07:16:06 GMT

Cloud Backup für Unternehmen: Daten sicher außer Haus sichern

Cloud Backup bedeutet, Sicherungskopien der Unternehmensdaten nicht auf lokalen Festplatten oder Bändern abzulegen, sondern automatisiert in ein externes Rechenzentrum zu übertragen.

Der entscheidende Vorteil liegt in der räumlichen Trennung. Eine Sicherung, die im selben Serverraum steht wie das Original, überlebt weder Brand noch Wasserschaden noch Diebstahl – und in vielen Fällen auch keinen Verschlüsselungstrojaner , weil moderne Schadsoftware gezielt nach erreichbaren Sicherungslaufwerken sucht.

Dieser Artikel zeigt, wie sich Cloud Backup von Synchronisation und Archivierung unterscheidet, wie es gegen Ransomware wirkt, welche Systeme gesichert gehören, worauf bei Anbieterwahl und Datenschutz zu achten ist – und warum eine Sicherung ohne getestete Wiederherstellung wenig wert ist.

Inhaltsverzeichnis

Was Cloud Backup ist – und was es nicht ist
Cloud, lokal oder hybrid: welches Modell wann passt
Schutz vor Ransomware: unveränderbare Sicherungen
Welche Systeme gesichert werden müssen
Cloud Backup einrichten: Schritt für Schritt
Anbieterwahl, Datenschutz und Kosten
Fazit
FAQ zum Cloud Backup

Was Cloud Backup ist – und was es nicht ist

Ein Cloud Backup ist eine automatisierte, versionierte Sicherungskopie in einem externen Ziel, aus der sich ein definierter früherer Zustand wiederherstellen lässt.

Drei Begriffe werden regelmäßig verwechselt, obwohl sie völlig unterschiedliche Zwecke erfüllen:

Der mittlere Punkt ist der gefährlichste Irrtum. Ein Cloud-Speicher wie OneDrive oder ein Netzlaufwerk ist kein Backup. Wird eine Datei versehentlich gelöscht oder von Schadsoftware verschlüsselt, überträgt die Synchronisation diese Änderung zuverlässig in die Cloud. Ohne echte Versionierung ist das Original dann auch dort verloren.

Die Abgrenzung zur Archivierung behandelt der Beitrag zur Mail Archivierung genauer: Ein Backup dient der Wiederherstellung, ein Archiv dem Nachweis.

Wovon die Sicherheit tatsächlich abhängt

Ein Cloud-Ziel schützt nicht automatisch. Entscheidend sind vier Punkte:

Verschlüsselung bei Übertragung und Speicherung
Getrennte Zugänge : Die Anmeldung am Backup darf nicht dieselbe sein wie die am Tagesgeschäft
Unveränderbare Aufbewahrung , sodass Sicherungen für einen festgelegten Zeitraum nicht gelöscht werden können
Protokollierung , damit Löschungen und Zugriffe nachvollziehbar bleiben

Der zweite Punkt wird am häufigsten übersehen. Wer sich mit dem regulären Administratorkonto am Backup anmelden kann, gibt einem Angreifer, der genau dieses Konto übernimmt, Zugriff auf Produktivdaten und Sicherung gleichzeitig .

Cloud, lokal oder hybrid: welches Modell wann passt

Für die meisten KMU ist hybrid der praktikabelste Weg: eine lokale Sicherung für die schnelle Wiederherstellung im Alltag – eine versehentlich gelöschte Datei, ein fehlerhaftes Update – kombiniert mit einer Cloud-Kopie als Absicherung gegen Standortschäden und Angriffe.

Als einfache Orientierung dient die 3-2-1-Regel: Unternehmen sollten mindestens drei Kopien wichtiger Daten haben, diese auf zwei unterschiedlichen Speicherarten ablegen und eine Kopie außerhalb des eigenen Standorts aufbewahren. Cloud Backup erfüllt dabei vor allem den letzten Punkt: Es schafft eine externe Sicherung, die nicht vom gleichen Standortschaden betroffen ist wie die produktiven Daten.

Häufig geht es dabei gar nicht um den Ersatz einer bestehenden Lösung, sondern um die Ergänzung: Die vorhandene lokale Sicherung bleibt, zusätzlich wandert eine zweite Kopie außer Haus. Das ist meist der schnellste Weg zu einem spürbaren Sicherheitsgewinn, weil bestehende Abläufe unangetastet bleiben.

Eine Sonderform ist das Cloud-zu-Cloud-Backup . Es sichert Daten, die bereits in der Cloud liegen, in ein zweites, unabhängiges Ziel. Relevant ist das vor allem für Microsoft 365: Der Anbieter sorgt für den Betrieb seiner Plattform, nicht aber für die Wiederherstellung Ihrer Inhalte nach versehentlichem Löschen oder einem Angriff. Warum das eine eigene Sicherung erfordert, erklärt der Beitrag zum Microsoft 365 Backup .

Wie sich das in eine übergreifende Grundsatzentscheidung einfügt, behandelt der Beitrag zur Cloud-Strategie .

Schutz vor Ransomware: unveränderbare Sicherungen

Verschlüsselungstrojaner haben ihr Vorgehen angepasst. Sie verschlüsseln nicht sofort, sondern verweilen oft Wochen unbemerkt im Netzwerk – und suchen in dieser Zeit gezielt nach erreichbaren Sicherungen, um sie zu löschen oder mitzuverschlüsseln.

Daraus folgen drei Anforderungen an ein Backup, das im Ernstfall trägt:

unveränderbare Aufbewahrung. Einmal geschriebene Sicherungen lassen sich für einen festgelegten Zeitraum nicht mehr löschen oder verändern – auch nicht mit Administratorrechten. Das ist die wirksamste einzelne Maßnahme, weil sie selbst dann greift, wenn Angreifer volle Kontrolle über die Umgebung haben.
ausreichend lange Aufbewahrung. Wird ein Angriff erst nach drei Wochen bemerkt, nützen Sicherungen der letzten sieben Tage nichts – sie enthalten die Schadsoftware bereits. Die Aufbewahrungsdauer muss länger sein als die realistische Zeit bis zur Entdeckung.
getrennte Zugänge mit Mehrfaktor-Anmeldung. Das Backup-Konto sollte ausschließlich für diesen Zweck existieren und zusätzlich zur Passwortanmeldung einen zweiten Faktor verlangen. Wie sich das umsetzen lässt, beschreibt der Beitrag zur Multifaktor-Authentifizierung .

Ergänzend gehört auf die Endgeräte ein Schutz, der verdächtiges Verhalten früh erkennt – siehe Endpoint Security . Je früher ein Angriff auffällt, desto kürzer der Zeitraum, in den zurückgesprungen werden muss.

Für kleine und mittlere Unternehmen ohne eigene IT-Abteilung ist die Hürde selten die Technik, sondern der verlässliche Betrieb: Läuft die Sicherung wirklich jede Nacht? Sieht jemand die Fehlermeldungen? FIGULI CONSULTING richtet Cloud Backup für österreichische KMU ein, überwacht die Sicherungsläufe und prüft in festen Abständen, ob sich die Daten tatsächlich zurückholen lassen.

Backup-Konzept mit FIGULI prüfen

Welche Systeme gesichert werden müssen

Die Auswahl folgt nicht der Datenmenge, sondern der Frage: Ohne welche Daten steht der Betrieb still?

Typischerweise gehören dazu:

Dateiserver und Netzwerkspeicher mit der laufenden Arbeitsablage
Virtuelle Maschinen samt Konfiguration, damit ganze Systeme wiederhergestellt werden können
Datenbanken von Warenwirtschaft, Buchhaltung und Branchensoftware
Microsoft 365 mit Postfächern, Dateien und Teams-Inhalten
Konfigurationen von Firewall, Netzwerk und Servern
Notebooks von Personen, die viel unterwegs arbeiten

Die letzten beiden Punkte werden am häufigsten vergessen. Eine Firewall-Konfiguration ist klein, ihre Rekonstruktion nach einem Ausfall kostet aber Tage. Und Notebooks enthalten regelmäßig Dateien, die nie auf einem Server lagen.

Wie oft gesichert werden sollte

Die Häufigkeit ergibt sich aus einer einfachen Frage: Wie viele Stunden Arbeit könnten wir verkraften, noch einmal zu machen?

Wird eine Nacht als vertretbar angesehen, genügt eine tägliche Sicherung. Bei Warenwirtschaft oder Buchhaltung, wo laufend gebucht wird, sind mehrere Sicherungen pro Tag sinnvoll. Ebenso wichtig ist die Gegenfrage: Wie lange darf die Wiederherstellung dauern? Ein Server, ohne den niemand arbeiten kann, braucht ein schnelleres Verfahren als ein Archivlaufwerk.

Diese beiden Werte – akzeptabler Datenverlust und akzeptable Ausfallzeit, häufig als RPO und RTO bezeichnet – bestimmen Technik und Kosten stärker als jeder andere Faktor. Sie sollten pro System festgelegt und schriftlich festgehalten werden.

Cloud Backup einrichten: Schritt für Schritt

Bestandsaufnahme: Welche Systeme und Datenquellen existieren, und welche sind geschäftskritisch?
Ziele festlegen: je System akzeptabler Datenverlust und akzeptable Ausfallzeit
Modell wählen: rein Cloud oder hybrid, je nach Datenmenge und Anbindung
Anbieter prüfen: Datenstandort, unveränderbare Aufbewahrung, Wiederherstellungsoptionen
Erstsicherung durchführen – bei großen Datenmengen die Dauer der ersten Übertragung einplanen
Zugänge trennen: eigenes Backup-Konto mit zweitem Faktor
Überwachung einrichten: Wer erhält Meldungen bei fehlgeschlagenen Läufen?
Ablauf dokumentieren: Wer stellt im Ernstfall was in welcher Reihenfolge wieder her?
Wiederherstellung testen – und den Test wiederholen

Warum der Restore-Test der wichtigste Schritt ist

Eine Sicherung, aus der noch nie etwas zurückgeholt wurde, ist eine Annahme, kein Backup.

In der Praxis scheitern Wiederherstellungen selten daran, dass keine Daten vorhanden wären. Häufiger sind: Ein wichtiges System war nie im Sicherungsauftrag enthalten. Die Sicherung lief seit Monaten auf Fehler, ohne dass jemand die Meldungen las. Die Wiederherstellung dauert dreimal so lange wie angenommen. Oder es weiß niemand, in welcher Reihenfolge Systeme zurückkommen müssen.

Ein sinnvoller Testrhythmus: monatlich eine einzelne Datei, jährlich ein vollständiges System – mit Protokoll über Dauer und Ergebnis. Der Vergleich der tatsächlichen Dauer mit dem geplanten Zielwert ist dabei der eigentliche Erkenntnisgewinn.

Anbieterwahl, Datenschutz und Kosten

Worauf bei der Anbieterwahl zu achten ist

Der Speicherpreis ist das schwächste Auswahlkriterium. Wichtiger sind:

Datenstandort: In welchem Land liegen die Daten, und ist das vertraglich zugesichert?
Unveränderbare Aufbewahrung als tatsächlich verfügbare Funktion, nicht als Option gegen Aufpreis
Wiederherstellungsoptionen: einzelne Dateien ebenso wie ganze Systeme
Kosten der Rückholung: Manche Anbieter berechnen den Download gesondert – genau dann, wenn man ihn dringend braucht
Erreichbarkeit im Notfall , inklusive Reaktionszeiten
Protokollierung von Zugriffen und Löschungen

Der vierte Punkt verdient besondere Aufmerksamkeit. Bei sehr günstigen Speicherangeboten liegen die Kosten oft im Abruf. Bei einem größeren Wiederherstellungsfall kann das erheblich werden.

Datenschutz

Bei einem externen Anbieter ist ein Auftragsverarbeitungsvertrag nach DSGVO erforderlich. Zusätzlich gehören dazu ein Lösch- und Aufbewahrungskonzept, eine nachvollziehbare Protokollierung und die Klärung des Datenstandorts.

Praxisnahe Orientierung zu technischen und organisatorischen Maßnahmen bietet der Leitfaden der Wirtschaftskammer Österreich . Einen Überblick über österreichische Digitalisierungs- und Cloud-Initiativen gibt Digital Austria .

Kosten

Die Kosten setzen sich zusammen aus dem Speichervolumen, der Anzahl gesicherter Systeme, der Aufbewahrungsdauer, gegebenenfalls Abrufkosten sowie dem Aufwand für Einrichtung und laufende Überwachung.

Der größte Kostentreiber ist meist die Aufbewahrungsdauer , nicht die Datenmenge. Ein Jahr Vorhaltezeit kostet ein Vielfaches von vier Wochen. Genau hier lohnt eine bewusste Entscheidung statt eines pauschalen Ansatzes: Nicht alle Systeme brauchen dieselbe Vorhaltezeit.

Fazit

Cloud Backup schützt vor genau den Szenarien, gegen die eine lokale Sicherung nichts ausrichtet: Brand, Wasserschaden, Diebstahl und Verschlüsselungstrojaner, die erreichbare Sicherungslaufwerke mitnehmen.

Damit es im Ernstfall trägt, kommt es auf vier Dinge an: unveränderbare Sicherungen , eine Aufbewahrungsdauer, die länger ist als die Zeit bis zur Entdeckung eines Angriffs , getrennte Zugänge mit zweitem Faktor und regelmäßig getestete Wiederherstellung .

Der häufigste Fehler ist nicht die falsche Technik, sondern die ungeprüfte Annahme. Fast jedes Unternehmen hat eine Sicherung. Deutlich weniger haben in den letzten zwölf Monaten überprüft, ob sich daraus tatsächlich etwas zurückholen lässt.

FIGULI CONSULTING unterstützt österreichische KMU dabei, Cloud Backup als verlässlichen Betriebsprozess aufzusetzen: mit passendem Backup-Konzept, getrennten Zugängen, laufender Überwachung, Restore-Tests und klarer Wiederherstellungsplanung. Darüber hinaus ist FIGULI Ansprechpartner für angrenzende IT-Themen wie Microsoft 365, IT-Sicherheit, Endpoint Security und laufende IT-Betreuung.

Cloud Backup & IT-Sicherheit mit FIGULI umsetzen

FAQ zum Cloud Backup

Was ist ein Cloud Backup?

Ein Cloud Backup ist eine automatisierte, versionierte Sicherungskopie von Unternehmensdaten in einem externen Rechenzentrum. Sie ermöglicht die Wiederherstellung eines früheren Standes nach Datenverlust, Fehlbedienung oder einem Angriff und ist räumlich vom Original getrennt.

Ist ein Cloud-Speicher wie OneDrive ein Backup?

Nein. Cloud-Speicher gleichen Daten zwischen Geräten ab und übertragen dabei auch Löschungen und Verschlüsselungen. Ohne echte Versionierung und einen kontrollierten Wiederherstellungsprozess ist das kein Backup, sondern eine Synchronisation.

Wie schützt ein Cloud Backup vor Ransomware?

Entscheidend sind unveränderbare Sicherungen, die für einen festgelegten Zeitraum auch mit Administratorrechten nicht gelöscht werden können, eine ausreichend lange Aufbewahrung sowie getrennte Backup-Zugänge mit zweitem Faktor. So bleibt ein Stand vor der Verschlüsselung erreichbar.

Wie oft sollten Daten gesichert werden?

Die Häufigkeit richtet sich danach, wie viel Arbeit im Ernstfall wiederholt werden könnte. Für viele Bereiche genügt eine tägliche Sicherung. Systeme mit laufenden Buchungen wie Warenwirtschaft oder Buchhaltung brauchen meist mehrere Sicherungen pro Tag.

Welche Systeme gehören ins Backup?

Dateiserver, virtuelle Maschinen, Datenbanken der Fach- und Buchhaltungssoftware sowie Microsoft-365-Daten. Häufig vergessen werden Konfigurationen von Firewall und Netzwerk sowie Notebooks von Personen, die viel unterwegs arbeiten.

Wie prüfe ich, ob mein Backup funktioniert?

Durch geplante Wiederherstellungstests: monatlich eine einzelne Datei, jährlich ein vollständiges System. Dokumentieren Sie Dauer und Ergebnis und vergleichen Sie die tatsächliche Dauer mit dem Zielwert. Erfolgreiche Sicherungsmeldungen allein sind kein Nachweis.

Was ist beim Datenschutz zu beachten?

Erforderlich sind ein Auftragsverarbeitungsvertrag mit dem Anbieter, ein Lösch- und Aufbewahrungskonzept, nachvollziehbare Protokollierung und Klarheit über den Datenstandort. Der Standort sollte vertraglich zugesichert und nicht nur beworben sein.

Was kostet Cloud Backup?

Die Kosten hängen vor allem von Speichervolumen, Anzahl der gesicherten Systeme, Aufbewahrungsdauer, Wiederherstellungsoptionen und laufender Überwachung ab. Besonders wichtig sind mögliche Abrufkosten im Ernstfall. Nicht nur der Speicherpreis, sondern auch Restore-Geschwindigkeit, Datenstandort und Betreuung sollten verglichen werden.

Email archiving in Austria: Obligations and deadlines

Mon, 24 Aug 2026 17:09:42 GMT

Email archiving: Obligations, deadlines & GDPR in Austria

Email archiving means storing business emails, including attachments, completely, systematically, and immutably so that they remain accessible and verifiable for years to come.

For Austrian companies, this is not a matter of expediency, but a legal obligation. As soon as an email documents a business transaction—a quote, an order confirmation, an invoice, or an acceptance—it is considered a business letter or document and is therefore subject to the same retention requirements as a paper document.

In practice, this leads to a misunderstanding with consequences: "It's all in the inbox" is not sufficient. This article explains which emails are affected, how long they must be stored, what "audit-proof" actually means, and how retention requirements and data protection can be reconciled.

What email archiving means – and what it doesn't
The legal obligation in Austria: Austrian Commercial Code (UGB) and Austrian Federal Fiscal Code (BAO)
Which emails must be archived
Retention periods and deletion concept
Audit-proof archiving: the technical requirements
Email archiving and GDPR
Practical implementation: Microsoft 365, cloud, or your own server
Conclusion – email archiving
FAQ on email archiving

What email archiving means – and what it doesn't

An archive automatically captures business messages, stores them immutably, and makes them searchable at any time — regardless of whether the message still exists in the inbox.

This fundamentally distinguishes archiving from two things it is often confused with.

Archiving is not a backup

A backup creates copies of data to restore systems after a failure. It is snapshot in time, is overwritten after a certain period, and is not designed to retain individual messages for years.

In a tax audit, it is crucial that documents can be presented completely, in an organized manner, and with identical content . If only backups exist, searching for individual messages becomes time-consuming, recovery risky, and the traceability of deletions is usually impossible to prove. The article on cloud backup discusses alternative backup strategies.

A full mailbox is not an archive

The mailbox is a work tool. Folder structures differ from person to person, messages are moved, deleted, or stored locally, and access depends on the user account.

This results in three typical gaps:

Personal dependency: If someone leaves the company, their correspondence is often no longer traceable.
Lack of logging: It's impossible to prove whether a message was deleted or modified.
Shared mailboxes: Addresses like office@ or accounting@ are used by multiple people without any clarity about who filed what.

An archive decouples storage from individual filing habits. That is precisely its purpose.

The legal obligation in Austria: UGB and BAO

In Austria, there is no specific "email law." The obligation arises from the general regulations governing the retention of business documents — and these focus on the content, not the medium.

Two areas of law are relevant:

The Austrian Commercial Code (UGB) regulates the retention of books, receipts, and business correspondence. The relevant provision can be found in Section § 212 UGB .
The Austrian Federal Fiscal Code (BAO) regulates the tax-related retention obligation and the obligation to submit documents in tax proceedings. The Austrian Business Service Portal summarizes the retention obligation and its duration .

Does this also apply to small businesses?

Yes. The obligation arises from the content and nature of business transactions, not from company size. Even a sole proprietorship must retain invoices, order confirmations, and business correspondence.

However, the scope varies depending on the business model. A project-oriented service provider primarily documents approvals, acceptances, and change requests via email and therefore has a correspondingly high need for documentation. A business with standardized cash sales generates significantly less correspondence requiring documentation.

When does an email become a business letter?

An email becomes relevant as soon as it documents the conclusion, modification, or execution of a business transaction . This applies not only to formally written correspondence.

Even a brief reply like "That's fine, please implement" can be crucial evidence in project-based business. What matters is its function within the business process, not the subject line or the length of the message .

Important in practice: Content, headers, and attachments belong together. Storing an invoice as a PDF in the accounting system might suffice—but proof of sending or receiving via email can be just as decisive in a dispute.

Which emails need to be archived?

Instead of individual lists, a review based on four criteria is helpful:

Does the email document a business transaction or a decision?
Does it have tax relevance or serve as supporting documentation?
Would the content be admissible as evidence in a dispute?
Is an attachment an integral part of the message?

If any of these questions are answered with "yes," the message should be archived.

Caution regarding the right-hand column: A confirmation of appointment becomes subject to retention requirements as soon as it documents a binding commitment or acceptance of services. In case of doubt, the evidentiary function takes precedence over the outward appearance.

The reverse is equally important: Not permanently storing everything is not an oversight, but a data protection requirement. A blanket full archiving of all mailboxes creates unnecessary repositories of personal data.

Those who want to clearly define this framework for their company usually need both: legal classification and technical implementation. FIGULI CONSULTING supports Austrian SMEs with document management and archiving projects: from defining the scope of archiving and integration with Microsoft 365 to search, export, permissions, and deletion rules. Depending on the environment, an audit-proof archiving solution such as Inoxision can be used.

Clarify your archiving obligations with FIGULI

Retention periods and deletion concept

The general retention period in Austria is seven years . It begins at the end of the calendar year to which the document belongs – an invoice from March therefore does not start from March, but from the following year's end.

When the deadline is extended

Seven years is the standard retention period, not the maximum. Longer retention periods are required, for example, if documents are relevant to pending legal proceedings .

Furthermore, longer retention periods may arise from:

contractual documentation obligations to clients
long warranty or liability periods, such as in the construction industry
projects with a duration of several years
industry-specific regulatory requirements

Do not treat such cases as isolated exceptions, but rather as a defined additional category with documented justification , such as "Project X – extended retention until 2035." Otherwise, a patchwork of regulations will emerge that will be difficult to understand after a few years.

Why a deletion concept is essential

An archive without deletion policies is incomplete. Data should be systematically deleted after the retention period expires, unless there is another reason for its continued storage.

This is not only for data protection purposes. In practice, an archive that has contained everything for fifteen years is unusable for research and poses a risk in the event of a dispute: anything that exists can be requested.

Audit-proof archiving: the technical requirements

"Audit-proof" is not a seal of approval, but a collection of verifiable characteristics. An archive should meet these six requirements:

Completeness: Messages are automatically captured upon arrival and departure, not through manual moving.
Immutability: Once archived, content cannot be subsequently altered or removed without detection.
Traceability: Every access, search, and export is logged.
Findability: Full-text search across content, headers, and attachments.
Presentation capability: Export in a common, readable format including context.
Readability over the entire retention period: The content must still be readable and analyzable in seven years.

The first point is the most important and most frequently underestimated. As soon as archiving depends on someone consciously filing a message, it is incomplete. Capture must occur automatically on the mail server before a message even arrives in the mailbox.

Equally important is a role-based access control system : Who is allowed to search the archive? Who is allowed to export? An archive contains all business correspondence – unrestricted access for everyone would be neither compliant with data protection regulations nor operationally sensible.

Email archiving and GDPR

At first glance, data retention obligations and data protection seem contradictory: one requires storage, the other deletion. This can be resolved through the principle of purpose limitation.

Data is retained to fulfill a legal obligation . As long as this obligation exists, it takes precedence over a request for deletion. If a person requests the deletion of their data, this does not apply to invoices and business correspondence, which must be retained by law.

This results in specific requirements:

The archive must be included in the processing register , specifying the purpose, legal basis, and retention period.
Data subjects must be informed about the data retention in the privacy policy .
Access must be restricted to a defined group of people and logged.
Data must be deleted according to schedule after the retention period expires.
A data processing agreement is required for external providers.

A special point is the private use of company email accounts. If this is permitted or tolerated, archiving becomes problematic from a data protection perspective because private communication would also be recorded. The best approach is a clear written policy that excludes private use or refers to a separate email account.

The Austrian Data Protection Authority provides an overview of the obligations of data controllers , and we have developed a toolkit to help meet GDPR requirements.

Practical introduction: Microsoft 365, cloud or own server

Is Microsoft 365 sufficient on its own?

Microsoft 365 offers features like retention policies and an archive mailbox. These are helpful, but only partially replace dedicated archiving.

Especially in Microsoft 365 environments, email archiving should be clearly separated from Microsoft 365 backup . Archiving serves long-term traceability and orderly storage. Backup serves for recovery after loss, failure, or accidental deletion.

The difference lies in traceability and independence: A separate archive keeps storage separate from the production mail system, logs access separately, and remains available even when mailboxes are moved, licenses are changed, or accounts are deleted. The last point is relevant in practice: If a departing employee's license is removed, the associated mailbox disappears after a transition period.

Cloud or own server

For most SMEs, a cloud solution is the more pragmatic approach, provided data location and contract terms are clearly defined. An in-house archive remains a viable option if there are specific requirements regarding data location or if a document management system is already in operation.

In practice, a specialized archiving solution like Inoxision can be beneficial for SMEs if they need to automatically capture emails, store them in an audit-proof manner, make them searchable, and export them as required. Crucially, the solution must be compatible with the existing IT environment, Microsoft 365, and internal permission and deletion policies.

Steps for implementation

Inventory: Which mailboxes exist, and which business transactions are conducted via email?
Define scope: Which mailboxes will be captured, and which categories apply?
Regulate private use: a written agreement before archiving
Define retention periods: seven years as a rule; special cases require separate justification
Define permissions: Who is allowed to search, and who is allowed to export?
Technically integrate: Capture on the mail server, transfer existing data
Document: Processing register, privacy policy, internal guidelines
Rehearse a real-world scenario: search for and export a specific message before an audit is conducted

The last step is regularly skipped, yet it is the most important. An archive from which no one has ever retrieved anything is an untested archive.

Conclusion

Mail Archivierung ist in Österreich keine Kür. Sobald E-Mails Geschäftsvorgänge dokumentieren, unterliegen sie denselben Aufbewahrungspflichten wie Papierunterlagen – in der Regel sieben Jahre, gerechnet ab dem Ende des jeweiligen Kalenderjahres.

Entscheidend sind drei Punkte: Die Erfassung muss automatisch erfolgen, nicht abhängig vom Ablageverhalten Einzelner. Das Archiv muss unveränderbar und durchsuchbar sein. Und es braucht ein Löschkonzept, das Aufbewahrungspflicht und Datenschutz zusammenführt.

Der häufigste Fehler in KMU ist nicht die bewusste Entscheidung gegen ein Archiv, sondern die Annahme, das Postfach genüge. Diese Lücke fällt meist erst dann auf, wenn eine Prüfung ansteht oder eine Nachricht aus einem längst gelöschten Postfach gebraucht wird.

FIGULI CONSULTING unterstützt österreichische Unternehmen dabei, Mail Archivierung als Teil einer sauberen IT- und Dokumentenmanagement-Struktur umzusetzen. Dazu gehören die technische Anbindung an Microsoft 365, passende Berechtigungen, nachvollziehbare Abläufe, sichere Speicherung , eine laufende Betreuung der Systeme und der DSGVO Werkzeugkasten .

Mail Archivierung mit FIGULI umsetzen

Email archiving is mandatory in Austria. As soon as emails document business transactions, they are subject to the same retention requirements as paper documents – generally seven years, calculated from the end of the respective calendar year.

Three points are crucial: Capture must be automated , not dependent on individual filing habits. The archive must be immutable and searchable . And a deletion concept is needed that reconciles retention requirements with data protection.

The most common mistake in SMEs is not consciously deciding against an archive, but rather assuming that the mailbox is sufficient. This shortcoming usually only becomes apparent when an audit is due or a message from a long-deleted mailbox is needed.

FIGULI CONSULTING supports Austrian companies in implementing email archiving as part of a clean IT and document management structure. This includes technical integration with Microsoft 365, appropriate permissions, traceable processes, secure storage, ongoing system support, and the GDPR toolkit .

Implement email archiving with FIGULI

FAQ about email archiving

Is email archiving mandatory in Austria?

Yes. Business emails that constitute business letters, receipts, or tax-relevant documents must be retained. The legal basis for this can be found in the Austrian Commercial Code and the Austrian Federal Fiscal Code. There is no specific email law; the general regulations focus on the content.

How long must business emails be retained?

The general retention period is seven years, starting from the end of the calendar year to which the document belongs. This period is longer, for example, if the documents are relevant to pending legal proceedings or if there are contractual documentation obligations.

Is a backup sufficient as an archive?

No. A backup is used for restoration after a failure, is overwritten, and does not allow for targeted searches for individual messages. An archive preserves messages immutably for the entire retention period and provides a traceable log of access.

What does "audit-proof" mean?

Audit-proof means that messages are fully and automatically captured, stored immutably, logged, searchable, and exportable in a readable format – throughout the entire retention period.

Is Microsoft 365 sufficient for archiving?

Microsoft 365 offers retention policies and an archive mailbox that can serve as a basis. However, a dedicated archive separates the storage from the production system and remains available even if mailboxes are migrated or accounts and licenses are deleted.

How do archiving and GDPR fit together?

Retention is carried out to fulfill a legal obligation and therefore takes precedence over a deletion request. This requires an entry in the processing register, information in the privacy policy, restricted access, and scheduled deletion after the retention period expires.

Can private emails be archived as well?

This is a sensitive issue. If private use of the company mailbox is permitted or tolerated, complete archiving would also capture private communication. A written agreement prohibiting private use or specifying a separate mailbox is recommended.

Does email archiving need to be audit-proof?

Business emails should be archived in such a way that they remain complete, unalterable, retrievable, logged, and readable for the entire retention period. In practice, this is often referred to as audit-proof email archiving. What's important is not a single certification mark, but rather that the requirements are met and documented in a verifiable manner.

Mail Archivierung in Österreich: Pflicht und Fristen

Mon, 24 Aug 2026 06:01:04 GMT

Mail Archivierung: Pflicht, Fristen & DSGVO in Österreich

Mail Archivierung bedeutet, geschäftliche E-Mails samt Anhängen vollständig, geordnet und unveränderbar so aufzubewahren, dass sie über Jahre auffindbar und nachweisbar bleiben.

Für österreichische Unternehmen ist das keine Frage der Zweckmäßigkeit, sondern eine gesetzliche Pflicht . Sobald eine E-Mail einen Geschäftsvorgang dokumentiert – ein Angebot, eine Auftragsbestätigung, eine Rechnung, eine Abnahme – gilt sie als Geschäftsbrief oder Beleg und unterliegt damit denselben Aufbewahrungsvorschriften wie ein Schriftstück auf Papier.

In der Praxis führt das zu einem Missverständnis mit Folgen: "Ist doch alles im Postfach" genügt nicht. Dieser Artikel zeigt, welche E-Mails betroffen sind, wie lange sie aufbewahrt werden müssen, was "revisionssicher" konkret bedeutet und wie sich Aufbewahrungspflicht und Datenschutz zusammenbringen lassen.

Inhaltsverzeichnis

Was Mail Archivierung bedeutet – und was nicht
Die gesetzliche Pflicht in Österreich: UGB und BAO
Welche E-Mails archiviert werden müssen
Aufbewahrungsfristen und Löschkonzept
Revisionssicher archivieren: die technischen Anforderungen
Mail Archivierung und DSGVO
Einführung in der Praxis: Microsoft 365, Cloud oder eigener Server
Fazit – Mail Archivierung
FAQ zur Mail Archivierung

Was Mail Archivierung bedeutet – und was nicht

Ein Archiv erfasst geschäftliche Nachrichten automatisch, speichert sie unveränderbar und macht sie über eine Suche jederzeit auffindbar – unabhängig davon, ob die Nachricht im Postfach noch existiert .

Damit unterscheidet sich Archivierung grundlegend von zwei Dingen, mit denen sie häufig verwechselt wird.

Archivierung ist kein Backup

Ein Backup erstellt Sicherungskopien, um Systeme nach einem Ausfall wiederherzustellen. Es ist zeitpunktbezogen, wird nach einiger Zeit überschrieben und ist nicht dafür gebaut, einzelne Nachrichten über Jahre nachzuweisen.

In einer Betriebsprüfung zählt, ob Unterlagen vollständig, geordnet und inhaltsgleich vorgelegt werden können. Existieren nur Backups, wird die Suche nach einzelnen Nachrichten aufwendig, die Wiederherstellung riskant und die Nachvollziehbarkeit von Löschungen ist meist nicht belegbar. Wie eine Sicherungsstrategie daneben aussieht, behandelt der Beitrag zum Cloud Backup .

Ein volles Postfach ist kein Archiv

Das Postfach ist ein Arbeitswerkzeug. Ordnerstrukturen unterscheiden sich von Person zu Person, Nachrichten werden verschoben, gelöscht oder lokal abgelegt, und der Zugriff hängt am Benutzerkonto.

Daraus entstehen drei typische Lücken:

Personenabhängigkeit: Verlässt jemand das Unternehmen, ist die Korrespondenz oft nicht mehr auffindbar
Fehlende Protokollierung: Ob eine Nachricht gelöscht oder verändert wurde, lässt sich nicht nachweisen
Sammelpostfächer: Adressen wie office@ oder buchhaltung@ werden von mehreren Personen genutzt, ohne dass klar ist, wer was abgelegt hat

Ein Archiv entkoppelt die Aufbewahrung vom individuellen Ablageverhalten. Genau das ist sein eigentlicher Zweck.

Die gesetzliche Pflicht in Österreich: UGB und BAO

In Österreich gibt es kein eigenes "E-Mail-Gesetz". Die Pflicht ergibt sich aus den allgemeinen Vorschriften zur Aufbewahrung von Geschäftsunterlagen – und die stellen auf den Inhalt ab, nicht auf das Medium .

Zwei Rechtsbereiche sind maßgeblich:

Das Unternehmensgesetzbuch (UGB) regelt die Aufbewahrung von Büchern, Belegen und Geschäftsbriefen. Die einschlägige Bestimmung findet sich in § 212 UGB .
Die Bundesabgabenordnung (BAO) regelt die steuerliche Aufbewahrungspflicht und die Vorlagepflicht im Abgabenverfahren. Das Unternehmensserviceportal fasst die Aufbewahrungspflicht und ihre Dauer zusammen.

Gilt das auch für kleine Unternehmen?

Ja. Die Pflicht entsteht durch Inhalte und Geschäftsvorfälle, nicht durch Unternehmensgröße. Auch ein Einpersonenunternehmen muss Rechnungen, Auftragsbestätigungen und Geschäftskorrespondenz aufbewahren.

Der Umfang unterscheidet sich allerdings je nach Geschäftsmodell. Ein projektorientierter Dienstleister dokumentiert Freigaben, Abnahmen und Änderungswünsche überwiegend per E-Mail und hat entsprechend hohe Nachweisbedarfe. Ein Betrieb mit standardisiertem Barverkauf erzeugt deutlich weniger nachweisrelevante Korrespondenz.

Wann wird eine E-Mail zum Geschäftsbrief?

Eine E-Mail wird relevant, sobald sie den Abschluss, die Änderung oder die Durchführung eines Geschäfts dokumentiert. Das betrifft nicht nur formell verfasste Schreiben.

Auch eine kurze Antwort wie "passt so, bitte umsetzen" kann im Projektgeschäft der entscheidende Nachweis sein. Maßgeblich ist die Funktion im Geschäftsprozess, nicht der Betreff und nicht die Länge .

Wichtig für die Praxis: Inhalt, Kopfzeilen und Anhänge gehören zusammen. Eine Rechnung als PDF in der Buchhaltung abzulegen, kann genügen – der Versand- oder Empfangsnachweis über die E-Mail kann im Streitfall aber ebenso entscheidend sein.

Welche E-Mails archiviert werden müssen

Statt einzelner Listen hilft eine Prüfung anhand von vier Kriterien:

Dokumentiert die E-Mail einen Geschäftsvorgang oder eine Entscheidung?
Hat sie steuerliche Relevanz oder Belegcharakter?
Wäre der Inhalt in einem Streitfall beweisrelevant?
Gehört ein Anhang untrennbar zur Aussage der Nachricht?

Wird eine Frage mit Ja beantwortet, gehört die Nachricht ins Archiv.

Vorsicht bei der rechten Spalte: Eine Terminbestätigung wird aufbewahrungspflichtig, sobald sie eine verbindliche Zusage oder eine Leistungsabnahme dokumentiert. Im Zweifel gilt die Nachweisfunktion, nicht die äußere Form.

Ebenso wichtig ist die Gegenrichtung: Nicht alles dauerhaft zu speichern ist kein Versäumnis, sondern eine Datenschutzanforderung. Eine pauschale Vollarchivierung sämtlicher Postfächer erzeugt unnötige Bestände personenbezogener Daten.

Wer diesen Rahmen für sein Unternehmen sauber abstecken will, braucht meist beides: die rechtliche Einordnung und die technische Umsetzung. FIGULI CONSULTING begleitet österreichische KMU bei Dokumentenmanagement- und Archivierungsprojekten: von der Festlegung des Archivierungsumfangs über die Anbindung an Microsoft 365 bis zu Suche, Export, Berechtigungen und Löschregeln. Je nach Umgebung kann dafür eine revisionssichere Archivierungslösung wie Inoxision eingesetzt werden.

Archivierungspflicht mit FIGULI klären

Aufbewahrungsfristen und Löschkonzept

Die allgemeine Aufbewahrungsfrist beträgt in Österreich sieben Jahre . Sie beginnt mit dem Ende des Kalenderjahres, dem die Unterlage zuzuordnen ist – eine Rechnung aus dem März läuft also nicht ab dem März, sondern ab dem darauffolgenden Jahreswechsel.

Wann die Frist länger läuft

Die sieben Jahre sind der Regelfall, nicht die Obergrenze. Länger aufbewahrt werden muss unter anderem, wenn Unterlagen für ein anhängiges Verfahren von Bedeutung sind.

Darüber hinaus können sich längere Fristen ergeben aus:

vertraglichen Dokumentationspflichten gegenüber Auftraggebern
langen Gewährleistungs- oder Haftungszeiträumen, etwa im Bauwesen
Projekten mit mehrjähriger Laufzeit
branchenspezifischen regulatorischen Vorgaben

Behandeln Sie solche Fälle nicht als Ausnahmen im Einzelfall, sondern als definierte Zusatzkategorie mit dokumentierter Begründung , etwa "Projekt X – verlängerte Aufbewahrung bis 2035". Sonst entsteht ein Flickenteppich, den nach einigen Jahren niemand mehr nachvollziehen kann.

Warum ein Löschkonzept dazugehört

Ein Archiv ohne Löschregeln ist unvollständig. Nach Ablauf der Frist sollten Daten planmäßig entfernt werden , sofern kein anderer Grund für die weitere Aufbewahrung besteht.

Das dient nicht nur dem Datenschutz. Auch praktisch ist ein Archiv, das seit fünfzehn Jahren alles enthält, in der Recherche unbrauchbar und im Streitfall ein Risiko: Was vorhanden ist, kann angefordert werden.

Revisionssicher archivieren: die technischen Anforderungen

"Revisionssicher" ist kein Gütesiegel, sondern eine Sammlung nachprüfbarer Eigenschaften. Ein Archiv sollte diese sechs Anforderungen erfüllen:

Vollständigkeit: Nachrichten werden automatisch beim Ein- und Ausgang erfasst, nicht erst durch manuelles Verschieben
Unveränderbarkeit: Einmal archivierte Inhalte lassen sich nicht nachträglich ändern oder unbemerkt entfernen
Nachvollziehbarkeit: Jeder Zugriff, jede Suche und jeder Export wird protokolliert
Auffindbarkeit: Volltextsuche über Inhalte, Kopfzeilen und Anhänge
Vorlagefähigkeit: Export in einem gängigen, lesbaren Format samt Kontext
Lesbarkeit über die gesamte Frist: Die Inhalte müssen auch in sieben Jahren noch les- und auswertbar sein

Der erste Punkt ist der wichtigste und wird am häufigsten unterschätzt. Sobald Archivierung davon abhängt, dass jemand eine Nachricht bewusst ablegt, ist sie nicht vollständig. Erfassung muss automatisch am Mailserver erfolgen, bevor eine Nachricht überhaupt im Postfach landet.

Ebenso relevant ist ein Rollen- und Berechtigungskonzept : Wer darf im Archiv suchen? Wer darf exportieren? Ein Archiv enthält die gesamte Geschäftskorrespondenz – uneingeschränkter Zugriff für alle wäre weder datenschutzkonform noch betrieblich sinnvoll.

Mail Archivierung und DSGVO

Aufbewahrungspflicht und Datenschutz wirken auf den ersten Blick gegensätzlich: Das eine verlangt Speicherung, das andere Löschung. Auflösen lässt sich das über die Zweckbindung.

Die Aufbewahrung erfolgt zur Erfüllung einer rechtlichen Verpflichtung . Solange diese Pflicht besteht, geht sie einem Löschbegehren vor. Verlangt eine Person die Löschung ihrer Daten, betrifft das nicht Rechnungen und Geschäftskorrespondenz, die gesetzlich aufzubewahren sind.

Daraus ergeben sich konkrete Anforderungen:

Das Archiv gehört ins Verarbeitungsverzeichnis , mit Zweck, Rechtsgrundlage und Löschfrist
Betroffene sind in der Datenschutzerklärung über die Aufbewahrung zu informieren
Zugriffe sind auf einen definierten Personenkreis zu beschränken und zu protokollieren
Nach Fristablauf ist planmäßig zu löschen
Bei einem externen Anbieter ist ein Auftragsverarbeitungsvertrag erforderlich

Ein besonderer Punkt ist die private Nutzung des Firmenpostfachs . Ist sie erlaubt oder wird sie geduldet, wird die Archivierung datenschutzrechtlich heikel, weil private Kommunikation miterfasst würde. Der saubere Weg ist eine klare schriftliche Regelung, die private Nutzung ausschließt oder auf ein getrenntes Postfach verweist.

Die österreichische Datenschutzbehörde beschreibt die Pflichten von Verantwortlichen im Überblick und rur Erfüllung der DSGVO Anforderungen haben wir einen Werkzeugkasten entwickelt.

Einführung in der Praxis: Microsoft 365, Cloud oder eigener Server

Reicht Microsoft 365 allein aus?

Microsoft 365 bietet Funktionen wie Aufbewahrungsrichtlinien und ein Archivpostfach. Diese helfen, ersetzen eine dedizierte Archivierung aber nur bedingt.

Gerade in Microsoft-365-Umgebungen sollte Mail Archivierung klar von Microsoft 365 Backup getrennt werden. Archivierung dient der langfristigen Nachweisbarkeit und geordneten Aufbewahrung. Backup dient der Wiederherstellung nach Verlust, Ausfall oder versehentlicher Löschung.

Der Unterschied liegt in Nachweisbarkeit und Unabhängigkeit: Ein eigenständiges Archiv trennt die Aufbewahrung vom produktiven Mailsystem, protokolliert Zugriffe gesondert und bleibt auch dann verfügbar, wenn Postfächer umgezogen, Lizenzen geändert oder Konten gelöscht werden. Der letzte Punkt ist praxisrelevant: Wird die Lizenz einer ausgeschiedenen Person entfernt, ist das zugehörige Postfach nach einer Übergangsfrist weg.

Cloud oder eigener Server

Für die meisten KMU ist eine Cloud-Lösung der pragmatischere Weg, sofern Datenstandort und Vertragsgestaltung geklärt sind. Ein Archiv im eigenen Haus bleibt sinnvoll, wenn besondere Anforderungen an den Datenstandort bestehen oder bereits ein Dokumentenmanagementsystem betrieben wird.

In der Praxis kann für KMU eine spezialisierte Archivierungslösung wie Inoxision sinnvoll sein, wenn E-Mails automatisch erfasst, revisionssicher gespeichert, durchsuchbar gemacht und bei Bedarf exportiert werden sollen. Entscheidend ist, dass die Lösung zur bestehenden IT-Umgebung, zu Microsoft 365 und zu den internen Berechtigungs- und Löschregeln passt.

Schritte zur Einführung

Bestandsaufnahme: Welche Postfächer existieren, welche Geschäftsvorgänge laufen über E-Mail?
Umfang festlegen: Welche Postfächer werden erfasst, welche Kategorien gelten?
Private Nutzung regeln: schriftliche Vereinbarung, bevor archiviert wird
Fristen definieren: Regelfall sieben Jahre, Sonderfälle gesondert begründen
Berechtigungen festlegen: Wer darf suchen, wer exportieren?
Technisch anbinden: Erfassung am Mailserver, Altbestände übernehmen
Dokumentieren: Verarbeitungsverzeichnis, Datenschutzerklärung, interne Richtlinie
Ernstfall proben: eine konkrete Nachricht suchen und exportieren, bevor es eine Prüfung tut

Der letzte Schritt wird regelmäßig übersprungen und ist der wichtigste. Ein Archiv, aus dem noch nie jemand etwas herausgesucht hat, ist ein ungetestetes Archiv.

Fazit

FIGULI CONSULTING unterstützt österreichische Unternehmen dabei, Mail Archivierung als Teil einer sauberen IT- und Dokumentenmanagement-Struktur umzusetzen. Dazu gehören die technische Anbindung an Microsoft 365, passende Berechtigungen, nachvollziehbare Abläufe, sichere Speicherung, eine laufende Betreuung der Systeme und der DSGVO Werkzeugkasten .

Mail Archivierung mit FIGULI umsetzen

FAQ zur Mail Archivierung

Ist Mail Archivierung in Österreich Pflicht?

Ja. Geschäftliche E-Mails, die Geschäftsbriefe, Belege oder steuerrelevante Unterlagen darstellen, sind aufbewahrungspflichtig. Die Grundlagen finden sich im Unternehmensgesetzbuch und in der Bundesabgabenordnung. Ein eigenes E-Mail-Gesetz gibt es nicht, die allgemeinen Vorschriften stellen auf den Inhalt ab.

Wie lange müssen geschäftliche E-Mails aufbewahrt werden?

Die allgemeine Frist beträgt sieben Jahre, beginnend mit dem Ende des Kalenderjahres, dem die Unterlage zuzuordnen ist. Länger gilt sie unter anderem, wenn die Unterlagen für ein anhängiges Verfahren von Bedeutung sind oder vertragliche Dokumentationspflichten bestehen.

Genügt ein Backup als Archiv?

Nein. Ein Backup dient der Wiederherstellung nach einem Ausfall, wird überschrieben und erlaubt keine gezielte Suche nach einzelnen Nachrichten. Ein Archiv bewahrt Nachrichten unveränderbar über die gesamte Frist auf und protokolliert Zugriffe nachvollziehbar.

Was bedeutet revisionssicher?

Revisionssicher bedeutet, dass Nachrichten vollständig und automatisch erfasst, unveränderbar gespeichert, protokolliert, durchsuchbar und in lesbarer Form exportierbar sind – und zwar über die gesamte Aufbewahrungsfrist hinweg.

Reicht Microsoft 365 für die Archivierung aus?

Microsoft 365 bietet Aufbewahrungsrichtlinien und ein Archivpostfach, die als Grundlage dienen können. Ein eigenständiges Archiv trennt die Aufbewahrung jedoch vom produktiven System und bleibt auch dann verfügbar, wenn Postfächer umgezogen oder Konten samt Lizenz gelöscht werden.

Wie passen Archivierung und DSGVO zusammen?

Die Aufbewahrung erfolgt zur Erfüllung einer rechtlichen Verpflichtung und geht einem Löschbegehren insoweit vor. Erforderlich sind ein Eintrag im Verarbeitungsverzeichnis, Information in der Datenschutzerklärung, beschränkte Zugriffe und planmäßige Löschung nach Fristablauf.

Dürfen private E-Mails mitarchiviert werden?

Das ist heikel. Ist die private Nutzung des Firmenpostfachs erlaubt oder geduldet, würde eine vollständige Archivierung auch private Kommunikation erfassen. Empfehlenswert ist eine schriftliche Regelung, die private Nutzung ausschließt oder auf ein getrenntes Postfach verweist.

Muss Mail Archivierung revisionssicher sein?

Geschäftliche E-Mails sollten so archiviert werden, dass sie vollständig, unveränderbar, auffindbar, protokolliert und über die gesamte Aufbewahrungsfrist lesbar bleiben. In der Praxis wird dafür häufig von revisionssicherer Mail Archivierung gesprochen. Wichtig ist nicht ein einzelnes Gütesiegel, sondern dass die Anforderungen nachvollziehbar erfüllt und dokumentiert werden.

Patch Management: Process, Risks and Best Practices

Mon, 17 Aug 2026 05:52:26 GMT

Patch Management: Process, Risks and Best Practices

Patch management is the structured process by which a company records, evaluates, tests, distributes, and verifies software fixes. It's much more than simply clicking "Update Now."

The difference becomes apparent when multiple servers, workstations, mobile devices, and specialized applications are involved. This is when the real challenge arises: Which updates are security-relevant, which could disrupt operations, and when can they be installed without interrupting business?

Patch management balances two opposing risks. Updating too late leaves known security vulnerabilities open. Updating without proper evaluation risks outages. This article shows how to reconcile these two risks: with a seven-step process, clear target times, maintenance windows, and transparent documentation.

What is Patch Management?
Patch, Update, or Upgrade: The Differences
What Risks Arise – On Both Sides
The Patch Management Process in 7 Steps
Best Practices for SMEs: Target Times, Maintenance Windows, Exceptions
Tools and Automation
Do It Yourself or Outsource?
Conclusion
FAQ on Patch Management

What is patch management?

Patch management refers to the recurring process of identifying software and system fixes, assessing their risk, testing them, distributing them in a controlled manner, and documenting the results. The goal is to close known security gaps without compromising operational stability.

Installing individual updates may seem simple at first, but it doesn't scale. As soon as multiple locations, mobile devices, different software versions, and business-critical applications are involved, the coordination effort and the risk of errors increase dramatically.

In contrast, a process ensures repeatability: consistent evaluation criteria, standardized testing procedures, defined rollout phases, and documentation of what was implemented and when.

Which systems are included

A complete scope encompasses significantly more than just Windows workstations:

Workstations: Operating systems, browsers and their extensions, mobile devices
Servers: Windows and Linux servers, virtualization platforms, databases
Network: Firewalls, switches, VPN connections, access points
Third-party software: PDF programs, Office extensions, runtime environments, industry-specific software

The last group is the most common blind spot. These programs are not maintained via the operating system's central update mechanisms and therefore often remain outdated for years – even though they are frequently used for attacks.

Also easily overlooked: Network devices at the internet edge. A firewall or VPN connection is accessible from the outside and is therefore a prime target. Firmware updates for these devices are an essential part of the process.

Patch, update or upgrade: the differences

The three terms are often used interchangeably in everyday language, but they differ in scope, risk, and testing effort.

In practical terms, this means that a security patch for an exposed server should be installed within a few days. In contrast, upgrading to a new major version of a business application is a separate project with a testing phase, deadline, and fallback plan.

What risks arise – on both sides?

Patch management is challenging because both directions are dangerous.

Risk 1: updating too late

Manufacturers typically only release patches after a vulnerability has been analyzed. Publication makes the vulnerability public , and with it, the risk increases dramatically because attackers adjust their automated scans accordingly.

Unpatched systems are then exploited for initial network access, privilege escalation, or data exfiltration. A lack of updates is among the most frequent causes of successful attacks on companies, particularly as an entry point for ransomware.

Risk 2: updating without verification

An update can fix security problems while simultaneously introducing new ones. Changes to drivers, login procedures, network components, and anything else that business applications depend on are particularly vulnerable.

Typical errors after an untested rollout include:

Login problems after changes to authentication components
VPN connections dropping while working from home
Business software failing to start or losing database connection
Printer or scanner functions failing
Noticeable performance degradation on terminal servers

The solution is not to patch less, but to patch in stages. First a small pilot group, then the wider community.

The patch management process in 7 steps

The following process works even with limited resources and still provides sufficient control and evidence.

Inventory: What devices, operating systems, applications, and network components exist, and how critical is each system?
Identify patch sources: Where does information about available fixes come from—vendor channels, management tools, security alerts?
Prioritize: Link the severity of the vulnerability to its business criticality and external accessibility.
Test: Pilot group for workstations, separate testing for critical server roles.
Plan the rollout: Define phases, coordinate maintenance windows, clarify restart rules and communication.
Deploy and monitor: Monitor installation status, error messages, and service availability.
Document and improve: Secure evidence, record exceptions, and incorporate findings into the next cycle.

Steps 1 and 2: No inventory, no patch management

The most common reason for gaps in inventory is not negligence, but a lack of awareness of one's own assets. Systems that no one has on their inventory list will not be updated: the old server in the next room, the laptop of someone who is rarely present, the network device at a branch office.

A useful inventory for each system records: a clear name, role, criticality, installed software with its version, and the responsible person. For mobile devices, the fact that they are often offline adds another layer of complexity – the process must include catch-up time.

Steps 3 and 4: Prioritize and test

Prioritization combines technical complexity with operational importance . A critical patch for an internet-accessible server takes precedence over an equally critical patch for an isolated test system.

For standard workstations, a representative pilot group of a few devices from different departments is usually sufficient for testing. For terminal servers, ERP systems, or industry-specific software, a dedicated test environment that replicates the core dependencies is worthwhile.

Define specific test cases in advance instead of general observations: login, access to network drives, printing, VPN connection, application startup, database access. And define termination criteria – at what point should the test be rolled back instead of being reworked?

Steps 5 to 7: Roll out, monitor, verify

Roll out in phases: pilot group, then standard workstations, then servers according to criticality.

Before making any changes to critical systems, a verified backup is essential. In virtualized environments, snapshots offer a quick way to revert to the original system—but they don't replace a backup because they reside on the same infrastructure.

Documentation is not an end in itself. In a crisis, it answers the crucial question: Was this system up-to-date at the time of the incident? Without documentation, it's impossible to pinpoint the cause or provide evidence to insurance companies or auditors.

For small and medium-sized enterprises (SMEs) without their own IT department, this very continuity is the hurdle—not the individual update. FIGULI CONSULTING builds the inventory, prioritizes security-relevant changes, coordinates testing, and manages the rollout with continuous monitoring. A central management platform is used to keep track of patch levels, errors, and exceptions for all managed systems.

Plan Patch Management with FIGULI

Best practices for SMEs: Target times, maintenance windows, exceptions

Define target times for each level of criticality

Instead of "as quickly as possible," verifiable targets are needed. A simple, phased approach has proven effective:

The specific timeframes must be tailored to the company. Crucially, they must be documented and measurable.

Once a vulnerability ( CVE - Common Vulnerabilities and Exposures) with a CVSS score of 9.8 or higher is public and affects systems directly accessible from the internet, we recommend installing the patches or updates within 24 hours .

Coordinate maintenance windows with the relevant departments.

A maintenance window that affects accounting on the last day of the month will be avoided the second time around. Agree on fixed time slots with the relevant departments and communicate restarts in advance.

Announce necessary restarts early and clearly. Most of the available patches are already technically installed and are simply waiting for a restart, which no one is performing.

Exceptions are temporary

There will always be systems that cannot be updated—for example, a machine control system with manufacturer approval for a specific version.

Such exceptions are justifiable, but only under three conditions: they must be j ustified in writing, have an expiration date, and be secured by countermeasures , such as network segmentation or restricted access rights. An indefinite exception is not an exception at all, but rather a permanently open security gap.

Many companies use the module on patch and change management from the IT Baseline Protection Compendium as a guide for organizational structure.

Tools and automation

A suitable tool reduces tedious work, but it doesn't replace decision-making. Five functions are crucial:

Inventory: automatic recording of devices, software, and version numbers
Control: pilot groups, rollout phases, schedules, restart rules
Coverage of third-party software , not just the operating system
Reporting: technical status for IT, concise overview for management
Revert: defined methods for undoing changes

In mixed environments, a combination is usually necessary: the operating system's built-in tools for system updates, supplemented by a platform for third-party software and a central overview. For Linux servers, controlled package repositories and service-related tests are essential; for macOS, centralized management of operating system and program updates is key.

Automation is beneficial, but full automation is rare. Standard workstations can be largely automated. For servers and specialized applications, deliberate approval remains the better approach.

Operate it yourself or outsource it?

Without an in-house IT department, the challenge lies not in individual updates, but in ensuring reliable operation over months : keeping inventory up-to-date, prioritizing tasks, coordinating tests, monitoring rollouts, and maintaining documentation.

Outsourcing is worthwhile if updates regularly get delayed in daily operations, if many mobile devices or multiple locations need to be managed, or if critical systems require stable maintenance processes.

Responsibilities should remain clearly defined:

The costs depend primarily on the number of systems, the complexity of the environment, the amount of third-party software used, the desired response times, and the level of documentation required. Expect one-time costs for setup and inventory, as well as ongoing costs for operation, monitoring, and reporting.

Conclusion

Reliable patch management isn't achieved through isolated actions, but through clearly defined roles, binding target times, phased rollouts, and verifiable documentation. Patch management reduces the risk of successful attacks while simultaneously increasing stability because changes are implemented in a controlled manner rather than improvised.

Getting started doesn't require a comprehensive process. Begin with a complete inventory – it almost always uncovers systems that no one had considered. Then add target times for each criticality level and a fixed monthly cycle. Testing, reporting, and written policies are added gradually.

FIGULI CONSULTING supports Austrian SMEs in setting up and maintaining a structured patch management system: with inventory, prioritization, maintenance windows, rollout monitoring, and transparent reporting. This ensures that security updates are reliably installed without unnecessarily disrupting business operations.

Plan your patch management with FIGULI

FAQ on Patch Management

What is Patch Management?

Patch management is the structured process of identifying, prioritizing, testing, deploying, and documenting fixes for operating systems, applications, and devices. The goal is to close security gaps promptly while ensuring operational stability through controlled changes.

What is the difference between a patch, an update, and an upgrade?

A patch specifically addresses a vulnerability or a particular bug. An update bundles several changes and may include minor functional adjustments. An upgrade is a version jump with new features and significantly more testing and migration effort.

What risks arise from missing patches?

Known vulnerabilities remain exploitable and can serve as an entry point into the network, a means of escalating privileges, or for ransomware. Especially for servers, firewalls, and VPN connections, patch management should be closely integrated with ongoing server maintenance.

How often should updates be installed?

A staggered approach based on criticality is advisable: security-critical fixes for exposed systems within a few days, critical internal systems during the next maintenance window, and standard workstations on a monthly cycle. Crucially, the target times must be documented and verifiable.

How do I test patches before rollout?

Use a pilot group consisting of a few devices from different departments. For critical applications, also use a test environment. Define specific test cases such as login, printing, VPN connection, and database access, as well as clear termination criteria and a fallback plan.

What should be included in patch management?

In addition to workstations and servers, network devices such as firewalls, switches, and VPN access points are included, as well as virtualization platforms and third-party software. Third-party software and network devices are often overlooked, even though they are regularly used for attacks.

When is outsourcing worthwhile?

Outsourcing is beneficial when updates are neglected in daily operations, when many mobile devices or multiple locations need to be managed, or when critical systems require stable maintenance processes. Internally, approvals and business priorities remain the focus; externally, inventory, rollout, monitoring, and documentation are handled.

Patch Management: Prozess, Risiken und Best Practices

Mon, 17 Aug 2026 05:52:24 GMT

Patch Management: Prozess, Risiken und Best Practices

Patch Management ist der geregelte Ablauf, mit dem ein Unternehmen Software-Korrekturen erfasst, bewertet, testet, verteilt und nachweist. Es ist damit deutlich mehr als das Anklicken von "Jetzt aktualisieren".

Der Unterschied wird spürbar, sobald mehrere Server, Arbeitsplätze, mobile Geräte und Fachanwendungen im Spiel sind. Dann entsteht die eigentliche Herausforderung: Welche Updates sind sicherheitsrelevant, welche können Abläufe stören, und wann lassen sie sich einspielen, ohne den Betrieb zu unterbrechen?

Denn Patch Management balanciert zwei gegenläufige Risiken. Wer zu spät aktualisiert, lässt bekannte Sicherheitslücken offen. Wer ungeprüft aktualisiert, riskiert Ausfälle. Dieser Artikel zeigt, wie beides zusammengeht: mit einem Prozess in sieben Schritten, klaren Zielzeiten, Wartungsfenstern und nachvollziehbarer Dokumentation.

Inhaltsverzeichnis

Was ist Patch Management?
Patch, Update oder Upgrade: die Unterschiede
Welche Risiken entstehen – auf beiden Seiten
Der Patch-Management-Prozess in 7 Schritten
Best Practices für KMU: Zielzeiten, Wartungsfenster, Ausnahmen
Werkzeuge und Automatisierung
Selbst betreiben oder auslagern?
Fazit
FAQ zum Patch Management

Was ist Patch Management?

Patch Management bezeichnet den wiederkehrenden Prozess, Software- und Systemkorrekturen zu identifizieren, nach Risiko zu bewerten, zu testen, kontrolliert zu verteilen und das Ergebnis nachzuweisen. Ziel ist, bekannte Sicherheitslücken zu schließen, ohne die Betriebsstabilität zu gefährden .

Einzelne Updates zu installieren wirkt zunächst simpel, lässt sich aber nicht skalieren. Sobald mehrere Standorte, mobile Geräte, unterschiedliche Softwarestände und geschäftskritische Anwendungen zusammenkommen, steigen Koordinationsaufwand und Fehlerrisiko sprunghaft.

Ein Prozess schafft dagegen Wiederholbarkeit: gleiche Bewertungskriterien, gleiches Testvorgehen, definierte Rollout-Wellen und ein Nachweis darüber, was wann umgesetzt wurde.

Welche Systeme dazugehören

Ein vollständiger Geltungsbereich umfasst deutlich mehr als Windows-Arbeitsplätze:

Arbeitsplätze: Betriebssysteme, Browser und deren Erweiterungen, mobile Geräte
Server: Windows- und Linux-Server, Virtualisierungsplattformen, Datenbanken
Netzwerk: Firewalls, Switches, VPN-Zugänge, Access Points
Software von Drittanbietern: PDF-Programme, Office-Erweiterungen, Laufzeitumgebungen, Branchensoftware

Die letzte Gruppe ist der häufigste blinde Fleck. Diese Programme werden nicht über die zentralen Update-Mechanismen des Betriebssystems gepflegt und bleiben deshalb oft jahrelang auf veralteten Ständen – obwohl gerade sie regelmäßig für Angriffe genutzt werden.

Ebenfalls leicht übersehen: Netzwerkgeräte am Internetrand . Eine Firewall oder ein VPN-Zugang ist von außen erreichbar und damit ein bevorzugtes Ziel. Firmware-Updates für diese Geräte gehören zwingend in den Prozess.

Patch, Update oder Upgrade: die Unterschiede

Die drei Begriffe werden im Alltag vermischt, unterscheiden sich aber in Umfang, Risiko und Testaufwand.

Praktisch bedeutet das: Ein Sicherheitspatch für einen exponierten Server sollte innerhalb von Tagen eingespielt werden. Ein Upgrade auf eine neue Hauptversion einer Fachanwendung ist dagegen ein eigenständiges Projekt mit Testphase, Termin und Rückfallplan.

Welche Risiken entstehen – auf beiden Seiten

Patch Management ist deshalb anspruchsvoll, weil beide Richtungen gefährlich sind.

Risiko 1: zu spät aktualisieren

Hersteller veröffentlichen Korrekturen meist erst, nachdem eine Schwachstelle analysiert wurde. Mit der Veröffentlichung wird die Lücke öffentlich – und damit steigt das Risiko schlagartig, weil Angreifer ihre automatisierten Suchläufe entsprechend anpassen.

Ungepatchte Systeme werden dann für den Ersteinstieg ins Netzwerk, für die Ausweitung von Berechtigungen oder für Datenabfluss genutzt. Fehlende Updates zählen zu den häufigsten Ursachen erfolgreicher Angriffe auf Unternehmen, insbesondere als Einfallstor für Verschlüsselungstrojaner.

Risiko 2: ungeprüft aktualisieren

Ein Update kann Sicherheitsprobleme lösen und gleichzeitig neue Fehler einführen. Besonders empfindlich sind Änderungen an Treibern, Anmeldeverfahren, Netzwerkkomponenten und allem, wovon Fachanwendungen abhängen.

Typische Fehlerbilder nach einem ungetesteten Rollout:

Anmeldeprobleme nach Änderungen an Authentifizierungskomponenten
abbrechende VPN-Verbindungen im Homeoffice
Fachsoftware startet nicht mehr oder verliert die Datenbankverbindung
Drucker- oder Scannerfunktionen fallen aus
spürbare Leistungseinbußen auf Terminalservern

Die Konsequenz ist nicht, weniger zu patchen, sondern gestaffelt zu patchen. Erst eine kleine Pilotgruppe, dann die Breite.

Der Patch-Management-Prozess in 7 Schritten

Der folgende Ablauf funktioniert auch mit begrenzten Ressourcen und liefert trotzdem ausreichend Kontrolle und Nachweise.

Inventarisieren: Welche Geräte, Betriebssysteme, Anwendungen und Netzwerkkomponenten existieren, und wie kritisch ist jedes System?
Patchquellen erfassen: Woher kommen Informationen über verfügbare Korrekturen – Herstellerkanäle, Verwaltungswerkzeuge, Sicherheitsmeldungen?
Priorisieren: Schweregrad der Lücke mit Geschäftskritikalität und Erreichbarkeit von außen verbinden
Testen: Pilotgruppe für Arbeitsplätze, gesonderte Prüfung für kritische Serverrollen
Rollout planen: Wellen festlegen, Wartungsfenster abstimmen, Neustartregeln und Kommunikation klären
Ausrollen und überwachen: Installationsstatus, Fehlermeldungen und Dienstverfügbarkeit kontrollieren
Dokumentieren und verbessern: Nachweise sichern, Ausnahmen festhalten, Erkenntnisse in den nächsten Zyklus übernehmen

Schritt 1 und 2: Ohne Inventar kein Patch Management

Der häufigste Grund für Lücken ist nicht Nachlässigkeit, sondern Unwissen über den eigenen Bestand . Systeme, die niemand auf der Liste hat, werden auch nicht aktualisiert: der alte Server im Nebenraum, das Notebook einer selten anwesenden Person, das Netzwerkgerät einer Außenstelle.

Ein brauchbares Inventar hält je System fest: eindeutige Bezeichnung, Rolle, Kritikalität, installierte Software mit Versionsstand und verantwortliche Person. Bei mobilen Geräten kommt hinzu, dass sie oft offline sind – der Prozess muss Nachholzeiträume vorsehen.

Schritt 3 und 4: Priorisieren und testen

Priorisierung verbindet technische Schwere mit betrieblicher Bedeutung . Ein kritischer Patch für einen aus dem Internet erreichbaren Server hat Vorrang vor einem ebenso kritischen Patch für ein isoliertes Testsystem.

Beim Testen genügt für Standardarbeitsplätze meist eine repräsentative Pilotgruppe von wenigen Geräten aus unterschiedlichen Abteilungen. Für Terminalserver, ERP-Systeme oder Branchensoftware lohnt eine echte Testumgebung, die die zentralen Abhängigkeiten abbildet.

Definieren Sie vorab konkrete Testfälle statt allgemeiner Beobachtung: Anmeldung, Zugriff auf Netzlaufwerke, Druck, VPN-Verbindung, Start der Fachanwendung, Datenbankzugriff. Und legen Sie Abbruchkriterien fest – ab wann wird zurückgerollt statt nachgebessert?

Schritt 5 bis 7: Ausrollen, überwachen, nachweisen

Rollen Sie in Wellen aus: Pilotgruppe, dann Standardarbeitsplätze, dann Server nach Kritikalität.

Vor Änderungen an kritischen Systemen gehört ein geprüftes Backup dazu. In virtualisierten Umgebungen sind Snapshots ein schnelles Rücknahmemittel – sie ersetzen aber kein Backup, weil sie auf derselben Infrastruktur liegen.

Die Dokumentation ist kein Selbstzweck. Sie beantwortet im Ernstfall die entscheidende Frage: War dieses System zum Zeitpunkt des Vorfalls aktuell? Ohne Nachweis lässt sich weder die Ursache eingrenzen noch gegenüber Versicherung oder Prüfern etwas belegen.

Für kleine und mittlere Unternehmen ohne eigene IT-Abteilung ist genau diese Kontinuität die Hürde – nicht das einzelne Update. FIGULI CONSULTING baut das Inventar auf, priorisiert sicherheitsrelevante Änderungen, koordiniert Tests und steuert den Rollout mit laufender Überwachung. Eingesetzt wird dafür eine zentrale Verwaltungsplattform, über die Patchstände, Fehler und Ausnahmen aller betreuten Systeme sichtbar bleiben.

Patch Management mit FIGULI planen

Best Practices für KMU: Zielzeiten, Wartungsfenster, Ausnahmen

Zielzeiten je Kritikalität festlegen

Statt "so schnell wie möglich" braucht es überprüfbare Vorgaben. Bewährt hat sich eine einfache Staffelung:

Die konkreten Zeiten müssen zum Unternehmen passen. Entscheidend ist, dass sie schriftlich festgehalten und messbar sind.

Ab der Veröffentlichung einer Schwachstelle ( CVE Common Vulnerabilities and Exposures) mit einem CVSS Score 9.8 oder höher und betroffenen Systemen die direkt aus dem Internet erreichbar sind, empfehlen wir die Patches oder Updates in weniger als 24 Stunden zu installieren.

Wartungsfenster mit den Fachbereichen abstimmen

Ein Wartungsfenster, das die Buchhaltung am Monatsletzten trifft, wird beim zweiten Mal umgangen. Stimmen Sie feste Zeitfenster mit den Fachbereichen ab und kommunizieren Sie Neustarts vorab.

Kündigen Sie erforderliche Neustarts früh und deutlich an. Ein Großteil der offenen Patches ist technisch längst installiert und wartet lediglich auf einen Neustart, den niemand durchführt.

Ausnahmen befristen

Es wird immer Systeme geben, die nicht aktualisiert werden können – etwa eine Maschinensteuerung mit Herstellerfreigabe für eine bestimmte Version.

Solche Ausnahmen sind vertretbar, aber nur unter drei Bedingungen: schriftlich begründet, mit Ablaufdatum versehen und durch Ersatzmaßnahmen abgesichert , etwa Netzwerktrennung oder eingeschränkte Zugriffsrechte. Eine unbefristete Ausnahme ist keine Ausnahme, sondern eine dauerhaft offene Lücke.

Als fachliche Orientierung für den organisatorischen Aufbau dient vielen Unternehmen der Baustein zum Patch- und Änderungsmanagement aus dem IT-Grundschutz-Kompendium.

Werkzeuge und Automatisierung

Ein geeignetes Werkzeug nimmt die Fleißarbeit ab, ersetzt aber keine Entscheidungen. Wichtig sind fünf Funktionen:

Inventar: automatische Erfassung von Geräten, Software und Versionsständen
Steuerung: Pilotgruppen, Rollout-Wellen, Zeitpläne, Neustartregeln
Abdeckung von Drittanbieter-Software , nicht nur des Betriebssystems
Reporting: technischer Status für die IT, verdichtete Übersicht für die Geschäftsführung
Rücknahme: definierte Wege, eine Änderung rückgängig zu machen

In gemischten Umgebungen ist meist eine Kombination nötig: Bordmittel des Betriebssystems für Systemupdates, ergänzt um eine Plattform für Fremdsoftware und zentrale Übersicht. Für Linux-Server sind kontrollierte Paketquellen und dienstbezogene Tests ausschlaggebend, für macOS die zentrale Verwaltung von Betriebssystem- und Programmaktualisierungen.

 Automatisierung ist sinnvoll, Vollautomatik selten. Standardarbeitsplätze lassen sich weitgehend automatisiert versorgen. Bei Servern und Fachanwendungen bleibt eine bewusste Freigabe der bessere Weg.

Selbst betreiben oder auslagern?

Ohne eigene IT-Abteilung liegt die Schwierigkeit nicht im einzelnen Update, sondern im verlässlichen Betrieb über Monate : Inventar aktuell halten, priorisieren, Tests koordinieren, Rollouts überwachen, Nachweise führen.

Eine Auslagerung lohnt sich, wenn Updates im Tagesgeschäft regelmäßig liegen bleiben, viele mobile Geräte oder mehrere Standorte zu betreuen sind oder kritische Systeme stabile Wartungsabläufe brauchen.

Klar getrennt bleiben sollten dabei die Zuständigkeiten:

Die Kosten hängen vor allem von Systemanzahl, Vielfalt der Umgebung, Anteil an Drittanbieter-Software, gewünschten Reaktionszeiten und Dokumentationstiefe ab. Rechnen Sie mit einmaligem Aufwand für Aufbau und Inventar sowie laufenden Kosten für Betrieb, Überwachung und Reporting.

Fazit

Verlässlicher Update-Betrieb entsteht nicht durch einzelne Aktionen, sondern durch klare Rollen, verbindliche Zielzeiten, gestaffelte Rollouts und nachvollziehbare Nachweise. Patch Management senkt das Risiko erfolgreicher Angriffe und erhöht gleichzeitig die Stabilität, weil Änderungen kontrolliert eingeführt statt improvisiert werden.

Für den Einstieg braucht es keinen umfassenden Prozess. Beginnen Sie mit einem vollständigen Inventar – es deckt fast immer Systeme auf, die niemand auf dem Schirm hatte. Ergänzen Sie dann Zielzeiten je Kritikalität und einen festen monatlichen Zyklus. Tests, Reporting und schriftliche Richtlinie kommen schrittweise dazu.

FIGULI CONSULTING unterstützt österreichische KMU dabei, Patch Management strukturiert aufzusetzen und dauerhaft zu betreiben: mit Inventar, Priorisierung, Wartungsfenstern, Rollout-Überwachung und nachvollziehbarem Reporting. So werden Sicherheitsupdates zuverlässig eingespielt, ohne den Geschäftsbetrieb unnötig zu unterbrechen.

Patch Management mit FIGULI planen

FAQ zum Patch Management

Was ist Patch Management?

Patch Management ist der geregelte Ablauf, um Korrekturen für Betriebssysteme, Anwendungen und Geräte zu erfassen, nach Risiko zu priorisieren, zu testen, auszurollen und nachzuweisen. Ziel ist, Sicherheitslücken zeitnah zu schließen und zugleich die Betriebsstabilität durch kontrollierte Änderungen zu sichern.

Was unterscheidet Patch, Update und Upgrade?

Ein Patch behebt gezielt eine Schwachstelle oder einen konkreten Fehler. Ein Update bündelt mehrere Änderungen und kann kleinere Funktionsanpassungen enthalten. Ein Upgrade ist ein Versionssprung mit neuen Funktionen und deutlich höherem Test- und Migrationsaufwand.

Welche Risiken entstehen durch fehlende Patches?

Bekannte Schwachstellen bleiben ausnutzbar und dienen Angreifern als Einstieg ins Netzwerk, zur Ausweitung von Berechtigungen oder für Verschlüsselungstrojaner. Gerade bei Servern, Firewalls und VPN-Zugängen sollte Patch Management eng mit der laufenden Server Wartung verbunden werden.

Wie oft sollten Updates eingespielt werden?

Sinnvoll ist eine Staffelung nach Kritikalität: sicherheitskritische Korrekturen für exponierte Systeme innerhalb weniger Tage, interne kritische Systeme im nächsten Wartungsfenster, Standardarbeitsplätze im monatlichen Zyklus. Entscheidend ist, dass die Zielzeiten schriftlich festgelegt und überprüfbar sind.

Wie teste ich Patches vor dem Rollout?

Nutzen Sie eine Pilotgruppe aus wenigen Geräten unterschiedlicher Abteilungen, bei kritischen Anwendungen zusätzlich eine Testumgebung. Definieren Sie konkrete Testfälle wie Anmeldung, Druck, VPN-Verbindung und Datenbankzugriff sowie klare Abbruchkriterien und einen Rückfallplan.

Was gehört alles ins Patch Management?

Neben Arbeitsplätzen und Servern gehören Netzwerkgeräte wie Firewalls, Switches und VPN-Zugänge dazu, außerdem Virtualisierungsplattformen und Software von Drittanbietern. Gerade Fremdsoftware und Netzwerkgeräte werden häufig übersehen, obwohl sie regelmäßig für Angriffe genutzt werden.

Wann lohnt sich eine Auslagerung?

Eine Auslagerung ist sinnvoll, wenn Updates im Tagesgeschäft liegen bleiben, viele mobile Geräte oder mehrere Standorte betreut werden oder kritische Systeme stabile Wartungsabläufe erfordern. Intern bleiben Freigaben und geschäftliche Prioritäten, extern liegen Inventar, Rollout, Überwachung und Dokumentation.

Phishing protection for businesses: Measures & checklist

Thu, 06 Aug 2026 14:20:49 GMT

Phishing protection for businesses: Measures, technology & checklist

Phishing protection consists of two components that only work together: technical layers of protection that intercept malicious messages and organizational rules that prevent a single click from causing harm.

This is particularly relevant for small and medium-sized enterprises (SMEs) because attackers no longer rely on poorly translated mass emails. They research roles, suppliers, and payment processes and formulate messages to fit seamlessly into everyday work routines. A fake invoice with altered bank details contains neither malware nor spelling errors - yet it can still cause significant damage.

This article shows you how to specifically identify phishing emails , which technical measures can be implemented quickly, how to secure reporting channels and payment authorizations, and what to do in the first few minutes of a suspected attack.

What phishing protection in a company includes
How to recognize a phishing email
Which phishing attacks most frequently affect SMEs
Technical measures against phishing
Organizational measures: rules, reporting channels, awareness
First suspicion: the right steps in the first 15 minutes
Checklist for phishing protection
Conclusion
FAQ on phishing protection

What phishing protection in a company includes

Phishing protection encompasses all technical controls and organizational processes that detect, block, and mitigate the impact of fraudulent messages. The goal is to prevent account takeovers, payment fraud, and malware without disrupting daily communication.

Effective protection operates in layers. Each layer reduces the likelihood that a phishing email will even arrive, be opened, steal login credentials, or trigger a payment. If one layer fails, the next one takes over.

Four objectives can be distinguished:

Reduce delivery: Filters, sender authentication, and policies keep the majority of messages out.
Reduce interaction: Verified links, attachment analysis, and restricted macros prevent dangerous clicks.
Prevent account takeovers: Multi-factor authentication and access rules invalidate stolen passwords.
Limit impact: Endpoint protection, minimal permissions, and a well-established reporting process keep damage to a minimum.

A spam filter alone is insufficient. Modern attacks are technically inconspicuous: personally worded, without attachments, with links to legitimate cloud services, or originating from a genuine but compromised partner account. That's precisely why humans must be the last line of defense – and for that, they need clear identifying characteristics.

How to recognize a phishing email

Most phishing emails can be identified by recurring patterns. The decisive factor is not a single characteristic, but rather the accumulation of several signals.

The three most important testing steps

Check the actual sender address. The display name is freely chosen and proves nothing. Expand the full address and check the domain character by character.
Check the link destination without clicking . Hover your mouse over the link and read the displayed destination address. On a smartphone, a long press is sufficient. Pay attention to the string of characters immediately before the first slash – this is where the actual domain is located.
For money and access data, verify via a second channel. Call a number you know, not the one provided in the email. This one rule prevents the majority of successful payment fraud cases.

Important for practical application: Even an email from a genuine colleague or supplier can be phishing if their account has been compromised. In this case, the sender, signature, and even the previous message history will match. Only the break in the process remains as a signal – for example, a suddenly changed account number in an ongoing conversation.

The Austrian government website onlinesicherheit.gv.at summarizes preventative measures and current fraud schemes and is a good reference for internal training.

If, despite thorough examination, you are still unsure, please feel free to forward the suspected phishing email to us. We operate a secure, isolated environment at cyberhelden.eu where we can reliably analyze the email.

Which phishing attacks most frequently affect SMEs

Three patterns dominate in the SME sector. They differ technically, but pursue the same goal: money, access data, or control over systems.

Invoice and payment fraud

Attackers forge invoices or payment reminders from known suppliers and change the bank details. The timing is often deliberately chosen: shortly before the end of the month or during vacation periods when substitutes are less likely to check details thoroughly.

The most effective protection: Call back whenever bank details are changed, using the number stored in the system, plus the four-eyes principle for transactions exceeding a certain amount. This is an organizational rule, not a technical one – and precisely for that reason, it is often overlooked.

Microsoft-365 login phishing

Deceptively realistic login pages intercept credentials, usually preceded by warnings about an expiring password, a new voice message, or a shared document.

The best protection is multi-factor authentication (MFA), which involves logging in with a second factor in addition to a password. The article on multi-factor authentication describes in detail how to implement MFA in a company.

CEO fraud and business email compromise

BEC stands for Business Email Compromise, which refers to the takeover or impersonation of business email accounts. Attackers impersonate management or business partners and pressure recipients into making quick payments through unofficial channels.

These attacks typically involve neither links nor attachments. Therefore, technical filters have little vulnerability – BEC is mitigated through processes, not software.

For small and medium-sized enterprises (SMEs) that cannot build and maintain these layers of protection themselves, structured IT support is the most pragmatic solution. FIGULI CONSULTING sets up email security, identity protection, and reporting processes to ensure they are effective in daily operations and not circumvented after just a few weeks.

Improve your phishing protection with FIGULI

Technical measures against phishing

Technical measures are intended to intercept as many dangerous messages as possible before they reach anyone – and to limit the damage if one does get through.

Email filter and attachment checking

A modern email gateway checks incoming messages based on several signals: the sender's reputation, anomalies in headers and content, known malware, and patterns for forged senders.

Two features are particularly effective:

Link check at the time of click: The target address is only checked when clicked, not just during delivery. This intercepts links that only become malicious later – a common tactic for circumventing filters.
Attachment analysis in an isolated environment: Suspicious files are executed and monitored in a secure test environment before delivery. This is especially helpful against new, previously unknown malware.

FIGULI CONSULTING uses Hornetsecurity , among other email security solutions, for this purpose.

A well-defined approach to quarantine is crucial: Who is authorized to unblock messages, and according to what criteria? If employees can unblock messages arbitrarily, this creates precisely the loophole that the filter is designed to close.

Sender authentication: SPF, DKIM and DMARC

Three technical procedures within the Domain Name System (DNS) make it more difficult for attackers to send emails on behalf of your domain:

SPF (Sender Policy Framework) specifies which mail servers are authorized to send emails for your domain.
DKIM (DomainKeys Identified Mail) adds a cryptographic signature to outgoing messages.
DMARC combines both and defines how recipients should handle failed checks.

Implementation is phased: first in observation mode to capture all legitimate sending sources, then with progressively stricter measures. Those who immediately opt in to block emails will, in our experience, block their own newsletters or system emails. A detailed description of the three procedures can be found in the article on email security .

Secure identities

Many attacks target the user account itself, not the message.

Therefore, the following are crucial:

Multi-factor authentication for all accounts, not just administrators
Disabling outdated login methods that don't support modern security checks
Separate administrator accounts for administrative tasks
Alert notifications for unusual logins, such as those from unexpected countries
Regularly checking mailbox rules for secretly configured forwarding rules

This last point is often underestimated. After taking over an account, attackers typically set up a rule that silently forwards or deletes incoming replies. This rule survives a simple password change.

Protect end devices

If an attack succeeds, the endpoint determines the extent of the damage. Modern solutions detect suspicious behavior—unusual scripts, unauthorized access to login credentials, conspicuous network connections—and can automatically isolate a device from the network.

The article on endpoint security explains why traditional antivirus software is no longer sufficient.

Organizational measures: rules, reporting channels, awareness

Technology cannot prevent fraud. A payment order that is plausibl y worded and originates from a genuine account will pass any filter. It must be intercepted through organizational means.

Securing payment and approval processes

The most effective rules are simple and without exception:

Changes to bank details are always confirmed by phone using the registered number, never via contact information from an email.
For transactions exceeding a certain amount, the four-eyes principle applies.
Deviations from the standard process are always a warning sign, regardless of who requests them.
Urgency does not override any rule.

This last point requires backing from upper management. As long as management itself demands exceptions, no oversight is effective.

Set up a reporting channel

A reporting process must be faster than hesitation . This requires a clearly designated contact point, a simple reporting option directly from the email program, and a response to the reporting person.

Crucially, the culture surrounding mistakes is key: Anyone who fears accusations after clicking a button will report later or not at all – and these crucial hours determine the extent of the damage. A false report costs five minutes, a concealed account takeover costs days.

Establish awareness

Training sessions are effective when they are short, regular, and based on real-world scenarios. Several short sessions per year are more effective than one long annual event.

Onboarding is particularly important: New employees are not yet familiar with standard procedures and are a prime target for training. During the first few weeks, multi-factor authentication (MFA) should be set up, the reporting process explained, and payment authorization procedures discussed.

The article on phishing simulation demonstrates how to measure and specifically improve learning progress.

First suspicion: the right steps in the first 15 minutes

In case of suspected phishing, containment takes precedence over analysis. The order is crucial.

Do not click, open, or forward any messages. Leave the message unchanged in your inbox as evidence.
Immediately inform the responsible department – even if you are unsure whether it is actually phishing.
If you have clicked and entered login credentials: change your password, and terminate all active sessions. Simply changing your password is insufficient as long as existing logins remain valid. Account lock by an administrator.
Check your mailbox rules for newly created forwarding rules, deletion rules, and linked applications.
Search for and delete similar messages , as phishing attacks rarely target only one person.
Document the incident: time, affected accounts, and actions taken.

If personal data is affected, reporting obligations under the General Data Protection Regulation (GDPR) may apply. The Austrian Data Protection Authority describes the obligations of data controllers . Document every incident, even if no report is required.

Checklist for phishing protection

Multi-factor authentication active for all accounts
Outdated login methods deactivated
Separate administrator accounts set up
Email filter with link and attachment checking in use
Quarantine with clearly defined approvals
SPF, DKIM, and DMARC set up and monitored
Alerts for risky logins and new mailbox rules
Endpoint protection active, updates mandatory
Mandatory callback when bank details change
Four-eyes principle above a defined amount
Reporting channels known and easily accessible
Awareness sessions several times a year, phishing prevention integrated into onboarding
Procedure for suspected cases documented and discussed at least once

Conclusion

Phishing protection isn't software you buy; it's a combination of filters, identity protection, endpoint security, and clear rules. Technology reduces the number of messages that even get through. Processes prevent damage from those that do.

The most effective single measure is quite simple: calling a known number to verify the message before any money is transferred or login credentials are entered. It costs nothing and thwarts precisely those attacks that no filter can protect against.

Equally important is a reporting culture that avoids assigning blame. Companies that report a single accidental click immediately usually limit the damage to just a few hours of work.

FIGULI CONSULTING helps Austrian SMEs implement phishing protection as part of a comprehensive IT security strategy: with email security, Microsoft 365 hardening, identity protection, endpoint security, and practical reporting and approval processes.

Discuss IT security and phishing protection with FIGULI

FAQ on phishing protection

How can companies effectively protect themselves against phishing?

Effective protection combines several layers: email filters with link and attachment checking, sender authentication via SPF, DKIM, and DMARC, multi-factor authentication, endpoint protection, and clear reporting and approval processes. None of these measures is sufficient on its own.

How can you recognize a phishing email?

Typical signs include a different, legitimate sender address, a sense of urgency, a request for confidentiality, a break from the usual process, and links whose destination doesn't match the displayed text. The key is the combination of several signs, not a single characteristic.

Why isn't a spam filter enough?

Targeted attacks appear technically inconspicuous: personally worded, without attachments, sometimes originating from genuinely compromised accounts. A filter primarily recognizes known mass patterns. Only additional process controls help against payment fraud without malware.

What is Business Email Compromise?

Business Email Compromise (BEC) refers to attacks in which management, suppliers, or partners are impersonated, or their accounts are compromised. The goal is usually to redirect payments. Since such messages often contain neither links nor attachments, technical filters are largely ineffective.

What should you do immediately if you suspect phishing?

Do not click on anything, do not forward anything, and inform the responsible department immediately. If you are tempted to click on a link or enter login credentials, lock the account, change your password, and end all active sessions. Then check mailbox rules for any new forwarding rules.

How often should awareness training be conducted?

Several short sessions per year are more effective than one long annual event. Short updates during current attack waves and a standard introduction during the onboarding of new employees are also beneficial.

What technical measures protect against phishing?

Technical measures against phishing include email filters, link verification, attachment analysis, SPF, DKIM, DMARC, multi-factor authentication, secure mailbox rules, and modern endpoint protection. It's important to consider these measures together, because no single solution can prevent all attacks.

What is the most important protection against email payment fraud?

The most important protection against email payment fraud is to always confirm the sender's identity via a second channel. Changes to bank details or unusual payment instructions should always be confirmed by phone using a known number.

Phishing Schutz für Unternehmen: Maßnahmen & Checkliste

Thu, 06 Aug 2026 13:36:10 GMT

Phishing Schutz für Unternehmen: Maßnahmen, Technik & Checkliste

Phishing Schutz entsteht aus zwei Bausteinen, die nur gemeinsam wirken: technische Schutzschichten, die gefährliche Nachrichten abfangen, und organisatorische Regeln, die verhindern, dass ein einzelner Klick zum Schaden führt.

Für kleine und mittlere Unternehmen ist das besonders relevant, weil Angreifer heute nicht mehr mit schlecht übersetzten Massenmails arbeiten. Sie recherchieren Rollen, Lieferanten und Zahlungsabläufe und formulieren Nachrichten so, dass sie in den Arbeitsalltag passen. Eine gefälschte Rechnung mit geänderter Bankverbindung enthält weder Schadsoftware noch Rechtschreibfehler – und richtet trotzdem erheblichen Schaden an.

Dieser Artikel zeigt, woran Sie Phishing-Mails konkret erkennen , welche technischen Maßnahmen sich schnell umsetzen lassen, wie Sie Meldewege und Zahlungsfreigaben absichern und was in den ersten Minuten eines Verdachtsfalls zu tun ist.

Inhaltsverzeichnis

Was Phishing Schutz im Unternehmen umfasst
Woran Sie eine Phishing-Mail erkennen
Welche Phishing-Angriffe KMU am häufigsten treffen
Technische Maßnahmen gegen Phishing
Organisatorische Maßnahmen: Regeln, Meldewege, Awareness
Erster Verdacht: die richtigen Schritte in den ersten 15 Minuten
Checkliste für den Phishing Schutz
Fazit
FAQ zum Phishing Schutz

Was Phishing Schutz im Unternehmen umfasst

Phishing Schutz umfasst alle technischen Kontrollen und organisatorischen Abläufe, die betrügerische Nachrichten erkennen, blockieren und in ihrer Wirkung eindämmen. Ziel ist, Kontoübernahmen, Zahlungsbetrug und Schadsoftware zu verhindern , ohne die tägliche Kommunikation auszubremsen.

Wirksamer Schutz arbeitet in Schichten. Jede Schicht senkt die Wahrscheinlichkeit, dass eine Phishing-Mail überhaupt ankommt, geöffnet wird, Zugangsdaten abgreift oder eine Zahlung auslöst. Fällt eine Schicht aus, fängt die nächste ab.

Vier Ziele lassen sich dabei unterscheiden:

Zustellung reduzieren: Filter, Absenderauthentifizierung und Richtlinien halten einen Großteil der Nachrichten fern
Interaktion erschweren: geprüfte Links, Anhangsanalyse und eingeschränkte Makros verhindern den gefährlichen Klick
Kontoübernahmen verhindern: Multifaktor-Authentifizierung und Zugriffsregeln entwerten gestohlene Passwörter
Auswirkungen begrenzen: Endgeräteschutz, sparsame Berechtigungen und ein geübter Meldeprozess halten den Schaden klein

Ein Spamfilter allein greift zu kurz. Moderne Angriffe wirken technisch unauffällig: persönlich formuliert, ohne Anhang, mit Links auf legitime Cloud-Dienste oder von einem echten, aber kompromittierten Partnerkonto. Genau deshalb muss der Mensch die letzte Schicht sein – und dafür braucht er klare Erkennungsmerkmale.

Woran Sie eine Phishing-Mail erkennen

Die meisten Phishing-Mails lassen sich an wiederkehrenden Mustern erkennen. Entscheidend ist nicht ein einzelnes Merkmal, sondern die Häufung mehrerer Signale .

Die drei wichtigsten Prüfschritte

die echte Absenderadresse ansehen. Der Anzeigename ist frei wählbar und beweist nichts. Klappen Sie die vollständige Adresse auf und prüfen Sie die Domain zeichenweise.
das Linkziel prüfen, ohne zu klicken. Fahren Sie mit der Maus über den Link und lesen Sie die eingeblendete Zieladresse. Am Smartphone genügt langes Drücken. Achten Sie auf die Zeichenfolge unmittelbar vor dem ersten Schrägstrich – dort steht die tatsächliche Domain.
bei Geld und Zugangsdaten über einen zweiten Kanal rückfragen. Rufen Sie unter der Ihnen bekannten Nummer an, nicht unter der in der E-Mail angegebenen. Diese eine Regel verhindert den Großteil aller erfolgreichen Zahlungsbetrugsfälle.

Wichtig für die Praxis: Auch eine Mail von einem echten Kollegen oder Lieferanten kann Phishing sein , wenn dessen Konto übernommen wurde. Dann stimmen Absender, Signatur und sogar der bisherige Nachrichtenverlauf. Nur der Prozessbruch bleibt als Signal – etwa die plötzlich geänderte Kontonummer in einer laufenden Konversation.

Die österreichische Behördenseite onlinesicherheit.gv.at fasst Präventionsmaßnahmen und aktuelle Betrugsmaschen zusammen und eignet sich gut als Referenz für interne Schulungen.

Sollten sie sich trotz intensiver Prüfung nicht sicher sein so können sie uns gerne das vermeintliche Phishing Email weiterleiten. Wir betreiben unter cyberhelden.eu eine sichere abgeschottete Umgebung in der wir das Email sicher analysieren können.

Welche Phishing-Angriffe KMU am häufigsten treffen

Im Mittelstand dominieren drei Muster. Sie unterscheiden sich technisch, verfolgen aber dasselbe Ziel: Geld, Zugangsdaten oder Kontrolle über Systeme.

Rechnungs- und Zahlungsbetrug

Angreifer fälschen Rechnungen oder Mahnungen bekannter Lieferanten und ändern die Bankverbindung. Häufig wird der Zeitpunkt bewusst gewählt: kurz vor Monatsende oder während der Urlaubszeit, wenn Vertretungen weniger genau prüfen.

Wirksamster Schutz: Rückruf bei jeder Änderung von Bankdaten, über die im System hinterlegte Nummer, plus Vier-Augen-Prinzip ab einem definierten Betrag. Das ist eine organisatorische Regel, keine technische – und genau deshalb wird sie oft übersehen.

Microsoft-365-Login-Phishing

Täuschend echte Anmeldeseiten fangen Zugangsdaten ab, meist eingeleitet durch Hinweise auf ein ablaufendes Passwort, eine neue Sprachnachricht oder ein geteiltes Dokument.

Der beste Schutz ist Multifaktor-Authentifizierung , also die Anmeldung mit einem zweiten Faktor zusätzlich zum Passwort. Wie sich MFA im Unternehmen einführen lässt, beschreibt der Beitrag zur Multifaktor-Authentifizierung im Detail.

CEO-Fraud und Business Email Compromise

BEC steht für Business Email Compromise, also die Übernahme oder Nachahmung geschäftlicher E-Mail-Konten. Angreifer geben sich als Geschäftsführung oder Geschäftspartner aus und drängen auf eine schnelle Überweisung außerhalb des üblichen Wegs.

Diese Angriffe enthalten meist weder Link noch Anhang. Technische Filter haben deshalb wenig Angriffsfläche – BEC wird über Prozesse abgewehrt, nicht über Software.

Für kleine und mittlere Unternehmen, die diese Schutzschichten nicht selbst aufbauen und betreiben können, ist eine strukturierte IT-Betreuung der pragmatischste Weg. FIGULI CONSULTING richtet E-Mail-Sicherheit, Identitätsschutz und Meldeprozesse so ein, dass sie im Alltag tragen und nicht nach wenigen Wochen umgangen werden.

Phishing Schutz mit FIGULI verbessern

Technische Maßnahmen gegen Phishing

Technische Maßnahmen sollen möglichst viele gefährliche Nachrichten abfangen, bevor sie jemanden erreichen – und den Schaden begrenzen, wenn doch eine durchkommt.

E-Mail-Filter und Anhangsprüfung

Ein modernes E-Mail-Gateway prüft eingehende Nachrichten anhand mehrerer Signale: Ruf des Absenders, Auffälligkeiten in Kopfzeilen und Inhalt, bekannte Schadsoftware sowie Muster für gefälschte Absender.

Zwei Funktionen sind besonders wirksam:

Linkprüfung zum Klickzeitpunkt: Die Zieladresse wird erst beim Anklicken geprüft, nicht nur bei der Zustellung. Das fängt Links ab, die erst nachträglich bösartig werden – eine gängige Taktik zur Umgehung von Filtern.
Anhangsanalyse in isolierter Umgebung: Verdächtige Dateien werden vor der Zustellung in einer abgeschotteten Testumgebung ausgeführt und beobachtet. Das hilft besonders gegen neue, noch unbekannte Schadsoftware.

FIGULI CONSULTING setzt hierfür unter anderem auf Hornetsecurity als E-Mail-Sicherheitslösung.

Wichtig ist ein geregelter Umgang mit der Quarantäne : Wer darf blockierte Nachrichten freigeben, und nach welchen Kriterien? Können Mitarbeitende beliebig selbst freigeben, entsteht genau die Lücke, die der Filter schließen sollte.

Absenderauthentifizierung: SPF, DKIM und DMARC

Drei technische Verfahren im Domain Name System (DNS) erschweren es Angreifern, im Namen Ihrer Domain zu versenden:

SPF (Sender Policy Framework) legt fest, welche Mailserver für Ihre Domain senden dürfen
DKIM (DomainKeys Identified Mail) versieht ausgehende Nachrichten mit einer kryptografischen Signatur
DMARC verbindet beide und legt fest, wie Empfänger mit nicht bestandenen Prüfungen umgehen sollen

Die Einführung erfolgt stufenweise: zuerst im reinen Beobachtungsmodus, um alle legitimen Versandquellen zu erfassen, dann schrittweise strenger. Wer sofort auf Ablehnung schaltet, blockiert erfahrungsgemäß eigene Newsletter oder Systemmails. Eine ausführliche Darstellung der drei Verfahren finden Sie im Beitrag zur E-Mail Sicherheit .

Identitäten absichern

Viele Angriffe zielen nicht auf die Nachricht, sondern auf das Benutzerkonto.

 Entscheidend sind daher:

Multifaktor-Authentifizierung für alle Konten, nicht nur für Administratoren
Abschalten veralteter Anmeldeverfahren, die keine modernen Sicherheitsprüfungen unterstützen
getrennte Administratorkonten für administrative Tätigkeiten
Warnmeldungen bei ungewöhnlichen Anmeldungen, etwa aus unerwarteten Ländern
regelmäßige Kontrolle der Postfachregeln auf heimlich eingerichtete Weiterleitungen

Der letzte Punkt wird häufig unterschätzt. Nach einer Kontoübernahme richten Angreifer typischerweise eine Regel ein, die eingehende Antworten unbemerkt weiterleitet oder löscht. Diese Regel überlebt eine bloße Passwortänderung.

Endgeräte schützen

Kommt ein Angriff durch, entscheidet das Endgerät über die Schadenshöhe. Moderne Lösungen erkennen verdächtiges Verhalten – ungewöhnliche Skripte, Zugriffe auf Zugangsdaten, auffällige Netzwerkverbindungen – und können ein Gerät automatisch vom Netz isolieren.

Warum klassischer Virenschutz dafür nicht mehr ausreicht, erklärt der Beitrag zur Endpoint Security .

Organisatorische Maßnahmen: Regeln, Meldewege, Awareness

Technik verhindert keinen Prozessbetrug. Eine Zahlungsanweisung, die plausibel formuliert ist und von einem echten Konto kommt, passiert jeden Filter. Sie muss organisatorisch abgefangen werden.

Zahlungs- und Freigabeprozesse absichern

Die wirksamsten Regeln sind einfach und ausnahmslos:

Änderungen von Bankverbindungen werden immer telefonisch über die hinterlegte Nummer bestätigt, nie über Kontaktdaten aus der E-Mail
ab einem festgelegten Betrag gilt das Vier-Augen-Prinzip
Abweichungen vom Standardprozess sind grundsätzlich ein Warnsignal, unabhängig davon, wer sie anfragt
Dringlichkeit hebt keine Regel auf

Der letzte Punkt braucht Rückendeckung von oben. Solange die Geschäftsführung selbst Ausnahmen einfordert, funktioniert keine Kontrolle.

Meldeweg einrichten

Ein Meldeweg muss schneller sein als das Zögern . Nötig sind eine klar benannte Anlaufstelle, eine einfache Meldemöglichkeit direkt aus dem Mailprogramm und eine Rückmeldung an die meldende Person.

Entscheidend ist die Fehlerkultur: Wer nach einem Klick Angst vor Vorwürfen hat, meldet später oder gar nicht – und genau diese Stunden entscheiden über den Schaden. Eine Falschmeldung kostet fünf Minuten, eine verschwiegene Kontoübernahme kostet Tage.

Awareness verankern

Schulungen wirken, wenn sie kurz, regelmäßig und an realen Fällen orientiert sind. Mehrere kurze Einheiten pro Jahr bringen mehr als eine jährliche Langveranstaltung.

Besonders wichtig ist das Onboarding : Neue Mitarbeitende kennen die üblichen Abläufe noch nicht und sind ein bevorzugtes Ziel. In den ersten Wochen sollten MFA eingerichtet, der Meldeweg erklärt und die Zahlungsfreigaben besprochen sein.

Wie sich der Lernstand messen und gezielt verbessern lässt, zeigt der Beitrag zur Phishing Simulation .

Erster Verdacht: die richtigen Schritte in den ersten 15 Minuten

Bei einem Verdachtsfall zählt Eindämmung vor Analyse. Die Reihenfolge ist entscheidend.

Nicht klicken, nichts öffnen, nichts weiterleiten. Die Nachricht bleibt unverändert im Postfach als Beweismittel.
Sofort die zuständige Stelle informieren – auch bei Unsicherheit, ob es sich wirklich um Phishing handelt.
Bei möglichem Klick und eingegebenen Zugangsdaten: Passwort ändern und alle aktiven Sitzungen beenden. Ein reiner Passwortwechsel reicht nicht, solange bestehende Anmeldungen gültig bleiben. Konto sperren durch einen Administrator.
Postfachregeln prüfen auf neu angelegte Weiterleitungen, Löschregeln und verknüpfte Anwendungen.
Ähnliche Nachrichten suchen und entfernen , da Phishing selten nur an eine Person geht.
Vorfall dokumentieren: Zeitpunkt, betroffene Konten, ergriffene Maßnahmen.

Sind personenbezogene Daten betroffen, können Meldepflichten nach der Datenschutz-Grundverordnung greifen. Die österreichische Datenschutzbehörde beschreibt die Pflichten von Verantwortlichen . Dokumentieren Sie jeden Vorfall, auch wenn keine Meldung erforderlich ist.

Checkliste für den Phishing Schutz

Multifaktor-Authentifizierung für alle Konten aktiv
veraltete Anmeldeverfahren abgeschaltet
getrennte Administratorkonten eingerichtet
E-Mail-Filter mit Link- und Anhangsprüfung im Einsatz
Quarantäne mit klar geregelten Freigaben
SPF, DKIM und DMARC eingerichtet und überwacht
Warnmeldungen bei riskanten Anmeldungen und neuen Postfachregeln
Endgeräteschutz aktiv, Updates verbindlich geregelt
Rückrufpflicht bei Änderung von Bankdaten
Vier-Augen-Prinzip ab definiertem Betrag
Meldeweg bekannt und einfach erreichbar
Awareness-Einheiten mehrmals jährlich, Phishing im Onboarding verankert
Ablauf für den Verdachtsfall dokumentiert und mindestens einmal durchgesprochen

Fazit

Phishing Schutz ist keine Software, die man kauft, sondern ein Zusammenspiel aus Filtern, Identitätsschutz, Endgerätesicherheit und klaren Regeln. Technik senkt die Zahl der Nachrichten, die überhaupt ankommen. Prozesse verhindern den Schaden bei jenen, die durchkommen.

Der wirksamste einzelne Hebel ist dabei unspektakulär: die telefonische Rückfrage über eine bekannte Nummer, bevor Geld fließt oder

Zugangsdaten eingegeben werden. Er kostet nichts und wehrt genau jene Angriffe ab, gegen die kein Filter hilft.

Ebenso wichtig ist eine Meldekultur ohne Schuldzuweisung. Unternehmen, in denen ein Fehlklick sofort gemeldet wird, begrenzen den Schaden meist auf wenige Stunden Aufwand.

FIGULI CONSULTING unterstützt österreichische KMU dabei, Phishing Schutz als Teil einer ganzheitlichen IT-Sicherheitsstrategie umzusetzen: mit E-Mail-Sicherheit, Microsoft-365-Härtung, Identitätsschutz, Endpoint Security sowie praxistauglichen Melde- und Freigabeprozessen.

IT-Sicherheit und Phishing Schutz mit FIGULI besprechen

FAQ zum Phishing Schutz

Wie schützen sich Unternehmen wirksam vor Phishing?

Wirksamer Schutz kombiniert mehrere Schichten: E-Mail-Filter mit Link- und Anhangsprüfung, Absenderauthentifizierung über SPF, DKIM und DMARC, Multifaktor-Authentifizierung, Endgeräteschutz sowie klare Melde- und Freigabeprozesse. Keine dieser Maßnahmen genügt allein.

Woran erkennt man eine Phishing-Mail?

Typische Signale sind eine abweichende echte Absenderadresse, Zeitdruck, die Bitte um Geheimhaltung, ein Bruch mit dem gewohnten Ablauf sowie Links, deren Ziel nicht zum angezeigten Text passt. Entscheidend ist die Häufung mehrerer Signale, nicht ein einzelnes Merkmal.

Warum reicht ein Spamfilter nicht aus?

Gezielte Angriffe wirken technisch unauffällig: persönlich formuliert, ohne Anhang, teils von echten kompromittierten Konten. Ein Filter erkennt vor allem bekannte Massenmuster. Gegen Zahlungsbetrug ohne Schadsoftware helfen nur zusätzliche Prozesskontrollen.

Was ist Business Email Compromise?

Business Email Compromise, kurz BEC, bezeichnet Angriffe, bei denen Geschäftsführung, Lieferanten oder Partner nachgeahmt oder deren Konten übernommen werden. Ziel ist meist eine umgeleitete Zahlung. Da solche Nachrichten oft weder Link noch Anhang enthalten, greifen technische Filter kaum.

Was ist bei Verdacht auf Phishing sofort zu tun?

Nicht klicken, nichts weiterleiten, sofort die zuständige Stelle informieren. Bei möglichem Klick oder eingegebenen Zugangsdaten das Konto sperren, Passwort ändern und alle aktiven Sitzungen beenden. Anschließend Postfachregeln auf neue Weiterleitungen prüfen.

Wie oft sollten Awareness-Schulungen stattfinden?

Mehrere kurze Einheiten pro Jahr wirken besser als eine jährliche Langveranstaltung. Ergänzend sinnvoll sind kurze Hinweise bei aktuellen Angriffswellen sowie eine feste Einführung im Onboarding neuer Mitarbeitender.

Welche technischen Maßnahmen schützen vor Phishing?

Technische Maßnahmen gegen Phishing sind E-Mail-Filter, Linkprüfung, Anhangsanalyse, SPF, DKIM, DMARC, Multifaktor-Authentifizierung, sichere Postfachregeln und moderner Endgeräteschutz. Wichtig ist, diese Maßnahmen gemeinsam zu betrachten, weil keine einzelne Lösung alle Angriffe verhindert.

Was ist der wichtigste Schutz gegen Zahlungsbetrug per E-Mail?

Der wichtigste Schutz gegen Zahlungsbetrug per E-Mail ist eine verbindliche Rückfrage über einen zweiten Kanal. Änderungen von Bankdaten oder ungewöhnliche Zahlungsanweisungen sollten immer telefonisch über eine bekannte Nummer bestätigt werden.

Mandatory labeling of AI content from August 2026

Sat, 01 Aug 2026 19:50:10 GMT

Mandatory labeling of AI content in the EU from August 2026

New EU regulations on the labeling of AI-generated content will come into effect on August 2, 2026.

Not all content needs to be labeled, but in certain cases, it is legally required.

The information pages of the Chamber of Commerce offer a good introduction to the topic.

Künstliche Intelligenz im Gewerbe und Handwerk

Kennzeichnungspflicht für bestimmte KI-Inhalte ab August 2026

and the AI service center at rtr.at

The full text of the law

REGULATION (EU) 2024/1689 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL

Online and as PDF

Interactive tool to determine whether your AI system is affected or not.

EU AI Act Compliance Checker

Guidelines

Commission Guidelines

Transparency Regulations

Conclusion

Those who use AI for organization, documentation, or marketing have nothing to fear. Further developments should be monitored! Moreover, any voluntary labeling creates transparency and trust among users.

Kennzeichnungspflicht für KI-Inhalte ab August 2026

Sat, 01 Aug 2026 19:39:19 GMT

Kennzeichnungspflicht in der EU für KI-Inhalte ab August 2026

Ab dem 2. August 2026 gelten in der EU neue Vorschriften zur Kennzeichnung von KI generierten Inhalten.
Nicht alle Inhalte müssen gekennzeichnet werden, aber in bestimmten Fällen ist dies gesetzlich vorgeschrieben.

Einen guten Einstieg in die Thematik bieten die Informationsseiten der Wirtschaftskammer.

Künstliche Intelligenz im Gewerbe und Handwerk

Kennzeichnungspflicht für bestimmte KI-Inhalte ab August 2026

und die KI Servicestelle bei rtr.at

Der vollständige Gesetzestext

VERORDNUNG (EU) 2024/1689 DES EUROPÄISCHEN PARLAMENTS UND DES RATES

Online und als PDF

Interaktives Tool, um festzustellen, ob Ihr KI-System davon betroffen ist oder nicht.

EU AI Act Compliance Checker

Leitlinien, Leitfaden, Zusammenfassung

Leitlinien der Kommission

Transparenzvorschriften

Was Unternehmen jetzt beachten müssen

Fazit

Wer KI für Organisation, Dokumentation oder Marketing einsetzt, hat nichts zu befürchten. Die weiterem Entwicklungen sollte man im Auge behalten! Darüber hinaus schafft eine freiwillige Kennzeichnung Transparenz und Vertrauen beim Anwender .

Website Relaunch: Checklist for SEO & Go-Live

Thu, 30 Jul 2026 15:48:35 GMT

Website Relaunch: Checklist for SEO, Tracking and Go-Live

A website relaunch is the planned overhaul of an existing website. Depending on the initial situation, this involves renewing the design, content, technology, navigation, SEO, tracking, security, or even the entire CMS. For SMEs, a relaunch is often beneficial when the website is technically outdated, generates too few inquiries, loads slowly, performs poorly on mobile devices, or no longer aligns with the company's positioning.

It's important to understand that a website relaunch is not simply a design project. Those who only change the appearance while neglecting content, search engine optimization, redirects, tracking, forms, and technical stability risk losing visibility, encountering inaccurate metrics, and receiving fewer inquiries after the go-live.

This guide shows how companies can systematically plan a website relaunch: from defining goals and conducting a content audit to SEO migration, 301 redirects, UX, performance, data privacy, and tracking, culminating in a go-live checklist. The goal is a website that looks more modern, ranks higher in search results, runs smoothly, and is easier to maintain on a daily basis.

What is a website relaunch?
When is a website relaunch advisable?
Planning a website relaunch: goals, scope, and project structure
Website relaunch checklist: the most important steps
Ensuring SEO during a website relaunch
301 redirects, URL structure, and indexing
UX, design, mobile, and performance
Checking tracking, consent, and forms
Go-live and follow-up
Typical mistakes during a website relaunch
Conclusion
FAQ about website relaunches

What is a website relaunch?

A website relaunch is the strategic redesign or technical overhaul of an existing website. This involves revising individual sections or the entire website. This could include a new design, a new CMS, an improved site structure, updated content, a new technical foundation, or a combination of all of these.

A relaunch can affect various areas:

Design and brand identity
Navigation and site structure
Content and text
SEO and metadata
URL structure and redirects
CMS, hosting, and technical foundation
Loading times and Core Web Vitals
Forms and lead processes
Tracking, consent, and analytics
Security, updates, and backups

The difference between a relaunch and a standard website optimization lies in its scope. Individual text adjustments, new images, or minor performance improvements do not constitute a relaunch. A website relaunch fundamentally changes the website's components and should therefore be planned like a project.

When does a website relaunch make sense?

A website relaunch makes sense when the existing website no longer supports important business goals. This isn't just about appearance. Often, the real problems lie in the structure, technology, user experience, or maintenance.

Typical reasons for a website relaunch include:

outdated design
poor mobile performance
slow loading times
declining inquiries or leads
unclear navigation
outdated content
poor ranking of important pages
technical problems in the CMS
lack of security or updates
unclear tracking data
difficult content maintenance
new positioning or new offering

Not every situation requires a complete relaunch. If the technical foundation is stable and only individual pages are performing poorly, targeted optimization is often sufficient. However, if structure, technology, content, and maintenance processes are all causing problems simultaneously, a website relaunch is usually the more sensible option.

Therefore, a good decision isn't: "All new or nothing?" A better question is: Which problems can be solved with optimization, and where is a clean start necessary?

Planning a website relaunch: Goals, scope and project structure

A successful website relaunch doesn't begin with design, but with clear goals. Companies should first define what the new website should do better. Is it about generating more inquiries? Improved visibility on Google? Faster loading times? Easier maintenance? Greater trust among B2B customers? Improved technical security?

Reasonable goals include:

More qualified contact requests
Better rankings for important keywords
Clearer navigation
Higher conversion rate
Improved mobile user experience
Faster loading times
Clean tracking of forms and clicks
Easier maintenance in the CMS
Secure operation with updates and backups

Next, the scope is defined. This involves determining which areas actually need to be changed. Not every website needs a new design, a new CMS, new text, a new URL structure, and new integrations all at once. The clearer the scope, the lower the risk of delays.

A well-structured project is particularly important for SMEs. FIGULI CONSULTING can help companies integrate technical requirements, web design, hosting, security, tracking, and ongoing support early on. This ensures that the relaunch is not only visually planned but also technically and organizationally sound.

Discuss your website relaunch with FIGULI

Website relaunch checklist: the most important steps

A website relaunch checklist helps ensure that important tasks aren't only discovered shortly before the go-live date. SEO, tracking, forms, and redirects, in particular, should be planned early on.

The most important steps are:

Define goals and target groups
Analyze the existing website
Identify important pages, rankings, and leads
Conduct a content audit
Plan the new site structure
Consciously decide on URL changes
Create redirect mapping
Develop the design and UX
Revise or rewrite content
Prepare the technical implementation for staging
Import SEO data
Check tracking and consent concepts
Test forms and email delivery
Test performance and mobile display
Prepare a backup and rollback plan
Go live
Verify indexing, redirects, and tracking
Actively monitor the first 30 days

The checklist shouldn't just serve as a reminder. It should be a true quality gate: The new website should only go live once all critical points have been checked.

Secure SEO during website relaunch

SEO is usually one of the most important aspects of a website relaunch. Many ranking losses don't stem from the new design itself, but from incorrect or missing migration: important content disappears, URLs change without redirects, metadata isn't transferred, or internal links lose their effectiveness.

Therefore, before the relaunch, the most important SEO data should be backed up:

current URLs
organic traffic per page
important rankings
backlinks to individual pages
meta title and meta description
H1 and H2 structure
internal links
canonical tags
indexing status
image alt text
structured data, if available

A content audit determines which content should be retained, updated, merged, or removed. Pages with traffic, rankings, backlinks, or leads shouldn't be deleted lightly. When merging content, appropriate redirects to the new target page are essential.

For basic SEO guidance, the Austrian Federal Economic Chamber's (WKO) SEO guide can be helpful, especially for SMEs that want to better understand search engine optimization within the context of a relaunch.

301 redirects, URL structure and indexing

When URLs change during a website relaunch, redirects must be planned. Every important old URL needs a clear destination. Otherwise, 404 errors will occur, users will land on a dead end, and search engines will lose signals that have been built up over years.

A good redirect mapping includes:

old URL
new target URL
page type
priority
redirect status
test status
responsible person

301 redirects should point directly to the appropriate new target page. General redirects to the homepage are rarely useful because they don't offer users and search engines a clear thematic connection. Redirect chains should also be avoided.

Indexing is also crucial. Before going live, it must be checked whether the new website is crawlable and whether any important pages are accidentally set to noindex. Staging pages, on the other hand, must not be indexed. After the launch, the sitemap, robots.txt file, canonical tags, and status codes should be checked.

When migrating websites with URL changes, Google recommends precise URL mapping, appropriate redirects, and monitoring important signals such as canonicals and robots.org. This should be a mandatory part of any website relaunch.

UX, Design, Mobile and Performance

A new design alone doesn't automatically make a website better. What's crucial is whether users can quickly understand what the site is about, what services are offered, and what the next logical step is. Good UX reduces friction and makes important information easier to find.

When designing a website, companies should pay particular attention to these points:

Clear main navigation
Understandable service pages
Strong entry points on key pages
Visible contact options
Trust-building elements
Good readability
Clear calls to action
Mobile usability
Fast loading times

Mobile usability shouldn't be checked last. Many users visit websites on their smartphones first. Therefore, navigation, buttons, forms, text lengths, and spacing must function correctly on small screens.

Performance is also an essential part of a professional website relaunch. Large images, too many scripts, unnecessary plugins, or poorly optimized templates can immediately slow down the new website. Google describes Core Web Vitals as important user signals for loading behavior, interactivity, and visual stability. These values should be checked for key page types during the relaunch.

Check tracking, consent, and forms

A website relaunch often involves changes to tracking, cookie banners, forms, tag managers, and conversion measurement. If these elements aren't thoroughly tested, the website may appear to be working fine but deliver inaccurate data or lose leads.

Before going live, the following should be checked:

Is Google Analytics 4 (GA4) functioning correctly?
Is the Google Tag Manager being triggered properly?
Are events being tracked accurately?
Are form submissions being recorded as conversions?
Is the cookie/consent banner functioning correctly?
Do tracking tags only fire after appropriate consent has been obtained?
Are downloads, phone clicks, or appointment bookings being tracked?
Are internal notifications for forms working correctly?
Are emails being delivered reliably?

Forms are particularly critical. They should be tested with real-world scenarios: successful submission, error messages, required fields, special characters, mobile display, spam protection, autoresponders, and forwarding to the CRM or email inbox.

Forms are especially critical. The Austrian Data Protection Authority points out that, regarding data protection and cookies, the specific design and consent are crucial for cookie banners and tracking. Therefore, consent, tag triggering, and third-party providers should be documented and tested during a website relaunch.

Go-live and follow-up check

Going live isn't a single click, but a controlled transition. Before launch, backups, rollback plans, maintenance windows, responsibilities, and testing should be clearly defined. Especially with business-critical websites, no one should simply "put it live" and then hope everything works.

Check the following before going live:

Complete backup available
Stagnation not indexed
Live site crawlable after launch
301 redirects tested
Sitemap prepared
robots.txt checked
Canonical files correct
Forms tested
Tracking checked
Cookie banner tested
Mobile display checked
Loading times checked
Privacy policy pages updated
Legal notice updated
Support window scheduled

After going live, the most important monitoring phase begins. In the first hours and days, redirects, 404 errors, indexing, tracking, forms, and performance should be monitored. Many problems can be resolved quickly if detected early.

Check the following in the first 30 days:

Organic traffic
Rankings of important keywords
Indexing status
404 errors
Redirect chains
Form conversions
Contact clicks
Loading times
Core Web Vitals
Server errors
User feedback

Typical mistakes during a website relaunch

The most common mistakes during a website relaunch stem from a lack of preparation. SEO, tracking, and technical quality assurance are particularly critical.

Typical errors include:

The relaunch is viewed solely as a design project
no clear goals
no content audit
important content is deleted
URL structure is changed without an SEO plan
301 redirects are missing or incorrect
Tracking is only checked after launch
Forms are not tested
Mobile display is checked too late
The staging site is indexed
The live site is accidentally left with noindex
Cookie banner and consent are not checked
No follow-up check after go-live
No backup or rollback plan

Many of these errors can be avoided if the relaunch is understood as a collaborative project encompassing strategy, web design, SEO, technology, data protection, and operations. This is precisely the difference between a new website and a successful website relaunch.

Conclusion

A website relaunch is successful when the new website not only looks more modern but also better aligns with the company's goals. Depending on the initial situation, the focus can vary: a new design, clearer user navigation, improved content, technical modernization, faster loading times, reliable tracking, more stable hosting, or a better foundation for marketing and inquiries.

For SMEs, it's particularly important to define the scope realistically. Not every relaunch needs to change all areas simultaneously. The crucial factor is that design, technology, content, forms, data protection, tracking, security, and the go-live process work seamlessly together. Addressing these aspects only after the launch risks unnecessary rework, inaccurate data, or fewer inquiries.

FIGULI CONSULTING can support companies in planning their website relaunch in a structured manner and implementing it flawlessly from a technical perspective: from web design and CMS to hosting, security, performance, tracking fundamentals, and ongoing support, all the way to a smooth handover after the go-live. FIGULI can also provide valuable support for marketing-related requirements such as clear user navigation, contact paths, and an improved digital presence.

Figuli CONSULTING can also effectively guide the relaunch process with marketing-related requirements such as clear user navigation, contact paths, and a better digital presence.

Plan a website relaunch with FIGULI

FAQ about the website relaunch

What is a website relaunch?

A website relaunch is the planned overhaul of an existing website. This can involve updating the design, content, technology, site structure, SEO, tracking, CMS, security, and user experience. The goal is a website that ranks higher in search results, is easier to use, and runs reliably.

When is a website relaunch advisable?

A website relaunch is advisable if the existing website is technically outdated, performs poorly on mobile devices, loads too slowly, is difficult to maintain, or generates too few inquiries. A new positioning strategy, new services, or security issues can also be reasons for a relaunch.

How can you avoid ranking losses during a website relaunch?

Ranking losses can be minimized by ensuring that important content is backed up, metadata is migrated, internal links are checked, and URL changes are properly redirected. Complete redirect mapping, correct canonicals, an up-to-date sitemap, and post-launch monitoring are particularly important.

What are 301 redirects in a website relaunch?

301 redirects are permanent redirects from old URLs to new URLs. They help users and search engines find the appropriate new page after a URL change. During a relaunch, every important old URL should redirect to a thematically relevant new target page.

What needs to be tested before going live?

Before going live, redirects, indexing, sitemap, robots.txt, canonical tags, forms, email delivery, tracking, consent banners, mobile display, loading times, Core Web Vitals, privacy policy pages, legal notice, backups, and the rollback plan should be tested.

How long does a website relaunch take?

The duration depends on the scope, amount of content, design effort, technical complexity, integrations, and approval processes. Small websites can be relaunched in a few weeks. Larger websites with many pages, interfaces, or multilingual content usually require several months.

How much does a website relaunch cost?

The costs depend on the scope and requirements. Key factors include strategy, design, development, CMS, content, SEO migration, redirects, tracking, data protection, testing, hosting, and after-sales support. A seemingly inexpensive relaunch can become costly if SEO, tracking, or quality assurance are lacking.

Website Relaunch: Checkliste für SEO, Tracking und Go-live

Thu, 30 Jul 2026 15:38:22 GMT

Website Relaunch: Checkliste für SEO, Tracking und Go-live

Ein Website Relaunch ist die geplante Überarbeitung einer bestehenden Website. Dabei werden je nach Ausgangslage Design, Inhalte, Technik, Navigation, SEO, Tracking, Sicherheit oder das gesamte CMS erneuert. Für KMU ist ein Relaunch häufig dann sinnvoll, wenn die Website technisch veraltet ist, zu wenig Anfragen bringt, langsam lädt, auf Mobilgeräten schlecht funktioniert oder nicht mehr zur Positionierung des Unternehmens passt.

Wichtig ist: Ein Website Relaunch ist kein reines Designprojekt. Wer nur das Aussehen verändert, aber Inhalte, Suchmaschinenoptimierung, Weiterleitungen, Tracking, Formulare und technische Stabilität vernachlässigt, riskiert Sichtbarkeitsverluste, fehlerhafte Messdaten und weniger Anfragen nach dem Go-live.

Dieser Leitfaden zeigt, wie Unternehmen einen Website Relaunch strukturiert planen: von Zielen und Content Audit über SEO-Migration, 301-Redirects, UX, Performance, Datenschutz und Tracking bis zur Go-live-Checkliste. Ziel ist eine Website, die moderner wirkt, besser gefunden wird, technisch stabil läuft und im Alltag einfacher gepflegt werden kann.

Inhaltsverzeichnis

Was ist ein Website Relaunch?
Wann ist ein Website Relaunch sinnvoll?
Website Relaunch planen: Ziele, Scope und Projektstruktur
Website Relaunch Checkliste: die wichtigsten Schritte
SEO beim Website Relaunch sichern
301-Redirects, URL-Struktur und Indexierung
UX, Design, Mobile und Performance
Tracking, Consent und Formulare prüfen
Go-live und Nachkontrolle
Typische Fehler beim Website Relaunch
Fazit
FAQ zum Website Relaunch

Was ist ein Website Relaunch?

Ein Website Relaunch ist die strategische Neugestaltung oder technische Erneuerung einer bestehenden Website. Dabei werden einzelne Bereiche oder die gesamte Website überarbeitet. Das kann ein neues Design sein, ein neues CMS, eine bessere Seitenstruktur, aktualisierte Inhalte, eine neue technische Basis oder eine Kombination aus allem.

Ein Relaunch kann verschiedene Bereiche betreffen:

Design und Markenauftritt
Navigation und Seitenstruktur
Inhalte und Texte
SEO und Metadaten
URL-Struktur und Weiterleitungen
CMS, Hosting und technische Basis
Ladezeiten und Core Web Vitals
Formulare und Lead-Prozesse
Tracking, Consent und Analytics
Sicherheit, Updates und Backups

Der Unterschied zu einer normalen Website-Optimierung liegt im Umfang. Einzelne Textanpassungen, neue Bilder oder kleinere Performance-Verbesserungen sind noch kein Relaunch. Ein Website Relaunch verändert grundlegende Bestandteile der Website und sollte deshalb wie ein Projekt geplant werden.

Wann ist ein Website Relaunch sinnvoll?

Ein Website Relaunch ist sinnvoll, wenn die bestehende Website wichtige Unternehmensziele nicht mehr unterstützt. Das betrifft nicht nur das Aussehen. Häufig liegen die eigentlichen Probleme in der Struktur, Technik, Nutzerführung oder Pflege.

Typische Gründe für einen Website Relaunch sind:

veraltetes Design
schlechte mobile Darstellung
langsame Ladezeiten
sinkende Anfragen oder Leads
unklare Navigation
veraltete Inhalte
schlechtes Ranking wichtiger Seiten
technische Probleme im CMS
fehlende Sicherheit oder Updates
unklare Tracking-Daten
schwierige Content-Pflege
neue Positionierung oder neues Angebot

Nicht jeder Fall braucht sofort einen kompletten Relaunch. Wenn die technische Basis stabil ist und nur einzelne Seiten schwach performen, reicht oft eine gezielte Optimierung. Wenn aber Struktur, Technik, Inhalte und Pflegeprozesse gleichzeitig Probleme verursachen, ist ein Website Relaunch meist sinnvoller.

Eine gute Entscheidung lautet daher nicht: „Alles neu oder nichts?“ Besser ist die Frage: Welche Probleme lassen sich mit Optimierung lösen, und wo braucht es einen sauberen Neustart?

Website Relaunch planen: Ziele, Scope und Projektstruktur

Ein erfolgreicher Website Relaunch beginnt nicht mit Design, sondern mit klaren Zielen. Unternehmen sollten zuerst festlegen, was die neue Website besser leisten soll. Geht es um mehr Anfragen? Bessere Sichtbarkeit bei Google? Schnellere Ladezeiten? Einfachere Pflege? Mehr Vertrauen bei B2B-Kunden? Bessere technische Sicherheit?

Sinnvolle Ziele sind zum Beispiel:

mehr qualifizierte Kontaktanfragen
bessere Rankings für wichtige Keywords
klarere Navigation
höhere Conversion-Rate
bessere mobile Nutzererfahrung
schnellere Ladezeiten
sauberes Tracking von Formularen und Klicks
einfachere Pflege im CMS
sicherer Betrieb mit Updates und Backups

Danach wird der Scope festgelegt. Dabei geht es darum, welche Bereiche wirklich verändert werden sollen. Nicht jede Website braucht gleichzeitig neues Design, neues CMS, neue Texte, neue URL-Struktur und neue Integrationen. Je klarer der Umfang, desto geringer ist das Risiko für Verzögerungen.

Gerade bei KMU ist eine saubere Projektstruktur wichtig. FIGULI CONSULTING kann Unternehmen dabei unterstützen, technische Anforderungen, Webdesign, Hosting, Sicherheit, Tracking und laufende Betreuung früh miteinander zu verbinden. So wird der Relaunch nicht nur optisch geplant, sondern auch technisch und organisatorisch sauber vorbereitet.

Website Relaunch mit FIGULI besprechen

Website Relaunch Checkliste: die wichtigsten Schritte

Eine Website Relaunch Checkliste hilft, wichtige Aufgaben nicht erst kurz vor dem Go-live zu entdecken. Besonders SEO, Tracking, Formulare und Weiterleitungen sollten früh eingeplant werden.

Die wichtigsten Schritte sind:

Ziele und Zielgruppen definieren
bestehende Website analysieren
wichtige Seiten, Rankings und Leads erfassen
Content Audit durchführen
neue Seitenstruktur planen
URL-Änderungen bewusst entscheiden
Redirect-Mapping erstellen
Design und UX entwickeln
Inhalte überarbeiten oder neu schreiben
technische Umsetzung auf Staging vorbereiten
SEO-Daten übernehmen
Tracking und Consent-Konzept prüfen
Formulare und E-Mail-Zustellung testen
Performance und mobile Darstellung testen
Backup und Rollback-Plan vorbereiten
Go-live durchführen
Indexierung, Weiterleitungen und Tracking nachprüfen
die ersten 30 Tage aktiv monitoren

Die Checkliste sollte nicht nur als Erinnerung dienen. Sie sollte ein echtes Qualitätsgatter sein: Erst wenn kritische Punkte geprüft sind, sollte die neue Website live gehen.

SEO beim Website Relaunch sichern

SEO ist meist einer der wichtigsten Punkte beim Website Relaunch. Viele Rankingverluste entstehen nicht durch das neue Design, sondern durch falsche oder fehlende Migration: wichtige Inhalte verschwinden, URLs ändern sich ohne Weiterleitung, Metadaten werden nicht übernommen oder interne Links verlieren ihre Wirkung.

Vor dem Relaunch sollten daher die wichtigsten SEO-Daten gesichert werden:

aktuelle URLs
organischer Traffic pro Seite
wichtige Rankings
Backlinks auf einzelne Seiten
Meta Title und Meta Description
H1- und H2-Struktur
interne Links
Canonical-Tags
Indexierungsstatus
Bild-Alt-Texte
strukturierte Daten, falls vorhanden

Ein Content Audit entscheidet, welche Inhalte bleiben, aktualisiert, zusammengeführt oder entfernt werden. Seiten mit Traffic, Rankings, Backlinks oder Leads sollten nicht leichtfertig gelöscht werden. Wenn Inhalte zusammengeführt werden, braucht es passende Weiterleitungen auf die neue Zielseite.

Für grundlegende SEO-Orientierung kann der WKO SEO-Leitfaden hilfreich sein, besonders für KMU, die Suchmaschinenoptimierung im Rahmen eines Relaunchs besser einordnen möchten.

301-Redirects, URL-Struktur und Indexierung

Wenn sich URLs beim Website Relaunch ändern, müssen Weiterleitungen geplant werden. Jede wichtige alte URL braucht ein klares Ziel. Sonst entstehen 404-Fehler, Nutzer landen ins Leere und Suchmaschinen verlieren Signale, die über Jahre aufgebaut wurden.

Ein gutes Redirect-Mapping enthält:

alte URL
neue Ziel-URL
Seitentyp
Priorität
Redirect-Status
Teststatus
Verantwortliche Person

301-Weiterleitungen sollten direkt auf die passende neue Zielseite zeigen. Pauschale Weiterleitungen auf die Startseite sind selten sinnvoll, weil sie Nutzern und Suchmaschinen keinen klaren thematischen Zusammenhang bieten. Auch Redirect-Ketten sollten vermieden werden.

Wichtig ist außerdem die Indexierung. Vor dem Go-live muss geprüft werden, ob die neue Website crawlbar ist und ob keine wichtigen Seiten versehentlich auf noindex stehen. Staging-Seiten dürfen dagegen nicht indexiert werden. Nach dem Launch sollten Sitemap, robots.txt, Canonicals und Statuscodes kontrolliert werden.

Google empfiehlt bei Website-Umzügen mit URL-Änderungen eine genaue URL-Zuordnung, passende Weiterleitungen und die Kontrolle wichtiger Signale wie Canonicals und Robots. Das sollte beim Website Relaunch als Pflichtaufgabe eingeplant werden.

UX, Design, Mobile und Performance

Ein neues Design allein macht eine Website nicht automatisch besser. Entscheidend ist, ob Nutzer schneller verstehen, worum es geht, welche Leistungen angeboten werden und welcher nächste Schritt sinnvoll ist. Gute UX reduziert Reibung und macht wichtige Informationen leichter auffindbar.

Beim Design sollten Unternehmen besonders auf diese Punkte achten:

klare Hauptnavigation
verständliche Leistungsseiten
starke Einstiege auf wichtigen Seiten
sichtbare Kontaktmöglichkeiten
vertrauensbildende Elemente
gute Lesbarkeit
klare Call-to-Actions
mobile Bedienbarkeit
schnelle Ladezeiten

Mobile Nutzung sollte nicht erst am Ende geprüft werden. Viele Nutzer besuchen Websites zuerst am Smartphone. Deshalb müssen Navigation, Buttons, Formulare, Textlängen und Abstände auf kleinen Bildschirmen funktionieren.

Auch Performance gehört zu einem professionellen Website Relaunch. Große Bilder, zu viele Skripte, unnötige Plugins oder schlecht optimierte Templates können die neue Website direkt ausbremsen. Google beschreibt Core Web Vitals als wichtige Nutzersignale für Ladeverhalten, Interaktivität und visuelle Stabilität. Beim Relaunch sollten diese Werte für zentrale Seitentypen geprüft werden.

Tracking, Consent und Formulare prüfen

Ein Website Relaunch verändert häufig auch Tracking, Cookie-Banner, Formulare, Tag Manager und Conversion-Messung. Wenn diese Punkte nicht sauber getestet werden, sieht die Website nach außen gut aus, liefert aber falsche Daten oder verliert Anfragen.

Vor dem Go-live sollte geprüft werden:

Funktioniert GA4 korrekt?
Wird der Google Tag Manager richtig ausgelöst?
Werden Events sauber gemessen?
Sind Formularsendungen als Conversion erfasst?
Funktioniert das Cookie- bzw. Consent-Banner?
Feuern Tracking-Tags erst nach entsprechender Einwilligung?
Werden Downloads, Telefonklicks oder Terminbuchungen gemessen?
Funktionieren interne Benachrichtigungen bei Formularen?
Kommen E-Mails zuverlässig an?

Formulare sind besonders kritisch. Sie sollten mit echten Testfällen geprüft werden: erfolgreiche Sendung, Fehlermeldung, Pflichtfelder, Sonderzeichen, mobile Darstellung, Spam-Schutz, Autoresponder und Weiterleitung an CRM oder E-Mail-Postfach.

Die Datenschutzbehörde Österreich weist bei Datenschutz und Cookies darauf hin, dass bei Cookie-Bannern und Tracking die konkrete Gestaltung und die Einwilligung relevant sind. Deshalb sollten Consent, Tag-Auslösung und Drittanbieter beim Relaunch dokumentiert und getestet werden.

Go-live und Nachkontrolle

Der Go-live ist kein einzelner Klick, sondern ein kontrollierter Wechsel. Vor dem Launch sollten Backup, Rollback-Plan, Wartungsfenster, Verantwortlichkeiten und Tests feststehen. Gerade bei geschäftskritischen Websites sollte niemand „einfach live stellen“ und danach hoffen, dass alles funktioniert.

Vor dem Go-live prüfen:

vollständiges Backup vorhanden
Staging nicht indexiert
Live-Seite nach Launch crawlbar
301-Redirects getestet
Sitemap vorbereitet
robots.txt geprüft
Canonicals korrekt
Formulare getestet
Tracking geprüft
Cookie-Banner getestet
mobile Darstellung geprüft
Ladezeiten geprüft
Datenschutzseiten aktualisiert
Impressum aktualisiert
Supportfenster eingeplant

Nach dem Go-live beginnt die wichtigste Kontrollphase. In den ersten Stunden und Tagen sollten Redirects, 404-Fehler, Indexierung, Tracking, Formulare und Performance überwacht werden. Viele Probleme lassen sich schnell beheben, wenn sie früh entdeckt werden.

In den ersten 30 Tagen prüfen:

organischen Traffic
Rankings wichtiger Keywords
Indexierungsstatus
404-Fehler
Redirect-Ketten
Formular-Conversions
Kontaktklicks
Ladezeiten
Core Web Vitals
Server-Fehler
Nutzerfeedback

Typische Fehler beim Website Relaunch

Die häufigsten Fehler beim Website Relaunch entstehen durch fehlende Vorbereitung. Besonders kritisch sind SEO, Tracking und technische Qualitätssicherung.

Typische Fehler sind:

Relaunch wird nur als Designprojekt betrachtet
keine klaren Ziele
kein Content Audit
wichtige Inhalte werden gelöscht
URL-Struktur wird ohne SEO-Plan geändert
301-Redirects fehlen oder sind falsch
Tracking wird erst nach Launch geprüft
Formulare werden nicht getestet
mobile Darstellung wird zu spät geprüft
Staging-Seite wird indexiert
Live-Seite bleibt versehentlich auf noindex
Cookie-Banner und Consent werden nicht geprüft
keine Nachkontrolle nach dem Go-live
kein Backup oder Rollback-Plan

Viele dieser Fehler lassen sich vermeiden, wenn der Relaunch als gemeinsames Projekt aus Strategie, Webdesign, SEO, Technik, Datenschutz und Betrieb verstanden wird. Genau hier liegt der Unterschied zwischen einer neuen Website und einem erfolgreichen Website Relaunch.

Fazit

Ein Website Relaunch ist dann erfolgreich, wenn die neue Website nicht nur moderner aussieht, sondern besser zum Ziel des Unternehmens passt. Je nach Ausgangslage kann der Schwerpunkt unterschiedlich sein: ein neues Design, eine klarere Nutzerführung, bessere Inhalte, technische Modernisierung, schnellere Ladezeiten, sauberes Tracking, stabileres Hosting oder eine bessere Grundlage für Marketing und Anfragen.

Für KMU ist besonders wichtig, den Umfang realistisch festzulegen. Nicht jeder Relaunch muss alle Bereiche gleichzeitig verändern. Entscheidend ist, dass Design, Technik, Inhalte, Formulare, Datenschutz, Tracking, Sicherheit und Go-live sauber zusammenspielen. Wer diese Punkte erst nach dem Launch betrachtet, riskiert unnötige Nacharbeit, fehlerhafte Daten oder weniger Anfragen.

FIGULI CONSULTING kann Unternehmen dabei unterstützen, den Website Relaunch strukturiert zu planen und technisch sauber umzusetzen: von Webdesign und CMS über Hosting, Sicherheit, Performance, Tracking-Grundlagen und laufende Betreuung bis zur stabilen Übergabe nach dem Go-live. Auch bei marketingnahen Anforderungen wie klarer Nutzerführung, Kontaktstrecken und einer besseren digitalen Präsentation kann FIGULI den Relaunch sinnvoll begleiten.

Website Relaunch mit FIGULI planen

FAQ zum Website Relaunch

Was ist ein Website Relaunch?

Ein Website Relaunch ist die geplante Überarbeitung einer bestehenden Website. Dabei können Design, Inhalte, Technik, Seitenstruktur, SEO, Tracking, CMS, Sicherheit und Nutzerführung erneuert werden. Ziel ist eine Website, die besser gefunden wird, einfacher zu bedienen ist und technisch stabil läuft.

Wann ist ein Website Relaunch sinnvoll?

Ein Website Relaunch ist sinnvoll, wenn die bestehende Website technisch veraltet ist, schlecht auf Mobilgeräten funktioniert, zu langsam lädt, schwer zu pflegen ist oder zu wenige Anfragen bringt. Auch eine neue Positionierung, neue Leistungen oder Sicherheitsprobleme können Gründe für einen Relaunch sein.

Wie vermeidet man Rankingverluste beim Website Relaunch?

Rankingverluste lassen sich reduzieren, wenn wichtige Inhalte gesichert, Metadaten übernommen, interne Links geprüft und URL-Änderungen sauber weitergeleitet werden. Besonders wichtig sind ein vollständiges Redirect-Mapping, korrekte Canonicals, eine aktuelle Sitemap und Monitoring nach dem Launch.

Was sind 301-Redirects beim Website Relaunch?

301-Redirects sind dauerhafte Weiterleitungen von alten URLs auf neue URLs. Sie helfen Nutzern und Suchmaschinen, nach einer URL-Änderung die passende neue Seite zu finden. Beim Relaunch sollte jede wichtige alte URL auf eine thematisch passende neue Zielseite weiterleiten.

Was muss vor dem Go-live getestet werden?

Vor dem Go-live sollten Redirects, Indexierung, Sitemap, robots.txt, Canonicals, Formulare, E-Mail-Zustellung, Tracking, Consent-Banner, mobile Darstellung, Ladezeiten, Core Web Vitals, Datenschutzseiten, Impressum, Backups und Rollback-Plan geprüft werden.

Wie lange dauert ein Website Relaunch?

Die Dauer hängt von Umfang, Content-Menge, Designaufwand, technischer Komplexität, Integrationen und Freigabeprozessen ab. Kleine Websites können in wenigen Wochen relauncht werden. Größere Websites mit vielen Seiten, Schnittstellen oder mehrsprachigen Inhalten benötigen meist mehrere Monate.

Was kostet ein Website Relaunch?

Die Kosten hängen von Umfang und Anforderungen ab. Wichtige Faktoren sind Strategie, Design, Entwicklung, CMS, Content, SEO-Migration, Redirects, Tracking, Datenschutz, Testing, Hosting und Nachbetreuung. Ein günstiger Relaunch kann teuer werden, wenn SEO, Tracking oder Qualitätssicherung fehlen.

Microsoft 365 Migration: A Guide for SMEs

Sun, 26 Jul 2026 15:21:27 GMT

Microsoft 365 Migration: Leitfaden für KMU

Eine Microsoft 365 Migration ist der kontrollierte Umstieg von bestehenden E-Mail-, Datei- und Zusammenarbeitssystemen auf Microsoft 365. Für KMU betrifft das häufig Exchange oder IMAP-Postfächer, Kalender, Kontakte, Fileserver, persönliche Laufwerke, SharePoint, OneDrive, Teams, Benutzerkonten und Sicherheitsrichtlinien.

Der Umstieg scheitert selten an einem einzelnen technischen Schritt. Häufig entstehen Probleme durch unklare Zuständigkeiten, schlechte Datenqualität, alte Berechtigungen, nicht getestete Postfächer, fehlende Backup-Strategie oder zu wenig Kommunikation mit den Mitarbeitenden. Eine gute Microsoft 365 Migration ist deshalb kein reines Kopierprojekt, sondern ein strukturiertes IT-Projekt mit Planung, Tests, Cutover und Nachbetreuung.

Dieser Leitfaden zeigt, wie KMU eine Microsoft 365 Migration sinnvoll vorbereiten: von Bestandsaufnahme und Zielstruktur über E-Mail-Migration, SharePoint, OneDrive und Teams bis zu Sicherheit, Kosten, Risiken und Checkliste. Ziel ist ein Umstieg, der technisch sauber funktioniert und im Arbeitsalltag wirklich angenommen wird.

Inhaltsverzeichnis

Was ist eine Microsoft 365 Migration?
Warum ist eine Microsoft 365 Migration für KMU sinnvoll?
Welche Systeme werden bei einer Microsoft 365 Migration migriert?
Microsoft 365 Migration vorbereiten: Bestandsaufnahme und Zielbild
E-Mail-Migration zu Microsoft 365 planen
Dateien zu SharePoint, OneDrive und Teams migrieren
Identitäten, MFA und Sicherheit richtig vorbereiten
Microsoft 365 Migration Schritt für Schritt
Checkliste für die Microsoft 365 Migration
Kosten und Risiken realistisch einschätzen
Fazit
FAQ zur Microsoft 365 Migration

Was ist eine Microsoft 365 Migration?

Eine Microsoft 365 Migration ist die Überführung bestehender IT-Dienste in die Microsoft-365-Umgebung. Dazu gehören je nach Ausgangslage E-Mails, Kalender, Kontakte, Dateien, Benutzerkonten, Gruppen, Berechtigungen, Teams-Strukturen und Sicherheitsrichtlinien.

Typische Ausgangssysteme sind:

Exchange Server im eigenen Unternehmen
IMAP-Postfächer bei einem Provider
lokale Fileserver
persönliche Netzlaufwerke
bestehende Cloud-Dienste
lokale Active-Directory-Benutzerkonten
ältere Office-Installationen
bestehende E-Mail-Sicherheitslösungen

Wichtig ist die Unterscheidung zwischen Migration und Einführung. Die Migration überträgt Daten, Konten und Dienste. Die Einführung sorgt dafür, dass Mitarbeitende Microsoft 365 danach sinnvoll nutzen: mit klarer Teams-Struktur, verständlichen Freigaben, sicheren Zugängen und guten Arbeitsabläufen.

Eine erfolgreiche Microsoft 365 Migration beantwortet daher nicht nur die Frage: „Wie kommen Daten in die Cloud?“ Sie beantwortet auch: „Wie arbeiten wir danach sicherer, strukturierter und effizienter?“

Warum ist eine Microsoft 365 Migration für KMU sinnvoll?

Eine Microsoft 365 Migration ist für KMU sinnvoll, wenn E-Mail, Dateien und Zusammenarbeit moderner, sicherer und flexibler organisiert werden sollen. Viele Unternehmen arbeiten noch mit lokalen Servern, historisch gewachsenen Ordnerstrukturen, separaten Tools und unklaren Berechtigungen. Das funktioniert im Alltag oft lange, wird aber bei Wachstum, Homeoffice, externen Freigaben oder Sicherheitsanforderungen zunehmend schwierig.

Microsoft 365 kann Unternehmen dabei unterstützen:

E-Mail, Kalender und Kontakte zentral bereitzustellen
Dateien über SharePoint und OneDrive besser verfügbar zu machen
Zusammenarbeit über Teams zu vereinfachen
Benutzerkonten und Zugriffe zentral zu steuern
MFA und Sicherheitsrichtlinien umzusetzen
mobile Arbeit und Homeoffice besser abzusichern
lokale Serverabhängigkeiten zu reduzieren
Standardprozesse für Onboarding und Offboarding aufzubauen

Dabei ersetzt Microsoft 365 aber nicht automatisch eine saubere IT-Strategie. Ohne Zielbild entstehen schnell neue Probleme: zu viele Teams, unkontrollierte Freigaben, unklare Dateiablagen, doppelte Daten und unübersichtliche Berechtigungen.

Genau deshalb sollte eine Microsoft 365 Migration mit einer übergeordneten Cloud Strategie verbunden werden. So wird vorab geklärt, welche Dienste in die Cloud passen, welche Daten besonders geschützt werden müssen und welche Regeln für Betrieb, Sicherheit und Kosten gelten.

Welche Systeme werden bei einer Microsoft 365 Migration migriert?

Der Umfang einer Microsoft 365 Migration hängt von der bestehenden IT-Umgebung ab. Manche Unternehmen starten nur mit E-Mail. Andere migrieren gleichzeitig Dateien, Teams, Benutzerkonten, mobile Geräte und Sicherheitsrichtlinien.

Häufige Migrationsbereiche sind:

Nicht jedes Unternehmen muss alles gleichzeitig migrieren. Für viele KMU ist ein stufenweiser Ansatz sinnvoller: zuerst E-Mail und Identitäten, danach Dateien und Teams, anschließend Governance, Sicherheit und Optimierung.

Microsoft 365 Migration vorbereiten: Bestandsaufnahme und Zielbild

Die wichtigste Phase einer Microsoft 365 Migration findet vor der eigentlichen Datenübertragung statt. Unternehmen sollten zuerst verstehen, welche Systeme, Daten, Benutzer, Berechtigungen und Abhängigkeiten vorhanden sind. Ohne diese Bestandsaufnahme werden Aufwand, Risiken und Kosten oft unterschätzt.

Zur Bestandsaufnahme gehören:

Anzahl der Benutzerkonten
Postfachgrößen und Archivpostfächer
freigegebene Postfächer und Verteiler
Kalenderfreigaben und Ressourcenpostfächer
Domains und DNS-Einträge
Fileserver-Strukturen und Datenmengen
Berechtigungen auf Ordnern und Laufwerken
sensible Daten und Aufbewahrungsanforderungen
eingesetzte Geräte und Office-Versionen
Anwendungen, Scanner oder Systeme, die E-Mails versenden
bestehende Backup- und Restore-Prozesse

Danach wird das Zielbild definiert. Es legt fest, wie die Microsoft-365-Umgebung künftig aussehen soll: Welche Benutzerstruktur wird verwendet? Welche Teams und SharePoint-Sites werden angelegt? Welche Freigaberegeln gelten? Wie wird MFA umgesetzt? Wer darf externe Gäste einladen? Welche Daten müssen zusätzlich gesichert werden?

Gerade bei dieser Vorbereitung kann externe Unterstützung sinnvoll sein. FIGULI CONSULTING unterstützt Unternehmen dabei, die bestehende IT-Umgebung strukturiert zu erfassen, Risiken sichtbar zu machen und daraus einen praxistauglichen Migrationsplan abzuleiten. Dabei geht es nicht nur um Technik, sondern auch um Sicherheit, Berechtigungen, Kommunikation und den späteren Betrieb.

Microsoft 365 Migration mit FIGULI planen

E-Mail-Migration zu Microsoft 365 planen

Die E-Mail-Migration ist für viele Unternehmen der kritischste Teil einer Microsoft 365 Migration. E-Mails, Kalender, Kontakte und mobile Geräte sind direkt mit dem Arbeitsalltag verbunden. Schon kurze Störungen können Supportaufwand und Verunsicherung auslösen.

Typische Ausgangslagen sind:

Exchange Server im Unternehmen
Hosted Exchange bei einem Provider
IMAP-Postfächer
Google Workspace
PST-Dateien oder lokale Archive
freigegebene Postfächer und Verteilerlisten

Bei einer Exchange-Migration sind je nach Umgebung verschiedene Wege möglich. Ein Cutover eignet sich eher für kleinere, überschaubare Umgebungen mit klarem Umschaltfenster. Eine hybride Migration kann sinnvoll sein, wenn Postfächer schrittweise migriert werden sollen oder eine Übergangsphase zwischen lokaler Umgebung und Microsoft 365 notwendig ist.

Bei IMAP-Migrationen werden meist E-Mails und Ordner übertragen. Kalender, Kontakte und Aufgaben müssen gesondert betrachtet werden. Deshalb ist es wichtig, vorab zu prüfen, welche Daten wirklich vorhanden sind und wie vollständig sie übernommen werden können.

Besonders wichtig sind DNS und Mailflow. Vor dem Cutover sollten MX, Autodiscover, SPF, DKIM und DMARC geplant und getestet werden. Auch Scanner, Webseiten, ERP-Systeme oder Buchhaltungssoftware, die E-Mails versenden, dürfen nicht vergessen werden.

Wenn E-Mail-Schutz, SPF, DKIM, DMARC und Phishing-Schutz im Zuge der Migration neu bewertet werden, passt auch der Artikel zur E-Mail Sicherheit als vertiefende Ressource.

Dateien zu SharePoint, OneDrive und Teams migrieren

Die Datei-Migration ist oft komplexer als erwartet. Viele Fileserver sind über Jahre gewachsen. Es gibt alte Projektordner, doppelte Dateien, unklare Berechtigungen, lange Pfade, Sonderzeichen und Ordner, für die niemand mehr verantwortlich ist. Werden diese Strukturen ungeprüft in Microsoft 365 kopiert, entsteht das gleiche Chaos in neuer Umgebung.

Vor der Migration sollte geklärt werden:

Welche Daten werden überhaupt noch benötigt?
Welche Daten können archiviert oder gelöscht werden?
Welche Dateien gehören in OneDrive?
Welche Dateien gehören in SharePoint?
Welche Teams-Strukturen werden benötigt?
Wer ist für welche Bereiche verantwortlich?
Welche externen Freigaben sind erlaubt?
Welche Berechtigungen sollen übernommen oder neu aufgebaut werden?

OneDrive eignet sich vor allem für persönliche Arbeitsdateien. SharePoint eignet sich für Team-, Abteilungs-, Projekt- und Prozessdaten. Teams nutzt SharePoint im Hintergrund, sollte aber nicht einfach als Ersatz für jede Ordnerstruktur verstanden werden.

Eine gute Zielstruktur verhindert späteren Wildwuchs. Deshalb sollten Unternehmen vor der Übertragung klare Regeln für Teams, Kanäle, SharePoint-Sites, Namenskonventionen, externe Freigaben und Verantwortlichkeiten definieren.

Microsoft stellt für SharePoint- und OneDrive-Migrationen das SharePoint Migration Tool bereit. Es kann bei Standardszenarien helfen, ersetzt aber nicht die fachliche Entscheidung, welche Daten wohin gehören und welche Berechtigungen sinnvoll sind.

Identitäten, MFA und Sicherheit richtig vorbereiten

Identitäten sind das Fundament einer Microsoft 365 Migration. Wenn Benutzerkonten, Gruppen, Rollen und Anmeldemethoden nicht sauber geplant sind, entstehen später Sicherheits- und Supportprobleme.

Wichtige Fragen sind:

Werden Benutzer nur in der Cloud verwaltet oder mit lokalem Active Directory synchronisiert?
Welche Namenskonventionen gelten für Benutzer, Gruppen und Teams?
Welche Rollen erhalten Administratoren?
Wird MFA für alle Benutzer aktiviert?
Welche Ausnahmen sind wirklich notwendig?
Welche Regeln gelten für externe Zugriffe?
Wie werden alte Authentifizierungsmethoden abgeschaltet?
Wie funktioniert Onboarding und Offboarding künftig?

MFA sollte nicht erst nach der Migration „irgendwann“ aktiviert werden. Gerade beim Umstieg auf Microsoft 365 ist es sinnvoll, sichere Anmeldung und Benutzerzugriffe früh zu planen und mit einer Pilotgruppe zu testen.

Auch Endpoint Security spielt eine Rolle. Wenn Benutzer von verschiedenen Geräten auf Microsoft 365 zugreifen, müssen Endgeräte, Patchstand, Geräteschutz und Zugriffskontrollen zusammenspielen. Microsoft 365 ist nur dann sicher, wenn Identitäten, E-Mail-Schutz, Endgeräte und Berechtigungen gemeinsam betrachtet werden.

Microsoft 365 Migration Schritt für Schritt

Eine Microsoft 365 Migration sollte in klaren Phasen ablaufen. Dadurch bleiben Risiken steuerbar und Verantwortlichkeiten nachvollziehbar.

Sinnvolle Phasen sind:

Bestandsaufnahme
Zielbild und Scope definieren
Tenant, Domains und Lizenzen vorbereiten
Identitäten und Sicherheitsrichtlinien planen
Pilotgruppe auswählen
E-Mail- und Datei-Testmigration durchführen
Fehler und Sonderfälle bereinigen
Kommunikation an Mitarbeitende vorbereiten
produktive Migration in Wellen oder Cutover durchführen
Nachbetreuung und Stabilisierung sicherstellen
Berechtigungen, Backup und Governance prüfen

Der Pilot ist besonders wichtig. Er zeigt, ob Annahmen aus der Planung stimmen: Funktioniert der Mailflow? Werden Kalender sauber übernommen? Funktioniert MFA auf mobilen Geräten? Können Benutzer auf SharePoint und Teams zugreifen? Gibt es Berechtigungsprobleme oder fehlende Dateien?

Nach dem Cutover beginnt die Stabilisierung. In dieser Phase sollten Support, Nacharbeiten und Rückfragen bewusst eingeplant werden. Viele Probleme entstehen nicht direkt beim Kopieren, sondern in den ersten Tagen danach: Outlook-Profile, mobile Geräte, Teams-Strukturen, OneDrive-Synchronisation oder fehlende Berechtigungen.

Checkliste für die Microsoft 365 Migration

Diese Checkliste hilft, die wichtigsten Punkte vor dem Cutover zu prüfen:

Tenant angelegt und dokumentiert
Domains verifiziert
Lizenzen zugewiesen
Benutzerkonten und Gruppen geprüft
MFA-Konzept definiert und pilotiert
DNS-Plan erstellt
MX, Autodiscover, SPF, DKIM und DMARC vorbereitet
Postfächer analysiert
freigegebene Postfächer und Verteiler dokumentiert
Pilotmigration durchgeführt
Fileserver-Daten bereinigt
SharePoint-/OneDrive-/Teams-Zielstruktur definiert
Berechtigungen geprüft
Backup- und Restore-Konzept geklärt
Cutover-Zeitfenster festgelegt
Rollback-Plan vorbereitet
Mitarbeitende informiert
Supportfenster geplant
Nachbetreuung organisiert

Die Checkliste sollte nicht nur intern abgelegt werden. Sie sollte als echtes Qualitätsgatter genutzt werden: Erst wenn kritische Punkte geprüft und freigegeben sind, sollte die produktive Umstellung erfolgen.

Backup und Wiederherstellung nicht vergessen

Ein häufiger Irrtum ist, dass Microsoft 365 automatisch jedes Backup-Thema löst. Microsoft 365 bietet zwar Wiederherstellungsfunktionen, ersetzt aber nicht in jedem Fall ein unabhängiges Backup-Konzept für geschäftskritische Daten.

Vor der Migration sollte daher geklärt werden:

Welche Daten müssen wiederherstellbar sein?
Wie lange müssen E-Mails und Dateien aufbewahrt werden?
Wer darf Wiederherstellungen auslösen?
Wie wird ein Restore getestet?
Welche Daten liegen in Exchange Online, SharePoint, OneDrive und Teams?
Wie werden versehentliche Löschungen oder Ransomware-Fälle behandelt?

Gerade wenn geschäftskritische E-Mails, Teams-Daten, SharePoint-Dokumente und OneDrive-Dateien in Microsoft 365 liegen, sollte ein Microsoft 365 Backup in die Planung einbezogen werden.

Kosten und Risiken realistisch einschätzen

Die Kosten einer Microsoft 365 Migration bestehen nicht nur aus Lizenzen. Entscheidend sind die Gesamtkosten aus Planung, Datenbereinigung, Migration, Tools, Tests, Schulung, Support und laufender Betreuung.

 Typische Kostenblöcke sind:

Häufig unterschätzt werden interne Aufwände. Fachbereiche müssen Daten prüfen, Berechtigungen bestätigen, Pilotfeedback geben und Mitarbeitende informieren. Ohne diese Mitarbeit entstehen Lücken, die später Support und Nacharbeit verursachen.

Typische Risiken sind:

unvollständige Bestandsaufnahme
falsche DNS-Umstellung
nicht getesteter Mailflow
alte Authentifizierungsmethoden
fehlende MFA-Planung
unklare Berechtigungen
ungeprüfte Fileserver-Daten
zu viele Teams ohne Governance
fehlende Backup-Strategie
zu wenig Kommunikation mit Mitarbeitenden
kein Supportfenster nach dem Cutover

Viele dieser Risiken lassen sich durch Pilotmigration, Checkliste, klare Verantwortlichkeiten und ein realistisches Cutover-Drehbuch deutlich reduzieren.

Offizielle Informationen zur sicheren Cloud-Nutzung können zusätzlich helfen, Datenschutz, Datensicherheit und IT-Sicherheit bei Cloud-Diensten einzuordnen. onlinesicherheit.gv.at nennt bei Cloud-Diensten unter anderem Datensicherheit, IT-Sicherheit, Privacy und Datenschutz als wichtige Themen.

Microsoft 365 Migration mit FIGULI sinnvoll umsetzen

Eine Microsoft 365 Migration wird dann erfolgreich, wenn Technik, Sicherheit und Organisation zusammenpassen. FIGULI CONSULTING kann Unternehmen dabei unterstützen, den Umstieg strukturiert zu planen und Risiken früh sichtbar zu machen.

FIGULI unterstützt je nach Ausgangslage bei:

Bestandsaufnahme der bestehenden IT-Umgebung
Planung von Tenant, Domains und Benutzerstruktur
Vorbereitung von E-Mail-Migration und DNS
Konzeption von SharePoint, OneDrive und Teams
Umsetzung von MFA und Sicherheitsrichtlinien
Prüfung von Backup- und Wiederherstellungskonzepten
Koordination von Pilot, Cutover und Nachbetreuung
laufender IT-Betreuung nach der Migration

 Wichtig ist dabei: FIGULI CONSULTING muss nicht erst beim technischen Umzug eingebunden werden. Besonders wertvoll ist Unterstützung bereits vor der Migration, wenn Scope, Zielbild, Risiken und Verantwortlichkeiten festgelegt werden.

Fazit

Eine Microsoft 365 Migration ist mehr als der Umzug von E-Mails und Dateien. Sie verändert, wie Mitarbeitende kommunizieren, zusammenarbeiten, Daten teilen und auf Unternehmensinformationen zugreifen . Deshalb sollte der Umstieg nicht nur technisch, sondern auch organisatorisch geplant werden.

Für KMU ist ein strukturierter Ansatz entscheidend: Bestandsaufnahme, Zielbild, Pilot, klare Sicherheitsregeln, kontrollierter Cutover und Nachbetreuung. Wer E-Mail, Dateien, Identitäten, MFA, SharePoint, OneDrive, Teams und Backup gemeinsam betrachtet, reduziert Ausfallzeiten und vermeidet spätere Nacharbeit.

FIGULI CONSULTING kann Unternehmen dabei unterstützen, die Microsoft 365 Migration sicher, nachvollziehbar und praxistauglich umzusetzen. So entsteht nicht nur eine neue Cloud-Umgebung, sondern eine stabile Grundlage für moderne Zusammenarbeit, bessere IT-Sicherheit und klarere Betriebsprozesse.

Microsoft 365 Migration mit FIGULI planen

FAQ zur Microsoft 365 Migration

Was ist eine Microsoft 365 Migration?

Eine Microsoft 365 Migration ist der kontrollierte Umstieg von bestehenden E-Mail-, Datei- und Zusammenarbeitssystemen auf Microsoft 365. Dazu gehören je nach Umfang Postfächer, Kalender, Kontakte, Dateien, Benutzerkonten, Gruppen, Berechtigungen, SharePoint, OneDrive, Teams und Sicherheitsrichtlinien.

Wie läuft eine Microsoft 365 Migration ab?

Eine Microsoft 365 Migration läuft meist in Phasen ab: Bestandsaufnahme, Zielbild, Vorbereitung von Tenant und Identitäten, Pilotmigration, produktive Migration, Cutover und Nachbetreuung. Wichtig sind Tests für Mailflow, Berechtigungen, mobile Geräte, SharePoint, Teams und Backup.

Wie lange dauert eine Microsoft 365 Migration?

Die Dauer hängt von Nutzerzahl, Datenmenge, Ausgangssystem, Berechtigungen und Zielumfang ab. Eine reine E-Mail-Migration kann schneller umgesetzt werden als ein vollständiger Umstieg mit Fileserver, SharePoint, OneDrive, Teams, MFA und Governance. Entscheidend sind Vorbereitung, Pilot und Stabilisierung.

Welche Daten werden bei einer Microsoft 365 Migration übertragen?

Typische Daten sind E-Mails, Kalender, Kontakte, freigegebene Postfächer, Dateien, Ordnerstrukturen, Berechtigungen, Teams-Strukturen und SharePoint-Inhalte. Welche Daten konkret übertragen werden, hängt von der bestehenden Umgebung und vom definierten Migrationsumfang ab.

Was ist der Unterschied zwischen OneDrive, SharePoint und Teams?

OneDrive eignet sich vor allem für persönliche Arbeitsdateien. SharePoint eignet sich für Team-, Projekt- und Abteilungsdaten. Teams nutzt SharePoint im Hintergrund und ergänzt Zusammenarbeit über Chats, Besprechungen, Kanäle und gemeinsame Dateien.

Welche Risiken gibt es bei einer Microsoft 365 Migration?

Häufige Risiken sind unvollständige Datenübernahme, Berechtigungsfehler, DNS-Probleme, Mailflow-Störungen, unsaubere Identitäten, fehlende MFA-Planung, alte Dateienstrukturen und unzureichende Kommunikation. Pilotmigration, Checklisten, Backup und Nachbetreuung reduzieren diese Risiken deutlich.

Braucht man ein Backup für Microsoft 365?

Für geschäftskritische Daten ist ein unabhängiges Microsoft 365 Backup häufig sinnvoll. Microsoft 365 bietet Wiederherstellungsfunktionen, ersetzt aber nicht in jedem Fall ein eigenes Backup- und Restore-Konzept. Besonders Exchange Online, SharePoint, OneDrive und Teams sollten bewertet werden.

Was kostet eine Microsoft 365 Migration?

Die Kosten hängen von Nutzerzahl, Datenmenge, Ausgangssystem, Migrationsumfang, Toolbedarf, Sicherheitsanforderungen und Supportaufwand ab. Neben Lizenzen sollten Unternehmen auch Planung, Datenbereinigung, Tests, Schulung, Cutover-Begleitung und Nachbetreuung berücksichtigen.

Microsoft 365 Migration: Leitfaden für KMU

Sun, 26 Jul 2026 15:21:23 GMT

Microsoft 365 Migration: Leitfaden für KMU

Inhaltsverzeichnis

Was ist eine Microsoft 365 Migration?
Warum ist eine Microsoft 365 Migration für KMU sinnvoll?
Welche Systeme werden bei einer Microsoft 365 Migration migriert?
Microsoft 365 Migration vorbereiten: Bestandsaufnahme und Zielbild
E-Mail-Migration zu Microsoft 365 planen
Dateien zu SharePoint, OneDrive und Teams migrieren
Identitäten, MFA und Sicherheit richtig vorbereiten
Microsoft 365 Migration Schritt für Schritt
Checkliste für die Microsoft 365 Migration
Kosten und Risiken realistisch einschätzen
Fazit
FAQ zur Microsoft 365 Migration

Was ist eine Microsoft 365 Migration?

Typische Ausgangssysteme sind:

Exchange Server im eigenen Unternehmen
IMAP-Postfächer bei einem Provider
lokale Fileserver
persönliche Netzlaufwerke
bestehende Cloud-Dienste
lokale Active-Directory-Benutzerkonten
ältere Office-Installationen
bestehende E-Mail-Sicherheitslösungen

Warum ist eine Microsoft 365 Migration für KMU sinnvoll?

Microsoft 365 kann Unternehmen dabei unterstützen:

E-Mail, Kalender und Kontakte zentral bereitzustellen
Dateien über SharePoint und OneDrive besser verfügbar zu machen
Zusammenarbeit über Teams zu vereinfachen
Benutzerkonten und Zugriffe zentral zu steuern
MFA und Sicherheitsrichtlinien umzusetzen
mobile Arbeit und Homeoffice besser abzusichern
lokale Serverabhängigkeiten zu reduzieren
Standardprozesse für Onboarding und Offboarding aufzubauen

Welche Systeme werden bei einer Microsoft 365 Migration migriert?

Häufige Migrationsbereiche sind:

Microsoft 365 Migration vorbereiten: Bestandsaufnahme und Zielbild

Zur Bestandsaufnahme gehören:

Anzahl der Benutzerkonten
Postfachgrößen und Archivpostfächer
freigegebene Postfächer und Verteiler
Kalenderfreigaben und Ressourcenpostfächer
Domains und DNS-Einträge
Fileserver-Strukturen und Datenmengen
Berechtigungen auf Ordnern und Laufwerken
sensible Daten und Aufbewahrungsanforderungen
eingesetzte Geräte und Office-Versionen
Anwendungen, Scanner oder Systeme, die E-Mails versenden
bestehende Backup- und Restore-Prozesse

Microsoft 365 Migration mit FIGULI planen

E-Mail-Migration zu Microsoft 365 planen

Typische Ausgangslagen sind:

Exchange Server im Unternehmen
Hosted Exchange bei einem Provider
IMAP-Postfächer
Google Workspace
PST-Dateien oder lokale Archive
freigegebene Postfächer und Verteilerlisten

Wenn E-Mail-Schutz, SPF, DKIM, DMARC und Phishing-Schutz im Zuge der Migration neu bewertet werden, passt auch der Artikel zur E-Mail Sicherheit als vertiefende Ressource.

Dateien zu SharePoint, OneDrive und Teams migrieren

Vor der Migration sollte geklärt werden:

Welche Daten werden überhaupt noch benötigt?
Welche Daten können archiviert oder gelöscht werden?
Welche Dateien gehören in OneDrive?
Welche Dateien gehören in SharePoint?
Welche Teams-Strukturen werden benötigt?
Wer ist für welche Bereiche verantwortlich?
Welche externen Freigaben sind erlaubt?
Welche Berechtigungen sollen übernommen oder neu aufgebaut werden?

Identitäten, MFA und Sicherheit richtig vorbereiten

Wichtige Fragen sind:

Werden Benutzer nur in der Cloud verwaltet oder mit lokalem Active Directory synchronisiert?
Welche Namenskonventionen gelten für Benutzer, Gruppen und Teams?
Welche Rollen erhalten Administratoren?
Wird MFA für alle Benutzer aktiviert?
Welche Ausnahmen sind wirklich notwendig?
Welche Regeln gelten für externe Zugriffe?
Wie werden alte Authentifizierungsmethoden abgeschaltet?
Wie funktioniert Onboarding und Offboarding künftig?

Microsoft 365 Migration Schritt für Schritt

Eine Microsoft 365 Migration sollte in klaren Phasen ablaufen. Dadurch bleiben Risiken steuerbar und Verantwortlichkeiten nachvollziehbar.

Sinnvolle Phasen sind:

Bestandsaufnahme
Zielbild und Scope definieren
Tenant, Domains und Lizenzen vorbereiten
Identitäten und Sicherheitsrichtlinien planen
Pilotgruppe auswählen
E-Mail- und Datei-Testmigration durchführen
Fehler und Sonderfälle bereinigen
Kommunikation an Mitarbeitende vorbereiten
produktive Migration in Wellen oder Cutover durchführen
Nachbetreuung und Stabilisierung sicherstellen
Berechtigungen, Backup und Governance prüfen

Checkliste für die Microsoft 365 Migration

Diese Checkliste hilft, die wichtigsten Punkte vor dem Cutover zu prüfen:

Tenant angelegt und dokumentiert
Domains verifiziert
Lizenzen zugewiesen
Benutzerkonten und Gruppen geprüft
MFA-Konzept definiert und pilotiert
DNS-Plan erstellt
MX, Autodiscover, SPF, DKIM und DMARC vorbereitet
Postfächer analysiert
freigegebene Postfächer und Verteiler dokumentiert
Pilotmigration durchgeführt
Fileserver-Daten bereinigt
SharePoint-/OneDrive-/Teams-Zielstruktur definiert
Berechtigungen geprüft
Backup- und Restore-Konzept geklärt
Cutover-Zeitfenster festgelegt
Rollback-Plan vorbereitet
Mitarbeitende informiert
Supportfenster geplant
Nachbetreuung organisiert

Backup und Wiederherstellung nicht vergessen

Vor der Migration sollte daher geklärt werden:

Welche Daten müssen wiederherstellbar sein?
Wie lange müssen E-Mails und Dateien aufbewahrt werden?
Wer darf Wiederherstellungen auslösen?
Wie wird ein Restore getestet?
Welche Daten liegen in Exchange Online, SharePoint, OneDrive und Teams?
Wie werden versehentliche Löschungen oder Ransomware-Fälle behandelt?

Gerade wenn geschäftskritische E-Mails, Teams-Daten, SharePoint-Dokumente und OneDrive-Dateien in Microsoft 365 liegen, sollte ein Microsoft 365 Backup in die Planung einbezogen werden.

Kosten und Risiken realistisch einschätzen

 Typische Kostenblöcke sind:

Typische Risiken sind:

unvollständige Bestandsaufnahme
falsche DNS-Umstellung
nicht getesteter Mailflow
alte Authentifizierungsmethoden
fehlende MFA-Planung
unklare Berechtigungen
ungeprüfte Fileserver-Daten
zu viele Teams ohne Governance
fehlende Backup-Strategie
zu wenig Kommunikation mit Mitarbeitenden
kein Supportfenster nach dem Cutover

Viele dieser Risiken lassen sich durch Pilotmigration, Checkliste, klare Verantwortlichkeiten und ein realistisches Cutover-Drehbuch deutlich reduzieren.

Microsoft 365 Migration mit FIGULI sinnvoll umsetzen

FIGULI unterstützt je nach Ausgangslage bei:

Bestandsaufnahme der bestehenden IT-Umgebung
Planung von Tenant, Domains und Benutzerstruktur
Vorbereitung von E-Mail-Migration und DNS
Konzeption von SharePoint, OneDrive und Teams
Umsetzung von MFA und Sicherheitsrichtlinien
Prüfung von Backup- und Wiederherstellungskonzepten
Koordination von Pilot, Cutover und Nachbetreuung
laufender IT-Betreuung nach der Migration

Fazit

Microsoft 365 Migration mit FIGULI planen

FAQ zur Microsoft 365 Migration

Was ist eine Microsoft 365 Migration?

Wie läuft eine Microsoft 365 Migration ab?

Wie lange dauert eine Microsoft 365 Migration?

Welche Daten werden bei einer Microsoft 365 Migration übertragen?

Was ist der Unterschied zwischen OneDrive, SharePoint und Teams?

Welche Risiken gibt es bei einer Microsoft 365 Migration?

Braucht man ein Backup für Microsoft 365?

Was kostet eine Microsoft 365 Migration?

Phishing Simulation: Safely Test Employees

Wed, 22 Jul 2026 15:20:08 GMT

Phishing Simulation: Safely test employees and raise awareness

A phishing simulation is a controlled test in which employees receive realistic, but harmless, phishing emails. The goal is not to embarrass individuals, but to improve security practices in everyday work: Is a suspicious message recognized? Is a link clicked? Are login credentials entered? Is the email reported correctly?

This is important for companies because many cyberattacks begin with emails. Phishing affects not only IT, but also accounting, management, HR, sales, and all teams that work with external messages daily. Fake invoices, alleged Microsoft 365 logins, package notifications, job applications, or messages supposedly from executives are particularly dangerous.

This article shows how to plan a phishing simulation effectively, which rules for data protection and fairness are important, which key performance indicators (KPIs) are truly helpful, and how companies can derive concrete awareness measures from it. The focus is on a clear and practical implementation for SMEs and medium-sized businesses.

What is a phishing simulation?
Why is a phishing simulation useful?
How does a phishing simulation work?
How to plan a phishing simulation correctly
Data protection, transparency, and the works council
Which phishing scenarios are useful?
Which KPIs should be evaluated?
Typical mistakes in phishing simulations
Implementing a phishing simulation with FIGULI CONSULTING
Conclusion
FAQ about phishing simulations

What is a phishing simulation?

A phishing simulation is a planned security exercise. Employees receive realistically designed test emails that replicate typical phishing attacks. These messages might contain, for example, a link, a fake login page, a fake attachment, or a call to action.

The difference from real phishing: The simulation is controlled, harmless, and documented. No actual malware is sent, and no real login credentials are stored. Instead, the simulation measures how employees react and whether internal reporting channels function effectively.

A phishing simulation tests, for example:

whether suspicious emails are recognized
whether links or attachments are clicked
whether login credentials would be entered
whether employees report the message
how quickly a report is filed
whether the helpdesk or IT department reacts appropriately
which teams need additional training

The underlying principle is crucial: A good phishing simulation is not a test to "catch" employees. It is a learning tool to highlight risks, practice reporting procedures, and strengthen security awareness in everyday practice.

Why is a phishing simulation useful?

A phishing simulation is useful because it demonstrates how well employees react to realistic fraud attempts. While traditional training explains the rules, it doesn't always show whether these rules are actually applied in the hectic daily work environment.

Especially in SMEs, successful phishing attacks can have significant consequences. A compromised Microsoft 365 account, a manipulated invoice, or a fake login can lead to data leaks, payment fraud, malware, or business interruptions.

A phishing simulation helps companies:

measure the current level of awareness
identify typical risk situations
practice reporting procedures
plan training more effectively
improve response times
involve managers and specialist departments
better evaluate technical security measures

Most importantly: It's not just about reducing the click-through rate. Even more crucial is that suspicious messages are reported quickly and correctly. Because even in well-protected environments, a dangerous email can slip through.

Official phishing prevention measures provide additional guidance on how to check suspicious messages, report them, and supplement technical safeguards.

That's precisely why phishing simulation and email security go hand in hand. Technical safeguards such as spam filters, email security, multi-factor authentication (MFA), and secure devices are essential. Simulation complements these measures by training the human element and internal processes.

How does a phishing simulation work?

A phishing simulation proceeds in several clear steps. First , the objective, target group, and scenario are defined. Then , the test email, landing page, tracking, reporting channels, and evaluation are prepared. Finally , the campaign is sent out, evaluated, and linked to brief training exercises.

A simple process looks like this:

Define objective
Determine target group
Select scenario
Create test email and landing page
Clarify data protection and communication protocols
Conduct technical testing
Send campaign
Evaluate clicks, reports, and response times
Derive learning objectives and training materials
Conduct a retest later

The most important point is the follow-up. A simulation without evaluation and training is of little use. The learning effect only occurs when employees understand which warning signs were overlooked and how to react correctly next time.

Properly planning a phishing simulation

A good phishing simulation doesn't start with sending a test email, but with planning. Companies should clarify beforehand exactly what is to be tested, which target groups are to be included, and what insights should ultimately be gained.

Reasonable goals include:

Increase the reporting rate
Reduce the click-through rate
Reduce the reporting time
Identify risks in specific roles
Strengthen secure processes for invoices or logins
Plan awareness training more effectively
Detect real incidents more quickly

Goals such as public rankings, exposing individuals, or creating the most difficult test possible are not advisable. Such approaches damage trust and can lead to employees later failing to report genuine suspected cases.

External support can be particularly helpful during the planning phase. FIGULI CONSULTING supports companies not only with individual phishing simulations, but also in developing effective IT security and awareness measures. This includes clear reporting channels, easily understandable training materials, technical email security measures, Microsoft 365 security, and reporting that reveals risks without embarrassing employees.

This way, a single test becomes not an isolated project, but a meaningful component of the overall security strategy.

Discuss IT security and awareness with FIGULI

Which target groups should be included?

Not all roles carry the same risk. Therefore, a phishing simulation should carefully select target groups. Teams that receive many external emails or handle sensitive processes are particularly relevant.

Typical target groups include:

Accounting and Finance
Management and Executive Assistants
HR and Recruiting
Sales and Customer Service
IT and Administration
Project Management
Shared mailboxes such as office@ or accounting@

Finance, HR, and management are often attractive targets for attackers because they process invoices, approvals, personnel files, and other confidential information.

How often should you run a phishing simulation?

For many SMEs, a quarterly cycle makes sense . This means an initial baseline campaign, followed by regular repetitions with comparable scenarios and short learning modules.

More important than the perfect frequency is consistency . A one-off simulation generates attention but rarely changes lasting behavior. A repeatable process with manageable campaigns, clear evaluation, and re-testing after training or process changes is better.

Data protection, transparency and works council

A phishing simulation must be implemented fairly and in compliance with data protection regulations. This primarily involves purpose limitation, data minimization, retention periods, access rights, and transparent communication.

Employees should be aware that the company conducts awareness campaigns and phishing simulations. It is not necessary to specify concrete dates or scenarios in advance. However, the purpose must be clear: to learn, improve reporting channels, and reduce security risks.

Key points include:

Document the purpose of the simulation
Collect only necessary data
Do not store real passwords
Define retention periods
Limit access to evaluations
Evaluate results in aggregated form whenever possible
Involve the works council or data protection officer early on
Do not create public rankings

If a works council exists, it should be involved early. This is especially important if personal behavioral data is being processed. Data protection officers, IT security, and HR should also be informed about the purpose, data fields, reporting, and follow-up procedures.

A sound implementation not only reduces legal risks but also improves acceptance. When employees understand that it's about learning rather than control, they are more willing to report suspicious emails.

Which phishing scenarios are sensible?

Good phishing scenarios are based on real work processes. They should be realistic, but not unfair or manipulative. The aim is a learning effect, not maximum uncertainty.

Examples of useful scenarios include:

alleged Microsoft 365 login
fake invoice
Alleged change of bank details of a supplier
HR document or policy update
Package or shipping notification
SharePoint or OneDrive sharing
Appointment change or calendar approval
alleged security warning
QR code in an email

A learning goal should be defined for each scenario. In the case of a fake invoice, for example, it's about confirmation and the four-eyes principle. A Microsoft 365 login is about URL checking, MFA behavior and reporting path.

What should be avoided?

Scenarios that unnecessarily create fear, shame, or personal pressure should be avoided. These include private topics, health information, threats of dismissal, salary promises, or highly emotional enticements.

Such campaigns may generate high click-through rates in the short term, but they destroy trust in the long run. Realistic, fair scenarios with a concrete connection to everyday work life are better.

Which KPIs should be evaluated?

Several key performance indicators (KPIs) are important for a phishing simulation. The click-through rate (CTR) alone is insufficient. While it shows how often a link was clicked, it reveals little about the overall resilience of the organization.

Important KPIs include:

Click-through rate
Entry rate on landing pages
Report rate
Time-to-report
Repeat rate
Report quality
Risk patterns by role or process
Development across multiple campaigns

Report rate and time-to-report are particularly valuable. If a suspicious message is reported quickly, IT or security can react before significant damage occurs.

KPI table for phishing simulations

The trend is what matters. A single campaign can be distorted by its scenario, timing, or technical filters. Meaningful analysis only occurs when multiple campaigns are analyzed.

Typical mistakes in phishing simulations

Many phishing simulations fail not because of technical issues, but because of communication problems, poor objectives, or a lack of follow-up. If employees feel monitored or exposed, acceptance decreases.

Common mistakes include:

unclear objectives
overly aggressive or unfair bait
no prior communication
lack of data privacy agreement
excessive personal reporting
no post-campaign training
focusing solely on click-through rate
running too many scenarios simultaneously
unprepared helpdesk
no repetition or retesting

A good simulation remains manageable, fair, and focused on learning. It shows not only where someone clicked, but also what can be improved in the process.

Implementing a phishing simulation with FIGULI CONSULTING

A phishing simulation only reaches its full potential when it is meticulously planned, communicated transparently, and integrated into an awareness program. This is precisely where FIGULI CONSULTING can provide support.

FIGULI CONSULTING helps companies implement practical phishing simulations: from defining objectives and selecting scenarios to developing data protection and communication concepts, as well as reporting, learning measures, and re-testing. This is not simply about employee testing, but about measurable improvements in email security, reporting channels, and security awareness.

Figuli CONSULTING helps companies implement practical phishing simulations: from defining objectives and selecting scenarios to developing data protection and communication concepts, and on to reporting, learning measures, and re-testing.

FIGULI can provide support, in particular, with:

Selecting suitable scenarios
Planning pilot and baseline scenarios
Coordinating data protection and reporting
Creating easily understandable learning materials
Evaluating KPIs
Deriving concrete awareness measures
Integrating with email security and endpoint security
Consistent re-testing

Especially when companies already use Microsoft 365, email security, or security solutions like Hornet Security , FIGULI can help to effectively combine phishing simulations with technical safeguards and awareness training.

Conclusion

A phishing simulation is an effective tool for measurably improving security awareness within a company. It demonstrates how employees react to suspicious messages in their daily work, whether reporting channels are functioning effectively, and which processes need improvement.

The key is proper implementation. A good phishing simulation is fair, easy to understand, compliant with data protection regulations, and linked to concrete learning measures. It measures not only clicks but also reports, response times, and risk patterns.

For SMEs and medium-sized businesses, a streamlined approach is usually best: clear objectives, a few realistic scenarios, simple reporting channels, short learning modules, and regular retests. This ensures that a simulation is not a one-off test but a continuous contribution to IT security.

If time, expertise, or suitable tools are lacking internally, FIGULI CONSULTING can help integrate phishing simulations into a broader security concept. This includes email security, Microsoft 365 protection, clear reporting channels, awareness measures, and technical safeguards that actually work in everyday use.

Discuss IT security and awareness with FIGULI

FAQ about the Phishing Simulation

What is a phishing simulation?

A phishing simulation is a controlled test using realistically designed, but harmless, phishing messages. The goal is to improve employee security practices, train reporting channels, and identify typical risk patterns.

Why is a phishing simulation useful?

A phishing simulation is useful because it shows how employees react to suspicious emails in their daily work. This allows companies to identify areas where training, reporting channels, or technical security measures need improvement.

How often should a phishing simulation be conducted?

For many SMEs, a quarterly schedule is recommended. Regular repetition, comparable scenarios, short learning sessions, and re-testing after training or process changes are crucial.

Which KPIs are important for phishing simulations?

Important KPIs include click-through rate, input rate, report rate, time-to-report, repeat submission rate, and report quality. Reporting rate and response time are particularly informative because they show how quickly a company can react to suspected cases.

Is a phishing simulation GDPR-compliant?

Yes, a phishing simulation can be implemented in compliance with the GDPR if the purpose, data scope, retention periods, access rights, and reporting are clearly defined. No real login credentials should be stored, and results should be evaluated in aggregated form whenever possible.

Which phishing scenarios are suitable for SMEs?

Realistic scenarios from everyday work are suitable for SMEs: fake invoices, Microsoft 365 logins, SharePoint shares, HR documents, package notifications, or changes to bank details. It is important that each scenario has a clear learning objective.

How can employees be protected from being exposed?

Companies should clearly communicate that the focus is on learning and risk reduction. Reporting should be aggregated whenever possible, and public rankings should be avoided. A short, respectful learning prompt should follow each click.

Phishing Simulation: Mitarbeiter sicher testen

Wed, 22 Jul 2026 15:19:57 GMT

Phishing Simulation: Mitarbeiter sicher testen und Awareness stärken

Eine Phishing Simulation ist ein kontrollierter Test, bei dem Mitarbeitende realistische, aber ungefährliche Phishing-Mails erhalten. Ziel ist nicht, einzelne Personen bloßzustellen, sondern das Sicherheitsverhalten im Arbeitsalltag zu verbessern: Wird eine verdächtige Nachricht erkannt? Wird ein Link angeklickt? Werden Zugangsdaten eingegeben? Wird die E-Mail richtig gemeldet?

Für Unternehmen ist das wichtig, weil viele Cyberangriffe mit E-Mails beginnen. Phishing betrifft nicht nur die IT, sondern auch Buchhaltung, Geschäftsführung, HR, Vertrieb und alle Teams, die täglich mit externen Nachrichten arbeiten. Besonders gefährlich sind gefälschte Rechnungen, angebliche Microsoft-365-Logins, Paketbenachrichtigungen, Bewerbungsunterlagen oder Nachrichten von vermeintlichen Führungskräften.

Dieser Artikel zeigt, wie eine Phishing Simulation sinnvoll geplant wird, welche Regeln für Datenschutz und Fairness wichtig sind, welche Kennzahlen wirklich helfen und wie Unternehmen daraus konkrete Awareness-Maßnahmen ableiten. Der Fokus liegt auf einer verständlichen und praxistauglichen Umsetzung für KMU und mittelständische Unternehmen.

Inhaltsverzeichnis

Was ist eine Phishing Simulation?
Warum ist eine Phishing Simulation sinnvoll?
Wie läuft eine Phishing Simulation ab?
Phishing Simulation richtig planen
Datenschutz, Transparenz und Betriebsrat
Welche Phishing-Szenarien sind sinnvoll?
Welche KPIs sollte man auswerten?
Typische Fehler bei Phishing Simulationen
Phishing Simulation mit FIGULI CONSULTING umsetzen
Fazit
FAQ zur Phishing Simulation

Was ist eine Phishing Simulation?

Eine Phishing Simulation ist eine geplante Sicherheitsübung. Mitarbeitende erhalten realistisch gestaltete Test-E-Mails, die typische Phishing-Angriffe nachbilden. Diese Nachrichten können zum Beispiel einen Link, eine gefälschte Login-Seite, einen angeblichen Anhang oder eine Aufforderung zur Handlung enthalten.

Der Unterschied zu echtem Phishing: Die Simulation ist kontrolliert, ungefährlich und dokumentiert. Es werden keine echten Schadprogramme versendet und keine echten Zugangsdaten gespeichert. Stattdessen wird gemessen, wie Mitarbeitende reagieren und ob interne Meldewege funktionieren.

Eine Phishing Simulation prüft zum Beispiel:

ob verdächtige E-Mails erkannt werden
ob Links oder Anhänge angeklickt werden
ob Zugangsdaten eingegeben würden
ob Mitarbeitende die Nachricht melden
wie schnell eine Meldung erfolgt
ob Helpdesk oder IT richtig reagieren
welche Teams zusätzliche Schulung brauchen

Wichtig ist die Haltung dahinter: Eine gute Phishing Simulation ist kein Test zum „Erwischen“ von Mitarbeitenden. Sie ist ein Lerninstrument, um Risiken sichtbar zu machen, Meldewege zu trainieren und Sicherheitsbewusstsein im Alltag zu stärken.

Warum ist eine Phishing Simulation sinnvoll?

Eine Phishing Simulation ist sinnvoll, weil sie zeigt, wie gut Mitarbeitende auf realistische Betrugsversuche reagieren. Klassische Schulungen erklären zwar Regeln, zeigen aber nicht immer, ob diese Regeln im hektischen Arbeitsalltag auch angewendet werden.

Gerade in KMU können erfolgreiche Phishing-Angriffe erhebliche Folgen haben. Ein kompromittiertes Microsoft-365-Konto, eine manipulierte Rechnung oder ein gefälschter Login kann zu Datenabfluss, Zahlungsbetrug, Malware oder Betriebsunterbrechungen führen.

Eine Phishing Simulation hilft Unternehmen dabei:

den aktuellen Awareness-Stand zu messen
typische Risikosituationen zu erkennen
Meldewege zu trainieren
Schulungen gezielter zu planen
Reaktionszeiten zu verbessern
Führungskräfte und Fachbereiche einzubinden
technische Schutzmaßnahmen besser zu bewerten

Besonders wichtig: Es geht nicht nur darum, die Klickrate zu senken. Noch wichtiger ist, dass verdächtige Nachrichten schnell und richtig gemeldet werden. Denn auch in gut geschützten Umgebungen kann eine gefährliche E-Mail durchrutschen.

Offizielle Präventionsmaßnahmen gegen Phishing bieten zusätzliche Orientierung dazu, wie verdächtige Nachrichten geprüft, gemeldet und technische Schutzmaßnahmen ergänzt werden können.

Genau deshalb gehören Phishing Simulation und E-Mail Sicherheit zusammen. Technische Schutzmaßnahmen wie Spamfilter, E-Mail Security, MFA und sichere Endgeräte sind wichtig. Die Simulation ergänzt diese Maßnahmen, indem sie den Faktor Mensch und die internen Prozesse trainiert.

Wie läuft eine Phishing Simulation ab?

Eine Phishing Simulation läuft in mehreren klaren Schritten ab. Zuerst werden Ziel, Zielgruppe und Szenario festgelegt. Danach werden Test-E-Mail, Landingpage, Tracking, Meldeweg und Auswertung vorbereitet. Anschließend wird die Kampagne verschickt, ausgewertet und mit kurzen Lernmaßnahmen verbunden.

Ein einfacher Ablauf sieht so aus:

Ziel festlegen
Zielgruppe bestimmen
Szenario auswählen
Test-E-Mail und Landingpage erstellen
Datenschutz und Kommunikation klären
technischen Test durchführen
Kampagne versenden
Klicks, Meldungen und Reaktionszeiten auswerten
Lernimpulse und Schulungen ableiten
später einen Re-Test durchführen

Der wichtigste Punkt ist das Follow-up. Eine Simulation ohne Auswertung und Training bringt wenig. Der Lerneffekt entsteht erst, wenn Mitarbeitende verstehen, welche Warnsignale übersehen wurden und wie sie beim nächsten Mal richtig reagieren.

Phishing Simulation richtig planen

Eine gute Phishing Simulation beginnt nicht mit dem Versand einer Test-Mail, sondern mit Planung. Unternehmen sollten vorher klären, was genau getestet werden soll, welche Zielgruppen einbezogen werden und welche Erkenntnis am Ende entstehen soll.

Sinnvolle Ziele sind:

Meldequote erhöhen
Klickrate senken
Meldezeit verkürzen
Risiken in bestimmten Rollen erkennen
sichere Prozesse bei Rechnungen oder Logins stärken
Awareness-Schulungen gezielter planen
echte Vorfälle schneller erkennen

Nicht sinnvoll sind Ziele wie öffentliche Rankings, Bloßstellung einzelner Personen oder ein möglichst schwieriger Test. Solche Ansätze beschädigen Vertrauen und können dazu führen, dass Mitarbeitende echte Verdachtsfälle später nicht mehr melden.

Gerade bei der Planung kann externe Unterstützung sinnvoll sein. FIGULI CONSULTING unterstützt Unternehmen nicht nur bei einzelnen Phishing Simulationen, sondern beim Aufbau wirksamer IT-Sicherheits- und Awareness-Maßnahmen. Dazu gehören klare Meldewege, verständliche Schulungsimpulse, technische E-Mail-Schutzmaßnahmen, Microsoft-365-Sicherheit und ein Reporting, das Risiken sichtbar macht, ohne Mitarbeitende bloßzustellen.
So wird aus einem einzelnen Test kein isoliertes Projekt, sondern ein sinnvoller Bestandteil der gesamten Sicherheitsstrategie.

IT-Sicherheit und Awareness mit FIGULI besprechen

Welche Zielgruppen sollten einbezogen werden?

Nicht alle Rollen haben dasselbe Risiko. Deshalb sollte eine Phishing Simulation Zielgruppen bewusst auswählen. Besonders relevant sind Teams, die viele externe E-Mails erhalten oder mit sensiblen Vorgängen arbeiten.

Typische Zielgruppen sind:

Buchhaltung und Finance
Geschäftsführung und Assistenz
HR und Recruiting
Vertrieb und Kundenservice
IT und Administration
Projektleitung
Shared Mailboxes wie office@ oder buchhaltung@

Gerade Finance, HR und Geschäftsführung sind häufig attraktiv für Angreifer, weil dort Rechnungen, Freigaben, Personalunterlagen oder vertrauliche Informationen verarbeitet werden.

Wie oft sollte man eine Phishing Simulation durchführen?

Für viele KMU ist ein quartalsweiser Rhythmus sinnvoll. Das bedeutet: eine erste Baseline-Kampagne, danach regelmäßige Wiederholungen mit vergleichbaren Szenarien und kurzen Lernimpulsen.

Wichtiger als die perfekte Frequenz ist die Regelmäßigkeit . Eine einmalige Simulation erzeugt Aufmerksamkeit, verändert aber selten dauerhaftes Verhalten. Besser ist ein wiederholbarer Prozess mit überschaubaren Kampagnen, klarer Auswertung und Re-Tests nach Schulungen oder Prozessänderungen.

Datenschutz, Transparenz und Betriebsrat

Eine Phishing Simulation muss fair und datenschutzkonform umgesetzt werden. Dabei geht es vor allem um Zweckbindung, Datenminimierung, Speicherfristen, Zugriffsrechte und transparente Kommunikation.

Mitarbeitende sollten wissen, dass das Unternehmen Awareness-Maßnahmen und Phishing Simulationen durchführt. Es ist nicht nötig, konkrete Zeitpunkte oder Szenarien vorab zu nennen. Aber der Zweck muss klar sein: Lernen, Meldewege verbessern und Sicherheitsrisiken reduzieren.

Wichtige Punkte sind:

Zweck der Simulation dokumentieren
nur notwendige Daten erfassen
keine echten Passwörter speichern
Speicherfristen definieren
Zugriff auf Auswertungen begrenzen
Ergebnisse möglichst aggregiert auswerten
Betriebsrat oder Datenschutzverantwortliche früh einbinden
keine öffentlichen Ranglisten erstellen

Wenn ein Betriebsrat vorhanden ist, sollte er frühzeitig eingebunden werden. Das gilt besonders dann, wenn personenbezogene Verhaltensdaten verarbeitet werden. Auch Datenschutzbeauftragte, IT-Sicherheit und HR sollten wissen, wie Zweck, Datenfelder, Reporting und Follow-up geregelt sind.

Eine saubere Umsetzung reduziert nicht nur rechtliche Risiken, sondern verbessert auch die Akzeptanz. Wenn Mitarbeitende verstehen, dass es um Lernen statt Kontrolle geht, steigt die Bereitschaft, verdächtige E-Mails zu melden.

Welche Phishing-Szenarien sind sinnvoll?

Gute Phishing-Szenarien orientieren sich an echten Arbeitsprozessen. Sie sollten realistisch sein, aber nicht unfair oder manipulativ. Ziel ist ein Lerneffekt, nicht maximale Verunsicherung.

Sinnvolle Szenarien sind zum Beispiel:

angebliche Microsoft-365-Anmeldung
gefälschte Rechnung
angebliche Bankdatenänderung eines Lieferanten
HR-Dokument oder Richtlinienupdate
Paket- oder Versandbenachrichtigung
SharePoint- oder OneDrive-Freigabe
Terminänderung oder Kalenderfreigabe
angebliche Sicherheitswarnung
QR-Code in einer E-Mail

Für jedes Szenario sollte ein Lernziel definiert werden. Bei einer gefälschten Rechnung geht es zum Beispiel um Rückbestätigung und Vier-Augen-Prinzip. Bei einem Microsoft-365-Login geht es um URL-Prüfung, MFA-Verhalten und Meldeweg.

Was sollte vermieden werden?

Vermeiden sollte man Szenarien, die unnötig Angst, Scham oder persönlichen Druck erzeugen. Dazu gehören private Themen, Gesundheitsinformationen, Kündigungsandrohungen, Gehaltsversprechen oder stark emotionale Köder.

Solche Kampagnen können kurzfristig hohe Klickraten erzeugen, langfristig aber Vertrauen zerstören. Besser sind realistische, faire Szenarien mit konkretem Bezug zum Arbeitsalltag.

Welche KPIs sollte man auswerten?

Bei einer Phishing Simulation sind mehrere Kennzahlen wichtig. Die Klickrate allein reicht nicht aus. Sie zeigt zwar, wie oft ein Link angeklickt wurde, sagt aber wenig darüber aus, ob die Organisation insgesamt widerstandsfähiger wird.

Wichtige KPIs sind:

Klickrate
Eingaberate auf Landingpages
Melderate
Time-to-Report
Wiederholerquote
Meldequalität
Risikomuster nach Rolle oder Prozess
Entwicklung über mehrere Kampagnen

Besonders wertvoll sind Melderate und Time-to-Report. Wenn eine verdächtige Nachricht schnell gemeldet wird, kann IT oder Security reagieren, bevor größerer Schaden entsteht.

KPI-Tabelle für Phishing Simulationen

Wichtig ist der Trend. Eine einzelne Kampagne kann durch Szenario, Timing oder technische Filter verfälscht sein. Aussagekräftig wird die Auswertung erst über mehrere Kampagnen hinweg.

Typische Fehler bei Phishing Simulationen

Viele Phishing Simulationen scheitern nicht an der Technik, sondern an Kommunikation, Zielsetzung oder fehlendem Follow-up. Wenn Mitarbeitende das Gefühl haben, kontrolliert oder bloßgestellt zu werden, sinkt die Akzeptanz.

Häufige Fehler sind:

unklare Ziele
zu harte oder unfaire Köder
keine Vorab-Kommunikation
fehlende Datenschutzabstimmung
zu viel personenbezogenes Reporting
keine Schulung nach der Kampagne
Fokus nur auf Klickrate
zu viele Szenarien gleichzeitig
Helpdesk nicht vorbereitet
keine Wiederholung oder kein Re-Test

Eine gute Simulation bleibt überschaubar, fair und lernorientiert. Sie zeigt nicht nur, wo jemand geklickt hat, sondern was im Prozess verbessert werden kann.

Phishing Simulation mit FIGULI CONSULTING umsetzen

Eine Phishing Simulation entfaltet ihren Nutzen erst dann vollständig, wenn sie sauber geplant, fair kommuniziert und in ein Awareness-Programm eingebettet wird. Genau hier kann FIGULI CONSULTING unterstützen.

FIGULI CONSULTING hilft Unternehmen dabei, Phishing Simulationen praxistauglich aufzusetzen: von Zieldefinition und Szenario-Auswahl über Datenschutz- und Kommunikationskonzept bis zu Reporting, Lernmaßnahmen und Re-Tests. Dabei geht es nicht um bloße Mitarbeitertests, sondern um messbare Verbesserung von E-Mail Sicherheit, Meldewegen und Sicherheitsbewusstsein.

FIGULI kann insbesondere unterstützen bei:

Auswahl geeigneter Szenarien
Planung von Pilot und Baseline
Abstimmung von Datenschutz und Reporting
Erstellung verständlicher Lernimpulse
Auswertung von KPIs
Ableitung konkreter Awareness-Maßnahmen
Verbindung mit E-Mail Security und Endpoint Security
wiederkehrenden Re-Tests

Gerade wenn Unternehmen bereits Microsoft 365, E-Mail Security oder Security-Lösungen wie Hornet Security nutzen, kann FIGULI helfen, Phishing Simulationen sinnvoll mit technischen Schutzmaßnahmen und Awareness zu verbinden.

Fazit

Eine Phishing Simulation ist ein wirksames Werkzeug, um Sicherheitsbewusstsein im Unternehmen messbar zu verbessern . Sie zeigt, wie Mitarbeitende im Alltag auf verdächtige Nachrichten reagieren, ob Meldewege funktionieren und welche Prozesse nachgeschärft werden müssen.

Entscheidend ist die richtige Umsetzung. Eine gute Phishing Simulation ist fair, verständlich, datenschutzkonform und mit konkreten Lernmaßnahmen verbunden. Sie misst nicht nur Klicks, sondern auch Meldungen, Reaktionszeiten und Risikomuster.

Für KMU und mittelständische Unternehmen ist ein schlanker Ansatz meist am besten: klare Ziele, wenige realistische Szenarien, einfache Meldewege, kurze Lernimpulse und regelmäßige Re-Tests. So wird aus einer Simulation kein einmaliger Test, sondern ein kontinuierlicher Beitrag zur IT-Sicherheit.

Wenn intern Zeit, Know-how oder geeignete Tools fehlen, kann FIGULI CONSULTING dabei unterstützen, Phishing Simulationen in ein breiteres Sicherheitskonzept einzubetten. Dazu gehören E-Mail Sicherheit, Microsoft-365-Schutz, klare Meldewege, Awareness-Maßnahmen und technische Schutzschichten, die im Alltag wirklich funktionieren.

IT-Sicherheit und Awareness mit FIGULI besprechen

FAQ zur Phishing Simulation

Was ist eine Phishing Simulation?

Eine Phishing Simulation ist ein kontrollierter Test mit realistisch gestalteten, aber ungefährlichen Phishing-Nachrichten. Ziel ist, das Sicherheitsverhalten von Mitarbeitenden zu verbessern, Meldewege zu trainieren und typische Risikomuster zu erkennen.

Warum ist eine Phishing Simulation sinnvoll?

Eine Phishing Simulation ist sinnvoll, weil sie zeigt, wie Mitarbeitende im Arbeitsalltag auf verdächtige E-Mails reagieren. Unternehmen erkennen dadurch, wo Schulungen, Meldewege oder technische Schutzmaßnahmen verbessert werden sollten.

Wie oft sollte man eine Phishing Simulation durchführen?

Für viele KMU ist ein quartalsweiser Rhythmus sinnvoll. Wichtig sind regelmäßige Wiederholungen, vergleichbare Szenarien, kurze Lernimpulse und Re-Tests nach Schulungs- oder Prozessänderungen.

Welche KPIs sind bei Phishing Simulationen wichtig?

Wichtige KPIs sind Klickrate, Eingaberate, Melderate, Time-to-Report, Wiederholerquote und Meldequalität. Besonders aussagekräftig sind Melderate und Reaktionszeit, weil sie zeigen, wie schnell ein Unternehmen auf Verdachtsfälle reagieren kann.

Ist eine Phishing Simulation DSGVO-konform möglich?

Ja, eine Phishing Simulation kann DSGVO-konform umgesetzt werden, wenn Zweck, Datenumfang, Speicherfristen, Zugriffsrechte und Reporting klar geregelt sind. Es sollten keine echten Zugangsdaten gespeichert und Ergebnisse möglichst aggregiert ausgewertet werden.

Welche Phishing-Szenarien eignen sich für KMU?

Für KMU eignen sich realistische Szenarien aus dem Arbeitsalltag: gefälschte Rechnungen, Microsoft-365-Logins, SharePoint-Freigaben, HR-Dokumente, Paketbenachrichtigungen oder Bankdatenänderungen. Wichtig ist, dass jedes Szenario ein klares Lernziel hat.

Wie verhindert man, dass Mitarbeitende bloßgestellt werden?

Unternehmen sollten klar kommunizieren, dass es um Lernen und Risikoreduktion geht. Reporting sollte möglichst aggregiert erfolgen, öffentliche Rankings sollten vermieden werden. Nach einem Klick sollte ein kurzer, respektvoller Lernimpuls folgen.

ERP for service providers: Functions, selection and implementation

Sun, 19 Jul 2026 17:28:54 GMT

ERP for service providers: Functions, selection and implementation

ERP becomes crucial for service providers when quotes, projects, timelines, resources, and billing no longer align seamlessly. Many service companies initially rely on individual tools: CRM, Excel spreadsheets, time tracking, project management, accounting, and document storage. While this works in the short term, with growth it quickly leads to duplicate data entry, unclear performance records, late invoices, and a lack of transparency regarding capacity utilization and margins.

An ERP system for service providers integrates precisely these processes into a single system. It maps the entire workflow from inquiry and quote through project planning, time tracking, resource management, and performance records to invoicing. The key difference from traditional ERP systems lies in the focus: service providers typically sell time, expertise, availability, project services, or service contracts – not primarily inventory or production volumes.

This article explores which ERP functions are truly essential for service providers, what SMEs should consider regarding selection, costs, and implementation, and how an ERP system helps to better manage projects, billing, resources, and controlling. Furthermore, it will be shown when an integrated ERP/CRM solution like blue office, with support from FIGULI CONSULTING , can be beneficial.

What is an ERP system for service providers?
Why service providers have different ERP requirements
Which ERP functions do service providers need?
Project management, time tracking, and billing in ERP
Resource planning and capacity planning for service providers
ERP for agencies, consultancies, tradespeople, and service providers
Interfaces, document management systems, and accounting in ERP
ERP selection for service providers: What to consider?
Realistically estimating ERP costs
ERP implementation for service providers
Conclusion
FAQ about ERP for service providers

What is an ERP system for service providers?

An ERP system for service providers is a business system that connects the core business processes of service companies: sales, quotes, project management, time tracking, resource planning, invoicing, controlling, documents, and interfaces with accounting.

The goal is a shared database so that services can be planned, recorded, approved, invoiced, and analyzed.

ERP stands for Enterprise Resource Planning . It refers to the planning and management of key business resources . For service providers, these resources primarily include employees, time, expertise, budgets, projects, customer relationships, and billable services.

An ERP system for service providers therefore answers these key questions:

Which quotes are likely to become projects?
Which employees and skills are needed?
Which hours have been booked to which projects?
Which services are billable?
Which budgets have already been used?
Which projects are profitable?
Which invoices can be issued?
What outstanding services, costs, and margins exist?

The greatest benefit arises when sales, project management, and invoicing are not viewed separately. A proposal becomes a project, project time results in performance records, and approved deliverables result in an invoice.

Why service providers have different ERP requirements

Service providers have different ERP requirements than retailers or manufacturers. While traditional ERP systems are often heavily focused on items, inventory, purchasing, material flow, or production orders, service providers prioritize projects, time, resources, billing models, and performance tracking.

Service companies frequently don't sell physical products, but rather time, consulting, implementation, service, support, creative work, or project responsibility. This results in different key performance indicators:

Billable and non-billable hours
Project budgets and remaining costs
Hourly rates and role models
Fixed-price, pool, retainer, and time & materials billing
Performance tracking and approvals
Workload by team, role, or skill
Project margins and contribution margin
Forecasts for revenue, capacity, and liquidity

A good ERP system for service providers must reflect this logic. Simply generating invoices or managing customer data is insufficient. A seamless workflow from sales through project work to invoicing is crucial.

Difference: ERP for service providers vs. ERP for trade and production

That's precisely why service providers should check whether an ERP system truly supports project-based work when making their selection. An ERP system primarily designed for inventory management may be too cumbersome or unsuitable for service providers.

What ERP functions do service providers need?

The most important ERP functions for service providers are CRM, offer management, project management, time recording, resource planning, project accounting, controlling, document management and interfaces to accounting. What matters is not the number of modules, but how well they work together.

An ERP for service providers should primarily reflect this process chain:

Inquiry → Offer → Order → Project → Time/Performance → Approval → Invoice → Controlling

If this chain functions smoothly, manual effort decreases significantly. At the same time, project status, outstanding tasks, capacity utilization, and revenue become more predictable.

It is particularly important for SMEs to first clearly map the core processes. Additional modules only make sense if they have a clear process benefit.

CRM and offer management

CRM and quote management are crucial for service providers because they form the basis for capacity utilization and revenue planning. Knowing which quotes are likely, when projects will start, and what skills are required allows for more proactive resource planning.

A good CRM system integrated with ERP supports:

Customer and contact management
Sales opportunities and pipeline
Quote versions
Cost calculation by role, hour, or package
Transfer from quote to project
Tracking of open quotes
Forecasting of revenue and capacity

The ability to create projects directly from a quote is particularly helpful. This eliminates the need to re-enter customer data, project name, services, hourly rates, and budgets.

Project management, time tracking and invoicing in the ERP system

Project management, time tracking, and invoicing are the operational core of an ERP system for service providers. These are the key elements determining whether services can be recorded transparently, approved correctly, and billed quickly.

Many service providers lose time and margin because project work and invoicing are handled separately. The project team documents tasks in one tool, time is recorded separately, and the accounting department generates invoices based on manual queries. This leads to delays, errors, and disputes over proof of work.

An ERP system solves this problem when project structure, time tracking, and invoicing are based on the same data.

Project management in ERP

Project management within an ERP system should not only manage tasks but also consider budgets, responsibilities, deadlines, and billing logic.

Key functions include:

Project creation from quotes or orders
Project phases and work packages
Budgets by phase, role, or deliverable
Responsibilities and approvals
Status, milestones, and deadlines
Project files and documents
Forecast and remaining effort
Reports on budget, actual costs, and margin

For service providers, it is particularly important that project management is not isolated from billing and controlling.

Time tracking and performance records

Time tracking is a key ERP function for service providers. It shows which services have been provided, which hours are billable, and which costs remain internal.

A good time tracking system offers:

Entry to client, project, phase, and activity
Mobile data capture
Required fields for meaningful service documentation
Approval process by project management
Correction options with traceability
Distinguishing between billable and non-billable hours
Export or transfer to invoicing and controlling

It's important not to overcomplicate time tracking. Too many activity types or required fields reduce user acceptance. Conversely, too little structure complicates invoicing and controlling.

Project billing and invoicing

An ERP system for service providers should be able to support various billing models.

These include:

Billing based on time and materials
Fixed-price projects
Partial invoices
Milestone billing
Retainers and monthly quotas
Service contracts
Consolidated invoices
Expenses and incidental costs
Credit notes and cancellations

The advantage arises when invoices are generated directly from approved services. This reduces the workload at the end of the month, and outstanding services remain visible.

Resource planning and capacity planning for service providers

Resource planning is crucial for service providers because revenue and delivery capability depend directly on available employees, skills, and capacity utilization. Therefore, an ERP system for service providers should not only manage projects but also enable capacity planning.

Without capacity planning, typical problems arise:

Individual employees are overloaded
crucial skills are lacking at the right time
projects start without realistic resources
billable hours decrease due to internal tasks
forecasts do not match actual availability
margins decrease due to unplanned overtime.

An ERP system can mitigate these risks when planning, time tracking, and controlling are integrated.

Capacity planning by roles and skills

Service providers don't just plan for people, but often for roles and skills. A project might require consulting, project management, development, support, or administration. Therefore, an ERP system should be able to map different levels:

Employees
Roles
Skills
Teams
Locations
Working Time Models
Absences
External Resources

A weekly or monthly view is particularly helpful, showing planned workload, available capacity, and project requirements.

Forecast, capacity utilization and margin

A good ERP system not only shows what has already happened, but also what is likely to happen. This requires forecasts from sales, projects, and resource planning.

Key performance indicators (KPIs) include:

Planned hours
Booked hours
Remaining effort
Billable rate
Utilization per role or team
Project margin
Contribution margin
Outstanding work
Expected revenue
Forecast deviation

This allows service providers to identify earlier whether a project is exceeding its budget, a team is overloaded, or if spare capacity is emerging.

ERP for agencies, consultancies, trades and service providers

ERP systems for service providers are not the same for every industry. An agency needs different priorities than a consulting firm, a craft business, or a service provider. The basic logic remains similar, but the most important functions differ.

Agencies and IT service providers

Agencies and IT service providers often work on a project basis with fluctuating priorities, retainers, support allocations, and ongoing client relationships.

Key ERP functions include:

CRM and pipeline management
Project management
Time tracking
Retainer usage
Ticket or task tracking
Proof of work
Consolidated and partial invoices
Workload overview
Contribution margin per client or project

For agencies and IT service providers, it is particularly important that projects, ongoing support, and billing can be clearly separated and yet analyzed together.

Consulting companies

Consulting firms primarily need transparency regarding engagements, workload, seniority mix, and profitability. Material costs often play a less significant role than roles, hourly rates, and non-billable time.

Key ERP functions include:

Engagement management
Role and hourly rate models
Travel expenses and allowances
Budget consumption
Process approval
Project controlling
Forecast per engagement
Contribution margin and profit margin

An ERP system benefits consulting firms when it not only tracks hours but also enables cost-effective management per engagement.

craft businesses

Craft businesses often need a combination of order management, scheduling, mobile time tracking, and fast invoicing.

Key ERP functions include:

Quotes and orders
Schedule and deployment planning
Mobile time tracking
Performance feedback
Material items
Photos or documentation
Order status
Fast invoicing
Accounting interface

Ease of use on mobile devices is particularly important. If times and services aren't recorded directly, manual rework is required later.

Service provider

Service providers often work with tickets, SLAs, resource planning, and recurring services. Here, the ERP system must connect service processes and billing.

Key ERP functions include:

Ticketing or helpdesk integration
SLA logic
Priorities and escalations
Resource planning/scheduling
Service contracts
Allocations
Proof of service
Periodic billing
Recurring billing
Reporting on response and resolution times

For service providers, it's crucial that a ticket is not only resolved but also documented and billable.

Interfaces, DMS and accounting in the ERP

An ERP system for service providers only reaches its full potential when it's integrated with key systems. These include accounting, document management, email, calendars, ticketing, business intelligence, payment processing, and identity management.

Interfaces prevent data from being entered multiple times. They ensure that quotes, projects, services, invoices, and reports are based on a consistent data foundation.

Because ERP systems are frequently linked to email, calendars, and document management, email security should also be a priority. Quotes, contracts, service records, and invoices are often sent and received via email. Therefore, access rights, secure storage, phishing protection, and the handling of sensitive attachments must be clearly defined.

Typical interfaces

Key interfaces for service providers are:

It is important to prioritize interfaces. First, the connections that improve the core process should be implemented: quotation, project, service, invoicing, and controlling.

DMS and document management

A document management system (DMS) helps service providers store quotes, contracts, project files, performance records, acceptances, and invoices in a structured manner. Crucially, documents are not only stored but also linked to customers, projects, and processes.

A good DMS supports:

Project files
Versioning
Permissions
Search function
Templates
Logging
Audit-proof storage
Linking with ERP data

This reduces the effort required for searching, document management, and handover between sales, project teams, and accounting.

Accounting and e-invoicing

For service providers, a robust accounting interface is particularly important because services are often derived from project data. Ideally, invoices are created in the ERP system and then transferred to financial accounting.

Key aspects include:

standardized customer master data
automatic invoice line items from services rendered
transfer to financial accounting
open items
payment status
dunning process
tax logic
e-invoice formats

For Austrian companies, it is especially crucial that suitable software and processes are supported for e-invoicing. The Austrian Federal Economic Chamber (WKO) describes the procurement of appropriate e-invoicing software and refers to ERP systems as well as the ebInterface XML invoicing standard, which is widely used in Austria.

ERP selection for service providers: What to look out for?

When selecting an ERP system for service providers, process fit is more important than a long feature list. A system should support their workflows as efficiently as possible: inquiry, quote, project, time tracking, approval, invoicing, and reporting.

Before deciding on software, service providers should first document their most important end-to-end processes. Only then is a meaningful comparison of systems possible.

Important selection criteria

When selecting a service provider, pay particular attention to these points:

Is the system suitable for project-based work?
Can hourly rates, roles, and budgets be mapped?
Does it support fixed prices, time and materials, retainers, and partial invoices?
Is time tracking simple enough for everyday use?
Are there approval processes for times and deliverables?
Are project controlling and forecasting integrated?
Are there interfaces to accounting, document management systems (DMS), or ticketing systems?
Is the system scalable?
Does mobile access work?
Can access rights, roles, and logging be easily managed?
Are data export and switching providers possible?

An ERP system shouldn't just look good in a demo. It needs to be tested with real-world examples from your own company.

Properly prepare a system demo

An ERP demo shouldn't just showcase features, but should simulate real-world processes. Concrete example scenarios are ideal for this.

Good demo scenarios include:

Creating a project quote
Transferring the quote to a project
Booking time to the project and activity
Releasing services
Creating a partial invoice
Viewing retainer usage
Evaluating project margins
Transferring the invoice to accounting
Opening the project file with documents

FIGULI CONSULTING can help companies clearly structure their requirements and make ERP demos comparable. Especially with solutions like blue office , it's crucial to define in advance which processes are included as standard and where customization is beneficial. blue office offers a modular ERP/CRM solution suitable for service providers, tradespeople, and project-oriented companies.

Preparing an ERP demo with FIGULI

Cloud ERP or local ERP solution?

Many service providers are now considering cloud ERP because teams work remotely, updates become simpler, and less on-premises infrastructure is required. However, a local or hybrid ERP solution can still be beneficial if specific integrations, data storage, or existing IT structures are critical.

Cloud ERP offers advantages such as:

location-independent access
reduced server maintenance
regular updates
easier scaling
improved mobile usability

However, the following should be considered:

data location
permissions
interfaces
backup and recovery
export options
ongoing costs
vendor dependency

A clear cloud strategy is essential for the overall planning of cloud ERP, data storage, operations, and cost control.

Realistically assessing ERP costs

The cost of an ERP system for service providers isn't just about the license or monthly fee. The total cost, including software, implementation, data migration, interfaces, training, customization, and ongoing support, is crucial.

Typical cost categories include:

Internal project time, master data cleansing, and the definition of clear billing logics are often underestimated. This is particularly critical for service providers, because unclear tasks, hourly rates, or approvals directly affect invoicing later on.

TCO instead of just license price

TCO stands for Total Cost of Ownership. This refers to all costs over a period of time, not just the initial purchase price. For service providers, the TCO analysis should at least consider implementation, operation, training, interfaces, and internal overhead.

Key questions include:

How many users need access?
Which modules are truly necessary?
Which interfaces are mandatory?
How complex is the data migration?
How many processes need to be adapted?
How much internal project time is realistic?
What are the ongoing costs for maintenance and support?

A cheap system can become expensive if core processes only function indirectly. Conversely, better process alignment can justify higher license costs if invoicing, controlling, and project management become significantly more efficient.

ERP implementation at service providers

Implementing an ERP system at a service provider is primarily a process and data project. The software is important, but clear processes, clean master data, unambiguous responsibilities, and everyday acceptance are crucial.

Introduction in phases

An ERP implementation should proceed in clearly defined phases:

Define goals and scope
Capture core processes
Prioritize requirements
Configure the system
Clean up and migrate master data
Set up interfaces
Define roles and permissions
Execute test cases
Train employees
Conduct a pilot or go-live
Start the support phase and optimization

For many service providers, a phased approach is more effective than a large-scale, one-size-fits-all implementation. First, the quoting, project management, time tracking, and invoicing processes should be running smoothly. Additional functionalities such as document management systems (DMS), business intelligence (BI), automations, or advanced resource planning can then be implemented.

Avoid typical mistakes

Common mistakes during ERP implementations include:

Converting too many processes simultaneously
Defining billing logic too late
Implementing poor master data
Making time tracking too complicated
Failing to define approval processes
Involving key users too late
Underestimating interfaces
Planning training and support too sparingly
Customizing standard functions too hastily
Only considering reporting after go-live

The acceptance of time tracking is particularly critical. If employees perceive the system as a burden, data quality suffers. Therefore, input screens, activity catalogs, and mobile access should be designed pragmatically.

Data protection and security in the ERP project

ERP systems often contain personal data, customer data, contract data, project information, terms and conditions, and billing data. Therefore, data protection and security must be considered from the outset.

Key aspects include:

Role and authorization concept
Access based on tasks rather than individuals
Logging of significant changes
Secure authentication
Backup and recovery
Data export and deletion concepts
Data processing in cloud or hosting models
Documentation of technical and organizational measures

The GDPR requires a level of protection appropriate to the risk through suitable technical and organizational measures. These include, among other things, confidentiality, integrity, availability, and the regular review of the implemented security measures.

Recoverability should not only be considered for the ERP system itself. If ERP processes are closely integrated with Microsoft 365, SharePoint, Teams, or email, the Microsoft 365 backup should also be included in the recovery strategy.

Practical tip: Implementing ERP with FIGULI CONSULTING

An ERP system for service providers only delivers its full potential when processes, data, and system configuration are perfectly aligned. This is precisely where structured preparation pays off: Which workflows are truly critical? Which billing models must function flawlessly? Which interfaces are mandatory? What reports does management require?

FIGULI CONSULTING helps companies structure their ERP requirements, document their processes, identify suitable solutions like blue office, and prepare for practical implementation. The goal is not simply to create the largest possible system, but rather an ERP solution that reliably integrates sales, project management, time tracking, billing, and controlling in day-to-day operations.

You can find more information about ERP implementation in the article ERP Implementation .

Conclusion

An ERP system for service providers offers the greatest benefit when it maps the entire business process chain: from inquiry and quotation through project management, time tracking, and service release to invoicing, accounting, and controlling. Crucial elements include project logic, simple time tracking, flexible billing, resource planning, interfaces, and reliable reporting.

For service companies, ERP is not merely an administrative system. It's a management tool for capacity utilization, margins, liquidity, and project quality. Structured implementation planning avoids data loss, reduces rework, and provides a better basis for decision-making.

If internal resources lack the time, expertise, or overview, FIGULI CONSULTING can help prioritize requirements, compare ERP solutions, and prepare for implementation in a way that ensures stable processes and data quality in daily operations.

Discuss ERP for service providers with FIGULI

FAQ about ERP for service providers

What is an ERP system for service providers?

An ERP system for service providers is a system that integrates sales, quotes, projects, time tracking, resource planning, invoicing, documentation, and controlling. It helps to plan, record, approve, invoice, and evaluate services seamlessly.

What functions does an ERP system for service providers need?

An ERP system for service providers should support CRM, quote management, project management, time tracking, resource planning, project invoicing, controlling, document management, and interfaces to accounting. A seamless process chain without duplicate data entry is crucial.

When is an ERP system worthwhile for service providers?

An ERP system is worthwhile when quotes, projects, time tracking, and invoicing are no longer properly aligned. Typical warning signs include duplicate data entry, late invoices, unclear service records, a lack of capacity utilization overview, or poor transparency regarding project margins.

What is the difference between ERP and project management software?

Project management software primarily supports tasks, deadlines, and collaboration. An ERP system additionally integrates CRM, quote calculation, time tracking, invoicing, accounting interfaces, and controlling. For service providers, the integration of time tracking and invoicing is the key difference.

What advantages does ERP offer service companies?

ERP offers service companies better data quality, less manual rework, faster billing, more transparent capacity utilization, improved project management, and more reliable forecasts. This allows for better management of margins, liquidity, and resource planning.

How much does an ERP system cost for service providers?

Costs depend on the number of users, modules, cloud or operating model, implementation, data migration, interfaces, training, and ongoing support. In addition to licenses or subscriptions, service providers should also consider internal project time, data cleansing, and adjustments to the billing logic.

How does an ERP implementation proceed for service providers?

An ERP implementation begins with defining goals, process mapping, and prioritizing requirements. This is followed by configuration, data migration, interfaces, role and permissions concepts, testing, training, go-live, and optimization. For service providers, a phased start with proposals, projects, time tracking, and billing is usually more effective than a large-scale "big bang" implementation.

ERP für Dienstleister: Funktionen, Auswahl & Einführung

Sun, 19 Jul 2026 08:48:30 GMT

ERP für Dienstleister: Funktionen, Auswahl & Einführung

ERP für Dienstleister wird wichtig, sobald Angebote, Projekte, Zeiten, Ressourcen und Abrechnung nicht mehr sauber zusammenpassen. Viele Dienstleistungsunternehmen arbeiten zunächst mit einzelnen Tools: CRM, Excel-Listen, Zeiterfassung, Projektmanagement, Buchhaltung und Dokumentenablage. Das funktioniert kurzfristig, führt aber mit Wachstum schnell zu doppelter Datenerfassung, unklaren Leistungsnachweisen, verspäteten Rechnungen und fehlender Transparenz über Auslastung und Marge.

Ein ERP für Dienstleister verbindet genau diese Prozesse in einem System. Es bildet den Weg von Anfrage und Angebot über Projektplanung, Zeiterfassung, Ressourcensteuerung und Leistungsnachweis bis zur Rechnung ab. Der Unterschied zu klassischen ERP-Systemen liegt im Fokus: Dienstleister verkaufen meist Zeit, Know-how, Verfügbarkeit, Projektleistung oder Serviceverträge – nicht primär Lagerware oder Produktionsmengen.

Dieser Artikel zeigt, welche ERP-Funktionen für Dienstleister wirklich wichtig sind, worauf KMU bei Auswahl, Kosten und Einführung achten sollten und wie ein ERP dabei hilft, Projekte, Abrechnung, Ressourcen und Controlling besser zu steuern. Außerdem wird gezeigt, wann eine integrierte ERP-/CRM-Lösung wie blue office mit Unterstützung von FIGULI CONSULTING sinnvoll sein kann.

Inhaltsverzeichnis

Was ist ein ERP für Dienstleister?
Warum Dienstleister andere ERP-Anforderungen haben
Welche ERP-Funktionen brauchen Dienstleister?
Projektmanagement, Zeiterfassung und Abrechnung im ERP
Ressourcenplanung und Kapazitätsplanung für Dienstleister
ERP für Agenturen, Beratung, Handwerk und Serviceanbieter
Schnittstellen, DMS und Buchhaltung im ERP
ERP-Auswahl für Dienstleister: Worauf achten?
ERP-Kosten realistisch einschätzen
ERP-Einführung bei Dienstleistern
Fazit
FAQ zu ERP für Dienstleister

Was ist ein ERP für Dienstleister?

Ein ERP für Dienstleister ist ein Unternehmenssystem, das zentrale Geschäftsprozesse von Dienstleistungsunternehmen verbindet: Vertrieb, Angebote, Projektmanagement, Zeiterfassung, Ressourcenplanung, Abrechnung, Controlling, Dokumente und Schnittstellen zur Buchhaltung.
Ziel ist eine gemeinsame Datenbasis, damit Leistungen geplant, erfasst, freigegeben, abgerechnet und ausgewertet werden können.

ERP steht für Enterprise Resource Planning. Gemeint ist die Planung und Steuerung wichtiger Unternehmensressourcen. Bei Dienstleistern sind diese Ressourcen vor allem Mitarbeitende, Zeit, Know-how, Budgets, Projekte, Kundenbeziehungen und abrechenbare Leistungen.

Ein ERP für Dienstleister beantwortet deshalb besonders diese Fragen:

Welche Angebote werden wahrscheinlich zu Projekten?
Welche Mitarbeitenden und Skills werden benötigt?
Welche Zeiten wurden auf welches Projekt gebucht?
Welche Leistungen sind abrechenbar?
Welche Budgets sind bereits verbraucht?
Welche Projekte sind profitabel?
Welche Rechnungen können gestellt werden?
Welche offenen Leistungen, Kosten und Margen bestehen?

Der größte Nutzen entsteht, wenn Vertrieb, Projektabwicklung und Abrechnung nicht getrennt betrachtet werden. Aus einem Angebot entsteht ein Projekt, aus Projektzeiten entstehen Leistungsnachweise und aus freigegebenen Leistungen entsteht eine Rechnung.

Warum Dienstleister andere ERP-Anforderungen haben

Dienstleister haben andere ERP-Anforderungen als Handel oder Produktion. Während klassische ERP-Systeme oft stark auf Artikel, Lager, Einkauf, Warenfluss oder Fertigungsaufträge ausgerichtet sind, stehen bei Dienstleistern Projekte, Zeiten, Ressourcen, Abrechnungsmodelle und Leistungsnachweise im Mittelpunkt.

Dienstleistungsunternehmen verkaufen häufig keine physischen Produkte, sondern Arbeitszeit, Beratung, Umsetzung, Service, Support, Kreativleistung oder Projektverantwortung. Dadurch entstehen andere Steuerungsgrößen:

abrechenbare und nicht abrechenbare Stunden
Projektbudgets und Restaufwände
Stundensätze und Rollenmodelle
Festpreis-, Pool-, Retainer- und Time-&-Material-Abrechnung
Leistungsnachweise und Freigaben
Auslastung nach Team, Rolle oder Skill
Projektmargen und Deckungsbeitrag
Forecasts für Umsatz, Kapazität und Liquidität

Ein gutes ERP für Dienstleister muss diese Logik abbilden. Es reicht nicht, nur Rechnungen zu schreiben oder Kundendaten zu verwalten. Entscheidend ist die durchgängige Kette von Vertrieb über Projektarbeit bis zur Faktura.

Unterschied: ERP für Dienstleister vs. ERP für Handel und Produktion

Gerade deshalb sollten Dienstleister bei der ERP-Auswahl prüfen, ob das System projektbasierte Arbeit wirklich unterstützt. Ein ERP, das vor allem für Warenwirtschaft gedacht ist, kann für Dienstleister zu schwerfällig oder unpassend sein.

Welche ERP-Funktionen brauchen Dienstleister?

Die wichtigsten ERP-Funktionen für Dienstleister sind CRM, Angebotsmanagement, Projektmanagement, Zeiterfassung, Ressourcenplanung, Projektabrechnung, Controlling, Dokumentenmanagement und Schnittstellen zur Buchhaltung. Entscheidend ist nicht die Anzahl der Module, sondern wie gut sie zusammenspielen.

Ein ERP für Dienstleister sollte vor allem diese Prozesskette abbilden:

Anfrage → Angebot → Auftrag → Projekt → Zeit/Leistung → Freigabe → Rechnung → Controlling

Wenn diese Kette sauber funktioniert, sinkt der manuelle Aufwand deutlich. Gleichzeitig werden Projektstatus, offene Leistungen, Auslastung und Umsatz besser planbar.

Für KMU ist besonders wichtig, zuerst die Kernprozesse sauber abzubilden. Zusätzliche Module sind nur dann sinnvoll, wenn sie einen klaren Prozessnutzen haben.

CRM und Angebotsmanagement

CRM und Angebotsmanagement sind für Dienstleister wichtig, weil sie die Basis für Auslastung und Umsatzplanung bilden. Wenn klar ist, welche Angebote wahrscheinlich kommen, wann Projekte starten und welche Skills benötigt werden, kann die Ressourcenplanung früher reagieren.

Ein gutes CRM im ERP unterstützt:

Kunden- und Ansprechpartnerverwaltung
Vertriebschancen und Pipeline
Angebotsversionen
Kalkulation nach Rollen, Stunden oder Paketen
Übergabe vom Angebot ins Projekt
Nachverfolgung offener Angebote
Forecast für Umsatz und Kapazität

Besonders hilfreich ist die direkte Projektanlage aus dem Angebot. So müssen Kundendaten, Projektname, Leistungen, Stundensätze und Budgets nicht erneut erfasst werden.

Projektmanagement, Zeiterfassung und Abrechnung im ERP

Projektmanagement, Zeiterfassung und Abrechnung sind der operative Kern eines ERP für Dienstleister. Hier entscheidet sich, ob Leistungen nachvollziehbar erfasst, korrekt freigegeben und schnell abgerechnet werden können.

Viele Dienstleister verlieren Zeit und Marge, weil Projektarbeit und Faktura getrennt laufen. Das Projektteam dokumentiert Aufgaben in einem Tool, Zeiten werden separat erfasst und die Buchhaltung erstellt Rechnungen auf Basis manueller Rückfragen. Dadurch entstehen Verzögerungen, Fehler und Diskussionen über Leistungsnachweise.

Ein ERP löst dieses Problem, wenn Projektstruktur, Zeiterfassung und Abrechnung auf denselben Daten basieren.

Projektmanagement im ERP

Projektmanagement im ERP sollte nicht nur Aufgaben verwalten, sondern auch Budgets, Verantwortlichkeiten, Termine und Abrechnungslogiken berücksichtigen.

Wichtige Funktionen sind:

Projektanlage aus Angebot oder Auftrag
Projektphasen und Arbeitspakete
Budgets nach Phase, Rolle oder Leistung
Verantwortlichkeiten und Freigaben
Status, Meilensteine und Fristen
Projektakten und Dokumente
Forecast und Restaufwand
Auswertungen zu Budget, Ist und Marge

Für Dienstleister ist besonders wichtig, dass Projektmanagement nicht losgelöst von Abrechnung und Controlling stattfindet.

Zeiterfassung und Leistungsnachweise

Zeiterfassung ist für Dienstleister eine zentrale ERP-Funktion. Sie zeigt, welche Leistungen erbracht wurden, welche Zeiten abrechenbar sind und welche Aufwände intern bleiben.

Eine gute Zeiterfassung bietet:

Buchung auf Kunde, Projekt, Phase und Tätigkeit
mobile Erfassung
Pflichtfelder für aussagekräftige Leistungsnachweise
Freigabeprozess durch Projektleitung
Korrekturmöglichkeiten mit Nachvollziehbarkeit
Unterscheidung zwischen abrechenbar und nicht abrechenbar
Export oder Übergabe an Faktura und Controlling

Wichtig ist, die Zeiterfassung nicht zu kompliziert zu machen. Zu viele Tätigkeitsarten oder Pflichtfelder senken die Akzeptanz. Zu wenig Struktur erschwert dagegen Abrechnung und Controlling.

Projektabrechnung und Faktura

Ein ERP für Dienstleister sollte unterschiedliche Abrechnungsmodelle abbilden können.

Dazu gehören:

Abrechnung nach Aufwand
Festpreisprojekte
Teilrechnungen
Meilensteinabrechnung
Retainer und monatliche Kontingente
Serviceverträge
Sammelrechnungen
Spesen und Nebenkosten
Gutschriften und Stornos

Der Vorteil entsteht, wenn Rechnungen direkt aus freigegebenen Leistungen erstellt werden. Dadurch sinkt der Aufwand am Monatsende, und offene Leistungen bleiben sichtbar.

Ressourcenplanung und Kapazitätsplanung für Dienstleister

Ressourcenplanung ist für Dienstleister entscheidend, weil Umsatz und Lieferfähigkeit direkt von verfügbaren Mitarbeitenden, Skills und Auslastung abhängen. Ein ERP für Dienstleister sollte deshalb nicht nur Projekte verwalten, sondern auch Kapazitäten planbar machen.

 Ohne Kapazitätsplanung entstehen typische Probleme:

einzelne Mitarbeitende sind überlastet
wichtige Skills fehlen im richtigen Zeitraum
Projekte starten ohne realistische Ressourcen
abrechenbare Zeiten sinken durch interne Aufgaben
Forecasts passen nicht zur tatsächlichen Verfügbarkeit
Marge sinkt durch ungeplante Mehrarbeit

Ein ERP kann diese Risiken reduzieren, wenn Planung, Zeiterfassung und Controlling miteinander verbunden sind.

Kapazitätsplanung nach Rollen und Skills

Dienstleister planen nicht nur Personen, sondern oft Rollen und Skills. Ein Projekt braucht zum Beispiel Beratung, Projektleitung, Entwicklung, Support oder Administration. Deshalb sollte ein ERP verschiedene Ebenen abbilden können:

Mitarbeitende
Rollen
Skills
Teams
Standorte
Arbeitszeitmodelle
Abwesenheiten
externe Ressourcen

Besonders hilfreich ist eine Wochen- oder Monatsansicht, in der geplante Auslastung, verfügbare Kapazität und Projektbedarf sichtbar werden.

Forecast, Auslastung und Marge

Ein gutes ERP zeigt nicht nur, was bereits passiert ist, sondern auch, was wahrscheinlich kommt. Dafür braucht es Forecasts aus Vertrieb, Projekten und Ressourcenplanung.

Wichtige Kennzahlen sind:

geplante Stunden
gebuchte Stunden
Restaufwand
abrechenbare Quote
Auslastung je Rolle oder Team
Projektmarge
Deckungsbeitrag
offene Leistungen
erwarteter Umsatz
Forecast-Abweichung

So erkennen Dienstleister früher, ob ein Projekt aus dem Budget läuft, ein Team überlastet ist oder freie Kapazitäten entstehen.

ERP für Agenturen, Beratung, Handwerk und Serviceanbieter

ERP für Dienstleister ist nicht für jede Branche gleich. Eine Agentur braucht andere Schwerpunkte als ein Beratungsunternehmen, ein Handwerksbetrieb oder ein Serviceanbieter. Die Grundlogik bleibt ähnlich, aber die wichtigsten Funktionen unterscheiden sich.

Agenturen und IT-Dienstleister

Agenturen und IT-Dienstleister arbeiten häufig projektbasiert mit wechselnden Prioritäten, Retainern, Supportanteilen und laufenden Kundenbeziehungen.

Wichtige ERP-Funktionen sind:

CRM und Pipeline
Projektmanagement
Zeiterfassung
Retainer-Verbrauch
Ticket- oder Aufgabenbezug
Leistungsnachweise
Sammel- und Teilrechnungen
Auslastungsübersicht
Deckungsbeitrag je Kunde oder Projekt

Für Agenturen und IT-Dienstleister ist besonders wichtig, dass Projekte, laufende Betreuung und Abrechnung sauber getrennt und trotzdem gemeinsam ausgewertet werden können.

Beratungsunternehmen

Beratungsunternehmen benötigen vor allem Transparenz über Mandate, Auslastung, Senioritätsmix und Profitabilität. Materialkosten spielen oft eine geringere Rolle als Rollen, Stundensätze und nicht abrechenbare Zeiten.

Wichtige ERP-Funktionen sind:

Mandatsverwaltung
Rollen- und Stundensatzmodelle
Reisekosten und Spesen
Budgetverbrauch
Freigabe von Leistungen
Projektcontrolling
Forecast je Mandat
Deckungsbeitrag und Marge

Ein ERP hilft Beratungen, wenn es nicht nur Stunden sammelt, sondern wirtschaftliche Steuerung pro Mandat ermöglicht.

Handwerksbetriebe

Handwerksbetriebe benötigen häufig eine Kombination aus Auftragsmanagement, Terminplanung, mobiler Leistungserfassung und schneller Abrechnung.

Wichtige ERP-Funktionen sind:

Angebot und Auftrag
Termin- und Einsatzplanung
mobile Zeiterfassung
Leistungsrückmeldung
Materialpositionen
Fotos oder Dokumentation
Auftragsstatus
schnelle Faktura
Schnittstelle zur Buchhaltung

Besonders wichtig ist eine einfache mobile Bedienung. Wenn Zeiten und Leistungen nicht direkt erfasst werden, entsteht am Ende wieder manuelle Nacharbeit.

Serviceanbieter

Serviceanbieter arbeiten häufig mit Tickets, SLAs, Einsatzplanung und wiederkehrenden Leistungen. Hier muss das ERP Serviceprozesse und Abrechnung verbinden.

Wichtige ERP-Funktionen sind:

Ticketing oder Helpdesk-Anbindung
SLA-Logik
Prioritäten und Eskalationen
Einsatzplanung / Terminvergabe
Serviceverträge
Kontingente
Leistungsnachweise
periodische Abrechnung
Reporting zu Reaktions- und Lösungszeiten

Für Serviceanbieter ist wichtig, dass ein Ticket nicht nur gelöst, sondern auch dokumentiert und abrechenbar wird.

Schnittstellen, DMS und Buchhaltung im ERP

Ein ERP für Dienstleister entfaltet seinen Nutzen erst dann vollständig, wenn es mit den wichtigsten Systemen verbunden ist. Dazu gehören Buchhaltung, Dokumentenmanagement, E-Mail, Kalender, Ticketing, BI, Payment oder Identitätsverwaltung.

Schnittstellen verhindern, dass Daten mehrfach gepflegt werden. Sie sorgen dafür, dass Angebote, Projekte, Leistungen, Rechnungen und Auswertungen auf einer konsistenten Datenbasis beruhen.

Gerade weil ERP-Systeme häufig mit E-Mail, Kalender und Dokumentenmanagement verbunden sind, sollte auch die E-Mail Sicherheit berücksichtigt werden. Angebote, Verträge, Leistungsnachweise und Rechnungen werden oft per E-Mail versendet oder empfangen. Deshalb müssen Zugriffsrechte, sichere Ablage, Phishing-Schutz und der Umgang mit sensiblen Anhängen sauber geregelt sein.

Typische Schnittstellen

Wichtige Schnittstellen für Dienstleister sind:

Wichtig ist, Schnittstellen zu priorisieren. Zuerst sollten die Verbindungen umgesetzt werden, die den Kernprozess verbessern: Angebot, Projekt, Leistung, Rechnung und Controlling.

DMS und Dokumentenmanagement

Ein Dokumentenmanagementsystem, kurz DMS, hilft Dienstleistern, Angebote, Verträge, Projektakten, Leistungsnachweise, Abnahmen und Rechnungen strukturiert abzulegen. Entscheidend ist, dass Dokumente nicht nur gespeichert, sondern mit Kunden, Projekten und Vorgängen verknüpft werden.

Ein gutes DMS unterstützt:

Projektakten
Versionierung
Berechtigungen
Suchfunktion
Vorlagen
Protokollierung
revisionsnahe Ablage
Verknüpfung mit ERP-Daten

Damit sinkt der Aufwand für Suche, Nachweisführung und Übergabe zwischen Vertrieb, Projektteam und Buchhaltung.

Buchhaltung und E-Rechnung

Für Dienstleister ist eine gute Buchhaltungsschnittstelle besonders wichtig, weil Leistungen häufig aus Projektdaten entstehen. Idealerweise werden Rechnungen im ERP erstellt und anschließend an die Finanzbuchhaltung übergeben.

Wichtige Punkte sind:

einheitliche Kundenstammdaten
automatische Rechnungspositionen aus Leistungen
Übergabe an FiBu
offene Posten
Zahlungsstatus
Mahnwesen
Steuerlogik
E-Rechnungsformate

Für österreichische Unternehmen ist bei E-Rechnungen besonders relevant, dass passende Software und Prozesse unterstützt werden. Die WKO beschreibt die Beschaffung geeigneter E-Rechnungssoftware und verweist auf ERP-Systeme sowie den in Österreich verbreiteten XML-Rechnungsstandard ebInterface.

ERP-Auswahl für Dienstleister: Worauf achten?

Bei der ERP-Auswahl für Dienstleister ist die Prozesspassung wichtiger als eine lange Featureliste. Ein System sollte die eigenen Abläufe möglichst ohne unnötige Umwege unterstützen: Anfrage, Angebot, Projekt, Zeiterfassung, Freigabe, Rechnung und Auswertung.

Vor einer Softwareentscheidung sollten Dienstleister zuerst ihre wichtigsten End-to-End-Prozesse dokumentieren. Erst danach ist ein sinnvoller Vergleich von Systemen möglich.

Wichtige Auswahlkriterien

Bei der Auswahl sollten Dienstleister besonders auf diese Punkte achten:

passt das System zu projektbasierter Arbeit?
lassen sich Stundensätze, Rollen und Budgets abbilden?
unterstützt es Festpreis, Aufwand, Retainer und Teilrechnung?
ist die Zeiterfassung einfach genug für den Alltag?
gibt es Freigabeprozesse für Zeiten und Leistungen?
sind Projektcontrolling und Forecast integriert?
sind Schnittstellen zu Buchhaltung, DMS oder Ticketing vorhanden?
ist das System skalierbar?
funktioniert mobile Nutzung?
sind Rechte, Rollen und Protokollierung sauber lösbar?
sind Datenexport und Anbieterwechsel möglich?

Ein ERP sollte nicht nur in der Demo gut aussehen. Es muss mit echten Beispielen aus dem eigenen Unternehmen getestet werden.

Systemdemo richtig vorbereiten

Eine ERP-Demo sollte nicht nur Funktionen zeigen, sondern echte Prozesse durchspielen. Dafür eignen sich konkrete Beispielszenarien.

Gute Demo-Szenarien sind:

Angebot für ein Projekt erstellen
Angebot in Projekt überführen
Zeiten auf Projekt und Tätigkeit buchen
Leistungen freigeben
Teilrechnung erstellen
Retainer-Verbrauch anzeigen
Projektmarge auswerten
Rechnung an Buchhaltung übergeben
Projektakte mit Dokumenten öffnen

FIGULI CONSULTING kann Unternehmen dabei unterstützen, Anforderungen sauber zu strukturieren und ERP-Demos vergleichbar zu machen. Besonders bei Lösungen wie blue office ist wichtig, vorher festzulegen, welche Prozesse im Standard abgebildet werden und wo Anpassungen sinnvoll sind. Mit blue office steht dafür eine modulare ERP-/CRM-Lösung zur Verfügung, die sich für Dienstleister, Handwerk und projektorientierte Unternehmen eignet.

ERP-Demo mit FIGULI vorbereiten

Cloud-ERP oder lokale ERP-Lösung?

Viele Dienstleister prüfen heute Cloud-ERP, weil Teams verteilt arbeiten, Updates einfacher werden und weniger eigene Infrastruktur betrieben werden muss. Eine lokale oder hybrid betriebene ERP-Lösung kann trotzdem sinnvoll sein, wenn besondere Integrationen, Datenhaltung oder bestehende IT-Strukturen wichtig sind.

Cloud-ERP bietet Vorteile wie:

ortsunabhängiger Zugriff
geringerer Serverbetrieb
regelmäßige Updates
einfachere Skalierung
bessere mobile Nutzung

Zu prüfen sind aber:

Datenstandort
Berechtigungen
Schnittstellen
Backup und Wiederherstellung
Exportmöglichkeiten
laufende Kosten
Abhängigkeit vom Anbieter

Für die übergeordnete Planung von Cloud-ERP, Datenhaltung, Betrieb und Kostensteuerung ist eine klare Cloud Strategie sinnvoll.

ERP-Kosten realistisch einschätzen

Die Kosten für ein ERP für Dienstleister bestehen nicht nur aus Lizenz oder Monatsgebühr. Entscheidend sind die Gesamtkosten aus Software, Einführung, Datenmigration, Schnittstellen, Schulung, Anpassungen und laufender Betreuung.

Typische Kostenblöcke sind:

Häufig unterschätzt werden interne Projektzeit, Stammdatenbereinigung und die Definition sauberer Abrechnungslogiken. Gerade bei Dienstleistern ist das kritisch, weil unklare Tätigkeiten, Stundensätze oder Freigaben später direkt die Rechnungsstellung beeinflussen.

TCO statt nur Lizenzpreis

TCO bedeutet Total Cost of Ownership. Damit sind die gesamten Kosten über einen Zeitraum gemeint, nicht nur der Einstiegspreis. Für Dienstleister sollte die TCO-Betrachtung mindestens Einführung, Betrieb, Schulung, Schnittstellen und interne Aufwände berücksichtigen.

Wichtige Fragen sind:

Wie viele Nutzer brauchen Zugriff?
Welche Module werden wirklich benötigt?
Welche Schnittstellen sind Pflicht?
Wie aufwendig ist die Datenmigration?
Wie viele Prozesse müssen angepasst werden?
Wie viel interne Projektzeit ist realistisch?
Welche laufenden Kosten entstehen für Betreuung und Support?

Ein günstiges System kann teuer werden, wenn zentrale Prozesse nur mit Umwegen funktionieren. Umgekehrt kann eine bessere Prozesspassung höhere Lizenzkosten rechtfertigen, wenn Faktura, Controlling und Projektsteuerung deutlich effizienter werden.

ERP-Einführung bei Dienstleistern

Eine ERP-Einführung bei Dienstleistern ist vor allem ein Prozess- und Datenprojekt. Die Software ist wichtig, aber entscheidend sind klare Abläufe, saubere Stammdaten, eindeutige Verantwortlichkeiten und Akzeptanz im Alltag.

Einführung in Phasen

Eine ERP-Einführung sollte in klaren Phasen erfolgen:

Ziele und Scope festlegen
Kernprozesse aufnehmen
Anforderungen priorisieren
System konfigurieren
Stammdaten bereinigen und migrieren
Schnittstellen einrichten
Rollen und Rechte definieren
Testfälle durchführen
Mitarbeitende schulen
Pilot oder Go-live durchführen
Supportphase und Optimierung starten

Für viele Dienstleister ist ein stufenweiser Ansatz sinnvoller als ein großer Big Bang. Zuerst sollten Angebot, Projekt, Zeiterfassung und Abrechnung stabil laufen. Danach können zusätzliche Funktionen wie DMS, BI, Automatisierungen oder erweiterte Ressourcenplanung folgen.

Typische Fehler vermeiden

Häufige Fehler bei ERP-Einführungen sind:

zu viele Prozesse gleichzeitig umstellen
Abrechnungslogiken zu spät klären
schlechte Stammdaten übernehmen
Zeiterfassung zu kompliziert gestalten
Freigabeprozesse nicht definieren
Key User zu spät einbinden
Schnittstellen unterschätzen
Schulung und Support zu knapp planen
Standardfunktionen vorschnell anpassen
Reporting erst nach Go-live betrachten

Besonders kritisch ist die Akzeptanz der Zeiterfassung. Wenn Mitarbeitende das System als Belastung erleben, leidet die Datenqualität. Deshalb sollten Eingabemasken, Tätigkeitskataloge und mobile Nutzung pragmatisch gestaltet werden.

Datenschutz und Sicherheit im ERP-Projekt

ERP-Systeme enthalten häufig personenbezogene Daten, Kundendaten, Vertragsdaten, Projektinformationen, Konditionen und Abrechnungsdaten. Deshalb müssen Datenschutz und Sicherheit von Beginn an berücksichtigt werden.

Wichtige Punkte sind:

Rollen- und Berechtigungskonzept
Zugriff nach Aufgaben statt nach Personen
Protokollierung wichtiger Änderungen
sichere Authentifizierung
Backup und Wiederherstellung
Datenexport und Löschkonzepte
Auftragsverarbeitung bei Cloud- oder Hostingmodellen
Dokumentation technischer und organisatorischer Maßnahmen

Die DSGVO verlangt ein dem Risiko angemessenes Schutzniveau durch geeignete technische und organisatorische Maßnahmen. Dazu gehören unter anderem Vertraulichkeit, Integrität, Verfügbarkeit und die regelmäßige Überprüfung der getroffenen Schutzmaßnahmen.

Auch die Wiederherstellbarkeit sollte nicht nur für das ERP selbst betrachtet werden. Wenn ERP-Prozesse eng mit Microsoft 365, SharePoint, Teams oder E-Mail verbunden sind, sollte auch das Microsoft 365 Backup in die Wiederherstellungsstrategie einbezogen werden.

Praxis-Hinweis: ERP mit FIGULI CONSULTING umsetzen

Ein ERP für Dienstleister entfaltet seinen Nutzen nur dann, wenn Prozesse, Daten und Systemkonfiguration zusammenpassen. Genau hier lohnt sich eine strukturierte Vorbereitung: Welche Abläufe sind wirklich entscheidend? Welche Abrechnungsmodelle müssen sauber funktionieren? Welche Schnittstellen sind Pflicht? Welche Auswertungen braucht die Geschäftsführung?

FIGULI CONSULTING unterstützt Unternehmen dabei, ERP-Anforderungen zu strukturieren, Prozesse aufzunehmen, passende Lösungen wie blue office einzuordnen und die Einführung praxistauglich vorzubereiten. Ziel ist nicht ein möglichst großes System, sondern eine ERP-Lösung, die Vertrieb, Projektarbeit, Zeiterfassung, Abrechnung und Controlling im Alltag zuverlässig verbindet.

Mehr zum Thema ERP Einführung finden sie im Beitrag ERP-Implementierung .

Fazit

Ein ERP für Dienstleister schafft dann den größten Nutzen, wenn es die gesamte kaufmännische Prozesskette abbildet: von Anfrage und Angebot über Projektmanagement, Zeiterfassung und Leistungsfreigabe bis zu Rechnung, Buchhaltung und Controlling. Entscheidend sind Projektlogik, einfache Zeiterfassung, flexible Abrechnung, Ressourcenplanung, Schnittstellen und verlässliche Auswertungen.

Für Dienstleistungsunternehmen ist ERP kein reines Verwaltungssystem. Es ist ein Steuerungsinstrument für Auslastung, Marge, Liquidität und Projektqualität. Wer die Einführung strukturiert vorbereitet, vermeidet Medienbrüche, reduziert Nacharbeit und erhält bessere Entscheidungsgrundlagen.

Wenn intern Zeit, Know-how oder Übersicht fehlen, kann FIGULI CONSULTING dabei unterstützen, Anforderungen zu priorisieren, ERP-Lösungen zu vergleichen und eine Einführung so vorzubereiten, dass Prozesse und Datenqualität im Alltag stabil funktionieren.

ERP für Dienstleister mit FIGULI besprechen

FAQ zu ERP für Dienstleister

Was ist ein ERP für Dienstleister?

Ein ERP für Dienstleister ist ein System, das Vertrieb, Angebote, Projekte, Zeiterfassung, Ressourcenplanung, Abrechnung, Dokumente und Controlling verbindet. Es hilft, Leistungen durchgängig zu planen, zu erfassen, freizugeben, abzurechnen und auszuwerten.

Welche Funktionen braucht ein ERP für Dienstleister?

Ein ERP für Dienstleister sollte CRM, Angebotsmanagement, Projektmanagement, Zeiterfassung, Ressourcenplanung, Projektabrechnung, Controlling, DMS und Schnittstellen zur Buchhaltung unterstützen. Wichtig ist eine durchgängige Prozesskette ohne doppelte Datenerfassung.

Wann lohnt sich ein ERP für Dienstleister?

Ein ERP lohnt sich, wenn Angebote, Projekte, Zeiten und Abrechnung nicht mehr sauber zusammenlaufen. Typische Signale sind doppelte Datenerfassung, verspätete Rechnungen, unklare Leistungsnachweise, fehlende Auslastungsübersicht oder schlechte Transparenz über Projektmargen.

Was ist der Unterschied zwischen ERP und Projektmanagement-Software?

Projektmanagement-Software unterstützt vor allem Aufgaben, Termine und Zusammenarbeit. Ein ERP verbindet zusätzlich CRM, Angebotskalkulation, Zeiterfassung, Abrechnung, Buchhaltungsschnittstellen und Controlling. Für Dienstleister ist die Verbindung von Leistungserfassung und Faktura der wichtigste Unterschied.

Welche Vorteile bietet ERP für Dienstleistungsunternehmen?

ERP bietet Dienstleistungsunternehmen bessere Datenqualität, weniger manuelle Nacharbeit, schnellere Abrechnung, transparentere Auslastung, bessere Projektsteuerung und verlässlichere Forecasts. Dadurch lassen sich Marge, Liquidität und Ressourcenplanung besser steuern.

Was kostet ein ERP für Dienstleister?

Die Kosten hängen von Nutzerzahl, Modulen, Cloud- oder Betriebsmodell, Einführung, Datenmigration, Schnittstellen, Schulung und laufender Betreuung ab. Neben Lizenz oder Abo sollten Dienstleister auch interne Projektzeit, Datenbereinigung und Anpassung der Abrechnungslogik berücksichtigen.

Wie läuft eine ERP-Einführung bei Dienstleistern ab?

Eine ERP-Einführung beginnt mit Zielen, Prozessaufnahme und Anforderungspriorisierung. Danach folgen Konfiguration, Datenmigration, Schnittstellen, Rollen- und Rechtekonzept, Tests, Schulung, Go-live und Optimierung. Für Dienstleister ist ein stufenweiser Start mit Angebot, Projekt, Zeiterfassung und Abrechnung meist sinnvoller als ein großer Big Bang.

Developing a Cloud Strategy: A Guide for SMEs

Mon, 13 Jul 2026 15:53:35 GMT

Developing a Cloud Strategy: A Guide for SMEs

A cloud strategy defines how a company uses cloud services securely, economically, and predictably. It defines goals, suitable cloud models, governance, security rules, cost control, and a roadmap for applications, data, and operational processes. It's crucial for SMEs because otherwise, cloud projects can quickly become fragmented decisions: individual SaaS solutions, isolated migrations, unclear responsibilities, and escalating operating costs.

Many companies are already using cloud services without a clear strategy. Microsoft 365 is in use, some applications run externally, backups are partially outsourced, and departments subscribe to additional tools. Without a shared vision, parallel environments emerge, comprised of on-premises, public cloud, SaaS, and local servers. This complicates security, cost control, compliance, and operations.

This guide shows how SMEs can develop a structured cloud strategy: from cloud readiness and vision to public, private, and hybrid cloud, to governance, security, TCO, FinOps, and a realistic roadmap. The goal is not cloud computing at any cost, but a strategy that fits the company, the IT landscape and the business requirements.

What is a cloud strategy?
Why is a cloud strategy important for SMEs?
Assessing cloud readiness: Is your IT ready for the cloud?
Public cloud, private cloud, or hybrid cloud?
Cloud strategy vs. cloud migration
Developing a cloud strategy: 7 steps to a roadmap
Governance, security, and compliance in the cloud
Managing cloud costs: TCO, FinOps, and budget traps
Cloud strategy in practice: Workshop and target vision
Checklist before cloud implementation
Conclusion
FAQ on cloud strategy

What is a cloud strategy?

Cloud computing means that IT resources such as storage, computing power, applications, and platform services are not exclusively operated on the company's own servers, but are provided via external data centers and cloud providers. Examples include SaaS solutions like Microsoft 365, public cloud services like Azure, and hybrid models combining on-premises IT and cloud services.

A cloud strategy describes how a company intends to use these cloud services strategically. It defines which applications and data are suitable for the cloud, which systems should remain on-premises, which security and compliance rules apply, and how costs, operations, and responsibilities are managed.

A good cloud strategy therefore not only answers the question of whether a company should use cloud services. It establishes clear decision criteria so that cloud projects can be implemented economically, securely, and transparently.

A typical cloud strategy includes:

Target vision and business requirements
Assessment of the existing IT landscape
Cloud readiness of applications and data
Decision between public, private, hybrid, or multi-cloud
Security and governance rules
Cost model including TCO and FinOps
Migration sequence and roadmap
Operating model with roles and responsibilities
Backup, monitoring, compliance, and disaster recovery planning

A cloud strategy is therefore not just an IT document. It connects management, IT, data protection, business units, and controlling . Only when these perspectives are brought together can a cloud concept emerge that works in practice.

Why is a cloud strategy important for SMEs?

A cloud strategy is crucial for SMEs because cloud usage without clear guidelines can quickly become confusing, expensive, and risky . Many problems arise not from the cloud itself, but from a lack of planning: unclear responsibilities, incorrect workload selection, unchecked data flows, weak permissions, or insufficient cost control.

Cloud services can make companies significantly more agile. They enable faster deployment, better scalability, modern security features, and location-independent work. However, these advantages don't happen automatically. They must be secured through architecture, governance, and operations.

Typical goals of a cloud strategy include:

Faster IT deployment
Better support for growth and new locations
Reduce hardware cycles
Improve security and availability
Smooth integration of Modern Workplace and Microsoft 365
Improve backup and disaster recovery
Modernize applications step by step
Manage costs more transparently
Provide verifiable documentation of compliance and data protection

Without a strategy, shadow IT, redundant systems, and increasing complexity often result. A department uses a SaaS tool, IT continues to operate local servers, data resides in multiple locations, and no one has a complete picture of access, costs, or responsibilities.

A good cloud strategy prevents exactly this. It ensures that cloud decisions are not made randomly, but according to clear criteria .

Check cloud readiness: Is your IT ready for the cloud?

Cloud readiness means that applications, data, identities, networks, and operational processes are assessed to ensure secure and predictable cloud usage. For SMEs, a massive transformation project is usually insufficient; instead, a structured inventory with clear criteria is sufficient.

Before companies decide on migration, providers, or specific cloud services, they should understand their current IT landscape. It's crucial not only to identify existing systems but also to understand their dependencies and the requirements for security, availability, and data protection.

Key questions regarding cloud readiness include:

What applications are in place?
What data is processed?
Who is responsible for the business and technical aspects?
What interfaces and dependencies exist?
Which systems are business-critical?
What are the availability and recovery requirements?
Which data may be stored where?
What identity and authorization concepts are in place?
What backup and restore processes are in place?
What are the current operating costs?

The assessment of applications is particularly important. Not every application automatically belongs in the cloud. Some systems benefit greatly from cloud services, while others are better off remaining local or hybrid due to latency, specialized hardware, regulatory requirements, or integration problems.

Assess the cloud fit of applications

Cloud fit describes how well an application is suited for the cloud. This involves not only technical feasibility, but also benefits, risks, costs, and operational aspects.

Typical evaluation criteria include:

A good initial target is applications with manageable dependencies and recognizable benefits. Highly critical core systems should only be migrated once governance, monitoring, backup, and operational processes are reliably in place.

Public cloud, private cloud or hybrid cloud?

A cloud strategy must define which cloud model best suits the company. The most important models are public cloud, private cloud, and hybrid cloud. For many SMEs, a hybrid model is the most realistic option because existing systems are not immediately replaced, and certain applications remain on-premises.

For strategic guidance on cloud usage, interoperability, and data sovereignty, companies can also consider the European Commission's cloud strategy .

Public Cloud

Public cloud means using cloud services from providers like Microsoft Azure, AWS, or Google Cloud. Businesses benefit from scalability, managed services, rapid deployment, and usage-based billing.

Public cloud is particularly well-suited for:

Web applications
Development and test environments
Data analytics
Scalable workloads
Backup and disaster recovery scenarios
Modern platform services
Microsoft 365-related services

The biggest risks usually lie not with the provider, but with misconfigurations, unclear permissions, uncontrolled costs, or a lack of governance.

Private Cloud

A private cloud describes a cloud-like environment operated exclusively for a single company. This can be in the company's own data center or with a service provider. It offers greater control but usually requires more in-house management and clear capacity planning.

A private cloud is a good choice when there are specific requirements regarding control, integration, data storage, or existing infrastructure. If existing virtualization environments are to be continued or modernized, a P roxmox or hybrid architecture can also be part of the cloud strategy. However, it is not automatically cheaper or more secure. Standardization, monitoring, backups, and clear operational processes are still essential.

Hybrid Cloud

Hybrid cloud combines on-premises IT, private cloud, public cloud, and SaaS services. For SMEs, this is often the most realistic target scenario because existing systems, Microsoft 365, on-premises applications, and cloud services are operated together.

Hybrid cloud makes sense when:

certain applications must remain on-premises
Microsoft 365 is already in use
individual workloads should be moved to the public cloud
cloud-based backup or disaster recovery is needed
better support for on-site and remote work
modernization should be phased

The challenge lies in the complexity. Identities, networking, monitoring, backup, security, and operations must function across multiple environments.

Multi-cloud: useful or too complex?

Multi-cloud means using multiple public cloud providers in parallel. This can be beneficial if there are clear reasons: specific services, regulatory requirements, redundancy, or exit strategies. However, for many SMEs, multi-cloud primarily increases complexity.

Multiple providers mean multiple security models, billing logics, tools, roles, and operational processes. Therefore, multi-cloud should only be chosen if the benefits justify the additional complexity.

Cloud strategy vs. cloud migration

Cloud strategy and cloud migration are not the same. Cloud strategy defines goals, rules, priorities, and the target architecture. Cloud migration is the technical implementation of individual applications or data into this target architecture.

Many companies start migrations too quickly. This simply shifts existing problems to a new environment: oversized servers, unclear permissions, missing documentation, poor backup processes, or unnecessary costs.

Therefore, before a migration, existing systems should be reviewed as part of server maintenance to ensure that outdated servers, missing updates, and untested backups are not simply moved to the cloud.

A sensible sequence is:

Clarify goals and requirements
Evaluate the IT landscape
Define the cloud model and target architecture
Define governance and security principles
Select a roadmap and pilot project
Implement migrations in phases
Ongoingly monitor operations, costs, and security

Overview of migration approaches

Depending on the application, there are different migration approaches:

Lift-and-shift can be useful in the short term, but it is rarely a complete strategy. Without adapting to cloud operations, it often results in high costs and limited benefits.

Developing a cloud strategy: 7 steps to a roadmap

A cloud strategy can be developed in 7 steps. The goal is an actionable roadmap that integrates business objectives, technical requirements, security, costs, and operations.

Step 1: Goals

It all starts with clear business objectives. Cloud computing shouldn't be an end in itself. Define what specifically needs to be improved.

Possible goals include:

Faster deployment of new systems
Improved scalability
Reduced hardware costs
Higher availability
Better support for remote work
More secure Microsoft 365 integration
Improved recoverability
Transparent cost control

It's crucial to make goals measurable. Instead of "more flexibility," you need concrete key performance indicators (KPIs), such as shorter deployment times, defined RTO/RPO targets, or clear cost budgets.

Step 2: Define scope and principles

The scope defines which areas are considered first: specific locations, applications, data types, or business units. Cloud principles dictate the rules by which decisions are made.

Examples of cloud principles:

Cloud only with clearly defined responsibilities
No production workloads without monitoring and backup
Multi-factor authentication (MFA) and least privilege as minimum standards
Data classification before migration
Cost centers and tagging are mandatory
Standard services before custom solutions

Step 3: Assess the current landscape

Document applications, data, interfaces, user groups, operating costs, security requirements, and technical dependencies. This inventory forms the basis for prioritization and roadmap development.

Systems related to identities, files, email, ERP, databases, or backups are particularly important. Unexpected dependencies often arise in these areas during cloud projects.

Step 4: Develop the target architecture

The target architecture describes how cloud services will be used and connected in the future. It encompasses identity, network, security, logging, backup, monitoring, data storage, and operational boundaries.

For SMEs, a few clearly defined architectural building blocks are often sufficient:

Identity model
Network and access model
Security baseline
Backup and recovery concept
Logging and monitoring
Standard patterns for typical workloads
Operational responsibilities

Step 5: Define the cloud model and provider criteria

Decide whether a public cloud, private cloud, hybrid cloud, or a combination of both is the right choice. Additionally, define your provider criteria.

Key criteria include:

Data residency and contractual framework
Integration with existing IT infrastructure
Security and compliance features
Support model
Cost and billing logic
Exit options
Existing in-house expertise
Compatibility with Microsoft 365 and existing systems

Step 6: Plan the roadmap in waves

The roadmap translates the strategy into concrete implementation steps. Instead of migrating everything at once, workloads should be prioritized in waves.

A sensible roadmap includes:

Preparatory work for identity, network, and governance
Pilot workload
Migration waves
Dependencies
Effort estimation
Responsibilities
Security and backup requirements
Cost assumptions
Handover

The pilot should be manageable but demonstrate real value. It serves to test the technical foundations, processes, and cost model.

Step 7: Define operations, KPIs and optimization

Cloud strategy doesn't end with migration. Ongoing operations are crucial. This includes monitoring, patch management, backups, incident response, cost reviews, and regular security audits.

Relevant KPIs include:

Deployment time of new systems
Cost variance against budget
Number of critical security findings
Backup and restore success rate
RTO/RPO test results
Availability of business-critical workloads
Number of unresolved exceptions

Governance, security and compliance at the cloud

Governance, security, and compliance are central components of any cloud strategy. Without clear rules, misconfigurations, unnecessary costs, unclear access rights, and difficult-to-trace data flows can occur.

Cloud Governance

Cloud governance defines how cloud services are used, managed, and controlled. It encompasses roles, policies, approvals, technical guidelines, and regular reviews.

Key governance components include:

Roles and responsibilities
Landing zone or baseline architecture
Naming and tagging standards
Budget and cost rules
Access concepts
Security policies
Approval processes
Logging and reporting
Exception documentation

Good governance isn't bureaucratic; it helps teams make informed decisions faster.

Cloud security

Cloud security is based on clear principles: strong identities, least privilege, encryption, monitoring, backup, and rapid incident response. It's particularly important not to view cloud security in isolation. It must work in conjunction with endpoint security , backup, and server operations.

Especially with Microsoft 365, it's crucial to verify that mailboxes, OneDrive, SharePoint, and Teams data can be restored independently .

Important security measures include:

MFA for all relevant accounts
Least Privilege
Conditional Access
Centralized logging
Encryption
Network segmentation
Regular security reviews
Backup and restore testing
Incident response processes
Monitoring of misconfigurations

Compliance and GPDR

For GDPR-relevant data, companies must clearly document which data is processed, where it is stored, who has access and which technical and organizational measures have been implemented.

Important points are:

Roles as controller or processor
Order processing contracts
Data flows and data locations
Deletion and retention periods
Authorization concepts
Encryption
Logging
Evidence of technical and organizational measures
Audit of subcontractors
possible data protection impact assessment

The Austrian Data Protection Authority and the Chamber of Commerce offer guidance on the GDPR, technical measures and documentation requirements.

Managing cloud costs: TCO, FinOps and budget traps

Cloud costs are controllable, but they behave differently than traditional IT investments. Instead of a one-time purchase, there are ongoing, usage-based costs. Without transparency, budgets can quickly be exceeded.

Calculate TCO realistically

TCO stands for Total Cost of Ownership. A realistic TCO analysis includes not only cloud resources, but also migration, operation, security, monitoring, backup, support, and training.

Typical cost categories include:

Common budget traps

Typical cloud budget traps arise from:

Oversized resources
Unpowered test environments
High data transfer costs
Unclear licensing models
Lack of tagging
Shadow IT
Duplicate operational phases
Lack of cost accountability
Insufficient automation
Unplanned backup and restore testing

Many cost problems can be avoided if budgets, responsibilities, and regular reviews are part of the cloud strategy from the outset.

FinOps for SMEs

FinOps connects IT, controlling, and business departments. The goal is to make cloud costs transparent and actively manage them.

For SMEs, simple measures are often sufficient:

Tagging by application, team, and cost center
Budgets per department
Cost alerts
Monthly cost reviews
Shutting down unused resources
Limiting access rights for new resources
Checking reservations for stable workloads
Documenting and explaining deviations

FinOps is not just a controlling issue. It ensures that technical decisions and economic responsibility are aligned.

Cloud strategy in practice: Workshop and target vision

In practice, a cloud strategy workshop is often the fastest way to reach a shared vision. Crucially, the workshop must deliver concrete results and not just focus on general cloud benefits.

A good cloud strategy workshop clarifies:

business objectives
current IT landscape
cloud readiness
risks and dependencies
cloud model
target architecture
minimum security and governance standards
cost assumptions
pilot candidates
roadmap and next steps

Typical deliverables include:

vision and principles
prioritized application portfolio
cloud fit assessment
roadmap in phases
governance and security baseline
high-level business case
action plan
responsibilities

FIGULI CONSULTING supports companies in developing a structured cloud strategy: from initial assessment and target architecture to roadmap, governance, cost control, security, and implementation preparation.

Develop your cloud strategy with FIGULI CONSULTING

Checklist before cloud implementation

Before implementing cloud solutions, companies should clarify key questions. This checklist helps to identify typical gaps early on.

Strategy and goals

Are business and IT goals clearly defined?
Are there measurable success criteria?
Is the scope of the first phase defined?
Does management and IT share a common vision?

IT landscape and applications

Is there an up-to-date application inventory?
Are data, interfaces, and dependencies documented?
Have critical applications been identified?
Has the cloud fit been assessed?

Security and Compliance

Is there an identity and authorization concept?
Are multi-factor authentication (MFA) and least privilege implemented?
Are data locations and data flows defined?
Are GDPR requirements documented?
Is there a backup and restore concept?

Costs and operation

Is a total cost of ownership (TCO) analysis in place?
Are budgets and cost owners defined?
Are there tagging standards?
Are monitoring, incident response, and handover procedures planned?
Are internal skills and external support secured?

Short checklist to tick off

Target vision and KPIs defined
Applications and data inventoried
Cloud fit assessed
Cloud model selected
Governance rules established
Security baseline defined
Backup and restore planned
TCO and budgets calculated
Roadmap created in phases
Pilot selected
Responsibilities clarified

Conclusion

A cloud strategy helps SMEs use cloud services securely, economically, and predictably. The key is not to move as many systems to the cloud as quickly as possible. What matters is a clear vision with suitable cloud models, a realistic roadmap, governance, security, compliance, and cost control.

For many companies, a hybrid approach makes sense: Microsoft 365 and selected cloud services are used, while certain applications remain on-premises or are modernized gradually. For this model to work, identity, network, monitoring, backup, security, and operations must be planned together.

If you lack the time, expertise, or overview internally, FIGULI CONSULTING can help you develop a structured cloud strategy and derive concrete next steps.

Discuss your cloud strategy with FIGULI

FAQ on Cloud Strategy

What is a cloud strategy?

A cloud strategy is a binding plan for the use of cloud services within a company. It defines goals, cloud models, target architecture, governance, security rules, cost control, responsibilities, and a roadmap for applications and data.

Why do SMEs need a cloud strategy?

SMEs need a cloud strategy because cloud usage without clear guidelines quickly leads to shadow IT, rising costs, security vulnerabilities, and unclear responsibilities. A strategy helps to use cloud services in a targeted, secure, and cost-effective manner.

What is included in a cloud strategy?

A cloud strategy includes a target vision, cloud readiness, application and data assessment, selection of the cloud model, governance, security, compliance, TCO, FinOps, a roadmap, an operating model, and responsibilities.

What is the difference between a cloud strategy and cloud migration?

The cloud strategy defines goals, rules, the target architecture, and the roadmap. Cloud migration is the technical implementation of individual applications or data in the cloud. Without a strategy, migration can lead to cost problems, security vulnerabilities, and inconsistent architectures.

What cloud models are there?

The most important cloud models are public cloud, private cloud, and hybrid cloud. Public cloud offers scalable services from large providers. Private cloud offers more control. Hybrid cloud combines on-premises IT, cloud services, and SaaS solutions.

Is hybrid cloud a good option for SMEs?

Hybrid cloud makes sense for many SMEs because existing applications don't need to be replaced immediately. On-premises systems, Microsoft 365, cloud services, and backup solutions can be combined. Unified identities, monitoring, security, and clear operational processes are crucial.

How do you realistically calculate cloud costs?

Cloud costs should be calculated using Total Cost of Ownership (TCO). This includes not only compute and storage but also migration, networking, licenses, security, monitoring, backup, operations, support, and training. Additionally, FinOps, tagging, budgets, and regular cost reviews are helpful.

Cloud Strategie entwickeln: Leitfaden für KMU

Mon, 13 Jul 2026 11:07:15 GMT

Cloud Strategie entwickeln: Leitfaden für KMU

Eine Cloud Strategie legt fest, wie ein Unternehmen Cloud-Dienste sicher, wirtschaftlich und planbar nutzt. Sie definiert Ziele, passende Cloud-Modelle, Governance, Sicherheitsregeln, Kostensteuerung und eine Roadmap für Anwendungen, Daten und Betriebsprozesse. Für KMU ist sie wichtig, weil Cloud-Projekte sonst schnell zu Einzelentscheidungen werden: einzelne SaaS-Lösungen, einzelne Migrationen, unklare Verantwortlichkeiten und steigende Betriebskosten.

Viele Unternehmen nutzen bereits Cloud-Dienste, ohne eine klare Strategie zu haben. Microsoft 365 ist im Einsatz, einzelne Anwendungen laufen extern, Backups werden teilweise ausgelagert und Fachbereiche buchen zusätzliche Tools. Ohne gemeinsames Zielbild entstehen Parallelwelten aus On-Premises, Public Cloud, SaaS und lokalen Servern. Das erschwert Sicherheit, Kostenkontrolle, Compliance und Betrieb.

Dieser Leitfaden zeigt, wie KMU eine Cloud Strategie strukturiert entwickeln: von Cloud-Readiness und Zielbild über Public, Private und Hybrid Cloud bis zu Governance, Sicherheit, TCO, FinOps und einer realistischen Roadmap. Ziel ist keine Cloud um jeden Preis, sondern eine Strategie, die zum Unternehmen, zur IT-Landschaft und zu den geschäftlichen Anforderungen passt.

Inhaltsverzeichnis

Was ist eine Cloud Strategie?
Warum ist eine Cloud Strategie für KMU wichtig?
Cloud-Readiness prüfen: Ist Ihre IT bereit für die Cloud?
Public Cloud, Private Cloud oder Hybrid Cloud?
Cloud Strategie vs. Cloud Migration
Cloud Strategie entwickeln: 7 Schritte zur Roadmap
Governance, Sicherheit und Compliance in der Cloud
Cloud-Kosten steuern: TCO, FinOps und Budgetfallen
Cloud Strategie in der Praxis: Workshop und Zielbild
Checkliste vor der Cloud-Einführung
Fazit
FAQ zur Cloud Strategie

Was ist eine Cloud Strategie?

Cloud bedeutet, dass IT-Ressourcen wie Speicher, Rechenleistung, Anwendungen oder Plattformdienste nicht ausschließlich auf eigenen Servern im Unternehmen betrieben werden, sondern über externe Rechenzentren und Cloud-Anbieter bereitgestellt werden. Dazu gehören zum Beispiel SaaS-Lösungen wie Microsoft 365, Public-Cloud-Dienste wie Azure oder hybride Modelle aus lokaler IT und Cloud-Services.

Eine Cloud Strategie beschreibt, wie ein Unternehmen diese Cloud-Dienste gezielt nutzen möchte. Sie legt fest, welche Anwendungen und Daten in die Cloud passen, welche Systeme lokal bleiben sollten, welche Sicherheits- und Compliance-Regeln gelten und wie Kosten, Betrieb und Verantwortlichkeiten gesteuert werden.

Eine gute Cloud Strategie beantwortet damit nicht nur die Frage, ob ein Unternehmen Cloud-Dienste nutzen soll. Sie schafft klare Entscheidungskriterien, damit Cloud-Projekte wirtschaftlich, sicher und nachvollziehbar umgesetzt werden können.

Zur Cloud Strategie gehören typischerweise:

Zielbild und geschäftliche Anforderungen
Bewertung der bestehenden IT-Landschaft
Cloud-Readiness von Anwendungen und Daten
Entscheidung zwischen Public, Private, Hybrid oder Multi-Cloud
Sicherheits- und Governance-Regeln
Kostenmodell mit TCO und FinOps
Migrationsreihenfolge und Roadmap
Betriebsmodell mit Rollen und Verantwortlichkeiten
Backup, Monitoring, Compliance und Notfallplanung

Eine Cloud Strategie ist damit kein reines IT-Dokument. Sie verbindet Geschäftsführung, IT, Datenschutz, Fachbereiche und Controlling. Nur wenn diese Perspektiven zusammengeführt werden, entsteht ein Cloud-Konzept, das im Alltag funktioniert.

Warum ist eine Cloud Strategie für KMU wichtig?

Eine Cloud Strategie ist für KMU wichtig, weil Cloud-Nutzung ohne klare Leitplanken schnell unübersichtlich, teuer und riskant wird. Viele Probleme entstehen nicht durch die Cloud selbst, sondern durch fehlende Planung: unklare Zuständigkeiten, falsche Workload-Auswahl, ungeprüfte Datenflüsse, schwache Berechtigungen oder fehlende Kostenkontrolle.

Cloud-Dienste können Unternehmen deutlich flexibler machen. Sie ermöglichen schnellere Bereitstellung, bessere Skalierbarkeit, moderne Sicherheitsfunktionen und ortsunabhängiges Arbeiten. Diese Vorteile entstehen aber nicht automatisch. Sie müssen durch Architektur, Governance und Betrieb abgesichert werden.

Typische Ziele einer Cloud Strategie sind:

IT schneller bereitstellen
Wachstum und neue Standorte besser unterstützen
Hardwarezyklen reduzieren
Sicherheit und Verfügbarkeit verbessern
Modern Workplace und Microsoft 365 sauber integrieren
Backup und Disaster Recovery verbessern
Anwendungen schrittweise modernisieren
Kosten transparenter steuern
Compliance und Datenschutz nachvollziehbar dokumentieren

Ohne Strategie entstehen oft Schatten-IT, doppelte Systeme und steigende Komplexität. Ein Fachbereich nutzt ein SaaS-Tool, die IT betreibt weiter lokale Server, Daten liegen an mehreren Orten und niemand hat ein vollständiges Bild über Zugriffe, Kosten oder Verantwortlichkeiten.

Eine gute Cloud Strategie verhindert genau das. Sie sorgt dafür, dass Cloud-Entscheidungen nicht zufällig, sondern nach klaren Kriterien getroffen werden.

Cloud-Readiness prüfen: Ist Ihre IT bereit für die Cloud?

Cloud-Readiness bedeutet, dass Anwendungen, Daten, Identitäten, Netzwerk und Betriebsprozesse so bewertet sind, dass eine Cloud-Nutzung sicher und planbar möglich ist. Für KMU reicht dafür meist kein riesiges Transformationsprojekt, sondern eine strukturierte Bestandsaufnahme mit klaren Kriterien.

Bevor Unternehmen über Migration, Provider oder konkrete Cloud-Dienste entscheiden, sollten sie ihre aktuelle IT-Landschaft verstehen. Wichtig ist nicht nur, welche Systeme vorhanden sind, sondern auch, welche Abhängigkeiten bestehen und welche Anforderungen an Sicherheit, Verfügbarkeit und Datenschutz gelten.

Wichtige Fragen zur Cloud-Readiness sind:

Welche Anwendungen gibt es?
Welche Daten werden verarbeitet?
Wer ist fachlich und technisch verantwortlich?
Welche Schnittstellen und Abhängigkeiten bestehen?
Welche Systeme sind geschäftskritisch?
Welche Anforderungen gibt es an Verfügbarkeit und Wiederherstellung?
Welche Daten dürfen wo gespeichert werden?
Welche Identitäts- und Berechtigungskonzepte bestehen?
Welche Backup- und Restore-Prozesse sind vorhanden?
Welche Betriebskosten entstehen aktuell?

Besonders wichtig ist die Bewertung von Anwendungen. Nicht jede Anwendung gehört automatisch in die Cloud. Manche Systeme profitieren stark von Cloud-Services, andere bleiben wegen Latenz, Spezialhardware, regulatorischen Anforderungen oder Integrationsproblemen besser lokal oder hybrid.

Cloud-Fit von Anwendungen bewerten

Der Cloud-Fit beschreibt, wie gut eine Anwendung für die Cloud geeignet ist. Dabei geht es nicht nur um technische Machbarkeit, sondern auch um Nutzen, Risiko, Kosten und Betrieb.

Typische Bewertungskriterien sind:

Ein gutes erstes Ziel sind Anwendungen mit überschaubaren Abhängigkeiten und erkennbarem Nutzen. Sehr kritische Kernsysteme sollten erst migriert werden, wenn Governance, Monitoring, Backup und Betriebsprozesse zuverlässig stehen.

Public Cloud, Private Cloud oder Hybrid Cloud?

Eine Cloud Strategie muss festlegen, welches Cloud-Modell zum Unternehmen passt. Die wichtigsten Modelle sind Public Cloud, Private Cloud und Hybrid Cloud . Für viele KMU ist ein hybrides Modell am realistischsten, weil bestehende Systeme nicht sofort abgelöst werden und bestimmte Anwendungen lokal bleiben.

Für strategische Orientierung zu Cloud-Nutzung, Interoperabilität und Datenhoheit können Unternehmen auch die Cloud-Strategie der Europäischen Kommission berücksichtigen.

Public Cloud

Public Cloud bedeutet, dass Cloud-Dienste über Anbieter wie Microsoft Azure, AWS oder Google Cloud genutzt werden. Unternehmen profitieren von Skalierbarkeit, Managed Services, schneller Bereitstellung und nutzungsbasierter Abrechnung.

Public Cloud eignet sich besonders für:

Web-Anwendungen
Entwicklungs- und Testumgebungen
Datenanalyse
skalierende Workloads
Backup- und Disaster-Recovery-Szenarien
moderne Plattformdienste
Microsoft-365-nahe Dienste

Die größten Risiken liegen meist nicht beim Anbieter, sondern bei Fehlkonfigurationen, unklaren Berechtigungen, unkontrollierten Kosten oder fehlender Governance.

Private Cloud

Private Cloud beschreibt eine Cloud-ähnliche Umgebung, die exklusiv für ein Unternehmen betrieben wird. Das kann im eigenen Rechenzentrum oder bei einem Dienstleister erfolgen. Sie bietet mehr Kontrolle, erfordert aber meist mehr Eigenbetrieb und klare Kapazitätsplanung.

Private Cloud ist sinnvoll, wenn besondere Anforderungen an Kontrolle, Integration, Datenhaltung oder bestehende Infrastruktur bestehen. Wenn bestehende Virtualisierungsumgebungen weiter genutzt oder modernisiert werden sollen, kann auch eine Proxmox- oder Hybrid-Architektur Teil der Cloud Strategie sein. Sie ist jedoch nicht automatisch günstiger oder sicherer. Auch hier braucht es Standardisierung, Monitoring, Backup und klare Betriebsprozesse.

Hybrid Cloud

Hybrid Cloud kombiniert lokale IT, Private Cloud, Public Cloud und SaaS-Dienste. Für KMU ist das häufig das realistischste Zielbild, weil bestehende Systeme, Microsoft 365, lokale Anwendungen und Cloud-Services gemeinsam betrieben werden.

Hybrid Cloud ist sinnvoll, wenn:

bestimmte Anwendungen lokal bleiben müssen
Microsoft 365 bereits genutzt wird
einzelne Workloads in die Public Cloud sollen
Backup oder Disaster Recovery cloudbasiert ergänzt wird
Standorte und Remote-Arbeit besser unterstützt werden sollen
Modernisierung schrittweise erfolgen soll

Die Herausforderung liegt in der Komplexität. Identitäten, Netzwerk, Monitoring, Backup, Security und Betrieb müssen über mehrere Umgebungen hinweg funktionieren.

Multi-Cloud: sinnvoll oder zu komplex?

Multi-Cloud bedeutet, mehrere Public-Cloud-Anbieter parallel zu nutzen. Das kann sinnvoll sein, wenn es klare Gründe gibt: spezielle Dienste, regulatorische Anforderungen, Redundanz oder Exit-Strategien. Für viele KMU erhöht Multi-Cloud aber vor allem Komplexität.

Mehrere Anbieter bedeuten mehrere Sicherheitsmodelle, Abrechnungslogiken, Tools, Rollen und Betriebsprozesse. Deshalb sollte Multi-Cloud nur gewählt werden, wenn der Nutzen die zusätzliche Komplexität rechtfertigt.

Cloud Strategie vs. Cloud Migration

Cloud Strategie und Cloud Migration sind nicht dasselbe. Die Cloud Strategie definiert Ziele, Regeln, Prioritäten und Zielarchitektur. Die Cloud Migration ist die technische Umsetzung einzelner Anwendungen oder Daten in dieses Zielbild.

Viele Unternehmen starten zu schnell mit Migrationen. Dadurch werden bestehende Probleme nur in eine neue Umgebung verschoben: zu große Server, unklare Berechtigungen, fehlende Dokumentation, schlechte Backup-Prozesse oder unnötige Kosten.

Vor einer Migration sollten bestehende Systeme deshalb auch im Rahmen der Server Wartung geprüft werden, damit veraltete Server, fehlende Updates und ungetestete Backups nicht einfach in die Cloud verlagert werden.

Eine sinnvolle Reihenfolge ist:

Ziele und Anforderungen klären
IT-Landschaft bewerten
Cloud-Modell und Zielarchitektur festlegen
Governance und Sicherheitsgrundlagen definieren
Roadmap und Pilot auswählen
Migrationen in Wellen umsetzen
Betrieb, Kosten und Sicherheit laufend prüfen

Migrationsansätze im Überblick

Je nach Anwendung gibt es unterschiedliche Migrationsansätze:

Lift-and-Shift kann kurzfristig sinnvoll sein, ist aber selten eine vollständige Strategie. Ohne Anpassung an Cloud-Betrieb entstehen oft hohe Kosten und begrenzter Nutzen.

Cloud Strategie entwickeln: 7 Schritte zur Roadmap

Eine Cloud Strategie lässt sich in 7 Schritten entwickeln. Ziel ist eine umsetzbare Roadmap, die Geschäftsziele, technische Anforderungen, Sicherheit, Kosten und Betrieb zusammenführt.

Schritt 1: Ziele

Am Anfang stehen klare Geschäftsziele. Cloud sollte kein Selbstzweck sein. Definieren Sie, was konkret verbessert werden soll.

Mögliche Ziele sind:

schnellere Bereitstellung neuer Systeme
bessere Skalierbarkeit
geringerer Hardwareaufwand
höhere Verfügbarkeit
bessere Unterstützung von Remote Work
sicherere Microsoft-365-Integration
bessere Wiederherstellbarkeit
transparente Kostensteuerung

Wichtig ist, Ziele messbar zu machen. Statt „mehr Flexibilität“ braucht es konkrete Kennzahlen, etwa kürzere Bereitstellungszeiten, definierte RTO/RPO-Ziele oder klare Kostenbudgets.

Schritt 2: Scope und Prinzipien festlegen

Der Scope legt fest, welche Bereiche zuerst betrachtet werden: bestimmte Standorte, Anwendungen, Datenarten oder Fachbereiche. Cloud-Prinzipien geben vor, nach welchen Regeln Entscheidungen getroffen werden.

Beispiele für Cloud-Prinzipien:

Cloud nur mit definierter Verantwortlichkeit
keine produktiven Workloads ohne Monitoring und Backup
MFA und Least Privilege als Mindeststandard
Datenklassifikation vor Migration
Kostenstellen und Tagging verpflichtend
Standarddienste vor Sonderlösungen

Schritt 3: Ist-Landschaft erfassen

Erfassen Sie Anwendungen, Daten, Schnittstellen, Nutzergruppen, Betriebskosten, Sicherheitsanforderungen und technische Abhängigkeiten. Diese Bestandsaufnahme ist die Grundlage für Priorisierung und Roadmap.

Besonders wichtig sind Systeme, die mit Identitäten, Dateien, E-Mail, ERP, Datenbanken oder Backup zusammenhängen. Genau dort entstehen in Cloud-Projekten häufig unerwartete Abhängigkeiten.

Schritt 4: Zielarchitektur entwickeln

Die Zielarchitektur beschreibt, wie Cloud-Dienste künftig genutzt und verbunden werden. Sie umfasst Identität, Netzwerk, Sicherheit, Logging, Backup, Monitoring, Datenhaltung und Betriebsgrenzen.

Für KMU reichen oft wenige klare Architekturbausteine:

Identitätsmodell
Netzwerk- und Zugriffsmodell
Sicherheitsbaseline
Backup- und Recovery-Konzept
Logging und Monitoring
Standardmuster für typische Workloads
Verantwortlichkeiten im Betrieb

Schritt 5: Cloud-Modell und Provider-Kriterien festlegen

Entscheiden Sie, ob Public Cloud, Private Cloud, Hybrid Cloud oder eine Kombination sinnvoll ist. Zusätzlich sollten Provider-Kriterien definiert werden.

Wichtige Kriterien sind:

Datenresidenz und Vertragsrahmen
Integration mit bestehender IT
Sicherheits- und Compliance-Funktionen
Supportmodell
Kosten- und Abrechnungslogik
Exit-Optionen
vorhandenes Know-how im Unternehmen
Kompatibilität mit Microsoft 365 und bestehenden Systemen

Schritt 6: Roadmap in Wellen planen

Die Roadmap übersetzt die Strategie in konkrete Umsetzungsschritte. Statt alles gleichzeitig zu migrieren, sollten Workloads in Wellen priorisiert werden.

Eine sinnvolle Roadmap enthält:

Vorarbeiten für Identität, Netzwerk und Governance
Pilot-Workload
Migrationswellen
Abhängigkeiten
Aufwandsschätzung
Verantwortlichkeiten
Sicherheits- und Backup-Anforderungen
Kostenannahmen
Betriebsübergabe

Der Pilot sollte überschaubar sein, aber echten Nutzen zeigen. Er dient dazu, technische Grundlagen, Prozesse und Kostenmodell zu prüfen.

Schritt 7: Betrieb, KPIs und Optimierung festlegen

Cloud Strategie endet nicht mit der Migration. Entscheidend ist der laufende Betrieb. Dazu gehören Monitoring, Patchmanagement, Backup, Incident Response, Kostenreviews und regelmäßige Sicherheitsprüfungen.

Sinnvolle KPIs sind:

Bereitstellungszeit neuer Systeme
Kostenabweichung gegenüber Budget
Anzahl kritischer Sicherheitsfindings
Backup- und Restore-Erfolgsquote
RTO/RPO-Testergebnisse
Verfügbarkeit geschäftskritischer Workloads
Anzahl ungeklärter Ausnahmen

Governance, Sicherheit und Compliance in der Cloud

Governance, Sicherheit und Compliance sind zentrale Bestandteile jeder Cloud Strategie. Ohne klare Regeln entstehen Fehlkonfigurationen, unnötige Kosten, unklare Zugriffe und schwer nachvollziehbare Datenflüsse.

Cloud Governance

Cloud Governance definiert, wie Cloud-Dienste genutzt, verwaltet und kontrolliert werden. Sie umfasst Rollen, Richtlinien, Freigaben, technische Leitplanken und regelmäßige Reviews.

 Wichtige Governance-Bausteine sind:

Rollen und Verantwortlichkeiten
Landing Zone oder Grundarchitektur
Namens- und Tagging-Standards
Budget- und Kostenregeln
Zugriffskonzepte
Sicherheitsrichtlinien
Freigabeprozesse
Logging und Reporting
Dokumentation von Ausnahmen

Eine gute Governance ist nicht bürokratisch, sondern hilft Teams, sichere Entscheidungen schneller zu treffen.

Cloud Sicherheit

Cloud Sicherheit basiert auf klaren Prinzipien: starke Identitäten, geringste Rechte, Verschlüsselung, Monitoring, Backup und schnelle Reaktion auf Vorfälle. Besonders wichtig ist, Cloud-Sicherheit nicht isoliert zu betrachten. Sie muss mit Endpoint Security , Backup und Server-Betrieb zusammenspielen.

Besonders bei Microsoft 365 sollte geprüft werden, ob Postfächer, OneDrive, SharePoint und Teams-Daten unabhängig wiederherstellbar sind.

Wichtige Sicherheitsmaßnahmen sind:

MFA für alle relevanten Konten
Least Privilege
Conditional Access
zentrale Protokollierung
Verschlüsselung
Netzwerksegmentierung
regelmäßige Sicherheitsreviews
Backup und Restore-Tests
Incident-Response-Prozesse
Monitoring von Fehlkonfigurationen

Compliance und DSGVO

Für DSGVO-relevante Daten müssen Unternehmen nachvollziehbar dokumentieren, welche Daten verarbeitet werden, wo sie gespeichert sind, wer Zugriff hat und welche technischen sowie organisatorischen Maßnahmen umgesetzt wurden.

Wichtige Punkte sind:

Rollen als Verantwortlicher oder Auftragsverarbeiter
Auftragsverarbeitungsverträge
Datenflüsse und Datenstandorte
Lösch- und Aufbewahrungsfristen
Berechtigungskonzepte
Verschlüsselung
Protokollierung
Nachweis technischer und organisatorischer Maßnahmen
Prüfung von Subunternehmern
mögliche Datenschutz-Folgenabschätzung

Die Datenschutzbehörde Österreich und die Wirtschaftskammer bieten Orientierung zu DSGVO, technischen Maßnahmen und Dokumentationspflichten.

Cloud-Kosten steuern: TCO, FinOps und Budgetfallen

Cloud-Kosten sind steuerbar, aber sie verhalten sich anders als klassische IT-Investitionen. Statt einmaliger Anschaffung entstehen laufende, nutzungsbasierte Kosten. Ohne Transparenz können Budgets schnell überschritten werden.

TCO realistisch berechnen

TCO steht für Total Cost of Ownership. Eine realistische TCO-Betrachtung umfasst nicht nur Cloud-Ressourcen, sondern auch Migration, Betrieb, Security, Monitoring, Backup, Support und Schulung.

Typische Kostenblöcke sind:

Häufige Budgetfallen

Typische Cloud-Budgetfallen entstehen durch:

überdimensionierte Ressourcen
nicht abgeschaltete Testumgebungen
hohe Datenübertragungskosten
unklare Lizenzmodelle
fehlendes Tagging
Schatten-IT
doppelte Betriebsphasen
fehlende Kostenverantwortung
zu wenig Automatisierung
nicht eingeplante Backup- und Restore-Tests

Viele Kostenprobleme lassen sich vermeiden, wenn Budgets, Verantwortlichkeiten und regelmäßige Reviews von Anfang an Teil der Cloud Strategie sind.

FinOps für KMU

FinOps verbindet IT, Controlling und Fachbereiche. Ziel ist, Cloud-Kosten transparent zu machen und aktiv zu steuern.

Für KMU reichen oft einfache Maßnahmen:

Tagging nach Anwendung, Team und Kostenstelle
Budgets pro Bereich
Kostenalarme
monatliche Kostenreviews
Abschalten nicht genutzter Ressourcen
Rechte für neue Ressourcen begrenzen
Reservierungen für stabile Workloads prüfen
Abweichungen dokumentieren und erklären

FinOps ist kein reines Controlling-Thema. Es sorgt dafür, dass technische Entscheidungen und wirtschaftliche Verantwortung zusammenpassen.

Cloud Strategie in der Praxis: Workshop und Zielbild

In der Praxis ist ein Cloud-Strategie-Workshop oft der schnellste Weg zu einem gemeinsamen Zielbild. Entscheidend ist, dass der Workshop konkrete Ergebnisse liefert und nicht bei allgemeinen Cloud-Vorteilen stehen bleibt.

Ein guter Cloud-Strategie-Workshop klärt:

geschäftliche Ziele
aktuelle IT-Landschaft
Cloud-Readiness
Risiken und Abhängigkeiten
Cloud-Modell
Zielarchitektur
Sicherheits- und Governance-Mindeststandards
Kostenannahmen
Pilotkandidaten
Roadmap und nächste Schritte

Typische Ergebnisse sind:

Zielbild und Prinzipien
priorisiertes Applikationsportfolio
Cloud-Fit-Bewertung
Roadmap in Wellen
Governance- und Security-Baseline
grober Business Case
Maßnahmenliste
Verantwortlichkeiten

FIGULI CONSULTING unterstützt Unternehmen dabei, eine Cloud Strategie strukturiert zu entwickeln: von der Bestandsaufnahme über Zielarchitektur und Roadmap bis zu Governance, Kostensteuerung, Sicherheit und Umsetzungsvorbereitung.

Cloud Strategie mit FIGULI CONSULTING entwickeln

Checkliste vor der Cloud-Einführung

Vor der Cloud-Einführung sollten Unternehmen zentrale Fragen klären. Diese Checkliste hilft, typische Lücken früh sichtbar zu machen.

Strategie und Ziele

Sind Geschäftsziele und IT-Ziele klar definiert?
Gibt es messbare Erfolgskriterien?
Ist der Scope der ersten Phase festgelegt?
Gibt es ein gemeinsames Zielbild von Geschäftsführung und IT?

IT-Landschaft und Anwendungen

Gibt es ein aktuelles Applikationsinventar?
Sind Daten, Schnittstellen und Abhängigkeiten dokumentiert?
Sind kritische Anwendungen identifiziert?
Wurde der Cloud-Fit bewertet?

Sicherheit und Compliance

Gibt es ein Identitäts- und Berechtigungskonzept?
Sind MFA und Least Privilege vorgesehen?
Sind Datenstandorte und Datenflüsse geklärt?
Sind DSGVO-Anforderungen dokumentiert?
Gibt es ein Backup- und Restore-Konzept?

Kosten und Betrieb

Gibt es eine TCO-Betrachtung?
Sind Budgets und Kostenverantwortliche definiert?
Gibt es Tagging-Standards?
Sind Monitoring, Incident Response und Betriebsübergabe geplant?
Sind interne Skills und externe Unterstützung geklärt?

Kurze Checkliste zum Abhaken

Zielbild und KPIs definiert
Anwendungen und Daten inventarisiert
Cloud-Fit bewertet
Cloud-Modell entschieden
Governance-Regeln festgelegt
Sicherheitsbaseline definiert
Backup und Restore geplant
TCO und Budgets berechnet
Roadmap in Wellen erstellt
Pilot ausgewählt
Verantwortlichkeiten geklärt

Fazit

Eine Cloud Strategie hilft KMU, Cloud-Dienste sicher, wirtschaftlich und planbar zu nutzen. Entscheidend ist nicht, möglichst viele Systeme schnell in die Cloud zu verschieben. Entscheidend ist ein klares Zielbild mit passenden Cloud-Modellen, realistischer Roadmap, Governance, Sicherheit, Compliance und Kostensteuerung.

Für viele Unternehmen ist ein hybrides Zielbild sinnvoll: Microsoft 365 und ausgewählte Cloud-Dienste werden genutzt, während bestimmte Anwendungen lokal bleiben oder schrittweise modernisiert werden. Damit dieses Modell funktioniert, müssen Identität, Netzwerk, Monitoring, Backup, Sicherheit und Betrieb zusammen geplant werden.

Wenn intern Zeit, Know-how oder Übersicht fehlen, kann FIGULI CONSULTING dabei unterstützen, eine Cloud Strategie strukturiert zu entwickeln und konkrete nächste Schritte abzuleiten.

Cloud Strategie mit FIGULI besprechen

FAQ zur Cloud Strategie

Was ist eine Cloud Strategie?

Eine Cloud Strategie ist ein verbindlicher Plan für die Nutzung von Cloud-Diensten im Unternehmen. Sie definiert Ziele, Cloud-Modelle, Zielarchitektur, Governance, Sicherheitsregeln, Kostensteuerung, Verantwortlichkeiten und eine Roadmap für Anwendungen und Daten.

Warum brauchen KMU eine Cloud Strategie?

KMU brauchen eine Cloud Strategie, weil Cloud-Nutzung ohne klare Leitplanken schnell zu Schatten-IT, steigenden Kosten, Sicherheitslücken und unklaren Verantwortlichkeiten führt. Eine Strategie hilft, Cloud-Dienste gezielt, sicher und wirtschaftlich einzusetzen.

Was gehört zu einer Cloud Strategie?

Zu einer Cloud Strategie gehören Zielbild, Cloud-Readiness, Bewertung von Anwendungen und Daten, Auswahl des Cloud-Modells, Governance, Sicherheit, Compliance, TCO, FinOps, Roadmap, Betriebsmodell und Verantwortlichkeiten.

Was ist der Unterschied zwischen Cloud Strategie und Cloud Migration?

Die Cloud Strategie legt Ziele, Regeln, Zielarchitektur und Roadmap fest. Die Cloud Migration ist die technische Umsetzung einzelner Anwendungen oder Daten in die Cloud. Ohne Strategie kann eine Migration zu Kostenproblemen, Sicherheitslücken und inkonsistenten Architekturen führen.

Welche Cloud-Modelle gibt es?

Die wichtigsten Cloud-Modelle sind Public Cloud, Private Cloud und Hybrid Cloud. Public Cloud bietet skalierbare Dienste von großen Anbietern. Private Cloud bietet mehr Kontrolle. Hybrid Cloud kombiniert lokale IT, Cloud-Dienste und SaaS-Lösungen.

Ist Hybrid Cloud für KMU sinnvoll?

Hybrid Cloud ist für viele KMUs sinnvoll, weil bestehende Anwendungen nicht sofort abgelöst werden müssen. Lokale Systeme, Microsoft 365, Cloud-Services und Backup-Lösungen können kombiniert werden. Wichtig sind einheitliche Identitäten, Monitoring, Sicherheit und klare Betriebsprozesse.

Wie berechnet man Cloud-Kosten realistisch?

Cloud-Kosten sollten über TCO berechnet werden. Dazu gehören nicht nur Compute und Storage, sondern auch Migration, Netzwerk, Lizenzen, Security, Monitoring, Backup, Betrieb, Support und Schulung. Zusätzlich helfen FinOps, Tagging, Budgets und regelmäßige Kostenreviews.

Email security in the workplace: 8 building blocks for SMEs

Fri, 10 Jul 2026 13:53:44 GMT

Email security in the workplace: 8 building blocks for SMEs

Email security protects businesses from phishing, spoofed senders, malware, account takeovers, and data loss via business emails. It consists of more than just a spam filter; it comprises multiple layers of protection: sender authentication, malware and link protection, multi-factor authentication (MFA), secure policies, encryption, awareness, and recovery.

Email is particularly critical for small and medium-sized enterprises (SMEs) because offers, invoices, payment approvals, customer data, and internal communication all flow through this channel daily. Attackers exploit this vulnerability. They impersonate suppliers, executives, or well-known services to steal login credentials, redirect payments, or introduce malware.

This article demonstrates which measures are truly essential, why a spam filter alone is insufficient, and how businesses can systematically improve email security using eight key building blocks. The focus is on practical measures for Microsoft 365 environments, SMEs, and mid-sized organizations.

What does email security mean?
Why is email security so important for businesses?
Why is a spam filter alone no longer sufficient?
What types of attacks typically use email?
The 8 building blocks of modern email security
SPF, DKIM, and DMARC explained simply
Email encryption, TLS, and DLP
Email security in Microsoft 365
Internal or external email security?
Conclusion
Email security FAQ

What does email security mean?

Email security encompasses all technical and organizational measures that protect business emails from phishing, spoofing, malware, fraud, data leaks, and unauthorized access. The goal is to identify dangerous messages, secure user accounts, and ensure the controlled transmission of sensitive information.

Email security comprises several layers. Technically , it involves filters, link protection, attachment verification, sender authentication, encryption, DLP (Data Loss Prevention), MFA (Multiple Authentication), and logging. Organizationally , it involves clear approval processes, reporting channels, awareness, defined responsibilities, and regular reviews of security measures.

An effective security concept therefore not only addresses which emails should be blocked. It also defines how to handle suspicious messages, how to detect compromised accounts, and how companies can resume secure operations after an incident.

For Austrian companies, onlinesicherheit.gv.at offers helpful information on phishing, fraud attempts, and how to respond to suspicious emails.

Why is email security so important for businesses?

Email is one of the most important entry points for cyberattacks. The reason is simple: emails connect external communication, internal shares, identities, and files in a single channel. Anyone who compromises a mailbox can often access other systems or misuse trusted communications.

Attacks that appear technically innocuous are particularly dangerous. A forged payment order, a manipulated invoice, or an email from a compromised legitimate supplier doesn't necessarily contain malware. Nevertheless, the damage can be substantial.

Typical consequences of inadequate email security include:

Stolen login credentials
Compromised Microsoft 365 accounts
Manipulated invoices or payment data
Data leaks from mailboxes
Malware or ransomware infections
Misuse of internal communications
Loss of trust among customers and partners
Business interruptions following security incidents

Email security is therefore not just an IT issue. It affects management, accounting, sales, HR, and all employees who regularly communicate with external contacts.

Especially in Microsoft 365 environments, email security should always be considered in conjunction with identity protection, endpoint security , and backups. Otherwise, a compromised mailbox can quickly lead to further problems in OneDrive, SharePoint, Teams, or on end devices.

Why is a spam filter alone no longer sufficient?

A spam filter is important, but not sufficient on its own. Modern attacks bypass traditional filters because they are specifically designed, originate from genuinely compromised accounts, or contain no dangerous attachments. Email security must therefore combine multiple layers of protection.

A spam filter primarily detects known patterns, suspicious senders, poor reputation, and typical mass campaigns. However, many of today's attacks are more personal. Business email compromise, CEO fraud, or supplier fraud often work without malware. The email appears legitimate and requests a specific action: authorizing a payment, changing bank details, opening a file, or confirming access.

Therefore, modern email security also requires:

Sender authentication with SPF, DKIM, and DMARC
Protection against phishing and spoofed domains
MFA for user accounts
Rules against automatic redirects
Secure link and attachment verification
Processes for payment approvals
Awareness and easy reporting channels
Monitoring of logins and mailbox rules
Recovery and incident response processes

The most important point: Technology and processes must be aligned. A dangerous email can be blocked. However, a credible fraudulent request must also be intercepted through organizational measures, such as the four-eyes principle or mandatory callbacks in case of payment changes.

What types of attacks typically occur via email?

The most common email attacks on businesses are phishing, business email compromise, spoofing, malware, fake invoices, and account takeovers. While they differ technically, they usually pursue the same goal: access credentials, money, data, or control over systems.

Phishing

Phishing aims to trick users into revealing login credentials or opening malicious links. The emails often impersonate well-known services, banks, parcel delivery services, Microsoft 365, tax portals, or internal notifications.

Effective countermeasures against phishing include multi-factor authentication (MFA), secure login policies, link protection, anti-phishing policies, awareness training, and clear reporting procedures. It is particularly important that employees can easily report suspicious emails without fear of being blamed.

Business Email Compromise and CEO Fraud

Business Email Compromise (BEC) is particularly dangerous because the attack often works without malware. Attackers impersonate executives, suppliers, or business partners and attempt to manipulate payments or processes.

Typical warning signs include:

unusual urgency
requests for confidentiality
changed bank details
new payment instructions
deviations from the normal approval process
private or unusual communication channels
minor discrepancies in the sender's domain or signature

BEC cannot be prevented solely through technical means. Companies need clear processes: Payment changes must be confirmed via a second channel, ideally using known phone numbers and established approval procedures.

Spoofing and fake senders

Spoofing involves forging a sender address to make an email appear trustworthy. This is particularly critical when using a company's own domain. If attackers can send emails in the company's name, the domain's reputation suffers.

SPF, DKIM, and DMARC help significantly reduce spoofing. However, proper implementation is crucial. Many companies have SPF configured but lack comprehensive DMARC monitoring or a consistent policy.

Malware and dangerous attachments

Malware is often spread via Office documents, archives, links to download sites, or compromised cloud shares. Modern protection measures dynamically scan attachments, analyze links at the time of clicking, and block risky file types.

In addition to email protection, endpoint security is essential. If a dangerous file is opened despite a filter, the endpoint must detect and stop this suspicious behavior.

The 8 building blocks of modern email security

Modern email security consists of several components. For SMEs, it's important not to overcomplicate the m easures, but rather to first reduce the greatest risks: phishing, account takeovers, spoofing, BEC, and malware.

Checklist: 8 building blocks of modern email security

These building blocks work best together. A single product does not completely solve the problem. It is crucial that protective measures are regularly checked, documented and adapted to new risks.

Technical protective measures

Technical security measures form the first line of defense. These include anti-spam, anti-malware, URL protection, attachment scanning, sandboxing, quarantine workflows, and sender authentication.

It is crucial that quarantine and approval processes are clearly defined . If dangerous emails are blocked, but employees can approve them themselves without review, a new risk arises. Conversely, security measures should not unnecessarily disrupt daily operations.

Identity and access protection

Many email attacks target the user account, not the message itself. Therefore, multi-factor authentication (MFA) is essential. A stolen password should not be enough to access a mailbox.

Recommended measures include:

MFA for all users
Stronger security for administrator accounts
Disabling insecure legacy protocols
Conditional access
Inspection of risky logins
Monitoring of unusual mailbox rules
Restricting external forwarding

Organizational measures

Technology doesn't prevent all fraud. That's why email security requires clear organizational rules. This applies especially to payment authorizations, new bank details, confidential documents, and internal escalation channels.

The following have proven effective:

Four-eyes principle for payments
Obligation to call back when bank details have changed
Clear reporting channels for suspicious emails
Short awareness sessions
Defined responsibilities for incidents
Regular review of exceptions

This is precisely where it becomes clear whether email security truly works in everyday practice. Guidelines, Microsoft 365 policies, and reporting channels must be structured so that employees can recognize suspicious messages, react appropriately, and escalate incidents quickly.

For companies that cannot plan and operate email security measures internally, structured IT support is advisable. FIGULI CONSULTING helps to establish transparent technical protection layers, Microsoft 365 policies, and organizational processes.

Improve your email security with FIGULI CONSULTING

SPF, DKIM and DMARC explained simply

SPF, DKIM, and DMARC are standards for email authentication. They help verify whether an email truly originates from a legitimate source. This significantly reduces spoofing, domain abuse, and forg ed senders.

SPF

SPF uses a DNS record to specify which mail servers are authorized to send emails on behalf of a domain. This allows receiving mail servers to verify that an email originates from a legitimate source.

SPF helps prevent simple forgery, but it is not sufficient on its own. Problems arise when legitimate third-party providers are missing, forwarding rules don't function correctly, or the SPF record contains too many DNS lookups.

DKIM

DKIM adds a cryptographic signature to outgoing emails. Recipients can verify whether the message has been altered in transit and whether it matches the stated domain.

DKIM is especially important for companies using Microsoft 365, newsletter tools, CRM systems, or external email delivery services. These systems must be properly configured to prevent legitimate emails from being flagged as fraudulent.

DMARC

DMARC combines SPF and DKIM with a clear policy. The domain defines what should happen to emails that fail the check: monitor, quarantine, or reject.

A clean DMARC rollout is carried out in stages:

Discover legitimate senders
Check SPF and DKIM
Start DMARC with p=none
Evaluate reports
Correct misconfigurations
Increase p=quarantine
Set p=reject when stable

Microsoft describes SPF, DKIM, and DMARC as core email authentication methods in Microsoft 365.

Email encryption, TLS and DLP

Besides protection against attacks, confidentiality plays a crucial role. Email security must also prevent sensitive data from being sent unencrypted, accidentally, or to the wrong recipients.

TLS

TLS protects the transport connection between mail servers , thus securing the transmi s sion. While TLS is now an important minimum standard, it does not automatically protect the message itself across all stages.

S/MIME

S/MIME enables email signatures and end-to-end encryption. A signature confirms the sender's identity and the message's integrity. Encryption protects the content from unauthorized access.

In practice, S/MIME is particularly relevant when confidential or personal data is regularly sent via email. Proper handling of certificates, validity periods, and key management is crucial.

DLP

DLP stands for Data Loss Prevention. DLP policies identify sensitive content , such as personal data, financial information, or confidential documents. Depending on the policy, emails can be blocked, encrypted, or flagged with warnings.

DLP should be implemented gradually. Too many rules quickly lead to false positives. A pragmatic start with a few critical data types and clear escalation paths is better.

When personal data is processed, technical and organizational measures are also relevant from a data protection perspective. The Austrian Data Protection Authority, in its guidelines for data controllers , refers to suitable measures such as encryption, confidentiality, integrity, availability, and regular audits.

Email security in Microsoft 365

Many SMEs use Microsoft 365 as a central platform for email, files, teams, and identities. This means email security is closely linked to Microsoft 365 security. Crucial factors are not just the license, but also the correct configuration and regular monitoring.

Key measures in Microsoft 365

For Microsoft 365 environments, the following are particularly important:

MFA for all users
Conditional Access
Disabling legacy authentication
Anti-phishing policies
Safe links and safe attachments
Quarantine workflows
Protection against external forwarding
Monitoring of logins and mailbox rules
DMARC, DKIM, and SPF for your domain
Regular policy reviews

Microsoft Defender for Office 365 can extend email security with anti-phishing policies, safe links, and safe attachments. However, its effectiveness depends heavily on correctly configuring policies, controlling exceptions, and regularly addressing alerts.

Even more effective protection and better management are achieved with Hornet Total Security for M365 .

Don't forget your Microsoft 365 backup.

Email security doesn't end with protection against attacks. Businesses should also check whether important mailboxes, calendars, contacts, and Microsoft 365 data are recoverable. Deleted or manipulated content can otherwise become a problem, even if the attack is detected.

Since email, OneDrive, SharePoint, and Teams work closely together, the backup strategy should also take these interrelationships into account.

Hornet Security offers a fast and reliable cloud-to-cloud backup solution, which is included in plan 3 or 4.

Internal or external email security?

Whether email security should be managed internally or externally depends on expertise, time, system landscape, and risk. Many SMEs benefit from a hybrid model : business processes and approvals remain internal, while external IT partners provide support with configuration, monitoring, reviews, and incident response.

When internal support is appropriate

Internal support is beneficial if sufficient expertise, time, and backup are available. This requires:

Experience with Microsoft 365 and email security
Clear responsibilities
Regular policy reviews
Access to relevant logs and reports
Secure administration
Defined escalation paths
Awareness and reporting processes

If any of these elements are missing, security gaps can quickly arise. Unclear responsibilities regarding quarantine, alerts, DMARC reports, and compromised mailboxes are particularly critical.

When external support is useful

External support is beneficial when internal resources are lacking or when the existing environment needs a professional review. An external partner can help prioritize risks, properly configure Microsoft 365 policies, gradually roll out DMARC, and design effective BEC (Business Email Compromise) processes.

A good partner should provide:

a clear assessment of the current situation
a transparent list of action items
detailed documentation
technical implementation
regular reviews
comprehensible reporting
incident support
practical recommendations instead of overwhelming users with unnecessary tools

FIGULI CONSULTING helps companies build a structured email security strategy: from Microsoft 365 configuration and DMARC to MFA, backup, and monitoring, all the way to organizational processes to combat phishing and business email compromise.

Conclusion

Email security isn't a single product, but rather a combination of technology, identity protection, processes, and regular monitoring. A spam filter remains important, but it's no longer sufficient against targeted phishing attacks, business email compromise (BEC), spoofing, and account takeovers.

For SMEs, eight key components are crucial: spam and malware protection, URL and attachment verification, SPF/DKIM/DMARC, MFA, conditional access, forwarding protection, clear processes for preventing BEC, and an incident and recovery plan. Consistently implementing these components significantly reduces the greatest risks.

If internal resources lack the time, expertise , or oversight, FIGULI CONSULTING can help you conduct a structured email security review, establish robust Microsoft 365 policies, and implement practical, concrete measures.

Discuss email security with FIGULI

FAQ about email security

What is email security?

Email security encompasses technical and organizational measures to protect business emails. These include spam and malware protection, phishing prevention, sender authentication, multi-factor authentication (MFA), encryption, data loss prevention (DLP), monitoring, and clear processes for handling suspicious messages.

Why is email security important for businesses?

Email security is important because many attacks originate via email. Phishing, spoofing, business email compromise, and malware can lead to account takeovers, data loss, fraudulent payments, and business interruptions.

Why isn't a spam filter sufficient?

A spam filter detects many mass campaigns, but not every targeted attack. Business email compromise, compromised legitimate senders, and fraudulent payment requests often appear technically undetectable. Therefore, additional measures such as MFA, DMARC, established processes, and monitoring are necessary.

What measures protect against phishing?

Multi-factor authentication (MFA), secure login policies, anti-phishing policies, link protection, attachment verification, awareness campaigns, and easy reporting channels help protect against phishing. It is especially important to understand that stolen passwords without two-factor authentication are insufficient to access email accounts.

What is Business Email Compromise?

Business Email Compromise is a targeted email fraud in which attackers impersonate executives, suppliers, or business partners, or use compromised accounts. The goal is usually to redirect payments, manipulate approvals, or obtain confidential information.

What role do SPF, DKIM, and DMARC play?

SPF, DKIM, and DMARC help verify the authenticity of emails. SPF defines authorized sending servers, DKIM signs messages, and DMARC specifies how recipients should handle failed verifications. Together, they reduce spoofing and domain abuse.

How does MFA improve email security?

Multi-factor authentication (MFA) improves email security because a password alone is no longer sufficient for access. Even if login credentials are stolen through phishing, the second factor can prevent or significantly hinder account takeover.

What's important for email security in Microsoft 365?

In Microsoft 365, MFA, conditional access, anti-phishing policies, safe links, safe attachments, DMARC, secure forwarding rules, and regular monitoring are particularly important. It's crucial that these features are configured correctly and continuously reviewed.

How often should email security be reviewed?

Email security measures should be reviewed regularly. Monthly checks of alerts, quarantines, mailbox rules, forwards, and policy changes are recommended. Quarterly reviews should be conducted to assess processes, DMARC reports, exceptions, and awareness measures.

E-Mail Sicherheit im Unternehmen: 8 Bausteine für KMU

Fri, 10 Jul 2026 12:18:40 GMT

E-Mail Sicherheit im Unternehmen: 8 Bausteine für KMU

E-Mail Sicherheit schützt Unternehmen vor Phishing, gefälschten Absendern, Malware, Kontoübernahmen und Datenverlust über geschäftliche E-Mails. Sie besteht nicht nur aus einem Spamfilter, sondern aus mehreren Schutzschichten: Absenderauthentifizierung, Malware- und Linkschutz, MFA, sichere Richtlinien, Verschlüsselung, Awareness und Wiederherstellung.

Für KMU ist E-Mail besonders kritisch, weil Angebote, Rechnungen, Zahlungsfreigaben, Kundendaten und interne Abstimmungen täglich über diesen Kanal laufen. Angreifer nutzen genau das aus. Sie imitieren Lieferanten, Führungskräfte oder bekannte Dienste, um Zugangsdaten zu stehlen, Zahlungen umzuleiten oder Schadsoftware einzuschleusen.

Dieser Artikel zeigt, welche Maßnahmen wirklich wichtig sind, warum ein Spamfilter allein nicht reicht und wie Unternehmen E-Mail Sicherheit mit 8 Bausteinen strukturiert verbessern können. Der Fokus liegt auf praxistauglichen Maßnahmen für Microsoft-365-Umgebungen, KMU und mittelständische Organisationen.

Inhaltsverzeichnis

Was bedeutet E-Mail Sicherheit?
Warum ist E-Mail Sicherheit für Unternehmen so wichtig?
Warum reicht ein Spamfilter allein nicht mehr aus?
Welche Angriffe laufen typischerweise über E-Mail?
Die 8 Bausteine moderner E-Mail Sicherheit
SPF, DKIM und DMARC einfach erklärt
E-Mail-Verschlüsselung, TLS und DLP
E-Mail Sicherheit in Microsoft 365
Interne oder externe E-Mail-Sicherheit?
Fazit
FAQ zur E-Mail Sicherheit

Was bedeutet E-Mail Sicherheit?

E-Mail Sicherheit umfasst alle technischen und organisatorischen Maßnahmen, die geschäftliche E-Mails vor Phishing, Spoofing, Malware, Betrug, Datenabfluss und unbefugtem Zugriff schützen. Ziel ist, gefährliche Nachrichten zu erkennen, Benutzerkonten abzusichern und sensible Informationen kontrolliert zu übertragen.

Zur E-Mail Sicherheit gehören mehrere Ebenen. Technisch geht es um Filter, Linkschutz, Anhangprüfung, Absenderauthentifizierung, Verschlüsselung, DLP, MFA und Protokollierung. Organisatorisch geht es um klare Freigabeprozesse, Meldewege, Awareness, Zuständigkeiten und regelmäßige Überprüfung der Schutzmaßnahmen.

Ein wirksames Konzept beantwortet deshalb nicht nur die Frage, welche E-Mails blockiert werden. Es legt auch fest, wie mit verdächtigen Nachrichten umgegangen wird, wie kompromittierte Konten erkannt werden und wie Unternehmen nach einem Vorfall wieder sicher arbeitsfähig werden.

Für österreichische Unternehmen bietet onlinesicherheit.gv.at hilfreiche Informationen zu Phishing, Betrugsversuchen und Verhalten bei verdächtigen E-Mails.

Warum ist E-Mail Sicherheit für Unternehmen so wichtig?

E-Mail ist eines der wichtigsten Einfallstore für Cyberangriffe . Der Grund ist einfach: E-Mails verbinden externe Kommunikation, interne Freigaben, Identitäten und Dateien in einem einzigen Kanal. Wer ein Postfach kompromittiert, kann häufig weitere Systeme erreichen oder vertrauenswürdige Kommunikation missbrauchen.

Besonders gefährlich sind Angriffe, die technisch unauffällig wirken. Eine gefälschte Zahlungsanweisung, eine manipulierte Rechnung oder eine E-Mail von einem kompromittierten echten Lieferanten enthält nicht zwingend Schadsoftware. Trotzdem kann der Schaden erheblich sein.

Typische Folgen mangelnder E-Mail Sicherheit sind:

gestohlene Zugangsdaten
kompromittierte Microsoft-365-Konten
manipulierte Rechnungen oder Zahlungsdaten
Datenabfluss aus Postfächern
Malware- oder Ransomware-Infektionen
Missbrauch interner Kommunikation
Vertrauensverlust bei Kunden und Partnern
Betriebsunterbrechungen nach Sicherheitsvorfällen

E-Mail Sicherheit ist deshalb nicht nur ein IT-Thema. Sie betrifft Geschäftsführung, Buchhaltung, Vertrieb, Personalabteilung und alle Mitarbeitenden, die regelmäßig mit externen Kontakten kommunizieren.

Gerade in Microsoft-365-Umgebungen sollte E-Mail Sicherheit immer mit Identitätsschutz, Endpoint Security und Backup zusammengedacht werden. Ein kompromittiertes Postfach kann sonst schnell zu weiteren Problemen in OneDrive, SharePoint, Teams oder auf Endgeräten führen.

Warum reicht ein Spamfilter allein nicht mehr aus?

Ein Spamfilter ist wichtig, aber allein nicht ausreichend. Moderne Angriffe umgehen klassische Filter, weil sie gezielt formuliert sind, von echten kompromittierten Konten kommen oder keine gefährlichen Anhänge enthalten. E-Mail Sicherheit muss deshalb mehrere Schutzschichten kombinieren.

Ein Spamfilter erkennt vor allem bekannte Muster, auffällige Absender, schlechte Reputation und typische Massenkampagnen. Viele heutige Angriffe sind aber persönlicher. Business Email Compromise, CEO-Fraud oder Lieferantenbetrug funktionieren oft ohne Malware. Die E-Mail sieht plausibel aus und fordert eine konkrete Handlung: Zahlung freigeben, Bankverbindung ändern, Datei öffnen oder Zugang bestätigen.

Deshalb braucht moderne E-Mail Sicherheit zusätzlich:

Absenderauthentifizierung mit SPF, DKIM und DMARC
Schutz vor Phishing und gefälschten Domains
MFA für Benutzerkonten
Regeln gegen automatische Weiterleitungen
sichere Link- und Anhangprüfung
Prozesse für Zahlungsfreigaben
Awareness und einfache Meldewege
Monitoring von Anmeldungen und Postfachregeln
Wiederherstellungs- und Incident-Prozesse

Der wichtigste Punkt: Technik und Prozesse müssen zusammenpassen. Eine gefährliche E-Mail kann blockiert werden. Eine glaubwürdige Betrugsanfrage muss aber auch organisatorisch abgefangen werden, etwa durch Vier-Augen-Prinzip oder Rückrufpflicht bei Zahlungsänderungen.

Welche Angriffe laufen typischerweise über E-Mail?

Die häufigsten E-Mail-Angriffe auf Unternehmen sind Phishing, Business Email Compromise, Spoofing, Malware, gefälschte Rechnungen und Kontoübernahmen. Sie unterscheiden sich technisch, verfolgen aber meist dasselbe Ziel: Zugangsdaten, Geld, Daten oder Kontrolle über Systeme.

Phishing

Phishing zielt darauf ab, Benutzer zur Preisgabe von Zugangsdaten oder zum Öffnen gefährlicher Links zu bewegen. Die E-Mails imitieren häufig bekannte Dienste, Banken, Paketdienste, Microsoft 365, Steuerportale oder interne Benachrichtigungen.

Wirksame Maßnahmen gegen Phishing sind MFA, sichere Anmelderichtlinien, Linkschutz, Anti-Phishing-Policies, Awareness und klare Meldewege. Besonders wichtig ist, dass Mitarbeitende verdächtige E-Mails einfach melden können, ohne Angst vor Schuldzuweisungen.

Business Email Compromise und CEO-Fraud

Business Email Compromise, kurz BEC, ist besonders gefährlich, weil der Angriff oft ohne Malware funktioniert. Angreifer imitieren Führungskräfte, Lieferanten oder Geschäftspartner und versuchen, Zahlungen oder Prozesse zu manipulieren.

Typische Warnsignale sind:

ungewöhnliche Dringlichkeit
Bitte um Geheimhaltung
geänderte Bankverbindung
neue Zahlungsanweisung
Abweichung vom normalen Freigabeprozess
private oder ungewohnte Kommunikationskanäle
kleine Abweichungen in Absenderdomain oder Signatur

BEC lässt sich nicht allein technisch verhindern. Unternehmen brauchen klare Prozesse: Zahlungsänderungen müssen über einen zweiten Kanal bestätigt werden, idealerweise über bekannte Telefonnummern und etablierte Freigabewege.

Spoofing und gefälschte Absender

Beim Spoofing wird eine Absenderadresse gefälscht, damit eine E-Mail vertrauenswürdig wirkt. Besonders kritisch ist das bei der eigenen Unternehmensdomain. Wenn Angreifer im Namen des Unternehmens E-Mails versenden können, leidet auch die Domainreputation.

SPF, DKIM und DMARC helfen, Spoofing deutlich zu reduzieren. Entscheidend ist aber die saubere Umsetzung. Viele Unternehmen haben zwar SPF eingerichtet, aber kein vollständiges DMARC-Monitoring oder keine konsequente Policy.

Malware und gefährliche Anhänge

Malware wird häufig über Office-Dokumente, Archive, Links zu Downloadseiten oder kompromittierte Cloud-Freigaben verbreitet . Moderne Schutzmaßnahmen prüfen Anhänge dynamisch, analysieren Links zum Klickzeitpunkt und blockieren riskante Dateitypen.

Ergänzend zur E-Mail-Ebene braucht es Endpoint Security. Wenn eine gefährliche Datei trotz Filter geöffnet wird, muss der Endpunkt verdächtiges Verhalten erkennen und stoppen.

Die 8 Bausteine moderner E-Mail Sicherheit

Moderne E-Mail Sicherheit besteht aus mehreren Bausteinen. Für KMU ist wichtig, die Maßnahmen nicht zu kompliziert aufzubauen, sondern zuerst die größten Risiken zu reduzieren: Phishing, Kontoübernahmen, Spoofing, BEC und Malware.

Checkliste: 8 Bausteine moderner E-Mail Sicherheit

Diese Bausteine wirken am besten zusammen. Ein einzelnes Produkt löst das Problem nicht vollständig. Entscheidend ist, dass Schutzmaßnahmen regelmäßig geprüft, dokumentiert und an neue Risiken angepasst werden.

Technische Schutzmaßnahmen

Technische Schutzmaßnahmen bilden die erste Verteidigungslinie. Dazu gehören Anti-Spam, Anti-Malware, URL-Schutz, Anhangprüfung, Sandboxing, Quarantäne-Workflows und Absenderauthentifizierung.

Wichtig ist, dass Quarantäne und Freigaben sauber geregelt sind. Wenn gefährliche E-Mails blockiert werden, aber Mitarbeitende sie ohne Prüfung selbst freigeben können, entsteht ein neues Risiko. Umgekehrt dürfen Schutzmaßnahmen den Alltag nicht unnötig blockieren.

Identitäts- und Zugriffsschutz

Viele E-Mail-Angriffe zielen nicht auf die Nachricht selbst, sondern auf das Benutzerkonto. Deshalb ist Mulitfaktor Authentifizierung (MFA) eine Pflichtmaßnahme. Ein gestohlenes Passwort sollte nicht ausreichen, um auf ein Postfach zuzugreifen.

Sinnvolle Maßnahmen sind:

MFA für alle Benutzer
stärkere Absicherung für Admin-Konten
Deaktivierung unsicherer Altprotokolle
Conditional Access
Prüfung riskanter Anmeldungen
Monitoring ungewöhnlicher Postfachregeln
Einschränkung externer Weiterleitungen

Organisatorische Maßnahmen

Technik verhindert nicht jeden Betrug. Deshalb braucht E-Mail Sicherheit klare organisatorische Regeln. Das betrifft vor allem Zahlungsfreigaben, neue Bankverbindungen, vertrauliche Dokumente und interne Eskalationswege.

Bewährt haben sich:

Vier-Augen-Prinzip bei Zahlungen
Rückrufpflicht bei geänderten Bankdaten
klare Meldewege für verdächtige E-Mails
kurze Awareness-Einheiten
definierte Zuständigkeiten bei Vorfällen
regelmäßige Überprüfung von Ausnahmen

Gerade hier zeigt sich, ob E-Mail Sicherheit im Alltag wirklich funktioniert. Richtlinien, Microsoft-365-Policies und Meldewege müssen so aufgebaut sein, dass Mitarbeitende verdächtige Nachrichten erkennen, richtig reagieren und Vorfälle schnell eskalieren können.

Für Unternehmen, die E-Mail-Sicherheitsmaßnahmen nicht intern planen und betreiben können, ist eine strukturierte IT-Betreuung sinnvoll.

FIGULI CONSULTING unterstützt dabei, technische Schutzschichten, Microsoft-365-Policies und organisatorische Prozesse nachvollziehbar aufzusetzen.

E-Mail Sicherheit mit FIGULI CONSULTING verbessern

SPF, DKIM und DMARC einfach erklärt

SPF, DKIM und DMARC sind Standards zur E-Mail-Authentifizierung. Sie helfen zu prüfen, ob eine E-Mail wirklich von einer berechtigten Quelle stammt. Dadurch lassen sich Spoofing, Domainmissbrauch und gefälschte Absender deutlich reduzieren.

SPF

SPF legt über einen DNS-Eintrag fest, welche Mailserver im Namen einer Domain senden dürfen. Empfangende Mailserver können dadurch prüfen, ob eine E-Mail von einer erlaubten Quelle kommt.

SPF hilft gegen einfache Fälschungen, reicht allein aber nicht aus. Probleme entstehen, wenn legitime Drittanbieter fehlen, Weiterleitungen nicht sauber funktionieren oder zu viele DNS-Lookups im SPF-Eintrag enthalten sind.

DKIM

DKIM versieht ausgehende E-Mails mit einer kryptografischen Signatur. Empfänger können prüfen, ob die Nachricht unterwegs verändert wurde und ob sie zur angegebenen Domain passt.

DKIM ist besonders wichtig, wenn Unternehmen Microsoft 365, Newsletter-Tools, CRM-Systeme oder externe Versanddienste nutzen. Diese Systeme müssen sauber eingerichtet werden, damit legitime E-Mails nicht fälschlich auffallen.

DMARC

DMARC verbindet SPF und DKIM mit einer klaren Policy. Die Domain legt fest, was mit E-Mails passieren soll, die die Prüfung nicht bestehen: beobachten, in Quarantäne verschieben oder ablehnen.

Ein sauberer DMARC-Rollout erfolgt stufenweise:

legitime Sender erfassen
SPF und DKIM prüfen
DMARC mit p=none starten
Reports auswerten
Fehlkonfigurationen korrigieren
auf p=quarantine erhöhen
bei stabiler Lage auf p=reject setzen

Microsoft beschreibt SPF, DKIM und DMARC als zentrale Verfahren der E-Mail-Authentifizierung in Microsoft 365.

E-Mail-Verschlüsselung, TLS und DLP

Neben Angriffsschutz spielt Vertraulichkeit eine wichtige Rolle. E-Mail Sicherheit muss auch verhindern, dass sensible Daten unverschlüsselt, versehentlich oder an falsche Empfänger gesendet werden.

TLS

TLS schützt die Transportverbindung zwischen Mailservern. Dadurch wird die Übertragung abgesichert. TLS ist heute ein wichtiger Mindeststandard, schützt aber nicht automatisch die Nachricht selbst über alle Stationen hinweg.

S/MIME

S/MIME ermöglicht Signatur und Ende-zu-Ende-Verschlüsselung von E-Mails. Eine Signatur bestätigt die Identität des Absenders und die Integrität der Nachricht. Verschlüsselung schützt den Inhalt vor unbefugtem Mitlesen.

In der Praxis ist S/MIME besonders relevant, wenn regelmäßig vertrauliche oder personenbezogene Daten per E-Mail versendet werden. Wichtig ist ein sauberer Umgang mit Zertifikaten, Laufzeiten und Schlüsselverwaltung.

DLP

DLP steht für Data Loss Prevention. DLP-Richtlinien erkennen sensible Inhalte, etwa personenbezogene Daten, Finanzinformationen oder vertrauliche Dokumente. Je nach Richtlinie können E-Mails blockiert, verschlüsselt oder mit Warnhinweisen versehen werden.

DLP sollte schrittweise eingeführt werden. Zu viele Regeln führen schnell zu Fehlalarmen. Besser ist ein pragmatischer Start mit wenigen kritischen Datentypen und klaren Eskalationswegen.

Wenn personenbezogene Daten verarbeitet werden, sind technische und organisatorische Maßnahmen auch aus Datenschutzsicht relevant. Die österreichische Datenschutzbehörde verweist bei den Pflichten von Verantwortlichen auf geeignete Maßnahmen wie Verschlüsselung, Vertraulichkeit, Integrität, Verfügbarkeit und regelmäßige Überprüfung.

E-Mail Sicherheit in Microsoft 365

Viele KMU nutzen Microsoft 365 als zentrale Plattform für E-Mail, Dateien, Teams und Identitäten. Dadurch ist E-Mail Sicherheit eng mit Microsoft-365-Sicherheit verbunden. Entscheidend ist nicht nur die Lizenz, sondern die richtige Konfiguration und regelmäßige Kontrolle.

Wichtige Maßnahmen in Microsoft 365

Für Microsoft-365-Umgebungen sind besonders wichtig:

MFA für alle Benutzer
Conditional Access
Deaktivierung von Legacy Authentication
Anti-Phishing-Policies
Safe Links und Safe Attachments
Quarantäne-Workflows
Schutz vor externen Weiterleitungen
Monitoring von Anmeldungen und Postfachregeln
DMARC, DKIM und SPF für die eigene Domain
regelmäßige Policy-Reviews

Microsoft Defender for Office 365 kann E-Mail-Sicherheit um Anti-Phishing-Policies, Safe Links und Safe Attachments erweitern. Die Wirkung hängt aber stark davon ab, ob Policies richtig konfiguriert, Ausnahmen kontrolliert und Alerts regelmäßig bearbeitet werden.

Einen noch wirksameren Schutz und bessere Verwaltung erhält man mit Hornet Total Security für M365 .

Microsoft 365 Backup nicht vergessen

E-Mail Sicherheit endet nicht beim Schutz vor Angriffen. Unternehmen sollten auch prüfen, ob wichtige Postfächer, Kalender, Kontakte und Microsoft-365-Daten wiederherstellbar sind. Gelöschte oder manipulierte Inhalte können sonst zum Problem werden, selbst wenn der Angriff erkannt wurde.

Wenn E-Mail, OneDrive, SharePoint und Teams eng zusammenarbeiten, sollte auch das Backup-Konzept diese Zusammenhänge berücksichtigen.
Eine schnelle und zuverlässige Cloud 2 Cloud Backup Lösung erhalten Sie mit Hornet Security welche in Plan 3 oder 4 enthalten ist.

Interne oder externe E-Mail-Sicherheit?

Ob E-Mail Sicherheit intern oder extern betreut werden sollte, hängt von Know-how, Zeit, Systemlandschaft und Risiko ab. Viele KMU profitieren von einem hybriden Modell: intern bleiben Geschäftsprozesse und Freigaben, externe IT-Partner unterstützen bei Konfiguration, Monitoring, Reviews und Incident Response.

Wann interne Betreuung sinnvoll ist

Interne Betreuung ist sinnvoll, wenn genügend Fachwissen, Zeit und Vertretung vorhanden sind. Das setzt voraus:

Erfahrung mit Microsoft 365 und E-Mail-Security
klare Zuständigkeiten
regelmäßige Policy-Reviews
Zugriff auf relevante Logs und Reports
sichere Administration
definierte Eskalationswege
Awareness und Meldeprozesse

Fehlt einer dieser Punkte, entstehen schnell Sicherheitslücken. Besonders kritisch sind unklare Zuständigkeiten bei Quarantäne, Alerts, DMARC-Reports und kompromittierten Postfächern.

Wann externe Unterstützung sinnvoll ist

Externe Unterstützung ist sinnvoll, wenn interne Ressourcen fehlen oder die bestehende Umgebung fachlich überprüft werden soll. Ein externer Partner kann helfen, Risiken zu priorisieren, Microsoft-365-Policies sauber aufzusetzen, DMARC schrittweise auszurollen und Prozesse gegen BEC praxistauglich zu gestalten.

Ein guter Partner sollte liefern:

klare Bestandsaufnahme
nachvollziehbare Maßnahmenliste
saubere Dokumentation
technische Umsetzung
regelmäßige Reviews
verständliches Reporting
Unterstützung bei Vorfällen
praxisnahe Empfehlungen statt Tool-Überladung

FIGULI CONSULTING unterstützt Unternehmen dabei, E-Mail Sicherheit strukturiert aufzubauen: von Microsoft-365-Konfiguration und DMARC über MFA, Backup und Monitoring bis zu organisatorischen Prozessen gegen Phishing und Business Email Compromise.

Fazit

E-Mail Sicherheit ist kein einzelnes Produkt, sondern ein Zusammenspiel aus Technik, Identitätsschutz, Prozessen und regelmäßiger Kontrolle. Ein Spamfilter bleibt wichtig, reicht aber gegen gezielte Phishing-Angriffe, Business Email Compromise, Spoofing und Kontoübernahmen nicht mehr aus.

Für KMU sind besonders acht Bausteine entscheidend: Spam- und Malware-Schutz, URL- und Anhangprüfung, SPF/DKIM/DMARC, MFA, Conditional Access, Schutz vor Weiterleitungen, klare Prozesse gegen BEC und ein Incident- sowie Recovery-Plan. Wer diese Bausteine konsequent umsetzt, reduziert die größten Risiken deutlich.

Wenn intern Zeit, Know-how oder Übersicht fehlen, kann FIGULI CONSULTING dabei unterstützen, E-Mail Sicherheit strukturiert zu prüfen, Microsoft-365-Policies sauber aufzusetzen und konkrete Maßnahmen praxistauglich umzusetzen.

E-Mail Sicherheit mit FIGULI besprechen

FAQ zur E-Mail Sicherheit

Was ist E-Mail Sicherheit?

E-Mail Sicherheit umfasst technische und organisatorische Maßnahmen zum Schutz geschäftlicher E-Mails. Dazu gehören Spam- und Malware-Schutz, Phishing-Abwehr, Absenderauthentifizierung, MFA, Verschlüsselung, DLP, Monitoring und klare Prozesse bei verdächtigen Nachrichten.

Warum ist E-Mail Sicherheit für Unternehmen wichtig?

E-Mail Sicherheit ist wichtig, weil viele Angriffe über E-Mail beginnen. Phishing, Spoofing, Business Email Compromise und Malware können zu Kontoübernahmen, Datenverlust, manipulierten Zahlungen und Betriebsunterbrechungen führen.

Warum reicht ein Spamfilter nicht aus?

Ein Spamfilter erkennt viele Massenkampagnen, aber nicht jeden gezielten Angriff. Business Email Compromise, kompromittierte echte Absender und gefälschte Zahlungsanfragen wirken oft technisch unauffällig. Deshalb braucht es zusätzliche Maßnahmen wie MFA, DMARC, Prozesse und Monitoring.

Welche Maßnahmen schützen vor Phishing?

Gegen Phishing helfen MFA, sichere Anmelderichtlinien, Anti-Phishing-Policies, Linkschutz, Anhangprüfung, Awareness und einfache Meldewege. Besonders wichtig ist, dass gestohlene Passwörter ohne zweiten Faktor nicht zum Zugriff auf E-Mail-Konten reichen.

Was ist Business Email Compromise?

Business Email Compromise ist ein gezielter E-Mail-Betrug, bei dem Angreifer Führungskräfte, Lieferanten oder Geschäftspartner imitieren oder kompromittierte Konten nutzen. Ziel ist meist, Zahlungen umzuleiten, Freigaben zu manipulieren oder vertrauliche Informationen zu erhalten.

Welche Rolle spielen SPF, DKIM und DMARC?

SPF, DKIM und DMARC helfen, die Echtheit von E-Mails zu prüfen. SPF definiert erlaubte Versandserver, DKIM signiert Nachrichten und DMARC legt fest, wie Empfänger mit nicht bestandenen Prüfungen umgehen sollen. Zusammen reduzieren sie Spoofing und Domainmissbrauch.

Wie verbessert MFA die E-Mail Sicherheit?

MFA verbessert E-Mail Sicherheit, weil ein Passwort allein nicht mehr für den Zugriff ausreicht. Selbst wenn Zugangsdaten durch Phishing gestohlen werden, kann der zweite Faktor eine Kontoübernahme verhindern oder deutlich erschweren.

Was ist bei E-Mail Sicherheit in Microsoft 365 wichtig?

In Microsoft 365 sind MFA, Conditional Access, Anti-Phishing-Policies, Safe Links, Safe Attachments, DMARC, sichere Weiterleitungsregeln und regelmäßiges Monitoring besonders wichtig. Entscheidend ist, dass die Funktionen richtig konfiguriert und laufend überprüft werden.

Wie oft sollte E-Mail Sicherheit überprüft werden?

E-Mail-Sicherheitsmaßnahmen sollten regelmäßig überprüft werden. Monatlich sinnvoll sind Kontrollen von Alerts, Quarantäne, Postfachregeln, Weiterleitungen und Policy-Änderungen. Quartalsweise sollten Prozesse, DMARC-Reports, Ausnahmen und Awareness-Maßnahmen bewertet werden.

Server Wartung: Checkliste für KMU & Intervalle

Tue, 30 Jun 2026 15:08:29 GMT

Server Wartung: Checkliste für KMU & Intervalle

Server Wartung sorgt dafür, dass geschäftskritische Systeme stabil, sicher und wiederherstellbar bleiben. Dazu gehören regelmäßige Kontrollen von Monitoring, Updates, Backups, Speicherplatz, Protokollen, Benutzerrechten und Serverleistung. Für KMU ist das besonders wichtig, weil Serverprobleme oft nicht durch einen einzelnen großen Fehler entstehen, sondern durch viele kleine Versäumnisse: ungeprüfte Backups, verspätete Updates, volle Datenträger, ignorierte Warnmeldungen oder unklare Zuständigkeiten.

Eine gute Server Wartung folgt deshalb festen Intervallen. Tägliche Kurzchecks erkennen akute Probleme, wöchentliche Prüfungen reduzieren Sicherheits- und Storage-Risiken, monatliche Wartung hält Systeme aktuell und jährliche Tests sichern Notfallfähigkeit und Dokumentation ab. Dieser Artikel zeigt, welche Aufgaben wirklich wichtig sind, wie eine praxistaugliche Server-Wartung-Checkliste für KMU aufgebaut ist und woran Unternehmen erkennen, ob interne Betreuung reicht oder externe Unterstützung sinnvoll ist.

Inhaltsverzeichnis

Was bedeutet Server Wartung?
Warum ist regelmäßige Server Wartung wichtig?
Welche Aufgaben gehören zur Server Wartung?
Server-Wartung-Checkliste nach Intervallen
Backup, Restore-Tests und Protokolle prüfen
Patchmanagement und Updates richtig planen
Server Wartung für Windows, Linux und virtuelle Server
Typische Fehler bei der Server Wartung
Interne oder externe Server Wartung?
Fazit
FAQ zur Server Wartung

Was bedeutet Server Wartung?

Server Wartung bedeutet, Server regelmäßig zu prüfen, zu aktualisieren, abzusichern und zu dokumentieren. Ziel ist ein stabiler IT-Betrieb mit möglichst wenig ungeplanten Ausfällen.

Zur Server Wartung gehören technische und organisatorische Aufgaben.

Technisch geht es um Updates, Monitoring, Backups, Speicherplatz, Logs, Zertifikate, Dienste und Hardwarezustand
Organisatorisch geht es um Verantwortlichkeiten, Wartungsfenster, Freigaben, Dokumentation und Eskalationswege

Für österreichische KMU bietet das IT- Sicherheitshandbuch für KMU eine hilfreiche Orientierung, weil es unter anderem Risikomanagement, rechtliche Vorgaben, Netzwerksicherheit, Datensicherung und Notfallwiederherstellung behandelt.

Gerade in kleineren und mittleren Unternehmen wird Wartung oft nebenbei erledigt. Das funktioniert kurzfristig, wird aber riskant, sobald mehrere Systeme voneinander abhängig sind. Ein voller Datenträger, ein nicht getestetes Backup oder ein ungepatchter Dienst kann dann reichen, um den Betrieb zu stören.

Eine sinnvolle Server Wartung besteht deshalb aus festen Routinen:

tägliche Kurzchecks für Monitoring, Backups und Speicherplatz
wöchentliche Prüfungen für Rechte, Logs, Hardware und Restore-Stichproben
monatliche Wartung für Updates, Performance und Dokumentation
jährliche Tests für Notfallwiederherstellung, Compliance und Lifecycle-Planung

Warum ist regelmäßige Server Wartung wichtig?

Regelmäßige Server Wartung reduziert Ausfälle, Sicherheitsrisiken und Datenverlust. Sie sorgt dafür, dass Warnsignale früh erkannt, Updates kontrolliert eingespielt und Backups tatsächlich wiederherstellbar sind.

Ohne feste Wartung entstehen typische Probleme: Speicher läuft voll, Dienste fallen aus, Zertifikate laufen ab, Patches bleiben offen, Logmeldungen werden übersehen oder Backups melden zwar Erfolg, lassen sich im Ernstfall aber nicht sauber wiederherstellen.

Eine zentrale Rolle spielt dabei Monitoring. Es zeigt frühzeitig, ob Server erreichbar sind, Ressourcen knapp werden, Backups fehlschlagen oder kritische Dienste ausfallen. Entscheidend ist aber nicht nur das Monitoring selbst, sondern ein klarer Prozess dahinter: Wer bewertet Warnmeldungen, wer reagiert bei kritischen Alerts und wie werden Maßnahmen dokumentiert?

Für Unternehmen ist das nicht nur ein technisches Problem. Serverausfälle können Arbeitsprozesse blockieren, Kundenkommunikation stören, Warenwirtschaftssysteme lahmlegen oder Produktionsabläufe verzögern. Je länger Systeme nicht verfügbar sind, desto höher werden Kosten und Aufwand.

Regelmäßige Wartung hilft bei drei zentralen Zielen:

Verfügbarkeit: Systeme bleiben erreichbar und leistungsfähig.
Sicherheit: Schwachstellen werden schneller geschlossen.
Wiederherstellbarkeit: Daten und Systeme können im Ernstfall zurückgespielt werden.
Nachvollziehbarkeit: Änderungen, Prüfungen und Vorfälle werden dokumentiert.

Besonders wichtig ist die Dokumentation, wenn personenbezogene Daten verarbeitet werden oder interne Nachweispflichten bestehen. Wartung sollte nicht nur durchgeführt, sondern auch belegbar sein.

Welche Aufgaben gehören zur Server Wartung?

Zur Server Wartung gehören Monitoring, Patchmanagement, Backup-Kontrolle, Restore-Tests, Logfile-Analyse, Speicherplatzprüfung, Performance-Kontrolle, Rechteprüfung, Hardwareprüfung und Dokumentation.

Die genaue Aufgabenliste hängt von der Serverumgebung ab. Ein einzelner Dateiserver hat andere Anforderungen als eine virtualisierte Umgebung mit mehreren Hosts, Datenbanken, Microsoft-365-Anbindung und zentralem Backup-System. Trotzdem gibt es Kernaufgaben, die in fast jedem Unternehmen relevant sind.

Server-Wartung-Checkliste nach Intervallen

Eine Server-Wartung-Checkliste sollte nach festen Intervallen aufgebaut sein. Nicht jede Aufgabe muss täglich erledigt werden. Entscheidend ist, dass kritische Punkte regelmäßig geprüft, Abweichungen dokumentiert und notwendige Maßnahmen klar zugewiesen werden.

 Für KMU hat sich ein gestuftes Modell bewährt: tägliche Kurzchecks für akute Risiken, wöchentliche Prüfungen für Sicherheit und Storage, monatliche Wartung für Updates und Performance sowie jährliche Tests für Notfallfähigkeit, Compliance und Lifecycle-Planung.

Jede Prüfung sollte ein klares Ergebnis haben: unauffällig, Warnung, kritisch oder Maßnahme erforderlich. So wird aus der Checkliste kein bloßes Kontrollblatt, sondern ein praktisches Werkzeug für den laufenden IT-Betrieb.

Tägliche Server Wartung

Die tägliche Server Wartung ist ein kurzer technischer Kontrollgang. Sie sollte in KMU meist 10 bis 15 Minuten dauern und die wichtigsten Risiken abdecken: Monitoring, Backup-Status, Speicherplatz, kritische Dienste und offene Alerts.

Täglich sollten vor allem diese Punkte geprüft werden:

Erreichbarkeit der Server
CPU- und RAM-Auslastung
freier Speicherplatz auf System- und Datenvolumes
Status zentraler Dienste
Backup-Status und auffällige Laufzeiten
offene Warnungen und kritische Alerts
sicherheitsrelevante Ereignisse und wiederkehrende Logfehler

Wichtig ist, dass Warnungen nicht nur angezeigt, sondern auch bewertet werden. Ein Monitoring-Dashboard bringt wenig, wenn unklar ist, wer bei kritischen Meldungen reagiert und wann eskaliert wird.

Beim Backup reicht der Status „erfolgreich“ allein nicht aus. Auch Laufzeit, Datenmenge, Warnungen und freier Speicher am Backup-Ziel sollten plausibel sein. Starke Abweichungen können auf geänderte Datenpfade, neue Datenmengen oder technische Probleme hinweisen.

Wöchentliche Server Wartung

Die wöchentliche Server Wartung vertieft die täglichen Kurzchecks. Hier geht es um Prüfungen, die etwas mehr Zeit benötigen, aber nicht jeden Tag durchgeführt werden müssen. Dazu gehören Rechte, Logs, Hardwarezustand, Storage und Restore-Stichproben.

Wöchentlich sollten insbesondere diese Punkte geprüft werden:

Administratorgruppen und privilegierte Konten
neue, geänderte oder verwaiste Benutzerkonten
Remote-Zugänge und VPN-Berechtigungen
auffällige Logereignisse und wiederkehrende Fehler
SMART-Werte, RAID-Status und Storage-Auslastung
Datastore-Kapazität bei virtualisierten Servern
stichprobenartige Wiederherstellung einzelner Dateien oder Ordner

Besonders wichtig sind Restore-Stichproben. Viele Unternehmen prüfen zwar den Backup-Job, testen aber nicht regelmäßig die Wiederherstellung. Erst ein Restore-Test zeigt, ob Daten im Ernstfall tatsächlich nutzbar zurückgeholt werden können.

Das Ergebnis sollte dokumentiert werden: Was wurde wiederhergestellt, wie lange hat es gedauert, war die Datei oder Anwendung nutzbar und gab es Abweichungen? Diese Nachweise sind im Störfall deutlich wertvoller als ein reiner Backup-Status.

Monatliche Server Wartung

Die monatliche Server Wartung umfasst Aufgaben, die geplant und abgestimmt werden müssen. Dazu gehören Patchmanagement, Performance-Analyse, Kapazitätsplanung und die Pflege der Dokumentation.

Monatlich sollten diese Punkte geprüft werden:

Patch-Stand von Betriebssystemen, Anwendungen und Firmware
verfügbare Sicherheitsupdates und kritische Patches
notwendige Wartungsfenster und Rollback-Möglichkeiten
CPU-, RAM-, Netzwerk- und Storage-Trends
Backup-Laufzeiten und Wachstum der Datenmengen
Systeminventar, Konfigurationen und Verantwortlichkeiten
offene Risiken, Ausnahmen und geplante Maßnahmen

Updates sollten nicht zufällig eingespielt werden. Ein sinnvoller Patchprozess folgt einem klaren Ablauf: Systeme erfassen, Updates bewerten, Abhängigkeiten prüfen, Wartungsfenster festlegen, Rollback vorbereiten und Ergebnis dokumentieren.

Die monatliche Wartung ist außerdem der richtige Zeitpunkt, um Trends zu bewerten. Wenn Datenvolumen, Storage-Latenz oder Backup-Laufzeiten dauerhaft steigen, sollten Maßnahmen geplant werden, bevor daraus ein akutes Problem entsteht.

Jährliche Server Wartung

Die jährliche Server Wartung prüft, ob die gesamte Serverumgebung noch zur Organisation passt. Dabei geht es weniger um einzelne Tagesprobleme, sondern um Notfallfähigkeit, Compliance, Lifecycle-Planung und Architektur.

Jährlich sollten diese Punkte geprüft werden:

größerer Restore-Test oder Disaster-Recovery-Test
Prüfung von RTO und RPO
Aktualisierung des Notfallplans
Prüfung von Rollen, Zuständigkeiten und Eskalationswegen
Review von Sicherheitsrichtlinien und Admin-Zugängen
End-of-Life- und End-of-Support-Systeme
Lizenzstatus und Architekturprüfung
Bewertung der Backup- und Wartungsstrategie

RTO beschreibt, wie schnell ein System nach einem Ausfall wieder verfügbar sein muss. RPO beschreibt, wie viel Datenverlust maximal akzeptabel ist. Beide Werte sollten nicht nur technisch, sondern gemeinsam mit den Fachbereichen definiert werden.

Eine jährliche Wartung ist besonders wichtig, wenn sich Systeme, Mitarbeitende, Standorte oder Geschäftsprozesse verändert haben. Ohne regelmäßigen Review bleibt die Dokumentation oft auf einem alten Stand und hilft im Ernstfall nur eingeschränkt.

Praxis-Hinweis zur Umsetzung

Eine gute Server-Wartung-Checkliste bleibt kurz genug, um im Alltag wirklich genutzt zu werden. Besser sind wenige klare Prüfpunkte mit dokumentierten Ergebnissen als eine lange Liste, die niemand konsequent abarbeitet.

Für Unternehmen, die Wartung, Monitoring und Dokumentation nicht intern abdecken können, ist eine laufende IT-Betreuung sinnvoll. So werden regelmäßige Checks, Eskalationen und Nachweise nicht dem Zufall überlassen, sondern als fester Betriebsprozess organisiert.

FIGULI CONSULTING unterstützt Unternehmen dabei, Server Wartung, Monitoring, Backup-Kontrollen und Dokumentation strukturiert aufzusetzen. Dadurch entstehen klare Zuständigkeiten, nachvollziehbare Wartungsroutinen und ein Betrieb, der nicht erst bei Störungen reagiert.

Server Wartung mit FIGULI CONSULTING besprechen

Backup, Restore-Tests und Protokolle prüfen

Backups sind nur dann zuverlässig, wenn sie regelmäßig geprüft und testweise wiederhergestellt werden. Ein grüner Backup-Status allein beweist nicht, dass Daten im Ernstfall nutzbar sind. Deshalb sollten neben dem Backup-Status auch Backup-Protokolle, Warnmeldungen, Laufzeiten und übersprungene Dateien regelmäßig kontrolliert werden.

Die WKO empfiehlt bei einem Datensicherungskonzept schriftlich festzulegen, welche Daten wann, von wem und in welchen Intervallen gesichert werden und wer Wiederherstellungstests überprüft.

Typische Backup-Probleme entstehen durch geänderte Pfade, abgelaufene Zugangsdaten, fehlenden Speicher, beschädigte Repositories, übersprungene Dateien oder nicht gesicherte neue Systeme. Deshalb gehört Backup-Kontrolle fest zur Server Wartung.

Wenn Serverdienste mit Microsoft 365 zusammenspielen, sollte zusätzlich geprüft werden, ob geschäftskritische Cloud-Daten ausreichend gesichert und wiederherstellbar sind.

Wie prüft man Backups zuverlässig?

Backups prüft man zuverlässig durch Kontrolle von Jobstatus, Warnungen, Laufzeiten, Datenmengen, Repository-Kapazität und regelmäßige Restore-Tests.

Wichtige Prüfpunkte sind:

Sind alle geplanten Jobs gelaufen?
Gibt es Warnungen oder übersprungene Dateien?
Ist die Datenmenge plausibel?
Hat sich die Laufzeit stark verändert?
Ist das Backup-Ziel erreichbar?
Reicht die Kapazität im Repository?
Werden neue Server automatisch oder manuell in den Sicherungsplan aufgenommen?
Wurden Wiederherstellungen getestet?

Restore-Tests sollten nicht nur technisch, sondern fachlich bewertet werden. Eine wiederhergestellte Datei ist nur dann hilfreich, wenn sie vollständig, aktuell genug und verwendbar ist.

Wie prüft man Serverprotokolle sinnvoll?

Serverprotokolle sollten nach kritischen Ereignissen, wiederkehrenden Fehlern und sicherheitsrelevanten Änderungen gefiltert werden.

Sinnvolle Kategorien sind:

Anmeldefehler
Rechteänderungen
Dienstabstürze
Systemneustarts
Festplatten- und Storage-Fehler
Backup-Fehler
Datenbankfehler
blockierte oder auffällige Netzwerkzugriffe
Warnungen von Sicherheitssoftware

Wichtig ist ein praktikabler Prozess. Niemand liest täglich alle Logs manuell vollständig durch. Besser sind klare Filter, Schwellenwerte und Eskalationsregeln.

Patchmanagement und Updates richtig planen

Patchmanagement ist ein zentraler Bestandteil der Server Wartung. Es sorgt dafür, dass Sicherheitsupdates und wichtige Fehlerbehebungen kontrolliert eingespielt werden.

Schlechtes Patchmanagement zeigt sich oft an zwei Extremen: Entweder werden Updates zu lange verschoben oder sie werden ohne Test und ohne Wartungsfenster eingespielt. Beides ist riskant.

Ein guter Patchprozess kombiniert Sicherheit und Betriebssicherheit. Kritische Updates müssen schnell bewertet werden, dürfen aber nicht unkontrolliert zentrale Systeme stören.

Server Wartung sollte dabei auch mit Endpoint Security zusammengedacht werden. Kompromittierte Endgeräte, fehlende Updates und schwache Rechtekonzepte wirken häufig zusammen und erhöhen das Risiko für Sicherheitsvorfälle.

Welche Systeme sollten beim Patchmanagement priorisiert werden?

Priorisiert werden sollten internetexponierte Systeme, Remote-Zugänge, VPN, Firewalls, Domain Controller, Backup-Server, Datenbanken, Webserver und Systeme mit sensiblen Daten.

Die Priorität ergibt sich aus Risiko und Kritikalität:

Ist das System direkt aus dem Internet erreichbar?
Gibt es bekannte kritische Schwachstellen?
Hängen viele Geschäftsprozesse daran?
Werden personenbezogene oder sensible Daten verarbeitet?
Gibt es Abhängigkeiten zu anderen Diensten?
Gibt es einen getesteten Rollback-Plan?

Für weniger kritische Systeme kann ein monatlicher Patchzyklus reichen. Für kritische Sicherheitslücken kann ein schnelleres Wartungsfenster notwendig sein.

Was gehört in einen Rollback-Plan?

Ein Rollback-Plan beschreibt, wie ein System nach einem fehlerhaften Update wieder in einen funktionierenden Zustand gebracht wird.

Dazu gehören:

aktuelles Backup oder Snapshot vor der Änderung
klare Entscheidungskriterien für Abbruch oder Rücknahme
Zuständigkeit für die Entscheidung
geschätzte Wiederherstellungszeit
Prüfung nach dem Rollback
Dokumentation der Ursache

Snapshots sind hilfreich, ersetzen aber keine Backup-Strategie. Sie sollten kontrolliert eingesetzt und nach erfolgreicher Wartung wieder entfernt werden.

Server Wartung für Windows, Linux und virtuelle Server

Die Grundprinzipien der Server Wartung sind überall gleich. Unterschiede gibt es bei Tools, Updateprozessen, Logs und Plattformrisiken.

Das gilt für physische Server genauso wie für virtuelle Maschinen, weil Ausfälle sowohl durch Hardwareprobleme als auch durch fehlerhafte Updates, volle Datenspeicher oder falsch konfigurierte Dienste entstehen können.

Windows-Server, Linux-Server und virtuelle Umgebungen sollten deshalb nicht komplett getrennt betrachtet werden. Viele Ausfälle entstehen durch Abhängigkeiten zwischen Host, Gast, Storage, Netzwerk und Anwendung.

Bei virtualisierten Umgebungen wie Proxmox sollten zusätzlich Cluster, Hosts, Storage, Snapshots und Hochverfügbarkeit gemeinsam betrachtet werden.

Was ist bei Windows Servern wichtig?

Bei Windows Servern sind Updates, Active Directory, Gruppenrichtlinien, Dienste, Ereignisanzeige, Zertifikate und Rechte besonders wichtig.

Typische Prüfpunkte sind:

Windows Updates und Patch-Status
Ereignisanzeige mit System-, Security- und Anwendungslogs
Active Directory Replikation
DNS und DHCP
Gruppenrichtlinien
Zertifikatslaufzeiten
Dienstkonten
lokale Administratoren
Backup-Agenten
Speicherplatz und Volumeschattenkopien

In Microsoft-Umgebungen sollte auch geprüft werden, ob Abhängigkeiten zu Microsoft 365, Azure, Exchange Online oder lokalen Anwendungen bestehen.

Was ist bei Linux Servern wichtig?

Bei Linux Servern stehen Paketupdates, Dienste, Logs, Rechte, SSH-Zugänge, Cronjobs, Speicherplatz und Systemressourcen im Fokus.

Typische Prüfpunkte sind:

Paketupdates und Security Patches
laufende Dienste
SSH-Konfiguration
Benutzer- und sudo-Rechte
Logdateien unter /var/log
Cronjobs und geplante Tasks
Speicherplatz und Inodes
Firewall-Regeln
Zertifikate
Backup-Skripte und Agenten

Wichtig ist eine saubere Dokumentation von manuellen Anpassungen. Gerade Linux-Systeme laufen oft sehr stabil, werden dadurch aber manchmal zu selten geprüft.

Was ist bei virtuellen Servern wichtig?

Bei virtuellen Servern müssen Host, Storage, Netzwerk, Snapshots, Ressourcenverteilung und Hochverfügbarkeit gemeinsam geprüft werden.

Wichtige Punkte sind:

Zustand der Virtualisierungshosts
Auslastung von CPU und RAM
Storage-Latenz
freie Kapazität auf Datastores
Snapshot-Alter und Snapshot-Größe
HA- und Clusterstatus
Backup-Integration
Netzwerkpfade und VLANs
Wartungsmodus bei Hosts
Ressourcenreservierungen und Overcommitment

Ein häufiger Fehler ist, nur die virtuelle Maschine zu prüfen, aber Host und Storage zu übersehen. Genau dort entstehen viele Performance- und Ausfallprobleme.

Typische Fehler bei der Server Wartung

Typische Fehler bei der Server Wartung sind fehlende Wartungsfenster, unklare Zuständigkeiten, nicht getestete Backups, veraltete Dokumentation, ignorierte Alerts und ungeplante Updates.

Viele Probleme sind weniger technisch als organisatorisch. Die beste Checkliste bringt wenig, wenn niemand verantwortlich ist oder Ergebnisse nicht dokumentiert werden.

Die häufigsten Fehler

Wartung erfolgt nur bei Problemen
Updates werden dauerhaft verschoben
Backups werden nicht wiederhergestellt getestet
Monitoring-Alerts bleiben unbearbeitet
Dokumentation ist veraltet
Adminrechte werden nicht regelmäßig geprüft
Snapshots bleiben zu lange bestehen
Zertifikate laufen unerwartet ab
Wartung passiert ohne Kommunikation mit Fachbereichen
externe Dienstleister haben keinen klaren Auftrag oder keine SLAs

Wie lassen sich diese Fehler vermeiden?

Diese Fehler lassen sich vermeiden, indem Wartung feste Intervalle, klare Rollen, definierte Eskalationswege und dokumentierte Ergebnisse bekommt.

Praktisch bedeutet das:

Wartungsfenster im Kalender fixieren
Verantwortliche pro System festlegen
Checklisten kurz und realistisch halten
kritische Punkte als Ticket erfassen
Restore-Tests regelmäßig durchführen
Änderungen dokumentieren
Monitoring mit Eskalation verbinden
Reports regelmäßig auswerten

Interne oder externe Server Wartung?

Ob Server Wartung intern oder extern erfolgen sollte, hängt von Know-how, Ressourcen, Verfügbarkeit und Kritikalität der Systeme ab. Viele KMU profitieren von einem hybriden Modell.

Intern sollten fachliche Prioritäten, Freigaben und geschäftliche Anforderungen bleiben.

Externe IT-Partner können Monitoring, Routinechecks, Patchmanagement, Backup-Prüfungen und Spezialthemen übernehmen.

Wann ist interne Server Wartung sinnvoll?

Interne Server Wartung ist sinnvoll, wenn ausreichend Fachwissen, Zeit und Vertretung vorhanden sind.

Das setzt voraus:

klare Verantwortlichkeiten
dokumentierte Prozesse
Erfahrung mit Serverbetrieb
Zeit für regelmäßige Checks
Zugriff auf Monitoring und Backup-Systeme
Vertretungsregelung bei Urlaub oder Krankheit
Eskalationsplan für kritische Vorfälle

Fehlt einer dieser Punkte, entstehen schnell Lücken.

Wann ist interne Server Wartung sinnvoll?

Externe Server Wartung ist sinnvoll, wenn internes Know-how fehlt, Reaktionszeiten verbessert werden sollen oder eine laufende Überwachung benötigt wird.

Ein externer Partner sollte liefern:

klare Leistungsbeschreibung
definierte SLAs
regelmäßiges Reporting
dokumentierte Wartungsergebnisse
sauberes Zugriffskonzept
transparente Kommunikation
nachvollziehbares Ticketing
Erfahrung mit Backup, Security, Netzwerk und Serverbetrieb

Wichtig ist, dass externe Betreuung nicht zur Blackbox wird. Unternehmen sollten verstehen, was geprüft wurde, welche Risiken bestehen und welche Maßnahmen empfohlen werden.

FIGULI CONSULTING unterstützt Unternehmen dabei, interne Zuständigkeiten und externe IT-Betreuung sinnvoll zu verbinden. Dazu gehören regelmäßige Server Wartung, Monitoring, Backup-Kontrollen, Patchmanagement und nachvollziehbare Dokumentation im laufenden Betrieb.

Fazit

Regelmäßige Server Wartung ist eine der wirksamsten Maßnahmen, um Ausfälle, Sicherheitslücken und Datenverlust im Unternehmensalltag zu vermeiden. Entscheidend ist nicht eine möglichst lange Aufgabenliste, sondern ein klarer Wartungsrhythmus: tägliche Kurzchecks, wöchentliche Sicherheits- und Storageprüfungen, monatliches Patchmanagement und jährliche Notfalltests.

Für KMU reicht es nicht, Server erst dann zu prüfen, wenn bereits Probleme auftreten. Monitoring, Backup-Kontrollen, Restore-Tests, Protokollprüfung und Dokumentation müssen als fester Prozess organisiert sein. So werden Risiken früher sichtbar, Änderungen nachvollziehbar und Wiederherstellungen im Ernstfall realistischer planbar.

Wenn intern Zeit, Know-how oder Vertretung fehlen, kann FIGULI CONSULTING dabei unterstützen, Server Wartung strukturiert aufzusetzen oder bestehende Wartungsprozesse zu verbessern. So entsteht ein Betriebskonzept, das technisch funktioniert und im Alltag konsequent umsetzbar bleibt.

Jetzt Server Wartung mit FIGULI besprechen

FAQ zur Server Wartung

Was ist Server Wartung?

Server Wartung ist die regelmäßige Kontrolle, Aktualisierung und Dokumentation von Servern. Dazu gehören Monitoring, Updates, Backup-Prüfung, Restore-Tests, Logfile-Analyse, Speicherplatzkontrolle, Rechteprüfung und Performance-Überwachung.

Wie oft sollte man Server warten?

Server sollten gestuft gewartet werden: täglich mit kurzen Basischecks, wöchentlich mit Sicherheits- und Storageprüfungen, monatlich mit Updates und Performance-Reviews sowie jährlich mit Notfall- und Compliance-Tests. Die genaue Frequenz hängt von Kritikalität, Systemumfang und Betriebsrisiko ab.

Welche Aufgaben gehören zur Server Wartung?

Zur Server Wartung gehören Monitoring, Patchmanagement, Backup-Kontrollen, Restore-Tests, Logfile-Prüfung, Speicherplatzkontrolle, Hardware- und Storage-Checks, Rechteprüfung, Zertifikatskontrolle und Dokumentation.

Warum ist regelmäßige Server Wartung wichtig?

Regelmäßige Server Wartung reduziert Ausfälle, Sicherheitslücken und Datenverlust. Sie hilft, Probleme früh zu erkennen, Updates planbar einzuspielen und Backups regelmäßig auf Wiederherstellbarkeit zu prüfen.

Was sollte täglich bei der Server Wartung geprüft werden?

Täglich sollten Monitoring-Alerts, Backup-Status, Speicherplatz, zentrale Dienste, kritische Logs und Systemverfügbarkeit geprüft werden. Ziel ist, akute Probleme frühzeitig zu erkennen und zu dokumentieren.

Was gehört zur monatlichen Server Wartung?

Zur monatlichen Server Wartung gehören Patchmanagement, Updateplanung, Performance-Analyse, Kapazitätsprüfung, Dokumentationspflege und die Bewertung offener Risiken oder Ausnahmen.

Warum sind Restore-Tests bei der Server Wartung wichtig?

Restore-Tests sind wichtig, weil ein erfolgreicher Backup-Job nicht garantiert, dass Daten im Ernstfall wiederhergestellt werden können. Erst ein Test zeigt, ob Dateien, Ordner oder Systeme tatsächlich nutzbar zurückgespielt werden können.

Sollte Server Wartung intern oder extern erfolgen?

Server Wartung kann intern, extern oder hybrid erfolgen. Intern sollten Prioritäten und Freigaben gesteuert werden. Externe Partner können Monitoring, Routinechecks, Patchmanagement, Backup-Prüfungen und Spezialthemen übernehmen.

Server Maintenance: Checklist for SMEs & Intervals

Sun, 28 Jun 2026 16:35:49 GMT

Server Maintenance: Checklist for SMEs & Intervals

Server maintenance ensures that business-critical systems remain stable, secure, and recoverable. This includes regular checks of monitoring, updates, backups, storage space, logs, user rights, and server performance. This is particularly important for SMEs because server problems often don't stem from a single major error, but rather from many small oversights: unchecked backups, delayed updates, full storage media, ignored warnings, or unclear responsibilities.

Therefore, good server maintenance follows fixed intervals. Daily quick checks identify acute problems, weekly checks reduce security and storage risks, monthly maintenance keeps systems up to date, and annual tests ensure disaster recovery and documentation. This article shows which tasks are truly important, how to structure a practical server maintenance checklist for SMEs, and how companies can determine whether internal support is sufficient or whether external assistance is advisable.

What does server maintenance mean?
Why is regular server maintenance important?
What tasks are involved in server maintenance?
Server maintenance checklist by interval
Checking backups, restore tests, and logs
Properly planning patch management and updates
Server maintenance for Windows, Linux, and virtual servers
Typical server maintenance errors
Internal or external server maintenance?
Conclusion
FAQ about server maintenance

What does server maintenance mean?

Server maintenance means regularly checking, updating, securing, and documenting servers. The goal is stable IT operations with as few unplanned outages as possible.

Server maintenance encompasses both technical and organizational tasks.

Technically , it involves updates, monitoring, backups, storage space, logs, certificates, services, and hardware health. Organizationally, it involves responsibilities , maintenance windows, permissions, documentation, and escalation procedures.

For Austrian SMEs, the IT Security Handbook for SMEs offers helpful guidance, as it covers topics such as risk management, legal requirements, network security, data backup, and disaster recovery.

Especially in small and medium-sized enterprises, maintenance is often done as an afterthought. This works in the short term, but becomes risky as soon as multiple systems are interdependent. A full storage device, an untested backup, or an unpatched service can then be enough to disrupt operations.

Effective server maintenance therefore consists of established routines:

Daily quick checks for monitoring, backups, and storage space
Weekly checks for permissions, logs, hardware, and restore samples
Monthly maintenance for updates, performance, and documentation
Annual tests for disaster recovery, compliance, and lifecycle planning

Why is regular server maintenance important?

Regular server maintenance r educes downtime, security risks, and data loss. It ensures that warning signals are detected early, updates are installed in a controlled manner, and backups can actually be restored.

Without regular maintenance, typical problems arise: storage fills up, services fail, certificates expire, patches remain open, log messages are overlooked, or backups report success but cannot be properly restored in an emergency.

Monitoring plays a central role in this. It shows early on whether servers are reachable, resources are becoming scarce, backups are failing, or critical services are down. However, it's not just the monitoring itself that's crucial, but a clear process behind it: Who evaluates warning messages, who reacts to critical alerts, and how are actions documented?

For companies, this is not just a technical problem. Server outages can block work processes, disrupt customer communication, cripple enterprise resource planning (ERP) systems, or delay production. The longer systems are unavailable, the higher the costs and effort become.

Regular maintenance helps achieve three key goals:

Availability: Systems remain reachable and performant.
Security: Vulnerabilities are closed more quickly.
Recoverability: Data and systems can be restored in case of emergency.
Traceability: Changes, audits, and incidents are documented.

Documentation is particularly important when personal data is processed or when internal audit requirements exist. Maintenance should not only be performed but also verifiable.

What tasks are involved in server maintenance?

Server maintenance includes monitoring, patch management, backup verification, restore testing, log file analysis, storage space checks, performance monitoring, access control, hardware testing, and documentation.

The exact list of tasks depends on the server environment. A single file server has different requirements than a virtualized environment with multiple hosts, databases, Microsoft 365 integration, and a central backup system. Nevertheless, there are core tasks that are relevant in almost every company.

Server maintenance checklist by interval

A server maintenance checklist should be structured according to fixed intervals. Not every task needs to be performed daily. The crucial point is that critical points are regularly reviewed, deviations are documented, and necessary actions are clearly assigned.

For SMEs, a tiered model has proven effective: daily quick checks for acute risks, weekly checks for security and storage, monthly maintenance for updates and performance, and annual tests for disaster recovery, compliance, and lifecycle planning.

Each check should have a clear result: unremarkable, warning, critical, or action required. This transforms the checklist from a mere control sheet into a practical tool for ongoing IT operations.

Daily server maintenance

Daily server maintenance is a brief technical check. In SMEs, it should typically take 10 to 15 minutes and cover the most important risks: monitoring, backup status, storage space, critical services, and open alerts.

The following points should be checked daily:

Server availability
CPU and RAM utilization
Free storage space on system and data volumes
Status of key services
Backup status and unusual runtimes
Open warnings and critical alerts
Security-related events and recurring log errors

It is crucial that warnings are not only displayed but also evaluated. A monitoring dashboard is of little use if it is unclear who reacts to critical messages and when escalation occurs.

For backups, a "successful" status alone is insufficient. Runtime, data volume, warnings, and free storage at the backup destination should also be plausible. Significant deviations can indicate changed data paths, new data volumes, or technical problems.

Weekly server maintenance

Weekly server maintenance builds upon the daily quick checks. It involves checks that require more time but don't need to be performed every day. These include permissions, logs, hardware health, storage, and restore sampling.

The following points, in particular, should be checked weekly:

Administrator groups and privileged accounts
New, modified, or orphaned user accounts
Remote access and VPN permissions
Unusual log events and recurring errors
SMART values, RAID status, and storage utilization
Datastore capacity on virtualized servers
Spotted restores of individual files or folders

Restore sampling is especially important. Many companies check their backup jobs but don't regularly test the restore process. Only a restore test reveals whether data can actually be recovered and used in a critical situation.

The results should be documented: What was restored, how long did it take, was the file or application usable, and were there any discrepancies? In the event of a malfunction, this evidence is significantly more valuable than a mere backup status.

Monthly server maintenance

Monthly server maintenance encompasses tasks that require planning and coordination. These include patch management, performance analysis, capacity planning, and maintaining documentation.

The following points should be reviewed monthly:

Patch status of operating systems, applications, and firmware
Available security updates and critical patches
Necessary maintenance windows and rollback options
CPU, RAM, network, and storage trends
Backup runtimes and data volume growth
System inventory, configurations, and responsibilities
Open risks, exceptions, and planned actions

Updates should not be applied haphazardly. A well-structured patching process follows a clear sequence: system inventory, update evaluation, dependency checks, maintenance windows defined, rollback preparation, and results documented.

Monthly maintenance is also the ideal time to assess trends. If data volumes, storage latency, or backup runtimes are consistently increasing, corrective action should be planned before they escalate into a critical problem.

Annual server maintenance

Annual server maintenance checks whether the entire server environment still fits the organization. It's less about individual day-to-day problems and more about emergency capability, compliance, lifecycle planning and architecture.

These points should be checked annually:

larger restore test or disaster recovery test
Checking RTO and RPO
Emergency plan update
Review of roles, responsibilities and escalation paths
Review of security policies and admin access
End-of-life and end-of-support systems
License status and architecture review
Evaluation of backup and maintenance strategy

RTO describes how quickly a system must be available again after a failure. RPO describes the maximum amount of data loss that is acceptable. Both values should not only be defined technically, but also together with the departments.

Annual maintenance is particularly important if systems, employees, locations or business processes have changed. Without regular reviews, the documentation often remains outdated and is of only limited help in an emergency.

Practical advice on implementation

A good server maintenance checklist stays short enough to really be used in everyday life. It is better to have a few clear checkpoints with documented results than a long list that no one works through consistently.

Ongoing IT support makes sense for companies that cannot cover maintenance, monitoring and documentation internally. This means that regular checks, escalations and evidence are not left to chance, but are organized as a fixed operational process.

FIGULI CONSULTING supports companies in setting up server maintenance, monitoring, backup controls and documentation in a structured manner. This creates clear responsibilities, comprehensible maintenance routines and an operation that does not react until disruptions occur.

Discuss server maintenance with FIGULI CONSULTING

Check backups, restore tests, and logs

Backups are only reliable if they are regularly checked and restored for testing purposes. A green backup status alone does not prove that data will be usable in an emergency. Therefore, in addition to the backup status, backup logs, warning messages, runtimes, and skipped files should also be checked regularly.

The Austrian Federal Economic Chamber (WKO) recommends that a data backup strategy be documented in writing, specifying which data is backed up, when, by whom, and at what intervals, and who is responsible for verifying restore tests.

Typical backup problems arise from changed paths, expired access data, insufficient storage space, corrupted repositories, skipped files, or new systems that are not backed up. Therefore, backup checks are an integral part of server maintenance.

If server services interact with Microsoft 365 , it should also be verified that business-critical cloud data is adequately backed up and recoverable.

How can backups be reliably checked?

Backups are reliably verified by checking job status, warnings, runtimes, data volumes, repository capacity, and regular restore tests.

Important checkpoints include:

Have all scheduled jobs run?
Are there any warnings or skipped files?
Is the data volume plausible?
Has the runtime changed significantly?
Is the backup destination reachable?
Is the repository capacity sufficient?
Are new servers being added to the backup plan automatically or manually?
Have restores been tested?

Restore tests should be evaluated not only technically but also from a business perspective. A restored file is only useful if it is complete, up-to-date, and usable.

How can server logs be effectively reviewed?

Server logs should be filtered for critical events, recurring errors, and security-related changes.

Relevant categories include:

Login errors
Permission changes
Service crashes
System restarts
Hard disk and storage errors
Backup errors
Database errors
Blocked or suspicious network access
Security software alerts

A practical process is essential. No one manually reads all logs every day. Clear filters, thresholds, and escalation rules are much better.

Properly plan patch management and updates

Patch management is a crucial component of server maintenance. It ensures that security updates and critical bug fixes are deployed in a controlled manner.

Poor patch management often manifests itself in two extremes: either updates are postponed for too long, or they are deployed without testing or maintenance windows. Both are risky.

A good patching process combines security and operational reliability. Critical updates must be assessed quickly but must not disrupt core systems uncontrollably.

Server maintenance should also be considered in conjunction with endpoint security . Compromised endpoints, missing updates, and weak access control concepts often interact and increase the risk of security incidents.

Which systems should be prioritized during patch management?

Internet-exposed systems, remote access points, VPNs, firewalls, domain controllers, backup servers, databases, web servers, and systems containing sensitive data should be prioritized.

Priority is determined by risk and criticality:

Is the system directly accessible from the internet?
Are there any known critical vulnerabilities?
Do many business processes depend on it?
Is personal or sensitive data being processed?
Are there dependencies on other services?
Is there a tested rollback plan?

For less critical systems, a monthly patch cycle may suffice. For critical security vulnerabilities, a more frequent maintenance window may be necessary.

What should be included in a rollback plan?

A rollback plan describes how a system will be brought back to a working state after a faulty update.

These include:

current backup or snapshot before the change
Clear decision criteria for cancellation or withdrawal
Responsibility for the decision
estimated recovery time
Check after rollback
Documentation of the cause

Snapshots are helpful, but do not replace a backup strategy. They should be inserted in a controlled manner and removed again after successful maintenance.

Server maintenance for Windows, Linux and virtual servers

The fundamental principles of server maintenance are the same everywhere. Differences lie in the tools used, update processes, logs, and platform risks.

This applies to physical servers as well as virtual machines, because outages can be caused by hardware problems, faulty updates, full storage, or misconfigured services.

Therefore, Windows servers, Linux servers, and virtual environments should not be considered completely separately. Many outages arise from dependencies between the host, guest, storage, network, and application.

In virtualized environments like Proxmox , clusters, hosts, storage, snapshots, and high availability should also be considered together.

What is important for Windows Servers?

For Windows Servers, updates, Active Directory, Group Policy, services, Event Viewer, certificates, and permissions are particularly important.

Typical checkpoints include:

Windows updates and patch status
Event Viewer with system, security, and application logs
Active Directory replication
DNS and DHCP
Group Policy
Certificate expiration dates
Service accounts
Local administrators
Backup agents
Storage space and volume shadow copies

In Microsoft environments, it's also important to check for dependencies on Microsoft 365, Azure, Exchange Online, or on-premises applications.

What is important when it comes to Linux servers?

Linux servers focus on package updates, services, logs, permissions, SSH access, cron jobs, disk space, and system resources.

Typical checkpoints include:

Package updates and security patches
Running services
SSH configuration
User and sudo permissions
Log files in /var/log
Cron jobs and scheduled tasks
Disk space and inodes
Firewall rules
Certificates
Backup scripts and agents

Clean documentation of manual modifications is crucial. Linux systems, in particular, often run very stably, but this sometimes leads to infrequent checks.

What is important when it comes to virtual servers?

Virtual servers require a comprehensive review of the host, storage, network, snapshots, resource allocation, and high availability.

Key aspects to consider include:

Health of the virtualization hosts
CPU and RAM utilization
Storage latency
Free capacity on datastores
Snapshot age and size
HA and cluster status
Backup integration
Network paths and VLANs
Maintenance mode on hosts
Resource reservations and overcommitment

A common mistake is to only review the virtual machine while neglecting the host and storage. This is precisely where many performance and failure issues originate.

Typical server maintenance errors

Typical server maintenance mistakes include missing maintenance windows, unclear responsibilities, untested backups, outdated documentation, ignored alerts, and unplanned updates.

Many problems are less technical than organizational. The best checklist is of little use if no one is accountable or if results aren't documented.

The most common mistakes

Maintenance is only performed when problems arise.
Updates are indefinitely postponed.
Backups are not restored or tested.
Monitoring alerts remain unaddressed.
Documentation is outdated.
Admin rights are not regularly checked.
Snapshots are retained for too long.
Certificates expire unexpectedly.
Maintenance is performed without communication with relevant departments.
External service providers lack a clear mandate or SLAs.

How can these mistakes be avoided?

These errors can be avoided by ensuring maintenance has fixed intervals, clear roles, defined escalation paths, and documented results.

In practice, this means:

Schedule maintenance windows in the calendar
Assign responsibility for each system
Keep checklists short and realistic
Create critical issues as tickets
Perform restore tests regularly
Document changes
Link monitoring with escalation
Evaluate reports regularly

Internal or external server maintenance?

Whether server maintenance should be performed internally or externally depends on expertise, resources, system availability, and criticality. Many SMEs benefit from a hybrid model.

Internally , technical priorities, approvals, and business requirements should remain in place.

External IT partners can handle monitoring, routine checks, patch management, backup audits, and specialized tasks.

When is internal server maintenance advisable?

In-house server maintenance is only worthwhile if sufficient expertise, time, and backup are available.

This requires:

clear responsibilities
documented processes
experience with server operations
time for regular checks
access to monitoring and backup systems
a backup plan for vacation or illness
an escalation plan for critical incidents

If any of these elements are missing, gaps can quickly arise.

When is internal server maintenance advisable?

Outsourcing server maintenance is beneficial when internal expertise is lacking, response times need to be improved, or ongoing monitoring is required.

An external partner should provide:

a clear service description
defined SLAs
regular reporting
documented maintenance results
a well-defined access control concept
transparent communication
traceable ticketing
experience with backup, security, network, and server operations

It's crucial that external support doesn't become a black box. Companies should understand what was checked, what risks exist, and what measures are recommended.

FIGULI CONSULTING helps companies effectively combine internal responsibilities with external IT support . This includes regular server maintenance, monitoring, backup checks, patch management, and transparent documentation during operation.

Conclusion

Regular server maintenance is one of the most effective measures to prevent outages, security vulnerabilities, and data loss in everyday business operations. The key is not a long to-do list, but a clear maintenance schedule: daily quick checks, weekly security and storage audits, monthly patch management, and annual disaster recovery tests.

For SMEs, it's not enough to only check servers when problems arise. Monitoring, backup checks, restore tests, log review, and documentation must be organized as a fixed process. This allows risks to be identified earlier, changes to be tracked, and recovery in an emergency to be planned more realistically.

If internal time, expertise, or coverage is lacking, FIGULI CONSULTING can help you set up structured server maintenance or improve existing maintenance processes. This results in an operational concept that is technically sound and consistently implementable in daily practice.

Discuss server maintenance with FIGULI now.

FAQ about server maintenance

What is server maintenance?

Server maintenance is the regular checking, updating and documentation of servers. This includes monitoring, updates, backup checks, restore tests, log file analysis, storage space control, rights checks and performance monitoring.

How often should you maintain servers?

Servers should be maintained in stages: daily with short basic checks, weekly with security and storage checks, monthly with updates and performance reviews, and annually with emergency and compliance tests. The exact frequency depends on criticality, system size and operational risk.

What tasks are involved in server maintenance?

Server maintenance includes monitoring, patch management, backup controls, restore tests, log file checks, storage space checks, hardware and storage checks, rights checks, certificate checks and documentation.

Why is regular server maintenance important?

Regular server maintenance reduces downtimes, security gaps and data loss. It helps to identify problems early, install updates in a planned manner and regularly check backups for restorability.

What should be checked daily during server maintenance?

Monitoring alerts, backup status, storage space, central services, critical logs and system availability should be checked daily. The aim is to identify and document acute problems at an early stage.

What is included in monthly server maintenance?

Monthly server maintenance includes patch management, update planning, performance analysis, capacity checks, documentation maintenance and the assessment of open risks or exceptions.

Why are restore tests important in server maintenance?

Restore testing is important because a successful backup job does not guarantee that data can be restored in an emergency. Only a test shows whether files, folders or systems can actually be restored in a usable manner.

Should server maintenance be done internally or externally?

Server maintenance can be done internally, externally or hybrid. Priorities and approvals should be controlled internally. External partners can take over monitoring, routine checks, patch management, backup checks and special topics.

Microsoft 365 Backup: External backup for SMEs

Sun, 28 Jun 2026 16:09:59 GMT

Microsoft 365 Backup: Why external backup is important for SME's

Microsoft 365 backup is crucial for SMEs because business-critical data in Exchange Online, OneDrive, SharePoint, and Teams is not automatically and fully backed up externally. While Microsoft provides a highly available cloud platform, high availability is no substitute for independent data backup.

In practice, data loss often occurs not due to a Microsoft outage, but rather due to accidental deletion, sync errors, compromised accounts, ransomware, incorrect permissions, or faulty automations. Without an external backup, recovery can be slow, incomplete, or even impossible.

This article explains why Microsoft 365 alone does not replace a complete backup, which data should be backed up, and what SMEs need to consider regarding RPO, RTO, restore testing, vendor selection, and compliance. You will also learn how FIGULI CONSULTING can support you in implementing a practical backup strategy.

Is Microsoft 365 Backup automatically included?
Shared Responsibility: Who is responsible for Microsoft 365 data?
Common causes of data loss in Microsoft 365
Which Microsoft 365 data should be backed up?
Retention, archiving, and backup: What's the difference?
Setting up Microsoft 365 Backup: Best practices for SMEs
Vendor selection, costs, and compliance
Conclusion
FAQ: Microsoft 365 Backup

Is Microsoft 365 Backup automatically included?

Many companies assume that their data in Microsoft 365 is automatically and fully backed up. In reality, Microsoft primarily protects the availability of the platform. However, a complete backup that can independently restore deleted, corrupted, or encrypted data is not a standard feature.

The Recycle Bin, versioning, and retention policies are helpful, but they don't replace an external backup. They operate within defined limits and depend on licenses, configurations, retention periods, and user permissions. This creates a gap for small and medium-sized enterprises (SMEs) between "data is in the cloud" and "data can be reliably restored in an emergency."

An external Microsoft 365 backup creates independent restore points. This allows emails, files, SharePoint libraries, or Teams data to be restored even if accounts have been compromised, retention periods have expired, or data has been altered by errors.

Important: High availability means that Microsoft 365 is reliably accessible. However, it does not guarantee that accidentally deleted, manipulated, or encrypted data can always be fully recovered.

What misconceptions lead companies to forgo external backups?

Many companies forgo external Microsoft 365 backups because they confuse cloud storage with data backup. While Microsoft 365 offers high availability, it doesn't automatically protect against all data loss. The Recycle Bin, versioning, and retention policies can help in certain situations, but they don't replace an independent backup.

Typical misconceptions include:

"Microsoft backs everything up anyway."
"The Recycle Bin is sufficient for deleted files."
"Versioning protects against overwriting."
"Ransomware only affects local servers."
"A restore will be possible somehow in an emergency."

These assumptions, in particular, lead to poorly defined restore destinations, retention periods, and responsibilities. An external backup closes this gap because it provides its own restore points and clearly defined restore processes.

Why is high availability not a backup?

High availability means that services such as Exchange Online, SharePoint or Teams generally remain accessible. This protects against platform failures, but not automatically against data loss at the content level. If a file has been deleted, overwritten or encrypted, the service can still be available - only the required content is missing.

A backup has a different goal: it provides a separate copy from which individual emails, files, folders, sites or entire workloads can be restored to a previous state.

What are the consequences of not having a Microsoft 365 backup?

Without an external backup, data loss quickly becomes an operational problem. Deleted emails are missing from customer communications, SharePoint libraries are incomplete, OneDrive files are overwritten, or Teams data is no longer traceable.

A typical example: An employee accidentally deletes a project folder in SharePoint. The error isn't noticed until weeks later. If the recycle bin, versioning, or retention periods no longer apply, the original state often cannot be fully restored without an external backup.

Possible consequences:

Extended downtime due to manual reconstruction
Missing documentation for business-critical communications
Higher costs due to incident handling
Loss of productivity in teams and projects
Risk of permanent data loss after the retention period expires

Microsoft Standard vs. External Backup: A Comparison

Shared Responsibility: Who is responsible for Microsoft 365 data?

The Shared Responsibility Model describes the division of responsibilities between Microsoft and the company. Microsoft operates the cloud platform, provides services, and ensures infrastructure, availability, and numerous security mechanisms. However, the responsibility for data, users, permissions, configurations, and recovery processes remains with the company. Microsoft explains this responsibility model in detail in the Shared Responsibility Model .

This distinction is crucial for SMEs. Microsoft ensures that Microsoft 365 functions as a platform. However, this does not mean that every deleted file, mailbox, or SharePoint site can be independently and indefinitely restored.

Therefore, an external Microsoft 365 backup is the company's responsibility. It complements the standard Microsoft features with separate

backups, custom restore points, and traceable recovery processes.

What will Microsoft take over – and what will remain with the company?

Microsoft provides the Microsoft 365 services and ensures the platform's fundamental availability and secure operation. This includes infrastructure, data centers, service availability, and numerous platform-level security mechanisms.

However, the company remains responsible for its own usage. This includes user accounts, permissions, data classification, retention policies, security guidelines, and how data is restored after errors or attacks. Therefore, external backups fall under the company's responsibility.

Microsoft: Platform, infrastructure, service operation, basic security
Company: Data, users, access, configuration, backup and restore
Service provider: Can support implementation, monitoring, and ongoing operation

Which recovery scenarios does Microsoft not fully cover?

Microsoft 365 offers standard features like the Recycle Bin, versioning, and retention policies. These help in simple cases, but they don't replace an independent backup. The situation becomes critical when data is deleted after it has been discovered, entire SharePoint sites are affected, user accounts have been compromised, or data needs to be restored to a clean point in time after a ransomware attack.

An external backup is especially important when restores need to be performed independently of the tenant state, over extended periods, or with clearly defined target times.

Why are admin errors and compromised accounts particularly critical?

Many data losses don't result from a Microsoft outage, but rather from misconfigurations or compromised accounts. Examples include overly broad permissions, incorrectly set retention rules, accidentally deleted SharePoint libraries, or automated processes that move or overwrite data.

Administrator accounts are particularly critical because they have extensive privileges. If such an account is compromised, attackers can not only delete or modify data, but also manipulate security and retention rules. Therefore, production administration and backup access should be secured separately.

To determine which backup responsibilities are currently unavailable in your Microsoft 365 environment, a brief inventory with clear recovery goals is helpful.

Check your Microsoft 365 backup

Which Microsoft 365 data should be backed up?

A Microsoft 365 backup should not only back up individual files, but also all business-critical data and services. In Microsoft 365, information is distributed across various workloads such as Exchange Online, OneDrive, SharePoint, and Microsoft Teams. These services work closely together and form the basis of many business processes.

Therefore, it's not just the content of a file that matters. Folder structures, permissions, versions, calendars, contacts, metadata, and team structures can also be crucial for business operations. A backup that simply copies files is often insufficient.

For SMEs, it's advisable to prioritize backups based on their business impact: Which data is needed daily? Which information is essential for customer projects, accounting, or compliance requirements? The scope of the data backup should be derived precisely from these answers.

Exchange Online: Emails, calendars, contacts, and mailbox structures
OneDrive for Business: Files, versions, and shares
SharePoint Online: Sites, document libraries, lists, and permissions
Microsoft Teams: Channels, files, and linked Microsoft 365 data

FIGULI CONSULTING helps companies identify business-critical Microsoft 365 data and develop a backup strategy that aligns with their actual business processes.

Exchange Online: Which data should be backed up?

Exchange Online often handles a large portion of business communication. Offers, orders, contract negotiations, customer inquiries, and internal approvals are usually conducted via email. Therefore, it's essential to back up not just individual messages, but entire mailboxes, including calendars, contacts, and folder structures.

Especially in cases of accidental deletions, compromised accounts, or migrations, an external backup allows for the targeted restoration of individual items or entire mailboxes.

OneDrive for Business: Which data should be backed up?

OneDrive for Business is often used to store work documents, project files, and employees' personal files. Because content is automatically synced across different devices, errors or accidental changes can be quickly propagated to all connected devices.

An external backup protects against sync errors, accidental deletions, or overwritten files and allows for the restoration of previous data states—regardless of the device's condition.

SharePoint Online: Which data should be backed up?

SharePoint Online serves as the central platform for documents, projects, and collaboration in many companies. Those who manage documents entirely digitally also benefit from a structured, paperless office . In addition to files, sites, document libraries, lists, permissions, and versions are business-critical.

Data loss therefore often affects not just individual documents, but entire project structures and access rights. A complete backup should therefore also include metadata and permissions.

Microsoft Teams: Which data should be backed up?

Microsoft Teams bundles various Microsoft 365 services. Files are typically stored in SharePoint, meetings access Exchange, and Teams itself manages channels, members, and permissions. Therefore, Teams should not be considered in isolation.

A complete backup includes files, team structures, and the associated Microsoft 365 objects. This is the only way to fully restore projects after an incident.

Before setting up a backup, you should determine which Microsoft 365 data is business-critical for your company. A structured analysis prevents unnecessary backups and closes potentially dangerous security gaps.

Common causes of data loss in Microsoft 365

Data loss in Microsoft 365 rarely results from a complete platform outage.

More often, everyday causes are at play:

Files are deleted
OneDrive synchronizes faulty changes
SharePoint permissions are incorrectly set
A compromised account modifies large amounts of data

The biggest problem is often not the initial error, but the time it takes to discover it. When the Recycle Bin, versioning, or retention periods fail, an external Microsoft 365 backup can provide the crucial point of recovery.

Accidental deletion and overwriting

Deleted emails, removed folders, or overwritten files often go unnoticed until later. The Microsoft Recycle Bin helps in simple cases, but only within certain limits. An external backup provides additional restore points and reduces the risk of permanent data loss.

Ransomware, sync errors, and compromised accounts

Ransomware doesn't just affect local servers. If encrypted or manipulated files are synchronized via OneDrive, the damage can spread to SharePoint and Teams. Protecting the endpoints used is equally important. You can learn more about this in the article Endpoint Security .

Compromised accounts can also delete, move, or modify data.

The risk can be significantly reduced, among other things, by consistently using multi-factor authentication .

An external backup helps because clean versions from before the incident can be restored. Separate backup access points, immutable backups, and regular restore tests are essential.

Misconfigurations, insider risks, and expired deadlines

Data loss can also occur due to incorrectly configured permissions, insufficient retention periods, or faulty automations. Accounts with elevated privileges are particularly critical because they can modify or delete large areas of data.

Therefore, a Microsoft 365 backup should be scheduled independently of production permissions. Backup retention, restore rights, and logging must be defined separately and regularly reviewed.

Storage, archiving and backup: What's the difference?

Retention, archiving, and backup are often confused in Microsoft 365, but they serve different purposes. Retention keeps data within the Microsoft 365 environment according to rules. Archiving provides long-term, searchable storage. Backup creates an independent copy to restore data after errors, attacks, or deletions.

This distinction is important for small and medium-sized enterprises (SMEs): compliance and recovery are not the same. A retention policy can keep content available for longer, but it doesn't replace an external backup with its own restore points.

When is retention sufficient – and when is an additional backup necessary?

Retention is sufficient if content only needs to be stored for defined periods. However, as soon as precise recovery, rapid bulk restores, or independent backup points are required, an external backup is necessary.

Retention: good for storage and easy retrieval
Backup: necessary for independent recovery
Combination: beneficial for compliance and operational reliability

Why don't eDiscovery and Legal Hold replace a backup?

eDiscovery and Legal Hold primarily serve to keep content discoverable and secure for audits, internal investigations, or legal proceedings. They are not intended for quickly restoring operations after data loss.

A backup complements these functions because it enables operational recovery: individual emails, files, folders, mailboxes, or sites can be selectively restored.

Setting up Microsoft 365 Backup: Best Practices for SMEs

A good backup strategy doesn't start with the tool, but with clear goals. What is crucial is the maximum amount of data loss that is acceptable, how quickly data must be available again and who will authorize recovery in an emergency.

For SMEs, Microsoft 365 backup should be planned pragmatically. Not every file is equally critical. Email communications, project files, SharePoint libraries, and Teams data should be prioritized based on business impact.

Technically, automated backups, sufficiently long storage, separate admin rights and regular restore tests count. Only then does a backup become a reliable recovery process.

How can RPO and RTO be defined in an understandable way?

RPO describes the acceptable amount of data loss over time.

Example: If the RPO is four hours, then in a critical situation, no more than four hours of data may be lost.

RTO describes how quickly data or services must be restored.

Example: If the RTO is two hours, recovery must be completed within this timeframe.

What backup frequency is realistic?

The backup frequency depends on how often data changes and how critical it is to operations. Heavily used SharePoint libraries or OneDrive work folders often require more frequent backups than rarely used archives.

The retention period is also important. Errors aren't always detected immediately. Therefore, backup retention should be planned for a longer period than just for the short term when data is deleted.

What backup frequency is realistic?

The retention period is also important. Errors aren't always detected immediately. Therefore, backup retention should be planned for a longer period than just for the short term when data is deleted.

How do you organize restore tests, roles, and approvals?

A backup is only as good as its restore. Therefore, restore tests should be performed regularly and documented. Various scenarios should be tested: a single email, a OneDrive folder, a SharePoint site, or a bulk restore after an incident.

Roles must also be clearly defined: Who is authorized to request a restore, who approves it, who performs it, and how is the result documented?

Checklist: Microsoft 365 Backup for SMEs

Prioritize the most important workloads
Define RPO and RTO
Define backup frequency and retention
Separate backup access from production administrators
Document restore tests
Clarify responsibilities and approvals

Provider selection, costs and compliance

When choosing a provider, it's not just about whether a solution can back up Microsoft 365. The crucial factor is how reliably restores work in an emergency. Important criteria include restore granularity, speed, protection against manipulation, separate access rights, reporting, and ease of use.

For SMEs, predictable costs and a system that runs smoothly without requiring specialized knowledge are also essential . A backup system must be regularly monitored, tested, and documented. Only then will it be more than just an additional technical feature in the event of an incident.

What criteria are crucial when choosing a backup provider?

Pay particular attention to practical recovery capabilities. Can the solution selectively retrieve individual emails, files, folders, mailboxes, or SharePoint sites? Can data be restored to an alternative location before being returned to production?

Security and operational reliability are equally important: separate administrator accounts, multi-factor authentication, protection against backup deletion, monitoring, and clear reporting.

Veeam, Barracuda, Hornet Security & Co.: Which solution is right for you?

Typical solutions for SMEs include Veeam, Barracuda , and Hornet Security . Both can be suitable depending on the environment, recovery requirements, and operating model. The key is not the vendor name, but whether the solution fits your specific needs.

Important questions to consider are: How granular can data be restored? How easy is it to use? Where are the backups located? What protection mechanisms are in place against manipulation? How well are reporting, monitoring, and support provided?

What are the costs associated with Microsoft 365 Backup?

Costs typically depend on the number of users, storage requirements, retention period, and functionality. Some providers charge per user, others based on workload or storage. For SMEs, it's crucial to consider not only license costs but also operation, monitoring, restore testing, and potential support in case of emergencies.

Which compliance points are important?

When using external Microsoft 365 backups, GDPR compliance, data processing agreements, data location, logging, and deletion policies should be reviewed. It is crucial that access and recovery processes are documented transparently.

For Austrian companies, internal retention obligations and requirements related to accounting, data protection, and information security should also be considered. Any legal details should be discussed with tax advisors, legal counsel, or data protection officers.

Conclusion

Microsoft 365 is highly available, but without external backup, recovery remains unreliable in many realistic scenarios. Accidental deletions, sync errors, compromised accounts, ransomware, or incorrectly configured retention rules can make it impossible to reliably recover important emails, files, SharePoint libraries, or Teams data.

For SMEs, the pragmatic approach is to prioritize business-critical workloads, define Recovery Point Objective (RPO) and Recovery Time Objective (RTO), plan backup frequency and retention, clearly segregate restore rights, and regularly test restores. This transforms Microsoft 365 Backup into genuine protection for operations, compliance, and collaboration.

FIGULI CONSULTING helps companies implement Microsoft 365 Backup effectively – from risk analysis and vendor selection to configuration, restore testing, and ongoing monitoring.

Have your Microsoft 365 Backup reviewed

FAQ: Microsoft 365 Backup

Is Microsoft 365 Backup automatically included?

No. Microsoft 365 offers features like the Recycle Bin, versioning, and retention policies, but not a complete external backup with its own restore points. For true recoverability, organizations need a separate backup with clear RPO/RTO targets and documented restore processes.

Why isn't the Recycle Bin in Microsoft 365 sufficient?

The Recycle Bin helps with simple deletions within specific timeframes. However, if data has been permanently deleted, overwrites go unnoticed for too long, or an account is compromised, the Recycle Bin and versioning are often insufficient. An external backup provides additional restore points.

What data should I back up in Microsoft 365?

You should primarily back up Exchange Online, OneDrive for Business, SharePoint Online, and Microsoft Teams. This includes emails, calendars, contacts, files, versions, sites, lists, permissions, team structures, and linked Microsoft 365 data.

How often should a Microsoft 365 backup run?

Backup frequency depends on the rate of change, business risk, and desired Recovery Point Objective (RPO). Highly used areas such as email, SharePoint project repositories, or OneDrive work folders should be backed up more frequently than infrequently accessed data.

What are RPO and RTO in data backup?

RPO describes the maximum acceptable data loss, for example, four hours. RTO describes the maximum recovery time, for example, two hours. Both values should be defined for each workload because email, files, and Teams data can have varying levels of criticality.

Does an external backup help against ransomware in OneDrive and SharePoint?

Yes, if the backup offers separate access rights, sufficient historical versions, and protection against manipulation. This allows companies to revert to a clean data state before the mass change. Additionally, multi-factor authentication (MFA), endpoint security, and restore testing remain important.

What compliance issues are important for Microsoft 365 backup?

GDPR compliance, data processing agreements, data location, logging, a deletion policy, and traceable restore processes are crucial. Backups should be integrated into the organizational structure to ensure that access, restores, and retention periods remain auditable.

How can I tell if my Microsoft 365 backup is working?

Only through regular restore tests. Test various scenarios: a single email, an entire OneDrive folder, a SharePoint site, or a bulk restore. Document the restore time, process, and results to ensure the process functions correctly in an emergency.

Microsoft 365 Backup: Externe Sicherung für KMU

Sun, 28 Jun 2026 15:08:16 GMT

Microsoft 365 Backup: Warum externe Sicherung für KMU wichtig ist

Microsoft 365 Backup ist für KMU wichtig, weil geschäftskritische Daten in Exchange Online, OneDrive, SharePoint und Teams nicht automatisch vollständig extern gesichert sind. Microsoft stellt eine hochverfügbare Cloud-Plattform bereit, doch hohe Verfügbarkeit ersetzt keine eigenständige Datensicherung.

In der Praxis entstehen Datenverluste häufig nicht durch einen Microsoft-Ausfall, sondern durch versehentliches Löschen, Sync-Fehler, kompromittierte Konten, Ransomware, falsche Berechtigungen oder fehlerhafte Automationen. Ohne externes Backup kann eine Wiederherstellung dann langsam, unvollständig oder gar nicht mehr möglich sein.

Dieser Artikel zeigt, warum Microsoft 365 allein kein vollständiges Backup ersetzt, welche Daten gesichert werden sollten und worauf KMU bei RPO, RTO, Restore-Tests, Anbieterwahl und Compliance achten müssen. Außerdem erfahren Sie, wie FIGULI CONSULTING bei der Umsetzung eines praxistauglichen Backup-Konzepts unterstützt.

Inhaltsverzeichnis

Ist Microsoft 365 Backup automatisch enthalten?
Shared Responsibility: Wer ist für Microsoft-365-Daten verantwortlich?
Welche Microsoft-365-Daten sollten gesichert werden?
Häufige Ursachen für Datenverlust in Microsoft 365
Aufbewahrung, Archivierung und Backup: Wo liegt der Unterschied?
Microsoft 365 Backup einrichten: Best Practices für KMU
Anbieterwahl, Kosten und Compliance
Fazit
FAQ: Microsoft 365 Backup

Ist Microsoft 365 Backup automatisch enthalten?

Viele Unternehmen gehen davon aus, dass ihre Daten in Microsoft 365 automatisch vollständig gesichert sind. Tatsächlich schützt Microsoft in erster Linie die Verfügbarkeit der Plattform . Ein vollständiges Backup, das gelöschte, beschädigte oder verschlüsselte Daten unabhängig wiederherstellen kann, gehört jedoch nicht automatisch zum Standardumfang.

Papierkorb, Versionierung und Aufbewahrungsrichtlinien sind hilfreich, ersetzen aber keine externe Sicherung. Sie funktionieren innerhalb definierter Grenzen und hängen von Lizenzen, Konfigurationen, Fristen und Benutzerrechten ab. Für KMU entsteht dadurch eine Lücke zwischen „Daten sind in der Cloud“ und „Daten sind im Ernstfall zuverlässig wiederherstellbar“.

Ein externes Microsoft 365 Backup schafft unabhängige Wiederherstellungspunkte. Dadurch können E-Mails, Dateien, SharePoint-Bibliotheken oder Teams-Daten auch dann wiederhergestellt werden, wenn Konten kompromittiert wurden, Aufbewahrungsfenster abgelaufen sind oder Daten durch Fehler verändert wurden.

Wichtig: Hohe Verfügbarkeit bedeutet, dass Microsoft 365 zuverlässig erreichbar ist. Sie garantiert aber nicht, dass versehentlich gelöschte, manipulierte oder verschlüsselte Daten jederzeit vollständig wiederhergestellt werden können.

Welche Fehlannahmen führen dazu, dass Unternehmen auf ein externes Backup verzichten?

Viele Unternehmen verzichten auf ein externes Microsoft 365 Backup, weil sie Cloud-Speicherung mit Datensicherung verwechseln. Microsoft 365 ist zwar hochverfügbar, schützt aber nicht automatisch vor jedem Datenverlust. Papierkorb, Versionierung und Aufbewahrungsrichtlinien helfen in bestimmten Fällen, ersetzen aber keine unabhängige Sicherung.

Typische Fehlannahmen sind:

„Microsoft sichert ohnehin alles.“
„Der Papierkorb reicht für gelöschte Dateien.“
„Versionierung schützt vor jedem Überschreiben.“
„Ransomware betrifft nur lokale Server.“
„Ein Restore wird im Ernstfall schon irgendwie möglich sein.“

Gerade diese Annahmen führen dazu, dass Restore-Ziele, Aufbewahrungsdauer und Verantwortlichkeiten nicht sauber definiert werden. Ein externes Backup schließt diese Lücke , weil es eigene Wiederherstellungspunkte und klar geregelte Restore-Prozesse bereitstellt.

Warum ist hohe Verfügbarkeit kein Backup?

Hohe Verfügbarkeit bedeutet, dass Dienste wie Exchange Online, SharePoint oder Teams grundsätzlich erreichbar bleiben. Das schützt vor Plattformausfällen, aber nicht automatisch vor Datenverlust auf Inhaltsebene. Wenn eine Datei gelöscht, überschrieben oder verschlüsselt wurde, kann der Dienst trotzdem verfügbar sein – nur der benötigte Inhalt fehlt.

Ein Backup verfolgt ein anderes Ziel: Es stellt eine getrennte Kopie bereit, aus der einzelne E-Mails, Dateien, Ordner, Sites oder ganze Workloads auf einen früheren Stand zurückgesetzt werden können.

Welche Folgen hat fehlendes Microsoft 365 Backup?

Ohne externes Backup werden Datenverluste schnell zum operativen Problem. Gelöschte E-Mails fehlen in der Kundenkommunikation, SharePoint-Bibliotheken sind unvollständig, OneDrive-Dateien wurden überschrieben oder Teams-Daten sind nicht mehr nachvollziehbar.

Ein typisches Beispiel: Ein Mitarbeiter löscht versehentlich einen Projektordner in SharePoint. Der Fehler fällt erst Wochen später auf. Wenn Papierkorb, Versionierung oder Aufbewahrungsfristen nicht mehr greifen, lässt sich der ursprüngliche Stand ohne externes Backup oft nicht vollständig wiederherstellen.

Mögliche Folgen:

längere Ausfallzeiten durch manuelle Rekonstruktion
fehlende Nachweise bei geschäftsrelevanter Kommunikation
höhere Kosten durch Incident-Bearbeitung
Produktivitätsverlust in Teams und Projekten
Risiko endgültiger Datenverluste nach Fristablauf

Microsoft Standard vs. externes Backup im Vergleich

Shared Responsibility: Wer ist für Microsoft-365-Daten verantwortlich?

Das Shared Responsibility Model beschreibt die Aufgabenteilung zwischen Microsoft und dem Unternehmen. Microsoft betreibt die Cloud-Plattform, stellt Dienste bereit und sorgt für Infrastruktur, Verfügbarkeit und viele Sicherheitsmechanismen. Die Verantwortung für Daten, Benutzer, Berechtigungen, Konfigurationen und Wiederherstellungsprozesse bleibt jedoch beim Unternehmen. Microsoft erläutert dieses Verantwortungsmodell ausführlich im Shared Responsibility Model .

Für KMU ist diese Unterscheidung entscheidend. Microsoft sorgt dafür, dass Microsoft 365 als Plattform funktioniert. Das bedeutet aber nicht, dass jede gelöschte Datei, jedes Postfach oder jede SharePoint-Site unabhängig und beliebig lange wiederhergestellt werden kann.

Ein externes Microsoft 365 Backup gehört deshalb zur eigenen Verantwortung. Es ergänzt die Microsoft-Standardfunktionen durch getrennte

Sicherungen, eigene Restore-Punkte und nachvollziehbare Wiederherstellungsprozesse.

Was übernimmt Microsoft – und was bleibt beim Unternehmen?

Microsoft stellt die Microsoft-365-Dienste bereit und sorgt dafür, dass die Plattform grundsätzlich verfügbar und sicher betrieben wird. Dazu zählen Infrastruktur, Rechenzentren, Service-Verfügbarkeit und viele Schutzmechanismen auf Plattformebene.

Das Unternehmen bleibt aber für die eigene Nutzung verantwortlich. Dazu gehören Benutzerkonten, Berechtigungen, Datenklassifizierung, Aufbewahrungsregeln, Sicherheitsrichtlinien und die Frage, wie Daten nach Fehlern oder Angriffen wiederhergestellt werden. Ein externes Backup fällt daher in den Verantwortungsbereich des Unternehmens.

Microsoft: Plattform, Infrastruktur, Service-Betrieb, Basis-Sicherheit
Unternehmen: Daten, Benutzer, Zugriffe, Konfiguration, Backup und Restore
Dienstleister: kann Umsetzung, Kontrolle und laufenden Betrieb unterstützen

Welche Wiederherstellungsszenarien deckt Microsoft nicht vollständig ab?

Microsoft 365 bietet Standardfunktionen wie Papierkorb, Versionierung und Aufbewahrungsrichtlinien. Diese helfen bei einfachen Fällen, ersetzen aber keine unabhängige Sicherung. Kritisch wird es, wenn Daten spät entdeckt gelöscht wurden, ganze SharePoint-Sites betroffen sind, Benutzerkonten kompromittiert wurden oder Daten nach Ransomware auf einen sauberen Zeitpunkt zurückgesetzt werden müssen.

Ein externes Backup ist besonders wichtig, wenn Wiederherstellungen unabhängig vom Tenant-Zustand, über längere Zeiträume oder mit klaren Zielzeiten erfolgen müssen.

Warum sind Admin-Fehler und kompromittierte Konten besonders kritisch?

Viele Datenverluste entstehen nicht durch einen Ausfall von Microsoft, sondern durch Fehlkonfigurationen oder kompromittierte Konten. Beispiele sind zu breite Berechtigungen, falsch gesetzte Aufbewahrungsregeln, versehentlich gelöschte SharePoint-Bibliotheken oder automatisierte Prozesse, die Daten verschieben oder überschreiben.

Besonders kritisch sind Administratorkonten, weil sie weitreichende Rechte besitzen. Wenn ein solches Konto kompromittiert wird, können Angreifer nicht nur Daten löschen oder verändern, sondern auch Sicherheits- und Aufbewahrungsregeln manipulieren. Deshalb sollten Produktiv-Administration und Backup-Zugriff getrennt abgesichert werden.

Wenn Sie klären möchten, welche Backup-Verantwortung in Ihrer Microsoft-365-Umgebung aktuell offen ist, hilft eine kurze Bestandsaufnahme mit klaren Wiederherstellungszielen.

Microsoft 365 Backup prüfen

Welche Microsoft-365-Daten sollten gesichert werden?

Ein Microsoft 365 Backup sollte nicht nur einzelne Dateien sichern, sondern alle geschäftskritischen Daten und Dienste berücksichtigen. In Microsoft 365 verteilen sich Informationen auf verschiedene Workloads wie Exchange Online, OneDrive, SharePoint und Microsoft Teams. Diese Dienste arbeiten eng zusammen und bilden die Grundlage vieler Geschäftsprozesse.

Entscheidend ist deshalb nicht nur der Inhalt einer Datei. Auch Ordnerstrukturen, Berechtigungen, Versionen, Kalender, Kontakte, Metadaten oder Teamstrukturen können für den Geschäftsbetrieb wichtig sein. Ein Backup, das nur Dateien kopiert, reicht in vielen Fällen nicht aus.

 Für KMU empfiehlt es sich, die Sicherung nach Geschäftsauswirkung zu priorisieren: Welche Daten werden täglich benötigt? Welche Informationen sind für Kundenprojekte, Buchhaltung oder Nachweispflichten unverzichtbar? Genau daraus sollte sich der Umfang der Datensicherung ableiten.

Exchange Online: E-Mails, Kalender, Kontakte und Postfachstrukturen
OneDrive for Business: Dateien, Versionen und Freigaben
SharePoint Online: Sites, Dokumentbibliotheken, Listen und Berechtigungen
Microsoft Teams: Kanäle, Dateien und verknüpfte Microsoft-365-Daten

FIGULI CONSULTING unterstützt Unternehmen dabei, geschäftskritische Microsoft-365-Daten zu identifizieren und ein Backup-Konzept zu entwickeln, das sich an den tatsächlichen Geschäftsprozessen orientiert.

Exchange Online: Welche Daten sollten gesichert werden?

Exchange Online enthält oft einen großen Teil der geschäftlichen Kommunikation. Angebote, Bestellungen, Vertragsabstimmungen, Kundenanfragen und interne Freigaben laufen meist über E-Mail. Deshalb sollten nicht nur einzelne Nachrichten, sondern komplette Postfächer inklusive Kalendern, Kontakten und Ordnerstrukturen gesichert werden.

Gerade bei versehentlichen Löschungen, kompromittierten Konten oder Migrationen ermöglicht ein externes Backup die gezielte Wiederherstellung einzelner Elemente oder ganzer Postfächer.

OneDrive for Business: Welche Daten sollten gesichert werden?

OneDrive for Business speichert häufig Arbeitsdokumente, Projektunterlagen und persönliche Dateien der Mitarbeitenden. Da Inhalte automatisch zwischen verschiedenen Geräten synchronisiert werden, können Fehler oder versehentliche Änderungen schnell auf alle verbundenen Geräte übertragen werden.

Ein externes Backup schützt vor Sync-Fehlern, versehentlichen Löschungen oder überschriebenen Dateien und ermöglicht die Wiederherstellung früherer Datenstände – unabhängig vom Zustand des Endgeräts.

SharePoint Online: Welche Daten sollten gesichert werden?

SharePoint Online bildet in vielen Unternehmen die zentrale Plattform für Dokumente, Projekte und Zusammenarbeit. Wer Dokumente vollständig digital verwaltet, profitiert zusätzlich von einem strukturierten papierlosen Büro . Neben Dateien sind auch Sites, Dokumentbibliotheken, Listen, Berechtigungen und Versionen geschäftskritisch.

Ein Datenverlust betrifft deshalb häufig nicht nur einzelne Dokumente, sondern komplette Projektstrukturen und Zugriffsrechte. Ein vollständiges Backup sollte deshalb auch Metadaten und Berechtigungen berücksichtigen.

Microsoft Teams: Welche Daten sollten gesichert werden?

Microsoft Teams bündelt verschiedene Microsoft-365-Dienste. Dateien liegen meist in SharePoint, Besprechungen greifen auf Exchange zu und Teams selbst verwaltet Kanäle, Mitglieder und Berechtigungen. Deshalb sollte Teams nicht isoliert betrachtet werden.

Ein vollständiges Backup berücksichtigt sowohl Dateien als auch Teamstrukturen und die zugehörigen Microsoft-365-Objekte. Nur so lassen sich Projekte nach einem Vorfall vollständig wiederherstellen.

Bevor ein Backup eingerichtet wird, sollte feststehen, welche Microsoft-365-Daten für Ihr Unternehmen geschäftskritisch sind. Eine strukturierte Analyse verhindert unnötige Sicherungen und schließt gleichzeitig gefährliche Lücken.

Häufige Ursachen für Datenverlust in Microsoft 365

Datenverlust in Microsoft 365 entsteht selten durch einen kompletten Plattformausfall.

 Häufiger sind alltägliche Ursachen:

Dateien werden gelöscht
OneDrive synchronisiert fehlerhafte Änderungen
SharePoint-Berechtigungen werden falsch gesetzt
ein kompromittiertes Konto verändert Daten im großen Umfang

Das größte Problem ist oft nicht der erste Fehler, sondern die Zeit bis zur Entdeckung. Wenn Papierkorb, Versionierung oder Aufbewahrungsfristen nicht mehr greifen, kann ein externes Microsoft 365 Backup den entscheidenden Rücksprungpunkt liefern.

Versehentliches Löschen und Überschreiben

Gelöschte E-Mails, entfernte Ordner oder überschriebene Dateien fallen oft erst später auf. Der Microsoft-Papierkorb hilft in einfachen Fällen, aber nur innerhalb bestimmter Grenzen. Ein externes Backup ermöglicht zusätzliche Wiederherstellungspunkte und reduziert das Risiko endgültiger Datenverluste.

Ransomware, Sync-Fehler und kompromittierte Konten

Ransomware betrifft nicht nur lokale Server. Wenn verschlüsselte oder manipulierte Dateien über OneDrive synchronisiert werden, kann sich der Schaden in SharePoint und Teams ausbreiten. Ebenso wichtig ist der Schutz der eingesetzten Endgeräte. Mehr dazu erfahren Sie im Beitrag Endpoint Security .

Auch kompromittierte Konten können Daten löschen, verschieben oder verändern.
Das Risiko lässt sich unter anderem durch eine konsequent eingesetzte Multifaktor-Authentifizierung deutlich reduzieren.

Ein externes Backup hilft, weil saubere Versionen vor dem Vorfall wiederhergestellt werden können. Wichtig sind getrennte Backup-Zugänge, unveränderbare Sicherungen und regelmäßige Restore-Tests.

Fehlkonfigurationen, Insider-Risiken und abgelaufene Fristen

Datenverlust entsteht auch durch falsch gesetzte Berechtigungen, zu kurze Aufbewahrungsregeln oder fehlerhafte Automationen. Besonders kritisch sind Konten mit hohen Rechten, weil sie große Datenbereiche verändern oder löschen können.

Ein Microsoft 365 Backup sollte deshalb unabhängig von Produktivberechtigungen geplant werden. Backup-Retention, Restore-Rechte und Protokollierung müssen getrennt definiert und regelmäßig geprüft werden.

Aufbewahrung, Archivierung und Backup: Wo liegt der Unterschied?

Aufbewahrung, Archivierung und Backup werden in Microsoft 365 häufig verwechselt. Dabei erfüllen sie unterschiedliche Aufgaben. Retention hält Daten nach Regeln innerhalb der Microsoft-365-Umgebung vor. Archivierung dient der langfristigen, durchsuchbaren Ablage. Backup stellt eine unabhängige Kopie bereit, um Daten nach Fehlern, Angriffen oder Löschungen wiederherzustellen.

Für KMU ist diese Unterscheidung wichtig: Compliance und Wiederherstellung sind nicht dasselbe. Eine Aufbewahrungsrichtlinie kann Inhalte länger verfügbar halten, ersetzt aber keine externe Sicherung mit eigenen Restore-Punkten.

Wann reicht Retention aus – und wann braucht es zusätzlich ein Backup?

Retention reicht, wenn Inhalte nur innerhalb definierter Fristen aufbewahrt werden sollen. Sobald aber punktgenaue Wiederherstellung, schnelle Massen-Restores oder unabhängige Sicherungspunkte benötigt werden, ist ein externes Backup notwendig.

Retention: gut für Aufbewahrung und einfache Rückholung
Backup: notwendig für unabhängige Wiederherstellung
Kombination: sinnvoll für Compliance und Betriebssicherheit

Warum ersetzen eDiscovery und Legal Hold kein Backup?

eDiscovery und Legal Hold dienen vor allem dazu, Inhalte für Prüfungen, interne Untersuchungen oder rechtliche Verfahren auffindbar und gesichert zu halten. Sie sind aber nicht dafür gedacht, den laufenden Betrieb nach einem Datenverlust schnell wiederherzustellen.

Ein Backup ergänzt diese Funktionen, weil es operative Wiederherstellung ermöglicht: einzelne E-Mails, Dateien, Ordner, Postfächer oder Sites können gezielt zurückgeführt werden.

Microsoft 365 Backup einrichten: Best Practices für KMU

Eine gute Backup-Strategie beginnt nicht mit dem Tool, sondern mit klaren Zielen. Entscheidend ist, wie viel Datenverlust maximal akzeptabel ist, wie schnell Daten wieder verfügbar sein müssen und wer im Ernstfall eine Wiederherstellung freigibt.

Für KMU sollte Microsoft 365 Backup pragmatisch geplant werden. Nicht jede Datei ist gleich kritisch. E-Mail-Kommunikation, Projektdateien, SharePoint-Bibliotheken und Teams-Daten sollten nach Geschäftsauswirkung priorisiert werden.

Technisch zählen automatisierte Sicherungen, ausreichend lange Aufbewahrung, getrennte Admin-Rechte und regelmäßige Restore-Tests. Erst dadurch wird aus einer Sicherung ein belastbarer Wiederherstellungsprozess.

Wie definiert man RPO und RTO verständlich?

RPO beschreibt, wie viel Datenverlust zeitlich akzeptabel ist.

Beispiel: Wenn das RPO vier Stunden beträgt, dürfen im Ernstfall höchstens vier Stunden Datenstand verloren gehen.

RTO beschreibt, wie schnell Daten oder Dienste wieder verfügbar sein müssen.
Beispiel: Wenn das RTO zwei Stunden beträgt, muss die Wiederherstellung innerhalb dieses Zeitfensters funktionieren.

Welche Backup-Frequenz ist realistisch?

Die Backup-Frequenz hängt davon ab, wie oft sich Daten ändern und wie kritisch sie für den Betrieb sind. Stark genutzte SharePoint-Bibliotheken oder OneDrive-Arbeitsordner benötigen oft häufigere Sicherungen als selten genutzte Archive.

Wichtig ist außerdem die Aufbewahrungsdauer. Fehler werden nicht immer sofort entdeckt. Deshalb sollte die Backup-Retention länger geplant werden als nur für den kurzfristigen Papierkorb-Fall.

Welche Backup-Frequenz ist realistisch?

Wichtig ist außerdem die Aufbewahrungsdauer. Fehler werden nicht immer sofort entdeckt. Deshalb sollte die Backup-Retention länger geplant werden als nur für den kurzfristigen Papierkorb-Fall.

Wie organisiert man Restore-Tests, Rollen und Freigaben?

Ein Backup ist nur so gut wie seine Wiederherstellung. Deshalb sollten Restore-Tests regelmäßig durchgeführt und dokumentiert werden. Getestet werden sollten verschiedene Szenarien: einzelne E-Mail, OneDrive-Ordner, SharePoint-Site oder Massen-Restore nach einem Vorfall.

Auch die Rollen müssen klar sein: Wer darf einen Restore anfordern, wer gibt ihn frei, wer führt ihn durch und wie wird das Ergebnis dokumentiert?

Checkliste: Microsoft 365 Backup für KMU

wichtigste Workloads priorisieren
RPO und RTO festlegen
Backup-Frequenz und Retention definieren
Backup-Zugänge von Produktiv-Admins trennen
Restore-Tests dokumentieren
Verantwortlichkeiten und Freigaben klären

Anbieterwahl, Kosten und Compliance

Bei der Anbieterwahl geht es nicht nur darum, ob eine Lösung Microsoft 365 sichern kann. Entscheidend ist, wie zuverlässig Wiederherstellungen im Ernstfall funktionieren. Wichtige Kriterien sind Restore-Granularität, Geschwindigkeit, Schutz vor Manipulation, getrennte Zugriffsrechte, Reporting und einfache Bedienung.

Für KMU zählen außerdem planbare Kosten und ein Betrieb, der ohne Spezialwissen stabil läuft. Ein Backup-System muss regelmäßig überwacht, getestet und dokumentiert werden. Nur dann ist es im Incident-Fall mehr als eine technische Zusatzfunktion.

Welche Kriterien sind bei Backup-Anbietern entscheidend?

Achten Sie vor allem auf die praktische Wiederherstellung. Kann die Lösung einzelne E-Mails, Dateien, Ordner, Postfächer oder SharePoint-Sites gezielt zurückholen? Können Daten in einen alternativen Bereich wiederhergestellt werden, bevor sie produktiv zurückgeführt werden?

Ebenso wichtig sind Sicherheit und Betrieb: getrennte Admin-Konten, Multifaktor-Authentifizierung, Schutz vor Löschung der Backups, Monitoring und verständliche Reports.

Veeam, Barracuda, Hornet Security & Co.: Welche Lösung passt?

Typische Lösungen im KMU-Umfeld sind beispielsweise Veeam, Barracuda oder Hornet Security. Beide können je nach Umgebung, Wiederherstellungsanforderungen und Betriebsmodell sinnvoll sein. Entscheidend ist nicht der Herstellername, sondern ob die Lösung zu den eigenen Anforderungen passt.

Wichtige Fragen sind: Wie granular lassen sich Daten wiederherstellen? Wie einfach ist die Bedienung? Wo liegen die Sicherungen? Welche Schutzmechanismen gibt es gegen Manipulation? Wie gut sind Reporting, Monitoring und Support geregelt?

Welche Kosten entstehen bei Microsoft 365 Backup?

Die Kosten hängen meist von Nutzerzahl, Speicherbedarf, Retention-Dauer und Funktionsumfang ab. Manche Anbieter kalkulieren pro Benutzer, andere nach Workload oder Speicher. Für KMU ist wichtig, nicht nur Lizenzkosten zu betrachten, sondern auch Betrieb, Monitoring, Restore-Tests und mögliche Unterstützung im Ernstfall.

Welche Compliance-Punkte sind wichtig?

Bei externem Microsoft 365 Backup sollten DSGVO, Auftragsverarbeitung, Datenstandort, Protokollierung und Löschkonzept geprüft werden. Wichtig ist, dass Zugriffe und Wiederherstellungen nachvollziehbar dokumentiert werden.

Für österreichische Unternehmen sollten zudem interne Aufbewahrungspflichten und Vorgaben aus Buchhaltung, Datenschutz und Informationssicherheit berücksichtigt werden. Rechtliche Detailfragen sollten mit Steuerberatung, Rechtsberatung oder Datenschutzverantwortlichen abgestimmt werden.

Fazit

Microsoft 365 ist hochverfügbar, aber ohne externes Backup bleibt die Wiederherstellung in vielen realistischen Szenarien unsicher. Versehentliche Löschungen, Sync-Fehler, kompromittierte Konten, Ransomware oder falsch gesetzte Aufbewahrungsregeln können dazu führen, dass wichtige E-Mails, Dateien, SharePoint-Bibliotheken oder Teams-Daten nicht mehr zuverlässig wiederhergestellt werden können.

Für KMU ist der pragmatische Weg: geschäftskritische Workloads priorisieren, RPO und RTO festlegen, Backup-Frequenz und Aufbewahrung planen, Restore-Rechte sauber trennen und Wiederherstellungen regelmäßig testen. So wird Microsoft 365 Backup zu einem echten Schutz für Betrieb, Compliance und Zusammenarbeit.

FIGULI CONSULTING unterstützt Unternehmen dabei, Microsoft 365 Backup praxistauglich umzusetzen – von der Risikoanalyse über Anbieterwahl und Konfiguration bis zu Restore-Tests und laufender Kontrolle.

Microsoft 365 Backup prüfen lassen

FAQ: Microsoft 365 Backup

Ist Microsoft 365 Backup automatisch enthalten?

Nein. Microsoft 365 bietet Funktionen wie Papierkorb, Versionierung und Aufbewahrungsrichtlinien, aber kein vollständiges externes Backup mit eigenen Wiederherstellungspunkten. Für echte Wiederherstellbarkeit brauchen Unternehmen eine getrennte Sicherung mit klaren RPO-/RTO-Zielen und dokumentierten Restore-Prozessen.

Warum reicht der Papierkorb in Microsoft 365 nicht aus?

Der Papierkorb hilft bei einfachen Löschungen innerhalb bestimmter Fristen. Wenn Daten endgültig gelöscht wurden, Überschreibungen spät auffallen oder ein Konto kompromittiert ist, reichen Papierkorb und Versionierung oft nicht aus. Ein externes Backup bietet zusätzliche Wiederherstellungspunkte.

Welche Daten sollte ich in Microsoft 365 sichern?

Gesichert werden sollten vor allem Exchange Online, OneDrive for Business, SharePoint Online und Microsoft Teams. Dazu zählen E-Mails, Kalender, Kontakte, Dateien, Versionen, Sites, Listen, Berechtigungen, Teamstrukturen und verknüpfte Microsoft-365-Daten.

Wie oft sollte ein Microsoft 365 Backup laufen?

Die Backup-Frequenz hängt von Änderungsrate, Geschäftsrisiko und gewünschtem RPO ab. Stark genutzte Bereiche wie E-Mail, SharePoint-Projektablagen oder OneDrive-Arbeitsordner sollten häufiger gesichert werden als selten genutzte Datenbestände.

Was sind RPO und RTO bei der Datensicherung?

RPO beschreibt den maximal akzeptablen Datenverlust, zum Beispiel vier Stunden. RTO beschreibt die maximale Wiederherstellungszeit, zum Beispiel zwei Stunden. Beide Werte sollten pro Workload definiert werden, weil E-Mail, Dateien und Teams-Daten unterschiedlich kritisch sein können.

Hilft ein externes Backup gegen Ransomware in OneDrive und SharePoint?

Ja, wenn das Backup getrennte Zugriffsrechte, ausreichend historische Versionen und Schutz vor Manipulation bietet. So können Unternehmen auf einen sauberen Datenstand vor der Massenänderung zurückgehen. Zusätzlich bleiben MFA, Endpoint Security und Restore-Tests wichtig.

Welche Compliance-Themen sind bei Microsoft 365 Backup wichtig?

Wichtig sind DSGVO, Auftragsverarbeitung, Datenstandort, Protokollierung, Löschkonzept und nachvollziehbare Restore-Prozesse. Ein Backup sollte organisatorisch eingebettet sein, damit Zugriffe, Wiederherstellungen und Aufbewahrungsfristen prüfbar bleiben.

Wie erkenne ich, ob mein Microsoft 365 Backup funktioniert?

Nur durch regelmäßige Restore-Tests. Testen Sie verschiedene Szenarien: einzelne E-Mail, kompletter OneDrive-Ordner, SharePoint-Site oder Massen-Restore. Dokumentieren Sie Wiederherstellungszeit, Ablauf und Ergebnis, damit der Prozess im Ernstfall funktioniert.

Nur noch wenige Tage...

Wed, 24 Jun 2026 10:47:59 GMT

Nur noch wenige Tage - der neue Hornet Security 365 Total Security Plan 4 zu einmaligen Sonderkonditionen

am 1.7.2026 ist es zu spät, die Aktion läuft bis 30.6.2026.

Nutzen sie die Change auf alle Sicherheitsfeatures inklusive Backup, des führenden Herstellers für M365 Security zu einmaligen Sonderkonditionen von Euro 10 zuzüglich MWSt. statt Euro 12 pro lizensiertem M365 Postfach.

Der neue Plan 4 enthält zusätzlich den AI Cyber Assistant AI.MY , den ultimativen Security Booster!

Papierloses Büro: Leitfaden, Tools & Checkliste für KMU

Mon, 15 Jun 2026 15:45:15 GMT

Papierloses Büro einführen: Leitfaden für KMU

Ein papierloses Büro hilft KMU dabei, Dokumente digital zu erfassen, schneller zu finden und Prozesse ohne Medienbrüche zu steuern. Statt Rechnungen, Verträge oder Lieferscheine in Ordnern, E-Mails und lokalen Ablagen zu suchen, arbeiten Teams mit zentralen digitalen Dokumenten, klaren Zugriffsrechten und nachvollziehbaren Workflows.

Viele KMU kämpfen dabei mit verstreuten Dateien, Papierordnern, unklaren Freigaben und hohem Suchaufwand im Alltag.

Entscheidend ist dabei nicht, jedes Blatt Papier sofort abzuschaffen. Wichtig ist ein praxistaugliches System aus Dokumentenmanagement, Scanprozess, Ablageregeln, Freigaben, Datenschutz und laufendem Betrieb.

Dieser Leitfaden zeigt, wie KMU ein papierloses Büro Schritt für Schritt einführen, welche Prozesse sich zuerst eignen, worauf bei DMS, DSGVO und Archivierung zu achten ist und welche Fehler die Umstellung häufig ausbremsen.

Inhaltsverzeichnis

Was bedeutet papierloses Büro in der Praxis?
Papierloses Büro einführen: Schritt-für-Schritt für KMU
Dokumentenmanagement: DMS und digitale Ablage richtig aufbauen
Scanprozess und ersetzendes Scannen
Rechtssichere Archivierung und Datenschutz im papierlosen Büro
Workflows digitalisieren: Rechnungen, Freigaben und Signaturen
Technik, Kosten und Betrieb
Fazit
FAQ: Papierloses Büro

Was bedeutet papierloses Büro in der Praxis?

Ein papierloses Büro bedeutet, dass Geschäftsunterlagen überwiegend digital erfasst, bearbeitet, gefunden und revisionssicher archiviert werden, sodass Abläufe ohne Medienbrüche funktionieren. In KMU gehören dazu klare Regeln für Ablage, Rechte, Scanqualität und Freigaben sowie technische Bausteine wie Dokumentenmanagement-System (DMS), OCR-Texterkennung, Protokollierung und Backup.

In der Praxis heißt „papierlos“ selten „ohne jedes Blatt“. Entscheidend ist, dass die relevanten Geschäftsunterlagen in einem konsistenten digitalen System verfügbar sind und Prozesse darauf aufbauen. Dazu gehören ein definierter Eingangskanal, eine eindeutige Ablagelogik, nachvollziehbare Bearbeitungsschritte und eine Archivierung, die Prüfungen standhält.

Wichtig ist außerdem die Abgrenzung: Digitale Dokumentenablage (Dateiserver/Cloud-Ordner) ist nicht automatisch Dokumentenmanagement. Ein DMS ergänzt typischerweise Versionierung, Rechte, Audit-Trail und Workflow-Funktionen . Genau diese Elemente entscheiden im Alltag, ob Mitarbeitende wirklich im System arbeiten oder wieder auf E-Mail-Anhänge und lokale Ordner ausweichen.

Zielbild: digitale Dokumentenverwaltung mit klaren Regeln statt einzelner Scanordner
Kernbausteine: Erfassung, Indexierung, Suche, Rechte, Workflows, Archiv, Backup
Erfolgskriterium: Dokumente sind auffindbar, versioniert und nachvollziehbar bearbeitet
Abgrenzung: Dateiablage ist hilfreich, ersetzt aber kein DMS mit Protokollen und Governance

Welche Vorteile bringt ein papierloses Büro?

Der größte Hebel liegt meist in der Suche: statt Ordnern, Ablagen und E-Mail-Anhängen greifen berechtigte Personen auf eine zentrale Quelle zu. Volltextsuche und Metadaten reduzieren Rückfragen und vermeiden, dass mehrere Versionen parallel kursieren. Das verbessert die Bearbeitungsgeschwindigkeit, etwa bei Reklamationen, Lieferantenanfragen oder Vertragsfragen.

Zusammenarbeit wird einfacher, wenn Kommentare, Freigaben und Versionen nachvollziehbar sind. In wachsenden Betrieben mit mehreren Standorten oder Homeoffice ist zudem der sichere Zugriff entscheidend. Ein sauber geregeltes Berechtigungskonzept sorgt dafür, dass sensible Dokumente nur dort sichtbar sind, wo sie benötigt werden.

schnelleres Auffinden durch Volltextsuche, Tags und einheitliche Benennung
weniger Medienbrüche bei Freigaben und Rückfragen
besserer Zugriff für Außenstandorte und mobile Arbeit bei klaren Rechten
reduzierte Fehler durch Versionierung und zentrale Ablage

Welche Prozesse eignen sich für den Start?

Für den Start eignen sich Prozesse mit hohem Volumen und klaren Standards. Eingangsrechnungen sind ein typischer Kandidat, weil sie wiederkehrende Pflichtdaten enthalten und sich gut mit OCR-Texterkennung, Kontierung und Freigabe kombinieren lassen. Auch Lieferscheine, Bestellungen und Vertragsdokumente profitieren, wenn sie an Vorgänge oder Projekte gebunden werden.

Eingangsrechnungen inklusive Freigabe und Übergabe an die Buchhaltung
Verträge mit Versionierung, Fristen und Zugriffsschutz
Lieferscheine und Bestellungen als Vorgangsakte
Projektakten als zentrale Übergabe- und Nachweismappe

Wie gelingt die Umstellung schrittweise?

Schrittweise Digitalisierung bedeutet, Prozesse in Etappen zu modernisieren : erst Eingang und Ablage stabilisieren, dann Freigaben und Automatisierung ergänzen, danach Altarchive priorisiert übernehmen. So bleibt das Risiko beherrschbar und die Akzeptanz steigt. Realistische Ziele sind konkret und messbar, etwa „Rechnungen innerhalb von 24 Stunden digital erfasst“.

Papierloses Büro einführen: Schritt-für-Schritt für KMU

Eine erfolgreiche Umstellung beginnt nicht mit dem Kauf eines Tools, sondern mit klaren Prozessen. Legen Sie zuerst fest, welche Dokumente digital geführt werden sollen, wer verantwortlich ist und welche Regeln für Ablage, Freigaben und Ausnahmen gelten. Gerade in KMU sollte der Einstieg schlank bleiben: ein Pilotbereich, wenige Standards und klare Zuständigkeiten reichen für den Start oft aus.

Wichtig ist, nicht alle Papierprozesse gleichzeitig umzustellen. Beginnen Sie mit einem Bereich, der häufig vorkommt, gut standardisierbar ist und schnell Nutzen bringt – zum Beispiel Eingangsrechnungen, Lieferscheine oder Vertragsablage.

Welche Vorbereitung ist nötig?

Starten Sie mit einer kurzen Ist-Aufnahme: Wo entstehen Dokumente, wie kommen sie ins Unternehmen, wer prüft sie, wer gibt sie frei und wo werden sie abgelegt? Dokumentieren Sie dabei nicht jede Ausnahme, sondern die wichtigsten Dokumentenwege.

Danach sollten Verantwortlichkeiten geklärt werden: Wer betreut den digitalen Posteingang, wer vergibt Zugriffsrechte, wer prüft die Qualität und wer entscheidet bei Sonderfällen? Diese Rollen müssen nicht groß organisiert sein, aber sie müssen eindeutig sein.

Welche Dokumente sollte man zuerst digitalisieren?

Beginnen Sie mit Dokumenten, die häufig vorkommen, klar strukturiert sind und regelmäßig gesucht oder freigegeben werden. Besonders geeignet sind Eingangsrechnungen, Lieferscheine, Bestellungen, Standardverträge und projektbezogene Unterlagen.

Nicht jeder Altbestand muss sofort digitalisiert werden. Historische Dokumente sollten nur dann priorisiert werden, wenn sie häufig benötigt werden, rechtlich relevant sind oder laufende Prozesse betreffen.

Zuerst: Rechnungen, Lieferscheine, Bestellungen, laufende Verträge
Später: Altarchive, selten benötigte Unterlagen, Sonderfälle
Vorab klären: Welche Dokumente bleiben im Original erhalten?

Wie sieht eine 30/60/90-Tage-Roadmap aus?

Eine einfache Roadmap verhindert, dass die Umstellung im Konzept stecken bleibt.

0–30 Tage: Pilot auswählen, Dokumenttypen festlegen, Scan- und Ablageregeln definieren
31–60 Tage: digitale Freigaben, Rollenrechte und erste Workflows testen
61–90 Tage: Schulung, Qualitätssicherung, stabile Betriebsregeln und regelmäßige Reviews etablieren

Vor dem Rollout sollten die wichtigsten Grundlagen geprüft sein:

digitaler Posteingang definiert
Dokumenttypen und Ablageregeln festgelegt
Rollen und Zugriffsrechte geklärt
OCR und Suchfunktion getestet
Freigaben und Versionierung definiert
Aufbewahrungspflichten berücksichtigt
kurze Anleitungen für Mitarbeitende vorhanden
Supportweg und Verantwortliche festgelegt

FIGULI CONSULTING unterstützt KMU dabei, Pilotbereiche, Ablageregeln und technische Anforderungen für ein papierloses Büro strukturiert aufzusetzen – ohne die Umstellung unnötig komplex zu machen.

Papierloses Büro planen

Dokumentenmanagement: DMS und digitale Ablage richtig aufbauen

Ein digitales Dokumentenmanagement steht und fällt mit Auffindbarkeit und Verlässlichkeit. Ein DMS ersetzt nicht nur Papierordner, sondern steuert Versionen, Rechte, Protokolle und Workflows. Dokumente werden zentral gespeichert, recherchierbar gemacht und über definierte Zugriffsrechte verwaltet. Gleichzeitig muss die Ablage so einfach sein, dass sie im Alltag genutzt wird, ohne neue Schattenablagen zu erzeugen.

Welche Kriterien sind bei der DMS-Auswahl entscheidend?

Bewerten Sie ein DMS zuerst danach, wie schnell Dokumente gefunden und sauber strukturiert werden können . Wichtig sind Volltextsuche, OCR-Unterstützung, Filter, gespeicherte Suchen und ein stabiles Metadatenmodell, etwa für Dokumenttyp, Kunde, Belegnummer oder Status. Danach folgen Versionierung und Nachvollziehbarkeit: Wer hat ein Dokument geändert, geprüft oder freigegeben?

Auch Integrationen sind entscheidend . Schnittstellen zu E-Mail, Office, Buchhaltung, ERP oder Warenwirtschaft reduzieren Medienbrüche und verhindern, dass Dokumente wieder manuell zwischen Systemen übertragen werden müssen. Bei Warenwirtschaftsprozessen kann eine Blue-Office-Anbindung helfen, Rechnungen, Lieferscheine und Vorgänge sauber mit der digitalen Ablage zu verbinden.

Wie baut man eine digitale Ordnerstruktur auf?

Eine langfristig tragfähige Struktur beginnt mit wenigen, stabilen Hauptbereichen, zum Beispiel „Finanzen“, „Vertrieb“, „Einkauf“, „Projekte“ und „Personal“. Die Ordner sollten möglichst flach bleiben. Orientierung geben nicht zu viele Unterordner, sondern klare Vorgänge, Dokumenttypen und Metadaten.

Benennung: Datum, ID, kurzer Titel, einheitliche Trennzeichen
Metadaten: Dokumenttyp, Partner, Nummer, Status, Frist
Struktur: wenige Hauptbereiche, klare Zuständigkeiten, regelmäßige Bereinigung

Scanprozess und ersetzendes Scannen

Auch im papierlosen Büro verschwinden Papierdokumente nicht sofort. Eingangsrechnungen, Lieferscheine, Verträge oder unterschriebene Unterlagen kommen in vielen KMU weiterhin auf Papier an. Damit diese Dokumente nicht neben der digitalen Ablage weiterlaufen, braucht es einen klaren Scanprozess.

Der Scanprozess entscheidet darüber, ob Papierunterlagen sauber in digitale Dokumentenprozesse übernommen werden. Wichtig sind ein definierter Posteingang, passende Scanprofile, OCR-Texterkennung, Qualitätskontrollen und eine nachvollziehbare Zuordnung zu Vorgängen oder Akten.

standardisierter Posteingang statt dezentraler Einzelablagen
OCR und Indexierung als Pflicht, nicht als optionaler Schritt
Qualitätskontrollen und Protokolle vor möglicher Papiervernichtung

Wie läuft ein effizienter Scanprozess ab?

Ein effizienter Ablauf beginnt mit einem zentralen Eingang: physische Post, Lieferscheine oder unterschriebene Dokumente landen an einem definierten Ort. Danach folgt der Stapelscan mit passenden Profilen. OCR sollte direkt nach dem Scan erfolgen, damit gescannte Dokumente per Volltextsuche auffindbar werden und Belegfelder automatisch erkannt werden können.

Welche Qualitätskontrollen sind wichtig?

Qualitätskontrollen sparen später viel Zeit. Prüfen Sie Lesbarkeit, Vollständigkeit und Seitenreihenfolge, insbesondere bei mehrseitigen Belegen. Führen Sie Stichproben und einen Fehlerkatalog, um wiederkehrende Scannerprobleme zu beheben.

Was bedeutet ersetzendes Scannen?

Ersatzendes Scannen beschreibt ein Verfahren, bei dem ein Papierdokument nach dem Digitalisieren nicht mehr aufbewahrt wird, weil die digitale Version die maßgebliche Arbeits- und Archivversion darstellt. Damit das tragfähig ist, benötigen Sie ein dokumentiertes Verfahren, das Scanqualität, Vollständigkeit, Nachvollziehbarkeit und Schutz vor nachträglichen Änderungen abdeckt.

Für weitergehende Hinweise zum dokumentierten DMS-Ansatz lohnt sich die Lektüre der Praxisempfehlungen beim BRZ: Dokumentenmanagement & Archivierung .

Dokumentenmanagement: DMS und digitale Ablage richtig aufbauen

Ein papierloses Büro muss nicht nur effizient, sondern auch rechtssicher organisiert sein. Entscheidend sind nachvollziehbare Prozesse, geregelte Zugriffe, eine sichere Archivierung sowie klare Regeln für Aufbewahrung und Löschung von Dokumenten.

Nachvollziehbarkeit und Unveränderbarkeit als Kernprinzipien
Berechtigungen und Protokolle als technische Mindestanforderung
Aufbewahrung und Löschung als Teil des Systemdesigns

Welche Anforderungen gelten für digitale Belege?

Für KMU sind vor allem nachvollziehbare digitale Beleg- und Archivprozesse wichtig. Dokumente sollten eindeutig zugeordnet, vor unbemerkten Änderungen geschützt und jederzeit auffindbar sein. Außerdem müssen Bearbeitungsschritte und Freigaben nachvollziehbar dokumentiert werden.

In Österreich gelten zusätzlich gesetzliche Aufbewahrungspflichten. Viele Geschäftsunterlagen müssen grundsätzlich mehrere Jahre archiviert werden – meist mindestens sieben Jahre, abhängig von Dokumenttyp und rechtlicher Grundlage.

Was bedeutet revisionssichere Archivierung?

Revisionssichere Archivierung bedeutet, dass Dokumente vollständig, geordnet, jederzeit auffindbar und gegen unbemerkte Veränderungen geschützt sind. Dazu gehören unter anderem Protokolle über Änderungen und Zugriffe (Audit-Trail), rollenbasierte Berechtigungen sowie ein dokumentiertes Löschkonzept.

Was ist bei DSGVO und Zugriffsrechten zu beachten?

DSGVO-Konformität beginnt mit Zweckbindung und Datenminimierung: Speichern Sie nur, was für den Prozess erforderlich ist, und definieren Sie klare Zugriffszwecke. Rollenbasierte Rechte verhindern, dass Dokumente unnötig breit sichtbar sind. Grundlegende Informationen dazu bietet die Österreichische Datenschutzbehörde .

Ergänzend sollten auch Endgeräte, Benutzerkonten und besonders sensible Zugänge abgesichert werden. Mehr dazu im Beitrag „Endpoint Security“.

Wichtige Anforderungen im papierlosen Büro einfach erklärt

Workflows digitalisieren: Rechnungen, Freigaben und Signaturen

Ein papierloses Büro entfaltet seinen Nutzen erst dann vollständig, wenn Dokumente nicht nur digital gespeichert, sondern auch digital verarbeitet werden. Workflows sorgen dafür, dass Rechnungen, Verträge und Freigaben nachvollziehbar durch definierte Prozessschritte laufen. Dadurch werden Bearbeitungszeiten verkürzt, Zuständigkeiten klarer und Medienbrüche vermieden.

Workflows priorisieren: erst Rechnung, dann Vertrag, dann Sonderfälle
Transparenz durch Status, Fristen und Eskalationsregeln
Signaturen nur dort einsetzen, wo sie Prozesszeit wirklich reduzieren

Wie läuft ein digitaler Rechnungsprozess ab?

Ein E‑Rechnung‑Prozess beginnt mit klaren Eingangskanälen: definierte E‑Mail‑Adresse, Portal oder Schnittstelle. Danach folgt die automatische Erfassung von Rechnungsdaten, idealerweise mit Plausibilitätsprüfungen. Nach Freigabe übergeben Sie die Rechnung an Buchhaltung oder ERP ( Unternehmensressourcen-Planung) und archivieren sie inklusive Prüfvermerken.

Dadurch sinken manuelle Eingaben, Freigaben werden nachvollziehbarer und Rechnungen lassen sich schneller bearbeiten.

Wie funktionieren digitale Freigaben ohne Medienbrüche?

Freigaben sollten als Statuswechsel im DMS erfolgen: Kommentar, Freigabevermerk und Zeitstempel. Rollen statt Personen sorgen für Vertretungsfähigkeit. Die Freigabe ist ein Nachweis und muss im System protokolliert werden.

Digitale Freigaben vermeiden E-Mail-Ketten und sorgen dafür, dass Entscheidungen nachvollziehbar dokumentiert bleiben. Gleichzeitig können Vertretungen und Eskalationen einfacher abgebildet werden.

Wann ist eine digitale Signatur sinnvoll?

Digitale Signaturen sind sinnvoll, wenn sie Prozesszeit reduzieren oder externe Abstimmungen beschleunigen. Besonders relevant für externe Vertragsabschlüsse und wiederkehrende Vereinbarungen. Entscheidender als die Signatur ist ihre Integration in den Workflow sowie die automatische, revisionssichere Ablage.

Je stärker Dokumente, Freigaben und Fachanwendungen miteinander verbunden sind, desto größer wird der Nutzen eines papierlosen Büros. Deshalb sollten Workflows immer gemeinsam mit Ablage, Archivierung und den bestehenden Geschäftssystemen geplant werden.

Technik, Kosten und Betrieb

Neben der Einführung entscheidet der laufende Betrieb über den Erfolg eines papierlosen Büros. Ohne klare Zuständigkeiten für Updates, Berechtigungsreviews, Backup-Tests und Support entstehen schnell Workarounds oder Schattenablagen. Planen Sie Betrieb und Governance deshalb von Beginn an mit.

Warum regelmäßige Betreuung, Updates und Monitoring wichtig sind, zeigt der Beitrag „IT-Wartung für Unternehmen“.

Cloud oder On-Premise?

Cloudlösungen reduzieren oft den internen Wartungsaufwand und erleichtern Skalierung, weil Betrieb, Updates und Verfügbarkeit stärker beim Anbieter liegen. On-Premise-Lösungen , also lokal betriebene Systeme auf eigener oder betreuter Infrastruktur, können mehr Kontrolle bieten, erfordern aber mehr Wartung und klare Zuständigkeiten.

Entscheidend sind nicht nur Kosten, sondern auch Backup- und Restore-Vorgaben, Zugriffskontrollen, Datenschutzanforderungen und vertragliche Regelungen mit Dienstleistern.

Cloud: schnelle Skalierung, weniger Infrastrukturaufwand, laufende Gebühren
On-Premise: mehr Kontrolle, höhere Anfangsinvestition, mehr Wartungsaufwand

Für viele KMU ist heute eine Cloud-Lösung der pragmatischere Einstieg, weil Infrastruktur, Updates und Verfügbarkeit einfacher verwaltet werden können.

Welche Kosten entstehen?

Die Einführungskosten umfassen DMS‑Lizenzen, Scanner, Projektaufwand für Prozessdesign und Schulung. Laufende Kosten sind Lizenzen, Support, Updates und Qualitätskontrollen. Messen Sie Nutzen z. B. an verringerter Suchzeit oder geringeren Rückfragen.

Für österreichische KMU können zudem Förderprogramme wie KMU.DIGITAL und GREEN interessant sein, um Digitalisierungsprojekte rund um Dokumentenmanagement, Prozessoptimierung und papierlose Geschäftsprozesse finanziell zu unterstützen.

Welche typischen Fehler sollte man vermeiden?

Häufige Fehler sind zu komplexe Startprojekte, unklare Zuständigkeiten und die reine Digitalisierung bestehender Papierabläufe. Wenn alte Prozesse unverändert ins Digitale übertragen werden, entstehen oft nur neue Schattenablagen statt echte Verbesserungen.

Besser ist es, Abläufe zuerst zu vereinfachen und erst danach technisch abzubilden. Klare Pflichtfelder, flache Strukturen, definierte Verantwortlichkeiten und regelmäßige Reviews helfen, das papierlose Büro langfristig stabil zu betreiben.

Best Practices für Akzeptanz

Akzeptanz steigt, wenn Regeln nachvollziehbar sind und Arbeit erleichtern. Kurze Leitfäden, kurze Schulungen und sichtbare Verantwortliche sind besonders hilfreich. FIGULI CONSULTING unterstützt hierbei mit Reviews, die Betrieb, Sicherheit und Dokumentationspflichten pragmatisch verbinden, ohne Abläufe zu verkomplizieren.

Kurzleitfäden: 1 Seite pro Kernprozess
Schulung in kleinen Einheiten mit realen Beispielen
monatliche Review‑Routine

Fazit

Die Umstellung auf ein papierloses Büro gelingt, wenn Prozesse, Ablage und Technik gemeinsam gedacht werden. Entscheidend sind klare Regeln für Dokumente, ein stabiler Scanprozess, nachvollziehbare Freigaben und eine einfache digitale Struktur, die im Alltag wirklich genutzt wird.

KMU profitieren besonders dann, wenn Dokumente schneller auffindbar sind, Freigaben ohne Medienbrüche funktionieren und Informationen zentral verfügbar bleiben. Ein schrittweiser Einstieg mit klaren Verantwortlichkeiten ist in der Praxis meist erfolgreicher als eine überladene Komplettumstellung.

FIGULI CONSULTING unterstützt Unternehmen bei der Planung und Umsetzung eines papierlosen Büros mit Inoxision und blue office – von der Prozessanalyse über Dokumentenmanagement bis zur erfolgreichen Einführung.

Projekt-Check anfragen

FAQ: Papierloses Büro

Was bedeutet ein papierloses Büro in der Praxis für KMU?

In KMU bedeutet es vor allem: Dokumente digital erfassen, eindeutig zuordnen, schnell finden und nachvollziehbar bearbeiten.

Wie führt man ein papierloses Büro Schritt für Schritt ein?

Starten Sie mit Ist‑Aufnahme, Rollen, Pilot (z. B. Eingangsrechnungen), Standards für Ablage und Scanqualität und messen Sie Ergebnisse

Welche Dokumente sollte man zuerst digitalisieren?

Priorisieren: Rechnungen, Bestellungen, Lieferscheine, Standardverträge, projektbezogene Unterlagen.

Welches DMS eignet sich für ein papierloses Büro in KMU?

Ein DMS mit starker Suche, Versionierung, rollenbasierten Rechten, Protokollierung und Integrationen zu E‑Mail, Buchhaltung und ERP.

Wie baut man eine digitale Ordnerstruktur sinnvoll auf?

Nutzen Sie wenige Hauptbereiche, flache Ordner, einheitliche Benennung (Datum + ID) und Metadaten.

Wie funktioniert ersetzendes Scannen und wann darf Papier weg?

Ersatzendes Scannen erfordert dokumentierte Abläufe, Qualitätsprüfungen und Abnahme: Papier kann erst nach klarer Freigabe vernichtet werden.

Was muss man bei DSGVO und Zugriffsrechten beachten?

Rollenbasierte Rechte, Logging, regelmäßige Reviews und Verträge zur Auftragsverarbeitung mit Dienstleistern sind zentrale Bausteine.

Was kostet die Umstellung typischerweise und wovon hängt es ab?

Kosten hängen von Dokumentvolumen, Integrationen, Automatisierung und Altarchiv‑Umfang ab; sowohl einmalige als auch laufende Kosten sind zu berücksichtigen.

Paperless Office: Guide, Tools & Checklist for SMEs

Mon, 15 Jun 2026 11:37:09 GMT

Introducing a paperless office: A guide for SMEs

A paperless office helps SMEs capture documents digitally, find them faster, and manage processes without media breaks. Instead of searching for invoices, contracts, or delivery notes in folders, emails, and local files, teams work with centralized digital documents, clear access rights, and transparent workflows.

Many SMEs struggle with scattered files, paper folders, unclear approval processes, and significant search efforts in their daily operations.

The key is not to eliminate every single piece of paper immediately. What's important is a practical system encompassing document management, scanning processes, filing rules, approvals, data protection, and ongoing operations.

This guide shows how SMEs can implement a paperless office step by step, which processes are suitable first, what to consider regarding document management systems (DMS), GDPR compliance, and archiving, and which mistakes often hinder the transition.

What does a paperless office mean in practice?
Implementing a paperless office: Step-by-step for SMEs
Document management: Setting up a DMS and digital filing system correctly
Scanning process and legally compliant scanning
Legally compliant archiving and data protection in the paperless office
Digitizing workflows: Invoices, approvals, and signatures
Technology, costs, and operation
Conclusion
FAQ: Paperless office

What does a paperless office mean in practice?

A paperless office means that business documents are predominantly captured, processed, retrieved, and archived digitally in an audit-proof manner, enabling seamless workflows. For SMEs, this includes clear rules for filing, access rights, scan quality, and approvals, as well as technical components such as a document management system (DMS), OCR text recognition, logging, and backup.

In practice, "paperless" rarely means "without a single sheet of paper." The crucial factor is that relevant business documents are available in a consistent digital system and that processes are built upon this system. This includes a defined input channel, a clear filing logic, traceable processing steps, and archiving that can withstand audits.

It's also important to distinguish between digital document storage (file server/cloud folder) and document management. A DMS typically adds versioning, access rights, audit trails, and workflow functions . These elements are precisely what determines in daily practice whether employees actually work within the system or revert to email attachments and local folders.

The key is to distinguish between digital document storage (file server/cloud folder) and document management.

Target vision: Digital document management with clear rules instead of individual scan folders
Core components: Capture, indexing, search, permissions, workflows, archiving, backup
Success criterion: Documents are findable, versioned, and their processing is traceable
Limitation: File storage is helpful, but it does not replace a document management system (DMS) with logs and governance.

What are the advantages of a paperless office?

The biggest advantage usually lies in the search function: instead of folders, files, and email attachments, authorized users access a central source. Full-text search and metadata reduce queries and prevent multiple versions from circulating simultaneously. This improves processing speed, for example, when dealing with complaints, supplier inquiries, or contract issues.

Collaboration becomes easier when comments, approvals, and versions are traceable. In growing companies with multiple locations or home offices, secure access is also crucial. A well-defined authorization concept ensures that sensitive documents are only visible where they are needed.

Fast retrieval through full-text search, tags, and consistent naming conventions
Fewer media breaks during approvals and queries
Improved access for remote locations and mobile work with clearly defined permissions
Reduced errors through versioning and central storage

Which processes are suitable for starting up?

For a smooth start, focus on high-volume processes with clear standards. Incoming invoices are a typical example because they contain recurring mandatory data and can be easily combined with OCR text recognition, account assignment, and approval. Delivery notes, purchase orders, and contract documents also benefit from being linked to processes or projects.

Incoming invoices including approval and transfer to accounting
Contracts with versioning, deadlines, and access control
Delivery notes and purchase orders as process files
Project files as a central handover and documentation folder

How can the transition be achieved gradually?

Gradual digitization means modernizing processes in stages: first stabilizing incoming and outgoing documents, then adding approvals and automation, and finally prioritizing the transfer of legacy archives. This keeps risk manageable and increases acceptance. Realistic goals are concrete and measurable, such as "digitally capturing invoices within 24 hours."

Introducing a paperless office: Step-by-step for SMEs

A successful transition doesn't begin with purchasing a tool, but with clear processes. First, define which documents should be managed digitally, who is responsible, and what rules apply to filing, approvals, and exceptions. Especially in SMEs, the initial steps should be streamlined: a pilot area, a few standardized processes, and clearly defined responsibilities are often sufficient to get started.

It's important not to convert all paper-based processes at once. Begin with an area that occurs frequently, is easily standardized, and delivers quick benefits—for example, incoming invoices, delivery notes, or contract filing.

What preparation is needed?

Start with a brief inventory of your current processes: Where are documents created, how do they enter the company, who reviews them, who approves them, and where are they stored? Document not every exception, but rather the most important document pathways.

Next, clarify responsibilities: Who manages the digital mailroom, who grants access rights, who checks quality, and who decides in special cases? These roles don't need to be elaborately organized, but they must be clearly defined.

Which documents should be digitized first?

Start with documents that are frequently used, clearly structured, and regularly searched for or approved. Incoming invoices, delivery notes, purchase orders, standard contracts, and project-related documents are particularly suitable.

Not every legacy document needs to be digitized immediately. Historical documents should only be prioritized if they are frequently needed, legally relevant, or pertain to ongoing processes.

First: Invoices, delivery notes, purchase orders, current contracts
Later: Old archives, rarely needed documents, special cases
Determine beforehand: Which documents will remain in their original form?

What does a 30/60/90-day roadmap look like?

A simple roadmap prevents the transition from getting stuck in the planning stage.

0–30 days: Select pilot, define document types, and establish scanning and filing rules.
31–60 days: Test digital approvals, role permissions, and initial workflows.
61–90 days: Establish training, quality assurance, stable operating rules, and regular reviews.

Before rollout, the most important foundations should be checked:

Digital inbox defined
Document types and filing rules defined
Roles and access rights clarified
OCR and search function tested
Approvals and versioning defined
Retention requirements considered
Short instructions for employees available
Support channels and responsible parties defined

FIGULI CONSULTING helps SMEs to set up pilot areas, filing rules, and technical requirements for a paperless office in a structured way – without making the transition unnecessarily complex.

Planning a Paperless Office

Document management: Setting up a DMS and digital filing system correctly

The success of digital document management hinges on findability and reliability. A DMS not only replaces paper folders but also manages versions, permissions, logs, and workflows. Documents are stored centrally, made searchable, and managed via defined access rights. At the same time, the filing system must be so user-friendly that it can be used daily without creating new, redundant storage areas.

What criteria are crucial when selecting a DMS?

When evaluating a document management system (DMS), first consider how quickly documents can be found and clearly structured. Key features include full-text search, OCR support, filters, saved searches, and a robust metadata model (e.g., for document type, customer, document number, or status). Next come versioning and traceability : Who modified, reviewed, or approved a document?

Integrations are also crucial. Interfaces to email, Office, accounting, ERP, or inventory management systems reduce media breaks and prevent the need for manual document transfer between systems. For inventory management processes, a Blue Office integration can help seamlessly link invoices, delivery notes, and transactions with the digital filing system.

How do you create a digital folder structure?

A sustainable long-term structure begins with a few, stable main areas, such as "Finance," "Sales," "Purchasing," "Projects," and "Human Resources." Folders should be kept as flat as possible. Orientation is provided not by too many subfolders, but by clear processes, document types, and metadata.

Naming convention: Date, ID, short title, consistent separators
Metadata: Document type, partner, number, status, deadline
Structure: Few main areas, clear responsibilities, regular cleanup

Scanning process and replacement scanning

Even in a paperless office, paper documents don't disappear immediately. Incoming invoices, delivery notes, contracts, and signed documents still arrive on paper in many SMEs. To prevent these documents from simply circulating alongside digital filing systems, a clear scanning process is essential.

The scanning process determines whether paper documents are cleanly integrated into digital document workflows. Key elements include a defined mailroom, appropriate scan profiles, OCR text recognition, quality control, and traceable assignment to processes or files.

Standardized mailroom instead of decentralized, individual filing systems
OCR and indexing as mandatory, not optional
Quality control and documentation before potential paper shredding

How does an efficient scanning process work?

An efficient workflow begins with a central input point: physical mail, delivery notes, or signed documents arrive at a defined location. This is followed by batch scanning using appropriate profiles. OCR should be performed immediately after scanning so that scanned documents can be found via full-text search and document fields can be automatically recognized.

Which quality controls are important?

Quality control measures save a lot of time later. Check legibility, completeness, and page order, especially for multi-page documents. Co nduct spot checks and maintain an error log to resolve recurring scanner problems.

What does replacement scanning mean?

Substitute scanning describes a process in which a paper document is no longer stored after digitization because the digital version represents the authoritative working and archiving version. For this to be effective, you need a documented process that covers scan quality, completeness, traceability, and protection against subsequent alterations.

For further information on the documented DMS approach, we recommend reading the practical recommendations from BRZ: Document Management & Archiving.

Document management: Setting up a DMS and digital filing system correctly

A paperless office must be organized not only efficiently but also in compliance with legal requirements. Crucial to this are traceable processes, controlled access, secure archiving, and clear rules for document retention and deletion.

Traceability and immutability as core principles
Authorizations and logs as a minimum technical requirement
Retention and deletion as part of the system design

What requirements apply to digital receipts?

For SMEs, transparent digital document management and archiving processes are particularly important. Documents should be clearly assigned, protected against unnoticed changes, and easily retrievable at any time. Furthermore, processing steps and approvals must be documented in a traceable manner.

In Austria, statutory retention requirements also apply. Many business documents must be archived for several years – usually at least seven years, depending on the document type and legal basis.

What does audit-proof archiving mean?

Audit-proof archiving means that documents are complete, organized, readily accessible, and protected against unnoticed alterations. This includes, among other things, logs of changes and accesses (au dit trails), role-based permissions, and a documented deletion policy.

What needs to be considered regarding GDPR and access rights?

GDPR compliance begins with purpose limitation and data minimization: Only store what is necessary for the process and define clear access purposes. Role-based permissions prevent documents from being unnecessarily widely visible. The Austrian Data Protection Authority provides basic information on this topic.

In addition, end devices, user accounts, and particularly sensitive access points should also be secured. More information can be found in the article "Endpoint Security."

Key requirements for the paperless office explained simply

Digitizing workflows: invoices, approvals, and signatures

A paperless office only reaches its full potential when documents are not only stored digitally but also processed digitally. Workflows ensure that invoices, contracts, and approvals move transparently through defined process steps. This reduces processing times, clarifies responsibilities, and eliminates media breaks.

Prioritize workflows: invoice first, then contract, then special cases
Ensure transparency through status updates, deadlines, and escalation rules
Use signatures only where they truly reduce processing time

How does a digital invoicing process work?

An e-invoicing process begins with clearly defined input channels: a designated email address, portal, or interface. This is followed by the automatic capture of invoice data, ideally with plausibility checks. After approval, you transfer the invoice to accounting or ERP (Enterprise Resource Planning) and archive it, including any audit trails.

This reduces manual data entry, makes approvals more transparent, and allows for faster invoice processing.

How do digital approvals work without media breaks?

Approvals should be recorded as status changes in the document management system (DMS): comment, approval note, and timestamp. Roles, rather than specific individuals, ensure the ability to delegate. The approval serves as proof and must be logged in the system.

Digital approvals eliminate email chains and ensure that decisions remain transparently documented. At the same time, delegation and escalations can be managed more easily.

When is a digital signature useful?

Digital signatures are beneficial when they reduce processing time or accelerate external approvals. They are particularly relevant for external contracts and recurring agreements. More crucial than the signature itself is its integration into the workflow and its automatic, audit-proof archiving.

The more interconnected documents, approvals, and business applications are, the greater the benefits of a paperless office. Therefore, workflows should always be planned in conjunction with storage, archiving, and existing business systems.

Technology, costs and operation

Besides the initial implementation, the ongoing operation is crucial for the success of a paperless office. Without clear responsibilities for updates, permission reviews, backup tests, and support, workarounds or shadow archives quickly emerge. Therefore, plan for operations and governance from the outset.

The article "IT Maintenance for Businesses" explains why regular maintenance, updates, and monitoring are essential.

Cloud or on-premise?

Cloud solutions often reduce internal maintenance costs and facilitate scaling because operation, updates, and availability are more heavily controlled by the provider. On-premises solutions , meaning locally operated systems on the company's own or managed infrastructure, can offer more control but require more maintenance and clearly defined responsibilities.

Cost is not the only crucial factor; backup and restore procedures, access controls, data protection requirements, and contractual agreements with service providers are also essential.

Cloud: rapid scaling, reduced infrastructure costs, ongoing fees
On-premises: greater control, higher initial investment, increased maintenance costs

For many SMEs today, a cloud solution is the more pragmatic entry point because infrastructure, updates, and availability are easier to manage.

What costs will be incurred?

Implementation costs include DMS licenses, scanners, project work for process design, and training. Ongoing costs include licenses, support, updates, and quality control. Measure benefits, for example, by reduced search times or fewer queries.

For Austrian SMEs, funding programs such as KMU.DIGITAL and GREEN may also be of interest, providing financial support for digitization projects related to document management, process optimization, and paperless business processes.

What typical mistakes should you avoid?

Common mistakes include overly complex initial projects, unclear responsibilities, and simply digitizing existing paper-based processes . When old processes are transferred unchanged to the digital realm, they often create new, redundant systems instead of genuine improvements.

It's better to simplify processes first and then implement them digitally. Clear mandatory fields, flat hierarchies, defined responsibilities, and regular reviews help ensure the long-term stability of a paperless office.

Best practices for acceptance

Acceptance increases when rules are comprehensible and simplify work. Short guidelines, brief training sessions, and clearly defined responsibilities are particularly helpful. FIGULI CONSULTING supports this with reviews that pragmatically combine operations, safety, and documentation requirements without complicating processes.

Short guidelines: 1 page per core process
Training in small units with real-world examples
Monthly review routine

Conclusion

The transition to a paperless office succeeds when processes, filing, and technology are considered together. Crucial elements include clear document guidelines, a reliable scanning process, traceable approvals, and a simple digital structure that is actually used in daily operations.

SMEs particularly benefit when documents are easier to find, approvals function seamlessly, and information remains centrally accessible. A phased approach with clearly defined responsibilities is usually more successful in practice than an overwhelming, all-out rollout.

FIGULI CONSULTING supports companies in planning and implementing a paperless office with Inoxision and blue office – from process analysis and document management to successful implementation.

Request a project check

FAQ: Paperless Office

What does a paperless office mean in practice for SMEs?

For SMEs, it primarily means: digitally capturing documents, clearly assigning them, finding them quickly, and processing them transparently.

How do you implement a paperless office step by step?

Start with an inventory of your current situation, defining roles, a pilot project (e.g., incoming invoices), standards for filing and scan quality, and measure the results.

Which documents should be digitized first?

Prioritize: invoices, orders, delivery notes, standard contracts, and project-related documents.

Which document management system (DMS) is suitable for a paperless office in SMEs?

A DMS with robust search capabilities, versioning, role-based access control, logging, and integrations with email, accounting, and ERP systems.

How do you create a sensible digital folder structure?

Use a few main categories, flat folders, consistent naming conventions (date + ID), and metadata.

How does legally compliant scanning work, and when can paper be eliminated?

Alternative scanning requires documented processes, quality checks, and approval: Paper documents can only be destroyed after explicit authorization.

What needs to be considered regarding GDPR and access rights?

Role-based access rights, logging, regular reviews, and data processing agreements with service providers are key components.

What are the typical costs of the transition, and what factors influence them?

Costs depend on document volume, integrations, automation, and the size of the existing archive; both one-time and ongoing costs must be taken into account.

SSL runtime reduction

Thu, 11 Jun 2026 09:48:15 GMT

SSL runtime reduction

Since March 2026, the technical validity period for publicly trusted SSL/TLS certificates has been reduced to 200 days (approximately 6 months). One-year contracts still exist, but they are now issued in installments at consecutive intervals. It is strongly recommended to replace manual renewal with automation, such as using the ACME protocol (Automated Certificate Management Environment).

According to CA/Browser Forum Ballot SC081v3 , there is a transition period between March 2026 and March 2029 during which the validity periods for SSL certificates will be gradually reduced from 398 days to a maximum of 200, 100, and 47 days. Please note that some CAs may switch to the shorter validity periods a few days earlier. Here is an overview:

SECTIGO Link to source

Until March 12, 2026: Term 398 days (13 months)
From March 13, 2026: Term 199 days (6.5 months)
From approximately Q1 2027: Term 99 days (3.25 months)
From approximately Q1 2029: Term 46 days (1.5 months)

DIGICERT Link to source

Until February 24, 2026: Term 398 days (13 months)
From February 25, 2026: Term 199 days (6.5 months)
From approximately Q1 2027: Term 99 days (3.25 months)
From approximately Q1 2029: Term 46 days (1.5 months)

CERTUM Link to source

Until March 12, 2026: Term 365 days (12 months)
From March 13, 2026: Term 199 days (6.5 months)
From approximately Q1 2027: Term 99 days (3.25 months)
From approximately Q1 2029: Term 46 days (1.5 months)

Microsoft 365 price adjustments as of July 1, 2026

Thu, 11 Jun 2026 09:39:20 GMT

Microsoft M365 price adjustments that will take effect from July 1, 2026.

The following products will have their prices adjusted:

Business and Enterprise Suites (with Teams)

Applies to new purchases or renewals starting July 1, 2026. Existing customers with an active subscription will only switch to the new prices at their next renewal after July 1, 2026.

Further information can be found at: https://www.microsoft.com/en-us/licensing/news/2026-M365-Packaging-Pricing-Updates

SSL Laufzeitreduktion

Wed, 10 Jun 2026 18:02:30 GMT

SSL Laufzeitreduktion

Seit März 2026 ist die technische Laufzeit für öffentlich vertrauenswürdige SSL/TLS-Zertifikate auf 200 Tage (ca. 6 Monate) verkürzt worden. Einjährige Verträge existieren weiterhin, jedoch erhalten Sie diese gestückelt in aufeinanderfolgenden Intervallen . Es wird dringend empfohlen die manuelle Erneuerung durch Automatisierung wie z.B. mit dem ACME Protokoll (Automated Certificate Management Environment) abzulösen.

Gemäß CA/Browser Forum Ballot SC081v3 gibt es zwischen März 2026 und März 2029 eine Übergangsphase in der die Laufzeiten für SSL Zertifikate stufenweise von 398 Tagen auf maximal 200, 100 und 47 Tagen reduziert werden. Bitte beachten Sie, dass einzelne CAs bereits ein paar Tage früher auf die kürzeren Laufzeiten umsteigen. Hier eine Übersicht:

SECTIGO Link zur Quelle

Bis 12. März 2026 Laufzeit 398 Tage (13 Monate)
Ab 13. März 2026 Laufzeit 199 Tage (6,5 Monate)
Ab ca. Q1 2027 Laufzeit 99 Tage (3,25 Monate)
Ab ca. Q1 2029 Laufzeit 46 Tage (1,5 Monate)

DIGICERT Link zur Quelle

Bis 24. Februar 2026 Laufzeit 398 Tage (13 Monate)
Ab 25. Februar 2026 Laufzeit 199 Tage (6,5 Monate)
Ab ca. Q1 2027 Laufzeit 99 Tage (3,25 Monate)
Ab ca. Q1 2029 Laufzeit 46 Tage (1,5 Monate)

CERTUM Link zur Quelle

Bis 12. März 2026 Laufzeit 365 Tage (12 Monate)
Ab 13. März 2026 Laufzeit 199 Tage (6,5 Monate)
Ab ca. Q1 2027 Laufzeit 99 Tage (3,25 Monate)
Ab ca. Q1 2029 Laufzeit 46 Tage (1,5 Monate)

Microsoft 365 Preisanpassungen per 1.7.2026

Wed, 10 Jun 2026 08:13:52 GMT

Microsoft M365 Preisanpassungen die ab 1.7.2026 wirksam werden.

für folgende Produkte werden die Preise angepasst:

Business und Enterprise Suites (mit Teams)

Gilt für Neukäufe oder Verlängerungen ab dem 01.07.2026. Bestehende Kunden mit aktivem Abo wechseln jeweils erst zum nächsten Renewal nach dem 1. Juli 2026 auf die neuen Preise.
Weiter Infos finden Sie unter: https://www.microsoft.com/en-us/licensing/news/2026-M365-Packaging-Pricing-Updates

ERP für Kleinstunternehmen: Software, Kosten & Einführung

Tue, 09 Jun 2026 14:59:26 GMT

ERP für Kleinstunternehmen: passende Software für 1–10 Mitarbeiter

Ein ERP für Kleinstunternehmen ist eine Software, die Angebote, Aufträge, Rechnungen sowie Kunden- und Unternehmensdaten zentral verwaltet. Ziel ist es, doppelte Dateneingaben zu reduzieren und Abläufe in kleinen Teams mit 1–10 Mitarbeitern übersichtlich zu organisieren.

Sinnvoll wird ein ERP-System meist dann, wenn Informationen in Excel, E-Mails und einzelnen Tools verteilt liegen . Gerade ohne eigene IT-Abteilung zählt ein pragmatischer Ansatz: eine Lösung, die zentrale Prozesse abbildet, schnell nutzbar ist und mit dem Unternehmen mitwächst.

Dieser Artikel zeigt, wann ein ERP-System sinnvoll ist, welche Funktionen wirklich zählen, welche Vorteile Cloud-Modelle bieten, welche Kosten realistisch sind und wie die Einführung ohne Überforderung gelingt.

Inhaltsverzeichnis

Warum ein ERP für Kleinstunternehmen sinnvoll ist
ERP-Software für Kleinstunternehmen: Welche Funktionen wirklich wichtig sind
Cloud ERP für Kleinstunternehmen: Vorteile, Kosten und typische Bedenken
Was kostet ein ERP für Kleinstunternehmen pro Monat?
ERP-Einführung in Kleinstunternehmen
ERP für Kleinstunternehmen vs. Buchhaltungssoftware
ERP für Kleinstunternehmen auswählen: Worauf kleine Teams achten sollten
Fazit
FAQ

Warum ein ERP für Kleinstunternehmen sinnvoll ist

Ein ERP für Kleinstunternehmen lohnt sich meist dann, wenn Angebote, Aufträge und Rechnungen regelmäßig zusammenhängen und Informationen nicht mehr zuverlässig in Excel, E-Mails oder einzelnen Tools verwaltet werden können. Besonders kleine Teams profitieren von zentralen Daten, weniger Doppelarbeit und einer besseren Übersicht über offene Vorgänge.

In Kleinstunternehmen entsteht Komplexität weniger durch die Anzahl der Prozesse, sondern durch deren Vernetzung: Ein Angebot wird zum Auftrag, daraus entsteht eine Rechnung, danach folgen Zahlungseingang, Mahnwesen oder Auswertung. Wenn diese Kette in getrennten Tools abläuft, steigen Abstimmungsaufwand und Fehlerrisiko.

Ein schlankes ERP-System schafft einen gemeinsamen Datenbestand . Das erleichtert Vertretungen, reduziert Rückfragen und macht Engpässe sichtbar, etwa bei offenen Angeboten, ausstehenden Lieferungen oder überfälligen Zahlungen. Ein integriertes System hilft außerdem dabei, Belege, Zahlungsziele und die Zusammenarbeit mit Buchhaltung oder Steuerberatung sauber nachvollziehbar zu halten.

Typische Auslöser für ein ERP:

steigende Belegzahlen
häufige Rückfragen im Team
unklare Zuständigkeiten
fehlende Übersicht über offene Angebote, Aufträge oder Zahlungen
doppelte Datenerfassung in Excel, E-Mail und Einzeltools

Welche Prozesse verursachen den größten manuellen Aufwand?

Der größte Zeitverlust entsteht meist dort, wo Informationen mehrfach erfasst werden: Kontaktdaten wandern aus E-Mails in Excel, Positionen aus Angeboten werden in Rechnungen kopiert, Zahlungseingänge werden manuell abgeglichen. Zusätzlich erzeugen Statusfragen Aufwand, weil der Bearbeitungsstand nicht zentral sichtbar ist.

Angebote: Erstellung, Nachfassen, Versionen, Freigaben
Aufträge: Status, Teillieferungen, Leistungsnachweise
Rechnungen: Übernahme von Positionen, Korrekturen, Mahnwesen
Datenpflege: Kunden, Artikel, Preise, Steuersätze, Zahlungsbedingungen

Wie reduziert ein ERP doppelte Datenerfassung?

Ein ERP reduziert Doppelarbeit , indem es Stammdaten und Belege verknüpft . Aus einem Kundenstamm werden Angebote erstellt, daraus werden Aufträge und Rechnungen abgeleitet, ohne Inhalte erneut zu tippen. Änderungen an Artikeln, Preisen oder Konditionen wirken konsistent, sofern Rollen und Rechte sauber definiert sind.

Transparenz entsteht durch klare Statusmodelle und Auswertungen: offene Angebote, laufende Aufträge, unbezahlte Rechnungen, Deckungsbeiträge oder Projektfortschritt. Für Kleinteams ist besonders relevant, dass Informationen schnell auffindbar sind und Vertretungen funktionieren, ohne dass Wissen nur in einzelnen Postfächern liegt.

Wann lohnt sich ERP – und wann reichen einzelne Tools?

Ein ERP für Kleinstunternehmen lohnt sich, wenn mehrere Kernprozesse zusammenhängen und regelmäßig Belege entstehen, die konsistent bleiben müssen. Typisch ist die Kombination aus Vertrieb (Angebote), Leistung oder Lieferung (Aufträge) und Abrechnung (Rechnungen), ergänzt um Kundenverwaltung und Auswertungen. Je häufiger Informationen zwischen Personen übergeben werden, desto stärker wirkt der Nutzen.

Einzelne Tools reichen oft, wenn das Unternehmen sehr wenige Vorgänge hat, kaum Artikel- oder Leistungsvarianten nutzt und keine verbindliche Auftragsabwicklung benötigt. Auch in sehr frühen Phasen kann eine Kombination aus Buchhaltung, einfacher Angebotssoftware und strukturiertem Dokumentenmanagement genügen, solange klare Regeln für Datenpflege und Ablage bestehen.

ERP eher sinnvoll bei: wiederkehrenden Angeboten, mehreren parallelen Aufträgen, wachsenden Belegmengen, häufigen Rückfragen
Tools eher ausreichend bei: wenigen Vorgängen pro Monat, einfachen Leistungen, kaum Übergaben im Team
entscheidend ist nicht die Größe, sondern die Prozesskette und die Fehlerkosten

ERP-Software für Kleinstunternehmen: Welche Funktionen wirklich wichtig sind

Kernfunktionen , die ein ERP für Kleinstunternehmen in der Praxis abdecken sollte:

Durchgängiger Belegworkflow: Angebot → Auftrag → Rechnung
Zentrale Stammdaten: Kunden, Artikel/Leistungen, Preise, Konditionen
Offene-Posten-Übersicht inklusive Mahnwesen
CRM-Grundfunktionen: Kontakte, Historie, Wiedervorlagen
Rollen, Rechte und nachvollziehbare Änderungen
Exporte und Schnittstellen für Steuerberatung, Banking und E-Mail

Bei der Auswahl zählt vor allem Alltagstauglichkeit: wenige Klicks, klare Masken, eine saubere Belegkette und verlässliche Auswertungen. Ein kleines ERP-System sollte zuerst die Kernprozesse stabil abdecken. Zusätzliche Module wie Lager, Projekte oder Shop-Anbindungen sind erst dann sinnvoll, wenn sie im Alltag wirklich gebraucht werden.

Wichtig sind außerdem einfache Suchfunktionen, Pflichtfelder, Dublettenprüfung, Dokumentenablage und klare Statuslogik. Diese Details entscheiden oft stärker über Akzeptanz als eine lange Funktionsliste.

Gerade bei kleinen Unternehmen ist wichtig, den Startumfang realistisch zu wählen und nicht zu viele Funktionen auf einmal einzuführen. FIGULI CONSULTING unterstützt dabei, Anforderungen zu priorisieren, passende ERP-Lösungen zu vergleichen und ein schlankes Setup für den Einstieg aufzubauen – inklusive Prozessanalyse, Rollout-Planung und Integration bestehender Systeme.

Jetzt unverbindlich anfragen

Wie funktioniert der Workflow von Angebot bis Rechnung?

Ein durchgängiger Workflow verbindet Belege logisch: Aus einem Angebot wird per Umwandlung ein Auftrag, daraus entsteht eine Rechnung, ohne Inhalte neu zu erfassen. Das reduziert Fehler bei Positionen, Steuern, Rabatten und Zahlungsbedingungen. Gleichzeitig bleibt nachvollziehbar, welche Version eines Angebots akzeptiert wurde und welche Leistungen bereits abgerechnet sind.

Für Kleinteams ist auch die Standardisierung wichtig: Vorlagen, Textbausteine, Nummernkreise, definierte Status (etwa „in Prüfung“, „freigegeben“, „versendet“) und automatische Dokumentablage. So lassen sich Abläufe vereinheitlichen, auch wenn mehrere Personen abwechselnd Angebote oder Rechnungen erstellen.

Belegkette : Angebot → Auftrag → Lieferschein oder Leistungsnachweis → Rechnung
Vorlagen: einheitliche Texte, Layouts, Zahlungsbedingungen
Transparenz: offene Angebote, offene Aufträge, Teilrechnungen

Welche ERP-Funktionen sind im Alltag wirklich wichtig?

Für kleine Unternehmen sind vor allem Funktionen wichtig, die täglich Zeit sparen und Fehler reduzieren. Dazu gehören ein durchgängiger Belegworkflow von Angebot zu Auftrag und Rechnung, zentrale Kunden- und Artikeldaten, offene Posten, Mahnwesen und einfache Auswertungen. Entscheidend ist nicht die größte Funktionsliste, sondern ob die wichtigsten Abläufe ohne doppelte Eingaben funktionieren.

CRM-Funktionen sollten im Alltag helfen, Kundenkontakte, Ansprechpartner, Notizen, Wiedervorlagen und Vorgangshistorie schnell zu finden. Im Rechnungswesen zählen vor allem saubere Belege, Zahlungsstatus, Mahnstufen und Exporte für Steuerberatung oder Buchhaltung.

Je nach Branche kommen weitere Funktionen hinzu: Dienstleister benötigen häufig Projektverwaltung, Zeiten oder Leistungsnachweise. Handelsbetriebe profitieren stärker von Auftragsverwaltung, Lagerbestand, Lieferstatus und Retouren . Für viele Kleinstunternehmen reicht zum Start aber ein schlankes Setup mit Kundenverwaltung, Angeboten, Rechnungen und offenen Posten.

Basis: Kunden, Artikel/Leistungen, Angebote, Aufträge, Rechnungen
Finanzen: offene Posten, Mahnwesen, Zahlungsstatus, Exporte
CRM: Kontakte, Historie, Wiedervorlagen, Aufgaben
Optional: Lager, Projekte, Shop-Anbindung, erweiterte Reports

Wann sind Lagerverwaltung und Warenwirtschaft nötig?

Lagerverwaltung wird notwendig, wenn Bestände aktiv gesteuert werden müssen: Einkauf, Mindestbestände, Chargen, Seriennummern oder mehrere Lagerorte . Auch bei häufigen Lieferungen und Retouren lohnt sich eine integrierte Warenwirtschaft, weil sie Verfügbarkeit, Nachbestellungen und Lieferfähigkeit transparent macht.

Nicht zwingend ist Lagerverwaltung, wenn hauptsächlich Dienstleistungen erbracht werden oder nur wenige Standardartikel ohne Bestandsrisiko verkauft werden. In solchen Fällen genügt oft eine Artikelverwaltung für Kalkulation und Belegpositionen, während Bestände in vereinfachter Form geführt werden.

Cloud ERP für Kleinstunternehmen: Vorteile, Kosten und typische Bedenken

Cloud-ERP ist für Kleinstunternehmen oft der pragmatischste Weg, weil Betrieb, Updates und Verfügbarkeit nicht intern organisiert werden müssen. Gleichzeitig müssen Anforderungen an Datenschutz, Rechte und Schnittstellen klar geprüft werden. Entscheidend ist, ob das System Abläufe tatsächlich vereinfacht oder bestehende Probleme nur digital abbildet.

Für die Bewertung helfen drei Perspektiven: organisatorisch (Einführung, Support), technisch (Schnittstellen, Rechte) und rechtlich (DSGVO, Backup, Löschkonzepte).

Ebenso sollten Sie prüfen, ob der Anbieter klare Angaben zu Datenverarbeitung, Speicherort und Supportprozessen macht. Ein Cloud-Modell ist nicht per se riskanter – relevant sind Nachweise, Vertragsunterlagen und ein sauberes Rollen- und Berechtigungskonzept im Alltag.

Welche Vorteile bietet Cloud-ERP ohne eigene IT-Abteilung?

Cloud-ERP entlastet Kleinteams, weil Infrastruktur, Updates und Sicherheitsmaßnahmen typischerweise durch den Anbieter organisiert werden. Das reduziert Aufwand für Serverbetrieb, Patch-Management und Verfügbarkeitskonzepte. Zudem erleichtert es ortsunabhängiges Arbeiten, etwa bei Außendienst, Homeoffice oder wechselnden Einsatzorten.

On-Premise (lokaler Betrieb auf eigenen Servern statt in der Cloud) kann sinnvoll sein, wenn besondere Integrationsanforderungen, lokale Abhängigkeiten oder interne Vorgaben bestehen. In Kleinstunternehmen überwiegt jedoch häufig der Vorteil, dass Cloud-Lösungen schneller einsatzfähig sind und planbarer skaliert werden können, etwa über zusätzliche Nutzer oder Module.

schneller Start : weniger Infrastruktur- und Installationsaufwand
Updates: Funktions- und Sicherheitsupdates ohne eigene Wartungsfenster
Zugriff: browserbasiert oder per App, abhängig vom System

Microsoft beschreibt typische Vorteile cloudbasierter ERP-Systeme für kleinere Unternehmen. Wir sind der Meinung das für CRM / ERP - Lösungen die Installation im eigenen Haus Vorteile bei der Resilienz bringt und die bessere Wahl ist..

Wie bewertet man Bedienbarkeit und Automatisierung?

Bedienbarkeit zeigt sich in Standardfällen: Angebot anlegen, Positionen übernehmen, Rechnung erzeugen, Zahlung zuordnen, Mahnung erstellen. Wenn diese Schritte ohne Umwege funktionieren, sinkt die Einarbeitungszeit deutlich. Zusätzlich sollten Masken konsistent sein und Suchfunktionen zuverlässig arbeiten, damit Informationen schnell auffindbar bleiben.

Automatisierung ist dann sinnvoll, wenn sie wiederkehrende Schritte reduziert: Belegversand, Erinnerungen, Statuswechsel, Standardtexte oder Zahlungsabgleich. Anpassbarkeit sollte kontrolliert bleiben: Zu viele individuelle Felder und Sonderlogiken erhöhen Pflegeaufwand und erschweren Updates. Besser ist ein klarer Standard mit wenigen, gezielten Erweiterungen.

Welche Schnittstellen sind entscheidend?

Schnittstellen entscheiden, ob ein ERP Daten nur verwaltet oder Prozesse tatsächlich digitalisiert. Für viele Kleinstunternehmen sind Banking-Anbindungen für Zahlungsabgleich, Schnittstellen zur Steuerberatung sowie E-Mail-Integration für Belegversand zentral. Im Handel kommen Shop- und Versanddienstleister-Anbindungen hinzu, um Bestellungen, Lager und Tracking konsistent zu halten.

Wichtig ist nicht nur die Existenz einer Schnittstelle, sondern deren Qualität: Datenfelder, Fehlerprotokolle, Wiederholbarkeit und klare Zuständigkeiten bei Störungen. Zudem sollten Exporte in gängigen Formaten möglich sein, damit Sie bei Bedarf Anbieter wechseln oder Daten für Auswertungen nutzen können.

Weitere Entscheidungskriterien und Erkenntnisse zu Auswahlprozessen finden Sie auch in Studien wie der KMU-ERP-Auswahl (WU Wien) .

Was kostet ein ERP für Kleinstunternehmen pro Monat?

Die Kosten für ein kleines ERP-System bestehen aus laufenden Gebühren, etwa pro Nutzer, Modul oder Beleg, und einmaligen Aufwänden für Einführung, Datenmigration und Schulung. Für eine realistische Budgetplanung sollten beide Kostenarten getrennt betrachtet und mit messbaren Zeitersparnissen verglichen werden.

Ein günstiges ERP-System ist nicht automatisch wirtschaftlich, wenn Schnittstellen fehlen oder manuelle Workarounds bleiben. Umgekehrt kann ein höherer Monatspreis sinnvoll sein, wenn dadurch Fehler sinken, Rechnungen schneller erstellt werden und Auskünfte ohne Suchaufwand möglich sind.

Welche Preismodelle gibt es?

Üblich sind drei Modelle:

pro Nutzer: gut planbar, abhängig von Rollen- und Rechtekonzept
pro Modul: geeignet für Minimal-Setup mit späterer Erweiterung
pro Beleg: sinnvoll bei schwankendem Volumen, genaue Definition prüfen

Für 1–10 Mitarbeiter ist ein nutzerbasiertes Modell oft transparent, solange Rollen (z. B. nur Leserechte) sinnvoll abbildbar sind.
Modulpreise können fair sein, wenn sie nur tatsächlich benötigte Funktionen aktivieren und später erweiterbar bleiben.
Belegbasierte Modelle passen, wenn wenige Personen sehr viele Vorgänge abwickeln oder wenn saisonale Schwankungen auftreten. Prüfen Sie dabei, welche Belege zählen (Angebote, Rechnungen, Gutschriften, Lieferscheine) und ob API-Zugriffe oder Schnittstellen zusätzliche Gebühren auslösen.

Welche Einmalkosten entstehen bei Einführung?

Einmalkosten entstehen vor allem durch Datenaufbereitung, Systemkonfiguration, Vorlagen, Rechte und Schulung . Häufig unterschätzt wird die Bereinigung von Stammdaten : Dubletten, uneinheitliche Artikelnummern, fehlende Zahlungsbedingungen oder veraltete Ansprechpartner. Je besser diese Vorarbeit, desto stabiler läuft der spätere Betrieb.

Reduzieren lassen sich Kosten durch ein klar abgegrenztes Startpaket, standardisierte Vorlagen und eine schrittweise Einführung. Auch externe Unterstützung kann wirtschaftlich sein, wenn sie typische Fehler vermeidet und die interne Zeitbelastung senkt.
FIGULI CONSULTING begleitet in der Praxis häufig die Strukturierung von Anforderungen und die saubere Umstellung von Excel-Listen.

Wie berechnet man den ROI eines ERP-Systems?

Der ROI ergibt sich in Kleinstunternehmen häufig aus eingesparter Zeit und weniger Fehlern , nicht aus großen strategischen Effekten.

Messen Sie typische Zeitfresser: Angebotserstellung, Nachfassen, Übernahme in Rechnungen, Zahlungsabgleich, Rückfragen zum Auftragsstatus, Korrekturen wegen falscher Daten. Rechnen Sie konservativ mit Minuten pro Vorgang und multiplizieren Sie mit der Vorgangsanzahl pro Monat.

 Zusätzlich sollten Sie Opportunitätskosten berücksichtigen: Verzögerte Rechnungsstellung wirkt auf Liquidität, unklare Lieferfähigkeit kostet Aufträge, fehlerhafte Daten verursachen Mehraufwand bei Reklamationen. Ein ERP wirkt dann besonders, wenn es die Belegkette stabilisiert und Auskünfte ohne Suchaufwand ermöglicht.

ERP-Einführung in Kleinstunternehmen

Eine ERP Einführung in Kleinstunternehmen Schritt für Schritt gelingt, wenn Sie sie als überschaubares Umstellungsprojekt planen : klarer Startumfang, feste Verantwortlichkeiten, kurze Testphase und ein definierter Go-live. Entscheidend ist, dass das System ab Tag eins für den Kernprozess genutzt wird und nicht parallel weiter in Excel gearbeitet wird.

Planen Sie die Einführung so, dass der operative Betrieb nicht blockiert: mit Pilotfällen, realen Daten und klaren Regeln für den Übergang. Eine kurze, konsequente Umstellung ist oft erfolgreicher als ein langer Parallelbetrieb, der Unsicherheit und doppelte Arbeit erzeugt.
Auch in kleinen Teams sollten Zuständigkeiten und Datenpflege vor dem Go-live klar definiert sein.

Größere ERP-Projekte folgen häufig einem strukturierten ERP-Implementierungsprozess mit Analyse, Migration und Rollout.

Wie startet man mit einem Minimal-Setup?

Ein Minimal-Setup umfasst typischerweise: Kundenstamm, Artikel oder Leistungspositionen, Angebots- und Rechnungsworkflow, Nummernkreise, Vorlagen, Zahlungsbedingungen sowie eine Offene-Posten-Übersicht. Damit entsteht schnell ein Nutzen, ohne dass das Team sich in Spezialfunktionen verliert.

Erweitern sollten Sie erst, wenn der Kernprozess stabil läuft und Datenqualität passt. Dann lassen sich Lager, CRM-Vertiefung, Projekte oder Shop-Anbindungen schrittweise ergänzen. Diese Reihenfolge reduziert Risiko, weil spätere Module auf verlässlichen Stammdaten und klaren Abläufen aufbauen.

 Hilfreich ist ein klarer „Definition of Done“ für Phase 1: Belege werden ausschließlich im System erstellt, Vorlagen sind final, Stammdaten sind bereinigt, und die wichtigsten Ausnahmen (Gutschrift, Teilrechnung) sind getestet. Erst dann lohnt sich der nächste Ausbau.

Phase 1: Belege und Stammdaten stabilisieren
Phase 2: Auswertungen und Automatisierungen ergänzen
Phase 3: Lager, Projekte, Shop, erweiterte Schnittstellen

Wie migriert man Daten aus Excel sauber?

Migration beginnt mit Datenbereinigung : Dubletten entfernen, Pflichtfelder definieren, Schreibweisen vereinheitlichen, veraltete Datensätze archivieren. Legen Sie klare Regeln fest, etwa für Kundennummern, Artikelnummern, Steuersätze und Zahlungsbedingungen. Danach importieren Sie in Testläufen und prüfen Stichproben systematisch.

Offene Posten und laufende Vorgänge erfordern besondere Sorgfalt, weil sie den Startbetrieb beeinflussen. Oft ist es sinnvoll, nur offene Vorgänge und relevante Stammdaten zu übernehmen und historische Belege als Archiv verfügbar zu halten. So vermeiden Sie, dass Altlasten die neue Struktur belasten.

Prüfen Sie nach dem Import nicht nur einzelne Datensätze, sondern auch Summen und Logik: Stimmen Offene-Posten-Summen? Sind Zahlungsziele korrekt? Sind Ansprechpartner und E-Mail-Adressen vollständig? Diese Kontrollen verhindern, dass sich Fehler in den Live-Betrieb fortsetzen.

Welche Fehler sollten bei der Einführung vermieden werden?

Ein häufiger Fehler ist ein zu großer Startumfang: Lager, Projekte, CRM, Auswertungen und Schnittstellen gleichzeitig einzuführen überfordert Kleinteams und verlängert die Umstellung. Ebenso problematisch ist ein langer Parallelbetrieb, weil er Daten auseinanderlaufen lässt und die Akzeptanz senkt. Auch unklare Verantwortlichkeiten für Stammdaten führen schnell zu Inkonsistenzen.

Vermeiden lassen sich diese Risiken durch eine klare Priorisierung, einen festen Go-live-Termin, definierte Datenverantwortliche und kurze Feedbackschleifen. Testen Sie Kernfälle mit echten Daten und prüfen Sie Ausnahmen, etwa Gutschriften, Teilrechnungen oder Sonderpreise, bevor der Regelbetrieb startet.

ERP für Kleinstunternehmen vs. Buchhaltungssoftware

Buchhaltungssoftware fokussiert auf Finanzbuchhaltung, Belege, Steuern und Auswertungen, während ein ERP darüber hinaus operative Prozesse verbindet.
In Kleinstunternehmen entsteht die zentrale Frage oft nicht „entweder oder“, sondern „welche Aufgaben sollen im ERP liegen und was bleibt in der Buchhaltung oder bei der Steuerberatung“.

Eine sinnvolle Kombination verbindet Beleg- und Prozessdaten mit einer sauberen Übergabe an die Buchhaltung. Dabei sollten Sie vermeiden, dieselben Informationen in mehreren Systemen zu pflegen. Entscheidend ist eine klare Systemgrenze: Welches System ist führend für Kunden, Artikel, Rechnungen und Zahlungen?

Gerade bei 1–10 Mitarbeitern ist diese Abgrenzung wichtig, weil jede doppelte Pflege sofort spürbar ist. Wenn ein System „führend“ ist, sollten die anderen Systeme konsequent nur übernehmen – nicht parallel ändern. Das reduziert Fehler und macht Verantwortlichkeiten klar.

Was kann ein ERP zusätzlich zur Buchhaltung?

Ein ERP bildet die operative Realität ab: welche Angebote offen sind, welche Aufträge laufen, welche Lieferungen ausstehen und welche Leistungen bereits erbracht wurden. Es verbindet diese Informationen mit Kunden- und Artikeldaten und macht Status sowie Verantwortlichkeiten sichtbar. Dadurch lassen sich Auskünfte schneller geben und Engpässe früh erkennen.

Relevanz entsteht, weil viele Probleme nicht in der Buchhaltung beginnen, sondern davor: unklare Preise, fehlende Leistungsnachweise, unvollständige Kundendaten oder verspätete Rechnungsstellung. Ein ERP kann diese Vorstufen strukturieren, sodass die Buchhaltung weniger Korrekturen und Rückfragen hat.

operative Steuerung : Status, Termine, Verantwortlichkeiten
Datenkonsistenz : Stammdaten und Belege aus einem System
weniger Rückfragen: nachvollziehbare Historie pro Vorgang

Wann reicht Buchhaltungssoftware aus?

Buchhaltungssoftware reicht häufig aus, wenn die Leistungserbringung einfach ist, wenige Angebote erstellt werden und es kaum Übergaben im Team gibt. Auch wenn keine Bestände zu steuern sind und der Vertrieb überschaubar bleibt, kann ein schlanker Finanzfokus genügen. Voraussetzung ist jedoch, dass Vorlagen, Ablage und Verantwortlichkeiten konsequent geregelt sind.

Ein ERP für Kleinstunternehmen wird zur besseren Basis, wenn Belegzahlen steigen, mehrere Personen an Vorgängen arbeiten oder wenn Auftrags- und Projektsteuerung wichtig wird. Wachstum zeigt sich oft nicht nur in Umsatz, sondern in Parallelität: mehr Anfragen, mehr Varianten, mehr Abstimmung. Dann ist eine integrierte Prozesskette meist stabiler als weitere Insellösungen.

Buchhaltung genügt bei: wenigen Vorgängen, klaren Standards, geringer Parallelität
ERP sinnvoll bei: Wachstum in Belegen, Teamarbeit, Status- und Lieferfähigkeit
Warnsignal : mehr Zeit für Koordination als für Wertschöpfung

Wie funktionieren Integrationen mit Banking, Shop und Steuerberater?

In der Praxis sollten Integrationen so funktionieren, dass sie wiederholbar und prüfbar sind: Banking importiert Umsätze, ordnet Zahlungen offenen Posten zu und markiert Abweichungen. Shop-Anbindungen übertragen Bestellungen, Kundendaten und Positionen, idealerweise mit Statusrückmeldungen zu Versand oder Storno. Für die Steuerberatung sind standardisierte Exporte und eine vollständige Belegbereitstellung entscheidend.

Wichtig ist ein klarer Prozess bei Fehlern: Wer prüft Importprotokolle, wie werden Dubletten behandelt, und wie werden Sonderfälle wie Teillieferungen oder Gutschriften abgebildet. Testen Sie Integrationen mit realen Beispielen, bevor Sie den Regelbetrieb starten.

ERP für Kleinstunternehmen vs. Buchhaltungssoftware

Das „beste“ ERP ist für Kleinstunternehmen meist das System, das in kurzer Zeit produktiv wird, Kernprozesse stabil abbildet und sauber integrierbar bleibt. Entscheidend ist daher eine strukturierte Auswahl: Anforderungen priorisieren, Kernfälle testen, Daten- und Rechtekonzept prüfen und die Skalierung realistisch bewerten.

Neben Funktionen sollten Sie Sicherheit und Datenhoheit berücksichtigen: DSGVO-Konformität , Auftragsverarbeitung, Rollen, Protokollierung sowie Backup- und Wiederherstellungsprozesse. Gerade Cloud ERP ist hier nicht „unsicher“, sondern muss anhand konkreter Nachweise und Vertragsbestandteile bewertet werden.

Für eine belastbare Entscheidung empfiehlt sich ein kurzen Auswahlprozess mit klaren Kriterien:

Muss-Anforderungen definieren
Praxistest mit realen Fällen
Kosten- und Schnittstellencheck
Einführungsplan und Support klären.

So vermeiden Sie, dass die Auswahl nur nach Feature-Listen oder Bauchgefühl erfolgt.

Welche Auswahlkriterien sind entscheidend?

Für Kleinteams zählt vor allem Time-to-Value: Wie schnell lassen sich Angebote, Aufträge und Rechnungen im Alltag sauber abwickeln? Prüfen Sie ERP-Systeme deshalb mit realen Szenarien statt nur anhand von Demos oder Funktionslisten.

Wichtig sind einfache Bedienung, ein vollständiger Kernprozess, verlässlicher Support und ein Startumfang ohne unnötige Komplexität. Besonders bei kleinen Teams sollte das ERP ohne lange Einschulungsphase produktiv nutzbar sein.

Eine kurze Checkliste hilft, Anbieter vergleichbar zu bewerten:

Muss: Belegworkflow, Stammdaten, offene Posten, Rechte, Exporte
Sollte: Banking-Anbindung, Vorlagen, Automatisierungsregeln, Historie
Optional: Lager, Projekte, Shop, erweiterte Reports
Support: Reaktionszeiten, Onboarding, Dokumentation, Ansprechpartner

Wenn Sie unsicher sind, welche ERP-Lösung zu Ihrem Unternehmen passt, sollte die Auswahl nicht nur über Funktionen entschieden werden. FIGULI CONSULTING unterstützt Kleinstunternehmen dabei, Anforderungen zu priorisieren, passende Systeme zu vergleichen und ein schlankes Setup für den Start zu definieren.

ERP-Beratung anfragen

Wie stellt man DSGVO und Sicherheit sicher?

Für DSGVO und Sicherheit sollten Sie prüfbare Punkte abfragen: Auftragsverarbeitungsvertrag, Speicherort und Hosting-Partner, technische und organisatorische Maßnahmen, Protokollierung, Rollen und Berechtigungen sowie Lösch- und Aufbewahrungskonzepte. Wichtig ist auch, wie Backups erstellt werden und wie eine Wiederherstellung im Notfall abläuft.

Im Alltag erhöht ein gutes Rechtekonzept die Sicherheit oft stärker als technische Details: Zugriff auf sensible Daten, Exportrechte, Preislisten und Löschungen sollten begrenzt sein. Ergänzen Sie interne Regeln, etwa für Passwortmanagement und den Umgang mit geteilten Postfächern, um Sicherheitslücken im Prozess zu vermeiden.

DSGVO : Auftragsverarbeitung, TOM, Lösch- und Aufbewahrungskonzept
Sicherheit : Rollen, Protokolle, 2-Faktor-Optionen, Zugriffskontrolle
Betrieb: Backup, Wiederherstellung, Notfallprozess, Monitoring

Zusätzlich sollten Endgeräte und Benutzerkonten technisch abgesichert werden. Mehr dazu im Beitrag „Endpoint Security".

Wie bleibt das ERP skalierbar?

Skalierung bedeutet für Kleinstunternehmen meist: mehr Belege, mehr Nutzer, mehr Schnittstellen und mehr Varianten in Artikeln oder Leistungen. Ein System bleibt skalierbar, wenn es Module sauber ergänzt, Datenmodelle konsistent hält und Integrationen stabil betreibt. Prüfen Sie, ob Rollen mitwachsen können, etwa für getrennte Verantwortlichkeiten in Vertrieb, Abwicklung und Finanzen.

Neue Kanäle wie Shop oder Marktplätze erhöhen die Anforderungen an Artikel- und Bestandslogik. Wenn Lagerverwaltung später relevant wird, sollten Artikelstruktur, Einheiten und Steuerlogik bereits im Start sauber definiert sein. So vermeiden Sie spätere Umstellungen, die den Betrieb stören.

Skalierung prüfen : Modulpfad, API, Exporte, Rollen, Mandantenfähigkeit falls nötig
Datenbasis: Artikelstruktur, Preise, Steuern, Einheiten, Varianten
Prozesse: Statusmodelle und Verantwortlichkeiten an Wachstum anpassen

Fazit

Ein ERP für Kleinstunternehmen lohnt sich vor allem dann, wenn Angebote, Aufträge, Rechnungen und Kundendaten nicht mehr zuverlässig in einzelnen Tools verwaltet werden können. Kleine Teams profitieren besonders von zentralen Daten, weniger Doppelarbeit und klaren Abläufen im Alltag.

Entscheidend ist kein möglichst großes System, sondern eine ERP-Lösung, die schnell produktiv wird, Kernprozesse sauber abbildet und sich später erweitern lässt. Ein schlanker Einstieg mit klaren Verantwortlichkeiten ist in der Praxis meist erfolgreicher als ein überladenes Komplettsystem.

FIGULI CONSULTING unterstützt kleine Unternehmen dabei, den passenden Startumfang zu definieren, Anforderungen zu priorisieren und ERP-Lösungen praxisnah einzuführen.

ERP-Lösung für Ihr Unternehmen besprechen

FAQ

Gibt es ERP-Systeme speziell für kleine Unternehmen?

Ja. Viele ERP-Lösungen richten sich speziell an kleine Unternehmen mit 1–10 Mitarbeitern und bieten einen reduzierten Funktionsumfang, Cloud-Betrieb und einfache Einführung ohne eigene IT-Abteilung.

Braucht ein Kleinunternehmen ein ERP-System?

Ein ERP-System ist sinnvoll, wenn mehrere Abläufe zusammenhängen, etwa Angebote, Aufträge, Rechnungen und Kundenpflege. Sobald Informationen regelmäßig zwischen Personen übergeben werden oder Daten doppelt erfasst werden, steigt der Nutzen deutlich. Bei sehr wenigen Vorgängen kann eine Kombination aus Einzeltools ausreichen

Was kostet ein ERP für Kleinstunternehmen pro Monat?

Die laufenden Kosten hängen meist von Nutzern, Modulen oder Belegvolumen ab. Zusätzlich entstehen einmalige Kosten für Einführung, Migration und Schulung sowie indirekte interne Zeit. Für eine realistische Planung sollten Sie beide Kostenarten getrennt betrachten und mit messbaren Zeitersparnissen vergleichen.

Wie sicher ist Cloud-ERP in Bezug auf DSGVO und Datenschutz?

Sicherheit ist prüfbar über Auftragsverarbeitungsvertrag, Hosting, technische und organisatorische Maßnahmen, Protokollierung sowie Lösch- und Backup-Konzepte. Im Alltag sind Rollen und Berechtigungen besonders wichtig, um Exporte, Löschungen und sensible Daten zu begrenzen. Ergänzende interne Regeln schließen Prozesslücken.

Wann ist ein kleines ERP-System besser als weitere Einzeltools?

Ein kleines ERP-System ist meist besser, wenn Belege und Stammdaten in mehreren Tools auseinanderlaufen und dadurch Rückfragen, Korrekturen oder Verzögerungen entstehen. Sobald mehrere Personen an Vorgängen arbeiten oder die Belegzahl steigt, wird eine integrierte Belegkette oft wirtschaftlicher. Entscheidend sind Prozesskette und Fehlerkosten, nicht nur die Teamgröße.

Welche ERP-Software eignet sich für Kleinstunternehmen?

Geeignet sind vor allem ERP-Systeme, die Angebote, Rechnungen, Kundenverwaltung und einfache Auswertungen in einer übersichtlichen Oberfläche kombinieren. Für kleine Teams sind einfache Bedienung, Cloud-Zugriff und eine schnelle Einführung meist wichtiger als sehr viele Spezialfunktionen.

ERP for micro-enterprises: Software, costs & implementation

Tue, 09 Jun 2026 11:38:12 GMT

ERP for micro-enterprises: suitable software for 1–10 employees

An ERP system for micro-enterprises is software that centrally manages quotes, orders, invoices, and customer and company data. The goal is to reduce duplicate data entry and streamline processes for small teams of 1–10 employees.

An ERP system is typically beneficial when information is scattered across Excel spreadsheets, emails, and various other tools. Especially without an in-house IT department, a pragmatic approach is crucial: a solution that maps core processes, is quick to implement, and scales with the business.

This article explains when an ERP system makes sense, which features are truly essential, the advantages of cloud-based models, realistic costs, and how to implement it without feeling overwhelmed.

Why an ERP system makes sense for micro-businesses
ERP software for micro-businesses: Which features are truly important
Cloud ERP for micro-businesses: Advantages, costs, and typical concerns
How much does an ERP system cost per month for micro-businesses?
ERP implementation in micro-businesses
ERP for micro-businesses vs. accounting software
Choosing an ERP system for micro-businesses: What small teams should consider
Conclusion
FAQ

Why an ERP system makes sense for micro-enterprises

An ERP system is usually worthwhile for micro-enterprises when quotes, orders, and invoices are regularly linked and information can no longer be reliably managed in Excel, emails, or individual tools. Small teams, in particular, benefit from centralized data, reduced duplication of effort, and a better overview of open processes.

In micro-enterprises, complexity arises less from the number of processes and more from their interconnectedness: A quote becomes an order, which then generates an invoice, followed by payment receipt, dunning, and reporting. If this chain runs in separate tools, coordination efforts and the risk of errors increase.

A streamlined ERP system creates a shared database. This facilitates coverage, reduces queries, and makes bottlenecks visible, such as open quotes, outstanding deliveries, or overdue payments. An integrated system also helps to keep documents, payment terms, and collaboration with accounting or tax advisors clearly traceable.

Typical triggers for an ERP system:

Increasing document volume
Frequent questions within the team
Unclear responsibilities
Lack of overview of open quotes, orders, or payments
Duplicate data entry in Excel, email, and individual tools

Which processes require the most manual effort?

The greatest time loss usually occurs where information is entered multiple times: contact details are transferred from emails to Excel, items from quotes are copied to invoices, and incoming payments are manually reconciled. Status inquiries also generate additional work because the processing status is not centrally visible.

Quotes: Creation, follow-up, versions, approvals
Orders: Status, partial deliveries, proof of performance
Invoices: Transfer of items, corrections, dunning
Data maintenance: Customers, items, prices, tax rates, payment terms

How does an ERP system reduce duplicate data entry?

An ERP system reduces duplication of effort by linking master data and documents . Quotes are generated from a customer database, and orders and invoices are derived from these without re-entering any information. Changes to items, prices, or terms and conditions are consistent, provided roles and permissions are clearly defined.

Transparency is achieved through clear status models and reports: open quotes, current orders, unpaid invoices, contribution margins, and project progress. For small teams, it is particularly important that information is easily accessible and that coverage is seamless, without knowledge being scattered across individual mailboxes.

When does ERP pay off – and when are individual tools sufficient?

An ERP system is worthwhile for micro-enterprises when several core processes are interconnected and documents are generated regularly that need to remain consistent. A typical combination is sales (quotes), service or delivery (orders), and invoicing (invoices), supplemented by customer management and reporting. The more frequently information is exchanged between people, the greater the benefit.

Individual tools are often sufficient if the company has very few transactions, uses few product or service variations, and doesn't require binding order processing. Even in the very early stages, a combination of accounting, simple quote software, and structured document management can suffice, as long as clear rules for data maintenance and filing exist.

ERP is more suitable for: recurring quotes, multiple parallel orders, increasing document volumes, frequent queries.
Tools are more adequate for: few transactions per month, simple services, minimal team handoffs.
What matters is not the size, but the process chain and the cost of errors.

ERP software for micro-enterprises: Which functions are really important?

Key functions that an ERP system for micro-enterprises should cover in practice:

End-to-end document workflow: Quote → Order → Invoice
Central master data: Customers, products/services, prices, terms and conditions
Open items overview including dunning
Basic CRM functions: Contacts, history, follow-ups
Roles, permissions, and traceable changes
Exports and interfaces for tax advisors, banking, and email

When choosing an ERP system, everyday usability is paramount: few clicks, clear interfaces, a clean document chain, and reliable reporting. A small ERP system should first and foremost reliably cover the core processes. Additional modules such as inventory, projects, or shop integrations only make sense if they are truly needed in daily operations.

Simple search functions, mandatory fields, duplicate checking, document storage, and clear status logic are also important. These details often have a greater impact on acceptance than a long list of features.

Especially for small businesses, it's crucial to choose a realistic initial scope and not introduce too many functions at once. FIGULI CONSULTING helps you prioritize requirements, compare suitable ERP solutions, and build a streamlined setup for getting started – including process analysis, rollout planning, and integration of existing systems.

Request a free consultation now.

How does the workflow from quote to invoice work?

A seamless workflow logically links documents: A quote is converted into an order, which then generates an invoice without requiring any re-entry of content. This reduces errors regarding line items, taxes, discounts, and payment terms. At the same time, it remains transparent which version of a quote was accepted and which services have already been invoiced.

Standardization is also crucial for small teams: templates, text modules, number ranges, defined statuses (such as "under review," "approved," "sent"), and automatic document filing. This allows for streamlined processes, even when multiple people are creating quotes or invoices on a rotating basis.

Document chain: Quote → Order → Delivery note or service record → Invoice
Templates: standardized texts, layouts, payment terms
Transparency: open quotes, open orders, partial invoices

Which ERP functions are truly important in everyday use?

For small businesses, features that save time and reduce errors on a daily basis are particularly important. These include a seamless document workflow from quote to order and invoice, centralized customer and product data, accounts receivable management, dunning procedures, and simple reporting. The most important factor isn't the longest feature list, but rather whether the most important processes function without duplicate data entry.

CRM functions should help users quickly find customer contacts, contact persons, notes, reminders, and transaction history. In accounting, clean documents, payment status, dunning levels, and exports for tax advisors or bookkeepers are crucial.

Depending on the industry, additional features may be required: Service providers often need project management, time tracking, or proof of performance. Retail businesses benefit more from order management, inventory, delivery status, and returns. For many micro-enterprises, however, a streamlined setup with customer management, quotes, invoices, and accounts receivable is sufficient to get started.

Basic: Customers, products/services, quotes, orders, invoices
Finance: Accounts receivable, dunning, payment status, exports
CRM: Contacts, history, reminders, tasks
Optional: Inventory, projects, shop integration, advanced reports

When are warehouse management and inventory control necessary?

Warehouse management becomes necessary when inventories need to be actively controlled: purchasing, minimum stocks, batches, serial numbers or multiple storage locations. Even with frequent deliveries and returns, integrated inventory management is worthwhile because it makes availability, repeat orders and delivery capability transparent.

Warehouse management is not mandatory if services are mainly provided or only a few standard items are sold without inventory risk. In such cases, item management is often sufficient for calculation and document items, while inventories are managed in a simplified form.

Cloud ERP for micro-enterprises: Advantages, costs and typical concerns

Cloud ERP is often the most pragmatic solution for micro-enterprises because operation, updates, and availability don't need to be managed internally. At the same time, requirements regarding data protection, access rights, and interfaces must be carefully examined. The crucial question is whether the system actually simplifies processes or merely digitally maps existing problems.

Three perspectives are helpful for this evaluation: organizational (implementation, support), technical (interfaces, access rights), and legal (GDPR, backups, deletion policies).

You should also verify that the provider clearly outlines data processing, storage location, and support processes. A cloud model isn't inherently riskier – what matters are documentation, contracts, and a robust role-based access control system in daily operations.

What advantages does cloud ERP offer without an in-house IT department?

Cloud ERP relieves the burden on small teams because infrastructure, updates, and security measures are typically handled by the provider. This reduces the effort required for server operation, patch management, and availability strategies. It also facilitates location-independent work , for example, for field staff, those working from home, or those with changing work locations.

On-premises (local operation on your own servers instead of in the cloud) can be advantageous if there are specific integration requirements, local dependencies, or internal regulations. However, in very small businesses, the advantage of cloud solutions often outweighs the disadvantages: they are faster to deploy and can be scaled more predictably, for example, through additional users or modules.

Fast start-up: less infrastructure and installation effort
Updates: functional and security updates without dedicated maintenance windows
Access: browser-based or via app, depending on the system

Microsoft describes typical advantages of cloud-based ERP systems for smaller companies. We believe that for CRM/ERP solutions, on-premises installation offers advantages in terms of resilience and is the better choice.

How do you evaluate usability and automation?

Ease of use is evident in standard tasks: creating a quote, adding items, generating an invoice, allocating payments, and creating a dunning notice. If these steps function smoothly, the training time is significantly reduced. Additionally, interfaces should be consistent and search functions reliable to ensure information remains easily accessible.

Automation is beneficial when it reduces repetitive tasks: document dispatch, reminders, status changes, standard texts, or payment reconciliation. Customizability should be carefully controlled: too many custom fields and special logic increase maintenance effort and complicate updates. A clear standard with a few, targeted extensions is preferable.

Which interfaces are crucial?

Interfaces determine whether an ERP system merely manages data or truly digitizes processes. For many micro-enterprises, banking connections for payment reconciliation, interfaces to tax advisors, and email integration for sending documents are crucial. In the retail sector, connections to online shops and shipping providers are essential to ensure consistency in order management, inventory, and tracking.

It's not just the existence of an interface that matters, but its quality: data fields, error logs, repeatability, and clear responsibilities in case of malfunctions. Exports in common formats should also be possible, allowing you to switch providers or use data for analysis if needed.

Further decision criteria and insights into selection processes can be found in studies such as the SME ERP Selection Study (Vienna University of Economics and Business).

How much does an ERP system cost per month for micro-enterprises?

The costs for a small ERP system consist of ongoing fees, such as per user, module, or document, and one-time expenses for implementation, data migration, and training. For realistic budget planning, both types of costs should be considered separately and compared with measurable time savings.

An inexpensive ERP system is not automatically economical if interfaces are lacking or manual workarounds remain. Conversely, a higher monthly price can be worthwhile if it reduces errors, speeds up invoice generation, and enables quick access to information without searching.

What pricing models are available?

Three models are common:

per user: easy to plan, depending on role and rights concept
per module: suitable for minimal setup with later expansion
per document: useful for fluctuating volumes, check the exact definition

A user-based model is often transparent for 1-10 employees, as long as roles (e.g. only reading rights) can be mapped in a meaningful way.

Module prices can be fair if they only activate functions that are actually required and remain expandable later.

Document-based models are suitable when a few people handle a large number of processes or when seasonal fluctuations occur. Check which documents count (offers, invoices, credit notes, delivery notes) and whether API access or interfaces trigger additional fees.

What are the one-time costs associated with implementation?

One-time costs arise primarily from data preparation, system configuration, templates, access rights, and training . The cleansing of master data is often underestimated: duplicates, inconsistent article numbers, missing payment terms, or outdated contact persons. The better this preparatory work, the more stable the subsequent operation.

Costs can be reduced through a clearly defined starter package, standardized templates, and a phased implementation. External support can also be cost-effective if it avoids typical errors and reduces internal time expenditure.

In practice, FIGULI CONSULTING frequently assists with structuring requirements and the smooth conversion of Excel spreadsheets.

How do you calculate the ROI of an ERP system?

In very small businesses, the ROI often results from time saved and fewer errors , not from major strategic effects.

Measure typical time-wasters: quote preparation, follow-up, invoicing, payment reconciliation, order status inquiries, and corrections due to incorrect data. Calculate conservatively in minutes per task and multiply by the number of tasks per month.

Additionally, you should consider opportunity costs: delayed invoicing impacts cash flow, unclear delivery capabilities cost orders, and incorrect data leads to increased effort when handling complaints. An ERP system is particularly effective when it stabilizes the document flow and enables information to be retrieved without search effort.

ERP implementation in micro-enterprises

A step-by-step ERP implementation in micro-enterprises is successful when planned as a manageable conversion project: a clear initial scope, clearly defined responsibilities, a short testing phase, and a defined go-live date. Crucially, the system must be used for core processes from day one, without continuing to work in Excel in parallel.

Plan the implementation so that it doesn't disrupt operations: use pilot projects, real-world data, and clear transition guidelines. A short, consistent implementation is often more successful than a lengthy parallel operation that creates uncertainty and duplicated work.

Even in small teams, responsibilities and data maintenance should be clearly defined before go-live.

Larger ERP projects often follow a structured ERP implementation process with analysis, migration, and rollout.

How do you get started with a minimal setup?

A minimal setup typically includes: customer database, items or service lines, quote and invoice workflow, number ranges, templates, payment terms, and an accounts receivable overview. This quickly generates value without the team getting bogged down in specialized functions.

You should only expand once the core process is running smoothly and data quality is satisfactory. Then, warehouse management, CRM enhancements, projects, or shop integrations can be added step by step . This sequence reduces risk because later modules are built on reliable master data and clear processes.

A clear "Definition of Done" for Phase 1 is helpful: Documents are created exclusively in the system, templates are finalized, master data is cleansed, and the most important exceptions (credit notes, partial invoices) have been tested. Only then is the next expansion worthwhile.

Phase 1: Stabilize documents and master data
Phase 2: Add reports and automations
Phase 3: Warehouse, projects, shop, extended interfaces

How do you migrate data from Excel cleanly?

Migration begins with data cleaning : removing duplicates, defining mandatory fields, standardizing spellings, and archiving outdated records. Establish clear rules, for example, for customer numbers, article numbers, tax rates, and payment terms. Then, import the data in test runs and systematically check samples.

Open items and ongoing transactions require special attention because they impact the initial setup. It's often advisable to transfer only open transactions and relevant master data, keeping historical documents available as an archive. This prevents legacy issues from burdening the new system.

After the import, check not only individual records but also totals and logic: Are the open item totals correct? Are payment terms accurate? Are contact persons and email addresses complete? These checks prevent errors from propagating to live operation.

What mistakes should be avoided during implementation?

A common mistake is a starting scope that is too large: introducing warehouses, projects, CRM, evaluations and interfaces at the same time overwhelms small teams and lengthens the changeover. Long parallel operation is equally problematic because it causes data to diverge and reduces acceptance. Unclear responsibilities for master data also quickly lead to inconsistencies.

These risks can be avoided through clear prioritization, a fixed go-live date, defined data controllers and short feedback loops. Test core cases with real data and check exceptions, such as credits, partial invoices or special prices, before regular operations start.

ERP für Kleinstunternehmen vs. Buchhaltungssoftware

Accounting software focuses on financial accounting, receipts, taxes, and reporting, while an ERP system also integrates operational processes.

In very small businesses, the central question is often not "either/or," but rather "which tasks should be handled by the ERP system and which should remain in accounting or with the tax advisor?"

A sensible combination combines receipt and process data with a seamless transfer to accounting. It's crucial to avoid maintaining the same information in multiple systems. A clear system boundary is essential: Which system is the primary source for customers, products, invoices, and payments?

This demarcation is particularly important for businesses with 1-10 employees, as any duplicate data entry is immediately noticeable. If one system is the primary source, the other systems should consistently only adopt the data—not modify it in parallel. This reduces errors and clarifies responsibilities.

What can an ERP system do in addition to accounting?

An ERP system maps operational reality : which offers are open, which orders are in progress, which deliveries are outstanding, and which services have already been provided. It links this information with customer and product data, making statuses and responsibilities transparent. This allows for faster responses and early identification of bottlenecks.

Its relevance stems from the fact that many problems don't originate in accounting, but earlier: unclear prices, missing proof of performance, incomplete customer data, or late invoicing. An ERP system can structure these preliminary stages, reducing the need for corrections and queries in accounting.

Operational control: status, deadlines, responsibilities
Data consistency: master data and documents from a single system
Fewer queries: traceable history for each transaction

When is accounting software sufficient?

Accounting software is often sufficient when service provision is simple , few quotes are generated, and there are few handoffs within the team. A streamlined financial focus can also suffice if there's no inventory to manage and sales remain manageable. However, this requires that templates, filing, and responsibilities are consistently defined.

An ERP system becomes a better foundation for micro-enterprises when document volumes increase, multiple people work on processes, or when order and project management become crucial. Growth is often reflected not only in revenue but also in the increasing complexity of tasks: more inquiries, more product variations, more coordination. In such cases, an integrated process chain is usually more stable than isolated solutions.

Accounting is sufficient when: few processes, clear standards, and low complexity.
ERP is beneficial when: document volume increases, teamwork is involved, and status and delivery capabilities are maintained.
Warning sign: more time spent on coordination than on value creation.

How do integrations with banking, online shops, and tax advisors work?

In practice, integrations should function in a way that is repeatable and auditable: Banking imports sales, allocates payments to open items, and flags discrepancies. Shop integrations transfer orders, customer data, and line items, ideally with status updates on shipping or cancellations. For tax advisors, standardized exports and complete document provision are crucial.

A clear error handling process is essential: Who checks import logs, how are duplicates handled, and how are special cases such as partial deliveries or credit notes managed? Test integrations with real-world examples before going live.

ERP for micro-enterprises vs. accounting software

For micro-enterprises, the "best" ERP system is usually the one that goes live quickly, reliably maps core processes, and remains seamlessly integrated. Therefore, a structured selection process is crucial: prioritize requirements, test key use cases, review data and access control concepts, and realistically assess scalability.

In addition to functionality, you should consider security and data sovereignty: GDPR compliance, data processing agreements, user roles, logging, and backup and recovery processes. Cloud ERP systems are not inherently "unsafe" in this regard; rather, they must be evaluated based on concrete evidence and contractual terms.

For a sound decision, a concise selection process with clear criteria is recommended:

Define mandatory requirements
Conduct practical tests with real-world scenarios
Check costs and interfaces
Clarify the implementation plan and support.

This prevents the selection process from being based solely on feature lists or gut feeling.

What selection criteria are decisive?

What matters most for small teams is time-to-value: How quickly can offers, orders and invoices be processed properly in everyday life? Therefore, test ERP systems with real scenarios instead of just demos or function lists.

What is important is simple operation, a complete core process, reliable support and a starting scope without unnecessary complexity. Especially for small teams, the ERP should be usable productively without a long training period.

A short checklist helps to evaluate providers in a comparable way:

Must: document workflow, master data, open items, rights, exports
Should: Banking connection, templates, automation rules, history
Optional: warehouse, projects, shop, extended reports
Support: response times, onboarding, documentation, contact person

If you are unsure which ERP solution is right for your company, the selection should not just be based on features. FIGULI CONSULTING supports small businesses in prioritizing requirements, comparing suitable systems and defining a lean setup for the start.

Request ERP advice

How do you ensure GDPR compliance and security?

For GDPR compliance and security, you should address verifiable points: data processing agreement, storage location and hosting partner, technical and organizational measures, logging, roles and permissions, and deletion and retention concepts. It's also crucial to understand how backups are created and how recovery works in case of an emergency.

In practice, a sound rights concept often enhances security more effectively than technical details: access to sensitive data, export rights, price lists, and deletions should be restricted. Supplement this with internal rules, such as those for password management and handling shared mailboxes, to prevent security gaps in the process.

GDPR: Data processing agreement, technical and organizational measures (TOMs), deletion and retention concept
Security: Roles, logs, two-factor authentication, access control
Operations: Backup, recovery, emergency procedures, monitoring

Additionally, endpoints and user accounts should be technically secured. Learn more in the article "Endpoint Security."

How can the ERP system remain scalable?

For micro-enterprises, scaling usually means more documents, more users, more interfaces, and more product or service variants. A system remains scalable if it seamlessly integrates modules, maintains consistent data models, and operates integrations reliably. Check whether roles can grow with the business, for example, by creating separate responsibilities for sales, fulfillment, and finance.

New channels like online shops or marketplaces increase the demands on product and inventory logic. If warehouse management becomes relevant later, the product structure, units, and tax logic should be clearly defined from the outset. This prevents disruptive changes later on.

Check scalability: Module path, API, exports, roles, multi-tenancy (if needed)
Data basis: Product structure, prices, taxes, units, variants
Processes: Adapt status models and responsibilities to growth

Conclusion

An ERP system is particularly worthwhile for micro-enterprises when quotes, orders, invoices, and customer data can no longer be reliably managed in separate tools . Small teams especially benefit from centralized data, reduced duplication of effort, and streamlined daily processes.

The key is not necessarily the largest possible system, but rather an ERP solution that quickly becomes productive, accurately maps core processes, and can be expanded later. A lean approach with clearly defined responsibilities is usually more successful in practice than an overloaded, comprehensive system.

FIGULI CONSULTING helps small businesses define the appropriate initial scope, prioritize requirements, and implement ERP solutions in a practical way.

Discuss an ERP solution for your company

FAQ

Are there ERP systems specifically for small businesses?

Yes. Many ERP solutions are specifically designed for small businesses with 1–10 employees and offer a reduced feature set, cloud operation, and easy implementation without an in-house IT department.

Does a small business need an ERP system?

An ERP system is beneficial when several processes are interconnected, such as quotes, orders, invoices, and customer relationship management. The benefits increase significantly as soon as information is regularly transferred between people or data is entered twice. For very few processes, a combination of individual tools may suffice.

How much does an ERP system cost per month for micro-businesses?

The ongoing costs usually depend on the number of users, modules, and document volume. In addition, there are one-time costs for implementation, migration, and training, as well as indirect internal time. For realistic planning, you should consider these two types of costs separately and compare them with measurable time savings.

How secure is cloud ERP with regard to GDPR and data protection?

Security can be verified through data processing agreements, hosting, technical and organizational measures, logging, and deletion and backup concepts. In daily operations, roles and permissions are particularly important to limit exports, deletions, and sensitive data. Supplementary internal rules close process gaps.

When is a small ERP system better than multiple individual tools?

A small ERP system is usually better when documents and master data are scattered across multiple tools, leading to queries, corrections, or delays. As soon as several people work on processes or the number of documents increases, an integrated document chain often becomes more economical. The process chain and error costs are crucial, not just the team size.

Which ERP software is suitable for micro-enterprises?

ERP systems that combine quotes, invoices, customer management, and simple reports in a clear and user-friendly interface are particularly suitable. For small teams, ease of use, cloud access, and rapid implementation are usually more important than a large number of specialized functions

Multifaktor Authentifizierung im Unternehmen einführen

Wed, 03 Jun 2026 13:36:16 GMT

Multifaktor Authentifizierung (MFA) im Unternehmen einführen: Leitfaden für KMU

Multifaktor Authentifizierung (MFA) schützt Benutzerkonten, indem neben dem Passwort ein zusätzlicher Nachweis erforderlich ist – zum Beispiel per Authenticator-App, Smartphone-Freigabe oder Sicherheitsschlüssel.

MFA gehört heute zu den wichtigsten Sicherheitsmaßnahmen für Unternehmen. Denn gestohlene Passwörter allein reichen Angreifern oft bereits aus, um auf E-Mails, Cloud-Dienste, VPN-Zugänge oder interne Systeme zuzugreifen.

Besonders betroffen sind Microsoft 365, VPN-Zugänge, Cloud-Plattformen und administrative Konten. Genau dort verhindert MFA viele erfolgreiche An griffe bereits mit einfachen zusätzlichen Sicherheitsfaktoren.

Dieser Leitfaden zeigt, wie Unternehmen MFA strukturiert einführen, welche Methoden sinnvoll sind und worauf es bei Rollout, Recovery und Betrieb wirklich ankommt.

Inhaltsverzeichnis

Was ist Multifaktor Authentifizierung?
Warum Passwörter allein nicht mehr ausreichen
MFA vs. 2FA
Welche MFA-Methode ist für Unternehmen sinnvoll?
MFA vorbereiten: Technik, Richtlinien & Voraussetzungen
MFA Einführung im Unternehmen: Rollout, Kommunikation & Betrieb
MFA in der Praxis aktivieren: Microsoft 365, Google Workspace, VPN & Admin-Konten
Kosten und Aufwand von MFA im Unternehmen
Fazit
FAQ zur Multifaktor Authentifizierung

Was ist Multifaktor Authentifizierung?

Multifaktor Authentifizierung (MFA) ist ein Sicherheitsverfahren, bei dem Benutzer ihre Identität mit mindestens zwei unabhängigen Faktoren bestätigen müssen. Typisch ist die Kombination aus Passwort und zusätzlicher Bestätigung per Smartphone, Authenticator-App oder Sicherheitsschlüssel. MFA reduziert das Risiko kompromittierter Konten deutlich und gehört heute zu den wichtigsten Schutzmaßnahmen für Unternehmen.

Warum Passwörter allein nicht mehr ausreichen

Passwörter bleiben ein zentraler Bestandteil digitaler Identitäten, reichen als alleiniger Schutz heute jedoch nicht mehr aus. Wiederverwendung, schwache Kennwörter, Credential-Stuffing und Social Engineering führen dazu, dass Angreifer häufig ohne große technische Hürden Zugriff auf Konten erhalten. Besonders kritisch wird es, wenn ein kompromittierter Login gleichzeitig Zugriff auf E-Mail, Cloud-Dienste oder zentrale Unternehmenssysteme ermöglicht.

Multifaktor Authentifizierung ergänzt das Passwort daher um mindestens einen weiteren Nachweis – etwa per Authenticator-App, Smartphone-Freigabe oder Sicherheitsschlüssel. Dadurch reichen gestohlene Zugangsdaten allein nicht mehr für einen erfolgreichen Login aus. Unternehmen reduzieren Kontoübernahmen, begrenzen Phishing-Schäden und verbessern die Kontrolle über Cloud- und Remote-Zugänge deutlich.

Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt MFA inzwischen als grundlegende Schutzmaßnahme für Unternehmenszugänge.

Wie funktioniert Multifaktor Authentifizierung im Unternehmen?

Bei der Anmeldung prüft das System nicht nur ein Passwort, sondern zusätzlich einen zweiten Nachweis. Dieser zweite Nachweis stammt idealerweise aus einer anderen Kategorie als das Passwort, etwa aus Besitz (App, Token) oder Biometrie. Erst wenn beide Prüfungen erfolgreich sind, wird der Zugriff gewährt.

Warum sind Phishing und Passwortdiebstahl heute das größte Risiko für Unternehmens-Accounts?

Phishing ist so erfolgreich, weil es menschliche Routine ausnutzt: Login-Seiten wirken täuschend echt, E-Mails sind professionell gefälscht und Zeitdruck führt häufig zu Fehlentscheidungen. Selbst komplexe Passwörter verlieren ihren Schutzwert, sobald sie abgegriffen oder wiederverwendet werden.

Besonders gefährlich ist, dass ein einzelner kompromittierter Zugang oft weitere Systeme öffnet – etwa E-Mail, Cloud-Dienste, SSO-Plattformen oder Remote-Zugänge.

MFA sollte außerdem Teil eines umfassenden Sicherheitskonzepts sein. Warum auch Geräteabsicherung und Endpoint Security entscheidend sind, zeigt der Beitrag „Endpoint Security” .

Welche Unternehmensbereiche profitieren zuerst?

Am schnellsten steigt der Sicherheitsgewinn dort, wo ein erfolgreicher Login besonders weitreichende Folgen hat . E-Mail ist meist der wichtigste Einstiegspunkt, weil darüber Kommunikation, Passwort-Resets und Freigaben laufen. Danach folgen zentrale Cloud-Dienste, Remote-Zugänge und administrative Konten.

Nicht alle Systeme müssen gleichzeitig abgesichert werden. Für KMU empfiehlt sich eine Priorisierung nach Risiko und potenzieller Auswirkung eines kompromittierten Kontos.

Besonders bei virtualisierten Serverumgebungen und Administrationszugängen sollte MFA verpflichtend eingesetzt werden. Mehr dazu auch im Beitrag „Proxmox Cluster aufbauen: Hochverfügbarkeit für Ihre Server-Infrastruktur“.

Für technische Details und eine neutrale Darstellung der MFA-Techniken siehe auch den Überblick zur Mehrfaktor-Authentifizierung von onlinesicherheit.at .

MFA vs. 2FA

2FA bedeutet, dass beim Login zwei Nachweise verlangt werden – etwa Passwort plus Einmalcode. MFA (Multifaktor Authentifizierung) beschreibt allgemein die Nutzung mehrerer unabhängiger Faktoren und umfasst oft strengere Sicherheitsrichtlinien, etwa risikobasierte Anmeldungen, Geräteprüfung oder phishingresistente Verfahren.

In der Praxis werden 2FA und MFA häufig gleichgesetzt. Für Unternehmen ist der Unterschied dennoch relevant, weil nicht jede 2FA-Variante denselben Schutz gegen moderne Angriffe bietet. Entscheidend ist weniger der Begriff als die tatsächliche Sicherheit der eingesetzten Methode.

2FA beschreibt zwei Anmeldeschritte, MFA mehrere oder strengere Faktoren
Nicht jede 2FA-Variante schützt zuverlässig vor modernem Phishing
Für kritische Konten sind phishingresistente Verfahren besonders wichtig

Was ist 2FA, was ist MFA – und warum ist das nicht dasselbe?

2FA nutzt genau zwei Faktoren bei der Anmeldung. MFA beschreibt allgemein die Nutzung mehrerer unabhängiger Faktoren und zusätzlicher Sicherheitsrichtlinien.

Für privilegierte Konten sollten Unternehmen möglichst phishingresistente Verfahren wie FIDO2 einsetzen. App-basierte Verfahren gelten dagegen als guter Standard für den breiten Rollout im KMU-Umfeld.

Welche Faktoren gibt es – und welche Kombinationen sind sinnvoll?

Authentifizierungsfaktoren werden typischerweise in Wissen, Besitz und Inhärenz eingeteilt. Sinnvoll sind Kombinationen aus unterschiedlichen Kategorien, weil ein kompromittierter Faktor nicht automatisch Zugriff auf den zweiten Nachweis ermöglicht.

Wissen: Passwort, PIN oder Passphrase
Besitz: Authenticator-App, FIDO2-Token oder Smartcard
Biometrie: Fingerabdruck oder Gesichtserkennung auf verwalteten Geräten

Wann reicht 2FA aus – und wann ist MFA Pflicht?

Für Standardnutzer kann eine konsequent umgesetzte 2FA mit App-basierter Bestätigung bereits einen deutlichen Sicherheitsgewinn bringen. Kritischer wird es dort, wo ein einzelner Zugriff weitreichende Folgen haben kann – etwa bei Administrationskonten, Identitätsplattformen, Remote-Zugängen oder Freigabeprozessen.

Standardnutzer: App-basierte MFA als praktikabler Mindeststandard
Admin-Konten: phishingresistente Verfahren und getrennte Konten
Remote-Zugänge: MFA verpflichtend, idealerweise kombiniert mit Geräteprüfung
Finanz- und Freigabeprozesse: zusätzliche Kontrollen und stärkere Authentifizierung

Die US-Sicherheitsbehörde CISA empfiehlt phishingresistente MFA insbesondere für privilegierte Konten und externe Zugriffe. Für weitergehende organisatorische Vorgaben in Österreich kann außerdem das österreichische Informationssicherheitshandbuch als Orientierung dienen.

FIGULI CONSULTING unterstützt Unternehmen dabei, MFA nicht nur technisch zu aktivieren, sondern sauber in bestehende IT-Strukturen einzubetten – von der Auswahl geeigneter Verfahren über Richtlinien und Rollout-Planung bis zur Absicherung von Microsoft 365, VPN, Cloud-Diensten und Administrationskonten.

MFA-Einführung mit FIGULI planen

Welche MFA-Methode ist für Unternehmen sinnvoll?

Die passende MFA-Methode hängt von Schutzbedarf, Benutzergruppe und Alltagstauglichkeit ab. Viele Unternehmen starten mit einer Authenticator-App, weil sie ohne zusätzliche Hardware funktioniert und in gängigen Plattformen gut integriert ist. Für besonders kritische Konten sind FIDO2-Sicherheitsschlüssel oder andere phishingresistente Verfahren meist die bessere Wahl.

Wichtig ist der Nutzungskontext: Mitarbeitende im Büro, Außendienst, Shared Devices, Produktion und Administratoren haben unterschiedliche Anforderungen. Eine gute MFA-Strategie ist daher differenziert, aber nicht unnötig kompliziert.

Authenticator-App: guter Standard für viele Mitarbeitende
FIDO2-Sicherheitsschlüssel: hoher Schutz für Admins und kritische Zugänge
SMS-Code: nur als Übergang oder Backup sinnvoll
Recovery-Prozesse: vor dem Rollout festlegen und testen

Sind Passkeys und passwordless Login die Zukunft?

Passkeys und passwordless Verfahren gewinnen im Unternehmensumfeld an Bedeutung . Statt eines klassischen Passworts erfolgt die Anmeldung über kryptografische Schlüssel auf vertrauenswürdigen Geräten, häufig kombiniert mit Biometrie oder FIDO2.

Dadurch sinkt das Risiko erfolgreicher Phishing-Angriffe deutlich, weil keine klassischen Passwörter mehr übertragen werden. Für viele KMU ist heute eine sauber eingeführte MFA der realistische Standard, langfristig werden passwortlose Verfahren aber immer wichtiger.

Kryptografische Schlüssel von YubiKey

Welche MFA-Methoden sind am sichersten?

Am sichersten sind phishingresistente Verfahren wie FIDO2-Sicherheitsschlüssel oder passwortlose Anmeldung. Sie eignen sich besonders für Admin-Konten, Management-Portale und andere kritische Zugänge. Auch Microsoft empfiehlt für privilegierte Konten möglichst phishingresistente MFA-Verfahren wie FIDO2 oder passwortlose Anmeldung.

Für den breiten Rollout in KMU ist eine Authenticator-App meist der beste Kompromiss aus Sicherheit, Aufwand und Akzeptanz. E-Mail oder SMS-Codes sollten nur verwendet werden, wenn keine bessere Methode verfügbar ist oder ein definierter Backup-Kanal benötigt wird.

Wie wählt man die passende Methode je Nutzergruppe?

Nicht jede Nutzergruppe braucht dieselbe MFA-Methode. Für Standardnutzer reicht häufig eine App-basierte Bestätigung. Für Admins und kritische Rollen sollte der Schutz deutlich stärker sein. Im Außendienst zählen außerdem Gerätewechsel, Offline-Situationen und schnelle Wiederherstellung.

Wie plant man Backup-Codes und Account-Recovery?

Account-Recovery ist ein Kernbestandteil jeder MFA-Einführung. Ohne geregelte Wiederherstellung entstehen schnell Ausfälle, etwa bei Handyverlust, Gerätewechsel oder defekten Smartphones.

Legen Sie deshalb vor dem Rollout fest, welche Nachweise für eine Wiederherstellung erforderlich sind, wer Freigaben erteilt und wie Notfallzugänge dokumentiert werden. Gerade in kleineren Unternehmen sollten diese Prozesse vorab getestet werden.

MFA-Methoden im Vergleich für KMU

Die folgende Übersicht fasst die wichtigsten MFA-Methoden für KMU nochmals kompakt zusammen.

Detailinformationen zu Authentifizierungsfaktoren für ID Austria finden Sie bei den Authentifizierungsfaktoren bei ID Austria .

MFA vorbereiten: Technik, Richtlinien & Voraussetzungen

Eine stabile MFA-Einführung beginnt vor der technischen Aktivierung. Identitäten, Geräte, Lizenzen, Anwendungen und Verantwortlichkeiten müssen zusammenpassen. Viele Probleme entstehen nicht durch MFA selbst, sondern durch unklare Ausnahmen, fehlende Recovery-Prozesse oder nicht berücksichtigte Sonderfälle wie Servicekonten, Shared Devices und ältere Authentifizierungsverfahren.

Organisatorisch braucht es eine klare MFA-Richtlinie. Sie legt fest, für welche Systeme Multifaktor Authentifizierung verpflichtend ist, welche Methoden erlaubt sind, wie Ausnahmen behandelt werden und wer im Störfall entscheidet. Technisch sollten Unternehmen prüfen, ob alle relevanten Systeme moderne Authentifizierung unterstützen und ob unsichere Altverfahren reduziert oder ersetzt werden können.

Vor dem Rollout sollten insbesondere diese Punkte geklärt sein:

Identitäten, Anwendungen und Zugriffswege erfassen
MFA-Policy mit Stufenplan, Ausnahmen und Recovery definieren
Legacy-Authentifizierung reduzieren oder absichern
Admin-Zugänge getrennt und stärker schützen

Welche technischen Voraussetzungen sollten vorab geprüft werden?

Prüfen Sie zuerst, wo Identitäten verwaltet werden: Cloud-Identity-Provider, Verzeichnisdienst, SSO-Plattform oder Mischbetrieb. Danach sollten alle relevanten Anwendungen, Protokolle und Zugriffswege erfasst werden.

Besonders kritisch sind ältere Authentifizierungsverfahren, die MFA umgehen können, wenn sie weiterhin erlaubt bleiben. Dazu gehören zum Beispiel veraltete Mail-Protokolle, Legacy-Clients oder nicht sauber eingebundene Drittanwendungen.

Wie erstellt man eine MFA-Richtlinie für das Unternehmen?

Eine MFA-Richtlinie sollte kurz, verständlich und umsetzbar sein. Sie definiert, für welche Systeme MFA verpflichtend ist, welche Methoden erlaubt sind und welche Ausnahmen möglich sind.

Ausnahmen sollten immer begründet, dokumentiert und zeitlich befristet werden. Sonst entstehen dauerhafte Sicherheitslücken, die später schwer kontrollierbar sind.

Wie lässt sich MFA ohne eigene Security-Abteilung umsetzen?

Auch ohne eigene Security-Abteilung lässt sich MFA sauber einführen, wenn Zuständigkeiten klar geregelt sind. Wichtig sind Verantwortliche für technische Administration, Helpdesk, Ausnahmen, Recovery und Richtlinienpflege.

Ein externer IT-Partner kann bei Architektur, Policy-Design, Pilotierung und Monitoring unterstützen, ohne den laufenden Betrieb vollständig zu übernehmen.

FIGULI CONSULTING unterstützt KMU dabei, MFA strukturiert einzuführen – insbesondere bei Cloud-Zugängen, Remote-Zugriffen, Microsoft 365, VPN und administrativen Konten.

Weitere Informationen zu passenden Leistungen finden Sie unter Leistungen.

MFA-Einführung im Unternehmen: Rollout, Kommunikation & Betrieb

Eine erfolgreiche MFA-Einführung beginnt kontrolliert und skaliert schrittweise. Statt alle Benutzer gleichzeitig umzustellen, sollten Unternehmen zuerst mit einem Pilot starten, typische Sonderfälle prüfen und danach in Wellen ausrollen. Entscheidend ist nicht nur die technische Aktivierung, sondern ein stabiler Ablauf aus Kommunikation, Support und Recovery.

Akzeptanz entsteht vor allem dann, wenn Mitarbeitende nachvollziehen können, warum MFA eingeführt wird und wie sie im Problemfall schnell Unterstützung erhalten. Kurze Anleitungen, klare Termine und erreichbarer Support reduzieren Widerstand und vermeiden unnötige Ausfälle.

Wenn die Plattform es unterstützt, sollte MFA zusätzlich mit risikobasierten Regeln, Geräteprüfung und Einschränkungen für unsichere Altverfahren kombiniert werden. Besonders in Microsoft-365-Umgebungen kann Conditional Access (kontextbasierte Zugriffssteuerung) helfen, Zugriffe abhängig von Standort, Gerät, Benutzerrolle oder Risiko zu steuern.

Pilot mit repräsentativen Nutzergruppen durchführen
Rollout in Wellen mit festen Terminen und Supportfenstern planen
Sonderfälle wie Gerätewechsel, Offline-Zugriffe und Recovery früh berücksichtigen
Unsichere Altverfahren nach erfolgreichem Rollout schrittweise deaktivieren

Wie läuft eine MFA-Einführung im KMU typischerweise ab?

Starten Sie mit einem Pilotprojekt, das typische Rollen abbildet: Office, Außendienst, IT-Administration und Management. Prüfen Sie dabei nicht nur die Technik, sondern auch Registrierung, Gerätewechsel, Recovery, Helpdesk-Prozesse und Protokollierung.

Danach erfolgt der Rollout schrittweise – idealerweise nach Abteilungen oder Standorten.

Pilot (1–2 Wochen): Registrierung, Recovery, Support und Sonderfälle testen
Rollout in Wellen (2–6 Wochen): Benutzergruppen schrittweise aktivieren
Go-live: MFA verpflichtend machen und unsichere Protokolle reduzieren
Stabilisierung: Tickets analysieren, Richtlinien optimieren und Reviews durchführen

Wie läuft eine MFA-Einführung im KMU typischerweise ab?

Kommunizieren Sie frühzeitig, verständlich und wiederholt. Mitarbeitende sollten wissen, warum MFA eingeführt wird, was sich verändert, bis wann Maßnahmen erforderlich sind und wo Hilfe verfügbar ist.

Vermeiden Sie unnötig technische Formulierungen. Kurze Schritt-für-Schritt-Anleitungen und Screenshots sind meist wirksamer als lange Dokumentationen.

Nutzen und Risiko verständlich erklären
Aktivierungsdatum und Fristen klar kommunizieren
Supportkanäle und Ansprechpartner sichtbar machen
Kurze Schulungen und FAQ bereitstellen

Welche Probleme treten bei der MFA-Einführung häufig auf?

Typische Probleme entstehen bei Gerätewechseln, fehlender Netzverbindung oder gemeinsam genutzten Geräten. Werden diese Szenarien erst nach dem Rollout berücksichtigt, steigt der Supportaufwand deutlich.

Definieren Sie deshalb früh Alternativen wie TOTP-Codes, Reservefaktoren oder Hardware-Token für betroffene Rollen.

Gerätewechsel: schneller Prozess für Re-Registrierung und Recovery
Offline-Situationen: TOTP oder Hardware-Token bereitstellen
Akzeptanz: kurze Anleitung und sichtbarer Support
Notfallzugänge: streng verwalten, dokumentieren und regelmäßig prüfen

Checkliste: Go-live-Vorbereitung für MFA

Vor der verpflichtenden Aktivierung sollten insbesondere folgende Punkte geprüft werden:

Alle Konten und Anwendungen inventarisieren
MFA-Methoden, Ausnahmen und Stichtage definieren
Helpdesk- und Eskalationswege bereitstellen
Recovery-Prozesse und Backup-Codes testen
Pilotgruppe durchführen und Erkenntnisse dokumentieren
Anmeldeprotokolle und Ausnahmen regelmäßig prüfen

In Finanzprozessen ist MFA bereits Standard. Ein praktisches Beispiel dafür ist die FinanzOnline 2-Faktor-Authentifizierung als behördliche Sicherheitsanforderung.

MFA in der Praxis aktivieren: Microsoft 365, Google Workspace, VPN & Admin-Konten

Die technische MFA-Aktivierung unterscheidet sich je Plattform, folgt aber denselben Grundprinzipien: privilegierte Konten zuerst absichern, Pilotgruppen testen und MFA danach schrittweise verpflichtend machen . Gleichzeitig sollten unsichere Altverfahren wie Legacy-Authentifizierung oder unnötige App-Passwörter reduziert werden.

Bei Cloud-Diensten ist die Identitätsplattform meist der zentrale Hebel. Sobald dort MFA und Richtlinien durchgesetzt werden, profitieren angebundene Anwendungen automatisch über SSO. Für VPN und Remote-Zugänge muss zusätzlich geprüft werden, ob MFA direkt unterstützt wird oder über einen Identity Provider eingebunden werden kann.

Dokumentieren Sie vor der Aktivierung die Zielkonfiguration für Methoden, Ausnahmen, Recovery und Admin-Schutz. Das erleichtert Rollout, Betrieb und spätere Audits deutlich.

Privilegierte Konten und Notfallzugänge zuerst absichern
MFA schrittweise über Gruppen und Richtlinien aktivieren
Legacy-Authentifizierung und Sonderfälle gezielt behandeln
Zielkonfiguration und Recovery-Prozesse dokumentieren

Gerade in KMU ist Microsoft 365 häufig der zentrale Einstiegspunkt für E-Mail, Teams, SharePoint und Passwort-Resets. Deshalb sollte MFA dort meist zuerst verpflichtend aktiviert werden.

MFA für Microsoft 365 sicher einrichten

Für Microsoft 365 ist entscheidend, wie MFA gesteuert wird: über zentrale Richtlinien, gruppenbasierte Zuweisung und – sofern verfügbar – risikobasierte Regeln wie Conditional Access.

Beginnen Sie mit Admin-Konten und einem streng kontrollierten Notfallkonto. Danach aktivieren Sie MFA für Pilotgruppen und rollen die Pflicht schrittweise aus.

MFA für Google Workspace aktivieren

In Google Workspace wird MFA typischerweise über Admin-Einstellungen sowie organisatorische Einheiten oder Gruppen gesteuert. Legen Sie fest, welche Methoden erlaubt sind und ab wann MFA verpflichtend wird.

Auch hier sollten zuerst privilegierte Konten abgesichert werden, bevor die Aktivierung breit ausgerollt wird.

Warum MFA für Admin-Konten Pflicht ist

Admin-Konten gehören zu den wichtigsten Angriffszielen, weil sie Sicherheitsrichtlinien ändern, Benutzer verwalten und weitreichende Zugriffe ermöglichen können. Deshalb sollten privilegierte Konten strikt von normalen Arbeitskonten getrennt werden.

Für Administratoren empfehlen sich phishingresistente Verfahren wie FIDO2-Sicherheitsschlüssel oder passwortlose Anmeldung.

Break-Glass-Konten (streng geschützte Notfallzugänge für den Ausnahmefall) dienen als Notfallzugang, falls MFA-Richtlinien oder zentrale Dienste ausfallen. Sie sollten nur minimal genutzt, sicher dokumentiert und regelmäßig getestet werden.

FIGULI CONSULTING unterstützt Unternehmen dabei, privilegierte Konten, Recovery-Prozesse und Notfallzugänge strukturiert abzusichern und in bestehende Microsoft-365- und Remote-Zugriffsmodelle einzubinden.

Aktuelle Praxisbeispiele und Sicherheitsthemen finden Sie außerdem in den IT-News bei FIGULI.

Kosten und Aufwand von MFA im Unternehmen

Die Kosten für Multifaktor Authentifizierung bestehen aus Lizenzen, optionaler Hardware wie FIDO2-Schlüsseln, Implementierungsaufwand sowie laufendem Support und Betrieb. Gerade in KMU werden weniger die Lizenzkosten unterschätzt, sondern vielmehr Rollout-Support, Gerätewechsel, Recovery-Prozesse und die Verwaltung von Ausnahmen.

Eine realistische Planung berücksichtigt deshalb sowohl die Einführung als auch den laufenden Betrieb – inklusive Monitoring, Reviews und regelmäßiger Anpassungen der Richtlinien.

Welche Kostenblöcke gibt es – und wo wird es oft unterschätzt?

Typische Kostenblöcke sind Identitäts- und Sicherheitslizenzen, Hardware-Token für kritische Rollen, Implementierungszeit sowie Schulung und Support.

Unterschätzt werden häufig indirekte Aufwände: Helpdesk-Spitzen während des Rollouts, Recovery-Fälle nach Geräteverlust, Pflege von Ausnahmen und regelmäßige Anpassungen der Richtlinien.

Wie kalkuliert man Aufwand und Betrieb im Mittelstand realistisch?

Kalkulieren Sie den Aufwand entlang der gesamten Einführung: Vorbereitung, Pilot, Rollout, Pflichtsetzung und laufender Betrieb. Der Supportaufwand ist in den ersten Wochen typischerweise am höchsten und sinkt später deutlich, wenn Recovery und Selbsthilfeprozesse sauber funktionieren.

Zum laufenden Betrieb gehören außerdem Gerätewechsel, Rollenwechsel, Offboarding, Token-Erneuerung und regelmäßige Sicherheitsreviews.

Wie misst man den Sicherheitsgewinn nach dem Rollout?

Der Sicherheitsgewinn lässt sich über technische und organisatorische Kennzahlen bewerten. Relevant sind beispielsweise blockierte Anmeldeversuche, auffällige Login-Muster, erfolgreiche Phishing-Abwehr oder reduzierte Kontoübernahmen.

Zusätzlich helfen Helpdesk- und Nutzerfeedback dabei, Reibungspunkte im Alltag zu erkennen und Richtlinien gezielt zu optimieren.

KPIs: verdächtige Logins, blockierte Versuche, Ticketvolumen
Reviews: Ausnahmen, privilegierte Konten und neue Anwendungen prüfen
Härtung: Legacy-Authentifizierung reduzieren und stärkere Faktoren nutzen
Prozesse: Recovery und Offboarding regelmäßig testen

Typische Kosten- und Aufwandsfelder bei MFA im KMU

Die tatsächlichen Kosten hängen stark von Nutzeranzahl, Plattformen und Sicherheitsniveau ab. Typische Aufwandsbereiche ähneln sich jedoch in den meisten MFA-Projekten.

Fazit

Multifaktor Authentifizierung gehört heute zu den wichtigsten Sicherheitsmaßnahmen für Unternehmen, weil gestohlene Passwörter allein oft bereits für erfolgreiche Angriffe ausreichen.

Erfolgreich ist MFA jedoch nur dann, wenn Technik, Richtlinien, Recovery und Benutzerfreundlichkeit zusammenpassen.

Gerade KMU profitieren davon, MFA schrittweise und praxisnah einzuführen – zuerst bei E-Mail, Cloud-Zugängen, VPN und Admin-Konten. So lässt sich das Sicherheitsniveau deutlich erhöhen, ohne den laufenden Betrieb unnötig zu belasten.

FIGULI CONSULTING unterstützt Unternehmen dabei, Multifaktor Authentifizierung technisch und organisatorisch sauber umzusetzen – von der MFA-Policy über Rollout und Recovery bis zur Absicherung von Microsoft 365, Cloud-Plattformen, VPN-Zugängen und privilegierten Konten.

Kontakt aufnehmen

FAQ zur Multifaktor Authentifizierung

Was ist der Unterschied zwischen MFA und 2FA?

2FA (Zwei-Faktor-Authentifizierung) ist eine Unterform von MFA. Während 2FA genau zwei Faktoren nutzt, kann Multifaktor Authentifizierung auch mehrere Sicherheitsfaktoren kombinieren, etwa Passwort, Authenticator-App und Hardware-Token. Im Unternehmensumfeld wird meist der Begriff MFA verwendet.

Welche Systeme sollten Unternehmen zuerst mit MFA absichern?

Unternehmen sollten zuerst kritische Zugänge absichern: Microsoft 365, E-Mail-Konten, VPN-Zugänge, Cloud-Plattformen, Remote-Zugriffe und administrative Konten. Besonders E-Mail-Konten gelten als häufigstes Angriffsziel und sollten priorisiert werden.

Welche MFA-Methode ist am sichersten: App, SMS oder Token?

FIDO2-Sicherheitsschlüssel gelten derzeit als die sicherste MFA-Methode für Unternehmen, weil sie Phishing deutlich erschweren. Für viele KMU ist eine Authenticator-App jedoch der praktikabelste Standard. SMS-Codes sollten möglichst nur als Übergang oder Backup genutzt werden.

Was passiert bei Handyverlust oder Gerätewechsel?

Unternehmen sollten Recovery-Prozesse für Gerätewechsel und Verlustfälle definieren. Empfehlenswert sind Backup-Codes, ein zweiter registrierter Faktor oder ein klar geregelter Helpdesk-Prozess mit Identitätsprüfung. Gerade in KMU entstehen Probleme häufig erst beim ersten Gerätewechsel.

Reicht Multifaktor Authentifizierung allein als Schutz gegen Phishing aus?

MFA reduziert das Risiko erfolgreicher Angriffe deutlich, ersetzt aber keine weiteren Sicherheitsmaßnahmen. Moderne Phishing-Angriffe versuchen teilweise auch Sitzungen oder Tokens zu übernehmen. Deshalb sollten Unternehmen zusätzlich auf sichere Endgeräte, Monitoring und Security Awareness setzen.

Wie führen Unternehmen MFA Schritt für Schritt ein?

Eine MFA-Einführung beginnt meist mit privilegierten Konten und kritischen Systemen. Danach folgen Richtlinien, Pilotgruppe, Rollout, Schulung und Recovery-Prozesse. Wichtig sind klare Kommunikation, Tests und ein Supportkonzept für den laufenden Betrieb.

Was kostet MFA für Unternehmen?

Die Kosten hängen von Plattformen, Nutzeranzahl und Sicherheitsniveau ab. Viele Cloud-Plattformen wie Microsoft 365 oder Google Workspace enthalten MFA bereits teilweise im Lizenzumfang. Zusätzlicher Aufwand entsteht meist durch Rollout, Schulung, Conditional Access, Hardware-Token und Supportprozesse.

Introducing multi-factor authentication in the company

Wed, 03 Jun 2026 11:46:11 GMT

Introducing Multi-Factor Authentication (MFA) in your company: A guide for SMEs

Multi-factor authentication (MFA) protects user accounts by requiring an additional form of verification besides the password – for example, via an authenticator app, smartphone sharing, or a security key.

MFA is now one of the most important security measures for businesses. Stolen passwords alone are often enough for attackers to gain access to emails, cloud services, VPN connections, or internal systems.

Microsoft 365, VPN access, cloud platforms, and administrative accounts are particularly vulnerable. MFA prevents many successful attacks in these areas with just a few simple additional security factors.

This guide shows how businesses can implement MFA in a structured way, which methods are effective, and what really matters during rollout, recovery, and operation.

What is Multi-Factor Authentication?
Why passwords alone are no longer sufficient
MFA vs. 2FA
Which MFA method makes sense for companies?
Preparing for MFA: Technology, guidelines & prerequisites
Implementing MFA in the company: Rollout, communication & operation
Activating MFA in practice: Microsoft 365, Google Workspace, VPN & admin accounts
Costs and effort of MFA in the company
Conclusion
FAQ on Multi-Factor Authentication

What is multi-factor authentication?

Multi-factor authentication (MFA) is a security procedure in which users must confirm their identity with at least two independent factors. Typically, this involves a combination of a password and additional verification via smartphone, authenticator app, or security key . MFA significantly reduces the risk of compromised accounts and is now one of the most important security measures for businesses.

Why passwords alone are no longer enough

Passwords remain a central component of digital identities, but they are no longer sufficient as the sole form of protection. Reuse, weak passwords, credential stuffing, and social engineering mean that attackers often gain access to accounts without significant technical hurdles. The situation becomes particularly critical when a compromised login also grants access to email, cloud services, or central corporate systems.

Multi-factor authentication (MFA) therefore supplements the password with at least one additional verification method—for example, via an authenticator app, smartphone authorization, or security key. This means that stolen login credentials alone are no longer enough for a successful login. Companies reduce account takeovers, limit phishing damage, and significantly improve control over cloud and remote access.

The German Federal Office for Information Security (BSI) now also recommends MFA as a fundamental security measure for corporate access.

How does multi-factor authentication work in a company?

During registration, the system checks not only a password but also a second form of verification. Ideally, this second form of verification comes from a different category than the password, such as possession (app, token) or biometrics. Access is only granted if both verifications are successful.

Why are phishing and password theft the biggest risk to business accounts today?

Phishing is so successful because it exploits human routine: login pages appear deceptively real, emails are professionally forged, and time pressure often leads to poor decisions. Even complex passwords lose their protective value as soon as they are compromised or reused.

What's particularly dangerous is that a single compromised account often opens up other systems—such as email, cloud services, SSO platforms, or remote access.

MFA should also be part of a comprehensive security concept. The article "Endpoint Security" explains why device protection and endpoint security are also crucial.

Which business units will benefit first?

Security gains are most rapid where a successful login has particularly far-reaching consequences. Email is usually the most important entry point because it's used for communication, password resets, and sharing. Central cloud services, remote access, and administrative accounts follow.

Not all systems need to be secured simultaneously. For SMEs, prioritizing based on the risk and potential impact of a compromised account is recommended.

Multi-factor authentication (MFA) should be mandatory, especially in virtualized server environments and for administrative access. You can find more information in the article "Building a Proxmox Cluster: High Availability for Your Server Infrastructure."

For technical details and a neutral overview of MFA techniques, see the overview of multi-factor authentication from onlinesicherheit.at .

MFA vs. 2FA

Two-factor authentication (2FA) means that two forms of verification are required for login – for example, a password plus a one-time code. Multi-factor authentication (MFA) generally describes the use of several independent factors and often includes stricter security measures, such as risk-based logins, device verification, or phishing-resistant methods.

In practice, 2FA and MFA are often used interchangeably. However, the distinction is relevant for businesses because not every 2FA variant offers the same level of protection against modern attacks. The actual security of the method used is more important than the terminology itself.

2FA describes two login steps, while MFA involves multiple or stricter factors.
Not every 2FA variant provides reliable protection against modern phishing.
Phishing-resistant methods are particularly important for critical accounts.

What is 2FA, what is MFA – and why are they not the same thing?

Two-factor authentication (2FA) uses exactly two factors for login. Multi-factor authentication (MFA) generally describes the use of multiple independent factors and additional security measures.

For privileged accounts, companies should use phishing-resistant methods such as FIDO2 . App-based methods, on the other hand, are considered a good standard for widespread rollout in the SME sector.

What factors are there – and which combinations make sense?

Authentication factors are typically categorized as knowledge, possession, and inherence. Combinations of different categories are advisable because a compromised factor does not automatically grant access to the second authentication factor.

Knowledge: Password, PIN, or passphrase
Possession: Authenticator app, FIDO2 token, or smart card
Biometrics: Fingerprint or facial recognition on managed devices

When is 2FA sufficient – and when is MFA mandatory?

For standard users, consistently implemented two-factor authentication (2FA) with app-based verification can already provide a significant security advantage. The situation becomes more critical where a single access attempt can have far-reaching consequences—for example, with administrative accounts, identity platforms, remote access, or approval processes.

Standard users: App-based multi-factor authentication (MFA) as a practical minimum standard
Administrative accounts: Phishing-resistant procedures and separate accounts
Remote access: Mandatory MFA, ideally combined with device verification
Financial and approval processes: Additional controls and stronger authentication

The US Federal Office for Information Security (CISA) recommends phishing-resistant MFA, especially for privileged accounts and external access. For further organizational requirements in Austria, the Austrian Information Security Handbook can also serve as a guide.

FIGULI CONSULTING helps companies not only to technically activate MFA, but also to seamlessly integrate it into existing IT infrastructures – from selecting suitable methods and developing policies and rollout plans to securing Microsoft 365, VPNs, cloud services, and administrative accounts.

Plan your MFA implementation with FIGULI

Which MFA method makes sense for companies?

The appropriate MFA method depends on the security requirements, user group, and everyday usability . Many companies start with an authenticator app because it works without additional hardware and is well integrated into common platforms. For particularly critical accounts, FIDO2 security keys or other phishing-resistant methods are usually the better choice.

The usage context is crucial: Office workers, field staff, those using shared devices, production staff, and administrators have different requirements. A good MFA strategy is therefore differentiated but not unnecessarily complicated.

Authenticator app: a good standard for many employees
FIDO2 security keys: high protection for administrators and critical accounts
SMS code: only useful as a temporary solution or backup
Recovery processes: define and test before rollout

Are passkeys and passwordless login the future?

Passkeys and passwordless authentication methods are gaining importance in the corporate environment . Instead of a traditional password, login is performed using cryptographic keys on trusted devices, often combined with biometrics or FIDO2.

This significantly reduces the risk of successful phishing attacks because traditional passwords are no longer transmitted. For many SMEs, a well-implemented multi-factor authentication (MFA) system is currently the realistic standard, but passwordless methods will become increasingly important in the long term.

Cryptographic keys from YubiKey

Which MFA methods are the safest?

The most secure methods are phishing-resistant MFA, such as FIDO2 security keys or passwordless login. These are particularly suitable for administrator accounts, management portals, and other critical access points. Microsoft also recommends using phishing-resistant MFA methods like FIDO2 or passwordless login for privileged accounts whenever possible.

For widespread rollout in SMEs, an authenticator app is usually the best compromise between security, effort, and user acceptance. Email or SMS codes should only be used if no better method is available or a defined backup channel is required.

How do you choose the appropriate method for each user group?

Not every user group needs the same MFA method. For standard users, app-based authentication is often sufficient. Administrators and those with critical roles require significantly stronger protection. Field staff also need to consider device switching, offline situations, and rapid recovery.

How do you plan backup codes and account recovery?

Account recovery is a core component of any multi-factor authentication (MFA) implementation. Without a structured recovery process, outages can quickly occur, for example, due to lost phones, device changes, or defective smartphones.

Therefore, before the rollout, define what evidence is required for recovery, who grants permissions, and how emergency access is documented. Especially in smaller companies, these processes should be tested beforehand.

Comparison of MFA methods for SMEs

The following overview provides a concise summary of the most important MFA methods for SMEs.

Detailed information on authentication factors for ID Austria can be found under Authentication Factors at ID Austria .

Preparing for Medical Assistants: Techniques, Guidelines & Requirements

A stable MFA implementation begins before technical activation. Identities, devices, licenses, applications, and responsibilities must be aligned. Many problems arise not from MFA itself, but from unclear exceptions, missing recovery processes, or overlooked special cases such as service accounts, shared devices, and legacy authentication methods.

Organizationally, a clear MFA policy is essential. It defines which systems require multi-factor authentication, which methods are permitted, how exceptions are handled, and who decides in case of a failure. Technically, companies should verify whether all relevant systems support modern authentication and whether insecure legacy methods can be reduced or replaced.

Before rollout, the following points, in particular, should be clarified:

Capture identities, applications, and access paths
Define an MFA policy with a phased implementation plan, exceptions, and recovery procedures
Reduce or secure legacy authentication
Secure and strengthen administrative access

What technical requirements should be checked beforehand?

First, determine where identities are managed: cloud identity provider, directory service, SSO platform, or a hybrid environment. Then, identify all relevant applications, protocols, and access methods.

Older authentication methods that can bypass MFA if they remain enabled are particularly critical. These include, for example, outdated email protocols, legacy clients, or poorly integrated third-party applications.

How do you create an MFA policy for the company?

An MFA policy should be concise, clear, and actionable. It defines which systems require MFA, which methods are permitted, and which exceptions are allowed.

Exceptions should always be justified, documented, and time-limited. Otherwise, permanent security gaps will arise that are difficult to control later.

How can MFA be implemented without a dedicated security department?

Even without a dedicated security department , MFA can be implemented smoothly if responsibilities are clearly defined. Key personnel include those responsible for technical administration, helpdesk, exceptions, recovery, and policy maintenance.

An external IT partner can provide support with architecture, policy design, piloting, and monitoring without taking over full operational management.

FIGULI CONSULTING helps SMEs implement MFA in a structured manner – particularly for cloud access, remote access, Microsoft 365, VPN, and administrative accounts.

Further information on our services can be found under Services .

Introduction of Medical Assistants in the company: Rollout, communication & operation

A successful MFA rollout begins with a controlled approach and scales gradually. Instead of switching all users over at once, companies should start with a pilot project, test typical special cases, and then roll out in phases . Crucial is not just the technical activation, but a stable process encompassing communication, support, and recovery.

Acceptance is primarily achieved when employees understand why MFA is being introduced and how they can quickly get help if problems arise. Concise instructions, clear deadlines, and readily available support reduce resistance and prevent unnecessary downtime.

If the platform supports it, MFA should also be combined with risk-based rules, device verification, and restrictions on insecure legacy methods. Especially in Microsoft 365 environments, Conditional Access (context-based access control) can help manage access based on location, device, user role, or risk.

Conduct a pilot project with representative user groups.
Plan the rollout in phases with fixed deadlines and support windows.
Consider special cases such as device changes, offline access, and recovery early on.
Gradually deactivate insecure legacy methods after a successful rollout.

What is the typical process for implementing a multi-functional assistant (MFA) in an SME?

Start with a pilot project that reflects typical roles: office, field service, IT administration, and management. Test not only the technology but also registration, device changes, recovery, helpdesk processes, and logging.

The rollout then proceeds in phases—ideally by department or location.

Pilot (1–2 weeks): Test registration, recovery, support, and special cases.
Rollout in waves (2–6 weeks): Gradually activate user groups.
Go-live: Mandate MFA and reduce insecure protocols.
Stabilization: Analyze tickets, optimize policies, and conduct reviews.

What is the typical process for implementing a multi-functional assistant (MFA) in an SME?

Communicate early, clearly, and repeatedly. Employees should know why MFA is being introduced, what will change, when actions are required, and where help is available.

Avoid unnecessarily technical language. Short, step-by-step instructions and screenshots are usually more effective than lengthy documentation.

Clearly explain the benefits and risks.
Communicate the activation date and deadlines clearly.
Make support channels and contact persons visible.
Provide short training materials and FAQs.

What problems frequently arise during the introduction of medical assistants?

Typical problems arise during device changes, network outages, or with shared devices. If these scenarios are only addressed after the rollout, support efforts increase significantly.

Therefore, define alternatives early on, such as TOTP codes, backup factors, or hardware tokens for affected roles.

Device changes: a fast process for re-registration and recovery.
Offline situations: provide TOTP or hardware tokens.
Acceptance: concise instructions and readily available support.
Emergency access: strictly manage, document, and regularly review.

Checklist: Go-live preparation for medical assistants

Before mandatory activation, the following points should be checked in particular:

Inventory all accounts and applications
Define MFA methods, exceptions, and deadlines
Provide helpdesk and escalation channels
Test recovery processes and backup codes
Conduct a pilot group and document the findings
Regularly review login logs and exceptions

MFA is already standard practice in financial processes. A practical example of this is FinanzOnline's two-factor authentication , which is a regulatory security requirement.

Activating MFA in practice: Microsoft 365, Google Workspace, VPN & Admin accounts

The technical setup for MFA varies by platform, but follows the same basic principles: secure privileged accounts first, test pilot groups, and then gradually make MFA mandatory. At the same time, insecure legacy methods such as authentication or unnecessary app passwords should be reduced.

For cloud services, the identity platform is usually the central lever. Once MFA and policies are enforced there, connected applications automatically benefit via SSO. For VPNs and remote access, it must also be checked whether MFA is directly supported or can be integrated via an identity provider.

Before activation, document the target configuration for methods, exceptions, recovery, and administrative protection. This significantly simplifies rollout, operation, and subsequent audits.

Secure privileged accounts and emergency access first
Activate MFA gradually via groups and policies
Properly handle legacy authentication and special cases
Document target configuration and recovery processes

Especially in SMEs, Microsoft 365 is often the central entry point for email, Teams, SharePoint, and password resets. Therefore, MFA should usually be mandatory there first.

Securely set up MFA for Microsoft 365

For Microsoft 365, the way MFA is managed is crucial: through centralized policies, group-based assignment, and—where available—risk-based rules like Conditional Access.

Start with administrator accounts and a strictly controlled emergency account. Then, enable MFA for pilot groups and gradually roll out the requirement.

Enable MFA for Google Workspace

In Google Workspace, MFA is typically controlled via admin settings and organizational units or groups. Define which methods are allowed and when MFA becomes mandatory.

Again, privileged accounts should be secured first before rolling out the activation more broadly.

Why MFA is mandatory for admin accounts

Admin accounts are among the most important attack targets because they can modify security policies, manage users, and grant extensive access. Therefore, privileged accounts should be strictly separated from regular work accounts.

Administrators are advised to use phishing-resistant methods such as FIDO2 security keys or passwordless login.

Break-glass accounts (highly protected emergency access for exceptional circumstances) serve as a backup access point if MFA policies or core services fail. They should be used sparingly, securely documented, and regularly tested.

FIGULI CONSULTING helps companies secure privileged accounts, recovery processes, and emergency access in a structured manner and integrate them into existing Microsoft 365 and remote access models.

You can also find current best practices and security topics in the FIGULI IT News .

Costs and effort of MFA in the company

The costs for multi-factor authentication consist of licenses, optional hardware such as FIDO2 keys, implementation effort, and ongoing support and operation. Especially in SMEs, it's not so much the license costs that are underestimated, but rather rollout support, device replacements, recovery processes, and exception management.

Realistic planning therefore considers both the implementation and ongoing operation – including monitoring, reviews, and regular policy adjustments.

What are the different cost categories – and where is it often underestimated?

Typical cost categories include identity and security licenses, hardware tokens for critical roles, implementation time, and training and support.

Often underestimated are indirect costs: helpdesk peaks during rollout, recovery cases after device loss, exception management, and regular policy adjustments.

How can one realistically calculate costs and operating expenses in medium-sized businesses?

Calculate the effort required throughout the entire implementation process: preparation, pilot phase, rollout, mandatory deployment, and ongoing operations. Support effort is typically highest in the first few weeks and decreases significantly later on once recovery and self-help processes are functioning smoothly.

Ongoing operations also include device replacements, role changes, offboarding, token renewals, and regular security reviews.

How do you measure the security gains after the rollout?

Security gains can be assessed using technical and organizational metrics. Relevant examples include blocked login attempts, suspicious login patterns, successful phishing prevention, and reduced account takeovers.

Additionally, helpdesk and user feedback help identify friction points in daily operations and optimize policies accordingly.

KPIs: suspicious logins, blocked attempts, ticket volume
Reviews: review exceptions, privileged accounts, and new applications
Hardening: reduce legacy authentication and use stronger authentication factors
Processes: regularly test recovery and offboarding processes

Typical cost and effort areas for MFA in SMEs

The actual costs depend heavily on the number of users, platforms, and security level. However, typical cost areas are similar in most MFA projects.

Conclusion

Multi-factor authentication (MFA) is one of the most important security measures for businesses today because stolen passwords alone are often enough for successful attacks.

However, MFA is only successful if technology, policies, recovery, and user-friendliness are aligned.

SMEs, in particular, benefit from a phased and practical implementation of MFA – starting with email, cloud access, VPN, and admin accounts . This significantly increases the level of security without unnecessarily burdening day-to-day operations.

FIGULI CONSULTING supports companies in implementing multi-factor authentication soundly from both a technical and organizational perspective – from MFA policy and rollout to recovery and securing Microsoft 365, cloud platforms, VPN access, and privileged accounts.

Contact us

FAQ on multi-factor authentication

What is the difference between MFA and 2FA?

2FA (two-factor authentication) is a subcategory of MFA. While 2FA uses exactly two factors, multi-factor authentication can combine several security factors, such as a password, an authenticator app, and a hardware token. In the corporate environment, the term MFA is most commonly used.

Which systems should companies secure with MFA first?

Companies should secure critical access first: Microsoft 365, email accounts, VPN access, cloud platforms, remote access, and administrative accounts. Email accounts, in particular, are considered the most frequent target of attacks and should be prioritized.

Which MFA method is most secure: app, SMS, or token?

FIDO2 security keys are currently considered the most secure MFA method for companies because they significantly hinder phishing. However, for many SMEs, an authenticator app is the most practical standard. SMS codes should ideally only be used as a temporary measure or backup.

What happens if a mobile phone is lost or a device is changed?

Companies should define recovery processes for device changes and loss. Backup codes, a second registered factor, or a clearly defined helpdesk process with identity verification are recommended. Especially in SMEs, problems often only arise with the first device change.

Is multi-factor authentication (MFA) alone sufficient protection against phishing?

MFA significantly reduces the risk of successful attacks, but it does not replace other security measures. Modern phishing attacks sometimes attempt to take over sessions or tokens. Therefore, companies should also focus on secure endpoints, monitoring, and security awareness.

How do companies implement MFA step by step?

An MFA implementation usually begins with privileged accounts and critical systems. This is followed by policies, a pilot group, rollout, training, and recovery processes. Clear communication, testing, and a support concept for ongoing operations are essential.

What does MFA cost companies?

The costs depend on the platform, number of users, and security level. Many cloud platforms, such as Microsoft 365 or Google Workspace, already include MFA in part of their licenses. Additional effort is usually required for rollout, training, conditional access, hardware tokens, and support processes.

ERP Implementierung: 7 Schritte für KMU-Projekte

Thu, 28 May 2026 08:17:52 GMT

ERP Implementierung: Leitfaden in 7 Schritten zum Erfolg im Mittelstand

Eine ERP Implementierung verändert Prozesse, Datenflüsse und Abläufe im gesamten Unternehmen. Fehler bei Planung, Datenmigration oder Schulung führen deshalb oft zu Verzögerungen, Zusatzkosten oder Akzeptanzproblemen im Betrieb.

Entscheidend ist nicht nur die Auswahl der ERP-Software, sondern ein strukturiertes Vorgehen von der Anforderungsanalyse bis zum Go-live, also der produktive Start des neuen ERP-Systems“. Genau hier scheitern viele Projekte im Mittelstand.

Dieser Leitfaden zeigt, wie eine ERP Implementierung in der Praxis abläuft, welche typischen Fehler Unternehmen vermeiden sollten und welche 7 Schritte für ein stabiles ERP-Projekt entscheidend sind.

Inhaltsverzeichnis

Warum ERP-Projekte scheitern oder gelingen
Schritt 1: Projektstart und Scope sauber definieren
Schritt 2: Prozesse und Anforderungen ermitteln
Schritt 3: ERP-Auswahl und Implementierung richtig trennen
Schritt 4: Lösung designen und Schnittstellen planen
Schritt 5: Datenmigration sauber vorbereiten
Schritt 6: Change, Schulung und Tests organisieren
Schritt 7: Go-live, Rollout und Stabilisierung planen
Kosten, Budget und Business Case
Fazit
FAQ zur ERP Implementierung

Warum ERP-Projekte scheitern oder gelingen

Eine ERP Implementierung gelingt, wenn Ziele, Prozesse, Daten und Verantwortlichkeiten vor dem Go-live klar definiert sind und das Projekt konsequent gesteuert wird. Typische Erfolgsfaktoren sind ein belastbarer Scope , saubere Stammdaten , realistische Ressourcenplanung, integrierte Tests und aktives Change Management (die Begleitung der Mitarbeitenden bei neuen Abläufen und Arbeitsweisen). So sinken Risiken für Betrieb, Kosten und Termine.

In KMU scheitern ERP-Projekte selten an einem einzelnen Fehler, sondern meist an unklaren Zielen, schlechter Datenqualität, fehlender Priorisierung oder zu spät eingebundenen Fachbereichen. Erfolgreiche Projekte setzen dagegen auf klare Verantwortlichkeiten, realistische Planung und standardisierte Prozesse.

Der Nutzen entsteht vor allem durch verlässliche Daten, weniger Medienbrüche und transparentere Abläufe. Entscheidend ist, dass die Einführung messbare Verbesserungen liefert – etwa kürzere Durchlaufzeiten, weniger manuelle Korrekturen oder bessere Bestandsqualität.

Studien zu ERP-Projekten zeigen immer wieder, dass klare Projektsteuerung, Management-Unterstützung, Datenqualität und ausreichende Ressourcen entscheidend für den Projekterfolg sind.

In der Praxis zeigen sich dabei vor allem folgende Erfolgs- und Risikofaktoren:

Erfolgshebel : klarer Scope, priorisierte Anforderungen, definierte Prozessverantwortung, saubere Daten, testbarer Cutover-Plan
Risikotreiber : zu viele Sonderlösungen, fehlende Key User, unklare Schnittstellenverantwortung, unzureichende Tests, unvollständige Schulung
Messbare Ziele : Durchlaufzeit Auftrag, Liefertermintreue, Inventurdifferenzen, Abschlussdauer, Fehlerquote in Belegen

Welche Ziele sind bei einer ERP-Einführung realistisch?

Realistische Ziele sind konkret, messbar und innerhalb eines Projektzyklus erreichbar. Häufig eignen sich Zielgrößen entlang der End-to-End-Prozesse, etwa Order-to-Cash oder Procure-to-Pay . Dazu gehören klare Verantwortlichkeiten, definierte Stammdatenregeln und eine einheitliche Beleglogik über Standorte hinweg.

Unrealistisch sind Ziele, die strukturelle Themen überdecken sollen, etwa „alle Probleme verschwinden nach dem Go-live“ oder „jede Abteilung bekommt ihre Wunschlogik“. Ein ERP-System (zentrale Software für Warenwirtschaft, Buchhaltung, Einkauf, Verkauf und Prozesse) stabilisiert Prozesse, ersetzt aber keine fehlende Prozessdisziplin. Setzen Sie daher auf wenige, priorisierte Verbesserungen, die den Betrieb spürbar entlasten.

Typische realistische und unrealistische Erwartungen unterscheiden sich meist deutlich:

Realistisch : Standardisierung von Kernprozessen, bessere Datenqualität, zentrale Bestands- und Auftragsübersicht, schnellere Auswertungen
Unrealistisch : vollständige Individualisierung ohne Mehrkosten, gleichzeitige Reorganisation aller Bereiche, Go-live ohne temporäre Mehrbelastung

Welche Fehler verursachen ERP-Projekte am häufigsten?

Viele Risiken entstehen früh: ein Scope, der ständig wächst, zu späte Festlegung von Stammdatenregeln oder fehlende Verfügbarkeit von Fachpersonen. Später wirken sich unklare Integrationsgrenzen und unzureichende Testabdeckung aus.

Ein häufiger Fehler ist die Übernahme schlechter Stammdaten. Dubletten, uneinheitliche Artikelstrukturen oder fehlerhafte Einheiten verursachen später hohen Support- und Korrekturaufwand im laufenden Betrieb.

Besonders häufig führen folgende Probleme zu Verzögerungen, Mehrkosten oder instabilen Abläufen:

Scope Creep ohne formales Change-Verfahren
Customizing als Ersatz für Prozessentscheidungen
Datenmigration ohne Datenverantwortliche und Qualitätsregeln
Tests ohne realistische Use-Cases und ohne Abgleichberichte
Schulung zu spät oder zu generisch, ohne Rollen- und Prozessbezug

Typische Stolpersteine und Gegenmaßnahmen in KMU

Schritt 1: Projektstart & Scope sauber definieren

Ein sauberer Projektstart reduziert spätere Reibung. Legen Sie fest, welche Prozesse und Standorte in den ersten Go-live gehen, welche Systeme abgelöst werden und welche Integrationen zwingend sind. Der Scope ist nicht nur eine Liste von Modulen, sondern ein betrieblicher Zuschnitt: welche Belegarten, welche Lager, welche Preislogiken, welche Produktionsarten.

Planen Sie Governance und Entscheidungswege so, dass Fachentscheidungen innerhalb weniger Tage getroffen werden. Im Mittelstand ist Geschwindigkeit ein Vorteil, wenn Rollen klar sind: Lenkungsausschuss für Prioritäten, Projektleitung für Termin und Budget, Prozessverantwortliche für End-to-End-Entscheidungen, Key User für Validierung im Alltag.

Bereits zu Beginn sollten folgende organisatorische Grundlagen definiert werden:

Projektauftrag : Ziele, Nutzen, Scope, Annahmen, Risiken, Budgetrahmen
Rollen : Sponsor, Projektleitung, Prozessverantwortliche, IT, Key User, Anbieter
Entscheidungen : Change-Verfahren, Eskalationspfad, Abnahmekriterien je Meilenstein

Wie definiert man Scope und Rollen richtig?

Formulieren Sie 5 bis 8 Projektziele als messbare Ergebnisse, nicht als Tätigkeiten. Ergänzen Sie ein Scope-Statement mit klaren In-/Out-of-Scope-Punkten. So vermeiden Sie Diskussionen, ob ein Thema „noch schnell“ ergänzt wird. Legen Sie außerdem fest, wer Prozessentscheidungen treffen darf, etwa zu Preislogik, Lagerführung oder Produktionsrückmeldungen.

Richten Sie ein Change-Board ein, das Änderungen nach Nutzen, Risiko und Aufwand bewertet. Jede Änderung braucht eine Auswirkung auf Termin, Kosten und Tests. Damit bleiben Entscheidungen nachvollziehbar, und das Team kann fokussiert arbeiten.

Ziele als KPI : z. B. Abschlussdauer, Bestandsgenauigkeit, Durchlaufzeit Auftrag
Scope als Prozesslandkarte : Kernprozesse und Standorte priorisieren
Governance : feste Entscheidungsmeetings, dokumentierte Beschlüsse, Abnahmelogik

Welche Inhalte gehören in einen ERP-Projektplan?

Ein belastbarer Projektplan definiert nicht nur Termine, sondern auch Ergebnisse, Verantwortliche und Abnahmekriterien. Planen Sie die Datenmigration, also die Übernahme bestehender Kunden-, Artikel-, Lager- und Bewegungsdaten, als eigenes Arbeitspaket mit Probeläufen. Verankern Sie Testphasen mit klarer Testfallabdeckung und Abgleichberichten. Ergänzen Sie einen Cutover-Plan , der die Umstellungsschritte und Verantwortlichkeiten bis zur ersten erfolgreichen Buchung beschreibt.

Ressourcenplanung ist ein kritischer Teil: Key User benötigen verbindliche Zeitkontingente. Ohne Entlastung entstehen Verzögerungen, die später nur durch Überstunden kompensiert werden. Planen Sie zudem Hypercare-Kapazität für die ersten Wochen nach Go-live.

Deliverables : Prozesslandkarte, Rollenmodell, Backlog/Lastenheft, Integrationskonzept
Tests : Testkonzept, Testfälle, UAT-Protokolle, Abnahmechecklisten
Go-live : Cutover-Plan, Supportkonzept, Hypercare-Plan, KPI-Tracking

Gerade vor dem Projektstart hilft eine externe Sicht, Scope, Rollen, Meilensteine und Risiken realistisch zu bewerten. FIGULI CONSULTING begleitet KMU bei IT-, ERP- und Digitalisierungsprojekten und unterstützt dabei, ERP-Vorhaben strukturiert vorzubereiten – von der Prozessaufnahme über die Projektplanung bis zur sauberen Abstimmung mit Software- und Umsetzungspartnern.

ERP-Projekt strukturiert vorbereiten

Schritt 2: Prozesse & Anforderungen ermitteln

Anforderungsarbeit ist der Kern, weil sie Auswahl, Design, Daten und Tests steuert. Ziel ist nicht, jede Ausnahme zu dokumentieren, sondern die Wertschöpfungskette zu verstehen : wo entstehen Wartezeiten, Medienbrüche, Nacharbeit und fehlende Transparenz. Nutzen Sie Workshops entlang von End-to-End-Prozessen und ergänzen Sie Kennzahlen, um Prioritäten objektiv zu begründen.

Bewährt hat sich eine Kombination aus Prozessaufnahme (Ist), Zielbild (Soll) und einem priorisierten Backlog. So bleiben Anforderungen testbar und umsetzungsnah. Achten Sie darauf, dass Fachbereiche nicht nur „Funktionen“ wünschen, sondern Prozessregeln definieren , etwa Freigaben, Buchungslogik oder Verantwortlichkeiten.

Wie analysiert man Prozesse vor einer ERP-Einführung?

Starten Sie mit einer Prozesslandkarte und identifizieren Sie die wichtigsten 3 bis 5 Kernprozesse. Dokumentieren Sie dabei pro Prozess die einzelnen Schritte, beteiligten Rollen, genutzten Systeme, relevante Daten und typische Ausnahmen.

Wichtig ist, nicht nur den Ablauf zu erfassen, sondern auch Schwachstellen sichtbar zu machen – etwa manuelle Übertragungen, doppelte Dateneingaben, unklare Freigaben oder fehlende Informationen.

Definieren Sie zusätzlich wenige messbare Kennzahlen pro Prozess, damit Verbesserungen später nachvollziehbar bleiben. Typische KPIs sind Durchlaufzeiten, Fehlerquoten, Bestandsabweichungen oder der Anteil manueller Buchungen.

Für eine saubere Prozessanalyse sollten insbesondere folgende Punkte dokumentiert werden:

Ist-Aufnahme: Prozesse, Systeme, Daten, Rollen und Ausnahmen
Pain Points: Wartezeiten, Medienbrüche, Rückfragen und Fehlerquellen
Soll-Zielbild: Standardprozesse, Verantwortlichkeiten, Freigaben und KPI-Ziele

Welche Anforderungen gehören ins Lastenheft?

Formulieren Sie Anforderungen so, dass sie prüfbar sind: Eingaben, Regeln, Ausgaben, Schnittstellen (Schnittstellen zu anderen Systemen, etwa Webshop, Buchhaltung, Versand oder Zeiterfassung) und Berechtigungen.
Trennen Sie Must-haves (Go-live-fähig) von Nice-to-haves (Optimierung nach Stabilisierung). Typische Must-haves sind korrekte Buchungslogik, steuerlich saubere Belege, Stammdatenfelder, Kernreports sowie die Integrationen, die den Betrieb sichern.

Nutzen Sie Akzeptanzkriterien , damit Tests eindeutig werden.
Beispiel: „Ein Auftrag mit Teillieferung erzeugt automatisch korrekte Lieferscheine und Rechnungen, inklusive Rückstandslogik, und die Buchungen stimmen mit dem Abgleichbericht überein.

Je nach Branche unterscheiden sich die Schwerpunkte: Im Handel zählen Varianten, Preise und Lagerprozesse, in der Produktion Stücklisten, Materialfluss und Rückmeldungen, bei Dienstleistern Projekt-, Zeit- und Abrechnungslogik.

Schritt 3: ERP-Auswahl und Implementierung richtig trennen

ERP-Auswahl und Implementierung verfolgen unterschiedliche Ziele. Während es in der Auswahl um Prozess-Fit, Risiken, Betriebskonzept und Budgetrahmen geht, stehen in der Umsetzung Datenmigration, Schnittstellen, Tests und Go-live im Fokus.

Werden beide Phasen vermischt, entstehen häufig Projekte, die in Demos gut wirken, kritische Prozesse später aber nur mit hohem Aufwand abbilden können.

Auswahl: Prozess-Fit, Anbieterentscheidung und Budgetrahmen
Implementierung: Prozesse, Datenmigration, Schnittstellen und Go-live
Ziel: eine belastbare Entscheidungsgrundlage für die Umsetzung

Welche Kriterien entscheiden wirklich?

Bewerten Sie zuerst, ob das ERP-System Ihre wichtigsten Kernprozesse sauber abbildet. Danach prüfen Sie Skalierung, Schnittstellen, Reporting, Berechtigungen und das passende Betriebsmodell – etwa Cloud, On-Premise oder hybrid.

Wenn ERP-Systeme On-Premise oder hybrid betrieben werden, ist auch die zugrunde liegende Server-Infrastruktur relevant. Mehr dazu im Beitrag „Proxmox Cluster aufbauen: Hochverfügbarkeit für Ihre Server-Infrastruktur“.

Branchenfunktionen sind sinnvoll, wenn sie echte Prozessvorteile bringen, etwa Variantenlogik im Handel oder Fertigungssteuerung in der Produktion. Seltene Sonderfälle sollten dagegen nicht zum Hauptkriterium werden, wenn sie organisatorisch einfacher lösbar sind.

Für viele KMU kann auch blue office eine pragmatische Option sein, wenn Warenwirtschaft, Lagerprozesse und kaufmännische Abläufe schnell eingeführt und verständlich geschult werden sollen. Gerade bei kleineren und mittelständischen Unternehmen kann der Vorteil darin liegen, dass Einrichtung, Einführung und Einschulung häufig deutlich schlanker ausfallen als bei sehr komplexen ERP-Systemen. Dadurch lassen sich Aufwand, Projektlaufzeit und Einstiegskosten oft reduzieren – vorausgesetzt, Funktionsumfang und Prozesse passen zum Unternehmen.

FIGULI CONSULTING unterstützt dabei, genau diese Passung zu prüfen und blue office so einzuführen, dass Prozesse, Schulung und laufender Betrieb sauber zusammenspielen.

Wie vergleicht man Anbieter strukturiert?

Nutzen Sie Demos nicht als reine Produktpräsentation, sondern als Prüfung definierter Use-Cases. Arbeiten Sie mit Testdaten, Rollen und erwarteten Ergebnissen. Eine Bewertungsmatrix hilft, Prozess-Fit, Aufwand, Risiken und Betriebskonzept nachvollziehbar zu vergleichen.

Schritt 4: Lösung designen und Schnittstellen planen

In vielen KMU ist das ERP-System nicht nur eine einzelne Software, sondern der zentrale Bestandteil der gesamten Systemlandschaft. Typisch sind Anbindungen an CRM, E-Commerce, Lagertechnik, Buchhaltung, BI oder branchenspezifische Anwendungen . Bei Lagerprozessen kann auch mobile Datenerfassung eine wichtige Rolle spielen. Mehr dazu im Beitrag „Mobile Datenerfassung mit blue office: Prozesse im Lager optimieren“.

Ein gutes Lösungsdesign orientiert sich am Zielprozess und nicht an bestehenden Abteilungsgrenzen. Dadurch entstehen konsistente Datenflüsse, weniger Medienbrüche und stabilere Abläufe im Alltag.

Damit Integrationen langfristig zuverlässig funktionieren, sollten folgende Punkte früh definiert werden:

Kritische Schnittstellen zuerst priorisieren
Datenflüsse und Verantwortlichkeiten definieren
Monitoring und Fehlerhandling früh einplanen

Welche Schnittstellen sind bei ERP-Systemen typisch?

Typisch sind Anbindungen an CRM-Systeme für Kunden- und Vertriebsdaten, E-Commerce-Plattformen für Aufträge und Preise, Lagertechnik für Bestandsbewegungen sowie Finanzsysteme für Buchungen, Zahlungen und Mahnwesen. In der Produktion kommen zusätzlich MES-, BDE- oder Qualitätsmodule hinzu.

Wichtig ist dabei, pro Integration klare führende Datenquellen festzulegen, damit keine widersprüchlichen Stammdaten entstehen.

Definieren Sie außerdem früh, wie Fehler erkannt, geprüft und korrigiert werden. Ohne klare Prozesse werden Schnittstellen schnell zum dauerhaften Störfaktor.

Wie vermeidet man Medienbrüche im ERP-Prozess?

Definieren Sie pro End-to-End-Prozess klare Statusübergänge, Verantwortlichkeiten und Buchungslogiken. Fehlen diese Regeln, entstehen oft Parallelprozesse in Excel, E-Mail oder separaten Tools.

Besonders wichtig sind eindeutige Freigaben, nachvollziehbare Statuswechsel und konsistente Buchungszeitpunkte. Dadurch sinken manuelle Nacharbeiten und Datenfehler deutlich.

Wann ist Customizing sinnvoll – und wann nicht?

Customizing ist sinnvoll, wenn es einen klaren geschäftlichen Nutzen bringt und langfristig wartbar bleibt. Kritisch wird es, wenn Sonderlogik nur historische Gewohnheiten abbildet oder spätere Updates erschwert.

Prüfen Sie deshalb jede Abweichung vom Standard anhand von Nutzen, Risiko, Implementierungsaufwand und langfristigen Betriebskosten. Standardisierung sollte dabei immer Vorrang vor unnötiger Sonderlogik haben.

Customizing nur mit klarer Begründung und definierten Zielen
Folgekosten für Updates, Tests und Support berücksichtigen
Standardisierung als Grundlage für stabile Prozesse nutzen

Schritt 5: Datenmigration sauber vorbereiten

Datenmigration gehört zu den kritischsten Phasen einer ERP-Einführung . Fehler bei Stammdaten, offenen Posten oder Beständen fallen oft erst kurz vor dem Go-live auf und verursachen dann Verzögerungen, Nacharbeit oder falsche Auswertungen.

Planen Sie die Migration deshalb nicht als einmaligen Export-Import, sondern als strukturierten Prozess mit Datenbereinigung, Probeläufen, Abgleichberichten und klaren Verantwortlichkeiten. Wichtig ist, früh festzulegen, welche Daten wirklich benötigt werden und wer die fachliche Qualität prüft.

In der Praxis haben sich vor allem folgende Punkte bewährt:

Migration mit mehreren Probeläufen planen
Datenbestände und offene Posten sauber abgleichen
Cutover mit Zeitplan und Verantwortlichkeiten vorbereiten

Welche Daten sollten migriert werden?

Migrieren Sie vor allem Daten, die für den laufenden Betrieb notwendig sind: Kunden, Lieferanten, Artikel, Preise, Lagerorte, Konten, Kostenstellen sowie offene Aufträge, offene Bestellungen, offene Posten und relevante Bestände.

Historische Daten sollten nur übernommen werden, wenn sie operativ oder rechtlich benötigt werden. Veraltete, doppelte oder unklare Daten erhöhen dagegen Komplexität und Fehlerrisiken unnötig.

Pflicht: Stammdaten, offene Vorgänge und Bestände
Optional: begrenzte Historie für Auswertungen oder Nachweise
Nicht migrieren: Dubletten, veraltete Artikel oder inaktive Datensätze ohne Nutzen

Wie verbessert man die Datenqualität vor dem Go-live?

Beginnen Sie mit einfachen Regeln: eindeutige Schlüssel, Pflichtfelder, definierte Einheiten, einheitliche Schreibweisen und klare Dublettenlogik. Legen Sie außerdem Verantwortliche fest, die fachliche Entscheidungen treffen dürfen, etwa bei der Zusammenführung von Kunden oder der Standardisierung von Artikelattributen.

Priorisieren Sie zuerst die Datenobjekte, die für Kernprozesse wichtig sind. Für den ersten Go-live braucht es keine perfekte Datenhistorie, sondern eine belastbare Mindestqualität für Kunden, Artikel, Preise, Lagerbestände und offene Vorgänge.

Wie testet man eine Datenmigration sicher?

Dokumentieren Sie, welche Daten aus dem Altsystem in welche Felder des neuen ERP-Systems übernommen werden. Führen Sie anschließend mehrere Testmigrationen durch und vergleichen Sie Mengen, Bestände, offene Posten und Werte systematisch.

Wichtig ist außerdem ein Cutover-Plan: Er beschreibt die konkreten Umstellungsschritte, Verantwortlichkeiten und Prüfungen bis zur ersten erfolgreichen Buchung im neuen System.

Mapping und Transformationsregeln dokumentieren
Probeläufe mit festen Testdaten durchführen
Cutover mit Datenfreeze, Importreihenfolge und Validierung planen

Zur Kosten- und Wirtschaftlichkeitsbetrachtung von Migrationen im Mittelstand kann die Studie der Universität Wien: Kosten-Nutzen-Analyse einer ERP-Einführung zusätzliche Orientierung bieten.

Schritt 6: Change, Schulung und Tests organisieren

Die technische Umsetzung allein entscheidet noch nicht über den Erfolg einer ERP-Einführung. Entscheidend ist, ob Prozesse verstanden, akzeptiert und im Alltag sauber genutzt werden. Deshalb sollten Change Management, Schulungen und Tests früh geplant werden.

Gerade in KMU helfen klare Kommunikation, kurze Entscheidungswege und die aktive Einbindung von Key Usern dabei, Unsicherheiten zu reduzieren und Prozesse schneller zu stabilisieren.

Tests bilden die Grundlage für einen stabilen Go-live. Sie helfen, Fehler in Prozessen, Berechtigungen und Schnittstellen vor dem Go-live zu erkennen – bevor sie den laufenden Betrieb beeinträchtigen.

Bei neuen ERP-Zugängen, Rollen und Endgeräten sollte auch die Absicherung der Arbeitsplätze mitgedacht werden. Mehr dazu im Beitrag „Endpoint Security“.

Bewährt haben sich insbesondere folgende Punkte:

Klare Kommunikation und feste Verantwortlichkeiten
Rollenbasierte Schulungen mit Praxisfällen
End-to-End-Tests mit dokumentierten Ergebnissen

Wie organisiert man Change Management sinnvoll?

Benennen Sie Key User pro Prozess oder Standort, die Anforderungen validieren, Tests begleiten und später als erste Anlaufstelle dienen. Kommunizieren Sie regelmäßig über Ziele, Zeitplan und Auswirkungen auf den Arbeitsalltag.

Wichtig ist außerdem ein strukturierter Umgang mit Feedback. Mitarbeitende sollten nachvollziehen können, wie Rückmeldungen bewertet und Entscheidungen getroffen werden.

FIGULI CONSULTING unterstützt Unternehmen dabei, Change-Prozesse, Projektsteuerung und Kommunikation praxisnah aufeinander abzustimmen.

Welche Schulungsformate funktionieren in KMU?

Besonders wirksam sind rollen- und prozessbasierte Schulungen mit realistischen Praxisfällen. Häufig bewährt sich ein Train-the-Trainer-Ansatz , bei dem Key User später als interne Ansprechpartner dienen.

Kurze Prozessanleitungen und Übungen mit echten Abläufen reduzieren Rückfragen nach dem Go-live deutlich.

Welche Tests sind vor dem Go-live Pflicht?

Vor dem Go-live sollten insbesondere Integrationstests, User Acceptance Tests (UAT) und Berechtigungstests durchgeführt werden. Dabei müssen nicht nur einzelne Funktionen, sondern vollständige Prozessketten geprüft werden.

Wichtig ist, dass Ergebnisse dokumentiert und fachlich bewertet werden. Entscheidend ist nicht, ob ein Prozess „klickbar“ ist, sondern ob Buchungen, Bestände und Auswertungen korrekt funktionieren.

Schritt 7: Go-live, Rollout und Stabilisierung planen

Der Go-live ist kein reines IT-Ereignis, sondern der Übergang in den laufenden Betrieb. Entscheidend sind ein getesteter Cutover, klare Verantwortlichkeiten und ein Supportmodell, das die ersten Wochen nach dem Start abdeckt.

Bei mehreren Standorten oder Filialen muss zusätzlich entschieden werden, ob das ERP-System auf einmal oder schrittweise eingeführt wird. Wichtig ist, die Stabilisierung als eigene Phase zu planen : In den ersten Wochen entstehen Fragen, kleinere Fehler und Anpassungsbedarf.

Nach dem Go-live wird ERP schnell Teil des laufenden IT-Betriebs. Warum regelmäßige Wartung, Monitoring und klare Supportprozesse dafür entscheidend sind, zeigt der Beitrag „IT-Wartung für Unternehmen: Warum regelmäßige Betreuung entscheidend ist“.

Für einen stabilen Start sollten vor allem folgende Punkte vorbereitet werden:

Go-live-Voraussetzungen: Abnahmen, Cutover-Test, Supportbereitschaft
Rollout: Standortreihenfolge, Trainingsplanung, Berechtigungen
Stabilisierung: Hypercare, Fehlerklassifizierung, KPI-Review

Big Bang oder Rollout in Wellen?

Ein Big Bang kann sinnvoll sein, wenn Prozesse stark integriert sind und parallele Systemwelten hohe Risiken erzeugen, etwa bei zentraler Bestandsführung. Er erfordert jedoch sehr gute Tests, saubere Daten und hohe Schulungsreife.

Ein schrittweiser Rollout reduziert das Risiko, weil Erfahrungen aus dem ersten Standort in weitere Einführungswellen einfließen können. Häufig ist auch ein hybrider Ansatz sinnvoll: zentrale Funktionen und Stammdaten gehen gemeinsam live, Standorte folgen in Wellen.

Wie lange dauert eine ERP Implementierung?

Die Dauer hängt vor allem von Prozesskomplexität, Datenqualität, Schnittstellen und Verfügbarkeit der Fachbereiche ab. In vielen KMU liegt ein realistischer Rahmen für den ersten Go-live bei etwa 6 bis 12 Monaten . Bei hoher Integrationsdichte oder Produktionskomplexität kann es länger dauern.

Beschleunigen lässt sich das Projekt durch klare Priorisierung, frühe Datenprobeläufe, schnelle Entscheidungen und eine standardnahe Umsetzung.

Treiber: Standorte, Schnittstellen, Customizing, Datenbereinigung, Testumfang
Beschleuniger: klare Governance, frühe Prototypen, standardnahe Prozesse
Bremser: Scope Creep, fehlende Key-User-Zeit, späte Schnittstellenklärung

Was gehört in die Hypercare-Phase?

Hypercare ist die kontrollierte Stabilisierung nach dem Go-live. Legen Sie Supportkanäle, Zuständigkeiten, Ticketkategorien und Reaktionszeiten fest. Themen sollten nach Schweregrad priorisiert werden: kritische Fehler werden sofort behoben, Optimierungen kommen in ein Verbesserungsbacklog.

Ergänzen Sie KPI-Tracking , um Stabilität messbar zu machen. Sinnvolle Kennzahlen sind Durchlaufzeiten, Fehlerquoten, Bestandsdifferenzen, Abschlussdauer oder Systemverfügbarkeit.

Weitere technische Best Practices zu Hochverfügbarkeit, Clusterbetrieb und Stabilisierung nach Änderungen beschreibt auch die offizielle Proxmox Dokumentation.

Supportmodell: Key User, Anbieter, Eskalationen
Fehlersteuerung: Prioritäten, Hotfixes, Regressionstests
KPI-Review: Messpunkte, Zielwerte, Maßnahmenplan

Kosten, Budget und Business Case einer ERP Implementierung

Die Kosten einer ERP-Einführung entstehen nicht nur durch Software, sondern vor allem durch Implementierung, Integrationen, Datenmigration, Schulung und den laufenden Betrieb . Für ein realistisches Budget sollten alle Kostenblöcke früh erfasst und priorisiert werden.

Ein belastbarer Business Case bewertet Nutzen und Aufwand anhand konkreter KPIs, etwa Zeitersparnis, geringere Fehlerquoten, bessere Bestände oder schnellere Abschlüsse. Ergänzend spielen auch Skalierbarkeit und geringere Abhängigkeit von Einzelpersonen eine Rolle.

Pauschale Kostenangaben sind bei ERP-Projekten nur begrenzt sinnvoll, weil Aufwand und Budget stark von Prozesskomplexität, Datenqualität, Schnittstellen, Nutzerzahl, Betriebsmodell und gewünschtem Customizing abhängen. Seriöser ist eine Kalkulation nach Arbeitspaketen, Risiken und klaren Go-live-Zielen.

Für Unternehmen in Österreich können je nach Zeitpunkt und Programm auch Förderungen relevant sein. Eine Übersicht bietet das Förderprogramm KMU.DIGITAL.

Welche Kostenblöcke werden häufig unterschätzt?

Unterschätzt werden häufig Schnittstellen, Datenbereinigung und Schulung. Gerade Datenmigration und Integrationen verursachen oft zusätzlichen Abstimmungs- und Testaufwand.

Auch interne Kosten sollten berücksichtigt werden: Zeit der Key User, Projektleitung, Tests und temporäre Mehrarbeit im Tagesgeschäft.

Einmalig: Implementierung, Migration, Integrationen, Tests, Schulung
Laufend: Betrieb, Support, Updates, Monitoring
Intern: Projektzeit, Entscheidungen, Hypercare-Aufwand

Wie kalkuliert man ein realistisches ERP-Budget?

Erstellen Sie eine Budgetstruktur nach Arbeitspaketen und definieren Sie Verantwortlichkeiten, Annahmen und Risiken. Sinnvoll ist außerdem ein risikobasierter Puffer, etwa für Datenqualität oder Schnittstellen.

Für viele KMU empfiehlt sich ein „Minimum Viable ERP“ zum ersten Go-live: Kernprozesse stabil, Daten sauber und kritische Schnittstellen funktionsfähig. Erweiterungen können später folgen.

Budget nach Arbeitspaketen strukturieren
Risikopuffer für Daten und Integrationen einplanen
Must-haves klar von späteren Optimierungen trennen

Typische Kostenblöcke einer ERP-Einführung im Überblick

Fazit

Eine ERP Implementierung ist dann erfolgreich, wenn sie nicht nur als Softwareprojekt, sondern als Prozess-, Daten- und Veränderungsprojekt geführt wird. Für KMU zählen vor allem klarer Scope, priorisierte Anforderungen, saubere Stammdaten, realistische Tests und ein stabiler Go-live.

Die 7 Schritte helfen dabei, Risiken früh zu erkennen und Entscheidungen strukturiert zu treffen. Wer Datenmigration, Schnittstellen, Schulung und Hypercare sauber plant, reduziert Nacharbeit, Kosten und operative Störungen deutlich.

FIGULI CONSULTING unterstützt KMU dabei, ERP-Projekte methodisch zu strukturieren – von der Prozessaufnahme und Projektplanung über Datenmigration und Schnittstellen bis zu Tests, Schulung und Go-live-Vorbereitung. So entsteht kein reines Softwareprojekt, sondern ein umsetzbarer Fahrplan für stabile Abläufe im laufenden Betrieb.

ERP-Projekt strukturiert mit FIGULI planen

FAQ zur ERP Implementierung

Was sind die wichtigsten ERP Implementierung Schritte im Mittelstand?

Die wichtigsten Schritte sind: Projektstart und Scope, Prozess- und Anforderungsarbeit, Auswahl und Umsetzungsplanung, Lösungsdesign mit Integrationen, Datenmigration mit Probeläufen, Change/Schulung und Tests sowie Go-live mit Hypercare. Entscheidend sind Abnahmen und messbare Ergebnisse je Phase.

Wie läuft eine ERP Implementierung ab, wenn der Betrieb weiterlaufen muss?

Planen Sie einen stufenweisen Aufbau mit frühen Prototypen, wiederholbaren Datenprobeläufen und klaren Testphasen. Legen Sie Cutover-Schritte, Datenfreeze und Supportbereitschaft verbindlich fest. So reduzieren Sie Risiken für Tagesgeschäft, Lieferfähigkeit und Abschlüsse während der Umstellung.

Welche typischen Fehler führen bei ERP-Projekten zu Mehrkosten?

Häufige Ursachen sind Scope-Erweiterungen ohne Change-Verfahren, zu viel Customizing statt Standardisierung, unterschätzte Datenbereinigung und unzureichende Tests. Auch fehlende Key-User-Zeit führt zu späten Korrekturen. Diese Punkte erhöhen Implementierungs-, Test- und Supportaufwand deutlich.

Wie gelingt die Datenmigration in ein ERP-System ohne lange Nacharbeit?

Benennen Sie Datenverantwortliche, definieren Sie Mindestqualität und führen Sie mehrere Probeläufe mit Abgleichberichten durch. Dokumentieren Sie Mapping und Transformationen und testen Sie den Cutover als Trockenlauf. So erkennen Sie Fehler vor dem Go-live und vermeiden Korrekturen im Produktivbetrieb.

Big Bang oder Rollout in Wellen: Wann ist welche Einführung sinnvoll?

Big Bang passt, wenn Prozesse stark integriert sind und parallele Systemwelten zu Inkonsistenzen führen würden. Ein Rollout in Wellen eignet sich, wenn Standorte unterschiedlich arbeiten oder Kapazitäten begrenzt sind. Entscheidend sind Datenkonsistenz, Saisonalität, Testreife und Supportfähigkeit.

Welche Tests sollten vor dem Go-live mindestens durchgeführt werden?

Mindestens nötig sind Integrationstests über alle Schnittstellen, UAT mit Key Usern entlang realer End-to-End-Use-Cases sowie Berechtigungstests für Rollen und Freigaben. Bei hohem Datenvolumen kommen Performance-Tests hinzu. Dokumentierte Abnahmen und Abgleichberichte sichern die fachliche Korrektheit.

Wie lange dauert eine ERP Implementierung im Mittelstand?

Eine ERP Implementierung dauert im Mittelstand häufig 6 bis 12 Monate. Entscheidend sind Prozesskomplexität, Datenqualität, Anzahl der Schnittstellen, Customizing-Anteil und Verfügbarkeit der Fachbereiche. Ein klarer Scope und frühe Datenprobeläufe verkürzen die Projektlaufzeit deutlich.

Der Figuli Consulting News Blog

Proxmox Backup: VMs richtig sichern und wiederherstellen

Proxmox Backup: So sichern Sie Ihre virtuellen Maschinen richtig

Inhaltsverzeichnis

vzdump, Proxmox Backup Server oder veeam: die drei Wege

Proxmox Backup in der Praxis: Backup-Job und Wiederherstellung

Wann eine übergreifende Backup-Lösung sinnvoll ist

Was vor der Technik zu klären ist

Wohin die Sicherung gehört: Speicher und Auslagerung

Aufbewahrung und Bereinigung sinnvoll einstellen

Sicherungen gegen Ransomware absichern

Wiederherstellung: vom Einzelfall bis zur neuen Hardware

Die drei Wiederherstellungsfälle

Wiederanlauf auf neuer Hardware

Überwachung und typische Fehler

Fazit

FAQ zum Proxmox Backup

Was ist der Unterschied zwischen vzdump und Proxmox Backup Server?

Wohin sollten Proxmox-Backups gespeichert werden?

Wie oft sollten virtuelle Maschinen gesichert werden?

Wie lange sollten Sicherungen aufbewahrt werden?

Wie schützt man Proxmox-Backups vor Ransomware?

Warum wird der Speicher trotz Aufbewahrungsregeln voll?

Wie stelle ich einen kompletten Host nach einem Ausfall wieder her?

Wie teste ich ein Proxmox Backup richtig?

Proxmox Backup: Properly backing up and restoring VMs

Proxmox Backup: How to properly back up your virtual machines

Table of contents

vzdump, Proxmox Backup Server, or Veeam: the three options

Proxmox Backup in Practice: Backup Job and Restore

When a comprehensive backup solution makes sense

What needs to be clarified before the technical implementation

Where the backup belongs: Storage and offloading

Configure retention and cleanup settings appropriately.

Configure retention and cleanup settings appropriately.

Restoration: from individual cases to new hardware

The three cases of restoration

Restart on new hardware

Monitoring and typical errors

Conclusion

FAQ Proxmox Backup

What is the difference between vzdump and Proxmox Backup Server?

Where should Proxmox backups be stored?

How often should virtual machines be backed up?

How long should backups be retained?

How can Proxmox backups be protected against ransomware?

Why does storage fill up despite retention rules?

How do I restore an entire host after a failure?

How do I properly test a Proxmox backup?

Ransomware Protection: Measures, Backup & Emergency Plan

Ransomware protection: How to protect your company from ransomware trojans

Table of contents

What makes ransomware different today

How an attack unfolds: the attack chain

The four protection levels at a glance

Level 1: Prevent entry

Level 2: early detection

Level 3: Limit spread

Level 4: able to restore

Which ransomware protection measures are a priority for SMEs?

The four protection levels at a glance

Emergency plan: what to do in an emergency

The first steps

What needs to be clarified beforehand

Should one pay a ransom?

Ransomware protection checklist

Conclusion

FAQ on Ransomware Protection

How do you protect a company from ransomware?

Is a virus scanner sufficient against ransomware?

How does a backup protect against ransomware?

What should you do first in the event of a ransomware attack?

Should you pay the ransom?

How long are attackers in the network beforehand?

Are small businesses also affected?

Which ransomware protection measures should SMEs implement first?

Ransomware Schutz: Maßnahmen, Backup & Notfallplan

Ransomware Schutz: So schützen Sie Ihr Unternehmen vor Erpressertrojanern

Inhaltsverzeichnis

Was Ransomware heute anders macht