Cyber-Security 2026: So schützen Sie als Selbstständige Ihre Konten

Ihr E-Mail-Postfach, das Amazon- oder Etsy-Konto, das Online-Banking — das ist heute Ihr Geschäft. Wenn ein Angreifer hier hineinkommt, ist im schlimmsten Fall die Existenz bedroht. 2026 hat das Phishing eine neue Qualität erreicht: Laut BSI sind die Mails oft KI-generiert und kaum noch an Tippfehlern zu erkennen. Dieser Artikel zeigt Ihnen, wie Sie sich als Selbstständige oder kleines Unternehmen mit überschaubarem Aufwand wirksam schützen.

Inhaltsverzeichnis

• Warum Selbstständige und KMU jetzt besonders im Visier sind
• Die neue Phishing-Welle: Was 2026 anders ist
• Beispiel: Wenn das Etsy-Konto plötzlich weg ist
• Fünf Schutzmaßnahmen, die jeder Selbstständige sofort umsetzen kann
• Phishing erkennen: Die Faustregel für 2026
• Wenn es passiert ist: Die ersten 24 Stunden
• Häufig gestellte Fragen
• Fazit

Warum Selbstständige und KMU jetzt besonders im Visier sind

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die zuständige Bundesbehörde für IT-Sicherheit. Im aktuellen Lagebericht 2025 ordnet das BSI kleine und mittlere Unternehmen als besonders gefährdet ein: Rund 80 Prozent der gemeldeten Ransomware-Vorfälle in Deutschland trafen demnach KMU, häufig über klassische Phishing- oder Verschlüsselungs-Kampagnen.

Der Grund liegt selten in fehlendem Willen, sondern in fehlender Zeit. Wer als Solo-Selbstständige neben dem Tagesgeschäft Rechnungen schreibt, Bestellungen abwickelt und nebenbei Kundenanfragen beantwortet, hat keine eigene IT-Abteilung. Genau hier setzen Angreifer an. Im Cybersicherheitsmonitor 2026 von BSI und ProPK gibt rund jeder Neunte Online-Nutzer in Deutschland an, im vergangenen Jahr Opfer von Cyberkriminalität geworden zu sein. Phishing und unautorisierter Kontozugriff zählen zu den häufigsten Vorfällen.

Was heißt das für Sie? Auch ohne Großkundengeschäft sind Sie ein lohnendes Ziel — vor allem, weil Ihre Marktplatz-Konten, Banking-Zugänge und Mail-Postfächer bares Geld bedeuten.

Die neue Phishing-Welle: Was 2026 anders ist

Phishing-Mails waren früher oft an holprigem Deutsch und seltsamen Absenderadressen zu erkennen. Diese Zeit ist vorbei. Texte sind heute in der Regel mit KI generiert, klingen wie aus dem Servicecenter und sind auf Ihre Branche zugeschnitten. Branchen-Erhebungen sprechen 2025/2026 von rund 80 Prozent KI-generierter Phishing-Mails — die klassischen Stoppschilder fehlen.

Hinzu kommen neue Angriffswege, vor denen das BSI gemeinsam mit dem Bundesamt für Verfassungsschutz (BfV) gewarnt hat. Am 6. Februar 2026 haben beide Behörden einen gemeinsamen Sicherheitshinweis zu Phishing über Messengerdienste wie Signal veröffentlicht und die Warnung am 17. April 2026 aktualisiert. Charakteristisch: Die Angreifer nutzen keine technische Schwachstelle, sondern legitime Funktionen — etwa das Verknüpfen eines zusätzlichen Geräts — und kombinieren das mit Social Engineering. Wer auf einen vermeintlichen QR-Code klickt, gibt Fremden Zugriff auf seinen Chat-Verlauf.

Marktplatz-Konten werden parallel mit klassischer Phishing-Post angegriffen: gefälschte „Käufernachrichten" mit Anhang, vermeintliche Sperr-Warnungen mit Login-Link, oder Hinweise auf angebliche Markenrechts-Verletzungen, die Sie zur Eingabe Ihrer Verkäufer-Zugangsdaten verleiten sollen.

Beispiel: Wenn das Etsy-Konto plötzlich weg ist

Stellen Sie sich Sabine vor, Etsy-Verkäuferin im Nebenerwerb. Eine angebliche Käufernachricht im Posteingang ihrer privaten Gmail-Adresse: „Foto vom Schaden bitte ansehen, sonst Rückerstattung." Anhang öffnen — eine Login-Seite, die exakt wie Etsy aussieht. Passwort eingegeben. Stunden später ist ihr Konto übernommen, die hinterlegte Auszahlungs-IBAN geändert. Drei laufende Bestellungen werden auf ein fremdes Konto ausgezahlt, Sabine sitzt auf den Versandkosten.

Drei Punkte, die das hätten verhindert: Zwei-Faktor-Authentifizierung am Etsy-Konto, ein separates Passwort für die Mail-Adresse und ein gesundes Misstrauen gegenüber Login-Links aus E-Mails. Genau das schauen wir uns jetzt an.

Fünf Schutzmaßnahmen, die jeder Selbstständige sofort umsetzen kann

1. Zwei-Faktor-Authentifizierung — überall, wo es geht

Das BSI empfiehlt Verbraucherinnen und Verbrauchern, die Zwei-Faktor-Authentifizierung (2FA) immer einzusetzen, wenn der Online-Dienst sie ermöglicht. Wer das Passwort kennt, kommt ohne den zweiten Faktor nicht ins Konto. Bevorzugt sind Authenticator-Apps (etwa zeitbasierte Codes) oder Hardware-Schlüssel nach FIDO2-Standard. SMS-Codes sind besser als nichts, aber angreifbar.

Aktivieren Sie 2FA zumindest für: E-Mail-Postfach, Online-Banking, jedes Marktplatz-Konto (Amazon Seller, eBay, Etsy, Otto, Kaufland, Shopify), Cloud-Speicher und die Buchhaltungs-Software.

2. Mail-Konto wie einen Tresor behandeln

Wer Zugriff auf Ihr E-Mail-Postfach hat, kann bei fast jedem anderen Dienst „Passwort vergessen" auslösen. Folgen Sie deshalb drei Regeln: ein langes, einzigartiges Passwort, das Sie nirgendwo sonst verwenden — 2FA auf das Mail-Konto — und idealerweise ein separates Geschäfts-Postfach, das nicht öffentlich auf Ihrem Impressum steht. Für sensible Logins ein anderes als das Antwort-Postfach für Kunden.

3. Updates automatisch — und ein Passwort-Manager

Updates schließen Sicherheitslücken, deshalb gehören sie nicht „irgendwann nach Feierabend" erledigt, sondern automatisch. Betriebssystem, Browser, alle Apps. Ein Passwort-Manager nimmt Ihnen die Last ab, sich 50 verschiedene Kennwörter merken zu müssen — und stellt sicher, dass jedes Konto wirklich ein eigenes Passwort hat.

4. Backups nach der 3-2-1-Regel

Drei Kopien Ihrer wichtigen Daten, auf zwei verschiedenen Medien, eine davon räumlich getrennt (zum Beispiel ein verschlüsselter Cloud-Speicher). Wer regelmäßig sichert, ist gegen Ransomware deutlich besser gewappnet — selbst im schlimmsten Fall sind Rechnungen, Belege und Stammdaten nicht weg. Cloud-Anwendungen mit revisionssicherer Belegarchivierung sind hier ein praktischer Baustein.

5. Die BSI-IT-Notfallkarte ausdrucken

Das BSI stellt eine kostenlose IT-Notfallkarte zur Verfügung, die wie eine Brandschutz-Anweisung im Büro aufgehängt wird — mit einer individuell eingetragenen Notfall-Nummer (z. B. Ihres IT-Dienstleisters) und kurzen Verhaltensregeln. Dazu gibt es einen Maßnahmenkatalog und eine TOP-12-Liste, was bei einem Vorfall zu tun ist. Kostet nichts und zwingt Sie einmal, sich Gedanken zu machen, bevor der Ernstfall da ist.

Was heißt das für Sie? Diese fünf Punkte sind keine Theorie — sie sind in 1–2 Stunden umgesetzt und decken die häufigsten Angriffsmuster ab, die das BSI 2026 sieht.

Phishing erkennen: Die Faustregel für 2026

Weil die klassischen Erkennungsmerkmale nicht mehr greifen, gilt 2026 eine simple Faustregel: Niemals über einen Link in einer Mail oder Messenger-Nachricht einloggen. Wenn Amazon Sie warnt, öffnen Sie Amazon im Browser über das Lesezeichen. Wenn die Bank Sie kontaktiert, rufen Sie über die offizielle Nummer auf der Rückseite Ihrer Bankkarte zurück. Wenn auf Signal jemand bittet, ein „zusätzliches Gerät" zu verknüpfen — Finger weg, gerade davor warnt das BSI.

Zwei weitere Warnsignale: Druck („nur heute", „Konto wird in 24 Stunden gesperrt") und ungewöhnliche Zahlungswege (Gutscheinkarten, Krypto, fremde IBAN). Beides sind seit Jahren stabile Indikatoren für Betrug.

Wenn es passiert ist: Die ersten 24 Stunden

Sollte Ihr Konto übernommen worden sein, ist Geschwindigkeit alles:

1. Passwort des betroffenen Dienstes ändern — wenn das nicht mehr geht, Support kontaktieren (offizielle Hilfe-Seite, nicht über Such-Anzeigen googeln, dort tauchen oft gefälschte Hotlines auf).
2. Passwörter aller Dienste ändern, die mit derselben Mail-Adresse oder demselben Passwort verknüpft sind.
3. 2FA neu aufsetzen und alle aktiven Geräte/Sitzungen abmelden.
4. Bei finanziellem Schaden: Bank informieren, Anzeige bei der Polizei (auch online möglich).
5. Bei einem Datenschutzvorfall mit personenbezogenen Daten Dritter: 72-Stunden-Meldefrist an die Landes-Datenschutzbehörde prüfen.

Das BSI bietet für Unternehmen mit der IT-Notfallkarte und der TOP-12-Liste konkrete Handlungsanweisungen — in der Hektik des Moments hilft jeder vorbereitete Schritt.

Häufig gestellte Fragen

Reicht 2FA per SMS?

Besser als nur ein Passwort, aber nicht ideal. SMS lassen sich über sogenanntes SIM-Swapping abfangen. Das BSI empfiehlt bevorzugt Authenticator-Apps oder Hardware-Schlüssel. Wo nur SMS angeboten wird, sollten Sie es trotzdem aktivieren.

Was kostet ein Hardware-Sicherheitsschlüssel?

Einfache FIDO2-Sticks gibt es im einstelligen bis niedrigen zweistelligen Euro-Bereich. Für E-Mail- und Banking-Konto eine sinnvolle Investition — vor allem, wenn Sie Marktplatz-Konten mit hohen Auszahlungen führen.

Mein Amazon-Verkäuferkonto wurde gehackt — was tun?

Sofort den Amazon-Support über das offizielle Seller Central kontaktieren, Passwort ändern, alle Auszahlungsdaten prüfen, Verkäufe und Kommunikation der letzten Tage sichten. Parallel die hinterlegten Bankdaten beim Geldinstitut sperren lassen, falls eine fremde IBAN eingetragen wurde.

Muss ich einen Cybervorfall melden?

Wenn personenbezogene Kundendaten betroffen sein könnten, greift in der Regel die DSGVO-Meldepflicht innerhalb von 72 Stunden an die zuständige Landes-Datenschutzbehörde. Reine Unternehmens-Vorfälle ohne Betroffenheit Dritter sind nicht meldepflichtig, aber für die Versicherung dokumentiert werden sollten.

Muss ich Passwörter regelmäßig ändern?

Das BSI hat sich von der starren „alle 90 Tage"-Regel verabschiedet. Wichtiger sind lange, einzigartige Passwörter pro Dienst plus 2FA. Geändert wird, wenn ein Verdacht besteht oder ein Dienst von einem Datenleck betroffen war.

Fazit

Cyber-Security ist für Selbstständige 2026 keine Frage der Bequemlichkeit mehr, sondern der Geschäftsgrundlage. Die fünf Basismaßnahmen — 2FA, sauberes Mail-Setup, Updates, Backups, Notfallplan — kosten wenig Zeit und schützen vor den häufigsten Angriffsmustern, die das BSI sieht. Wer seine Geschäftsabläufe wie Rechnungen, Bankimport und Zahlungszuordnung sowie Dokumenten-Archivierung in einer modernen Cloud-Lösung führt, profitiert zudem von zentralen Zugängen, die sich konsequent mit 2FA absichern lassen — statt eines zerstreuten Sammelsuriums kritischer Passwörter.

Wer im Tagesgeschäft viel über Marktplätze verkauft, sollte zusätzlich die Plattform-Nachrichten zu Konto-Sicherheit lesen — etwa wenn sich Gebühren oder Auszahlungsmodalitäten ändern oder neue Marktplätze wie TikTok Shop eingerichtet werden. Auch lokale Anbieter wie Handwerksbetriebe profitieren, denn ein gepflegtes Google Business Profile verlangt heute zwingend ein gut abgesichertes Google-Konto.

Quellen

1. BSI — Die Lage der IT-Sicherheit in Deutschland 2025 — Jahresbericht des BSI mit Bedrohungslage für KMU, Ransomware-Statistiken und Empfehlungen.
2. BSI / BfV — Gemeinsamer Sicherheitshinweis: Phishing über Messengerdienste (6. Februar 2026) — Warnung vor Signal-Phishing-Kampagne, Beschreibung der Angriffsmuster.
3. BSI Presse — Aktualisierte Warnung und Leitfaden zu Signal-Phishing (17. April 2026) — Aktualisierter Hinweis mit interaktivem Leitfaden für Betroffene.
4. BSI — Cybersicherheitsmonitor 2026 (Digitalbarometer) — Gemeinsame Studie BSI und ProPK zu Cybervorfällen bei Privatpersonen in Deutschland.
5. BSI — IT-Notfallkarte für KMU — Kostenlose Notfallkarte, Maßnahmenkatalog und TOP-12-Empfehlungen für kleine und mittlere Unternehmen.
6. BSI — Zwei-Faktor-Authentisierung — Empfehlungen und Bewertung der verfügbaren 2FA-Verfahren.
7. BSI — Cybersicherheit für KMU (Publikation) — Broschüre des BSI mit IT-Sicherheits-Grundlagen für kleine und mittlere Unternehmen.

Hinweis: Dieser Beitrag stellt keine Rechtsberatung dar. Im Vorfall eines konkreten Cyber-Angriffs oder bei Fragen zur Meldepflicht nach DSGVO kontaktieren Sie bitte einen Rechtsanwalt oder die zuständige Landes-Datenschutzbehörde.