Cyber & IT

Cyberrisiken für kleine Unternehmen: Beispiele, Folgen, BSI CyberRisikoCheck (DIN SPEC 27076)

Cyberangriffe treffen längst nicht mehr nur große Konzerne. Auch kleine Betriebe geraten zunehmend ins Visier. Dieser Beitrag erklärt, wie Vorfälle ablaufen, welche Folgen sie haben können und wie eine kostenlose Erst-Einschätzung durch das Bundesamt für Sicherheit in der Informationstechnik aussieht.

Warum auch kleine Betriebe ins Visier geraten

Viele Inhaber kleiner Unternehmen gehen davon aus, dass Cyberkriminelle sich vor allem für große Konzerne interessieren. Die Zahlen des Bundesamts für Sicherheit in der Informationstechnik (BSI) zeichnen ein anderes Bild: Laut aktuellem Lagebericht richteten sich rund 80 Prozent der angezeigten Angriffe gegen kleine und mittlere Unternehmen. Für Kriminelle zählt weniger die Größe des Betriebs als der Aufwand, ihn zu kompromittieren. Kleinere Betriebe haben oft weniger Personal und Budget für IT-Sicherheit, sind aber genauso auf funktionierende Systeme und Kundendaten angewiesen wie große Unternehmen. Genau das macht sie zu einem lohnenden Ziel.

Wie ein Angriff typischerweise abläuft

Die meisten Vorfälle beginnen mit einer täuschend echten Phishing-Mail, etwa einer angeblichen Rechnung oder einer Nachricht, die scheinbar von einem Kollegen stammt. Ein Klick auf Link oder Anhang genügt, um Zugangsdaten preiszugeben oder unbemerkt Schadsoftware zu installieren. Bei Ransomware verschlüsseln Kriminelle danach Daten und Systeme und fordern Lösegeld, oft verbunden mit der Drohung, zuvor gestohlene Daten zu veröffentlichen. Bei CEO-Fraud geben sich Angreifer als Geschäftsführung oder bekannter Lieferant aus und fordern eine dringende Überweisung. Auch Angriffe über kompromittierte IT-Dienstleister oder Software-Updates gehören zu den häufigen Wegen, auf denen kleine Betriebe getroffen werden, oft ohne dass ein eigener Fehler vorliegt.

Welche Folgen ein Vorfall hat

Der sichtbare Schaden ist selten der größte Posten. Hinzu kommen Stillstand während der Wiederherstellung, Kosten für Datenrettung und gegebenenfalls IT-Forensik sowie der Zeitaufwand, bis alle Systeme wieder zuverlässig laufen. Schon wenige Tage ohne funktionierende Systeme können einen kleinen Betrieb empfindlich treffen, insbesondere wenn Auftragsabwicklung oder Rechnungsstellung davon abhängen. Andere Folgen zeigen sich erst später: beschädigtes Vertrauen von Kunden, verpasste Fristen oder verlorene Aufträge, wenn die Verzögerung bekannt wird.

Das Ausmaß in Zahlen

Im Berichtszeitraum Juli 2024 bis Juni 2025 registrierte das BSI durchschnittlich 119 neue Schwachstellen pro Tag, ein Anstieg von rund 24 Prozent gegenüber dem Vorjahreszeitraum. Laut der Bitkom-Wirtschaftsschutzstudie 2025 beläuft sich der jährliche Gesamtschaden durch Datendiebstahl, Sabotage und Industriespionage für die deutsche Wirtschaft mittlerweile auf 289,2 Milliarden Euro, ein neuer Höchstwert.

Datenschutz nicht vergessen

Sind bei einem Vorfall personenbezogene Daten betroffen, etwa von Kunden, Beschäftigten oder Bewerbern, greifen zusätzlich die Meldepflichten der DSGVO gegenüber der zuständigen Aufsichtsbehörde, in der Regel innerhalb von 72 Stunden nach Bekanntwerden. Wird das versäumt oder zu spät nachgeholt, drohen zusätzlich zum eigentlichen Schaden empfindliche Bußgelder, unabhängig von den technischen Folgekosten.

Der BSI CyberRisikoCheck als erster Schritt

Der CyberRisikoCheck des BSI ist keine IT-Sicherheitszertifizierung, sondern eine Positionsbestimmung: Er zeigt, wo der eigene Betrieb aktuell steht, ohne dass dafür Vorwissen zu umfangreichen Normwerken wie ISO/IEC 27001 nötig wäre, einem Standard, der für die meisten kleinen Betriebe in der Praxis zu aufwendig ist. Grundlage ist die DIN SPEC 27076 mit dem Titel „IT-Sicherheitsberatung für kleine und Kleinstunternehmen", die festlegt, welche Themen die Beratung abdecken muss und in welcher Form das Ergebnis vorliegt. Dadurch sind Ablauf und Ergebnis vergleichbar, unabhängig davon, welcher Berater den Check durchführt.

Ablauf, Ergebnis und Kosten

Ein geschulter IT-Dienstleister oder ein zertifizierter Berater einer IHK oder Handwerkskammer führt ein strukturiertes Interview von ein bis zwei Stunden durch, meist vor Ort oder per Videocall, und prüft dabei 27 Anforderungen aus sechs Themenbereichen. Am Ende steht ein schriftlicher Bericht mit Einschätzung des IT-Sicherheitsniveaus und nach Dringlichkeit sortierten Handlungsempfehlungen, inklusive Hinweisen auf mögliche staatliche Förderprogramme. Was der Check kostet, legt der jeweilige Anbieter fest, eine einheitliche Gebühr gibt es nicht. Der Check richtet sich an Unternehmen mit bis zu 50 Beschäftigten und lässt sich meist an einem einzigen Termin durchführen.

Erste Schritte bei einem konkreten Verdacht

Besteht der Verdacht, dass ein System kompromittiert ist, zählt vor allem eines: Ruhe bewahren und das betroffene Gerät vom Netzwerk trennen, aber nicht ausschalten, da sonst wichtige Spuren verloren gehen können. Danach den zuständigen IT-Dienstleister informieren. Bei Betroffenheit personenbezogener Daten die DSGVO-Meldepflicht prüfen, bei strafbaren Handlungen eine Anzeige bei der Polizei erwägen. Kleine Unternehmen ohne KRITIS-/NIS2-Pflicht können den Vorfall zusätzlich freiwillig beim BSI melden (bsi.bund.de/dok/13234210), das ist keine Pflicht, hilft der Behörde aber bei der Einschätzung der Lage. Genau für diesen Ablauf lohnt sich ein schriftlicher IT-Notfallplan, der vorab festhält, wer im Ernstfall zu informieren ist und welche Schritte zuerst folgen.

Was der Check nicht leistet und wo Absicherung ansetzt

Der CyberRisikoCheck zeigt Schwachstellen auf und liefert Empfehlungen, wie sich die IT-Sicherheit verbessern lässt. Er schützt einen Betrieb aber nicht vor den finanziellen Folgen, wenn trotz aller Vorsichtsmaßnahmen doch ein Vorfall eintritt: Kosten für Datenwiederherstellung, Betriebsunterbrechung oder Ansprüche Dritter fallen unabhängig davon an, wie gut die eigene IT-Sicherheit aufgestellt ist. Genau hier setzt eine Cyberversicherung an, oft ergänzt um eine Betriebsunterbrechungsversicherung für die Zeit des Ausfalls, als finanzielle Ergänzung zu technischen und organisatorischen Maßnahmen, nicht als Ersatz dafür.

Passende Themen

Dieser Beitrag dient der allgemeinen Orientierung und ersetzt keine individuelle Beratung. Die individuelle Beratung erfolgt durch zugelassene Kooperationspartner.

Ersttermin

Ihre Fragen im persönlichen Gespräch klären

Lassen Sie Ihre betrieblichen Risikothemen in einem kostenlosen Ersttermin durch einen zugelassenen Kooperationspartner einordnen. Unverbindlich und persönlich.

Kostenlosen Ersttermin anfragen

Die Inhalte dienen der Orientierung. Die individuelle Beratung erfolgt durch zugelassene Kooperationspartner.