IT-Sicherheit im Mittelstand
Diese Cyberrisiken treffen kleine Unternehmen am häufigsten
Kleine und mittlere Unternehmen geraten zunehmend ins Visier von Cyberkriminellen, auch wenn viele Geschäftsführer das Risiko für ihren eigenen Betrieb bislang unterschätzen. Aktuelle Lageberichte zeigen, welche Angriffsarten in Deutschland tatsächlich am häufigsten auftreten.
Warum kleine Betriebe zur Zielscheibe werden
Viele Geschäftsführer glauben, dass Cyberkriminelle sich vor allem auf große Konzerne konzentrieren. Tatsächlich zeigen aktuelle Auswertungen ein anderes Bild: Kleine und mittlere Unternehmen sind regelmäßig betroffen, weil sie oft weniger Schutzmaßnahmen einsetzen als Großunternehmen, aber ähnlich wertvolle Daten und Zahlungswege besitzen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beobachtet die Lage in Deutschland fortlaufend und stuft mehrere Angriffsarten als besonders relevant für den Mittelstand ein. Wer die häufigsten Bedrohungen kennt, kann gezielter reagieren, bevor ein Angriff den Betrieb tatsächlich trifft.
Ransomware: die größte Einzelgefahr
Nach Einschätzung des BSI bleibt Ransomware die größte Bedrohung für Wirtschaftsunternehmen in Deutschland. Bei dieser Angriffsform verschlüsseln Kriminelle die Daten eines Unternehmens und verlangen Lösegeld für deren Freigabe. Besonders auffällig: In einer BSI-Auswertung waren 91 Prozent der von Ransomware betroffenen Betriebe mittelständische Unternehmen, nicht Großkonzerne. Das liegt unter anderem daran, dass kleinere Firmen seltener über aktuelle Backups oder getrennte Netzwerksegmente verfügen. Ein erfolgreicher Ransomware-Angriff kann den Betrieb tagelang lahmlegen, weil ohne funktionierende IT-Systeme weder Bestellungen noch Buchhaltung oder Kommunikation mit Kunden möglich sind.
Phishing und Business E-Mail Compromise
Phishing gehört laut BSI zu den häufigsten Ursachen für Schäden in Unternehmen. Dabei versenden Angreifer täuschend echte E-Mails, um Zugangsdaten abzugreifen oder Schadsoftware einzuschleusen. Eine PwC-Studie zeigt, dass 60 Prozent der befragten Unternehmen innerhalb von 12 Monaten aktiv auf einen Cyberangriff reagieren mussten, 42 Prozent davon erlebten konkret einen Phishing-Angriff. Eine besondere Variante ist Business E-Mail Compromise: Hier geben sich Angreifer als Geschäftsführer oder Lieferant aus, um Mitarbeiter zu Überweisungen oder zur Herausgabe sensibler Daten zu bewegen. Diese Angriffe wirken oft glaubwürdig, weil sie gezielt auf reale Geschäftsbeziehungen zugeschnitten sind.
Schadprogramme verbreiten sich in hoher Zahl
Neben gezielten Angriffen spielt auch die schiere Menge an Schadsoftware eine Rolle. Das BSI meldete für den Zeitraum vom 1. Juni 2022 bis 1. Juni 2023 täglich rund 250.000 neue Schadprogramm-Varianten. Im selben Zeitraum wurden durchschnittlich 21.000 infizierte Systeme an deutsche Internetanbieter gemeldet. Diese Zahlen verdeutlichen, dass Schadsoftware kein Randphänomen ist, sondern ein ständig wachsendes Grundrauschen darstellt, dem jedes vernetzte Unternehmen ausgesetzt ist. Schon ein einzelner infizierter Rechner im Netzwerk kann ausreichen, um weitere Systeme zu kompromittieren oder vertrauliche Daten unbemerkt abfließen zu lassen.
Passwortdiebstahl und der Faktor Mensch
Technische Schutzmaßnahmen allein reichen nicht aus, wenn Zugangsdaten in falsche Hände geraten. Das BSI zählt Passwortdiebstahl zu den regelmäßig auftretenden Schadensursachen in Unternehmen. Die Deloitte-Studie zu Cybersecurity im Mittelstand bestätigt diesen Befund aus einer anderen Perspektive: 59 Prozent der befragten Unternehmen bewerten ungeschultes Personal als großes oder sehr großes Risiko, mehr als jede andere Risikoart in der Befragung. Wer Mitarbeitende nicht regelmäßig für Phishing-Mails, schwache Passwörter oder verdächtige Anhänge sensibilisiert, öffnet Angreifern häufig die einfachste Tür in das Unternehmensnetzwerk.
Risiken über Dienstleister und Lieferketten
Viele kleine Unternehmen verlassen sich auf externe IT-Dienstleister, Softwareanbieter oder Zulieferer, ohne deren Sicherheitsniveau genau zu kennen. Wird ein solcher Partner erfolgreich angegriffen, kann sich das Problem über gemeinsame Schnittstellen, Fernzugänge oder Cloud-Dienste auf das eigene Unternehmen ausweiten. Aktuelle Lageberichte nennen Angriffe auf Lieferketten und Dienstleister ausdrücklich als eigene Risikokategorie neben Ransomware, Phishing und Malware. Für Geschäftsführer bedeutet das: Cybersicherheit endet nicht an der eigenen Firewall, sondern schließt die Frage ein, wie gut Partner und Zulieferer selbst abgesichert sind.
Die finanzielle Dimension für die deutsche Wirtschaft
Wie teuer Cyberkriminalität für Unternehmen in Deutschland werden kann, zeigt eine Bitkom-Auswertung für das Jahr 2023: Insgesamt wurden 206 Milliarden Euro Schaden durch Diebstahl von IT-Ausrüstung, Datenverlust, Industriespionage und Sabotage in deutschen Unternehmen ermittelt. Fast 72 Prozent davon, umgerechnet rund 148 Milliarden Euro, entfielen allein auf Cyberangriffe. Diese Größenordnung macht deutlich, dass es sich nicht um ein abstraktes IT-Thema handelt, sondern um einen wirtschaftlichen Faktor, der Investitionen, Arbeitsplätze und die Zahlungsfähigkeit von Betrieben unmittelbar betreffen kann, auch wenn die Zahl nicht ausschließlich KMU zuzuordnen ist.
Was Lageberichte und Studien übereinstimmend zeigen
BSI, Bitkom, PwC und Deloitte kommen aus unterschiedlichen Perspektiven zu einem ähnlichen Bild: Ransomware und Phishing zählen zu den häufigsten Bedrohungen, während menschliche und organisatorische Schwächen die Angriffsfläche zusätzlich vergrößern. Das BSI ordnet rund 3,1 Millionen kleine und mittlere Unternehmen in Deutschland als relevante Zielgruppe für seine Sicherheitshinweise ein. Auch das Lagebild von BKA und Polizei nennt für 2024 bundesweit 131.391 Cybercrime-Fälle und 950 Ransomware-Angriffe, wobei diese Zahlen nicht ausschließlich KMU betreffen, aber die allgemeine Bedrohungslage in Deutschland widerspiegeln.
Warum Schulung und Organisation den Unterschied machen
Da menschliches Verhalten laut Deloitte-Studie als größtes Einzelrisiko gilt, liegt ein wirksamer Hebel für kleine Unternehmen nicht nur in neuer Technik, sondern in klaren organisatorischen Regeln. Dazu gehören regelmäßige Schulungen zum Erkennen von Phishing-Mails, verbindliche Vorgaben für Passwörter und ein klarer Ablauf, wie verdächtige E-Mails oder Anhänge gemeldet werden. Auch einfache Maßnahmen wie ein Vier-Augen-Prinzip bei Überweisungen können Business-E-Mail-Compromise-Betrug erschweren. Solche organisatorischen Maßnahmen sind meist deutlich günstiger umzusetzen als umfangreiche technische Investitionen und wirken direkt an der Stelle, an der viele Angriffe tatsächlich ansetzen.
Einordnung für den eigenen Betrieb
Für Geschäftsführerinnen und Geschäftsführer kleiner Betriebe ergibt sich aus den vorliegenden Zahlen eine klare Priorisierung: Ransomware und Phishing verdienen die größte Aufmerksamkeit, gefolgt von Risiken durch Passwortdiebstahl und externe Dienstleister. Die genannten Lageberichte von BSI, Bitkom, PwC und Deloitte bieten dafür eine belastbare Grundlage, weil sie regelmäßig aktualisiert werden und auf konkreten Meldezahlen oder Unternehmensbefragungen beruhen. Ein realistischer erster Schritt besteht darin, die eigene IT-Sicherheit anhand dieser bekannten Risikoarten zu überprüfen, statt auf einen konkreten Vorfall zu warten, bevor Schutzmaßnahmen ernst genommen werden.
Dieser Beitrag dient der allgemeinen Orientierung und ersetzt keine individuelle Beratung. Die individuelle Beratung erfolgt durch zugelassene Kooperationspartner.
Ersttermin
Ihre Fragen im persönlichen Gespräch klären
Lassen Sie Ihre betrieblichen Risikothemen in einem kostenlosen Ersttermin durch einen zugelassenen Kooperationspartner einordnen. Unverbindlich und persönlich.
Kostenlosen Ersttermin anfragenDie Inhalte dienen der Orientierung. Die individuelle Beratung erfolgt durch zugelassene Kooperationspartner.