Cyberangriffe auf KMU:
Warum kleine Unternehmen im Visier sind.

Das Missverständnis, das KMU gefährlich wird

„Wir sind doch zu klein, um interessant zu sein." Dieser Satz ist in vielen Chefetagen kleiner und mittlerer Unternehmen zu hören – und er ist gefährlich falsch. Cyberkriminelle denken nicht in Unternehmensgrößen, sie denken in Aufwand-Nutzen-Verhältnissen. Und da schneiden KMU aus Angreifersicht oft besser ab als Großkonzerne.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) dokumentiert seit Jahren, dass der Mittelstand zu den am stärksten betroffenen Unternehmensgruppen zählt. Mehr als 80 Prozent aller gemeldeten Cybervorfälle betreffen Unternehmen mit weniger als 250 Mitarbeitern. Der Grund ist simpel: Kleinere Betriebe haben seltener einen dedizierten IT-Sicherheitsbeauftragten, weniger ausgefeilte Schutzmaßnahmen und – wenn es hart auf hart kommt – oft eine höhere Bereitschaft, schnell zu zahlen, um den Betrieb wieder zum Laufen zu bringen.

Warum KMU das bevorzugte Ziel sind

Großunternehmen investieren Millionenbeträge in IT-Sicherheit: Dedicated Security Operations Centers, mehrschichtige Zero-Trust-Architekturen, 24/7-Monitoring und forensische Response-Teams. Ein Angriff auf einen Konzern ist für Cyberkriminelle oft monatelange Arbeit mit ungewissem Ausgang.

Bei einem Handwerksbetrieb mit 15 Mitarbeitern oder einer Steuerberaterkanzlei mit drei Standorten sieht das anders aus. Dort läuft vielleicht noch Windows auf veralteten Rechnern, die letzte Firewall-Überprüfung liegt Jahre zurück, und das Backup wurde zuletzt vor einem halben Jahr manuell angestoßen – falls überhaupt. Gleichzeitig verfügen solche Betriebe über reale Werte: Kundendaten, Finanzdaten, Auftragsbestände, Zugangsdaten zu Partnerunternehmen.

Hinzu kommt der Faktor Vernetzung: Viele KMU sind Lieferanten oder Dienstleister für größere Unternehmen. Ein erfolgreicher Angriff auf einen kleinen Zulieferer kann als Einfallstor für den eigentlichen Zielkonzern dienen – das nennt man Supply-Chain-Angriff.

Die drei häufigsten Angriffsmethoden im Überblick

Ransomware – die Erpressungssoftware

Ransomware ist derzeit die kostspieligste Bedrohung für kleine Unternehmen. Die Schadsoftware verschlüsselt alle erreichbaren Dateien auf infizierten Systemen – vom lokalen PC bis zum Netzlaufwerk und angebundenen Cloudspeicher. Anschließend fordern die Täter ein Lösegeld, meist in Kryptowährung, für den Entschlüsselungsschlüssel.

Das Perfide an modernen Ransomware-Varianten: Sie verbreiten sich nicht sofort, sondern „schlafen" zunächst im Netzwerk. In dieser Zeit werden alle Systeme kartiert, Backups gelöscht oder ebenfalls verschlüsselt, und erst dann wird der Angriff ausgelöst. Wenn ein Unternehmen die Verschlüsselung bemerkt, ist es oft zu spät – auch das vermeintliche Backup ist betroffen.

Die Folgen reichen von Betriebsunterbrechungen über mehrere Wochen bis hin zu dauerhaftem Datenverlust. Branchenberichte sprechen von durchschnittlichen Ausfallzeiten von über drei Wochen bei Ransomware-Angriffen ohne funktionsfähiges Backup. Für viele kleine Betriebe ist das existenzbedrohend. Mehr dazu lesen Sie in unserem Ratgeber Ransomware-Schutz für KMU.

Phishing – der Angriff über die E-Mail

Über drei Viertel aller Cyberangriffe beginnen mit einer E-Mail. Phishing-Nachrichten haben sich dabei vom leicht erkennbaren „nigerianischen Prinzen" hin zu täuschend echten Imitationen entwickelt. Moderne Phishing-Mails kopieren das Design von Microsoft, Banken, Lieferanten oder sogar der Unternehmensleitung bis ins Detail.

Spear-Phishing geht noch einen Schritt weiter: Hier werden E-Mails gezielt auf eine bestimmte Person oder ein bestimmtes Unternehmen zugeschnitten. Der Täter recherchiert vorab Namen, Positionen und aktuelle Projekte – und erstellt eine Mail, die selbst aufmerksamen Mitarbeitern glaubwürdig erscheint. Ein Klick auf den falschen Link, eine heruntergeladene Datei – und die Schadsoftware ist im Netzwerk.

Wie Sie Phishing-Mails erkennen, bevor sie Schaden anrichten, erklärt unser separater Ratgeber Phishing erkennen: 7 Warnsignale für Ihr Team ausführlich.

CEO-Fraud – der Chef als Absender

CEO-Fraud, auch Business Email Compromise (BEC) genannt, ist eine besonders dreiste Methode. Die Täter geben sich per E-Mail als Geschäftsführer, Gesellschafter oder leitende Mitarbeiter aus und fordern beispielsweise die Buchhaltung zu einer dringenden Überweisung auf, „weil gerade ein Deal abgeschlossen wurde". Oder sie fordern IT-Zugangsdaten unter dem Vorwand einer angeblichen Systemwartung an.

Für den Erfolg dieser Methode braucht es keine Schadsoftware – nur eine glaubwürdige E-Mail-Adresse und eine Mitarbeiterin oder einen Mitarbeiter, der unter Druck gerät. Unternehmen haben auf diesem Weg schon fünf- und sechsstellige Beträge überwiesen, bevor der Betrug auffiel. Rückbuchungen sind bei Auslandsüberweisungen meist nicht möglich.

Reale Folgen eines erfolgreichen Angriffs

Die unmittelbaren Schäden nach einem Cyberangriff sind leicht vorstellbar: Systeme fallen aus, Daten sind weg, der Betrieb steht still. Die mittelbaren Folgen treffen manche Unternehmen jedoch noch härter:

• Datenschutzverletzung und Meldepflicht: Wenn personenbezogene Daten betroffen sind, besteht nach DSGVO eine Meldepflicht gegenüber der zuständigen Datenschutzbehörde – innerhalb von 72 Stunden. Bei Versäumnissen drohen empfindliche Bußgelder.
• Reputationsschaden: Kunden, Lieferanten und Geschäftspartner erfahren vom Vorfall. Das Vertrauen in die Zuverlässigkeit des Unternehmens leidet – und baut sich nur langsam wieder auf.
• Haftungsrisiken: Wenn durch den Angriff Daten Dritter abgeflossen sind, können Schadensersatzforderungen folgen.
• Betriebsunterbrechungsschäden: Laufende Aufträge können nicht erfüllt werden, Liefertermine werden gerissen, Vertragsstrafen greifen.
• Wiederherstellungskosten: Forensische Untersuchung, Systemwiederherstellung, neue Hardware – das summiert sich schnell auf mehrere zehntausend Euro.

9 Schutzmaßnahmen, die wirklich helfen

Die gute Nachricht: Die meisten Angriffe auf KMU sind nicht hochsophistiziert – sie nutzen bekannte Schwachstellen, die mit überschaubarem Aufwand geschlossen werden können. Hier sind die neun wirksamsten Maßnahmen, priorisiert nach Schutzwirkung und Aufwand:

1. Getestetes Backup nach der 3-2-1-Regel

Das wichtigste Sicherheitsnetz überhaupt. Die 3-2-1-Regel besagt: Drei Kopien Ihrer Daten, auf zwei verschiedenen Medien, davon eine außerhalb des Unternehmensstandorts. Entscheidend ist das Wort „getestet": Ein Backup, das nie auf Wiederherstellbarkeit geprüft wurde, ist im Ernstfall wertlos. Und: Das Backup muss vom produktiven Netzwerk getrennt sein (Immutable Backup), sonst verschlüsselt Ransomware es mit.

2. Moderne Firewall mit aktueller Konfiguration

Eine Next-Generation-Firewall erkennt Angriffsmuster und blockt verdächtigen Traffic – auch ausgehend. Viele KMU haben zwar eine Firewall, aber sie wurde seit Jahren nicht aktualisiert oder fehlkonfiguriert. Eine professionell eingerichtete und regelmäßig gewartete Firewall ist eine der effektivsten Präventionsmaßnahmen.

3. Mehr-Faktor-Authentifizierung (MFA) für alle Konten

Gestohlene Passwörter sind wertlos, wenn ein zweiter Faktor notwendig ist. MFA sollte für alle geschäftlichen Konten aktiv sein – E-Mail, Cloud-Dienste, VPN-Zugänge, Verwaltungsoberflächen. Die Einrichtung ist in den meisten Systemen einfach und kostet wenig Zeit.

4. Regelmäßige Updates und Patch-Management

Viele Angriffe nutzen bekannte Sicherheitslücken in veralteter Software. Betriebssysteme, Anwendungen, Firmware von Netzwerkgeräten – all das muss zeitnah aktualisiert werden. Im Rahmen von Managed Services übernehmen wir dieses Patch-Management automatisiert und dokumentiert.

5. Endpoint Detection & Response (EDR) statt klassischem Antivirus

Klassische Antivirenprogramme erkennen nur bekannte Schadsoftware anhand von Signaturen. Moderne Endpoint-Detection-Systeme analysieren das Verhalten von Prozessen und schlagen Alarm, wenn sich ein Programm auffällig verhält – auch ohne bekannte Signatur. Für KMU ist das ein deutlicher Sicherheitsgewinn gegenüber herkömmlichem Virenschutz.

6. E-Mail-Sicherheitsfilter und Anti-Phishing

Ein professioneller E-Mail-Sicherheitsfilter filtert Phishing-Mails, gefährliche Anhänge und Spoofing-Versuche, bevor sie im Posteingang landen. Besonders bei Microsoft 365-Umgebungen gibt es hier erhebliches Konfigurationspotenzial, das oft ungenutzt bleibt.

7. Mitarbeiterschulungen und Security Awareness

Technik allein reicht nicht. Der Mensch ist sowohl das schwächste Glied als auch die erste Verteidigungslinie. Regelmäßige Schulungen zu Phishing, CEO-Fraud und sicherem Umgang mit Passwörtern und Anhängen senken das Risiko eines erfolgreichen Social-Engineering-Angriffs erheblich. Praktische Phishing-Simulationen zeigen dabei, wo noch Schulungsbedarf besteht.

8. Klare Prozesse für Verdachtsfälle

Was soll ein Mitarbeiter tun, wenn er eine verdächtige Mail erhalten hat? Wem meldet er es? Wer entscheidet, ob ein Rechner vom Netz genommen werden muss? Diese Fragen sollten geklärt sein, bevor der Ernstfall eintritt. Ein dokumentierter Incident-Response-Plan verhindert, dass im Chaos falsche Entscheidungen getroffen werden.

9. Regelmäßige Sicherheitsüberprüfung

IT-Sicherheit ist kein Zustand, den man einmal erreicht und dann hat. Neue Schwachstellen werden täglich entdeckt, Angriffsmethoden entwickeln sich weiter, und die eigene IT-Infrastruktur verändert sich. Ein jährlicher Sicherheits-Check durch einen externen IT-Dienstleister hilft, blinde Flecken zu finden und Prioritäten richtig zu setzen.

Häufige Fragen zu Cyberangriffen auf KMU

Weiterführende Ratgeber zum Thema IT-Sicherheit

• Phishing erkennen: 7 Warnsignale für Ihr Team
• Ransomware-Schutz für KMU: Prävention, Backup & Notfallplan
• Die 3-2-1-Backup-Regel einfach erklärt
• NIS2: Was die neue Richtlinie für kleine Unternehmen bedeutet