Cyberangriffe auf KMU: Die unterschätzte Gefahr

„Uns trifft das nicht — wir sind doch viel zu klein.“ Diesen Satz höre ich in Berliner KMU regelmäßig. Und genau diese Einstellung macht kleine Unternehmen zum perfekten Ziel. Denn Cyberkriminelle greifen nicht nur Konzerne an — sie greifen die an, bei denen es am einfachsten geht.

Laut dem BSI-Lagebericht 2024 waren 46 % aller Ransomware-Angriffe in Deutschland gegen KMU gerichtet. Der durchschnittliche Schaden: 200.000 EUR. Für ein Unternehmen mit 10 Mitarbeitern kann das existenzbedrohend sein.

Warum KMU besonders gefährdet sind

• Kein IT-Sicherheitsteam: Große Unternehmen haben eigene Security-Abteilungen. KMU haben oft nicht einmal einen festen IT-Verantwortlichen
• Veraltete Systeme: Windows 10 ohne Updates, ungepatchte Server, Software aus 2019 — jede ungepatchte Schwachstelle ist ein offenes Tor
• Wenig Awareness: Mitarbeiter klicken auf Phishing-Links, verwenden einfache Passwörter, stecken USB-Sticks ein
• Wertvolle Daten: Kundendaten, Kontoinformationen, Geschäftsgeheimnisse — alles wertvoll für Erpresser
• Hohe Zahlungsbereitschaft: KMU zahlen häufiger Lösegeld als Konzerne, weil sie schnell wieder arbeitsfähig sein müssen

Die häufigsten Angriffsarten

1. Ransomware („Verschlüsselungstrojaner“)

Die Daten auf Ihren Computern und Servern werden verschlüsselt. Eine Lösegeldforderung erscheint auf dem Bildschirm — typischerweise 10.000–500.000 EUR in Bitcoin. Ohne Backup sind Ihre Daten verloren.

Einfallstor: Fast immer eine Phishing-E-Mail mit infiziertem Anhang oder Link. Ein einziger Klick genügt.

2. Business E-Mail Compromise (BEC)

Angreifer übernehmen oder fälschen die E-Mail-Adresse der Geschäftsführung und weisen Mitarbeiter an, Geld zu überweisen. Oder sie ändern die Bankverbindung auf einer echten Rechnung. Schaden pro Vorfall: durchschnittlich 50.000 EUR.

3. Phishing und Credential Theft

Gefälschte Login-Seiten für Microsoft 365, Google, DHL, Banken — Mitarbeiter geben ihre Zugangsdaten ein und merken nichts. Die Angreifer haben dann Zugang zu E-Mails, Cloud-Speicher und internen Systemen.

4. Supply-Chain-Angriffe

Der Angreifer kompromittiert einen Ihrer Dienstleister oder Lieferanten und nutzt das Vertrauen, um in Ihr System einzudringen. Besonders tückisch, weil die E-Mails von einer bekannten Adresse kommen.

Echte Fälle aus meiner Beratungspraxis

Ohne Namen, aber mit echten Zahlen:

• Handwerksbetrieb, 12 Mitarbeiter: Ransomware über eine gefälschte DHL-Mail. Alle Projektdaten verschlüsselt. Kein funktionierendes Backup (NAS war auch betroffen). 3 Wochen Ausfall, 80.000 EUR Schaden
• Arztpraxis, 6 Mitarbeiter: Microsoft-365-Konto übernommen über Phishing. Patientendaten kompromittiert. Meldepflicht beim Landesdatenschutzbeauftragten, Reputationsschaden
• Steuerberatung, 4 Mitarbeiter: CEO-Fraud — gefälschte E-Mail vom „Chef“ an die Buchhalterin. 25.000 EUR auf ein ausländisches Konto überwiesen. Geld war weg

7 Schutzmaßnahmen, die sofort wirken

1. Zwei-Faktor-Authentifizierung (2FA) — überall

Die einzelne wirksamste Maßnahme. Aktivieren Sie 2FA für E-Mail, Cloud-Dienste, Online-Banking und alle Verwaltungszugänge. Selbst wenn ein Passwort gestohlen wird — ohne den zweiten Faktor kommt niemand rein.

2. Offline-Backup nach der 3-2-1-Regel

3 Kopien, 2 verschiedene Medien, 1 davon außer Haus (oder offline). Ein NAS allein reicht nicht — Ransomware verschlüsselt alles, was über das Netzwerk erreichbar ist. Sie brauchen ein Backup, das physisch getrennt ist.

3. Updates sofort einspielen

Aktivieren Sie automatische Updates für Betriebssysteme, Browser und Office-Software. 60 % aller erfolgreichen Angriffe nutzen bekannte Schwachstellen, für die es bereits Patches gibt.

4. E-Mail-Sicherheit erhöhen

• SPF, DKIM und DMARC konfigurieren (verhindert E-Mail-Fälschung)
• Anhänge mit Makros blockieren (.docm, .xlsm)
• Externen Absender-Hinweis aktivieren in Microsoft 365

5. Mitarbeiter schulen

Einmal jährlich reicht nicht. Kurze, regelmäßige Awareness-Inputs (10 Minuten pro Monat) sind wirksamer als ein langer Jahresvortrag. Zeigen Sie echte Phishing-Beispiele aus Ihrer Branche.

6. Netzwerk segmentieren

Gäste-WLAN vom Firmennetz trennen. IoT-Geräte (Drucker, Kameras) in ein eigenes Netzwerksegment. So kann sich Malware nicht ungehindert ausbreiten.

7. Notfallplan erstellen

Wissen Ihre Mitarbeiter, was bei einem IT-Vorfall zu tun ist? Halten Sie schriftlich fest:

• Wen anrufen? (IT-Dienstleister, Geschäftsführung, ggf. Polizei)
• Was sofort tun? (Netzwerkkabel ziehen, WLAN aus, nicht herunterfahren)
• Wo liegt das Offline-Backup?
• Welche Kunden/Partner müssen informiert werden?

„IT-Sicherheit ist kein Zustand, sondern ein Prozess. Aber mit diesen 7 Maßnahmen schließen Sie 90 % der Angriffsvektoren — für überschaubare Kosten.“

Was tun nach einem Angriff?

• Sofort: Betroffene Systeme isolieren (Netzwerk trennen), nicht ausschalten
• Innerhalb von 1 Stunde: IT-Dienstleister kontaktieren, Ausmaß bewerten
• Innerhalb von 72 Stunden: Bei Datenschutzverstoß Meldung an die Aufsichtsbehörde (DSGVO-Pflicht!)
• Dokumentation: Alles festhalten — für Versicherung, Behörden und die interne Aufarbeitung
• Kein Lösegeld zahlen: Das BSI rät dringend davon ab. Es gibt keine Garantie für die Entschlüsselung, und es finanziert weitere Angriffe

Wie gut ist Ihr Unternehmen geschützt? Ich führe Sicherheits-Checks speziell für Berliner KMU durch — pragmatisch, verständlich und mit konkretem Maßnahmenplan. Vereinbaren Sie einen Termin.