„Wir sind zu klein für Hacker“: Warum gerade kleine Unternehmen Ziel sind

„Wer sollte denn uns angreifen? Wir sind ein Handwerksbetrieb mit zwölf Leuten, bei uns gibt es nichts zu holen.“ Diesen Satz hören wir in der Beratung regelmäßig. Er klingt vernünftig. Er ist es aber nicht, und das liegt nicht an Ihrem Betrieb, sondern an der Art, wie Cyberkriminalität heute funktioniert.

Im Oktober haben wir an einer Fachschulung teilgenommen, in der ein IT-Sicherheitsexperte mit Tausenden betreuten Unternehmen einen Blick in die Strukturen hinter den Angriffen gegeben hat. Das wichtigste Ergebnis vorweg: Ein Cyberangriff auf kleine Unternehmen ist kein Zufallstreffer, sondern Teil eines Geschäftsmodells. Und die Größe Ihres Betriebs spielt dabei kaum eine Rolle.

Wissen Angreifer überhaupt, wen sie angreifen?

Meist nicht, jedenfalls nicht am Anfang. Ein großer Teil der Angriffe läuft automatisiert. Täter durchsuchen das Internet rund um die Uhr mit Programmen nach erreichbaren Systemen, bekannten Sicherheitslücken und schwachen Zugängen. Gefunden wird, wer verwundbar ist, nicht wer bekannt ist.

Ein Krisenmanager eines IT-Sicherheitsdienstleisters beschrieb in der Schulung, dass Täter oft erst bei der Auswertung erbeuteter Daten oder in den Lösegeldverhandlungen erfahren, wen sie eigentlich getroffen haben. Die Hoffnung, unter dem Radar zu bleiben, trägt deshalb nicht. Ein kleiner Betrieb mit einer veralteten Firewall ist für einen Scanner genauso sichtbar wie ein Konzern, nur deutlich leichter zu knacken.

Wie funktioniert Cybercrime als Dienstleistung?

Das Bild vom einsamen Hacker im Keller stimmt längst nicht mehr. Cyberkriminalität ist in weiten Teilen ein organisierter Markt mit Arbeitsteilung, Kundenservice und Preislisten. Der Experte zeigte in der Schulung Angebote, bei denen Spionagesoftware für einen geringen Betrag gemietet werden kann, inklusive Anleitung und Hilfe bei der Einrichtung.

Besonders verbreitet ist Erpressungssoftware als Dienstleistung. Die Entwickler stellen die Schadsoftware und die komplette Infrastruktur bereit, der Angreifer muss sie nur noch verbreiten. Bezahlt wird mit einem Anteil am erpressten Lösegeld. Daneben gibt es Angebote, bei denen sich Angriffe auf Unternehmen oder Überlastungsangriffe auf Webseiten einfach beauftragen lassen.

Die Folge: Die Einstiegshürde für Täter ist so niedrig wie nie. Wer angreifen will, braucht weder ein Informatikstudium noch eigene Programmierkenntnisse. Und künstliche Intelligenz senkt die Hürde weiter, etwa bei fehlerfreien und passgenauen Phishing-Mails. Mehr dazu lesen Sie im Beitrag KI-Phishing und Deepfakes.

Wenn Sie beim Lesen an Ihren eigenen Betrieb denken, ist das der richtige Reflex. Vereinbaren Sie hier einen kostenlosen Beratungstermin, und wir schauen gemeinsam, wo Sie stehen.

Warum trifft es kleine Unternehmen besonders hart?

Große Unternehmen haben eigene Sicherheitsabteilungen, Notfallteams und Budgets für regelmäßige Prüfungen. Kleine und mittlere Betriebe haben oft einen externen IT-Dienstleister und viel Vertrauen. Ein Experte für Krisenmanagement formulierte es in der Schulung so: Der Abstand zwischen dem Aufwand, sich zu schützen, und dem geringen Aufwand der Täter wird größer, und darunter leiden vor allem die Unternehmen ohne eigene Sicherheitsabteilung.

Die Zahlen bestätigen das. Nach einer aktuellen Befragung kleiner und mittlerer Unternehmen hat knapp ein Drittel der deutschen Betriebe im vergangenen Jahr mindestens einen Angriff festgestellt. Jedes dritte betroffene Unternehmen sah danach seine Zahlungsfähigkeit oder Existenz erheblich gefährdet. Gleichzeitig haben 29 Prozent der deutschen KMU überhaupt keine Cyberversicherung.

Was ist an Ihren Daten so interessant?

Auch ein kleiner Betrieb besitzt, was Täter zu Geld machen können. Dazu gehören Kundendaten mit Adressen und Bankverbindungen, Personalakten, Zugangsdaten zu Banken und Portalen, laufende Rechnungen und nicht zuletzt der Betrieb selbst, der ohne IT stillsteht. Allein die Drohung, Daten zu veröffentlichen, ist ein Druckmittel.

Hinzu kommt ein Effekt, den viele nicht auf dem Schirm haben. Wer gehackt wird, wird oft selbst zum Werkzeug. Aus einem übernommenen Postfach schreiben Täter an Kunden und Lieferanten, mit echten Vorgängen und echtem Absender. Kleine Betriebe sind so manchmal nur das Einfallstor für den nächsten Angriff.

Was können kleine Unternehmen konkret tun?

Die gute Nachricht: Die wirksamsten Maßnahmen sind weder kompliziert noch teuer. An erster Stelle steht die Anmeldung mit einem zweiten Faktor für E-Mail, Onlinebanking und Fernzugänge. Danach folgen Datensicherungen, die vom übrigen Netzwerk getrennt sind und regelmäßig testweise zurückgespielt werden. Updates sollten zeitnah installiert und Programme ohne Herstellerunterstützung ersetzt werden.

Ebenso wichtig sind klare Regeln für Zahlungen, etwa der Rückruf bei jeder Änderung einer Bankverbindung, und ein einfacher Notfallplan mit den wichtigsten Telefonnummern auf Papier. Hilfreich ist außerdem ein Blick von außen. Ein Sicherheitsscan zeigt, was Täter von Ihrem Unternehmen im Netz sehen können, und manche Cyberversicherungen bieten solche Scans als Leistung an.

Für den Fall, dass trotzdem etwas passiert, sorgt eine Cyberversicherung für Unternehmen dafür, dass sofort Experten bereitstehen und die finanziellen Folgen abgefedert werden. Welche Sicherheitsstandards Versicherer dafür erwarten, lesen Sie im Beitrag Cyberversicherung: Diese Voraussetzungen verlangen Versicherer.

Häufige Fragen zu Cyberangriffen auf kleine Unternehmen

Werden kleine Unternehmen wirklich gezielt angegriffen?
Selten gezielt, aber sehr häufig automatisiert. Täter suchen nach verwundbaren Systemen, nicht nach bestimmten Namen. Deshalb trifft es kleine Betriebe genauso wie große.

Lohnt sich eine Cyberversicherung für ein kleines Unternehmen?
Für jedes Unternehmen, das mit E-Mail, Onlinebanking, Kundendaten oder einem Onlineshop arbeitet, sollte die Frage ernsthaft geprüft werden. Gerade kleine Betriebe profitieren von der Soforthilfe, weil sie selten eigene Spezialisten haben.

Reicht ein guter IT-Dienstleister nicht aus?
Ein guter IT-Dienstleister ist wichtig, ersetzt aber weder spezialisierte IT-Forensik im Ernstfall noch die finanzielle Absicherung von Betriebsunterbrechung und Haftpflichtansprüchen.

Was kostet ein Cyberangriff ein kleines Unternehmen?
Das reicht von einigen tausend bis zu mehreren hunderttausend Euro, je nach Art des Angriffs, Dauer des Stillstands und Vorbereitung. Ein Praxisfall eines Bildungsanbieters mit fehlerhaftem Backup summierte sich auf 520.000 Euro.

Fazit: Nicht die Größe entscheidet, sondern die Angriffsfläche

Kleine Unternehmen sind kein Nebenschauplatz der Cyberkriminalität, sie sind ihr Kerngeschäft. Automatisierte Angriffe, gemietete Schadsoftware und KI sorgen dafür, dass jeder Betrieb mit Internetanschluss erreichbar ist. Wer seine Grundlagen im Griff hat und für den Ernstfall vorgesorgt hat, verwandelt ein existenzielles Risiko in ein beherrschbares.

Als Versicherungsmakler denken wir spartenübergreifend und prüfen, wie Cyberversicherung, Betriebshaftpflicht und Vertrauensschadenversicherung in Ihrem Betrieb zusammenspielen. Kostenlos und ohne Verpflichtung. Hier vereinbaren Sie Ihren Beratungstermin. Oder rufen Sie uns an unter 040 603 1081.