Montag, 8:12 Uhr: Die ersten Mitarbeitenden eines Handwerksbetriebs in Berlin melden sich am Rechner an. Statt der gewohnten Dateien erscheint eine kurze Nachricht: Daten wurden verschlüsselt, für die Entschlüsselung werde Geld verlangt. Angebote, Rechnungen, Aufmaßdaten und Kundenkontakte sind nicht mehr erreichbar. Dieses Cyberangriff-kleine-Firma-Beispiel zeigt, warum IT-Sicherheit kein Thema nur für Konzerne ist. Ein einzelner Vorfall kann den gesamten Betrieb ausbremsen.

Der Betrieb beschäftigt 18 Personen, nutzt Microsoft 365, einen lokalen Server und mehrere PCs im Büro. Eine eigene IT-Abteilung gibt es nicht. Bis zum Angriff lief die Technik scheinbar problemlos. Genau das ist in vielen kleinen Unternehmen die Ausgangslage: Die IT funktioniert im Alltag – bis ein Fehler, eine gefälschte E-Mail oder eine ungesicherte Schwachstelle genügt.

Cyberangriff auf eine kleine Firma: Das Beispiel im Ablauf

Die Ursache liegt nicht in einem spektakulären Hackerangriff mit Hollywood-Charakter. Eine Mitarbeiterin erhält am Freitag eine E-Mail, die wie eine Nachricht eines bekannten Lieferanten aussieht. Darin wird auf eine angeblich überfällige Rechnung hingewiesen. Der Anhang heißt „Rechnung_September.pdf“. Tatsächlich handelt es sich nicht um ein PDF, sondern um eine getarnte Schadsoftware.

Nach dem Öffnen passiert zunächst nichts Sichtbares. Im Hintergrund wird jedoch ein Zugang auf dem PC eingerichtet. Das Wochenende nutzen die Angreifer, um sich im Netzwerk umzusehen. Sie suchen nach freigegebenen Ordnern, gespeicherten Zugangsdaten und Sicherungen, die direkt vom Server erreichbar sind. In der Nacht zu Montag verschlüsseln sie Daten auf mehreren Geräten und dem Server.

Das Beispiel ist bewusst realistisch: Nicht jede Schadsoftware befällt sofort alle Systeme. Manchmal beginnt der Angriff mit einem kompromittierten Microsoft-365-Konto. Manchmal wird ein unzureichend abgesicherter Fernzugang ausgenutzt. Oder ein Server erhält über längere Zeit keine Sicherheitsupdates. Der konkrete Einstieg kann unterschiedlich sein. Das Ziel ist oft dasselbe: Zugriff auf Daten und Arbeitsabläufe gewinnen, um Druck auszuüben.

Die Folgen treffen mehr als die IT

Am Montag kann der Betrieb keine Rechnungen schreiben, keine Aufträge prüfen und keine aktuellen Planunterlagen öffnen. Mitarbeitende arbeiten nur eingeschränkt oder gar nicht. Kunden warten auf Rückrufe, Termine müssen verschoben werden. Die Geschäftsführung steht unter Druck, obwohl sie selbst den Angriff nicht verursacht hat.

Hinzu kommt die Frage, ob personenbezogene Daten betroffen sind. Befanden sich Kundenadressen, Mitarbeiterdaten oder Verträge auf den verschlüsselten oder kopierten Systemen, kann eine Meldung an die zuständige Datenschutzaufsicht nötig sein. Das muss fachlich geprüft werden. Wer zu lange wartet oder vorschnell vermutet, riskiert zusätzliche Probleme.

Die unmittelbaren Kosten sind nur ein Teil der Rechnung. Dazu gehören die Analyse des Vorfalls, die Wiederherstellung der Systeme, mögliche neue Hardware und externe Unterstützung. Schwerer messbar sind Produktionsausfall, verlorene Arbeitszeit, Verzögerungen bei Kunden und Vertrauensverlust. Auch wenn kein Lösegeld gezahlt wird, kann ein Angriff teuer werden.

Ob eine Zahlung die Daten tatsächlich zurückbringt, ist keineswegs sicher. Sie kann außerdem weitere rechtliche und sicherheitsrelevante Fragen auslösen. Deshalb sollte die Entscheidung nie aus Panik getroffen werden. Zuerst müssen Systeme isoliert, der Schaden eingegrenzt und belastbare Wiederherstellungsoptionen geprüft werden.

Was in den ersten Stunden zu tun ist

Wer den Verdacht auf einen Cyberangriff hat, sollte nicht versuchen, das Problem mit hektischen Neustarts zu lösen. Betroffene PCs oder Server sollten vom Netzwerk und Internet getrennt werden – möglichst ohne sie auszuschalten, wenn eine Analyse noch erforderlich sein kann. Das verhindert nicht immer jeden Schaden, kann aber die weitere Ausbreitung bremsen.

Danach braucht es eine klare Reihenfolge. Welche Systeme sind betroffen? Welche Konten wurden genutzt? Funktionieren E-Mail, Telefonie und Sicherungen noch? Gibt es Anzeichen dafür, dass Daten abgeflossen sind? Eine gute Dokumentation mit Uhrzeiten, Screenshots und betroffenen Geräten hilft bei der technischen Analyse und bei möglichen Meldungen.

Entscheidend ist auch, nicht auf eigene Faust alte Backups zurückzuspielen. Wenn die Ursache noch aktiv ist oder ein kompromittiertes Konto weiter Zugriff hat, kann die Schadsoftware erneut zuschlagen. Zunächst müssen Zugänge abgesichert, Passwörter zurückgesetzt und verdächtige Verbindungen geprüft werden. Erst dann beginnt die kontrollierte Wiederherstellung.

Bei einem ernsten Vorfall sollten Geschäftsführung, IT-Betreuung, Datenschutzverantwortliche und – je nach Lage – Versicherung oder Behörden abgestimmt handeln. Kleine Unternehmen müssen dafür kein großes Krisenteam vorhalten. Sie sollten jedoch vorher wissen, wer im Ernstfall erreichbar ist und wer Entscheidungen trifft.

Warum das Backup im Beispiel nicht ausreichte

Der Handwerksbetrieb hatte tatsächlich eine Datensicherung. Sie lief jede Nacht auf ein Speichersystem im gleichen Netzwerk. Das Problem: Dieses System war dauerhaft verbunden und mit weitreichenden Berechtigungen erreichbar. Die Angreifer fanden auch diese Sicherungen und verschlüsselten sie teilweise mit.

Ein Backup ist daher nicht automatisch eine Wiederherstellungsstrategie. Es muss vor Manipulation geschützt, regelmäßig geprüft und räumlich oder logisch vom Hauptsystem getrennt sein. Viele Unternehmen orientieren sich dabei an der 3-2-1-Regel: mindestens drei Kopien wichtiger Daten, auf zwei unterschiedlichen Speichermedien, davon eine Kopie getrennt vom laufenden Netzwerk. Je nach Betrieb kann zusätzlich eine unveränderbare Sicherung sinnvoll sein.

Mindestens ebenso wichtig ist der Wiederherstellungstest. Eine Sicherung, die sich nicht einspielen lässt oder bei der entscheidende Daten fehlen, hilft im Ernstfall kaum. Verantwortliche sollten regelmäßig prüfen lassen, wie lange die Wiederherstellung dauert und welche Systeme zuerst wieder laufen müssen. Für einen Betrieb kann die Buchhaltung Vorrang haben, für einen anderen die Warenwirtschaft oder die Projektablage.

Schutzmaßnahmen, die im Alltag wirklich helfen

Hundertprozentige Sicherheit gibt es nicht. Kleine Firmen können das Risiko jedoch deutlich senken, wenn Schutzmaßnahmen nicht nur angeschafft, sondern laufend betreut werden. Der größte Hebel liegt meist nicht in einem einzelnen Produkt, sondern im Zusammenspiel aus Technik, klaren Regeln und persönlicher Unterstützung.

Mehrstufige Anmeldung schützt E-Mail- und Cloud-Konten deutlich besser als ein Passwort allein. Sicherheitsupdates für PCs, Server, Programme und Firewalls müssen zeitnah installiert werden. Nutzerrechte sollten begrenzt sein: Wer keine administrativen Rechte braucht, sollte sie im Tagesgeschäft nicht besitzen. So kann ein einzelner Fehlklick weniger Schaden anrichten.

Auch E-Mails verdienen Aufmerksamkeit. Ein guter Spam- und Phishing-Schutz fängt viel ab, aber nicht jede überzeugende Nachricht. Mitarbeitende sollten wissen, woran sie ungewöhnliche Rechnungen, Login-Aufforderungen oder Zahlungsänderungen erkennen. Kurze, regelmäßige Sensibilisierungen sind hilfreicher als eine einmalige Schulung mit vielen Fachbegriffen. Es geht nicht darum, Beschäftigte verantwortlich zu machen. Es geht darum, ihnen Sicherheit für konkrete Alltagssituationen zu geben.

Fernzugänge und externe Dienstleister müssen ebenfalls kontrolliert werden. Werden sie wirklich benötigt? Sind sie mit Mehrfaktor-Anmeldung geschützt? Werden Zugriffe protokolliert und bei Austritten zeitnah entfernt? Gerade gewachsene IT-Landschaften enthalten häufig alte Konten, ungenutzte Freigaben oder Geräte, die niemand mehr im Blick hat.

Vom Einzelfall zum verlässlichen Plan

Dieses Beispiel für einen Cyberangriff auf eine kleine Firma zeigt vor allem eines: Im Ernstfall zählt Vorbereitung. Wer Zuständigkeiten, Kontakte, Sicherungen und Prioritäten erst unter Zeitdruck klärt, verliert wertvolle Stunden. Ein schlanker Notfallplan genügt als Start. Er sollte festhalten, wen Mitarbeitende informieren, welche Systeme zuerst geschützt werden und wo wichtige Zugangsdaten sicher hinterlegt sind.

Für kleine und mittelständische Unternehmen ist eine laufende Betreuung oft sinnvoller als punktuelle Hilfe nach einem Ausfall. Systeme werden dabei überwacht, Updates geplant, Backups kontrolliert und Auffälligkeiten früher erkannt. Ein fester Ansprechpartner kennt zudem die Umgebung und muss im Störfall nicht bei null anfangen. PAPE-IT begleitet Unternehmen in Berlin und Brandenburg genau mit diesem Ansatz: verständlich, vorausschauend und ohne Fachchinesisch.

Sicherheit muss nicht bedeuten, dass der Arbeitsalltag komplizierter wird. Sie bedeutet, dass ein Betrieb auch dann handlungsfähig bleibt, wenn jemand auf den falschen Anhang klickt oder eine Schwachstelle ausgenutzt wird. Der beste Zeitpunkt, den eigenen Schutz zu prüfen, ist nicht am Montagmorgen nach einer Erpressungsnachricht, sondern während die IT noch einfach läuft.