Ein Montagmorgen, ein Mitarbeiter öffnet eine scheinbar normale Rechnung im E-Mail-Anhang – und wenige Minuten später sind Dateien nicht mehr erreichbar. Dieses Szenario ist kein Problem, das nur große Konzerne betrifft. Cyberangriffe auf kleine Unternehmen zielen gerade auf Betriebe mit begrenzten IT-Ressourcen, Zeitdruck und gewachsenen Systemen. Angreifer suchen nicht nach dem bekanntesten Namen, sondern nach einer leicht ausnutzbaren Lücke.
Für Geschäftsführer und Verantwortliche in Berlin und Brandenburg ist das Risiko sehr konkret: Ein Ausfall betrifft nicht nur die IT. Angebote können nicht verschickt, Termine nicht eingehalten und Kundendaten nicht bearbeitet werden. Dazu kommen mögliche Kosten für Wiederherstellung, Betriebsunterbrechung und Informationspflichten. Die gute Nachricht: Viele Angriffe lassen sich mit überschaubaren, konsequent umgesetzten Maßnahmen deutlich erschweren.
Warum kleine Unternehmen besonders häufig betroffen sind
Viele kleine und mittelständische Unternehmen gehen davon aus, für Kriminelle nicht interessant genug zu sein. Genau diese Annahme macht sie angreifbar. Angriffe laufen heute weitgehend automatisiert. Systeme werden nach offenen Zugängen, nicht installierten Updates, schwachen Passwörtern oder falsch eingerichteten Cloud-Konten durchsucht. Ob dahinter ein Handwerksbetrieb, eine Kanzlei oder ein Dienstleister mit 15 Arbeitsplätzen steht, ist zunächst zweitrangig.
Hinzu kommt der Alltag im Betrieb. Neue Mitarbeiter brauchen schnell einen Zugang, ein alter Server bleibt noch ein weiteres Jahr im Einsatz oder ein gemeinsames Passwort wird aus Bequemlichkeit beibehalten. Jede einzelne Entscheidung kann nachvollziehbar sein. In der Summe entstehen jedoch Sicherheitslücken, die lange unbemerkt bleiben.
Besonders kritisch ist, dass ein erfolgreicher Angriff oft nicht sofort auffällt. Angreifer lesen E-Mails mit, verschaffen sich Zugriff auf Konten oder bewegen sich im Netzwerk, bevor sie Daten verschlüsseln oder Zahlungsdaten manipulieren. Der sichtbare Schaden ist dann nur der letzte Schritt eines Angriffs, der häufig schon Wochen vorher begonnen hat.
Die häufigsten Cyberangriffe auf kleine Unternehmen
Phishing ist weiterhin einer der häufigsten Einstiege. Dabei erhalten Mitarbeiter E-Mails, die täuschend echt aussehen: eine angebliche Microsoft-365-Anmeldung, eine Rechnung eines bekannten Lieferanten oder eine Nachricht der Geschäftsführung mit einer dringenden Bitte. Ein Klick auf eine gefälschte Seite genügt, damit Zugangsdaten in falsche Hände geraten.
Beim sogenannten CEO-Fraud geben sich Täter als Geschäftsführer, Buchhaltung oder Geschäftspartner aus. Sie fordern eine schnelle Überweisung oder teilen angeblich geänderte Bankdaten mit. Gerade wenn die Nachricht in Ton und Zeitpunkt plausibel wirkt, wird sie leicht übersehen. Hier hilft Technik, aber ebenso wichtig sind klare Freigabeprozesse für Zahlungen und Änderungen von Kontodaten.
Ransomware verschlüsselt Dateien auf PCs, Servern und teilweise auch in angebundenen Cloud-Speichern. Danach wird ein Lösegeld gefordert. Wer kein geprüftes und getrenntes Backup besitzt, steht unter erheblichem Druck. Selbst bei einer Zahlung gibt es keine verlässliche Zusage, dass alle Daten wiederhergestellt werden oder kopierte Informationen nicht später veröffentlicht werden.
Ein weiterer häufiger Weg führt über ungeschützte Fernzugänge, alte VPN-Lösungen oder nicht aktualisierte Software. Fernwartung ist für viele Unternehmen sinnvoll und effizient. Sie muss aber so eingerichtet sein, dass ausschließlich berechtigte Personen mit zusätzlichen Schutzmechanismen darauf zugreifen können.
Schutz beginnt mit einem ehrlichen Blick auf die eigene IT
Der sinnvollste erste Schritt ist keine teure Einzelanschaffung, sondern ein klarer Überblick. Welche Geräte, Benutzerkonten, Server, Programme und Cloud-Dienste werden genutzt? Wer hat Zugriff auf welche Daten? Gibt es ehemalige Mitarbeiter mit noch aktiven Konten? Und welche Systeme sind für den Betrieb wirklich unverzichtbar?
Diese Fragen wirken einfach, werden im laufenden Geschäft aber oft nicht systematisch beantwortet. Dabei lässt sich nur schützen, was bekannt ist. Eine aktuelle Dokumentation hilft zudem im Störfall: Verantwortliche wissen schneller, welche Systeme betroffen sein könnten und welche Zugänge sofort gesperrt werden müssen.
Nicht jeder Betrieb braucht dieselben Maßnahmen in derselben Tiefe. Eine Praxis mit sensiblen Patientendaten hat andere Anforderungen als ein kleiner Produktionsbetrieb. Unternehmen mit vielen mobilen Arbeitsplätzen und Microsoft 365 müssen Zugänge und Geräte anders absichern als Firmen, deren Anwendungen überwiegend auf einem lokalen Server laufen. Entscheidend ist eine Schutzstrategie, die zum tatsächlichen Arbeitsalltag passt und auch gelebt werden kann.
Konten und Zugänge konsequent absichern
Passwörter allein reichen für wichtige Konten nicht mehr aus. Die Mehrfaktor-Authentifizierung sollte mindestens für E-Mail, Microsoft 365, Fernzugänge und administrative Konten eingerichtet sein. Dann genügt ein gestohlenes Passwort nicht, weil ein zusätzlicher Bestätigungsschritt erforderlich ist.
Jeder Mitarbeiter sollte ein eigenes Benutzerkonto erhalten. Gemeinsame Zugänge machen Nachvollziehbarkeit unmöglich und bleiben oft aktiv, obwohl sie nicht mehr benötigt werden. Besonders hohe Rechte sollten nur dort vergeben werden, wo sie tatsächlich erforderlich sind. Wer täglich Angebote schreibt, braucht in der Regel keine Administrationsrechte für den Server.
Beim Ausscheiden eines Mitarbeiters gehört die Sperrung von Konten zu den ersten festen Aufgaben. Das gilt auch für Weiterleitungen, private Geräte mit Firmenzugang und gespeicherte Anmeldungen in Anwendungen. Ein sauberer Prozess verhindert, dass Zugänge aus Versehen offen bleiben.
Updates sind kein lästiger Nebenschauplatz
Viele Angriffe nutzen bekannte Sicherheitslücken aus. Für diese Lücken existieren oft längst Updates, die jedoch nicht installiert wurden. Betriebssysteme, Browser, Office-Anwendungen, Serverprogramme, Firewalls und Netzwerkgeräte brauchen daher einen geregelten Update-Prozess.
Das bedeutet nicht, jedes Update ungeprüft mitten am Arbeitstag einzuspielen. Gerade bei branchenspezifischer Software kann eine vorherige Prüfung sinnvoll sein. Wichtig ist aber, dass es eine verantwortliche Stelle, feste Zeitfenster und eine Kontrolle gibt. „Machen wir bei Gelegenheit“ ist keine Sicherheitsstrategie.
Auch Geräte, die selten beachtet werden, gehören dazu: Drucker, WLAN-Komponenten, NAS-Systeme oder alte PCs im Lager. Sie sind Teil des Netzwerks und können als Einstiegspunkt dienen, wenn sie nicht gepflegt werden.
Backups müssen eine Wiederherstellung möglich machen
Ein Backup ist erst dann ein Backup, wenn eine Wiederherstellung funktioniert. Eine Kopie auf derselben Festplatte oder im selben Netzwerk schützt nicht zuverlässig vor Ransomware, Hardwaredefekten oder Fehlbedienung. Werden die Originaldaten und die Sicherung gleichzeitig verschlüsselt, bleibt im Ernstfall keine Grundlage für den Neustart.
Bewährt hat sich eine Sicherung mit mehreren Kopien auf unterschiedlichen Medien, darunter mindestens eine getrennte oder unveränderbare Kopie. Wie lange Daten aufbewahrt werden müssen, hängt vom Unternehmen, gesetzlichen Vorgaben und den betrieblichen Abläufen ab. Wichtiger als eine pauschale Regel ist die Frage: Welche Daten und Systeme müssen nach einem Ausfall bis wann wieder verfügbar sein?
Testen Sie die Rücksicherung regelmäßig. Nicht nur einzelne Dateien, sondern auch wichtige Anwendungen, Server oder Microsoft-365-Daten sollten realistisch geprüft werden. Dieser Test zeigt oft erst, ob Zugänge, Speicherorte und Wiederherstellungszeiten im Ernstfall wirklich passen.
Mitarbeiter schützen das Unternehmen mit
Sicherheitsbewusstsein entsteht nicht durch eine einmalige Belehrung. Mitarbeiter brauchen kurze, verständliche Hinweise, die zu ihrer Arbeit passen: Woran erkenne ich eine verdächtige E-Mail? Was mache ich bei einer unerwarteten Anmeldeabfrage? Wen informiere ich, wenn ich auf einen falschen Link geklickt habe?
Entscheidend ist eine Kultur ohne Schuldzuweisung. Wer aus Angst vor Kritik einen Fehlklick verschweigt, nimmt dem Unternehmen wertvolle Zeit. Besser ist eine klare Ansage: Lieber einmal zu früh melden als einen Vorfall erst dann, wenn der Bildschirm eine Lösegeldforderung zeigt.
Auch klare Regeln helfen. Zahlungsanweisungen per E-Mail werden beispielsweise über einen zweiten Kanal bestätigt. Unbekannte USB-Sticks werden nicht angeschlossen. Private Cloud-Speicher dürfen nicht für Unternehmensdaten verwendet werden. Solche Vereinbarungen müssen praktisch sein, sonst werden sie im Tagesgeschäft umgangen.
Was im Verdachtsfall sofort zu tun ist
Wenn ein Gerät auffällig reagiert, Konten ungewöhnliche Anmeldungen zeigen oder eine verdächtige E-Mail geöffnet wurde, zählt ein ruhiges und schnelles Vorgehen. Das betroffene Gerät sollte vom Netzwerk getrennt werden – WLAN deaktivieren und Netzwerkkabel ziehen. Es sollte aber nicht vorschnell gelöscht oder neu gestartet werden, denn wichtige Hinweise für die Analyse können verloren gehen.
Informieren Sie anschließend den zuständigen IT-Partner oder die interne verantwortliche Person. Bei möglicherweise kompromittierten Konten müssen Passwörter über ein sicheres Gerät geändert und aktive Sitzungen beendet werden. Je nach Vorfall können außerdem Geschäftspartner, Versicherer, Datenschutzverantwortliche oder Behörden eingebunden werden müssen. Welche Schritte erforderlich sind, hängt davon ab, ob personenbezogene Daten betroffen sind und welche Systeme beeinträchtigt wurden.
Ein vorher festgelegter Notfallplan spart in dieser Situation wertvolle Minuten. Darin sollten Ansprechpartner, Zuständigkeiten, wichtige Zugänge, Kommunikationswege und die Reihenfolge der Wiederherstellung festgehalten sein. Er muss nicht umfangreich sein – aber erreichbar, aktuell und verständlich.
Sicherheit braucht Betreuung statt Einzelaktionen
Eine Firewall, ein Virenschutzprogramm oder ein Backup sind wichtige Bausteine. Sie ersetzen jedoch keine laufende Betreuung. IT-Sicherheit entsteht durch das Zusammenspiel aus gepflegten Systemen, kontrollierten Zugängen, funktionierenden Sicherungen und einem Ansprechpartner, der Auffälligkeiten nicht erst nach Tagen bemerkt.
Für kleine Unternehmen ohne eigene IT-Abteilung ist ein proaktiver Managed-Service-Ansatz oft planbarer als Hilfe nur im Störfall. Regelmäßige Prüfungen, Updates, Überwachung und feste Reaktionswege reduzieren nicht jedes Risiko auf null. Sie sorgen aber dafür, dass Lücken früher auffallen und ein Vorfall weniger leicht den gesamten Betrieb stilllegt.
PAPE-IT begleitet Unternehmen dabei persönlich und ohne Fachchinesisch: mit einer IT-Struktur, die zum Betrieb passt, und mit klaren Verantwortlichkeiten statt anonymer Warteschlangen. Der beste Zeitpunkt, die eigene IT auf Angriffspunkte zu prüfen, ist nicht nach dem ersten verschlüsselten Server, sondern in einem ruhigen Moment vor dem nächsten Arbeitstag.
