Cyberangriffe auf kleine Betriebe: Lage, Einfallstore, erste Schutzmaßnahmen

Warum Cyberangriffe auch kleine Betriebe betreffen

Viele Inhaber halten ihren Betrieb für uninteressant für Hacker. Es gebe dort keine Staatsgeheimnisse und keine Millionen auf dem Konto. Diese Annahme verkennt, wie die meisten Angriffe funktionieren. Sie zielen nicht auf ein bestimmtes Unternehmen, sondern auf jede offene Tür. Automatisierte Werkzeuge suchen das Netz nach veralteter Software, gestohlenen Passwörtern und unvorsichtigen Klicks ab. Wer verwundbar ist, wird gefunden.

Der Beitrag fragt deshalb: Wie groß ist die Gefahr für kleine Betriebe wirklich, wo kommen Angreifer typischerweise herein, und welche Maßnahmen lohnen sich zuerst? Dafür betrachten wir zuerst die Lage in Zahlen, dann die typischen Einfallstore, stellen ein Denkmodell vor, wägen zwei Lesarten zur Rolle der Beschäftigten ab und leiten am Ende eine Reihenfolge der Schutzmaßnahmen ab.

Wie ist die Lage? Die Zahlen für Deutschland

Der Digitalverband Bitkom befragt jedes Jahr Unternehmen zu Datendiebstahl, Spionage und Sabotage. Für die Studie 2026, vorgestellt am 26. August 2026 gemeinsam mit dem Bundesamt für Verfassungsschutz, wurden 1.003 Unternehmen mit mindestens zehn Beschäftigten und mindestens einer Million Euro Umsatz telefonisch befragt.

Den Gesamtschaden durch Datendiebstahl, Spionage und Sabotage schätzt Bitkom für 2026 auf 211 bis 271 Milliarden Euro, rund 76 Prozent davon gehen auf Cyberangriffe zurück. Das ist eine Hochrechnung aus den Angaben der Befragten und keine geprüfte Schadensrechnung. Als häufigste Tätergruppe nannten die Betroffenen organisierte Kriminalität. In der Studie des Vorjahrs gaben 34 Prozent der Unternehmen an, von Erpressungssoftware betroffen gewesen zu sein, und IT-Sicherheit machte im Schnitt 18 Prozent des IT-Budgets aus. Bitkom und das Bundesamt für Sicherheit in der Informationstechnik empfehlen 20 Prozent.

Wie weit kleine Betriebe digital insgesamt aufgestellt sind, ordnet der Beitrag Digitalisierung im Mittelstand in Zahlen ein.

Wie kommen Angreifer in einen kleinen Betrieb?

Die meisten Angriffe nutzen keine raffinierten Lücken, sondern alltägliche Schwächen. Ein Einfallstor ist der Weg, über den ein Angreifer zuerst Zugang erhält. Für kleine Betriebe sind vier Wege besonders typisch.

Ein besonderer Fall ist der Betrug mit vorgetäuschter Identität. Eine E-Mail oder inzwischen auch ein Anruf mit nachgeahmter Stimme fordert eine dringende Überweisung oder eine geänderte Bankverbindung. Hier hilft keine Technik, sondern eine feste Regel: Änderungen an Bankdaten und ungewöhnliche Zahlungen werden immer über einen zweiten, bekannten Weg bestätigt.

Das Denkmodell: das Schweizer-Käse-Modell

Der britische Psychologe James Reason hat 1990 ein Modell beschrieben, mit dem Unfälle in komplexen Systemen erklärt werden, von der Luftfahrt bis zur Medizin. Jede Schutzmaßnahme ist wie eine Scheibe Schweizer Käse: Sie hat Löcher. Ein Schaden entsteht erst, wenn die Löcher mehrerer Scheiben zufällig übereinanderliegen und eine Gefahr durch alle hindurchkommt.

Auf die IT-Sicherheit übertragen heißt das: Keine einzelne Maßnahme ist perfekt. Die Schulung verhindert nicht jeden Klick, der Virenschutz erkennt nicht jedes Schadprogramm, das Backup ist vielleicht drei Tage alt. Zusammen machen sie es aber unwahrscheinlich, dass ein Angriff von der ersten E-Mail bis zum Stillstand des Betriebs durchkommt. Die Analogie liegt im Namen: Eine Scheibe Käse ist löchrig, ein Stapel aus mehreren Scheiben kaum noch.

Sicherheit entsteht nicht aus einer perfekten Maßnahme, sondern aus mehreren unvollkommenen, deren Lücken nicht übereinanderliegen.

Für einen kleinen Betrieb ist das eine gute Nachricht. Er braucht kein Sicherheitszentrum, sondern einige einfache Schichten, die zuverlässig gepflegt werden.

Zwei Lesarten: Ist der Mensch die Schwachstelle?

Oft heißt es, der Mensch sei das schwächste Glied der IT-Sicherheit. Daraus folgt die Empfehlung, vor allem zu schulen. Die Forschung gibt dieser Sicht teilweise recht, zeigt aber auch ihre Grenzen.

Baillon, de Bruin, Emirmahmutoglu und Kollegen (2019) führten ein Feldexperiment mit 10.929 Beschäftigten eines niederländischen Ministeriums durch. Sie schickten eine gefälschte E-Mail, die zur Eingabe des Passworts aufforderte. Eine Gruppe erhielt vorher Informationen über Phishing, eine zweite hatte zuvor eine gefälschte E-Mail mit Rückmeldung erlebt, eine dritte beides, eine vierte nichts.

Beide Maßnahmen wirkten deutlich, die Kombination brachte aber kaum zusätzlich etwas. Die Autoren halten es für schwierig, den Anteil mit einfachen Maßnahmen deutlich unter 10 Prozent zu senken. Kim, Lee und Kim (2020) fanden in einem weiteren Feldexperiment, dass geschulte Beschäftigte seltener auf Phishing hereinfielen und dass Beschäftigte in höheren Positionen eher darauf hereinfielen. Yin, Mullarkey, de Vreede und Kollegen (2026) weisen darauf hin, dass sofortige Rückmeldung nach einem Fehlklick im Labor gut wirkt, in Feldstudien aber schwächer und in einigen Fällen sogar umgekehrt.

Ich halte die zweite Lesart für tragfähiger. Schulung lohnt sich, ihr Effekt ist belegt. Wer aber erwartet, dass niemand mehr klickt, plant gegen die Befunde. Der Sicherheitsplan muss davon ausgehen, dass jemand klickt, und dafür sorgen, dass daraus kein Stillstand wird.

Erste Schutzmaßnahmen: eine Reihenfolge für kleine Betriebe

Aus dem Modell und den Befunden leite ich eine Reihenfolge ab, die ich die Fünf-Schichten-Reihenfolge nenne. Sie beginnt mit dem, was einen Angriff überlebbar macht, und endet mit dem, was ihn seltener macht.

1. Backup, das ein Angreifer nicht erreicht

   Sichere wichtige Daten regelmäßig so, dass mindestens eine Kopie nicht ständig mit dem Netz verbunden ist. Teste einmal im Quartal, ob die Wiederherstellung funktioniert. Ein Backup, das nie geprüft wurde, ist eine Hoffnung.

2. Zwei-Faktor-Anmeldung

   Schalte für E-Mail, Bankzugang, Buchhaltung, Fernzugänge und Cloud-Dienste eine zweite Bestätigung ein, etwa per App. Ein gestohlenes Passwort allein reicht dann nicht mehr.

3. Updates und Geräteliste

   Führe eine Liste aller Geräte und Programme, auch Router und Kassensysteme, und aktiviere automatische Updates. Entferne, was niemand mehr nutzt.

4. Regeln für Zahlungen und Bankdaten

   Änderungen an Bankverbindungen und ungewöhnliche Überweisungen werden immer über einen zweiten, bekannten Weg bestätigt, auch wenn die Anfrage vom Chef zu kommen scheint.

5. Schulung und Meldeweg

   Erkläre dem Team typische Täuschungen und richte einen einfachen Weg ein, verdächtige Nachrichten zu melden. Lob für eine Meldung bringt mehr als Tadel für einen Klick.

Eine Checkliste für diese Schritte hilft, sie nicht zu vergessen, wie der Beitrag Checklisten im Betrieb beschreibt. Je weniger Werkzeuge im Einsatz sind, desto kleiner ist die Angriffsfläche, ein weiterer Grund, Werkzeug-Wildwuchs zu reduzieren.

Reichweite und Grenzen

Ein Cyberangriff ist heute weniger eine Frage des Ob als des Wann. Die entscheidende Größe ist deshalb nicht nur die Abwehr, sondern die Fähigkeit, nach einem Angriff weiterzuarbeiten. Das ist ein Teil unternehmerischer Widerstandskraft, wie Unternehmerische Widerstandskraft beschreibt. Werden bei einem Angriff Kundendaten abgeflossen, kommen Meldepflichten nach dem Datenschutzrecht hinzu, die Datenschutz im Vertrieb für den Vertrieb erläutert.

Die Grenzen der Zahlen sind deutlich. Die Bitkom-Studie befragt Unternehmen ab zehn Beschäftigten und rechnet Schäden aus deren Angaben hoch. Das Feldexperiment fand in einem Ministerium statt, nicht in einem Handwerksbetrieb. Die Richtung ist trotzdem eindeutig und passt zum Denkmodell: Angriffe sind häufig, Menschen machen Fehler, und mehrere einfache Schichten begrenzen den Schaden.

Fazit: Die Gefahr ist real, die ersten Schritte sind einfach

Zur Leitfrage: Die Gefahr für kleine Betriebe ist groß. In der Bitkom-Befragung bestätigten zwei Drittel der Unternehmen einen erfolgreichen Angriff, und die typischen Einfallstore sind alltäglich: gefälschte E-Mails, schwache Passwörter, veraltete Software, offene Fernzugänge. Schulung hilft, reicht allein aber nicht. Nach dem Schweizer-Käse-Modell lohnen sich zuerst die Schichten, die einen Angriff überlebbar machen: ein geprüftes Backup, Zwei-Faktor-Anmeldung, Updates und feste Regeln für Zahlungen.

• Prüfen, ob es ein Backup gibt, das nicht ständig mit dem Netz verbunden ist, und eine Wiederherstellung testen.
• Zwei-Faktor-Anmeldung für E-Mail, Bank und Buchhaltung einschalten.
• Eine Liste aller Geräte und Programme anlegen und automatische Updates aktivieren.
• Die Regel einführen, dass Bankdatenänderungen immer telefonisch über eine bekannte Nummer bestätigt werden.
• Eine Notfallseite mit Telefonnummern ausdrucken und ablegen.