Betroffene eines Cyberangriffs oder einer Ransomware-Attacke tun sich häufig schwer, über ihre Erfahrungen zu berichten, insbesondere dann, wenn sie selbst für den Angriff verantwortlich waren, z.B. weil sie einfach nur auf einen Link geklickt hatten.
Auch mir fiel es lange schwer, darüber zu reden, dass auch wir bereits 2019 Opfer einer Ransomware-Attacke waren. Die Tatsache, dass wie das BSI in seinem aktuellen Lagebericht bestätigt, kleine und mittlere Unternehmen verstärkt in den Fokus von Cyberkriminellen rücken, hat bei mir zu einem Umdenken geführt – und so haben wir vor kurzem einen kurzen Webcast aufgenommen, in dem ich auf die wohl schlimmsten zwei Wochen meines bisherigen Unternehmerlebens zurückblicke.
Mit einer E-Mail ändert sich alles
„Leider wurde eine Mitarbeiterin unseres Unternehmens Opfer eines Phishing-Angriffs. Als Resultat hatten Dritte kurzzeitig die Möglichkeit, als Rechnungsvorgang getarnte Phishing-Mails zu verschicken.“ Diese E-Mail erhielt ich eines Tages von einer PR-Agentur, mit der wir gelegentlich zusammenarbeiteten. Da es aber zu diesem Zeitpunkt keine laufende Geschäftsbeziehung gab, und damit auch keinen Rechnungsvorgang geben konnte, nahm ich die E-Mail zunächst nicht sonderlich ernst. Zur Sicherheit fragte ich einige Tage später bei unserer Buchhalterin nach. Die Antwort: „Habe nachgeschaut! Nichts offen!“ Wie es dann weiterging, erfahren sie im Webcast
Wenn eine E-Mail 30.000 Euro kostet
„Bitte überprüfen Sie die offenen Posten.“ Eine E-Mail, die aussah wie jede andere Buchhaltungsanfrage. Unsere Buchhalterin öffnete den Anhang – wenige Tage später waren die Systeme verschlüsselt. Bis alles wieder lief, brauchte es neue Hardware, ein sauberes Backup und einen externen IT-Dienstleister, der kurzfristig einspringen musste. Zwei Wochen lang war an normales Arbeiten nicht zu denken.
Wie gefährdet sind KMU wirklich?
Ransomware-Angriffe zählen zu den häufigsten und teuersten Cyberbedrohungen für kleine und mittlere Unternehmen in Deutschland. 95 Prozent aller Cybervorfälle gehen auf menschliches Versagen zurück, 70 Prozent aller Angriffe beginnen mit einer Phishing-Mail. Bereits 57 Prozent der KMU mit 50 bis 250 Mitarbeitenden waren mindestens einmal betroffen.
Der Ablauf folgt dabei fast immer demselben Muster: Eine unauffällige E-Mail trifft ein, ein einzelner Klick genügt, und zunächst passiert scheinbar nichts. Diese Ruhe täuscht – im Hintergrund breitet sich die Schadsoftware bereits im Netzwerk aus. Erst Stunden oder Tage später verschlüsseln sich die Systeme, ein IT-Dienstleister muss kurzfristig reagieren, und der Betrieb steht still – bei uns waren es zwei Wochen, bis wieder normal gearbeitet werden konnte.
Neben dem direkten Schaden durch Wiederherstellung und Arbeitsausfall können bei einer Datenpanne zusätzlich DSGVO-Bußgelder und der Verlust von Kundenvertrauen drohen.
„Das trifft doch nur die Großen“?
Diese Reaktion hören wir häufig, wenn wir mit Geschäftsführern über Cyberrisiken sprechen. Die Zahlen zeichnen jedoch ein anderes Bild: 80 Prozent der KMU schätzen das Risiko für andere Unternehmen als hoch ein – aber nur 34 Prozent halten sich selbst für gefährdet. 64 Prozent verzichten deshalb komplett auf Mitarbeiterschulungen zu Cybersicherheit.
Genau diese Lücke zwischen Fremdbild und Selbstbild ist die eigentliche Schwachstelle. Kriminelle wählen ihre Ziele nicht nach Unternehmensgröße, sondern nach Gelegenheit. Eine unaufmerksame Sekunde reicht – unabhängig davon, ob ein Unternehmen 15 oder 250 Mitarbeitende hat.
Was hätte den Angriff verhindern können?
Technische Schutzmaßnahmen wie Firewalls und Backups sind notwendig, reichen aber allein nicht aus. Der Angriff bei uns begann nicht an einer technischen Schwachstelle, sondern an einem Punkt, den keine Firewall abdeckt: der Entscheidung eines Mitarbeitenden, auf einen Link zu klicken.
Genau hier setzt Security Awareness an. Regelmäßige, kurze Schulungen schärfen den Blick für verdächtige E-Mails, bevor der Klick passiert. Entscheidend ist dabei die Regelmäßigkeit: Eine einmalige Schulung zu Beginn des Arbeitsverhältnisses verpufft nach wenigen Wochen. Wirksam wird Security Awareness erst als kontinuierlicher Prozess – mit monatlichen Impulsen, realistischen Phishing-Beispielen und kurzen Wissenschecks, die im Arbeitsalltag Platz haben.
In der Praxis bedeutet das: ein kurzer Kickoff zum Programmstart, danach monatlich wechselnde E-Learning-Module, ein knapper Wissenscheck zur Kontrolle des Lernerfolgs sowie ein Newsletter mit aktuellen Beispielen. Ergänzt um reale Phishing-Beispiele, wie sie auch bei uns im Umlauf waren, wird aus abstrakter Theorie ein Wiedererkennungseffekt im Posteingang.
Unsere eigenen Erfahrungen und Erkenntnisse führen zur Entwicklung der Security Awareness Toolbox
Wie ich im Webcast berichte, haben wir nach der Attacke alles versucht, um zukünftig zu vermeiden, dass uns so eine Attacke nochmals lahmlegt. Wir haben dann unser eigenes Security Awareness-Programm entwickelt und mehrere Jahre optimiert. 2024 fiel dann die Entscheidung, dieses Programm dann auch anderen Unternehmen zur Verfügung zu stellen. In Form eines strukturierten Download-Bereichs, in den alle von uns entwickelten und in der Praxis erprobten Inhalte, Vorlagen und Checklisten einfließen. Unser Ziel: Andere Unternehmen dabei unterstützen, die richtigen Maßnahmen zu ergreifen, BEVOR sie Opfer einer Cyberattacke werden. Seit Anfang 2026 sind wir diesem Ziel mit dem Launch der Security Awareness Toolbox ein wichtiges Stück nähergekommen.
Fazit: Die Bedrohungslage steigt, stellen Sie jetzt die Weichen für eine höhere Mitarbeitersensibilisierung zu Datenschutz und Datensicherheit
Seit unserer eigenen Ransomware-Attacke sind einige Jahre vergangen. Die Risiken und Gefahren sind seitdem drastisch gestiegen und werden es weiter tun: Stichwort KI, Stichwort Hacker im Auftrag von Regierungen und totalitären Regimen. Der Risikofaktor Mensch steht dabei im Mittelpunkt. Die nächste Phishing-Mail sieht aus wie eine ganz normale Nachricht zu offenen Posten, einer Bestellung oder einer Rechnung. Der Unterschied zwischen einem normalen Arbeitstag und zwei Wochen Stillstand liegt oft nur in der Aufmerksamkeit eines einzigen Mitarbeitenden in genau diesem Moment.
Deshalb zum Abschluss mein Appell: Nehmen Sie das Thema Security Awareness unbedingt ernst: So etwas wie wir 2019 möchten Sie garantiert nicht erleben!
Weitere Beiträge zum Thema: