Im ersten Teil unseres Interviews mit Andreas Kaiser, Cybercrime-Ermittler und stellvertretender Dezernatsleiter bei der Kriminalpolizei Freiburg, ging es um die aktuelle Bedrohungslage und den typischen Ablauf eines Angriffs. Im zweiten und letzten Teil sprechen wir mit ihm über die konkreten Kosten- und Zeitfolgen, darüber, was gut vorbereitete Unternehmen von schwer Getroffenen unterscheidet, und über seine Empfehlungen für den Einstieg in Security Awareness.
Wie geht die Geschäftsleitung Ihrer Erfahrung nach mit der Situation eines Cyberangriffs um, die ja gerade für den oder die Chefs besonders nervenaufreibend ist?
Andreas Kaiser: Für die Geschäftsleitung ist ein Cyberangriff meist eine enorme Belastung. Innerhalb kürzester Zeit müssen weitreichende Entscheidungen getroffen werden – häufig unter großem Zeitdruck und zu Themen, mit denen man sich im normalen Geschäftsalltag kaum beschäftigt.
Plötzlich geht es um die Aufrechterhaltung des Geschäftsbetriebs, um mögliche Haftungsfragen, den Schutz sensibler Daten, die Kommunikation mit Kunden und Mitarbeitenden sowie um die Frage, ob auf Forderungen der Täter überhaupt reagiert werden soll.
Ich habe erlebt, dass manche Geschäftsführer in dieser Situation tagelang kaum schlafen. Während einige bemerkenswert ruhig und strukturiert handeln, geraten andere verständlicherweise in eine Entscheidungsstarre.
Meine Erfahrung zeigt jedoch deutlich: Unternehmen, die sich bereits vor einem Vorfall mit möglichen Krisenszenarien beschäftigt und grundlegende Abläufe festgelegt haben, behalten wesentlich eher den Überblick. Wer unvorbereitet getroffen wird, empfindet die Situation häufig wie einen freien Fall.
Können Sie etwas zu den Kosten- und Zeitdimensionen eines durchschnittlichen Falles sagen – Ausfallzeit, Wiederherstellung, zusätzliche Kosten für Umsatzausfall?
Andreas Kaiser: Pauschale Aussagen sind schwierig, weil jeder Vorfall anders verläuft. Dennoch sehe ich bei kleinen und mittleren Unternehmen häufig Ausfallzeiten von mehreren Tagen bis hin zu mehreren Wochen.
Die finanziellen Folgen setzen sich aus unterschiedlichen Faktoren zusammen: den Kosten für die technische Wiederherstellung, dem Produktions- oder Umsatzausfall, möglichen forensischen Untersuchungen, externer Unterstützung sowie – je nach Fall – erheblichen Reputationsschäden.
Selbst bei kleineren Vorfällen entstehen schnell Schäden im mittleren oder oberen fünfstelligen Bereich. Bei schwerwiegenden Angriffen können die Kosten deutlich darüber liegen.
Was häufig unterschätzt wird: Der größte wirtschaftliche Schaden entsteht oft nicht durch die eigentliche Verschlüsselung der Systeme, sondern durch die Zeit, in der das Unternehmen seine Leistungen nicht oder nur eingeschränkt erbringen kann.
Was unterscheidet aus Ihrer Erfahrung Unternehmen, die glimpflich davonkommen, von denen, die es besonders hart trifft?
Andreas Kaiser: Der Unterschied ist oft erstaunlich klar. Unternehmen, die einen Cyberangriff vergleichsweise gut bewältigen, haben sich bereits im Vorfeld mit dem Thema beschäftigt. Sie verfügen über funktionierende und regelmäßig getestete Backups – idealerweise so gespeichert, dass sie von den Angreifern nicht mit verschlüsselt werden können. Außerdem melden Mitarbeitende verdächtige Vorfälle frühzeitig, und es ist zumindest grundsätzlich geregelt, wer im Ernstfall welche Aufgaben übernimmt.
Ganz anders sieht es bei Unternehmen aus, die besonders schwer getroffen werden. Dort fehlen häufig aktuelle Backups, Zuständigkeiten sind unklar und Sicherheitsvorfälle werden aus Unsicherheit oder Angst zunächst verschwiegen. Dadurch geht wertvolle Zeit verloren – und aus einem beherrschbaren Vorfall kann schnell eine existenzbedrohende Krise werden.
Letztlich zeigt sich immer wieder: Gute Vorbereitung verhindert zwar nicht jeden Angriff, sie entscheidet aber häufig darüber, wie groß der Schaden am Ende tatsächlich ausfällt.
Lassen Sie uns auf die Möglichkeiten zu sprechen kommen, die es gibt, um das Risiko eines Cyberangriffs zumindest zu minimieren? Was würden Sie einem Geschäftsführer in einem kleinen und mittleren Unternehmen raten, der bisher noch nichts unternommen hat? Wie und wo fängt er am besten an?
Andreas Kaiser: Viele glauben, Cybersicherheit beginne mit teurer Technik. Tatsächlich beginnt sie mit den Grundlagen.
Mein Rat lautet: Verschaffen Sie sich zunächst einen Überblick darüber, welche Systeme und Daten für Ihr Unternehmen wirklich kritisch sind. Sorgen Sie anschließend für aktuelle und regelmäßig getestete Backups, die offline oder zumindest unveränderbar gespeichert werden. Führen Sie konsequent eine Mehrfaktor-Authentifizierung ein – sie gehört heute zu den wirksamsten und gleichzeitig einfach umsetzbaren Schutzmaßnahmen.
Mindestens genauso wichtig ist es, die eigenen Mitarbeitenden regelmäßig zu sensibilisieren. Denn selbst die beste technische Lösung hilft wenig, wenn Angreifer über den Menschen ins Unternehmen gelangen.
Der Einstieg muss dabei nicht kompliziert sein. Oft reicht zunächst ein ehrliches Gespräch – intern oder mit einem unabhängigen IT-Sicherheitsexperten –, um die größten Risiken zu identifizieren und erste Maßnahmen festzulegen. Wichtig ist vor allem, überhaupt anzufangen. Viele Unternehmen beschäftigen sich erst mit Cybersicherheit, wenn bereits ein Schaden entstanden ist. Dann wird es in der Regel deutlich aufwendiger und teurer.
Welche Rolle spielen aus Ihrer Sicht regelmäßige Maßnahmen zur Mitarbeitersensibilisierung – insbesondere im Vergleich zu einmaligen Maßnahmen?
Andreas Kaiser: Einmalige Schulungen sind ein guter Anfang, ihre Wirkung lässt jedoch häufig schnell nach. Das erlebe ich in der Praxis immer wieder.
Cyberkriminelle entwickeln ihre Methoden kontinuierlich weiter. Deshalb müssen auch Wissen und Aufmerksamkeit der Mitarbeitenden regelmäßig aufgefrischt werden. Security Awareness entfaltet ihre Wirkung erst dann nachhaltig, wenn sie dauerhaft im Unternehmen verankert ist und aktuelle Bedrohungen aufgreift.
Aus meiner Sicht sind mehrere kurze und praxisnahe Impulse über das Jahr verteilt deutlich wirksamer als eine eintägige Schulung, die anschließend für lange Zeit keine Rolle mehr spielt. So bleibt das Thema präsent und die Mitarbeitenden entwickeln ein Gespür dafür, verdächtige Situationen frühzeitig zu erkennen und richtig zu reagieren.
Regelmäßige Sensibilisierung schafft deshalb weit mehr als nur Wissen – sie stärkt langfristig die Sicherheitskultur eines Unternehmens.
Zum Abschluss noch ein kurzes Fazit zum Thema Security Awareness in kleinen und mittleren Unternehmen (KMU)
Andreas Kaiser: Security Awareness ist für kleine und mittlere Unternehmen längst kein freiwilliges Zusatzthema mehr, sondern ein zentraler Baustein ihrer Resilienz gegenüber Cyberangriffen.
Technische Schutzmaßnahmen sind unverzichtbar. Sie allein reichen jedoch nicht aus. Erst wenn Mitarbeitende regelmäßig sensibilisiert werden und Sicherheitsbewusstsein Teil der Unternehmenskultur ist, entsteht ein wirksamer Schutz gegen viele Angriffsformen.
Unternehmen, die in Security Awareness investieren, reduzieren nicht nur das Risiko erfolgreicher Angriffe. Sie schaffen zugleich die Voraussetzung, im Ernstfall schneller, strukturierter und souveräner zu handeln.
Prävention beginnt im Kopf. Wer heute in Security Awareness investiert, investiert unmittelbar in die Zukunftsfähigkeit seines Unternehmens – und spart im Ernstfall viel Zeit, erhebliche Kosten und oft auch großen wirtschaftlichen Schaden.
Damit endet unser zweiteiliges Interview mit Andreas Kaiser. Sein Fazit deckt sich mit dem, was wir aus der täglichen Arbeit mit unseren Kunden kennen: Security Awareness wirkt nicht durch eine einzelne Schulung, sondern durch kontinuierliche, wiederkehrende Impulse, die im Unternehmensalltag präsent bleiben.
Weitere Beiträge zum Thema: