Klein, aber angreifbar: Warum der Mittelstand zum Lieblingsziel von Cyberkriminellen wurde

„Für Hacker sind wir doch viel zu klein.“ Diesen Satz haben Sie als Verantwortlicher in einem kleinen oder mittelständischen Unternehmen vermutlich schon mal selbst gedacht oder gehört. Er klingt plausibel, schließlich hat Ihr Betrieb nicht die Bekanntheit und Größe eines internationalen Konzerns und wirkt deshalb auf den ersten Blick vielleicht uninteressanter für Hacker.

Für Cyberkriminelle spielt die Unternehmensgröße jedoch eine deutlich geringere Rolle, als Sie vielleicht annehmen. Entscheidend ist, ob Sie wertvolle Daten besitzen, digital gut erreichbar sind und wie schnell Sie einen Angriff verkraften könnten.

Und genau hier liegt das Problem vieler Mittelständler: wertvolle Kunden- und Produktionsdaten, eine enge Vernetzung mit Lieferanten und Dienstleistern, gleichzeitig weniger Personal und Budget für Cybersicherheit als bei Großkonzernen. Die Folge: Kleine und mittlere Unternehmen sind längst zu einem bevorzugten Ziel von Cyberkriminellen geworden.

Die Zahlen zeigen eine klare Entwicklung

Der aktuelle BSI-Lagebericht zur IT-Sicherheit in Deutschland bestätigt, dass die Bedrohung hoch bleibt. Im betrachteten Berichtszeitraum wurden 950 Ransomware-Angriffe angezeigt, rund 80 Prozent davon gegen kleine und mittelständische Unternehmen. In 72 Prozent der Fälle kam es zu Datenleaks oder es wurde mit der Veröffentlichung gestohlener Daten gedroht.

Auch das CYBERsicher Lagebild 2025 der Transferstelle Cybersicherheit im Mittelstand zeigt, dass KMU besonders häufig von Ransomware, Phishing und Datendiebstahl betroffen sind. Die wirtschaftliche Dimension ist erheblich: Laut der Bitkom-Studie „Wirtschaftsschutz 2025″ entstand deutschen Unternehmen durch Diebstahl, Sabotage und Industriespionage ein Gesamtschaden von rund 289,2 Milliarden Euro, 70 Prozent davon durch Cyberangriffe. Cyberkriminalität ist damit kein Randproblem, das nur börsennotierte Konzerne betrifft. Im Gegenteil, der Mittelstand steht im Zentrum der aktuellen Bedrohungslage, und damit möglicherweise auch Ihr Unternehmen.

Warum der Mittelstand so attraktiv ist

Kurz gesagt: Cyberkriminelle suchen nicht unbedingt nach den größten Unternehmen, sondern nach Unternehmen, bei denen sich ein Angriff mit vertretbarem Aufwand lohnt.

Wertvolle Daten und Geschäftsgeheimnisse

Auch wenn Sie nur einige Dutzend oder wenige hundert Mitarbeitende beschäftigen, besitzen Sie vermutlich Daten, die für Angreifer äußerst wertvoll sind: Kundendaten, Zahlungsinformationen, Zugangsdaten zu Geschäftssystemen, Konstruktionspläne oder Forschungs- und Entwicklungsunterlagen. Schon ein einziger Bauplan, eine Kundenliste oder ein kompromittierter Zugang kann für Angreifer einen hohen Wert besitzen. Besonders gefährdet sind Sie, wenn Sie in einem Nischenmarkt tätig sind und über technisches Wissen oder geistiges Eigentum verfügen, das sich nicht ohne Weiteres ersetzen lässt.

Weniger Sicherheitsressourcen

Großkonzerne verfügen häufig über eigene Sicherheitsteams und umfangreiche Budgets. In Ihrem Unternehmen übernimmt dagegen wahrscheinlich ein kleines IT-Team parallel den laufenden Betrieb, den Support und die Sicherheit, sodass für regelmäßige Schwachstellenanalysen und strategische Sicherheitsplanung kaum Zeit bleibt.

Gewachsene IT-Strukturen

Auch in Ihrer IT sind die Systeme vermutlich über Jahre gewachsen. Neben moderner Cloud-Software finden sich oft lokale Server, ältere Branchenlösungen, Produktionssysteme und externe Fernwartungszugänge. Jede dieser Verbindungen kann zu einem möglichen Einfallstor werden, oft reicht schon eine bekannte, aber noch nicht geschlossene Sicherheitslücke.

Hoher Druck im laufenden Betrieb

Fallen zentrale Systeme aus, werden Aufträge nicht bearbeitet, Maschinen nicht gesteuert, Lieferungen nicht geplant. Der wirtschaftliche Druck steigt dann sehr schnell, und genau darauf setzen Angreifer. Sie wissen, dass Sie unter Zeitdruck eher bereit sein könnten, auf eine Lösegeldforderung einzugehen.

So gelangen Angreifer in Unternehmen

Ein Angriff beginnt bei Ihnen wahrscheinlich nicht mit einem spektakulären technischen Einbruch. Oft reicht eine täuschend echt aussehende E-Mail oder ein gestohlenes Passwort.

Phishing und Social Engineering

Eine Nachricht in Ihrem Postfach wirkt wie eine normale Rechnung, eine interne Anfrage oder eine Mitteilung eines bekannten Dienstleisters, führt tatsächlich aber zu einer gefälschten Anmeldeseite oder installiert Schadsoftware. Typische Beispiele sind eine angebliche Microsoft-365-Anmeldung, eine gefälschte Zahlungsaufforderung oder eine Nachricht des vermeintlichen Geschäftsführers. Angreifer setzen dabei auf Ihr Vertrauen, auf Zeitdruck und auf Hierarchien. Laut Bitkom berichtete fast jedes zweite befragte Unternehmen von entsprechenden Täuschungsversuchen.

Gestohlene Zugangsdaten

Besonders kritisch wird es bei Konten für Microsoft 365 und andere Cloud-Dienste, VPN-Verbindungen, Remote-Desktop-Systeme, Backup-Plattformen sowie Finanz- und Buchhaltungssysteme. Fehlt bei Ihnen eine Multi-Faktor-Authentifizierung, wird der Missbrauch deutlich einfacher.

Ungepatchte Systeme

Cyberkriminelle durchsuchen das Internet automatisiert nach verwundbaren VPN-Geräten, Webservern, Firewalls, Cloud-Anwendungen und Fernwartungszugängen, ohne Ihr Unternehmen dafür persönlich zu kennen. Sobald ein Angriffscode für eine bekannte Lücke öffentlich verfügbar ist, versuchen oft viele Gruppen gleichzeitig, betroffene Systeme auszunutzen.

Dienstleister und Lieferketten

Auch wenn Ihre eigene IT gut abgesichert ist, können Sie über einen Partner angegriffen werden. IT-Dienstleister, Softwareanbieter und Lieferanten besitzen häufig weitreichende Zugänge zu Ihren Systemen. Laut Bitkom war bei rund einem Viertel der Unternehmen ein Zulieferer von Diebstahl, Spionage oder Sabotage betroffen, in 41 Prozent dieser Fälle mit direkten Auswirkungen auf das eigene Unternehmen. Ihr Zugang kann also auch als Einfallstor zu einer größeren Lieferkette dienen.

Vom ersten Zugang zur Erpressung

Ein typischer Angriff verläuft in mehreren Schritten: Zugang verschaffen, etwa über ein gestohlenes Passwort oder eine Sicherheitslücke, Berechtigungen ausweiten, sich im Netzwerk bewegen und schließlich Daten kopieren, bevor Systeme und Dateien verschlüsselt werden. An diesem Punkt beginnt für Sie eine doppelte Erpressung, bekannt als Double Extortion: Die Kriminellen fordern Geld für die Entschlüsselung und drohen gleichzeitig mit der Veröffentlichung Ihrer gestohlenen Daten. Das erhöht den Druck erheblich, denn selbst ein funktionierendes Backup verhindert nicht, dass vertrauliche Daten nach außen gelangen. Der BSI-Lagebericht zeigt, dass Ransomware-Angriffe in Deutschland häufig genau mit dieser Kombination aus Verschlüsselung und Datenleak verbunden sind.

Die Folgen gehen weit über die IT hinaus

Viele denken bei einem Cyberangriff vielleicht zunächst nur an verschlüsselte Dateien, dabei reichen die tatsächlichen Folgen deutlich weiter.

Betriebsunterbrechung

Fallen bei Ihnen zentrale Systeme aus, können Produktion, Auftragsbearbeitung, Logistik, Buchhaltung, Kundenservice und Vertrieb gleichermaßen betroffen sein. Je länger die Systeme ausfallen, desto größer werden die wirtschaftlichen Schäden. Ihre Daten lassen sich oft wiederherstellen, verpasste Liefertermine, verlorene Kunden und beschädigtes Vertrauen dagegen nicht immer.

Kosten für Wiederherstellung

Nach einem Angriff entstehen Kosten für IT-Forensik, externe Incident-Response-Teams, Ersatzhardware, rechtliche Beratung und Krisenkommunikation. Häufig reicht es nicht aus, einzelne Dateien zurückzuspielen, Sie müssen Zugangsdaten und Systeme vollständig überprüfen oder neu aufbauen.

Datenschutz und Vertrauensverlust

Wurden personenbezogene Daten gestohlen, müssen Sie die datenschutzrechtlichen Folgen prüfen. Zusätzlich entsteht ein Vertrauensproblem bei Ihren Kunden und Geschäftspartnern, das gerade für spezialisierte Mittelständler besonders schwer wiegen kann.

Bitkom bezeichnet dabei Ransomware als häufigste schadensverursachende Cyberangriffsform. 34 Prozent der befragten Unternehmen berichteten von entsprechenden Schäden, 15 Prozent der Betroffenen zahlten Lösegeld. Eine Zahlung garantiert Ihnen jedoch weder die vollständige Rückgabe der Daten noch verhindert sie eine spätere Veröffentlichung.

Fragen Sie sich deshalb nicht nur, ob Sie ein Backup besitzen, sondern ob Sie Ihre wichtigsten Systeme nach einem Angriff kontrolliert und zuverlässig wiederherstellen können. Ein belastbares Backup sollte vom Produktivnetz getrennt, manipulationsgeschützt, regelmäßig getestet und auch bei kompromittierten Administratorkonten erreichbar sein.

Künstliche Intelligenz verschärft die Bedrohung

Angriffe werden nicht nur zahlreicher, sondern auch überzeugender. Künstliche Intelligenz hilft Angreifern dabei, Phishing-Nachrichten schneller zu erstellen und besser auf Sie oder Ihr Unternehmen zuzuschneiden. Warnsignale wie schlechte Sprache, an denen Sie eine gefälschte Nachricht früher erkennen konnten, verschwinden zunehmend. Auch gefälschte Stimmen und Videoinhalte (Deepfakes) kommen inzwischen für Zahlungsbetrug und Social Engineering zum Einsatz.

Laut Bitkom vermuteten 66 Prozent der Unternehmen einen verstärkten KI-Einsatz bei Angriffen auf sie, während erst 6 Prozent selbst KI zur Verbesserung ihrer IT-Sicherheit nutzten, weitere 32 Prozent planten dies. Die Angriffe auf Sie werden also professioneller, während Ihre eigenen Sicherheitsprozesse mit dieser Entwicklung Schritt halten müssen.

Warum Schutzmaßnahmen häufig nicht ausreichen

Die meisten Verantwortlichen kennen grundlegende Sicherheitsmaßnahmen, trotzdem bestehen in der praktischen Umsetzung häufig Lücken. Prüfen Sie ehrlich:

• Testen Sie Ihre Backups regelmäßig auf Wiederherstellbarkeit, oder verlassen Sie sich darauf, dass sie einfach funktionieren?
• Verschieben Sie Sicherheitsupdates für extern erreichbare Systeme wie VPN-Geräte oder Firewalls, weil sie den Betrieb stören würden?
• Sind Berechtigungen in Ihrem Unternehmen zu weit gefasst, statt nach dem Prinzip der geringsten Rechte vergeben zu werden?
• Und haben Sie einen Notfallplan?

Bitkom zeigt: 59 Prozent der befragten Unternehmen verfügten über ein Notfallmanagement, 39 Prozent nicht oder machten keine Angabe. Ein Plan, den niemand kennt und den Sie nie getestet haben, hilft Ihnen im Ernstfall nur eingeschränkt.

Was Sie jetzt tun sollten

Sie müssen nicht jede Maßnahme gleichzeitig umsetzen, entscheidend ist eine klare Priorisierung.

• Kritische Zugänge absichern: Aktivieren Sie die Multi-Faktor-Authentifizierung für alle extern erreichbaren und privilegierten Konten. Prüfen Sie regelmäßig, welche Benutzer Zugriff auf VPNs, Cloud-Dienste und Backup-Systeme haben, und deaktivieren Sie nicht mehr benötigte Konten.
  
  
• Die Angriffsfläche reduzieren: Verschaffen Sie sich eine vollständige Übersicht über öffentlich erreichbare Systeme und Fernwartungszugänge, und deaktivieren Sie Dienste, die Sie nicht mehr benötigen.
  
  
• Backups unabhängig vom Produktivnetz schützen: Halten Sie mehrere Backup-Generationen vor, schützen Sie mindestens eine Kopie vor Zugriff durch kompromittierte Admin-Konten und testen Sie die Wiederherstellung regelmäßig.
  
  
• Ihre Mitarbeiter regelmäßig sensibilisieren: Schulen Sie zu aktuellen Betrugsmaschen, vereinbaren Sie klare Regeln für Zahlungsfreigaben und Bankverbindungsänderungen und sorgen Sie für eine offene Fehlerkultur, damit Vorfälle nicht zu spät gemeldet werden.
  
  
• Einen Notfallplan erstellen und üben: Definieren Sie Zuständigkeiten und Eskalationswege, halten Sie Kontakte zu IT-Dienstleistern, Forensikern und Versicherern offline verfügbar und üben Sie verschiedene Szenarien.

• Lieferanten und Dienstleister einbeziehen: Prüfen Sie, welche externen Partner auf Ihre Systeme zugreifen können, aktivieren Sie Fernwartung nur bei Bedarf und legen Sie Meldepflichten für Sicherheitsvorfälle vertraglich fest.

Fazit: Klein und unauffällig ist kein Schutzschild

Ihr Unternehmen ist nicht deshalb ein attraktives Ziel, weil es klein ist. Es ist attraktiv, weil es wie viele andere im Mittelstand wertvolle Daten, vernetzte Geschäftsprozesse und begrenzte Sicherheitsressourcen miteinander verbindet. Cyberkriminelle brauchen heute keinen individuellen Angriff für jedes Unternehmen. Automatisierte Scans, gestohlene Zugangsdaten, Phishing und Ransomware-as-a-Service ermöglichen Angriffe in großem Umfang, und dabei kann es auch Sie treffen.

Die entscheidende Frage lautet deshalb nicht mehr „Warum sollte uns jemand angreifen?“ Fragen Sie sich stattdessen: „Wie schnell würde ich einen Angriff erkennen, meine Systeme isolieren und den Geschäftsbetrieb wiederherstellen?“ Wenn Sie diese Frage beantworten können, reduzieren Sie nicht nur die Wahrscheinlichkeit eines erfolgreichen Angriffs, Sie begrenzen auch die wirtschaftlichen Folgen, falls es doch dazu kommt.

Genau an diesem Punkt setzt Managed Detection and Response (MDR) an. Statt sich allein auf Prävention zu verlassen, überwacht ein MDR-Dienst Ihre Systeme rund um die Uhr, erkennt verdächtige Aktivitäten frühzeitig und reagiert, bevor aus einem einzelnen kompromittierten Konto ein vollständiger Verschlüsselungsangriff wird. Für Unternehmen, die kein eigenes Security-Team rund um die Uhr besetzen können, ist das oft der einzige realistische Weg, die Frage nach der eigenen Reaktionsgeschwindigkeit tatsächlich mit „schnell genug“ zu beantworten.

Mehr zum Thema MDR erfahren Sie hier.