Mittelstand setzt auf Mittelstand: Was eine neue Studie über den deutschen IT-Markt verrät

Eine aktuelle Untersuchung der Universität Potsdam zeigt: Fast die Hälfte aller mittelständischen Unternehmen in Deutschland vertraut bei ihrer ERP-Software auf Lösungen aus dem IT-Mittelstand. Was steckt dahinter, was bedeutet das für Sie als Entscheider, und warum ist das Thema relevanter denn je? 

Wer trägt eigentlich wen? 

Der deutsche Mittelstand gilt als Rückgrat der Wirtschaft. Das klingt nach einer Floskel, aber wenn man sich die Zahlen genauer anschaut, wird schnell klar: Es ist schlicht die Realität. Und innerhalb dieses Rückgrats gibt es eine Beziehung, über die kaum jemand offen spricht: die zwischen dem Anwender-Mittelstand und dem IT-Mittelstand. 

Der Bundesverband IT-Mittelstand e.V. (BITMi) hat genau diese Frage aufgeworfen und dafür den Lehrstuhl für Wirtschaftsinformatik der Universität Potsdam beauftragt, sie empirisch zu beantworten. Das Ergebnis liegt seit Mai 2026 vor, und es lohnt sich, genauer hinzuschauen. 

Was die Studie untersucht hat 

Das Forschungsteam rund um Prof. Dr.-Ing. Norbert Gronau hat eine Stichprobe von rund 2.500 Unternehmen analysiert. Der methodische Ansatz: ERP-Systeme als Proxy. Der Gedanke dahinter ist so einfach wie überzeugend. 

ERP-Software (Enterprise Resource Planning) ist die meistgenutzte betriebliche Standardsoftware überhaupt. Sie verknüpft Buchhaltung, Lagerverwaltung, CRM, Produktion und mehr in einer zentralen Plattform. Und weil ERP-Anbieter typischerweise ein ganzes Ökosystem an komplementären Lösungen mitbringen, gibt die Wahl des ERP-Systems einen verlässlichen Hinweis darauf, ob ein Unternehmen eher auf Konzernlösungen oder auf mittelständische Software setzt. 

Für die Studie wurden zwei Gruppen klar definiert: Der Anwender-Mittelstand umfasst Unternehmen mit weniger als 1.000 Mitarbeitenden. Der IT-Mittelstand auf der Anbieterseite sind Softwareunternehmen mit weniger als 500 Mitarbeitenden, die durch starke Kundennähe und Spezialisierung geprägt sind. 

Die Stichprobe deckte insgesamt über 4,6 Millionen Arbeitsplätze ab, davon entfielen 72,5 % auf mittelständische Unternehmen. Eine solide Basis für belastbare Aussagen. 

Das zentrale Ergebnis: Fast jeder Zweite wählt den IT-Mittelstand 

KUnter den 1.662 mittelständischen ERP-Anwenderunternehmen in der Stichprobe setzen 44,3 % auf Lösungen aus dem IT-Mittelstand, während 55,7 % auf Konzern-ERP wie SAP oder Microsoft Dynamics zurückgreifen. Auf den ersten Blick mag das wie eine klare Mehrheit für die großen Anbieter aussehen. Aber wenn man bedenkt, mit welchem Marketingbudget, Vertriebsapparat und Markenbekanntheit die Konzerne antreten, ist fast die Hälfte des Marktes zu halten, eine durchaus außerordentliche Leistung. 

Besonders bemerkenswert ist dabei die Reichweite dieser mittelständischen Lösungen: Sie werden über alle Unternehmensgrößen hinweg eingesetzt, und selbst bei Großunternehmen liegt der Anteil noch bei über 20 %. Mittelstandssoftware ist also längst kein Nischenthema für kleine Betriebe. 

Mittelstand kauft Mittelstand – meistens 

Ein interessanter Befund der Studie betrifft das Auswahlverhalten nach Unternehmensgröße. Denn es gibt eine klare Tendenz: Anwender bevorzugen IT-Anbieter aus ihrer eigenen Größenklasse. Kleinstunternehmen greifen überdurchschnittlich oft zu Software kleiner Anbieter, Großunternehmen eher zu Konzernprodukten. 

Schaut man auf die Prozentzahlen, sieht man die Verschiebung deutlich: 

  • Kleinstunternehmen (< 10 MA): 48,8 % nutzen Mittelstands-ERP 
  • Kleinunternehmen (< 50 MA): 52,9 % 
  • Unterer Mittelstand (< 250 MA): 46,6 % 
  • Mittelstand (< 500 MA): 37,8 % 
  • Oberer Mittelstand (< 1.000 MA): 28,9 % 
  • Großunternehmen: 22,5 % 

Was auffällt: Selbst im oberen Mittelstand und bei Großunternehmen sind mittelständische ERP-Lösungen keineswegs bedeutungslos. Das spricht für die Qualität und Leistungsfähigkeit dieser Anbieter. 

Branchenübergreifend relevant, nicht nur im Maschinenbau  für Ihr IT-Team

Ein weiteres zentrales Ergebnis der Studie: Der IT-Mittelstand ist in keiner einzigen großen Branche bedeutungslos. Ob Chemie, Elektrotechnik, Lebensmittel, Handel, Immobilien oder IT-Dienstleistungen selbst, überall hält er signifikante Marktanteile. 

Besonders stark vertreten ist er erwartungsgemäß in klassischen Mittelstandsbranchen wie dem Dienstleistungssektor, der Metallverarbeitung und dem Handel allgemein. Einzig im Fahrzeugbau, wo Konzernstrukturen dominieren, ist der Anteil etwas geringer. Aber auch dort ist er vorhanden. 

Das zeigt: Mittelständische IT-Unternehmen haben keine Heimatbranche, sie sind Generalisten mit Spezialisierungstiefe. 

Vielfalt als Stärke: 197 verschiedene ERP-Systeme im Einsatz  in der Lieferkette

Ein Detail, das auf den ersten Blick überrascht: In der Stichprobe wurden insgesamt 197 verschiedene ERP-Systeme identifiziert. Das ist kein Zeichen von Fragmentierung oder Chaos. Es ist ein Zeichen von Diversität und Wettbewerb. 

Auf der Anbieterseite kommen die meisten dieser Systeme von kleinen und mittleren Unternehmen: 

  • Kleinunternehmen (< 50 MA): 56 verschiedene Systeme (28,4 % aller Anbieter) 
  • Unterer Mittelstand (< 250 MA): 63 Systeme (32,0 %) 

Zusammen decken diese beiden Größenklassen bereits 60 % aller am Markt vertretenen ERP-Anbieter ab. Konzerne mit mehr als 1.000 Mitarbeitenden hingegen stellen nur 13,2 % der Anbieter, prägen aber durch ihre Verbreitung natürlich einen erheblichen Teil der Installationen. 

Was das für Sie als Entscheider bedeutet

Wenn Sie in Ihrem Unternehmen gerade über eine neue Software-Infrastruktur nachdenken, oder Ihr ERP-System in die Jahre gekommen ist, dann liefert diese Studie ein klares Signal: Der Markt der mittelständischen IT-Anbieter ist leistungsfähig, breit aufgestellt und vertrauenswürdig. Die Entscheidung für eine Konzernlösung ist nicht automatisch die sichere Entscheidung, und die Entscheidung für einen mittelständischen Anbieter ist kein Kompromiss. 

Gleichzeitig sollten Sie eine Frage mitdenken, die die Studie nicht explizit beantwortet, die aber unmittelbar damit zusammenhängt. 

Und dann ist da noch das Thema Sicherheit 

Software-Entscheidungen sind IT-Entscheidungen. Und IT-Entscheidungen sind heute immer auch Sicherheitsentscheidungen. 

Also egal ob Sie auf eine Konzernlösung oder eine mittelständische ERP-Plattform setzen: Jedes System, das in Ihre Geschäftsprozesse eingebunden ist, ist auch ein potenzieller Angriffspunkt. Ransomware, Datenlecks, kompromittierte Lieferketten, all das sind keine abstrakten Szenarien mehr. Sie treffen Unternehmen aller Größen, in allen Branchen, täglich. 

Gerade mittelständische Unternehmen stehen hier vor einer besonderen Herausforderung: Die IT-Ressourcen sind begrenzt, das Bedrohungsbild aber komplex. Ein eigenes Security Operations Center (SOC) zu betreiben ist für die meisten schlicht nicht wirtschaftlich. 

Genau hier setzt Managed Detection and Response (MDR) an. Statt intern Kapazitäten aufzubauen, die dauerhaft kaum wirtschaftlich zu betreiben sind, übernimmt ein spezialisierter Anbieter die kontinuierliche Überwachung, Erkennung und Reaktion auf Bedrohungen. Mit NovaMDR™ bieten wir genau das: eine MDR-Lösung, die konsequent auf die Anforderungen des Mittelstands zugeschnitten ist, ohne Konzernkomplexität, aber mit vollem SOC-Rückhalt. Mittelstand schützt Mittelstand, wenn man so will. Dieselbe Logik, die die BITMi-Studie für ERP-Software belegt, gilt also auch für Cybersecurity. 

Fazit: Mittelständische IT ist keine Notlösung, sie ist eine bewusste Wahl 

Die Studie der Universität Potsdam macht sichtbar, was viele in der Praxis längst wissen: Der IT-Mittelstand ist strukturell tief im deutschen Wirtschaftsgefüge verankert. Fast jedes zweite mittelständische Unternehmen setzt auf seine Lösungen, branchenübergreifend, größenübergreifend, mit Tendenz zur Loyalität. 

Das ist kein Zufall. Es ist das Ergebnis von Kundennähe, Spezialisierung und dem Verständnis dafür, wie der Mittelstand wirklich tickt. Wer als IT-Anbieter Mittelstand denkt, nicht Konzernstruktur, trifft die Sprache, die Anforderungen und den Rhythmus seiner Kunden. 

Für Sie und Ihr Unternehmen bedeutet das: Schauen Sie sich bei der nächsten Softwareentscheidung bewusst auch mittelständische Anbieter an. Nicht aus Solidarität, sondern weil die Zahlen zeigen, dass es sich lohnt. 


Gronau, N. (2026). Wie stark trägt der IT-Mittelstand den deutschen Mittelstand? Untersuchung für den Bundesverband IT-Mittelstand e.V. (BITMi). Universität Potsdam, Lehrstuhl für Wirtschaftsinformatik. 

Die WhatsApp-Spyware-Krise: Warum ein falsches Update der cleverste Hack des Jahres 2026 ist

Anfang April 2026 erschütterte ein Bericht über einen Präzisionsangriff die Cybersicherheits-Landschaft. Laut The Hacker News wurden etwa 200 gezielte Nutzer (darunter hochrangige Führungskräfte und Journalisten) Opfer einer hochkomplexen Spyware. Die Angreifer nutzten eine täuschend echte, gefälschte Version von WhatsApp, um ihre Ziele dazu zu verleiten, ein „kritisches Sicherheitsupdate“ außerhalb der offiziellen App-Stores zu installieren. Doch das ist keinesfalls eine ferne Schlagzeile, die nur unachtsame Privatpersonen oder bestimmte Personengruppen betrifft. Denn besonders für Unternehmen im deutschen Mittelstand sind diese Fälle eine Warnung, dass das eigentlich verantwortungsbewusste Handeln Ihrer Mitarbeiter gegen Sie verwendet werden kann.

Die Ironie der Sicherheit: Eine Falle für die Gewissenhaften

Stellen Sie sich diese Szene vor: Ein Mitarbeiter möchte sicherstellen, dass sein Diensthandy geschützt ist, und sieht eine professionell erscheinende Benachrichtigung für ein WhatsApp-Update. Erstmal nichts Unübliches. Er klickt aus Gewohnheit und Pflichtgefühl auf „Installieren“, um das Gerät aktuell zu halten. In dieser einen Sekunde wird Ihr Unternehmensperimeter durchbrochen. Die Ironie im Jahr 2026 ist brutal: Genau der Versuch, für Sicherheit zu sorgen, öffnet dem Spion die Tür. Ein gekapertes Telefon bedeutet nicht mehr nur den Verlust privater Daten; es ist ein geklonter Generalschlüssel zu Ihren Finanzsystemen und Kundendatenbanken.

Shadow IT: Der unsichtbare Riss in Ihrer Verteidigung

In Deutschland basieren geschäftliche Flexibilität und Erfolg auf hybridem Arbeiten und BYOD (Bring Your Own Device). Doch wenn Mitarbeiter dasselbe Gerät für private Chats und sensible Firmen-E-Mails nutzen, verschwindet diese Sicherheitsgrenze. Solche Ereignisse zeigen das Markenzeichen moderner Angriffe: Hacker versuchen nicht mehr, Ihre Firewall „einzuschlagen“; sie bitten Ihre Mitarbeiter durch psychologische Manipulation einfach um den „Schlüssel“. Für viele deutsche KMU wird dieser unsichtbare Riss durch ein unbewusstes Tippen zu einem irreversiblen Akt der Wirtschaftsspionage.

Warum Ihre aktuelle Sicherheit nur ein Alarm ist, kein Wachdienst

Viele Verantwortliche in Unternehmen glauben, dass eine Basis-Antivirensoftware ausreicht. Doch es gibt einen entscheidenden Unterschied: Traditionelle Software ist wie eine Alarmanlage. Sie macht Lärm, aber wenn um 3:00 Uhr morgens niemand reagiert, entkommt der Dieb trotzdem. Zudem gilt: Wenn Ihr Mitarbeiter manuell auf „Zugriff erlauben“ klickt, geht die Software von einer legitimen menschlichen Entscheidung aus und bleibt stumm. In einem typischen Mittelstandsbetrieb sind die IT-Ressourcen begrenzt. Ohne kontinuierliche Überwachung gibt ein Angriff am Wochenende den Hackern einen Vorsprung von 48 Stunden, um Ihre Daten abzuziehen.

Warum NovaMDR™

Professionelle Reaktion als Ihr Wettbewerbsvorteil

Da die rein technische Abwehr an ihre Grenzen gestoßen ist, benötigen Sie eine dynamische Lösung, die Technologie mit menschlicher Intelligenz kombiniert. Hier kommt Managed Detection and Response (MDR) ins Spiel. Unser MDR-Service schafft durch maßgeschneiderte Verhaltensmodellierung einen intelligenten Schutzschild. Wir glauben nicht an „Einheitslösungen“. Stattdessen lernt unsere Plattform die einzigartige „digitale DNA“ Ihres Unternehmens. Wenn das Gerät eines Mitarbeiters untypische Datenabflüsse zeigt (selbst wenn die Software eine „legale Signatur“ hat), schlägt unser System sofort Alarm.

Die letzte Verteidigungslinie mit lokalen Experten

Wichtig: Cyberangriffe halten sich nicht an Bürozeiten und Ihr Team braucht Ruhepausen. Wenn ein Mitarbeiter außerhalb der Arbeitszeit einen Hochrisiko-Alarm auslöst, sollten Sie sich nicht durch englische Handbücher wälzen oder auf eine Antwort aus einem Übersee-Callcenter warten müssen. Unsere lokalen deutschsprachigen Experten greifen in Echtzeit ein. Wir senden Ihnen nicht nur eine einfache Nachricht; wir fungieren als Ihr 24/7-Wachdienst, der die Bedrohung blockiert, bevor sie sich ausbreitet. Der Service ist nahtlos in Ihre bestehende Architektur integrierbar und garantiert Sicherheit, ohne die Produktivität zu bremsen.

Der Rechtsschild und die Haftung der Geschäftsführung

Als Unternehmer oder Führungskraft stehen Sie zudem nicht nur vor technischen Risiken, sondern auch vor persönlicher Haftung. Unter der DSGVO und den verschärften NIS2-Richtlinien von 2026 können Geschäftsführer für Sicherheitsversäumnisse persönlich zur Rechenschaft gezogen werden. Die von MDR bereitgestellten Audit-Logs sind mehr als nur Abwehr: Sie bieten Ihnen einen rechtlichen Nachweis Ihrer Sorgfaltspflicht. Dieser Compliance-konforme Ansatz beweist Regulierungsbehörden, dass Sie den „Stand der Technik“ implementiert haben, um Ihre Management-Verantwortung zu erfüllen.

Fazit: Sicherheit den Profis überlassen, damit Sie sich auf Ihr Geschäft konzentrieren können

Die WhatsApp-Angriffe aus der letzten Woche zeigen, dass Hacker die Kunst der menschlichen Manipulation perfektioniert haben. Für den deutschen Mittelstand geht es bei der Sicherheit der Zukunft nicht darum, „jeden Klick zu verhindern“, sondern darum, „professionell zu reagieren, sobald ein Klick passiert“. Durch MDR nehmen Sie die Last der 24/7-Wachsamkeit von den Schultern Ihrer Mitarbeiter. In einer Ära zunehmender digitaler Unsicherheit ist professioneller Echtzeitschutz keine Ausgabe. Er ist Ihre stabilste geschäftliche Investition.

Neuartige KI-Agenten: Warum der deutsche Mittelstand neue Cyber-Risiken unterschätzt

Für kleine und mittlere Unternehmen (KMUs) ergibt sich daraus ein erhebliches Effizienzpotenzial. Gleichzeitig entstehen jedoch neue sicherheitsrelevante Abhängigkeiten, die mit klassischen IT-Sicherheitsmodellen nur eingeschränkt abbildbar sind.

Was ist OpenClaw

OpenClaw ist ein aufkommendes KI-Agenten-Framework, das darauf ausgelegt ist, LLMs mit Unternehmensanwendungen, APIs und Benutzeroberflächen zu verbinden.

Im Gegensatz zu klassischen Automatisierungsskripten führt ein KI-Agent nicht nur vordefinierte Schritte aus, sondern arbeitet zielorientiert:

  • Er interpretiert Aufgabenstellungen kontextabhängig
  • Er entscheidet dynamisch über notwendige Zwischenschritte
  • Er interagiert aktiv mit IT-Systemen (z. B. ERP, CRM, Datenbanken)

Dadurch entsteht ein neues technisches Paradigma. Software, die nicht nur ausgeführt wird, sondern eigenständig Entscheidungen innerhalb definierter Berechtigungen trifft.

Aus sicherheitstechnischer Sicht bedeutet dies, dass KI-Agenten als hochprivilegierte, kontinuierlich aktive Systemakteure betrachtet werden müssen.

Neue Risikodimensionen für KMUs

KMUs stehen unter besonderem Druck. Einerseits beschleunigt der Fachkräftemangel die Automatisierung, andererseits steigen regulatorische Anforderungen im Rahmen der DSGVO-Konformität sowie branchenspezifischer Compliance-Vorgaben.

KI-Agenten verschärfen diese Situation in drei zentralen Bereichen:

1. Erweiterte Angriffsfläche durch Systemintegration

KI-Agenten benötigen umfangreiche Zugriffsrechte auf interne Systeme. Dadurch entsteht ein potenzieller Missbrauchspfad innerhalb bereits vertrauenswürdiger Identitäten.

2. Datenverarbeitung außerhalb klassischer Kontrollgrenzen

Viele KI-Workflows nutzen externe LLM-Dienste. Dies führt zu der Frage, ob personenbezogene oder geschäftskritische Daten DSGVO-konform verarbeitet werden.

3. Eingeschränkte Nachvollziehbarkeit

Die autonome Natur von KI-Agenten erschwert eine vollständige Auditierbarkeit einzelner Entscheidungsschritte innerhalb längerer Ausführungsprozesse.

Technische Perspektive: Warum klassische Sicherheitsarchitekturen nicht ausreichen

Traditionelle IT-Sicherheitsmodelle basieren auf perimeter-orientierten Kontrollmechanismen:

  • Netzwerksegmentierung
  • Zugriffskontrollen
  • signaturbasierte Erkennung
  • regelbasierte SIEM-Alerts

Diese Modelle sind jedoch primär auf externe Bedrohungen ausgelegt.

KI-Agenten operieren jedoch innerhalb des vertrauenswürdigen Systems und bewegen sich entlang legitimer Berechtigungen. Dadurch werden klassische Detektionsmechanismen strukturell umgangen.

Managed Detection and Response (MDR) als adaptive Kontrollschicht

Managed Detection and Response (MDR) beschreibt einen sicherheitsbetrieblichen Ansatz, der kontinuierliche Überwachung, Verhaltensanalyse und aktive Reaktion kombiniert.

Im Kontext von KI-Agenten gewinnt MDR insbesondere durch folgende technische Funktionen an Bedeutung:

1. Verhaltensbasierte Anomalieerkennung

MDR-Systeme analysieren kontinuierlich Aktivitätsmuster von Identitäten, Endpunkten und automatisierten Agentenprozessen. Abweichungen vom erwarteten Verhaltensmodell werden in Echtzeit identifiziert.

2. Korrelation von Identitäts- und Prozessdaten

Moderne MDR-Architekturen korrelieren:

  • Benutzeridentitäten
  • API-Zugriffe
  • Systeminteraktionen von KI-Agenten

Ziel ist die Rekonstruktion vollständiger Ausführungsketten.

3. Echtzeit-Reaktion und Containment

Bei identifizierten Anomalien können betroffene KI-Agenten isoliert, API-Token widerrufen, oder Prozessketten unterbrochen werden, bevor ein systemischer Schaden entsteht.

Einordnung im regulatorischen Kontext

Für Unternehmen im DACH-Raum ist insbesondere die DSGVO-Konformität relevant. KI-Agenten erhöhen die Anforderungen an:

  • Datenminimierung
  • Zweckbindung
  • Nachvollziehbarkeit automatisierter Entscheidungen
  • technische und organisatorische Maßnahmen (TOMs)

Ohne kontinuierliche Überwachung kann die Einhaltung dieser Anforderungen in hochautomatisierten Umgebungen nicht zuverlässig gewährleistet werden.

Fazit

KI-Agenten wie OpenClaw markieren einen strukturellen Wandel in der Unternehmens-IT. Von regelbasierten Automatisierungen hin zu autonomen, zielorientierten Systemen.

Für KMUs entsteht dadurch kein kurzfristiges, sondern ein strukturelles Sicherheits- und Compliance-Thema.

Signal-Phishing in Deutschland: BfV und BSI sehen gezielte Angriffe auf Führungspersonen

Das Bundesamt für Verfassungsschutz (BfV) und das Bundesamt für Sicherheit in der Informationstechnik (BSI) haben in einer gemeinsamen Mitteilung vor einer gezielten Phishing-Kampagne über den Messenger-Dienst “Signal” gewarnt. Die beobachteten Angriffe richten sich primär gegen hochrangige Ziele aus Politik, Diplomatie und Militär. Technisch betrachtet ist das Angriffsmuster jedoch nicht sektorspezifisch – es lässt sich ohne Weiteres auf Unternehmensumgebungen übertragen.

Bemerkenswert ist vor allem, was diese Kampagne nicht beinhaltet: keine Malware, keine Ausnutzung einer Sicherheitslücke, keine Schwächung der Ende-zu-Ende-Verschlüsselung. Stattdessen instrumentalisieren die Angreifer legitime Funktionen der Plattform – insbesondere den Registrierungs- und Geräteverknüpfungsprozess.

Der Angriff zielt nicht auf den Code, sondern auf die Identität.

Die Angriffskette: Von Social Engineering zur vollständigen Kontoübernahme

In der ersten Phase geben sich die Täter als „Signal Support“ oder als vermeintlicher Sicherheits-Chatbot aus. Die Ansprache erfolgt direkt über die Plattform oder über begleitende Kanäle. Ziel ist es, beim Opfer den Eindruck eines akuten Sicherheitsproblems zu erzeugen – etwa durch den Hinweis auf drohenden Datenverlust oder eine notwendige Verifizierung.

Im nächsten Schritt wird das Opfer aufgefordert, einen per SMS erhaltenen Bestätigungscode oder eine PIN weiterzugeben. Technisch handelt es sich hierbei nicht um ein Umgehen von Sicherheitsmechanismen, sondern um deren Missbrauch. Signal betrachtet ein Gerät als legitim, sobald die Telefonnummer erfolgreich verifiziert wurde.

Wird der Code preisgegeben, können die Angreifer das Konto auf einem eigenen Gerät registrieren. Das ursprüngliche Gerät wird automatisch abgemeldet. Die Kontrolle über Profil, Kontakte und Einstellungen geht vollständig über.

Eine zweite, subtilere Variante nutzt die Geräteverknüpfung via QR-Code. Hierbei wird das Opfer dazu gebracht, einen manipulierten QR-Code zu scannen. Das Angreifergerät wird als zusätzliches Endgerät autorisiert, während der eigentliche Nutzer weiterhin Zugriff behält. In diesem Szenario bleibt die Kompromittierung oft unbemerkt, da kein unmittelbarer Kontrollverlust eintritt.

Beide Varianten folgen strikt der vorgesehenen Funktionslogik der Plattform.

Warum End-to-End-Verschlüsselung hier nicht schützt

Signal setzt auf ein robustes kryptografisches Modell, bei dem jede Geräteinstanz ein eigenes Schlüsselpaar generiert. Erfolgt eine erfolgreiche Registrierung oder Verknüpfung, wird ein neues vertrauenswürdiges Gerät in den Kommunikationsverbund integriert. Die Sitzungsschlüssel werden neu ausgehandelt, und die verschlüsselte Kommunikation läuft regulär weiter.

Aus Protokollsicht verhält sich das System exakt wie vorgesehen.

Das Problem entsteht nicht auf der kryptografischen Ebene, sondern bei der Annahme, dass das registrierte Gerät dem legitimen Nutzer gehört. Wird diese Annahme durch Social Engineering unterlaufen, schützt auch starke Verschlüsselung nicht mehr vor Einsicht in laufende Kommunikation.

Signal-Kontoübernahme ist damit kein kryptografisches Versagen, sondern ein Identitätsproblem.

Relevanz für KMUs

Obwohl sich die aktuelle Kampagne primär gegen politische Ziele richtet, ist die Methode generisch einsetzbar. Für KMUs ergibt sich ein realistisches Bedrohungsszenario.

In vielen mittelständischen Unternehmen werden Messenger-Dienste für operative Abstimmungen genutzt, etwa zur Freigabe von Zahlungen, zur Koordination mit Lieferanten oder zum Austausch sensibler Vertragsdetails. Gleichzeitig verfügen KMU häufig über begrenzte Ressourcen im Bereich kontinuierlicher Identitätsüberwachung und Mobile Device Management.

Eine erfolgreiche Signal-Kontoübernahme kann in diesem Kontext weitreichende Folgen haben: von gezieltem CEO-Fraud über die Manipulation von Zahlungsanweisungen bis hin zur Offenlegung vertraulicher Geschäftsbeziehungen. Besonders kritisch ist die Kompromittierung von Gruppenchats, da hier Netzwerkeffekte entstehen können.

DSGVO-Compliance als zusätzlicher Risikofaktor

Nach der DSGVO sind Unternehmen verpflichtet, personenbezogene Daten vor unbefugtem Zugriff zu schützen. Messenger-Kommunikation enthält regelmäßig personenbezogene Informationen wie Kontaktdaten, Projektdetails oder Vertragsbestandteile.

Kommt es im Zuge einer Signal-Kontoübernahme zu einem unautorisierten Zugriff, kann dies eine meldepflichtige Datenschutzverletzung darstellen. Für KMU im DACH-Raum bedeutet dies nicht nur ein mögliches Bußgeldrisiko, sondern auch Reputationsschäden und zusätzliche Prüfungen durch Aufsichtsbehörden.

Messenger-Dienste sind damit nicht nur Kommunikationswerkzeuge, sondern Teil der Compliance-Architektur.

Warum klassische Sicherheitsmechanismen oft versagen

Ein zentrales Problem bei der Erkennung solcher Angriffe ist ihre technische Unauffälligkeit. Es werden keine Schadprogramme installiert, keine ungewöhnlichen Netzwerkverbindungen aufgebaut und keine bekannten Exploit-Muster genutzt. Alle Schritte erfolgen über legitime API-Aufrufe und reguläre Anwendungsfunktionen.

Erkennbar sind solche Vorfälle meist nur über Verhaltensanomalien – etwa plötzliche Geräteverknüpfungen aus ungewöhnlichen Regionen oder signifikante Änderungen im Kommunikationsmuster eines Führungskontos.

Dies erfordert eine kontinuierliche Analyse von Identitäts- und Kontextdaten über Systemgrenzen hinweg.

In diesem Zusammenhang gewinnen MDR-Services an Bedeutung. Durch fortlaufende Überwachung von Identitätsverhalten und anomalen Aktivitätsmustern ermöglichen MDR-Services eine frühzeitige Erkennung von Kontoübernahmen – insbesondere in Umgebungen ohne eigenes Security Operations Center (SOC). Für KMU im DACH-Raum stellt dies eine praktikable Option dar, um Identitätsrisiken systematisch zu adressieren und DSGVO-Compliance-Anforderungen technisch zu unterlegen.

Identität als neue Sicherheitsgrenze

Die gemeinsame Warnung von BfV und BSI verdeutlicht einen strukturellen Wandel in der Bedrohungslandschaft. Angreifer investieren weniger in die Ausnutzung technischer Schwachstellen und zunehmend in die Manipulation legitimer Prozesse. Die Kontrolle über eine Identität ersetzt die technische Kompromittierung eines Systems.

Signal-Kontoübernahme ist kein Einzelfall, sondern Ausdruck dieser Entwicklung. Für KMUs bedeutet dies, dass Sicherheitsstrategien über klassische Patch- und Perimeter-Modelle hinausgehen müssen. Die Überwachung und Absicherung von Identitäten wird im Kontext von DSGVO-Compliance zu einer zentralen Kontrollmaßnahme.

Sicherheitslücken lassen sich schließen, Systeme lassen sich härten. Wird jedoch die Identität kompromittiert, läuft jede weitere Kommunikation unter gültiger Verschlüsselung – nur nicht mehr unter der Kontrolle des eigentlichen Nutzers.

Man braucht keine 0day, um gehackt zu werden

Anfang 2026 ereigneten sich in Europa zwei Sicherheitsvorfälle, die auf den ersten Blick völlig unabhängig wirkten.

Der eine betraf eine 0day-Schwachstelle im Ivanti EPMM Mobile Device Management System, das von Regierungsbehörden eingesetzt wird. Angreifer hatten Zugriff auf Mitarbeiterdaten ohne gültige Anmeldeinformationen.
Der andere ereignete sich im offiziellen Microsoft Store: Ein ursprünglich legitimes Outlook-Add-in wurde übernommen und missbraucht, wobei mindestens 4.000 Konten und Zahlungsinformationen gestohlen wurden.

Auf den ersten Blick handelte es sich bei einem Vorfall um eine hochriskante 0day-Attacke auf ein Grenzsystem, beim anderen um ein „vertrautes Plugin“, das ausgenutzt wurde.
Aus Sicht der Verteidigung haben beide jedoch etwas gemeinsam: Die Angriffe fanden genau dort statt, wo dein Team normalerweise Vertrauen voraussetzt.

Wenn die „Tür“ still geöffnet wird – Ivanti 0day

Stellen Sie sich den Eingang Ihres Bürogebäudes mit einem Drehkreuz vor. Alle wischen täglich ihre Karte, alles scheint sicher.

Eines Tages entdeckt jemand einen Konstruktionsfehler-drückt man in einem bestimmten Winkel, kann man ohne Karte eintreten. Kein Eintrag, kein Alarm.

Die Schwachstelle im Ivanti EPMM spiegelt dieses Szenario wider. Angreifer konnten das System nutzen, um Namen, E-Mail-Adressen, Telefonnummern und Geräteinformationen der Mitarbeiter ohne legitime Anmeldeinformationen einzusehen.

Die Schwachstelle an sich ist ernst. Noch wichtiger ist jedoch:
Vor Veröffentlichung des Patches, hatte dein Team zusätzliche Überwachung?
Wurden ungewöhnliche Zugriffsmuster überprüft?
Ohne diese Sichtbarkeit wird die sogenannte „erste Verteidigungslinie“ still und unbeobachtet zum VIP-Eingang für Angreifer.

Dieser Vorfall zeigt, dass Grenzgeräte nicht nur Hardware oder Software sind-sie sind Informations- und Zugangsknoten. Ohne angemessene Überwachung können selbst kleine Schwachstellen schnell ausgenutzt werden.

Wenn „offizielles Vertrauen“ missbraucht wird – Outlook-Add-in

Der zweite Vorfall betrifft ein Alltagsbeispiel: das Outlook-Add-in AgreeTo.

Ursprünglich ein legitimes Planungswerkzeug im offiziellen Microsoft Store, wurde es nach einigen Jahren nicht mehr gepflegt, wodurch die gehosteten Ressourcen frei wurden. Angreifer übernahmen dieses „leere Gerüst“, behielten Namen, Symbol und offizielles Erscheinungsbild bei, fügten jedoch eine gefälschte Microsoft-Anmeldung in der Seitenleiste hinzu.

Benutzer, die Anmeldedaten, Kreditkarteninformationen oder Sicherheitsfragen eingaben, sendeten die Daten unwissentlich an die Angreifer, bevor sie auf die echte Anmeldeseite weitergeleitet wurden. Der Prozess hinterließ fast keine sichtbaren Spuren.

Noch entscheidender ist, dass das Add-in bereits die Berechtigung hatte, E-Mails zu lesen und zu verwalten. Angreifer konnten E-Mails einsehen, weiterleiten oder sogar fälschen und so interne Risiken erhöhen, ohne neue Sicherheitslücken zu nutzen.

Dieser Vorfall zeigt, dass komplexe Angriffe nicht immer notwendig sind. Wenn ein vertrauenswürdiges Element die Kontrolle wechselt, können Angreifer es nahtlos ausnutzen.

Risikoverschiebung: von unbekannten Dateien zu Alltagswerkzeugen

Beide Vorfälle zusammen betrachtet zeigen ein klares Muster:

  • Die Angriffsfläche hat sich von unbekannten bösartigen Dateien auf Werkzeuge verschoben, die dein Team bereits nutzt und vertraut.
  • VPNs, MDMs und E-Mail-Gateways bleiben wichtige Grenzkontrollen, aber Browser-Erweiterungen, Add-ins und SaaS-Integrationen sind inzwischen ebenso kritisch.
  • Traditionelle Verteidigung konzentriert sich auf Endpunkte, Firewalls und E-Mail-Gateways, vernachlässigt jedoch Plugin-Verhalten, Browser-Sitzungen und Cloud-Datenexporte.

Die eigentliche Schwachstelle liegt nicht mehr in den Sicherheitslücken selbst, sondern darin, ob du die Anomalien in den täglich genutzten Werkzeugen erkennen und interpretieren kannst.

Schließen der Sichtbarkeits- und Reaktionslücke

Hier zeigt sich der Wert von Managed Detection and Response (MDR).

MDR ist nicht nur ein weiteres Tool. Sein Kernzweck besteht darin, Überwachung, Erkennung und Reaktion auf Bereiche auszudehnen, die dein Team nicht kontinuierlich beobachten kann:

  • Kontinuierliche Überwachung von Grenzgeräten, Browsern und Plugin-Aktivitäten
  • Untersuchung verdächtiger Verhaltensweisen mit Filterung von Fehlalarmen
  • Sofortige Reaktion auf Anomalien
  • Entlastung deines Teams von rein reaktiver Arbeit

Bei Ivanti-ähnlichen Vorfällen kann MDR ungewöhnliche Managementzugriffe und anormale API-Aufrufe erkennen.
Bei Outlook-ähnlichen Vorfällen überwacht MDR verdächtige Anmeldungen oder umfangreiche Datenexporte und reagiert sofort.

Es ermöglicht Ihrem Team, nicht nur zu wissen, dass ein Angriff stattgefunden hat, sondern zu handeln, bevor Schäden eskalieren, und verkürzt so das kritischste Reaktionsfenster.

Praktische Empfehlungen für Ihr Team

Sie müssen keine Sicherheitsexpert:in sein, aber ein paar Regeln sind entscheidend:

  • Installieren Sie nur notwendige Plugins und Erweiterungen und bereinigen Sie diese regelmäßig
  • Halten Sie inne, wenn erneut eine Anmeldung oder Zahlung verlangt wird-überprüfen Sie die Quelle zuerst
  • Verzögeren Sie keine Updates von VPN, MDM oder Browsern – diese Updates könnten den nächsten Ivanti-ähnlichen Vorfall verhindern

Für Ihr Team sind die wichtigsten Maßnahmen:

  • Überwachung von Grenzgeräten, Browsern, Plugins und Cloud-Diensten integrieren
  • Pläne für Untersuchung und Reaktion auf nachträgliche Ausnutzung vorbereiten
  • Fokus auf Anomalien, nicht nur bösartige Dateien

Sicherheit bedeutet nicht, die Türen fester zu verschließen – sondern sofort zu erkennen, wenn die Tür aufgestoßen wird.

Hacker brauchen keine Malware mehr – sie kapern einfach den Browser

2025 haben Sicherheitsforscher eine Reihe von Chrome-Erweiterungen entdeckt, die auf den ersten Blick harmlos wirkten – aber im Hintergrund komplette Sitzungen kapern, Formulare mitlesen und Daten direkt an Server der Angreifer senden konnten. In vielen betroffenen Unternehmen schlugen weder Antivirus noch klassische Endpoint-Lösungen Alarm, weil technisch gesehen kein „Schadprogramm“ auf dem System installiert wurde – alles passierte im Browser.

Genau hier liegt das Problem: Angreifer „brechen“ nicht mehr unbedingt in Systeme ein, sie übernehmen einfach den Browser – also das Fenster, durch das Ihre Mitarbeitenden täglich auf CRM, ERP, HR- und Kollaborations-Tools zugreifen. Viele MDR-Strategien sind jedoch immer noch so aufgebaut, als wäre der wichtigste Angriffsvektor ein infizierter Anhang auf dem Endgerät – und nicht ein kompromittierter Browser-Tab.

Warum der Browser zum blinden Fleck wird

Für KMUs in der DACH-Region ist der Browser längst zum zentralen Arbeitswerkzeug geworden:

  • Die meisten Geschäftsprozesse laufen heute über SaaS, Webportale und Cloud-Anwendungen.
  • Mitarbeitende verbringen den Großteil des Tages in wenigen Browser-Tabs: CRM, Ticketsystem, Kollaboration, E-Mail.
  • IT-Sicherheit konzentriert sich trotzdem häufig auf Endpoint-Agenten, VPN und klassische Netzwerkgrenzen.

Dadurch entsteht ein gefährlicher blinder Fleck:

  • Keine echte Sichtbarkeit: Was in der Browser-Sitzung passiert – etwa welche Erweiterungen mitlesen, welche Skripte Daten abziehen – wird oft nicht zentral überwacht.
  • Angriffe ohne Malware: Moderne Angriffe brauchen keinen „Dropper“ mehr auf der Festplatte; sie missbrauchen Erweiterungen, Sitzungs-Tokens und legitime Cloud-Funktionen.
  • Trügerische „Alles-grün“-Signale: Endpoint-Tools melden „kein Fund“, während über den Browser sensible Kundendaten exportiert oder Konten übernommen werden.

Kurz gesagt: Das eigentliche Risiko wandert dorthin, wo die tägliche Arbeit passiert – in den Browser – aber viele Sicherheits- und MDR-Konzepte sind dort noch gar nicht angekommen.

Warum das für KMUs in der DACH-Region besonders kritisch ist

DACH-Unternehmen – gerade im Mittelstand – sind zugleich hochdigitalisiert und stark reguliert:

  • Ein großer Teil setzt auf Cloud, IoT und Online-Services, um effizient zu bleiben.
  • Viele Betriebe sind familiengeführt und reputationssensibel; ein Datenvorfall trifft nicht nur Zahlen, sondern auch das Vertrauen über Jahrzehnte.
  • Cyberangriffe auf Unternehmen in der Region nehmen nachweislich zu, während Ressourcen in den IT-Teams begrenzt bleiben.

Wenn in einem typischen KMUs der Vertrieb über ein Cloud-CRM, das Finanzteam über eine Web-Fibu und das HR über ein Self-Service-Portal arbeiten, dann gilt:

  • Ein kompromittierter Browser bedeutet unmittelbaren Zugriff auf große Mengen personenbezogener Daten.
  • Der Weg der Angreifer führt nicht mehr durch „exotische Exploits“, sondern über genau die Tools, die Mitarbeiter täglich produktiv nutzen.

Für MDR-Dienstleister in der DACH-Region heißt das: Wer den Browser nicht mitdenkt, schützt im Zweifel genau dort nicht, wo die DSGVO-relevante Wertschöpfung tatsächlich stattfindet.

Das DSGVO-/DSG-/BDSG-Risiko für DACH-KMUs

Regulatorisch betrachtet ist es zweitrangig, ob ein Angriff über eine EXE-Datei oder über eine Browser-Erweiterung läuft – entscheidend ist die Verarbeitung personenbezogener Daten. Für KMUs in Deutschland, Österreich und der Schweiz sind vor allem diese Punkte relevant:

  • DSGVO / GDPR: Jede unautorisierte Einsicht, Veränderung oder Exfiltration personenbezogener Daten kann meldepflichtig sein – unabhängig vom Angriffsweg.
  • BDSG (DE) und DSG (AT/CH-nahe Regelungen): Nationale Ergänzungen verschärfen Anforderungen an technische und organisatorische Maßnahmen rund um Datenverarbeitung.
  • Nachweispflicht: Unternehmen müssen im Ernstfall plausibel zeigen können, welche Maßnahmen sie ergriffen haben – und wie der Vorfall ablief.

Wenn sich ein Datenabfluss in der Browser-Sitzung abspielt – etwa über ein bösartiges Plug-in, das Kundenlisten im Hintergrund überträgt – stellt sich schnell die Frage:

  • Gibt es Logs, die zeigen, was im Browser passiert ist?
  • Sind Browser- und SaaS-Aktivitäten in das Monitoring und die MDR-Services eingebunden?
  • Lässt sich rekonstruieren, welche personenbezogenen Daten betroffen sind?

Ohne diese Sichtbarkeit wirkt eine Sicherheitsarchitektur aus Sicht der Aufsicht eher unvollständig – selbst wenn Endpoint und Netzwerk „state of the art“ sind.

Wie moderne MDR-Services den Browser einbeziehen sollten

MDR-Services sind prädestiniert dafür, diesen blinden Fleck zu schließen – vorausgesetzt, sie behandeln den Browser als erste Klasse im Monitoring:

  • Telemetry statt nur Endpoint: Integration von Browser-Logs, Erweiterungsinventar und SaaS-Audit-Informationen in die zentrale MDR-Plattform.
  • Verhaltensbasierte Erkennung: Erkennen verdächtiger Muster wie ungewöhnliche Massenexports, neue Erweiterungen mit weitreichenden Rechten oder Anomalien in Logins und Sitzungsdauer.
  • Kontext über alle Ebenen: Korrelation von Browser-Events mit Endpoint-Events, Identitätsdaten (IdP/SSO) und Netzwerkzugriffen, um komplette Angriffspfade zu sehen.
  • Gezielte Reaktion: Standardisierte Playbooks für Browser-Szenarien – von der Entfernung bösartiger Erweiterungen bis zur Unterbrechung kompromittierter Sessions.

Ein MDR-Ansatz, der Browser, Endpunkte, Identitäten und Cloud zusammendenkt, liefert KMUs in der DACH-Region nicht nur bessere Sicherheit, sondern auch eine robustere Grundlage für DSGVO-konforme Incident-Response-Prozesse.

Was KMUs jetzt pragmatisch tun können

Auch mit begrenzten Ressourcen lässt sich der Browser schnell besser absichern – besonders, wenn bereits ein MDR-Dienst im Einsatz ist oder geplant wird:

  • Browser-Standard definieren: Wenige, klar freigegebene Browser und regelmäßige Updates unternehmensweit durchsetzen.
  • Erweiterungen steuern: Whitelisting für geschäftskritische Extensions, alles andere standardmäßig blocken oder zumindest protokollieren.
  • Log-Quellen öffnen: Prüfen, welche Browser-/SaaS-Logs heute schon verfügbar sind, und mit dem MDR-Provider klären, wie sie eingebunden werden können.
  • Playbooks erweitern: Incident-Response-Prozesse explizit um Browser-Szenarien ergänzen (z.B. Session Hijacking, Token-Diebstahl, Extension-Missbrauch).
  • Awareness anpassen: Security-Schulungen um Browser-Kontexte erweitern – etwa „Woran erkenne ich eine verdächtige Erweiterung oder Login-Maske?“.

So entsteht Schritt für Schritt ein Bild, in dem MDR-Services nicht mehr nur „den Endpoint verteidigen“, sondern dort ansetzen, wo Angreifer heute am liebsten arbeiten: im Browser.

Warum der Zeitpunkt jetzt ist

Die Digitalisierung von KMUs in der DACH-Region ist weit fortgeschritten – Cloud, SaaS und Browser-basierte Workflows sind Standard. Gleichzeitig zeigen aktuelle Vorfälle und Studien, dass Cyberangriffe weiter zunehmen und Angreifer gezielt die Lücken zwischen klassischen Sicherheitskontrollen ausnutzen.

Wer jetzt den Browser in seine MDR-Strategie integriert, handelt nicht „übervorsichtig“, sondern schlicht zeitgemäß:

  • Die Angriffsfläche von heute liegt im Zusammenspiel von Browser, Identität und Cloud.
  • Regulatorische Anforderungen entwickeln sich weiter in Richtung ganzheitlicher Resilienz (NIS2, DORA etc.).
  • Kunden und Partner erwarten, dass sensible Daten dort geschützt sind, wo tatsächlich mit ihnen gearbeitet wird – im Browserfenster, nicht nur im Rechenzentrum.

Der Browser ist dabei, zur neuen Unternehmensperipherie zu werden. Wer ihn in seiner MDR-Strategie ignoriert, verteidigt im Grunde eine Vergangenheit, in der kaum noch jemand arbeitet.

Immer up to date!

Abonnieren Sie unseren Newsletter und erhalten Sie wertvolle Branchen-Insights, Produkt-Updates und aktuelle Analysen von ForeNova direkt in Ihr Postfach.

Wir verwenden Brevo als unsere Marketing-Plattform. Indem Sie das Formular absenden, erklären Sie sich einverstanden, dass die von Ihnen angegebenen persönlichen Informationen an Brevo zur Bearbeitung übertragen werden, gemäß den Datenschutzrichtlinien von Brevo.