Ein verschlüsselter Server am Montagmorgen, keine Auftragsdaten, keine Lohnbuchhaltung, ein Erpresserschreiben auf dem Bildschirm: Für viele kleine und mittlere Betriebe ist das kein abstraktes Risiko mehr, sondern eine Erfahrung, die Kollegen aus der Branche schon gemacht haben. Anders als große Konzerne verfügen Mittelständler selten über eigene IT-Sicherheitsabteilungen – umso wichtiger sind wenige, aber konsequent umgesetzte Basismaßnahmen, ein eingeübter Notfallplan und eine Cyberversicherung, die im Ernstfall tatsächlich trägt.
Typische Schadensmuster: Wie Angriffe wirklich ablaufen
Die meisten folgenreichen Vorfälle im Mittelstand beginnen unspektakulär: eine Phishing-Mail mit gefälschter Rechnung, ein kompromittiertes Passwort aus einem Drittanbieter-Leak, eine offene Fernwartungsschnittstelle. Angreifer verschaffen sich zunächst einen ersten Zugang, bewegen sich dann unbemerkt tagelang oder wochenlang durchs Netzwerk, sichern sich Administratorrechte und Backups – und verschlüsseln erst dann möglichst viele Systeme gleichzeitig, oft nachts oder am Wochenende, wenn niemand reagieren kann.
Häufig kommt zur Verschlüsselung noch die Drohung, gestohlene Daten zu veröffentlichen ("doppelte Erpressung"). Betroffen sind längst nicht nur IT-nahe Branchen: Handwerksbetriebe, Speditionen, Zahnarztpraxen oder Zulieferer geraten ins Visier, weil ihre Systeme oft schlechter geschützt sind als die großer Kunden – und weil Angreifer automatisiert nach verwundbaren Systemen suchen, nicht gezielt nach prominenten Namen.
Technischer Basisschutz: Wenige Maßnahmen mit großer Wirkung
Nach Einschätzung des Bundesamts für Sicherheit in der Informationstechnik (BSI) lässt sich ein erheblicher Teil erfolgreicher Angriffe durch wenige Grundmaßnahmen verhindern oder zumindest eindämmen. Dazu zählen zeitnahe Sicherheitsupdates für Betriebssysteme und Software, eine Zwei-Faktor-Authentifizierung für Fernzugänge und E-Mail-Konten, konsequent getrennte Nutzerrechte statt durchgängiger Administratorrechte sowie regelmäßige, vom Netzwerk getrennte Backups, die im Ernstfall auch tatsächlich wiederherstellbar sind.
Wichtig ist zudem die Absicherung von Fernwartungszugängen und Remote-Desktop-Verbindungen, die in vielen dokumentierten Fällen als Einfallstor dienten, sowie eine Sensibilisierung der Belegschaft für Phishing-Versuche. Wer Digitalisierungsprojekte ohnehin plant, sollte IT-Sicherheit von Anfang an mitdenken – dazu passt auch der Blick in den Beitrag zu Förderprogrammen für die Digitalisierung im Betrieb, da sich einzelne Sicherheitsinvestitionen unter bestimmten Voraussetzungen mitfördern lassen.
Organisatorisch vorbereitet: Der Notfallplan vor dem Ernstfall
Technik allein reicht nicht, wenn im Ernstfall niemand weiß, wer was entscheidet. Ein tragfähiger Notfallplan legt vorab fest, wer im Betrieb informiert wird, welcher externe IT-Dienstleister oder Incident-Response-Anbieter kontaktiert wird, wie mit Kunden und Behörden kommuniziert wird und ab wann eine Meldepflicht nach der Datenschutz-Grundverordnung greift. Nach Artikel 33 DSGVO müssen Verletzungen des Schutzes personenbezogener Daten der zuständigen Aufsichtsbehörde grundsätzlich binnen 72 Stunden gemeldet werden – eine Frist, die im Krisenmodus schnell verstreicht, wenn sie nicht vorbereitet ist.
Sinnvoll ist außerdem eine schriftliche Kontaktliste mit Ansprechpartnern bei Polizei, Cybersicherheitsbehörden der Länder und dem BSI sowie eine geprüfte Offline-Kopie kritischer Zugangsdaten. Betriebe, die ihre Prozesse ohnehin auf Resilienz prüfen, finden ergänzende Überlegungen im Beitrag zu resilienten Lieferketten im Mittelstand, da Cyberausfälle bei einem Zulieferer ähnliche Kettenreaktionen auslösen können wie physische Lieferengpässe.
Cyberversicherung: Was Policen leisten – und was nicht
Eine Cyberversicherung kann im Schadensfall Kosten für IT-Forensik, Wiederherstellung von Daten und Systemen, Betriebsunterbrechung, Krisenkommunikation sowie teils auch Haftpflichtansprüche Dritter abdecken. Anbieter unterscheiden sich jedoch erheblich darin, welche Vorfälle überhaupt versichert sind und unter welchen Bedingungen die Leistung tatsächlich fließt. Ein häufiger Streitpunkt sind sogenannte Obliegenheiten: Wurden die im Antrag zugesicherten Mindeststandards – etwa Zwei-Faktor-Authentifizierung, aktuelle Backups, geschlossene bekannte Sicherheitslücken – zum Schadenszeitpunkt tatsächlich eingehalten? Fehlt der Nachweis, kann der Versicherer die Zahlung kürzen oder verweigern.
Weitere typische Deckungslücken betreffen Kriegs- und Sanktionsklauseln bei staatsnah zurechenbaren Angriffen, die Kostenübernahme für Lösegeldzahlungen, die in Deutschland und der EU rechtlich und sanktionsrechtlich heikel sein kann, sowie Wartezeiten und Selbstbehalte bei der Betriebsunterbrechung, die gerade für kleinere Betriebe wirtschaftlich schmerzhaft ausfallen können. Vor Vertragsabschluss lohnt sich daher ein genauer Blick in Ausschlüsse und Obliegenheiten – nicht nur in die Deckungssumme.
Prioritäten setzen: Was kleine Betriebe zuerst tun sollten
Für Betriebe mit begrenztem Budget empfiehlt sich eine klare Reihenfolge: zunächst Backups absichern und deren Wiederherstellbarkeit testen, dann Zwei-Faktor-Authentifizierung für alle kritischen Zugänge einführen, anschließend Updates automatisieren und externe Zugänge inventarisieren. Erst danach folgt die Frage nach einer passenden Versicherungslösung, denn ein Versicherer bewertet genau diese Grundabsicherung bei der Antragsprüfung. Wer parallel ohnehin in neue Software oder KI-gestützte Prozesse investiert, sollte Sicherheitsfragen von Beginn an mitplanen – auch dazu liefert der Beitrag zu Wirtschaft & Unternehmen regelmäßig Einordnungen zu aktuellen Investitionsentscheidungen im Mittelstand.
Externe Unterstützung, etwa durch spezialisierte IT-Dienstleister oder die Landeszentren für Cybersicherheit, kann gerade kleineren Betrieben helfen, ohne eigenes Fachpersonal ein belastbares Schutzniveau zu erreichen. Wichtig bleibt, dass Sicherheitsmaßnahmen nicht als einmaliges Projekt, sondern als fortlaufende Aufgabe verstanden werden.
Häufige Fragen
Reicht ein Backup allein, um vor Ransomware sicher zu sein?
Nein. Entscheidend ist, dass Backups vom Produktivnetzwerk getrennt aufbewahrt werden und regelmäßig auf Wiederherstellbarkeit getestet werden – viele Betriebe stellen erst im Ernstfall fest, dass ihre Sicherung ebenfalls verschlüsselt oder unvollständig war.
Muss ein Cyberangriff immer den Behörden gemeldet werden?
Eine Meldepflicht besteht insbesondere dann, wenn personenbezogene Daten betroffen sind; hier greift grundsätzlich die 72-Stunden-Frist nach Art. 33 DSGVO gegenüber der zuständigen Aufsichtsbehörde. Je nach Branche können zusätzliche sektorspezifische Meldepflichten bestehen.
Zahlt die Cyberversicherung automatisch, wenn ein Angriff vorliegt?
Nicht automatisch. Versicherer prüfen üblicherweise, ob die im Vertrag zugesicherten Sicherheitsstandards eingehalten wurden, und wenden branchenspezifische Ausschlüsse an – etwa bei fehlenden Updates oder ungesicherten Fernzugängen. Eine sorgfältige Dokumentation der eigenen IT-Sicherheitsmaßnahmen ist daher auch versicherungsrechtlich relevant.
