Cyberangriff: Was das ist, was im Ernstfall passiert und was Ihr Unternehmen jetzt tun sollte

Das Wichtigste in 30 Sekunden

Ein Cyberangriff ist der Versuch, über IT-Systeme Schaden anzurichten: Daten stehlen, verschlüsseln, manipulieren oder einen Dienst lahmlegen. Für kleine und mittlere Unternehmen ist die wichtigste Erkenntnis eine unbequeme: Die allermeisten Angriffe suchen sich ihr Ziel nicht aus. Automatisierte Programme durchkämmen das Internet rund um die Uhr nach verwundbaren Systemen, und wer erreichbar und schlecht abgesichert ist, landet früher oder später im Netz, ganz gleich ob Handwerksbetrieb, Steuerkanzlei oder Maschinenbauer.

Dieser Artikel ist ein Ratgeber, kein Nachrichtenbeitrag. Er erklärt, was ein Cyber Angriff überhaupt ist, wie er typischerweise abläuft, was in den ersten Stunden nach einem Vorfall zu tun ist und mit welchen Mitteln sich ein Unternehmen realistisch schützt. Ohne Angstmacherei, dafür mit einem klaren Fahrplan, den auch jemand ohne tiefes IT-Wissen umsetzen oder zumindest einfordern kann.

Die gute Nachricht steht am Anfang: Der Großteil erfolgreicher Angriffe nutzt keine Zauberei, sondern längst bekannte Schwächen. Gegen die kann man etwas tun.

Was ist ein Cyberangriff?

Ein Cyberangriff ist jede Handlung, die über Computer, Netzwerke oder vernetzte Geräte darauf abzielt, den normalen, geschützten Betrieb eines Systems zu untergraben. Das kann bedeuten, dass jemand Daten liest, die er nicht sehen dürfte, dass er sie verschlüsselt und Lösegeld verlangt, dass er eine Website in die Knie zwingt oder dass er fremde Rechenleistung heimlich für sich arbeiten lässt.

Der Begriff ist bewusst weit. Unter Cyberangriff (oft auch Hackerangriff genannt) fällt der Massen-Spam mit dem gefälschten Rechnungsanhang genauso wie die monatelang vorbereitete Attacke auf einen einzelnen Konzern. Für die Praxis in einem KMU ist die Einordnung in Kategorien weniger wichtig als die zwei Fragen, die dahinterstehen: Auf welchem Weg kommt jemand herein? Und wie viel Schaden darf ein einzelner Fehler anrichten, bevor er gestoppt wird?

Drei Eigenschaften prägen die heutige Bedrohungslage:

Angriffe sind meist automatisiert. Das romantische Bild vom Hacker, der sich gezielt eine Firma aussucht, trifft auf die Ausnahme zu. Der Regelfall ist eine Maschine, die Millionen von Adressen abklappert und meldet, wo eine bekannte Lücke antwortet. Für einen solchen Scanner ist Ihr Unternehmen kein Name, sondern eine erreichbare Adresse mit oder ohne offene Tür.

Angriffe sind ein Geschäft. Hinter Ransomware stehen arbeitsteilige Strukturen mit Support, Preislisten und Erfolgsbeteiligung. Das senkt die Einstiegshürde und erklärt, warum auch kleine Ziele lohnen: Wenn ein Angriff fast nichts kostet und massenhaft läuft, rechnet sich schon ein kleiner Anteil zahlender Opfer.

Der Schaden ist selten der Einbruch selbst. Teuer wird, was danach kommt: der stillstehende Betrieb, der Austausch aller Zugangsdaten, die Meldepflichten, der Vertrauensverlust bei Kunden. Wie krass das Missverhältnis zwischen dem Aufwand des Angreifers und dem Schaden des Opfers ausfallen kann, haben wir am realen Fall in der Anatomie einer Server-Übernahme durchgerechnet: wenige Euro Ertrag für den Täter, ein Vielfaches an Schaden für das betroffene Unternehmen.

Die häufigsten Arten von Cyberangriffen

“Cyberangriff” ist ein Sammelbegriff. Damit der Rest des Artikels greift, hier die Angriffsarten, die im Alltag von KMU tatsächlich vorkommen, mit ihrem jeweiligen Ziel und einer ersten Orientierung, was im Ernstfall zählt.

Angriffsart	Wie sie funktioniert	Typisches Ziel	Erste Hilfe im Ernstfall
Phishing	Gefälschte Mails oder Seiten locken Zugangsdaten oder einen Klick auf Schadsoftware heraus	Zugangsdaten, erster Einstieg ins Netz	Betroffenes Konto sperren, Passwort ändern, MFA prüfen, Kolleg:innen warnen
Ransomware	Schadsoftware verschlüsselt Daten und fordert Lösegeld, oft mit Drohung der Veröffentlichung	Erpressung, direkter Geldfluss	System isolieren, nicht zahlen, aus getrenntem Backup wiederherstellen
DDoS (Überlastung)	Massenhafte Anfragen legen Website oder Dienst lahm	Störung, teils Ablenkung von anderem Angriff	Schutz vor die Anwendung schalten, Provider einbinden
Supply-Chain / Lieferkette	Angriff über einen Dienstleister oder eine eingesetzte Komponente	Viele Opfer über einen einzigen Hebel	Betroffene Software identifizieren, Anbieter kontaktieren, Zugänge rotieren
Business E-Mail Compromise	Angreifer geben sich als Chef oder Lieferant aus und lösen Überweisungen aus	Direkter finanzieller Betrug	Zahlung stoppen, Bank informieren, Vier-Augen-Prinzip prüfen

Diese Liste ist nicht vollständig, deckt aber ab, womit die meisten Betriebe konfrontiert werden. Auffällig ist, wie oft der Mensch das erste Einfallstor ist, nicht die Technik: Ein unbedachter Klick, ein wiederverwendetes Passwort, eine überzeugend gefälschte Rechnung.

Was passiert bei einem Cyberangriff? Der typische Ablauf

Viele stellen sich einen Angriff als einen einzigen dramatischen Moment vor: Bildschirm schwarz, Lösegeldforderung, Ende. In Wirklichkeit ist es meist ein Prozess über mehrere Stufen, und genau dieser Ablauf entscheidet darüber, wo man ihn noch stoppen kann.

1. Auskundschaften und Einstieg. Automatisierte Scanner suchen nach einer Schwäche: eine veraltete Anwendung, ein aus dem Internet erreichbarer Verwaltungszugang, ein Konto ohne zweiten Faktor. Parallel läuft die menschliche Variante über Phishing. Der Einstieg gelingt selten über hohe Kunst, sondern über die günstigste offene Tür.

2. Fuß fassen. Ist der erste Zugang da, richten die Angreifer sich eine dauerhafte Hintertür ein, oft getarnt als harmloser Systemdienst, die auch einen Neustart übersteht. In unserem dokumentierten Fall geschah das innerhalb von Sekunden nach dem erfolgreichen Einbruch.

3. Ausbreiten. Vom ersten Rechner aus tasten sich die Angreifer weiter: Sie suchen Passwörter in Konfigurationsdateien, SSH-Schlüssel, Zugänge zu weiteren Servern. Ziel ist es, von einem einzelnen kompromittierten System zu möglichst vielen zu gelangen. Fehlende Netzwerksegmentierung ist hier der beste Freund des Angreifers.

4. Zuschlagen. Erst am Ende wird der Angriff sichtbar. Die Daten werden verschlüsselt, die Lösegeldforderung erscheint, oder die abgezogenen Daten tauchen zum Verkauf auf. Häufig liegen zwischen Einbruch und diesem Moment Tage oder Wochen, in denen sich alles unbemerkt vorbereitet hat.

Diese Verzögerung ist die eigentliche Pointe. Ein Cyber Angriff ist selten der laute Knall, als den man ihn sich vorstellt. Er ist eher ein leiser Aufenthalt im Haus, der lange dauert, bevor jemand die zerbrochene Scheibe bemerkt. Im Fall unserer Server-Übernahme blieb ein komplett übernommener Server fünf Tage lang unentdeckt, und aufgefallen ist er am Ende nur durch einen Zufall, weil die Rechenlast andere Dienste zum Absturz brachte.

Cyberangriff in Deutschland: Wie ernst ist die Lage wirklich?

Beim Stichwort Cyber Angriff Deutschland denken viele zuerst an die großen Schlagzeilen: lahmgelegte Kliniken, angegriffene Behörden, Verwaltungen im Notbetrieb. Diese Fälle sind real, aber sie verzerren das Bild, weil sie den Eindruck erwecken, Angriffe träfen vor allem die Großen und Bekannten.

Das Gegenteil ist der Fall. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt die Bedrohungslage in Deutschland in seinen jährlichen Lageberichten seit Jahren als angespannt, mit Ransomware als einer der drängendsten Bedrohungen für Wirtschaft und Verwaltung. Präzise Gesamtzahlen nennt niemand seriös, weil ein großer Teil der Angriffe nie gemeldet wird, sei es aus Scham, aus Unwissenheit oder weil er schlicht unbemerkt bleibt.

Für ein KMU ist die genaue Statistik ohnehin zweitrangig. Entscheidend ist der Mechanismus dahinter: Automatisierte Massenangriffe unterscheiden nicht nach Unternehmensgröße. Sie fragen nur, ob eine Tür offen steht. Der Bäcker mit der schlecht gewarteten Website und der veralteten Kassensoftware ist für einen Scanner das gleiche lohnende Ziel wie der Mittelständler mit dem ungepatchten Server. Das Schlagwort Cyber Angriff aktuell beschreibt deshalb keinen einzelnen Vorfall, sondern einen Dauerzustand.

Was ist zu tun bei einem Cyberangriff? Die ersten Stunden

Wenn der Verdacht besteht, dass ein Angriff läuft, entscheiden die ersten Stunden über das Ausmaß. Das Problem: Wer erst im Ernstfall anfängt zu überlegen, verliert genau die Zeit, die zählt. Deshalb gehört der folgende Ablauf in einen Notfallplan, den man in Ruhe vorher schreibt, nicht in Panik nachts um drei.

Zeitfenster	Was zu tun ist	Was man unbedingt lassen sollte
Sofort (0–1 h)	Betroffene Systeme vom Netz trennen (Kabel ziehen, WLAN aus), aber nicht ausschalten. Notfallteam alarmieren.	Nicht herunterfahren (löscht flüchtige Spuren), nicht eigenmächtig Dateien löschen.
Erste Stunden	Vorfall dokumentieren (was, wann, welche Systeme). Zugangsdaten betroffener Konten sperren. Backups schützen und vom Netz nehmen.	Nicht vorschnell Lösegeld zahlen, nicht mit den Angreifern verhandeln ohne Plan.
Erster Tag	Umfang eingrenzen: Welche Daten, welche Systeme? Externe Hilfe (Incident Response) hinzuziehen. Prüfen, ob personenbezogene Daten betroffen sind.	Nicht so tun, als sei nichts gewesen. Ein vertuschter Datenabfluss wird teurer.
Innerhalb 72 h	Bei Betroffenheit personenbezogener Daten: Meldung an die zuständige Datenschutzbehörde (DSGVO-Frist). Ggf. Betroffene informieren.	Frist nicht verstreichen lassen, das ist eigenständig bußgeldbewehrt.

Ein paar Punkte verdienen Nachdruck. Trennen statt ausschalten: Wer ein befallenes System einfach abschaltet, vernichtet Beweise im Arbeitsspeicher, die für die Aufklärung wertvoll sind. Nicht zahlen: Das BSI rät konsequent von Lösegeldzahlungen ab, weil sie weder die Daten zuverlässig zurückbringen noch verhindern, dass eine Kopie doch veröffentlicht wird, und weil jede Zahlung das Geschäftsmodell am Leben hält. Backups sofort schützen: Moderne Ransomware sucht gezielt nach erreichbaren Sicherungen, um sie mitzuverschlüsseln. Ein Backup, das im selben Netz hängt, ist im Ernstfall oft schon verloren.

Cyberangriff auf Unternehmen: Warum gerade KMU im Visier stehen

Es hält sich hartnäckig die Vorstellung, kleine und mittlere Betriebe seien “zu unwichtig” für einen Angriff. Dieser Gedanke ist gefährlich, weil er auf einem Missverständnis beruht: Er unterstellt, jemand müsse sich das Unternehmen erst aussuchen. Bei automatisierten Angriffen entfällt genau diese Auswahl.

Tatsächlich stehen KMU aus mehreren Gründen besonders im Fokus eines Cyberangriffs auf Unternehmen:

• Weniger Schutz, gleiche Angriffsfläche. Ein kleiner Betrieb hat dieselben Server, Postfächer und Fernzugänge wie ein großer, aber selten ein eigenes Sicherheitsteam. Das Verhältnis von Angriffsfläche zu Verteidigung ist ungünstig.
• Attraktiver Zwischenschritt. Über einen schlecht gesicherten Zulieferer gelangen Angreifer manchmal an dessen größere Kunden. Der kleine Betrieb ist dann nicht das Endziel, sondern das Sprungbrett.
• Schmerzhafte Abhängigkeit. Fällt bei einem Kleinunternehmen die IT aus, steht oft der gesamte Betrieb. Diese Abhängigkeit macht Erpressung wirksam, weil der Druck, schnell wieder arbeiten zu können, enorm ist.

Die Konsequenz ist nicht Alarmismus, sondern Nüchternheit. Ein KMU muss sich nicht gegen einen geheimdienstlichen Spezialangriff wappnen. Es muss die günstigen offenen Türen schließen, auf die die automatisierte Masse zielt. Das ist machbar, und es ist deutlich billiger als jeder ernsthafte Vorfall.

Wie Sie sich vor einem Cyberangriff schützen: der Fahrplan für KMU

Jetzt zum Teil, der zählt. Die Maßnahmen gegen die realistische Bedrohung sind bekannt, erprobt und in fast jedem Betrieb umsetzbar. Keine davon setzt ein großes Budget voraus, wohl aber Verbindlichkeit: eine feste Zuständigkeit und einen Ablauf, auf den Verlass ist.

1. Software aktuell halten. Der wirksamste einzelne Hebel. Die überwältigende Mehrheit erfolgreicher Angriffe nutzt Lücken, für die längst ein Patch bereitliegt. Ein fester Rhythmus für Updates, kritische Sicherheitsupdates beschleunigt, schließt genau dieses Einfallstor. Wie regelmäßig aus einer bekannten, aber liegengebliebenen Lücke ein Millionenschaden wird, zeigt unser Beitrag zur IT-Sicherheitslücke an den Fällen WannaCry, Log4Shell und MOVEit.

2. Mehr-Faktor-Authentisierung überall. Ein gestohlenes Passwort ist wertlos, wenn zum Anmelden noch ein zweiter Faktor fehlt. MFA gehört auf jeden Fernzugang, jedes Postfach, jeden administrativen Zugang. Diese eine Maßnahme fängt einen Großteil der Phishing-Folgen ab, weil das erbeutete Passwort allein die Tür nicht mehr öffnet.

3. Menschen sensibilisieren. Da viele Angriffe über Phishing beginnen, ist geschultes Personal ein echter Schutzwall. Es geht nicht um jährliche Pflichtvideos, sondern um konkrete Beispiele: Wie sieht eine gefälschte Rechnung aus? Woran erkennt man den Chef-Betrug? Wer im Zweifel lieber einmal zu viel nachfragt, ist Teil der Verteidigung.

4. Rechte minimieren. Keine Anwendung braucht Vollrechte, kein Bürorechner Zugriff auf alles. Läuft eine App als Administrator und wird übernommen, gehört dem Angreifer sofort der ganze Server. Genau dieser Fehler, eine Anwendung mit Vollrechten, hat in unserem dokumentierten Fall aus einem App-Problem eine komplette Server-Übernahme gemacht.

5. Netzwerke segmentieren. Man muss davon ausgehen, dass irgendwann ein System fällt. Ob das ein begrenzter Zwischenfall bleibt oder das ganze Unternehmen lahmlegt, entscheidet die Segmentierung. Kann der befallene Rechner die Buchhaltung, die Dateiablage und die Backups erreichen, kann der Angreifer es auch.

6. Überwachen und Backups vorhalten. Der Unterschied zwischen einem Vorfall, der in Minuten auffällt, und einem, der tagelang läuft, ist gewaltig. Grundlegendes Monitoring, ungewöhnliche Last, unbekannte Prozesse, unerwarteter ausgehender Verkehr, verkürzt dieses Zeitfenster drastisch. Und getestete Backups, getrennt vom Netz aufbewahrt, sind gegen Ransomware der Unterschied zwischen Wiederanlauf und Existenzfrage.

7. Von außen prüfen lassen. Die eigene Angriffsfläche sieht man von innen schlecht. Ein Security-Audit beantwortet die Fragen, die zählen: Was ist von außen erreichbar? Welche bekannten Lücken stehen offen? Und würde ein einzelner Fehler reichen, um alles zu verlieren? Wer den laufenden Betrieb nicht selbst absichern will oder kann, gibt Patchen, Härten und Überwachen an ein Managed Hosting ab, wo diese Aufgaben Teil des Betriebs sind statt einer Sache, an die jemand denken muss.

Cyberangriff und BSI: Wer warnt, wer hilft?

In Deutschland gibt es eine zentrale Anlaufstelle, die vielen KMU zu wenig bekannt ist: das BSI. Drei seiner Angebote sind für kleine und mittlere Unternehmen unmittelbar nützlich.

• Warnmeldungen und CERT-Bund. Das BSI veröffentlicht laufend Warnungen zu aktuellen Lücken und Angriffswellen, kostenlos abonnierbar und verständlich formuliert. Wer sie liest, erfährt oft Tage vor der ersten Angriffswelle, dass eine kritische Lücke die eigene Software betrifft.
• IT-Grundschutz. Ein frei verfügbarer, praxiserprobter Rahmen für den systematischen Aufbau der eigenen Sicherheit. Für den Einstieg muss niemand das ganze Werk umsetzen, schon die Basis deckt die häufigsten Versäumnisse ab.
• Lageberichte und Handlungsempfehlungen. Der jährliche Lagebericht zur IT-Sicherheit gibt ein realistisches Bild davon, welche Bedrohungen tatsächlich zählen, jenseits von Schlagzeilen.

Das BSI ersetzt keine eigene Sicherheitsarbeit. Aber es liefert genau das, was vielen kleinen Betrieben fehlt: verlässliche, herstellerunabhängige Information darüber, was gerade wirklich wichtig ist. Ähnliche Stellen gibt es international, etwa die CISA in den USA oder das NCSC in Großbritannien.

Fazit: Vorbereitung schlägt Perfektion

Ein Cyberangriff ist für die meisten Unternehmen kein fernes Katastrophenszenario, sondern ein Dauerrisiko im Hintergrund, so alltäglich wie das Wetter. Genau deshalb hilft weder Panik noch Verdrängung, sondern nüchterne Vorbereitung.

Die entscheidende Einsicht zieht sich durch jeden ernsthaften Vorfall, den wir gesehen haben: Der Unterschied zwischen einem Schreckmoment und einer Existenzkrise liegt selten in der Cleverness des Angreifers. Er liegt darin, ob ein Unternehmen vorbereitet war. Ob es seine Systeme kannte, seine Software aktuell hielt, einen zweiten Faktor verlangte, seine Rechte begrenzte und einen Notfallplan in der Schublade hatte, bevor er gebraucht wurde. Nichts davon ist spektakulär, alles davon ist im Rahmen eines KMU machbar, und zusammen fangen diese Maßnahmen den weitaus größten Teil der realistischen Angriffe ab.

Sie müssen kein Sicherheitsexperte werden. Aber Sie sollten wissen, wo Ihre Türen stehen, und dafür sorgen, dass keine davon offen bleibt. Der ehrlichste erste Schritt ist ein Blick von außen: Was ist erreichbar, was ist verwundbar, und würde ein einzelner Fehler reichen? Genau diese Fragen beantwortet ein Security-Audit, bevor es ein Angreifer für Sie tut.