IT-Sicherheit: Warum gerade kleine Firmen von Cyberangriffen betroffen sind

Die IT-Sicherheit kleiner Unternehmen in Deutschland

Der Branchenverband der deutschen Informations- und Telekommunikationsbranche Bitkom beziffert den jährlichen Schaden für die deutsche Wirtschaft durch Diebstahl, Spionage und Sabotage in seiner Studie „Wirtschaftsschutz 2025“ auf 289,2 Milliarden Euro. Allein 202,4 Milliarden Euro davon entfallen auf Cyberangriffe. Rund 87 % der befragten Unternehmen waren im Untersuchungszeitraum betroffen.

Dass sich diese Angriffe keineswegs auf Konzerne konzentrieren, macht der Lagebericht des Bundesamts für Sicherheit in der Informationstechnik (BSI) zur IT-Sicherheit in Deutschland für das Jahr 2025 deutlich. Demnach richteten sich rund 80 % der gemeldeten Angriffe gegen kleine und mittlere Unternehmen. Das Bundeskriminalamt (BKA) verzeichnete in seinem Bundeslagebild Cybercrime für 2025 zudem 1.041 angezeigte Ransomware-Angriffe, das sind 10 % mehr als im Vorjahr. Mit 90 % bilden auch hier kleine und mittlere Unternehmen die am stärksten betroffene Gruppe.

Diese Zahlen widerlegen den Mythos vom uninteressanten Kleinbetrieb eindrücklich. Warum also geraten kleine Unternehmen so häufig ins Visier?

Was kleine Unternehmen für Cyberangriffe so attraktiv macht

Der größte Teil der Angriffe verläuft automatisiert

Schadprogramme und Botnetze durchsuchen das Internet ununterbrochen nach verwundbaren Systemen, nach offenen Ports, veralteter Software oder schwachen Zugangsdaten. Ob dahinter ein internationaler Konzern oder ein Handwerksbetrieb mit zwölf Beschäftigten steht, ist für diese erste Phase unerheblich. Getroffen wird, wer eine Lücke offen lässt. Dabei ist eine Verlagerung weg von wenigen aufwendigen Attacken hin zu einer Vielzahl kleinerer, leicht umsetzbarer Angriffe zu beobachten.

Das schwächste Glied in der Lieferkette

Ihre eigene Rolle im größeren Gefüge der Lieferkette wird von kleinen Firmen oft falsch eingeschätzt. Zulieferer, Dienstleister oder spezialisierte Handwerksbetriebe sind heute digital eng mit ihren Partnern verbunden. Für Angreifer wird dieses schwächste Glied zum Einfallstor, über das sie die eigentlich interessanten Ziele weiter oben in der Kette erreichen. Die eigene Größe schützt Sie also nicht, sondern kann Sie im Gegenteil zum bevorzugten Einstiegspunkt machen.

Cybercrime-as-a-Service senkt die Einstiegshürde

Beim Geschäftsmodell „Cybercrime-as-a-Service“ werden Schadsoftware und komplette Angriffsdienstleistungen wie handelsübliche Produkte angeboten. Angriffe erfordern damit weder tiefes technisches Wissen noch große Investitionen. Das senkt die Hemmschwelle erheblich und erhöht die Zahl potenzieller Angreifer zulasten jener Unternehmen, die sich bislang für zu unbedeutend hielten.

Die Schutzlücke: Gefühlte vs. tatsächliche Sicherheit

Laut BSI erfüllen kleine und mittlere Unternehmen im Durchschnitt nur etwa 56 % der grundlegenden Anforderungen an IT-Sicherheit und überschätzen ihr eigenes Schutzniveau dabei regelmäßig. Angreifer nutzen diese Lücke zwischen gefühlter und tatsächlicher Absicherung. Wähnen sich Unternehmen sicher, ohne es zu sein, unterlassen sie die Maßnahmen, die es bräuchte, um Cyberrisiken abzuwehren und ihre Business Contintuity sicherzustellen.

Die häufigsten Einfallstore für Cybercrime

In der Praxis sind es vor allem folgende wiederkehrende Muster, die Cyberkriminelle nutzen, um Schaden in kleinen Unternehmen anzurichten:

Warum kleine Firmen der Schaden härter trifft

Die Angst vor Lösegeldforderungen überstrahlt oft die Konsequenzen aus Cyberangriffen, die weitaus größere Schäden nach sich ziehen. Nach einem Ransomware-Angriff steht in vielen Fällen nicht nur die IT still, sondern der gesamte Betrieb: Aufträge lassen sich nicht bearbeiten, Rechnungen nicht schreiben und Kunden nicht bedienen. Jeder Tag Ausfall kostet unmittelbar Umsatz, und anders als ein Großkonzern verfügt ein kleiner Betrieb selten über die Rücklagen, um eine längere Unterbrechung zu überbrücken.

Zu den Ausfällen treten die Kosten der Wiederherstellung, mögliche Bußgelder und Meldepflichten beim Verlust personenbezogener Daten nach der DSGVO sowie der schwer zu beziffernde Vertrauensverlust bei Kunden und Partnern.

Ein Großkonzern kann einen erfolgreichen Angriff leichter abfedern. Kleine Unternehmen hingegen werden davon besonders hart getroffen. Für sie ist ein schwerer Cybervorfall deshalb eine unmittelbare Bedrohung ihrer Geschäftsgrundlage. Genau hier zeigt sich, warum Business Continuity – also die Fähigkeit, den Geschäftsbetrieb auch im Ernstfall aufrechtzuerhalten – für kleine Unternehmen eine überlebenswichtige Größe ist.

Handlungsfähig bleiben: Kommunikation als unterschätzter Notfallfaktor

Ob ein Vorfall zur überstandenen Störung oder zur ausgewachsenen Krise wird, entscheidet sich häufig in den ersten Stunden – und damit an der Fähigkeit zu kommunizieren.

Gerade dann, wenn schnelles und koordiniertes Handeln zählt, fällt oft genau das Werkzeug aus, auf das man sich sonst verlässt. Sind die primären Kommunikationskanäle kompromittiert, stehen E-Mail-Postfächer und Tools für Videokonferenzen nicht mehr zur Verfügung. Wissen Sie in diesem Moment nicht, wie Sie Ihre Mitarbeitenden erreichen, verlieren Sie wertvolle Zeit. Dabei muss im Ernstfall gleich in mehrere Richtungen kommuniziert werden:

• Die Belegschaft braucht klare Anweisungen und neue Kommunikationskanäle.
• Kunden und Geschäftspartner erwarten offene und verlässliche Informationen, ansonsten droht ein nachhaltiger und existenzbedrohender Vertrauensverlust.
• Behörden gegenüber bestehen rechtliche Pflichten, so ist etwa ein Datenschutzvorfall nach der DSGVO binnen 72 Stunden zu melden.

Damit diese Kommunikation überhaupt gelingt, muss sie unabhängig von den betroffenen Systemen funktionieren. Kontaktlisten, Notfallnummern und ein abgestimmter Kommunikationsplan gehören deshalb an einen Ort, der auch dann erreichbar ist, wenn die primären Kanäle stillstehen. Eine belastbare Kommunikationsfähigkeit im Notfall ist die tragende Säule von Business Continuity.

IT-Sicherheit für kleine Unternehmen: Ihr Maßnahmenplan

So ernst die Lage ist, so wenig gibt es Grund zur Resignation: Da die meisten Angriffe automatisiert nach der bequemsten Gelegenheit suchen, verschiebt schon ein solides Grundschutzniveau das Verhältnis von Aufwand und Nutzen zuungunsten der Angreifer. Ein Unternehmen muss keineswegs die Ressourcen eines Konzerns aufbieten, um deutlich schwerer angreifbar zu werden. Wirksame IT-Sicherheit für kleine Unternehmen beginnt nicht bei teuren Speziallösungen, sondern bei einer konsequenten Umsetzung der Grundlagen:

Sofort umsetzbar:

• Aktivieren Sie die Mehr-Faktor-Anmeldung (MFA) für alle wichtigen Zugänge: Sie zählt zu den wirksamsten Maßnahmen und ist in vielen Systemen bereits enthalten.
• Führen Sie ein Passwort-Management ein: Es löst schwache und mehrfach genutzte Kennwörter ab.
• Halten Sie Ihre Systeme aktuell: Spielen Sie ausstehende Sicherheitsupdates ein und aktivieren Sie automatische Updates, um gegen neue Gefahren gewappnet zu sein.

Kurzfristig:

• Richten Sie regelmäßige, getrennt gespeicherte Backups ein und testen Sie die Wiederherstellung für den Ernstfall.
• Überprüfen Sie Fernzugänge und schließen Sie nicht mehr benötigte Zugänge konsequent.
• Sensibilisieren Sie Ihre Mitarbeitenden für Phishing und für die durch den Einsatz von Künstlicher Intelligenz gestiegenen Gefahren von E-Mail-Betrug.

Strukturell verankern:

• Erstellen Sie einen klaren Notfallplan und ein tragfähiges Konzept für Business Continuity und testen Sie die Maßnahmen regelmäßig, um bei Ausfällen handlungsfähig zu bleiben. Eine praktische Hilfestellung dafür bietet der BSI Standard 200-4, der besonders kleine Unternehmen damit unterstützt, ein belastbares Business Continuity Management (BCM) ressourcenschonend aufzubauen und zu etablieren.
• Bereiten Sie vom Primärsystem unabhängige Kommunikationswege vor, die im Ernstfall sofort verfügbar sind.
• Verstehen Sie IT-Sicherheit als laufenden Prozess und als Aufgabe der Geschäftsführung.

Fazit

Die Lagebilder von BSI, BKA und Bitkom zeichnen ein übereinstimmendes Bild: Cyberkriminelle suchen nicht das größte, sondern das am einfachsten zu treffende Unternehmen. Gerade kleinere Unternehmen stehen dabei im Fokus. Deshalb ist es so wichtig, die Grundlagen der IT-Sicherheit für kleine Unternehmen konsequent umzusetzen und Business Continuity ernst zu nehmen.