Wie Angriffe auf kleine Betriebe wirklich ablaufen

„Für uns interessiert sich doch keiner.“ Diesen Satz hört man in kleinen Betrieben oft – und er ist einer der gefährlichsten Irrtümer der IT-Sicherheit. Angreifer suchen sich ihre Opfer heute selten gezielt aus. Sie arbeiten mit automatisierten Werkzeugen, die massenhaft E-Mails verschicken und rund um die Uhr das Internet nach verwundbaren Geräten absuchen. Wer eine offene Tür hat, wird gefunden – ob dort fünf oder fünfhundert Menschen arbeiten.

Die vier häufigsten Einfallstore

Die Lageberichte des Bundesamts für Sicherheit in der Informationstechnik (BSI) und die Erfahrung aus der Beratung zeigen immer wieder dieselben Wege, auf denen Angreifer in kleine Betriebe gelangen:

• Gestohlene Zugangsdaten: Jemand gibt sein Passwort auf einer gefälschten Anmeldeseite ein, oder ein Passwort, das auch privat genutzt wird, taucht nach einem Datenleck bei einem anderen Dienst auf.
• Betrügerische E-Mails: Eine gefälschte Rechnung, eine angebliche Anweisung der Chefin oder geänderte Kontodaten eines Lieferanten sollen zu einer Überweisung verleiten.
• Veraltete Software: Ein Router, ein Server oder ein Programm ohne aktuelle Updates hat eine bekannte Lücke, die Angreifer automatisiert ausnutzen.
• Offene Fernzugänge: Ein Zugang für Homeoffice oder Fernwartung ist direkt aus dem Internet erreichbar und nur mit einem Passwort geschützt.

Was nach dem Einbruch passiert

Der Einbruch selbst richtet selten den großen Schaden an. Teuer wird, was danach geschieht. Häufig ist das Ziel Erpressung mit sogenannter Ransomware: Schadsoftware, die Daten und Sicherungen verschlüsselt und erst gegen Lösegeld wieder freigeben soll. Oft drohen die Täter zusätzlich damit, gestohlene Kunden- oder Personaldaten zu veröffentlichen. Andere lesen wochenlang unbemerkt im Postfach mit und schlagen zu, wenn eine große Zahlung ansteht.

Praxisbeispiel: Ein ganz normaler Montag

Ein Sanitär- und Heizungsbetrieb mit 16 Mitarbeitenden im Landkreis Rastatt. Am Montagmorgen erhält die Büroleiterin, Frau S., eine E-Mail, die wie eine Benachrichtigung ihres Cloud-Speichers aussieht: Ein Kunde habe ein Dokument mit ihr geteilt. Sie klickt, sieht eine vertraute Anmeldeseite und gibt ihr Passwort ein. Das Dokument öffnet sich nicht. Sie denkt sich nichts dabei.

Am Mittwoch melden sich die Angreifer mit ihren Zugangsdaten an. Weil das Postfach nur mit einem Passwort geschützt ist, gelingt das ohne Hürde. Im Postfach finden sie eine zwei Jahre alte Mail des IT-Dienstleisters mit den Zugangsdaten für die Fernwartung des Servers.

In der Nacht auf Sonntag startet die Verschlüsselung. Server, Buchhaltung und die Sicherung auf dem dauerhaft verbundenen Netzwerkspeicher sind betroffen. Am Montag steht der Betrieb still: keine Einsatzplanung, keine Angebote, keine Rechnungen.

Den Schaden hätten drei überschaubare Maßnahmen begrenzt: eine Mehrfaktor-Anmeldung für das Postfach, keine Zugangsdaten in E-Mails und eine Sicherungskopie, die vom Netzwerk getrennt ist. Genau diese Punkte behandelt der Kurs.

Warum sich Schutz trotzdem lohnt

Die meisten Angriffe auf kleine Betriebe sind nicht raffiniert, sondern setzen auf Gelegenheiten. Schon wenige Grundmaßnahmen erhöhen den Aufwand für Angreifer so stark, dass automatisierte Angriffe ins Leere laufen und Täter zum nächsten, leichteren Ziel weiterziehen.

Der Kurs folgt deshalb einer klaren Reihenfolge: zuerst die Zugänge, dann die Datensicherung, danach Menschen, Geräte und Netzwerk – und zum Schluss der Plan für den Tag, an dem trotzdem etwas passiert.

Das nehmen Sie mit

• Angriffe laufen meist automatisiert. Die Größe Ihres Betriebs schützt Sie nicht.
• Die vier häufigsten Einfallstore sind gestohlene Zugangsdaten, Betrugsmails, veraltete Software und offene Fernzugänge.
• Der eigentliche Schaden entsteht oft erst Tage später – durch Verschlüsselung, Datendiebstahl oder falsche Überweisungen.
• Wenige Grundmaßnahmen stoppen viele typische Angriffe bereits am Anfang.