Viele Angriffspfade lassen sich automatisiert suchen: öffentlich erreichbare Dienste, gestohlene Zugangsdaten und bekannte Schwachstellen. Diese Suche sortiert Ziele nicht zuverlässig nach Umsatz oder Mitarbeiterzahl. Auch ein kleiner Betrieb kann sichtbar werden, ohne zuvor gezielt ausgewählt worden zu sein.
Darum ist „Wir sind zu klein“ keine Schutzmaßnahme. Entscheidend ist, ob ein gefundener Zugang durch Mehrfaktor-Anmeldung, aktuelle Systeme und begrenzte Rechte gebremst wird und ob der Betrieb nach einem Vorfall aus einer getrennten Sicherung wiederherstellen kann.
Was die Statistik wirklich zeigt
87 Prozent der deutschen Unternehmen waren 2025 von Datendiebstahl, Spionage oder Sabotage betroffen, nach 81 Prozent im Vorjahr und 72 Prozent 2023 (Quelle: Bitkom Wirtschaftsschutz 2025).
Die Bitkom-Zahl stammt aus einer repräsentativen Unternehmensbefragung und umfasst digitale wie analoge Vorfälle. Sie ist kein Register aller Cyberangriffe und liefert keine individuelle Risikoprognose für einen einzelnen Betrieb. Genau diese Grenze gehört zu einer seriösen Einordnung dazu.
Warum Größe kein Schutzfilter ist
Ein automatisierter Scan kann viele erreichbare Systeme prüfen. Gestohlene Zugangsdaten lassen sich ebenfalls in großer Zahl testen. Das BSI empfiehlt Unternehmen deshalb, ihre Systeme zu inventarisieren, Sicherheitsupdates zeitnah einzuspielen und Beschäftigte regelmäßig zu sensibilisieren. Diese Aufgaben brauchen einen Namen und einen festen Rhythmus, auch ohne eigene IT-Abteilung.
Was der Südwestfalen-IT-Fall zeigt
Wie der Mechanismus in der Realität aussieht, zeigt der Angriff auf Südwestfalen-IT vom 29. Oktober 2023. Laut veröffentlichtem Forensik-Bericht war eine damals noch unbekannte Schwachstelle in einer VPN-Lösung der plausible Einstiegspfad. Für diese Schwachstelle verlangte das Produkt keine Mehrfaktor-Authentifizierung. Die Südwestfalen-IT versorgte zu diesem Zeitpunkt 72 Mitgliedskommunen; zahlreiche Verwaltungsleistungen waren beeinträchtigt.
Der Fall zeigt gerade, warum ein einzelner Schutzmechanismus nicht reicht: Auch gepflegte Produkte können eine noch unbekannte Schwachstelle enthalten. Mehrfaktor-Anmeldung, Segmentierung, getestete Wiederherstellung und ein geübter Notfallplan müssen sich gegenseitig absichern.
Drei Basiskontrollen für den Anfang
Für einen ersten Arbeitsplan sind drei Kontrollen besonders konkret. Die Auswahl ist keine allgemeingültige Rangliste und ersetzt keine Risikoanalyse:
- Mehrfaktor-Authentifizierung (MFA): ein zweiter Faktor neben dem Passwort, etwa per App. Microsoft beziffert die Risikoreduktion bei Kontokompromittierungen in eigenen Untersuchungen auf mehr als 99 Prozent. Gegen Freigabebetrug oder gestohlene Sitzungstoken wirkt MFA nicht allein.
- Getrennte und getestete Backups: Eine vom produktiven System getrennte Sicherung schafft einen Wiederherstellungsweg. Die Wiederherstellung muss geprobt sein; ein möglicher Datenabfluss bleibt davon unberührt.
- Patch-Management: verfügbare Sicherheitsupdates nach Risiko priorisieren, testen und zeitnah einspielen. So bleibt eine bekannte und bereits geschlossene Lücke nicht unnötig offen.
Diese drei Kontrollen decken unterschiedliche Angriffspfade ab, bieten aber keinen vollständigen Schutz. Weitere Maßnahmen ergeben sich aus Systemlandschaft, Schutzbedarf und den Abhängigkeiten des Betriebs.
Förderung und Pflicht
Das deutsche NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025. Ob ein Betrieb direkt erfasst ist, hängt von § 28 BSIG, seiner Einrichtungsart und den gesetzlichen Größenmerkmalen oder Sonderfällen ab. Nicht direkt erfasste Zulieferer können zusätzlich vertragliche Sicherheitsanforderungen ihrer Kunden erhalten. Die erste Prüfung gehört deshalb an den BSI-Entscheidungsbaum und bei Zweifeln in fachkundige Rechtsberatung.
Förderprogramme, Antragsfenster und förderfähige Leistungen ändern sich. Prüfen Sie deshalb die aktuelle Förderübersicht und anschließend die Originalangaben der zuständigen Förderstelle.
Mit drei Kontrollen anfangen
MFA, getrennte Backups und Patch-Management lassen sich als drei konkrete Zuständigkeiten prüfen. Der IT-Sicherheitscheck macht daraus in fünf Fragen eine erste Arbeitsliste. Ein technischer Befund entsteht dabei ausdrücklich nicht.