Ransomware, Datenlecks, kompromittierte Zugangsdaten: Was viele Inhaber kleinerer Betriebe noch immer als Problem großer Konzerne betrachten, landet zunehmend auch in mittelständischen Unternehmen, Handwerksbetrieben und Kommunalverwaltungen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) verzeichnete allein im Jahr 2024 mehr als 800 gemeldete Ransomware-Vorfälle bei Unternehmen unter 250 Mitarbeitern. Die tatsächliche Dunkelziffer dürfte deutlich höher liegen.
Für Betriebe im Landkreis Obertiefenberg ist das keine abstrakte Statistik. Angriffe auf lokale Unternehmen laufen in der Regel vollautomatisiert ab. Angreifer suchen nicht gezielt nach dem Metallbaubetrieb in Obertiefenberg, sie suchen nach offenen Schwachstellen und finden sie dort, wo niemand nachgebessert hat.
Warum 2026 ein kritisches Jahr ist
Mit dem vollständigen Inkrafttreten der NIS-2-Richtlinie auf europäischer Ebene und der nationalen Umsetzung durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) gelten seit Anfang 2025 für deutlich mehr Unternehmen verbindliche Mindestanforderungen an die IT-Sicherheit. Betroffen sind unter anderem Betriebe aus den Bereichen Energie, Transport, Gesundheit, Abwasser und digitale Infrastruktur mit mehr als 50 Mitarbeitern oder einem Jahresumsatz über 10 Millionen Euro.
Wer in diese Kategorien fällt und bisher wenig unternommen hat, riskiert empfindliche Bußgelder. Doch auch wer formal nicht unter NIS-2 fällt, sollte die gestiegenen Anforderungen als Orientierungsrahmen nutzen. Kunden, Auftraggeber und Versicherungen fragen zunehmend nach Nachweisen. Wer keine liefern kann, verliert Aufträge oder sitzt im Schadensfall auf dem Schaden allein.
Die häufigsten Angriffswege im Mittelstand
Technische Komplexität ist beim Einstieg in ein Unternehmensnetzwerk selten nötig. Die meisten erfolgreichen Angriffe setzen an drei Punkten an:
- Phishing-Mails: Gefälschte E-Mails, die Mitarbeitende zur Eingabe von Zugangsdaten verleiten oder zum Öffnen präparierter Anhänge. Im ersten Halbjahr 2024 stammten laut BSI rund 68 Prozent aller Erstzugriffe auf Unternehmensnetzwerke aus dieser Kategorie.
- Veraltete Software: Ungepatchte Systeme, insbesondere bei Fernzugriffslösungen (VPN-Gateways, Remote-Desktop-Dienste), bieten bekannte Einfallstore. Viele KMU verzögern Updates aus Angst vor Betriebsunterbrechungen.
- Schwache oder wiederverwendete Passwörter: Ein Passwort, das im Jahr 2022 bei einem anderen Dienst gestohlen wurde, funktioniert oft noch beim Unternehmens-E-Mail-Account. Credential-Stuffing-Angriffe laufen vollautomatisiert in großem Maßstab.
Hinzu kommen Insider-Risiken, also versehentliche Datenweitergabe durch Mitarbeitende, sowie Angriffe über schlecht gesicherte Dienstleister und IT-Partner.
Was im Ernstfall zu tun ist
Trotz aller Vorsorge kann ein Vorfall eintreten. Wer dann planlos agiert, verschlimmert die Lage. Ein Grundprinzip lautet: nicht sofort alles abschalten. Wer ein kompromittiertes System ohne Sicherung der flüchtigen Daten (RAM-Inhalte, aktive Prozesse) herunterfährt, vernichtet möglicherweise wichtige Beweise für die spätere Analyse.
Die erste Stunde entscheidet darüber, ob ein Vorfall eingedämmt oder ausgeweitet wird. Empfehlenswert ist ein vorab definierter Notfallplan mit klaren Zuständigkeiten: Wer informiert die Geschäftsführung? Wer isoliert betroffene Systeme vom Netzwerk? Wer nimmt Kontakt zum IT-Dienstleister auf? Und ab welchem Schwellenwert wird die zuständige Behörde informiert?
Bei der forensischen Aufarbeitung eines Vorfalls kommen spezialisierte Stellen zum Einsatz. Sachverständige IT-Forensik sichert digitale Spuren gerichtsfest, rekonstruiert den Angriffsweg und liefert die Grundlage für Versicherungsfälle, behördliche Meldungen und mögliche Strafanzeigen. Betriebe, die das intern versuchen, riskieren, verwertbare Beweise zu zerstören.
Meldepflichten existieren in mehreren Rechtsrahmen gleichzeitig: Die DSGVO verlangt bei Datenpannen mit Risiko für betroffene Personen eine Meldung an die zuständige Datenschutzaufsichtsbehörde innerhalb von 72 Stunden. NIS-2-pflichtige Unternehmen müssen erhebliche Vorfälle zusätzlich beim BSI melden, zunächst als Frühwarnung innerhalb von 24 Stunden.
Konkrete Maßnahmen für Betriebe im Landkreis
Sicherheit muss kein großes Budget voraussetzen. Einige Maßnahmen mit hohem Wirkungsgrad lassen sich ohne externe Berater umsetzen:
- Multi-Faktor-Authentifizierung (MFA) für alle externen Zugänge aktivieren. Das allein verhindert den Großteil aller passwortbasierten Angriffe.
- Offline-Backups einrichten, die nicht über dasselbe Netzwerk erreichbar sind wie die Produktivsysteme. Ransomware verschlüsselt auch angebundene Netzlaufwerke.
- Patch-Management priorisieren: Sicherheitsupdates für Betriebssysteme, Browser und VPN-Lösungen sollten innerhalb von 72 Stunden eingespielt werden.
- Mitarbeiterschulung: Einmal jährlich reicht nicht. Simulierte Phishing-Mails, sogenannte Phishing-Simulationen, kosten wenig und erhöhen die Aufmerksamkeit nachweisbar.
- Inventarisierung: Wer nicht weiß, welche Geräte und Dienste im Netz aktiv sind, kann sie nicht schützen. Ein einfaches Asset-Inventar gehört zur Grundausstattung.
Versicherungsschutz: Lücken kennen
Viele Betriebe glauben, ihre bestehende Haftpflicht- oder Inhaltsversicherung decke Cyberschäden ab. Das ist meistens falsch. Cyberversicherungen sind eigenständige Produkte mit eigenen Ausschlusstatbeständen. Häufig ausgeschlossen: Schäden durch Krieg oder staatliche Akteure, Schäden durch unzureichende Grundschutzmaßnahmen sowie Vorfälle, die bereits vor Versicherungsabschluss begonnen haben.
Wer eine Cyberversicherung abschließt, sollte das Kleingedruckte genau lesen und sich vom Versicherer schriftlich bestätigen lassen, welche Basismaßnahmen Voraussetzung für den Versicherungsschutz sind. Fehlt zum Beispiel MFA auf kritischen Systemen, kann der Versicherer die Leistung verweigern.
Anlaufstellen für Betriebe in der Region
Wer Unterstützung sucht, muss nicht sofort einen teuren Berater engagieren. Die Industrie- und Handelskammer sowie die Handwerkskammer bieten in Bayern regelmäßig kostenlose oder geförderte Informationsveranstaltungen zu IT-Sicherheit an. Das BSI stellt mit dem IT-Grundschutz-Kompendium ein frei verfügbares Rahmenwerk bereit, das auch für kleinere Betriebe skalierbar ist.
Für den Ernstfall gilt: Ein Vorfall ist kein Versagen, sondern eine Realität, auf die man vorbereitet sein kann. Betriebe, die jetzt einen Notfallplan entwickeln, dokumentieren und einmal im Jahr testen, stehen 2026 deutlich besser da als jene, die auf das Ausbleiben eines Angriffs hoffen.
