Zu klein für Hacker? Warum gerade KMU im Visier stehen
„Warum sollten Hacker ausgerechnet unser Unternehmen angreifen? Wir sind doch viel zu klein.“
Diesen Satz hören wir häufig. Doch Cyberangriffe auf KMU sind längst keine Ausnahme. Angreifer suchen meist nicht nach bekannten Firmennamen. Sie suchen nach ungeschützten Konten, fehlenden Updates und leicht erreichbaren Systemen.
Cyberangriffe funktionieren jedoch meist anders.
Viele Angreifer suchen nicht gezielt nach einem bestimmten Unternehmen. Automatisierte Programme durchsuchen das Internet nach offenen Zugängen, veralteter Software und schlecht geschützten Benutzerkonten. Gefunden wird nicht unbedingt das größte Unternehmen. Gefunden wird oft jenes mit der einfachsten Einstiegsmöglichkeit.
Genau deshalb sind Cyberangriffe auf KMU ein reales Geschäftsrisiko.
Eine österreichische Studie aus dem Jahr 2026 zeigt das deutlich. An der Befragung nahmen 1.396 Unternehmen teil. Jeder achte registrierte Cyberangriff war erfolgreich. Bei 40 Prozent der Angriffsfälle war unzureichendes Patch-Management ein Einfallstor.
Hacker interessieren sich nicht für Ihre Mitarbeiterzahl
Einbrecher fragen nicht zuerst nach dem Jahresumsatz eines Gebäudes. Sie prüfen Türen, Fenster und sichtbare Schwachstellen.
Im digitalen Bereich läuft es ähnlich.
Angreifer suchen beispielsweise nach:
- ungeschützten Fernzugängen
- bekannten Sicherheitslücken
- wiederverwendeten Passwörtern
- fehlender Mehrfaktor-Authentifizierung
- schlecht geschützten E-Mail-Konten
- nicht überwachten Computern und Servern
Die Wirtschaftskammer weist darauf hin, dass automatisierte Angriffe zunehmend auch kleine und mittlere Betriebe treffen. Teilweise werden dabei bereits KI-gestützte Methoden eingesetzt.
Für den Angreifer spielt es zunächst keine Rolle, ob ein Unternehmen acht oder achthundert Beschäftigte hat. Ein erreichbarer Zugang reicht aus.
Warum kleinere Unternehmen interessant sind
Kleine und mittlere Unternehmen besitzen Daten, Systeme und Zugänge, die sich für Kriminelle nutzen lassen.
Dazu gehören Kundendaten, Rechnungen, Bankverbindungen, E-Mail-Konten und Zugangsdaten. Auch Produktionsdaten, Verträge und interne Preislisten können wertvoll sein.
Manchmal geht es gar nicht um die Daten selbst. Ein kompromittiertes E-Mail-Konto kann für weitere Betrugsversuche verwendet werden. Ein schlecht geschütztes Unternehmen kann auch als Einstieg zu Kunden, Lieferanten oder größeren Geschäftspartnern dienen.
Kleine Betriebe haben gleichzeitig häufig weniger Zeit und Personal für IT-Sicherheit. Genau diese Kombination macht sie attraktiv: wertvolle Daten, aber oft weniger Schutz und Kontrolle. Auch die US-Cybersicherheitsbehörde CISA betont, dass kein Unternehmen zu klein für einen Angriff ist.
Ein typischer Angriff beginnt unspektakulär
Stellen Sie sich folgende Situation vor:
Am Montagmorgen erhält eine Mitarbeiterin eine E-Mail eines bekannten Lieferanten. Die Nachricht wirkt glaubwürdig. Im Anhang befindet sich angeblich eine offene Rechnung.
Die Mitarbeiterin öffnet den Link und meldet sich mit ihrem Microsoft-365-Konto an. Die Anmeldeseite war jedoch gefälscht. Benutzername und Passwort landen beim Angreifer.
Fehlt eine Mehrfaktor-Authentifizierung, kann sich der Täter anmelden. Er liest bestehende Nachrichten und beobachtet laufende Geschäftsvorgänge. Später verändert er eine Bankverbindung auf einer Rechnung.
Der Angriff verursacht möglicherweise keine technische Störung. Kein Computer wird sichtbar verschlüsselt. Trotzdem kann ein erheblicher finanzieller Schaden entstehen.
Andere Angriffe bleiben ebenfalls lange unbemerkt. Täter können Daten kopieren, E-Mails weiterleiten oder zusätzliche Zugänge einrichten. Auffällig wird der Vorfall oft erst, wenn bereits ein Schaden entstanden ist.
„Wir haben einen Virenschutz“ reicht nicht aus
Ein Virenschutz ist wichtig. Er ist aber nur ein Teil der Absicherung.
Moderne Angriffe nutzen nicht ausschließlich klassische Schadprogramme. Häufig verwenden Kriminelle gültige Passwörter, täuschen Mitarbeiter oder nutzen bekannte Sicherheitslücken.
Ein wirksamer Schutz benötigt deshalb mehrere Ebenen:
Benutzerkonten absichern
Mehrfaktor-Authentifizierung sollte für alle wichtigen Zugänge aktiviert sein. Besonders relevant sind E-Mail, Cloud-Dienste, Fernzugänge und Administratorkonten.
Ein gestohlenes Passwort allein reicht dann nicht mehr für eine Anmeldung.
Aktualisierungen zuverlässig installieren
Sicherheitsupdates sollten nicht vom Zufall abhängen. Betriebssysteme, Programme, Browser, Firewalls und weitere Geräte benötigen regelmäßige Aktualisierungen.
Entscheidend ist nicht nur, dass Updates geplant sind. Es muss auch geprüft werden, ob sie tatsächlich installiert wurden.
Datensicherungen regelmäßig testen
Eine vorhandene Datensicherung ist noch keine funktionierende Datensicherung.
Unternehmen sollten regelmäßig prüfen, ob sich wichtige Daten wiederherstellen lassen. Mindestens eine Sicherung sollte so geschützt sein, dass ein Angreifer sie nicht gemeinsam mit den Originaldaten löschen kann.
Geräte und Systeme überwachen
Ein Angriff sollte möglichst früh erkannt werden.
Dafür müssen sicherheitsrelevante Meldungen gesammelt und geprüft werden. Ungewöhnliche Anmeldungen, deaktivierte Schutzprogramme oder fehlgeschlagene Updates dürfen nicht wochenlang unbemerkt bleiben.
Mitarbeiter vorbereiten
Mitarbeiter müssen keine IT-Sicherheitsexperten werden. Sie sollten jedoch verdächtige Nachrichten erkennen und wissen, an wen sie sich wenden können.
Dabei geht es nicht um Schuldzuweisungen. Eine schnell gemeldete verdächtige E-Mail kann einen größeren Schaden verhindern.
Einen Notfallplan festlegen
Im Ernstfall bleibt wenig Zeit für grundsätzliche Entscheidungen.
Es sollte vorher geklärt sein:
- Wer entscheidet bei einem Sicherheitsvorfall?
- Wer betreut die technische Analyse?
- Welche Systeme müssen zuerst wieder funktionieren?
- Wo befinden sich wichtige Kontaktdaten?
- Wie kann das Unternehmen ohne E-Mail kommunizieren?
Die europäische Cybersicherheitsagentur ENISA analysierte für ihren Bedrohungsbericht 2025 insgesamt 4.875 Vorfälle. Ransomware und das schnelle Ausnutzen bekannter Schwachstellen blieben zentrale Bestandteile der europäischen Bedrohungslage.
Der 10-Minuten-Sicherheitscheck für Ihr Unternehmen
Viele kleine Unternehmen glauben, für Cyberkriminelle uninteressant zu sein. Doch Angreifer suchen selten nach bekannten Namen. Sie suchen nach schlecht geschützten Zugängen, fehlenden Updates und unbemerkten Sicherheitslücken.
Zu klein für Hacker? Warum Cyberangriffe auch KMU treffen
„Warum sollten Hacker ausgerechnet unser Unternehmen angreifen? Wir sind doch viel zu klein.“
Diesen Satz hören wir häufig.
Er klingt auf den ersten Blick auch logisch. Ein regionaler Handwerksbetrieb, eine Kanzlei oder ein kleines Handelsunternehmen wirkt neben einem internationalen Konzern wenig interessant.
Cyberangriffe funktionieren jedoch meist anders.
Viele Angreifer suchen nicht gezielt nach einem bestimmten Unternehmen. Sie suchen nach einer einfachen Gelegenheit. Automatisierte Programme prüfen laufend erreichbare Systeme, Benutzerkonten und bekannte Sicherheitslücken.
Gefunden wird nicht unbedingt das größte Unternehmen.
Gefunden wird oft jenes mit der offensten Tür.
Kleine Unternehmen haben durchaus etwas zu verlieren
Auch kleinere Betriebe arbeiten heute mit wertvollen Informationen:
- Kundendaten
- Rechnungen und Bankverbindungen
- E-Mail-Konten
- Angebote und Verträge
- Personaldaten
- Zugangsdaten
- interne Preislisten
- Produktions- und Projektdaten
Für einen Angriff reicht oft bereits ein einziges E-Mail-Konto.
Angreifer können Nachrichten mitlesen, Rechnungen verändern oder sich als Mitarbeiter ausgeben. Sie können Daten kopieren, Systeme verschlüsseln oder weitere Geschäftspartner angreifen.
Die Unternehmensgröße bietet dabei keinen automatischen Schutz.
Eine österreichische Untersuchung aus dem Jahr 2025 zeigt die allgemeine Lage deutlich. An der Befragung nahmen 1.391 österreichische Unternehmen teil. Jeder siebte registrierte Cyberangriff war erfolgreich. Bei fast jedem dritten befragten Unternehmen hatten Angriffe auf Lieferanten oder Dienstleister spürbare Folgen für den eigenen Betrieb.
Angreifer suchen keine bekannten Namen
Der Begriff „Hackerangriff“ erzeugt oft ein falsches Bild.
Viele Menschen stellen sich eine Person vor, die sich gezielt ein bestimmtes Unternehmen aussucht. Sie recherchiert dessen Mitarbeiter und versucht anschließend, in die IT einzudringen.
Solche gezielten Angriffe gibt es. Sie sind aber nicht der einzige Weg.
Ein großer Teil der Angriffe beginnt wesentlich einfacher:
- Ein automatisiertes Programm findet eine bekannte Sicherheitslücke.
- Gestohlene Passwörter werden bei verschiedenen Diensten ausprobiert.
- Eine gefälschte E-Mail führt zu einer falschen Anmeldeseite.
- Ein schlecht geschützter Fernzugang wird entdeckt.
- Ein veraltetes Gerät ist direkt über das Internet erreichbar.
Cyberkriminelle müssen Ihr Unternehmen daher nicht kennen.
Sie müssen nur eine Schwachstelle finden.
Die europäische Cybersicherheitsagentur ENISA untersuchte für ihren Bedrohungsbericht 2025 fast 4.900 Vorfälle. Social Engineering, zu dem auch Phishing gehört, war bei rund 60 Prozent der beobachteten Fälle der Einstieg. Das Ausnutzen technischer Schwachstellen folgte mit etwas mehr als 21 Prozent.
Ein typischer Angriff beginnt unspektakulär
Stellen Sie sich folgende Situation vor:
Eine Mitarbeiterin erhält am Montagmorgen eine E-Mail. Sie scheint von einem bekannten Lieferanten zu stammen. Der Text verweist auf eine offene Rechnung.
Die Nachricht sieht glaubwürdig aus.
Die Mitarbeiterin klickt auf einen Link. Danach erscheint eine bekannte Anmeldeseite. Sie gibt ihre E-Mail-Adresse und ihr Passwort ein.
Die Seite ist jedoch gefälscht.
Mit den gestohlenen Zugangsdaten meldet sich der Angreifer am echten E-Mail-Konto an. Fehlt eine Mehrfaktor-Authentifizierung, wird keine weitere Bestätigung benötigt.
Der Täter liest nun bestehende Nachrichten. Er erkennt Kunden, Lieferanten und laufende Zahlungen. Später verändert er eine Bankverbindung auf einer Rechnung.
Dabei muss kein Computer sichtbar ausfallen.
Es erscheint möglicherweise keine Warnmeldung. Es gibt keinen schwarzen Bildschirm und keine offensichtliche Erpressungsnachricht.
Der Angriff fällt erst auf, wenn das Geld auf dem falschen Konto angekommen ist.
Die Wirtschaftskammer nennt Phishing weiterhin als einen besonders häufigen Angriffsweg. Gefälschte Rechnungen, geänderte Kontodaten und übernommene E-Mail-Konten können gerade in kleinen Teams lange glaubwürdig wirken.
Warum gerade KMU attraktive Ziele sind
Kleine und mittlere Unternehmen sind nicht grundsätzlich schlechter geschützt.
Ihre IT ist aber häufig über Jahre gewachsen. Neue Programme, Cloud-Dienste und Geräte kommen laufend dazu. Alte Zugänge bleiben manchmal bestehen.
Gleichzeitig fehlt oft eine Person, die sich ausschließlich um IT-Sicherheit kümmert.
Der externe IT-Betreuer wird angerufen, wenn etwas nicht funktioniert. Für laufende Kontrollen, Sicherheitsupdates und die Prüfung verdächtiger Vorgänge gibt es jedoch nicht immer einen klaren Auftrag.
So entstehen Lücken:
- Niemand kontrolliert, ob alle Updates installiert wurden.
- Mehrfaktor-Authentifizierung ist nur teilweise eingerichtet.
- Datensicherungen laufen, wurden aber nie wiederhergestellt.
- Ausgeschiedene Mitarbeiter besitzen noch Zugänge.
- Sicherheitsmeldungen werden erzeugt, aber nicht ausgewertet.
- Zuständigkeiten für einen Notfall sind nicht festgelegt.
Jede Maßnahme für sich klingt unspektakulär.
In ihrer Kombination entscheiden diese Punkte jedoch darüber, ob ein Angriff früh gestoppt wird.
Reicht ein Virenschutz aus?
Ein moderner Virenschutz gehört zur Grundausstattung. Allein kann er ein Unternehmen aber nicht ausreichend schützen.
Viele Angriffe verwenden zunächst gar keine klassische Schadsoftware.
Ein Angreifer meldet sich beispielsweise mit einem echten, gestohlenen Passwort an. Für das System sieht dieser Zugriff möglicherweise wie eine normale Anmeldung aus.
Auch eine manipulierte Rechnung ist kein Computervirus.
Wirksame IT-Sicherheit benötigt deshalb mehrere Schutzebenen:
Sichere Benutzerkonten
Wichtige Konten benötigen eine Mehrfaktor-Authentifizierung. Das gilt besonders für E-Mail, Cloud-Dienste, Fernzugänge und administrative Konten.
Ein gestohlenes Passwort reicht dadurch nicht mehr aus.
Kontrollierte Sicherheitsupdates
Updates sollten nicht nur automatisch gestartet werden. Es muss auch geprüft werden, ob sie tatsächlich installiert wurden.
Das betrifft Computer, Server, Programme, Browser und Netzwerkgeräte.
Wiederherstellbare Datensicherungen
Eine grüne Erfolgsmeldung bedeutet noch nicht, dass sich Daten wirklich wiederherstellen lassen.
Datensicherungen müssen regelmäßig getestet werden. Mindestens eine Sicherung sollte vom normalen Unternehmensnetz getrennt oder besonders geschützt sein.
Laufende Überwachung
Auffällige Anmeldungen, fehlgeschlagene Updates und deaktivierte Schutzfunktionen dürfen nicht wochenlang unbemerkt bleiben.
Entscheidend ist nicht nur, dass Meldungen entstehen. Jemand muss sie auch bewerten.
Vorbereitete Mitarbeiter
Mitarbeiter müssen keine IT-Sicherheitsexperten werden.
Sie sollten jedoch verdächtige Nachrichten erkennen. Ebenso wichtig ist ein einfacher Meldeweg. Wer unsicher ist, muss ohne Angst vor Vorwürfen nachfragen können.
Klare Zuständigkeiten
Im Sicherheitsvorfall bleibt wenig Zeit.
Unternehmen sollten vorher wissen, wer Entscheidungen trifft, wer die technische Betreuung übernimmt und welche Systeme zuerst wieder funktionieren müssen.
Auch CISA, die US-amerikanische Cybersicherheitsbehörde, nennt starke Passwörter, Mehrfaktor-Authentifizierung, Mitarbeiterschulungen und regelmäßige Updates als zentrale Grundlagen für kleinere Unternehmen. Sie weist ausdrücklich darauf hin, dass kein Unternehmen zu klein für einen Angriff ist.
Fünf Fragen für eine erste Einschätzung
Beantworten Sie diese Fragen für Ihr Unternehmen möglichst ehrlich:
- Ist für alle wichtigen E-Mail- und Cloud-Konten eine Mehrfaktor-Authentifizierung aktiv?
- Können Sie nachvollziehen, ob Sicherheitsupdates erfolgreich installiert wurden?
- Wurde die Wiederherstellung Ihrer Datensicherung bereits praktisch getestet?
- Werden auffällige Anmeldungen und Sicherheitsmeldungen zeitnah geprüft?
- Gibt es einen klaren Ablauf für einen IT-Sicherheitsvorfall?
Konnten Sie jede Frage eindeutig mit Ja beantworten?
Ein „Das müsste eigentlich so sein“ ist noch keine verlässliche Antwort. Auch „Darum kümmert sich jemand“ reicht nur dann, wenn die Zuständigkeit tatsächlich geklärt ist.
Der erste Schritt besteht nicht darin, sofort neue Produkte zu kaufen.
Der erste Schritt ist ein ehrlicher Überblick.
Wie sicher ist Ihr Unternehmen wirklich?
Mit dem vollständigen Sicherheitscheck für KMU prüfen Sie die wichtigsten Bereiche Schritt für Schritt.
Sie erhalten den PDF-Ratgeber „Zu klein für Hacker?“ als Willkommensgeschenk zur Anmeldung beim ICTE Sicherheits-Update.
Welche Maßnahmen sollten zuerst umgesetzt werden?
Nicht jede offene Frage verlangt sofort ein großes Sicherheitsprojekt.
Beginnen Sie mit den Punkten, die einen Angriff besonders wahrscheinlich oder besonders folgenschwer machen.
1. Wichtige Konten absichern
Aktivieren Sie die Mehrfaktor-Authentifizierung für E-Mail und Cloud-Dienste.
Prüfen Sie außerdem, wer administrative Berechtigungen besitzt. Solche Rechte sollten nur jene Personen erhalten, die sie tatsächlich benötigen.
2. Fehlende Updates sichtbar machen
Erstellen Sie eine Übersicht aller betreuten Geräte und Programme.
Legen Sie danach fest, wie Updates installiert und kontrolliert werden. Ein automatischer Prozess ist hilfreich. Er benötigt trotzdem eine Überwachung.
3. Eine Wiederherstellung testen
Wählen Sie einige wichtige Dateien oder ein zentrales System aus.
Testen Sie, ob diese Daten innerhalb einer angemessenen Zeit wiederhergestellt werden können. Dokumentieren Sie dabei auftretende Probleme.
4. Warnmeldungen ernst nehmen
Prüfen Sie, welche Sicherheitsmeldungen Ihre Systeme bereits liefern.
Legen Sie fest, wer diese Meldungen erhält und wie schnell reagiert werden muss. Eine Warnung schützt nur dann, wenn sie jemand bemerkt.
5. Den Ernstfall einmal durchspielen
Besprechen Sie eine einfache Situation:
Was machen wir, wenn morgen früh kein Mitarbeiter mehr auf E-Mail oder wichtige Daten zugreifen kann?
Schon dieses Gespräch zeigt häufig, welche Kontaktdaten, Entscheidungen und Zuständigkeiten fehlen.
IT-Sicherheit ist kein einmaliges Projekt
Ein Unternehmen verändert sich laufend.
Neue Mitarbeiter kommen dazu. Andere verlassen den Betrieb. Programme werden eingeführt und Geräte ausgetauscht. Lieferanten erhalten Zugänge. Arbeitsplätze werden ins Homeoffice verlegt.
Dadurch entstehen ständig neue Fragen.
IT-Sicherheit kann deshalb nicht einmal eingerichtet und danach vergessen werden.
Sie muss zum laufenden Betrieb gehören:
- Systeme überwachen
- Updates kontrollieren
- Berechtigungen prüfen
- Datensicherungen testen
- Mitarbeiter vorbereiten
- Risiken regelmäßig neu bewerten
Das muss nicht unnötig kompliziert sein.
Gute IT-Sicherheit beginnt mit klaren Verantwortlichkeiten und verlässlichen Abläufen. Technik unterstützt diese Abläufe. Sie ersetzt sie aber nicht.
Sind Sie wirklich zu klein für Hacker?
Die entscheidende Frage lautet nicht:
Kennt ein Hacker mein Unternehmen?
Die bessere Frage lautet:
Würde ein automatisierter Angriff bei uns eine offene Tür finden?
Sobald E-Mail, Kundendaten, Cloud-Dienste oder digitale Prozesse für Ihren Betrieb wichtig sind, benötigen diese Systeme einen angemessenen Schutz.
Die Größe des Unternehmens ändert daran wenig.
Kleine Unternehmen sind nicht zu klein für Cyberangriffe. Sie sind aber groß genug, um sich sinnvoll darauf vorzubereiten.
Häufige Fragen
Werden kleine Unternehmen wirklich von Hackern angegriffen?
Ja. Viele Angriffe erfolgen automatisiert und richten sich nicht gegen einen bestimmten Firmennamen. Angreifer suchen nach schwachen Passwörtern, fehlenden Updates und ungeschützten Zugängen.
Welche Cyberangriffe treffen KMU besonders häufig?
Häufige Angriffswege sind Phishing, gestohlene Zugangsdaten, manipulierte Rechnungen und bekannte Sicherheitslücken. Auch Schadsoftware und Erpressungsangriffe bleiben relevant.
Reichen Virenschutz und Firewall für ein kleines Unternehmen?
Beide Maßnahmen sind wichtig, reichen allein aber nicht aus. Benutzerkonten, Updates, Datensicherungen, Überwachung und vorbereitete Mitarbeiter gehören ebenfalls zu einem wirksamen Schutz.
Was ist die wichtigste erste Maßnahme?
Wichtige E-Mail- und Cloud-Konten sollten mit Mehrfaktor-Authentifizierung geschützt werden. Danach sollten Unternehmen Updates, Datensicherung und Zuständigkeiten prüfen.
Wie oft sollte ein Unternehmen seine IT-Sicherheit überprüfen?
Grundlegende Kontrollen sollten laufend erfolgen. Eine strukturierte Gesamtprüfung ist mindestens einmal jährlich sinnvoll. Auch größere technische oder organisatorische Veränderungen sind ein guter Anlass.
