Kann jeden treffen

Carolin Berger reagierte prompt und informierte die zuständigen Kollegen, die das kompromittierte System sofort vom Netz nahmen, analysierten und sukzessive alles entseuchten. Eine Meldung an den Landesdatenschutzbeauftragten war unumgänglich, und natürlich wurden alle angeschriebenen Kooperationspartner informiert. „Aber zum Glück ist meines Wissens niemand sonst zu Schaden gekommen“, ist die IT-Expertin erleichtert. Einige Kunden nahmen die Nachricht mit Humor – nach dem Motto „Ist uns auch schon passiert“ – andere sprachen ihr Mitgefühl aus oder boten Hilfe an. „Ich bin mit einem blauen Auge davongekommen. Aber der Reputationsschaden war schon erheblich“, so ihre Einschätzung. In den ersten Wochen danach seien viele Partner merklich zurückhaltend bei der Kommunikation gewesen. „Es hat eine Weile gedauert, bis ich mir ihr Vertrauen zurückerarbeitet hatte.“
Und: Es brauchte fast drei Wochen, bis Bergers Technik wieder voll einsatzfähig und auf dem Stand von vor dem Hackerangriff war. „Das alles hat enorm Zeit und damit natürlich auch Geld gekostet. Aber immerhin waren keine Daten weg oder beschädigt.“

So viel Glück hat nicht jeder. Knapp 62 Milliarden Euro Schaden sind deutschen Unternehmen in den vergangenen zwölf Monaten allein durch von Kriminellen verursachte Systemausfälle und -schädigungen entstanden. 24,3 Milliarden Euro wurden für gestohlene oder verschlüsselte Daten erpresst. Insgesamt kosteten Cyberverbrecher die deutschen Unternehmen innerhalb eines Jahres fast 224 Milliarden Euro, ermittelte aktuell die Bitkom (siehe auch Grafiken Seite 9). 2019 waren es erst 103 Milliarden Euro.

Betroffene schweigen oft aus Scham
Immer wieder liest man in der Presse auch von hiesigen Unternehmen, die ein Virus, ein Lösegeldangriff oder eine andere Attacke schwer erwischt hat. Vor knapp drei Jahren legte etwa das Schadprogramm Emotet die Produktion des Kippenheimer Verpackungsspezialisten Janoschka für einige Zeit lahm. Im April sorgte laut einem Bericht der Badischen Zeitung eine Hackerattacke auf den Bötzinger Autozulieferer SMP für den Ausfall von Servern, im Juni musste der Versandhändler Pearl nach einem Angriff seinen Webshop vorübergehend vom Netz nehmen, meldete der Spiegel. Im August wurde laut dem SWR der Sparkassenverband Baden-Württemberg Opfer einer Hackerattacke inklusive Lösegeldforderung für die verschlüsselten Daten.

Doch sind solche bekanntgewordenen Fälle nur die alleroberste Spitze des Eisbergs, stellt Wolf-Dieter Bauer, Justiziar der IHK Schwarzwald-Baar-Heuberg, fest: „Hinter vorgehaltener Hand erfährt man von diesem und jenem Unternehmen, aber niemand spricht gerne darüber, aus Angst um seine Glaubwürdigkeit. Die Dunkelziffer ist deshalb sehr hoch.“ Nur wenige Cybercrimeopfer machen aus der Not eine Tugend und informieren wie der Freiburger Versandhändler Waschbär ausführlich über den Onlineangriff auf das Unternehmen und berichten als vertrauensbildende Maßnahme über die Fortschritte und die Lehren aus der Attacke.

„Schade,“ findet das Sabine Graf, die für das IT-Netzwerk Digihub Südbaden die Landkreise Lörrach und Waldshut betreut. „Je mehr Firmen das zugeben würden, desto mehr würde sich bei allen übrigen Unternehmen das Bewusstsein für die Problematik ausbilden.“ Und genau das ist dringend nötig. Denn tatsächlich hat sich binnen weniger Jahre die Bedrohungslage deutlich verschärft, stellt die Bitkom fest. Die Zahl der Angriffsversuche hat zugenommen, Kriminelle – von wirtschaftsspionierenden Staaten über hobbymäßige Hacker, sogenannte Skriptkiddies, bis zum organisierten Verbrechen – haben ihre Methoden verfeinert. Cyberkartelle arbeiten globalisiert und arbeitsteilig. Und der coronabedingte Umzug ganzer Firmen ins selten optimal abgesicherte Homeoffice hat die Angriffsflächen der potenziellen Opfer noch vergrößert.

Kleine sind oft leichtere Beute
Unterm Strich kann sich kein Betrieb mehr sicher sein, nicht angegriffen zu werden – oder schon infiltriert worden zu sein – egal, für wie klein und wirtschaftlich unbedeutend er sich selbst hält. Der Grund ist ein einfacher: viele Attacken wie etwa über Phishingmails setzen auf Masse. „Die werden einfach breit gestreut“, sagt Nico Faller, der bei der IHK Südlicher Oberrhein unter anderem zum Thema Cybersicherheit berät. Wer an der falschen Stelle klickt und unbedacht Passwörter oder brisante Informationen preisgibt, riskiert Geld oder Daten oder beides. Im großen Maschinenbaubetrieb in der Ortenau, beim kleinen Familienhotel am Bodensee oder beim Einzelhändler auf dem Heuberg, der schon wegen seines brandneuen Onlineshops ein ganz besonders scharfes Auge auf seine Kundendaten haben muss – die DSGVO lässt grüßen.

Und: Große Unternehmen mögen für Erpresser zwar interessanter sein. Dafür leisten sie in der Regel auch größere Gegenwehr, stellt Klaus Schmid fest. Der Gründer und ehemalige Eigentümer des Spaichinger Tech-Dienstleisters it@business leitet bei der IHK Schwarzwald-Baar-Heuberg den Arbeitskreis IT. „In kleinen Häusern gibt es oft nicht einmal einen IT-Verantwortlichen. Das macht es für Kriminelle interessant. Und dann erpresst man überall ein paar hundert, ein paar tausend Euro und kommt so auch auf seinen Gewinn.“ Und wo ein größerer Betrieb mit einem Bitcoin Lösegeld oder mit wochenlangen Stillständen möglicherweise noch zurechtkommt, kann das bei einer kleinen Firma sehr schnell existenzgefährdend werden. „Gerade bei kleineren Unternehmen fehlt es meiner Einschätzung nach noch am entsprechenden Risikobewusstsein – und in der Folge an der Vorsorge“, sagt Susanne Tempelmeyer-Vetter, Rechtsexpertin bei der IHK Hochrhein-Bodensee. In Unternehmen aller Größenklassen muss es darum gehen, sich auf Cyber-angriffe bestmöglich vorzubereiten und eine Gegenwehr zu formieren. „Man sollte dem Täter das Leben mit entsprechenden Maßnahmen schwerer machen. Ein Einbrecher wählt immer eher die Tür mit nur einem Schloss als die mit fünfen“, erklärt Klaus Schmid.