Cyberattacken verursachten auch 2025 wieder Schäden in Milliardenhöhe für die deutsche Wirtschaft. Experten warnen: Besonders kleine und mittelständische Unternehmen geraten immer stärker ins Visier der Hacker. Was diese tun können, um sich zu schützen.
C yberkriminelle ersetzen mehr und mehr den klassischen Einbrecher – gerade aus Sicht von Unternehmen. Laut Branchenverband Bitkom kosteten Diebstahl, Sabotage und Industriespionage die Unternehmen in Deutschland rund 289 Milliarden Euro – und 70 Prozent dieses Schadens gehen direkt auf Cyberattacken zurück. Die Zahl der analogen Angriffe liegt deutlich darunter. Hinter den Cyberangriffen soll laut Studie viel organisierte Kriminalität stecken, doch die Zahl der Angriffe, die ausländischen Nachrichtendiensten zugeschrieben werden, steigt.
Immer mehr Unternehmen investieren daher in Cybersicherheit – aber längst nicht alle. Der Anteil des IT-Sicherheitsbudgets am gesamten IT-Budget liegt laut Bitkom im Durchschnitt bei 18 Prozent. Immerhin: Tendenz steigend. Privatpersonen investieren dagegen so gut wie gar nichts: Mehr als die Hälfte bezahlt weniger als
fünf Euro monatlich für Sicherheitssoftware.
Dabei kann es jeden treffen, sagt IT-Experte Christoph Barreith vom IT-Systemhaus Bechtle: vom kleinen Einzelhändler bis zum Großkonzern und egal welche Branche. Bechtle ist mit europaweit 70 Niederlassungen, unter anderem in Freiburg, Offenburg und Villingen, mehr als 16 000 Mitarbeitern und 6,4 Milliarden Euro Umsatz 2025 das größte IT-Systemhaus Deutschlands. Und deren Experte Barreith sagt: Künstliche Intelligenz macht die Angriffe für die Hacker zusehends unkomplizierter. Automatisiert sucht die KI nach Sicherheitslücken – und nutzt sie. Erst kürzlich wurde bekannt, dass das KI-Modell Claude Mythos des Unternehmens Anthropic Sicherheitslücken schneller findet, als bisher möglich. Und weil es so einfach ist, zielen Angreifer nicht mehr nur auf die Großen, bei denen viel zu holen ist, sondern immer mehr auf die breite Masse: die KMU.
Was tun? Nicht nur in reaktiven, sondern auch in proaktiven Schutz investieren, empfiehlt Barreith. Und zwar möglichst umfassend. „Ein Unternehmen muss sämtliche Angriffsflächen kennen und überwachen.“ Der IT-Experte vergleicht die Situation mit einem Einbruch ins Haus: Wenn die Überwachungskamera nur in der Küche installiert ist, der Einbrecher aber durchs Wohnzimmerfenster kommt, nützt die Anlage gar nichts.
Wichtig: den Überblick behalten
Anfällig ist alles, was mit dem Internet verbunden ist. Eine offene Flanke bietet zudem der Mitarbeiter, der sein schlechtes Passwort gleich mehrfach verwendet oder arglos auf einen Link in einer der täglich zig Dutzend ähnlich aussehenden Mails klickt – mal sehen diese Mails aus wie die vom Paketdienst, wie von der Bank oder von irgendeiner Docusign-Variante.
Sechs Faktoren sollten Unternehmen besonders beachten, um sich zu schützen, sagt Barreith. Erstens die Perimetersicherheit: Wie fit ist die erste Verteidigungslinie meiner Endgeräte, also Firewall, Spamfilter und Co? Zweitens den Faktor Mensch: Werden Mitarbeiter regelmäßig zur Gefahr von Cyberangriffen geschult? Drittens die physikalische Sicherheit: Kann jemand einfach in meine Produktionshalle laufen und irgendwo ein Notebook anstecken? Viertens die IT-Inventur: Haben wir lückenlos die Hard- und Software des Unternehmens im Blick? Fünftens, gibt es ein Rechtemanagement für die normalen Benutzer und Admins? Und sechstens: Gibt es regelmäßige Backups?
Eine Versicherung kann sich lohnen
Haben Hacker im Unternehmen trotzdem Schaden angerichtet, kann eine Versicherung helfen. „Eine Cyberversicherung gehört mittlerweile zu den elementarsten Absicherungen für ein Unternehmen“, sagt Walter Kuny, Geschäftsführer von Dr. Kuny Assekuranz in Offenburg, einem unabhängigen Versicherungsmakler. Seine zwölf Mitarbeiter betreuen etwa 400 klein- und mittelständische Unternehmen. Idealerweise übernimmt die Cyberversicherung einen großen Teil der Kosten für Dienstleistungen und Wiederanlauf des Betriebs. Für ein mittelständisches Unternehmen kann eine gute Versicherung Beträge von mehreren hunderttausend bis hin zu einigen Millionen Euro abfedern. Aber die Kosten für den Versicherten? Kuny nennt ein unverbindliches Beispiel: mittelgroßes Unternehmen mit fünf Millionen Jahresumsatz und einer Versicherungssumme von einer Million Euro: um 2000 Euro für die Cyberversicherung.
Allerdings: In den vergangenen Jahren haben Versicherer ihre Anforderungen deutlich verschärft, sagt der Versicherungs-Experte. Oft verlangen sie folgende Mindeststandards:
• Multi-Faktor-Authentifizierung
• Regelmäßige Datensicherungen
• Patch- und Update-Management, was bedeutet, dass Sicherheitslücken so schnell wie möglich geschlossen werden, und zwar nicht innerhalb von Tagen, sondern von Stunden.
• Endpoint-Schutz, das beinhaltet den Schutz von Endgeräten wie Laptops und Mobilgeräten.
• Rechte- und Zugriffsmanagement: Um den Schaden im Falle eines Angriffs möglichst klein zu halten, sollte ein Mitarbeiter nur mit den Rechten arbeiten, die er unbedingt braucht.
• Schulungen gegen Phishing
Fehlen diese Mindeststandards, kann der Versicherer Leistungen kürzen oder verweigern.
Wann die Geschäftsleitung haftet
Parallel dazu hat sich der Gesetzgeber eingeschaltet. Seit 6. Dezember 2025 ist die EU-Richtlinie NIS-2 in deutsches Recht umgesetzt. „Damit wird Cybersicherheit endgültig zur Managementaufgabe“, sagt Hülya Sevgin von der IHK Südlicher Oberrhein. Die Geschäftsleitung sei dadurch verpflichtet, bestimmte Risikomanagementmaßnahmen umzusetzen und zu überwachen. Die Verantwortlichen müssen sich außerdem regelmäßig schulen lassen. Wer seinen Pflichten nicht nachkommt, kann dem eigenen Unternehmen gegenüber für Schäden haften.
IT-Security braucht also jeder. Was genau sie umfasst, ist aber individuell. „Mit moderatem Aufwand kann man da viel erreichen“, sagt IT-Experte Barreith Je nach Technikaffinität und Unternehmensgröße könne man einiges für kleines Geld selbst machen, zum Beispiel über Microsoft. Andernfalls hilft ein IT-Dienstleister. Rund-um-die-Uhr-Überwachung für die Unternehmens-Infrastruktur bieten sogenannte Security Operations Center.
Auch die Cybersicherheitsagentur Baden-Württemberg berät im Vorfeld und unterstützt, wenn es zu spät ist. Denn hundertprozentige Sicherheit gibt es nicht – und manchmal hilft nur noch das Backup. Susanne Ehmann
Die IHK hilft weiter
Cybersicherheits-Check
für KMU
IHK Südlicher Oberrhein
Hülya Sevgin, 07 61/38 58-2 67,
huelya.sevgin@freiburg.ihk.de
IHK Hochrhein-Bodensee
Sunita Patel, 0 75 31/28 60-1 26,
sunita.patel@konstanz.ihk.de
IHK Schwarzwald-Baar
Alexander Rösgen, 0 77 21/9 22-1 56,
alexander.roesgen@vs.ihk.de
IHK IT-Sicherheitskonferenz am 7. Oktober
Näheres zu NIS-2
Hier gibt es weitere Infos.