"Dafür sind wir zu klein. Wen interessieren schon unsere Daten?" Der Satz fällt in vielen GL-Sitzungen, sobald das Budget für IT-Sicherheit auf den Tisch kommt. Er klingt vernünftig, und er beruht auf einer falschen Annahme: dass Angreifer sich ihre Ziele aussuchen. Ob kleine Firmen Ziel von Cyberangriffen sind, entscheidet sich in der Mechanik dieser Angriffe, und die sieht anders aus, als es sich viele GL-Sitzungen vorstellen. Die ehrliche Antwort ist unbequemer als ein Ja oder Nein, aber sie führt zu einer besseren Entscheidung als Achselzucken oder Panik. Sie beginnt bei der Frage, wie ein Angreifer überhaupt zu seiner Zielliste kommt.
Ja, kleine Firmen sind Ziel von Cyberangriffen, aber nicht, weil jemand sie ausgewählt hätte. Die meisten Angriffe laufen automatisiert und treffen, wer erreichbar ist; wie gross die Firma ist, prüft vorher niemand. Die relevante Frage ist deshalb nicht "sind wir ein Ziel", sondern "wie schnell merkt es jemand".
Warum sollte jemand ausgerechnet uns angreifen?
Niemand greift ausgerechnet deine Firma an. Die meisten Angriffe auf KMU sind automatisierte Kampagnen: Phishing-Wellen an gekaufte Adresslisten, geleakte Passwörter, die gegen alles getestet werden, was ein Login-Formular hat. Der Angreifer kennt deinen Firmennamen oft erst, nachdem der Zugriff bereits steht.
Das Bild vom Angreifer, der wochenlang ein Ziel studiert, stammt aus Filmen und aus Berichten über Konzerne. Der Alltag ist unspektakulärer. Eine Phishing-Welle kostet den Absender fast nichts, also gibt es keinen wirtschaftlichen Grund, kleine Empfänger auszusortieren. Das Skript schaut vorher nicht im Handelsregister nach, wie viele Mitarbeitende du hast.
Zwei Mechanismen dominieren dabei. Der erste ist Phishing auf Zugangsdaten: eine Mail, die nach Microsoft, nach deiner Bank oder nach einem Paketdienst aussieht, führt auf eine nachgebaute Login-Seite. Der zweite ist das Durchprobieren bereits gestohlener Passwörter, denn wer dasselbe Passwort bei einem gehackten Online-Dienst und im Firmenkonto verwendet, hat dem Angreifer die Tür schon geöffnet. Beide Mechanismen skalieren beliebig, und beide sind blind dafür, ob am anderen Ende ein Konzern sitzt oder eine Schreinerei mit 25 Leuten.
Das zeigt sich auch in den Meldungen ans Bundesamt für Cybersicherheit: Das BACS führt ein öffentliches Dashboard mit den aktuellen Meldezahlen zu Cybervorfällen, wöchentlich aktualisiert, gespiesen aus Meldungen von Privatpersonen und Unternehmen. Eine Firmengrösse, unterhalb derer Ruhe herrscht, kennt diese Statistik nicht. Dazu kommt eine Dunkelziffer, die niemand beziffern kann: Gemeldet wird nur, was jemand bemerkt hat.
"Sind wir ein Ziel?" ist die falsche Frage. Deine Grösse entscheidet nicht, ob es dich trifft. Sie entscheidet, wie viel nach dem Zugriff zu holen ist. Ob es dich trifft, hängt an deiner Erreichbarkeit: öffentliche Mail-Adressen, Logins im Internet, Menschen, die auf Links klicken. Und davon hat jede Firma genug.
Was holen Angreifer bei einer Firma mit 50 Mitarbeitenden?
Geld, Zugänge und Glaubwürdigkeit. Das wertvollste Einzelstück ist meist ein E-Mail-Konto: Wer ein Postfach kontrolliert, kann Zahlungen umleiten, Rechnungen manipulieren und im Namen der Firma die nächsten Empfänger anschreiben. Dafür braucht es weder Geschäftsgeheimnisse noch Millionenumsätze. Ein funktionierender Zahlungsverkehr genügt.
Wie das konkret aussieht, zeigt ein anonymisiertes Beispiel aus unserer Praxis: eine Handelsfirma, rund 40 Mitarbeitende, vollständig auf Microsoft 365. Ein Mitarbeiter gibt sein Passwort auf einer täuschend echten Login-Seite ein. Der Angreifer richtet im Postfach eine unauffällige Weiterleitungsregel ein und liest wochenlang mit. Als eine grössere Kundenrechnung ansteht, meldet er sich aus dem echten Postfach, im echten Gesprächsverlauf, mit einer "aktualisierten Bankverbindung". Aufgefallen ist der Zugriff erst, als der Kunde eine Zahlung anmahnte, die längst geleistet war, nur eben auf das falsche Konto. Die Aufarbeitung danach, wer wann in welchem Postfach war und was sonst noch offen stand, hat die Firma länger beschäftigt als der eigentliche Angriff.
Bemerkenswert an diesem Fall ist, was nicht passiert ist: kein Verschlüsselungstrojaner, kein Erpresserschreiben. Die Firma lief die ganze Zeit normal weiter, und genau darum blieb der Zugriff so lange unbemerkt. Die Vorstellung, ein Angriff sei laut und offensichtlich, ist der zweite Irrtum nach dem "zu klein als Ziel". Die teuersten Vorfälle in dieser Firmengrösse sind leise.
Auch das Wort "Daten" führt in die Irre. Ransomware fragt nicht, ob deine Dateien Geheimnisse enthalten. Sie verschlüsselt Auftragsdaten und Buchhaltung, und dann steht der Betrieb, ganz egal, wie unspektakulär die Inhalte waren. Der Wert deiner Daten liegt für den Angreifer darin, dass du ohne sie nicht arbeiten kannst.
Und schliesslich ist deine Firma als Absender etwas wert. Ein kompromittiertes KMU-Postfach ist für die nächste Phishing-Welle nützlicher als jede anonyme Wegwerf-Adresse, weil deine Kunden und Lieferanten deinen Mails vertrauen. So wird aus dem "zu kleinen Ziel" ein Werkzeug gegen genau die Firmen, die sich für die eigentlichen Ziele halten. Gerade wer grössere Kunden beliefert, ist damit Teil von deren Angriffsfläche. Einige dieser Kunden verlangen inzwischen einen Nachweis, dass beim Lieferanten jemand auf die Sicherheit schaut.
Reicht guter Schutz nicht aus, ganz ohne Überwachung?
Nein, aus einem einfachen Grund: Schutz senkt die Wahrscheinlichkeit, Überwachung begrenzt den Schaden. Kein Spamfilter fängt jede Mail, keine Multifaktor-Authentifizierung stoppt jede Session-Übernahme. Irgendwann kommt etwas durch, und ab diesem Moment zählt nur noch, wie schnell es jemand merkt und wie schnell jemand reagiert. Wer beides verwechselt, fühlt sich mit einem guten Spamfilter sicher und merkt trotzdem nicht, wenn ein Konto übernommen wird.
Wenn du Microsoft 365 Business Premium hast, ist die Erkennung bereits bezahlt. Defender erzeugt Warnungen zu verdächtigen Anmeldungen, riskanten Postfachregeln und möglicherweise kompromittierten Konten. In vielen KMU liest sie nur niemand; warum das so ist und was dann liegen bleibt, haben wir im Artikel über Defender-Warnungen, die niemand liest beschrieben. Ein Alarm ohne Leser ist keine Überwachung. Er ist Dekoration.
Einen Teil übernimmt Microsoft inzwischen selbst: Bei eindeutigen Angriffsmustern kann Defender mit der automatischen Angriffsunterbrechung ein kompromittiertes Konto sperren oder ein Gerät isolieren, ohne dass ein Mensch eingreift, auch nachts um drei. Das ist wertvoll und deckt die klaren Fälle ab. Die unklaren Fälle brauchen weiterhin jemanden, der bewertet: Ist die Anmeldung aus Lissabon der Geschäftsführer in den Ferien oder ein Angreifer mit gestohlener Session? Das steht in keinem Alert, das weiss nur jemand, der deinen Betrieb kennt. Ein 24/7-Betrieb ist dafür übrigens selten nötig; warum ein 24/7-SOC für die meisten KMU überdimensioniert ist, haben wir separat aufgeschrieben.
Die Reaktionszeit ist dabei keine Nebensache, sie ist der halbe Schutz. Zwischen dem erbeuteten Passwort und der umgeleiteten Zahlung liegen in unserer Erfahrung oft Tage, manchmal Wochen, in denen der Angreifer nur beobachtet und vorbereitet. Jede dieser Stunden ist eine Gelegenheit, ihn hinauszuwerfen, solange der Schaden noch aus einem gesperrten Konto und einer unangenehmen Info-Mail besteht. Dieses Zeitfenster ist das eigentliche Argument für Überwachung.
Drei Fragen, die deine Entdeckungszeit ehrlich messen
Ob deine Firma Ziel von Cyberangriffen wird, kannst du nicht steuern. Wie lange ein Angriff unbemerkt bleibt, schon. Für eine ehrliche Standortbestimmung brauchst du weder ein Audit noch eine Beratungswoche. Drei Fragen reichen:
- Wer liest heute eine Defender-Warnung, und wann? Wenn die Antwort "niemand" lautet oder "der IT-Partner, wenn er dazukommt", ist deine Erkennung Zufall.
- Würde eine neue Weiterleitungsregel in einem Postfach jemandem auffallen? Sie ist eines der häufigsten Werkzeuge nach einer Konto-Übernahme: unauffällig, wirksam, und sie funktioniert monatelang.
- Was würdest du im Fragebogen der Cyberversicherung bei "Monitoring und Incident Response" ehrlich ankreuzen? Die Frage steht dort, weil Versicherer wissen, dass unbemerkte Vorfälle die teuren sind.
Diese drei Fragen prüfen, ob zwischen einem Vorfall und seiner Entdeckung ein Mensch steht oder nur der Zufall. Welche Schutzprodukte du im Einsatz hast, spielt dafür keine Rolle. Hier unterscheiden sich kleine Firmen dann doch von grossen: Der Konzern hat ein Team, das rund um die Uhr auf Bildschirme schaut. Das KMU hat einen IT-Verantwortlichen, der nebenbei noch Drucker flottmacht und Lizenzen verwaltet. Der Angriff ist bei beiden derselbe, nur die Zeit bis zur Entdeckung ist es nicht.
Fallen die Antworten unbequem aus, musst du deswegen nicht morgen ein Security-Team einstellen. Deine Lücke liegt beim Hinschauen, nicht beim Schutz, und für eine Firma mit 20 bis 150 Mitarbeitenden ist das eine lösbare Aufgabe in überschaubarer Grösse. Für wen unser Modell passt und für wen nicht, sagen wir offen; wenn dein Betrieb rund um die Uhr produziert, brauchst du mehr als Bürozeiten-Monitoring, und dann sagen wir dir auch das.
Häufige Fragen
Sind Schweizer KMU häufiger betroffen als grosse Unternehmen?
Eine saubere Quote pro Firmengrösse gibt es nicht. Das BACS weist Meldungen von Unternehmen und Privatpersonen aus, nicht nach Mitarbeiterzahl. In unserer Erfahrung tauchen kleine Firmen bloss seltener in den Schlagzeilen auf, weil ihre Vorfälle intern bleiben. Weniger sichtbar heisst nicht weniger betroffen. Verlässlicher als jeder Branchenvergleich ist ohnehin der Blick auf die eigene Erreichbarkeit und die eigene Entdeckungszeit.
Reicht eine Cyberversicherung nicht anstelle von Überwachung?
Die beiden lösen verschiedene Probleme. Die Versicherung verteilt den finanziellen Schaden, nachdem er entstanden ist; Überwachung sorgt dafür, dass er kleiner ausfällt. Dazu kommt: Viele Versicherer fragen im Antrag selbst nach Monitoring und Incident Response. Ohne belastbare Antwort darauf wird das Gespräch über die Police schwieriger.
Woran merken wir, ob ein Konto bereits kompromittiert ist?
Typische Spuren sind neue Weiterleitungs- oder Posteingangsregeln, Anmeldungen aus Ländern ohne Geschäftsbezug und eine plötzliche Häufung von MFA-Anfragen. Das Unbequeme daran: Ohne jemanden, der regelmässig hinschaut, fallen diese Spuren meist erst auf, wenn Geld in die falsche Richtung geflossen ist. Und ein sauberer Befund hat ebenfalls einen Wert: Dann weisst du, dass die Ruhe kein Zufall ist.