#derimeter: Daniel Schönland „Die Angreifer laufen sich gerade erst warm“

An einem Punkt, den viele noch nicht erkannt haben. Cyberangriffe sind kein Risiko mehr, sie sind Betriebszustand. Die Frage ist nicht, ob es ein Unternehmen trifft. Die Frage ist, wie schwerwiegend die Folgen sein werden.

Weil die meisten Unternehmen mit Infrastruktur arbeiten, die für eine Welt gebaut wurde, die es nicht mehr gibt. Sicherheit war schon immer kritisch. Aber KI hat das Tempo verändert — auf beiden Seiten. Nur hat bislang vor allem eine Seite aufgerüstet.

Alles, was wehtut: verschlüsselte Server, gestohlene Kundendaten, abfließende Vermögenswerte. Die Szenarien sind vielfältig — die Muster dahinter erstaunlich konstant. Das ist die gute Nachricht. Wer die Muster kennt, kann sich vorbereiten.

Die Vorbereiteten haben einen schlechten Monat. Die Unvorbereiteten haben ein Problem, das sie manchmal nicht überstehen. Die Angreifer sind Profis — spezialisiert, arbeitsteilig, KI-gestützt. Wer diese als Möchtegern-Hacker unterschätzt, hat bereits verloren.

In der Praxis ist das richtig: ja. BSI und BKA raten aber zu Recht davon ab — wer zahlt, finanziert das Geschäftsmodell und hat keine Garantie auf irgendetwas. Aber wer keinen Plan B hat, hat in dem Moment auch keine Wahl mehr. Genau darum geht es: Sie wollen nie in die Lage kommen, in der zahlen die einzige und zugleich letzte Option ist.

Das ist zweifellos eine Herausforderung, da ein erheblicher Arbeitsaufwand vor Ihnen liegt. Ein prägnantes Beispiel konnten wir vor einigen Jahren beim Cyberangriff auf den Deutschen Bundestag sehen: Damals musste die gesamte IT-Infrastruktur im Rahmen einer Notvergabe in Höhe von rund 300 Millionen Euro komplett neu aufgebaut werden. Dieser krasse Fall verdeutlicht, wie komplex und kritisch die Situation nach einer solchen Attacke werden kann. Wer Cybersicherheit wirklich ernst nimmt, muss seine Infrastruktur grundlegend neu denken – von der Netzwerkarchitektur über die Berechtigungskonzepte bis hin zu effektiven Rückfallebenen. Das heißt viel Arbeit. Es ist jedoch der einzige Weg, um vom potenziellen Opfer zu einem schwer angreifbaren Ziel zu werden.

Man rechnet zumindest mit ihm. Das ist ein Unterschied. Wer an den entscheidenden Stellen Barrieren zieht, Rückfallszenarien baut und Backups hat, die diesen Namen verdienen, nimmt dem nächsten Angriff das Drohpotenzial. Ein Angriff, der Sie nicht erpressbar macht, ist ein IT-Vorfall. Kein existenzielles Problem.

Die Versicherer haben gelernt und ihre Hausaufgaben gemacht — jedoch für die eigene Bilanz. Ich war zuletzt intensiv im Austausch mit Produktverantwortlichen und Underwritern: Der Risikoappetit ist deutlich gesunken. Vielen Gesellschaften sind die Policen förmlich um die Ohren geflogen. Es wird also künftig deutlich schwerer, sich zu versichern. Und im Schadensfall wird sehr genau geprüft. Eine Police ersetzt somit keine Sicherheit. Sie setzt sie inzwischen voraus.

Als das am meisten unterschätzte Problem dieser Dekade. Nach allem, was ich in der Praxis sehe, professionalisiert sich die Angreiferseite schneller, als die Verteidigung nachzieht — und viele haben das Ausmaß noch nicht verstanden. Was zugegebenermaßen auch nicht einfach ist.

Nun, die Angreifer laufen sich gerade erst warm. Unsere Wirtschaft ist zudem vollständig abhängig von digitalen Prozessen — das ist unsere Achillesferse, und sie ist gut dokumentiert. Ich gehe davon aus, dass wir bald eine neue Komplexität erleben werden. Wer heute vorbereitet ist, wird dann sehr entspannt sein. Alle anderen weniger.

Ja, das klingt verrückt und ist es vielleicht auch. Was viele nicht verstehen, diese speziellen Modelle müssen nicht bei großen LLM-Anbietern wie OpenAI oder Anthropic laufen. Es gibt eine Vielzahl von freien Modellen, die Sie problemlos und äußert effektiv auf eigener Infrastruktur laufen lassen können. Für knapp unter 20.000 EUR bekommen Sie da schon ordentliche Geschosse. Wenn Cyberkriminelle, mit professionellem Unterbau, mal eben 250 - 500.000 EUR investieren, spielen diese in einer komplett anderen Liga. Die Hardware ist am Markt, notfalls gebraucht aber immer noch leistungsfähig genug, problemlos verfügbar. Die Risiken sind also real und für Unternehemen, die diese Gefahren nicht ernst nehmen, wird es künftig nicht einfacher.

Dann sind Sie aufgeschmissen, Sie wissen es nur noch nicht. Als Unternehmen brauchen Sie unbedingt jemanden, der auf Geschäftsleitungsebene denkt. Schwachstellen analysieren, eine Strategie entwickeln und diese fortlaufend umsetzen — praktisch wie technisch. Wir bieten Unternehmen hier mit CISO-as-a-Service eine Lösung. Sozusagen als Security-Abteilung für Unternehmen, die schnell handeln wollen.

Schutz ist die Pflicht. Interessant ist der Tag danach. Es geht darum, dass ein Unternehmen weiterarbeitet — egal, was passiert. Technisch, organisatorisch, bis hin zu Notfallplänen für Geschäftsleitung und Gesellschafter. Cyberkriminelle suchen sich regelmäßig das lohnendste Ziel mit dem geringsten Widerstand. Unsere Aufgabe ist es, dass unsere Kunden auf dieser Liste ganz unten stehen.

Ist es auch. Angreifer sind nicht dumm — wir dürfen es ihnen also nicht leicht machen. Die digitale Infrastruktur ist nur eine von mehreren Angriffspunkten, also setzen wir breiter an: Prozesse, Zugriffsrechte, das Verhalten der Mitarbeitenden im Unternehmen. Der klassische Einstieg ist nach wie vor nicht die Firewall, sondern die Person, die ungewollt auf den falschen Link klickt. Und bei lohnenden Zielen bleibt es nicht dabei: Da wird das Unternehmen vorher ausgespäht — wer entscheidet, wer Zugriff hat, wer unter Druck steht. Social Engineering, physische Sicherheit, Zulieferer. Wer glaubt, das sei übertrieben, unterschätzt, um wie viel Geld es geht.

Der DMB Risiko-Report Mittelstand 2026 zeigt bereits: Bei den Risiken aus der Unternehmensführung liegt Cybersicherheit mit 48,7 Prozent auf Platz zwei — direkt hinter der Inhaberabhängigkeit. Das deckt sich mit dem, was ich in der Praxis sehe. Interessanter ist aber, wo der Report die Zahl noch einmal aufgreift: bei der sogenannten Resilienzfalle. Steigende Risiken erhöhen den Bedarf an Absicherung und binden gleichzeitig die Mittel, die man dafür bräuchte. Genau da stecken viele Unternehmen fest. Die gute Nachricht: Wir sind nicht schutzlos. Mit den richtigen Maßnahmen lässt sich sehr viel erreichen — und niemand muss darauf warten, dass der Gesetzgeber, ein Versicherer oder ein Dienstleister das Problem für ihn löst. Absicherung wird künftig denselben Rang haben wie beispielsweise die Liquiditätssicherung. Kein Unternehmer käme auf die Idee, seine Zahlungsfähigkeit dem Zufall zu überlassen.