#derimeter: Daniel Schönland „Die Angreifer laufen sich gerade erst warm“

An einem Punkt, den viele noch nicht erkannt haben. Cyberangriffe sind kein Risiko mehr, sie sind Betriebszustand. Die Frage ist nicht, ob es ein Unternehmen trifft. Die Frage ist, wie schwerwiegend die Folgen sein werden.

Weil die meisten Unternehmen mit Infrastruktur arbeiten, die für eine Welt gebaut wurde, die es nicht mehr gibt. Sicherheit war schon immer kritisch. Aber KI hat das Tempo verändert — auf beiden Seiten. Nur hat bislang vor allem eine Seite aufgerüstet.

Alles, was wehtut: verschlüsselte Server, gestohlene Kundendaten, abfließende Vermögenswerte. Die Szenarien sind vielfältig — die Muster dahinter erstaunlich konstant. Das ist die gute Nachricht. Wer die Muster kennt, kann sich vorbereiten.

Die Vorbereiteten haben einen schlechten Monat. Die Unvorbereiteten haben ein Problem, das sie manchmal nicht überstehen. Die Angreifer sind Profis — spezialisiert, arbeitsteilig, KI-gestützt. Wer diese als Script-Kiddies unterschätzt, hat schon verloren. Diese Leute sind Profis.

In der Praxis ist das richtig: ja. BSI und BKA raten aber zu Recht davon ab — wer zahlt, finanziert das Geschäftsmodell und hat keine Garantie auf irgendetwas. Aber wer keinen Plan B hat, hat in dem Moment auch keine Wahl mehr. Genau darum geht es: Sie wollen nie in die Lage kommen, in der zahlen die beste Option ist.

Das ist wirklich schwierig, weil Sie sehr genau suchen müssen. Wir haben das vor einigen Jahren am Fall des Angriffs auf den Deutschen Bundestag gesehen. Die gesamte Infrastruktur musste im Rahmen einer Notvergabe neu aufgebaut werden. Das ist ein heftiges Beispiel, zeigt aber, wie schwierig die Situation nach einem komplexen Angriff werden kann. Wer es ernst meint, denkt sein Setup neu — Architektur, Zugriffe, Rückfallebenen. Das ist Aufwand. Aber es ist der einzige Weg, aus einem Opfer ein schwer angreifbares Ziel zu machen.

Man rechnet zumindest mit ihm. Das ist ein Unterschied. Wer an den entscheidenden Stellen Barrieren zieht, Rückfallszenarien baut und Backups hat, die diesen Namen verdienen, nimmt dem nächsten Angriff das Drohpotenzial. Ein Angriff, der Sie nicht erpressbar macht, ist ein IT-Vorfall. Kein existenzielles Problem.

Die Versicherer haben gelernt und ihre Hausaufgaben gemacht — jedoch für die eigene Bilanz. Ich war zuletzt intensiv im Austausch mit Produktverantwortlichen und Underwritern: Der Risikoappetit ist deutlich gesunken. Vielen sind die Policen förmlich um die Ohren geflogen. Es wird also deutlich schwerer, sich zu versichern, und im Schadensfall wird sehr genau geprüft. Eine Police ersetzt also keine Sicherheit. Sie setzt sie inzwischen voraus.

Als das am meisten unterschätzte Problem dieser Dekade. Nach allem, was ich in der Praxis sehe, professionalisiert sich die Angreiferseite schneller, als die Verteidigung nachzieht — und viele, damit meine ich auch Behörden, haben das Ausmaß noch nicht verstanden.

Die Angreifer laufen sich gerade erst warm. Unsere Wirtschaft ist zudem vollständig abhängig von digitalen Prozessen — das ist unsere Achillesferse, und sie ist gut dokumentiert. Ich gehe davon aus, dass wir bald eine neue Schärfe erleben werden. Wer heute vorbereitet ist, wird dann sehr entspannt sein. Alle anderen weniger.

Ja, das klingt verrückt und ist es vielleicht auch. Was viele nicht verstehen, diese speziellen Modelle müssen nicht bei ChatGPT oder Anthropic laufen. Es gibt eine Vielzahl von openSource Modellen, die sie problemlos und äußert stark auf eigener Infrastruktur laufen lassen können. Für knapp unter 20.000 EUR bekommen Sie da schon ordentliche Geschosse. Wenn Sie, wie Cyberkriminelle mit professionellem Unterbau mal eben 250 - 500.000 EUR investieren, spielen Sie in einer komplett anderen Liga. Diese Systeme sind am Markt auch problemlos verfügbar. Die Risiken sind also real und für Unternehemen, die diese Gefahren nicht ernst nehmen, wird das auch nicht besser.

Dann sind Sie aufgeschmissen, Sie wissen es nur noch nicht. Sie brauchen unbedingt jemanden, der auf Geschäftsleitungsebene denkt. Schwachstellen analysieren, eine Strategie entwickeln und diese fortlaufend umsetzen — praktisch wie technisch. Wir wollen Unternehmen hier mit unserem {{url:d3d3LmlkZW50aXFhLmNvbS9kZS9jaXNvLWFzLWEtc2VydmljZQ==:Q0lTTy1hcy1hLVNlcnZpY2U=}} Angebot unterstützen. Sozusagen als Security-Abteilung für Unternehmen, die schnell handeln wollen.

Schutz ist die Pflicht. Die Kür ist der Tag danach. Es geht darum, dass ein Unternehmen weiterarbeitet — egal, was passiert. Technisch, organisatorisch, bis hin zu Notfallplänen für Geschäftsleitung und Gesellschafter. Cyberkriminelle suchen sich das lohnendste Ziel mit dem geringsten Widerstand. Unsere Aufgabe ist es, dass unsere Kunden auf dieser Liste ganz unten stehen.

Ist es. Angreifer sind nicht dumm — wir dürfen es ihnen also nicht leicht machen. Die digitale Infrastruktur ist nur einer von mehreren Angriffspunkten, also setzen wir breiter an: Prozesse, Zugriffsrechte, das Verhalten der Mitarbeitenden im Unternehmen. Der klassische Einstieg ist nach wie vor nicht die Firewall, sondern die Person, die ungewollt auf den falschen Link klickt. Und bei lohnenden Zielen bleibt es nicht dabei: Da wird das Unternehmen vorher ausgespäht — wer entscheidet, wer Zugriff hat, wer unter Druck steht. Social Engineering, physische Sicherheit, Zulieferer. Wer glaubt, das sei übertrieben, unterschätzt, um wie viel Geld es geht.

Der DMB Risiko-Report Mittelstand 2026 zeigt bereits: Bei den Risiken aus der Unternehmensführung liegt Cybersicherheit mit 48,7 Prozent auf Platz zwei — direkt hinter der Inhaberabhängigkeit. Das deckt sich mit dem, was ich in der Praxis sehe. Interessanter ist aber, wo der Report die Zahl noch einmal aufgreift: bei der sogenannten Resilienzfalle. Steigende Risiken erhöhen den Bedarf an Absicherung und binden gleichzeitig die Mittel, die man dafür bräuchte. Genau da stecken viele Unternehmen fest. Die gute Nachricht: Wir sind nicht schutzlos. Mit den richtigen Maßnahmen lässt sich sehr viel erreichen — und niemand muss darauf warten, dass der Gesetzgeber, ein Versicherer oder ein Dienstleister das Problem für ihn löst. Absicherung wird künftig denselben Rang haben wie beispielsweise die Liquiditätssicherung. Kein Unternehmer käme auf die Idee, seine Zahlungsfähigkeit dem Zufall zu überlassen.