Warum kleine Unternehmen ein Ziel sind

Modul 1: Warum Sie ein Ziel sind · Lesezeit: 9 Minuten

Lernziel: Nach dieser Lektion können Sie erklären, wie Angreifer arbeiten (automatisiert, auf Geld ausgerichtet, opportunistisch) und warum "wir sind zu klein" nicht stimmt.
Kernbegriffe: Bedrohung, Schwachstelle, Risiko, opportunistischer Angriff, gezielter Angriff, Cybercrime als Dienstleistung, Angriffsfläche

"Was wollen die eigentlich von uns?"

Diese Frage hört man bei fast jedem kleinen Unternehmen. Eine Bäckerei, ein Buchhaltungsbüro mit drei Mitarbeitern, ein Sportverein: es gibt doch größere Fische? Dahinter steckt die Vorstellung, ein Angreifer wähle zuerst ein Ziel aus und suche danach, wie er hineinkommt. Bei einem kleinen Teil der Angriffe stimmt das. Beim Großteil läuft es genau umgekehrt: Der Angreifer sucht zuerst nach einer Schwachstelle, und wem sie gehört, ist ihm weitgehend egal.

Um das richtig zu verstehen, brauchen Sie drei Begriffe, die in diesem gesamten Kurs immer wiederkehren.

• Eine Bedrohung ist etwas, das Schaden verursachen kann: ein Betrüger, der gefälschte Rechnungen verschickt, eine Ransomware, ein Kollege, der versehentlich die falsche Datei teilt.
• Eine Schwachstelle ist eine Schwachstelle, durch die diese Bedrohung zuschlagen kann: ein Passwort, das Sie auch bei einem Webshop verwenden, ein Plugin, das seit einem Jahr kein Update erhielt, ein Zahlungsprozess ohne Kontrolle.
• Ein Risiko ist die Kombination: Wie groß ist die Wahrscheinlichkeit, dass eine Bedrohung über eine Schwachstelle zuschlägt, und wie schlimm ist es dann? Oft schreibt man das als Risiko = Wahrscheinlichkeit x Auswirkung.

Ein Unternehmen ohne Schwachstellen gibt es nicht. Das Ziel von Sicherheit ist daher nicht "null Risiko", sondern die größten Risiken so klein zu machen, dass Sie damit leben können.

Opportunistisch oder gezielt

Es gibt grob zwei Arten von Angriffen.

Bei einem gezielten Angriff wählt der Angreifer eine einzelne Organisation aus. Er findet heraus, wer dort arbeitet, wer die Rechnungen bezahlt, welche Lieferanten es gibt, und stimmt seinen Angriff darauf ab. Das kostet Zeit, also muss es sich lohnen. Denken Sie an einen Betrüger, der weiß, dass Ihr Unternehmen diesen Monat eine große Maschine bezahlt, und genau dann eine "geänderte Kontonummer" des Lieferanten schickt.

Bei einem opportunistischen Angriff ist es umgekehrt. Der Angreifer zielt auf eine Schwachstelle, die bei Tausenden Organisationen gleichzeitig vorkommt, und nimmt mit, was er findet. Es gibt keine persönliche Entscheidung für Ihr Unternehmen. Sie sind einfach eine von vielen Adressen auf der Liste.

Kleine Unternehmen sind vor allem von der zweiten Art betroffen. Das ist kein Pech, das ist Mathematik: Wenn ein Angriff bei der Wiederholung nichts kostet, lohnt es sich, ihn auf alle loszulassen.

Wie Automatisierung den Angriff billig macht

Ein Angreifer tippt nicht von Hand IP-Adressen ein. Er nutzt Programme, die Tag und Nacht das Internet durchsuchen. Ein solcher Scanner fragt Adresse für Adresse ab: Welcher Dienst läuft hier, welche Version, ist eine Anmeldeseite offen erreichbar? Innerhalb weniger Stunden ist ein großer Teil des Internets abgegrast.

Angenommen, es wird eine Sicherheitslücke in einem häufig genutzten Plugin für Webshops bekannt. Am nächsten Tag sucht ein Scanner nach allen Websites mit diesem Plugin. Er findet den Webshop einer Anwaltskanzlei, die nie wieder auf ihre Website geschaut hat, die Website eines Vereins und www.example.com von Bäckerei Example. Der Scanner weiß nicht, was eine Bäckerei ist, und es interessiert ihn auch nicht. Er sieht nur: alte Version, also Treffer.

Dasselbe geschieht beim Anmelden. Listen mit Millionen geleakter Kombinationen aus E-Mail-Adresse und Passwort werden automatisch bei E-Mail, Buchhaltung und sozialen Medien ausprobiert (Lektion 1.4). Und Phishing-Mails werden in großen Mengen verschickt; wenn ein kleiner Teil der Empfänger klickt, ist die Kampagne schon profitabel.

Hinzu kommt, dass man selbst kein Hacker mehr sein muss, um anzugreifen. Es ist ein kompletter Markt für Cybercrime als Dienstleistung entstanden: Der eine entwickelt die Ransomware und vermietet sie, der andere verkauft gestohlene Anmeldedaten, ein Dritter verkauft Zugang zu Unternehmensnetzwerken, die bereits offen liegen. Microsoft beschreibt in seinem Sicherheitsblog, wie gestohlene Daten gebündelt, weiterverkauft und schließlich als Zugang zu Unternehmen angeboten werden. Die Einstiegshürde ist dadurch niedrig, und die Zahl der Angreifer groß.

Wo das Geld liegt

Fast alle Angriffe auf kleine Unternehmen drehen sich um Geld. Dieses Geld kommt auf einige Arten herein:

1. Direkt bezahlen. Sie oder Ihr Kollege überweisen Geld an das falsche Konto: eine gefälschte Rechnung, eine dringende Bitte "vom Geschäftsführer" (Lektion 1.2).
2. Lösegeld. Ihre Dateien werden verschlüsselt und Sie müssen bezahlen, um sie zurückzubekommen, oder um zu verhindern, dass gestohlene Daten veröffentlicht werden (Lektion 1.3).
3. Weiterverkauf. Anmeldedaten, Kundendaten oder Zugang zu Ihren Systemen werden an denjenigen verkauft, der damit etwas anfangen will (Lektion 1.4).
4. Ihre Systeme nutzen. Ihr Postfach versendet Spam, Ihre Website verbreitet Malware, Ihr Server schürft Kryptowährung. Sie bezahlen die Rechnung in Form eines schlechten Rufs oder einer gesperrten E-Mail-Adresse.
5. Über Sie zu einem anderen. Sie sind Lieferant eines größeren Unternehmens. Ein Angreifer, der Ihr Postfach übernimmt, kann in Ihrem Namen gefälschte Rechnungen an Ihre Kunden schicken.

Kleine Unternehmen sind dabei aus zwei Gründen attraktiv. Sie haben durchaus Geld auf dem Konto und bezahlen Rechnungen, aber sie haben oft keine IT-Abteilung, kein Vier-Augen-Prinzip bei Zahlungen und kein gut gepflegtes Backup. Das erhöht die Erfolgschance.

Ihre Angriffsfläche

Alles, was ein Angreifer von außen versuchen kann, nennt man Ihre Angriffsfläche. Für ein kleines Unternehmen ist diese größer, als Sie denken:

• Ihre Website, mit dem CMS, Plugins und der Verwaltungsseite;
• Ihre E-Mail: die Postfächer, aber auch Ihre Domain, die ein Betrüger nachahmen kann, wenn SPF, DKIM und DMARC nicht richtig eingerichtet sind (Modul 4);
• alle Online-Konten: Bank, Buchhaltung, Webshop-Plattform, soziale Medien, der Registrar Ihrer Domain;
• die Geräte: Laptops, Telefone, der Router, die Netzwerkfestplatte, der Drucker;
• die Menschen: jeder, der E-Mails liest, Rechnungen bezahlt oder ans Telefon geht;
• Ihre Dienstleister: der Webentwickler mit einem Administratorkonto, das IT-Unternehmen mit Fernzugriff (Modul 7).

Jeder Teil, den Sie nicht mehr nutzen, der aber noch online steht, ist zusätzliche Fläche ohne Nutzen. Eine alte Testseite unter test.example.com, ein vergessenes FTP-Konto eines früheren Webentwicklers, ein Konto bei einem Dienst, den Sie vor drei Jahren gekündigt haben: Darauf achtet niemand mehr, also stecken dort die Schwachstellen.

Denkfallen

"Wir haben nichts Wertvolles."

Sie haben zumindest ein Bankkonto, ein Postfach, dem Kunden vertrauen, und Daten von Kunden. Das reicht.

"Wir haben ein Antivirenprogramm, also sind wir sicher."

Antivirensoftware hilft gegen einen Teil der schädlichen Software. Sie bewirkt nichts gegen einen Kollegen, der eine echt aussehende Rechnung mit einer anderen Kontonummer bezahlt, oder gegen ein Passwort, das auf einer anderen Website geleakt wurde.

"Unser IT-Unternehmen regelt das."

Vielleicht. Aber wissen Sie, was es regelt? Ein IT-Unternehmen sorgt oft für Updates und ein Virenschutzprogramm, aber nicht für Ihr Zahlungsverfahren, Ihre Passwortrichtlinien oder den Zugang Ihres Webentwicklers. Wer was tut, müssen Sie vereinbaren (Modul 7).

"Uns passiert das nicht, es ist noch nie passiert."

Oft wissen Sie es einfach nicht. Ein übernommenes Postfach kann monatelang unbemerkt mitgelesen werden, bevor jemand es missbraucht.

In der Praxis: So sieht es aus

Ein Beispiel, zusammengestellt aus Situationen, die häufig vorkommen. Eine kleine Steuerberatungskanzlei (vier Mitarbeiter) hatte eine Website auf einem CMS, das der vorherige Webentwickler erstellt hatte. Niemand meldete sich dort noch an, also sah niemand die Hinweise auf Updates. An einem Montagmorgen stand eine Meldung des Hostinganbieters im Postfach: Von der Website wurden Phishingseiten verbreitet. Aus den Protokollen ging hervor, dass ein Scanner eine bekannte Sicherheitslücke in einem alten Formular-Plugin gefunden hatte, am selben Tag wie bei Hunderten anderer Websites. Die Kanzlei war nie "ausgewählt" worden. Die Wiederherstellung kostete eine Woche, und die Domain stand eine Zeit lang auf einer Sperrliste, wodurch die E-Mails der Kanzlei bei Kunden im Spam landeten.

Die Sicherheitslücke hätte mit einem einzigen Update verhindert werden können. Darum geht es im Rest dieses Kurses: nicht um perfekte Sicherheit, sondern um die Grundlagen, die die billigen, massenhaften Angriffe abwehren.

Zusammenfassung

• Ein Risiko ist die Kombination aus einer Bedrohung und einer Schwachstelle: Wahrscheinlichkeit x Auswirkung.
• Die meisten Angriffe auf kleine Unternehmen sind opportunistisch: zuerst die Schwachstelle, dann erst das Opfer.
• Automatisierung und Cybercrime als Dienstleistung machen Angriffe billig, daher lohnt es sich, sie auf alle loszulassen.
• Fast alles dreht sich um Geld: gefälschte Zahlungen, Lösegeld, Weiterverkauf von Daten oder Missbrauch Ihrer Systeme.
• Ihre Angriffsfläche besteht aus Website, E-Mail und Domain, Konten, Geräten, Menschen und Dienstleistern; vergessene Teile sind am gefährlichsten.

Quiz

Aufgabe

Aufgabe A1.1: Bedrohung, Schwachstelle und Risiko. Sie erhalten vier kurze Situationen aus kleinen Unternehmen. Geben Sie pro Situation an, was die Bedrohung und was die Schwachstelle ist, und schätzen Sie Wahrscheinlichkeit und Auswirkung ein (niedrig, mittel, hoch). Bringen Sie die vier Situationen anschließend in eine Reihenfolge von großem zu kleinem Risiko. Das Programm prüft Ihre Antworten und erklärt pro Situation den Grund.

Aufgabe D1.1: Ihre Angriffsfläche im Überblick. Erstellen Sie eine Liste von allem, was Ihr Unternehmen online hat: Websites und Subdomains, Konten, Geräte mit einer Verbindung nach außen, und wer von außen Zugang hat. Vermerken Sie bei jedem Teil, ob Sie es noch nutzen und wer der Eigentümer ist.

Weiterführende Links

Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es ähnlich.

• Hilfe! Meine Website wurde gehackt. Wie kann ich das beheben/verhindern?
• Die Angebote des BSI für Unternehmen: https://www.bsi.bund.de/
• Microsoft Security Blog, StealC and Amadey: Breaking down infostealers and the cybercrime services that deliver them (Englisch): https://www.microsoft.com/en-us/security/blog/2026/06/24/stealc-and-amadey-breaking-down-infostealers-and-the-cybercrime-services-that-deliver-them/