Viele kleine und mittlere Unternehmen unterschätzen die reale Bedrohung. Laut dem Gesamtverband der deutschen Versicherungswirtschaft erkennt die Mehrheit der KMU grundsätzlich die Gefahr durch Cyberkriminalität. Ein großer Teil schließt jedoch aus, selbst betroffen sein zu können. Dieses falsche Sicherheitsgefühl führt zu unzureichenden Investitionen in IT-Sicherheit, wodurch Lücken entstehen, die Angreifer gezielt ausnutzen. Einmal ins System eingedrungen, können Hacker oft ungestört agieren, sich ausbreiten und massiven Schaden anrichten.

Im Laufe eines Arbeitstages gibt es für Cyberkriminelle viele Angriffsmöglichkeiten. Ich möchte Ihnen anhand eines durchschnittlichen mittelständischen Unternehmens, das für die deutsche Wirtschaft repräsentativ ist, erklären, welche das konkret sind. 

Unser beispielhaftes Unternehmen beschäftigt circa 100 Mitarbeitende. Grundlegende Schutzmaßnahmen wie Antivirensoftware und Malware-Schutz sind etabliert, es fehlt dem Unternehmen aber an fortgeschritteneren Sicherheitslösungen. Multi-Faktor-Authentifizierung (MFA) wird beispielsweise nicht oder nur unzureichend eingesetzt. Das bedeutet, dass Passwörter allein den Zugang sichern müssen. Technische Richtlinien für sichere und komplexe Passwörter sind nicht etabliert, was das Risiko von Angriffen erhöht. Auch Endpoint Detection and Response (EDR), eine Technologie, die verdächtige Aktivitäten erkennt und Angriffe verhindern könnte, wird nicht eingesetzt. Darüber hinaus fehlt es oft an einem angemessenen Zugriffsmanagement, wodurch Administratorkonten unzureichend geschützt bleiben. Diese Schwachstellen machen es Angreifern leicht, ein ganzes Netzwerk zu kompromittieren.

Das hier vorgestellte KMU erstellt regelmäßige Backups - ein wichtiger Bestandteil einer ganzheitlichen IT-Sicherheitsstrategie, denn im Angriffsfall ist das Vorhandensein von Datensicherungskopien essentiell. Doch werden die Backups des KMU nicht zusätzlich vor Manipulation geschützt.

Sollten im Angriffsfall auch die Backup-Medien verschlüsselt oder durch Manipulation unbrauchbar gemacht werden, steht das Unternehmen vor einem enormen Problem. Um also auf Nummer sicher zu gehen, sollten Datensicherungen auf einem unabhängigen Speichermedium angelegt und gelagert werden, das vom Netzwerk getrennt ist.

Diese Maßnahme schützt Backups zum Beispiel vor einer Verschlüsselung durch Ransomware, die sich sonst über das gesamte Netzwerk ausbreiten könnte. Es ist aber auch notwendig, regelmäßig zu überprüfen, ob die gespeicherten Daten vollständig und wiederherstellbar sind.

Auch fehlt es unserem  Unternehmen an Vorgaben und Richtlinien, wie mit Updates und Patches umzugehen ist. Dabei muss vor allem der Umgang mit Sicherheitsupdates geregelt sein. Das Einspielen dieser darf nicht vernachlässigt oder verzögert werden. Angreifer suchen gezielt nach ungepatchten Systemen, um bekannte Schwachstellen auszunutzen.

Ohne definierte Prozesse und klare Verantwortlichkeiten bleiben Updates oft auf der Strecke. Automatische Aktualisierungen, wo möglich, können einen entscheidenden Schutz bieten. Zusätzlich hilft ein durchdachtes Richtlinienkonzept, den Umgang mit Sicherheitsupdates systematisch zu regeln.

Sie, als Versicherungsmakler spielen eine wichtige Rolle, wenn es darum geht, ihre gewerblichen Kundinnen und Kunden für das Thema IT-Sicherheit zu sensibilisieren.

Indem Sie auf die Risiken aufmerksam machen und passende Absicherungslösungen mit entsprechenden Dienstleistungen wie z.B. Mitarbeitersensibilisierung empfehlen, können Sie dazu beitragen, Schäden zu minimieren.

Für KMU ist es entscheidend, proaktiv zu handeln. Ein klarer Blick auf die Bedrohungslage, gezielte Investitionen in Sicherheitsmaßnahmen und eine umfassende Strategie können Angriffe abwehren, bevor sie geschehen.