Was ein Cyberangriff ist und warum das Risiko heute höher ist
Ein Cyberangriff ist jeder gezielte Versuch, unbefugt auf Ihre Informationssysteme zuzugreifen, Daten zu stehlen oder zu verändern oder Dienste lahmzulegen. Für Angreifer sind mittlere und große Unternehmen interessant, weil sie genug Mittel für ein Lösegeld haben und zugleich oft kein Sicherheitsteam besitzen, das rund um die Uhr arbeitet.
Angriffe sind heute meist organisiert und automatisiert. Angreifer kaufen gestohlene Passwörter oder Netzwerkzugänge, bewegen sich tage- oder wochenlang unbemerkt durch die Systeme, löschen oder verschlüsseln zuerst die Backups und lösen erst dann die Ransomware aus. Bereitschaft hängt deshalb weniger von einzelnen Produkten ab als davon, ob Ihre Grundlagen stimmen. Bewerten Sie Ihre Bereitschaft mit dem Tool auf dieser Seite.
Die häufigsten Angriffsarten
| Angriffsart | Ablauf | Wichtigster Schutz |
|---|---|---|
| Ransomware | Verschlüsselung von Systemen, oft auch Datendiebstahl mit Drohung der Veröffentlichung | Unveränderliche Backups, getestete Wiederherstellung, Netzwerksegmentierung |
| Phishing | Gefälschte E-Mail oder Webseite, die Nutzer zur Preisgabe von Passwörtern oder zur Installation von Schadcode verleitet | MFA, E-Mail-Filter, Schulung der Beschäftigten |
| Business E-Mail Compromise (BEC) | Angreifer geben sich als Geschäftsführer oder Lieferant aus und fordern eine Überweisung | Zahlungsfreigabe mit Rückbestätigung über einen zweiten Kanal, MFA |
| Ausnutzen von Schwachstellen | Angriff auf ungepatchte, aus dem Internet erreichbare Systeme (VPN, Firewall, Webserver) | Schwachstellenmanagement, zügiges Einspielen von Patches |
| Angriff über Lieferanten | Einbruch über Fernzugang oder Software eines externen Dienstleisters | Kontrolle der Lieferantenzugänge, vertragliche Sicherheitsanforderungen |
| DDoS | Überlastung eines Dienstes, bis er nicht mehr erreichbar ist | Schutz beim Netzbetreiber oder in der Cloud |
Fünf Bereiche der Bereitschaft
Das Tool auf dieser Seite bewertet Ihre Bereitschaft in fünf Bereichen, die sich in der Praxis als entscheidend erweisen.
- Steuerung und Verantwortung. Jemand muss für Sicherheit verantwortlich sein und der Geschäftsleitung regelmäßig über Risiken berichten. Ohne Bestandsaufnahme der kritischen Systeme wissen Sie nicht, was Sie zuerst schützen und wiederherstellen müssen.
- Backup und Wiederherstellung. Die 3-2-1-Regel (drei Kopien, zwei Medien, eine Kopie an anderem Ort) ist die Basis. Entscheidend ist, dass mindestens eine Kopie unveränderlich (immutable) oder physisch getrennt ist und dass Sie die Wiederherstellung regelmäßig testen. Ein Backup, dessen Wiederherstellung Sie nie getestet haben, ist nur eine Annahme.
- Identitäten und Zugriffe. Multi-Faktor-Authentifizierung (MFA) für E-Mail, Fernzugriff und Cloud verhindert die meisten Angriffe mit gestohlenen Passwörtern. Administratorkonten müssen getrennt und überwacht sein.
- Erkennung und Reaktion. Zentral gesammelte Protokolle, Überwachung rund um die Uhr und ein geübter Notfallplan verkürzen die Zeit vom Einbruch bis zur Erkennung. Diese Zeit bestimmt am stärksten das Ausmaß des Schadens.
- Menschen. Regelmäßige, kurze Schulungen und Phishing-Simulationen senken die Zahl erfolgreicher Betrugsversuche, und ein einfacher Weg zum Melden verdächtiger E-Mails ermöglicht schnelles Handeln.
Backups: die letzte Verteidigungslinie
Wenn alle anderen Maßnahmen versagen, entscheiden Backups darüber, ob Sie den Betrieb wiederherstellen können. Angreifer wissen das, deshalb gehört das Löschen oder Verschlüsseln von Backups heute zu den ersten Schritten eines Angriffs. Hat ein Angreifer Administratorzugriff auf die Domäne und den Backup-Server, sind auch die Kopien gefährdet.
- Unveränderlichkeit. Mindestens eine Kopie sollte so gespeichert sein, dass sie in einem festgelegten Zeitraum nicht verändert oder gelöscht werden kann, auch nicht mit Administratorrechten. Alternativ eignet sich eine physisch getrennte Kopie (Air Gap).
- Getrennte Zugangsdaten. Das Backup-System sollte nicht in derselben Domäne wie die Produktion liegen, der Zugriff ist mit MFA zu schützen.
- Zweiter Standort. Eine Kopie in einem anderen Rechenzentrum oder in der Cloud schützt auch vor Brand, Hochwasser oder Standortausfall.
- Getestete Wiederherstellung. Prüfen Sie regelmäßig, ob Sie komplette Systeme und nicht nur einzelne Dateien wiederherstellen können und wie lange das dauert. Vergleichen Sie das Ergebnis mit dem Ausfall, den sich Ihr Geschäft leisten kann.
- Reihenfolge der Wiederherstellung. Legen Sie vorab fest, welche Systeme zuerst wiederhergestellt werden. Üblich sind Identitäten, Netzwerk, wichtige Geschäftsanwendungen und Kommunikation.
Die Rolle der Geschäftsleitung
Ein Cyberangriff ist nicht nur ein technischer Vorfall. Währenddessen sind schnell geschäftliche Entscheidungen zu treffen: welche Dienste abgeschaltet werden, wie Kunden und Partner informiert werden, ob externe Experten hinzugezogen werden, wie mit den Medien kommuniziert wird und wann Behörden zu informieren sind. Diese Entscheidungen trifft die Geschäftsleitung, daher muss sie in Vorbereitung und Übungen einbezogen sein.
Gute Praxis ist, dass die Geschäftsleitung mindestens einmal jährlich an einer Planübung (Tabletop) teilnimmt, in der das Team ein Ransomware-Szenario durchspielt. Eine solche Übung zeigt schnell fehlende Kontakte, unklare Zuständigkeiten und Annahmen, die nicht stimmen. Für NIS2-pflichtige Unternehmen ist die Schulung der Geschäftsleitung zudem eine gesetzliche Pflicht.
Die ersten 72 Stunden nach einem Cyberangriff
Die ersten Stunden entscheiden, ob der Vorfall beherrschbar bleibt. Der folgende Rahmen ist allgemein gehalten, passen Sie ihn an Ihren Notfallplan an.
| Zeit | Wichtigste Schritte |
|---|---|
| Erste Stunde | Krisenteam aktivieren und Geschäftsleitung informieren. Betroffene Systeme vom Netzwerk isolieren, aber nicht herunterfahren und nichts löschen. Kompromittierte Konten und Fernzugänge deaktivieren. |
| Bis 24 Stunden | Ausmaß einschätzen: welche Systeme und Daten betroffen sind, ob die Backups unversehrt sind. Protokolle und Beweise sichern. NIS2-pflichtige Unternehmen senden die Frühwarnung an das BSI bzw. an die in Österreich zuständige Stelle. Kommunikation mit Beschäftigten und Kunden festlegen. |
| Bis 72 Stunden | NIS2-pflichtige Unternehmen senden die Vorfallsmeldung mit erster Bewertung. Bei einer Verletzung des Schutzes personenbezogener Daten informieren Sie die Datenschutzbehörde (DSGVO, Artikel 33). Beginnen Sie die Wiederherstellung der wichtigen Systeme aus nachweislich sauberen Kopien in der im Plan festgelegten Reihenfolge. |
| Nach 72 Stunden | Ursache des Einbruchs beseitigen (Schwachstelle, gestohlene Passwörter), Überwachung verstärken, Abschlussbericht und Liste der Verbesserungen erstellen. |
In Deutschland gehen Meldungen nach NIS2 an das BSI, in Österreich an die nach NISG 2026 zuständige Stelle, Unterstützung bietet zudem das CSIRT (CERT.at). Straftaten wie Erpressung zeigen Sie bei der Polizei an; in Deutschland gibt es dafür die Zentralen Ansprechstellen Cybercrime der Länder. Von einer Lösegeldzahlung raten die Behörden ab, denn sie garantiert die Rückgabe der Daten nicht und finanziert neue Angriffe.
Gesetzliche Vorgaben: NIS2, DSGVO und Meldepflichten
Für viele mittlere und große Unternehmen ist die Vorbereitung auf einen Angriff keine reine gute Praxis mehr, sondern gesetzliche Pflicht. In Deutschland setzt das NIS2UmsuCG die NIS2-Richtlinie um (zuständig ist das BSI), in Österreich das NISG 2026. Betroffene Einrichtungen müssen Risikomanagementmaßnahmen umsetzen und erhebliche Vorfälle innerhalb von 24 Stunden, 72 Stunden und einem Monat melden. Ob Sie betroffen sind, prüfen Sie im Leitfaden NIS2-Umsetzung.
Sind bei einem Angriff personenbezogene Daten betroffen, verlangt die Datenschutz-Grundverordnung (DSGVO) die Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden, in Deutschland an die zuständige Landes- oder Bundesbehörde, in Österreich an die Datenschutzbehörde. In bestimmten Fällen sind zusätzlich die betroffenen Personen zu informieren.
Wo Sie anfangen
- Füllen Sie die Bereitschaftsbewertung aus und beginnen Sie bei den drei vorgeschlagenen Maßnahmen.
- Prüfen Sie, ob mindestens ein Backup unveränderlich ist und ob Sie die Wiederherstellung in den letzten sechs Monaten getestet haben.
- Führen Sie MFA überall dort ein, wo ein Zugriff aus dem Internet möglich ist.
- Erstellen Sie einen kurzen Notfallplan mit Kontakten und testen Sie ihn mit einer Übung für die Geschäftsleitung.
Humanfrog stellt als Veeam-Silver-Partner Backups mit unveränderlichen Kopien in Rechenzentren der Kategorie TIER III bereit und unterstützt bei der Einführung von MFA und Managed-Security-Diensten sowie bei der Erstellung von Notfallplänen. Wenn Sie die Bewertung mit einem Experten besprechen möchten, schreiben Sie uns.
