.webp)
Identitätsbasierte Angriffe sind Cyberangriffe, bei denen sich Kriminelle als legitime Nutzer anmelden. Der typische Ablauf: Phishing-Mail → Fremdzugriff → Datenverlust. 82% aller Cyberangriffe richten sich gegen kleine und mittlere Unternehmen.
Zieh den Stuhl ran, ich werde dir etwas Wichtiges erzählen: Während du das hier liest, versucht gerade jemand, sich Zugang zu deinen Benutzerkonten zu verschaffen. Zur Abwechslung ist es tatsächlich mal so dramatisch wie es sich anhört. Aber auch bei Gefahr im Verzug, keine Panik. Ich rolle gleich aus, wie du dich und dein Unternehmen schützen kannst.
Ich schreibe aus gutem Grund. In den letzten Monaten kommt es immer wieder zu den gleichen Problemen: Identitätsbasierte Angriffe nehmen drastisch zu. Und das Hirnrissigste an der Sache? Alle glauben es betreffe nur Großkonzerne. Schwachfug ist so eine Ansicht.
Unternehmen und Unternehmer haben bereits genug zu tun, da wäre es schön, wenn die IT-Sicherheit sie mal in Ruhe lassen würde. Nachvollziehbar. Der Deal zwischen uns ist wie folgt: Nach diesem Artikel weißt du, welche Schritte dein Unternehmen schützen. Im Gegenzug kommen die Kollegen aus der IT früher nachhause. Die Umsetzung ist auch nicht so schwierig –Versprochen.
Zu Deutsch, handelt es sich um Jemanden der sich als du oder dein Mitarbeiter ausgegeben hat, um an sensible Daten zu gelangen oderanderweitig Schaden anzurichten.
Identitätsbasierte Angriffe = Cyberangriffe, bei denen sich Kriminelle/Täter/Angreifer als legitime Nutzer anmelden. Typischerweise: Phishing-Mail -> Fremdzugriff -> Datenverlust.
Das Alptraumszenario: Du kommst Montag ins Büro und der Kollege aus der Buchhaltung fragt, warum die am Wochenende die Kontodaten aller Kunden exportiert hast. Der Clou ist, das warst du gar nicht. Jemand hat sich einfach deines Namens und deiner Berechtigungen bedient.
Zu dem häufigsten Angriffsmethoden zählen:
Phishing: Täuschend echte E-Mails, die bekannte Absender imitieren
Credential Stuffing: Automatisierte Anmeldeversuche mit gestohlenen Zugangsdaten
Social Engineering: Gezielte Beeinflussung von Mitarbeitern
Account Takeover: Komplette Kontoübernahme mit fatalen Folgen
Und das Schlimmste daran, diese Angriffe nutzen keine technischen Schwachstellen aus. Sie nutzen deine digitale Identität. Gerade bei kleineren Unternehmen ist diese nur durch ein simples Passwort geschützt.
Am ende fragen immer alle „Woran hat et jelegen?“. Warum sollte sich jemand die Mühe machen und mein kleines Unternehmen angreifen?
Hier kommt die unbequeme Wahrheit: Laut Bitkom haben 73% der KMU mindestens einen Cyberangriff erlebt. Warum? Weil Angreifer wissen, dass KMUs oft weniger gutgeschützt sind als Großkonzerne.
Man denkt, man ist zu klein, um ein interessantes Ziel zu sein. Aber du hast Kundendaten, direkte Kontakte, Bankverbindungen, vielleicht sogar ein paar Entwicklungsdokumente, etwas Quellcode oder gar Geschäftsgeheimnisse. Für Angreifer ein gefundenes Fressen, dass entweder direkt zu Geld gemacht werden kann oder zur Vorbereitung weiterer Angriffe verhilft.
Die Angriffszahlen explodieren förmlich:
Und weißt du, was das Schlimmste ist? Die meisten dieser Angriffe wären vermeidbar gewesen.
Kennst du die Firma FACC? Ein Zulieferer für Airbus und Boing aus Österreich. Und was ist passiert?
Ein Angreifer hat sich im Januar 2016 via Mail als CEO Walter Stephan ausgegeben und eine dringende Überweisung von 42 Millionen Euro für ein angebliches Akquisitionsprojekt in Asien angefordert. Der Kollege in der Buchhaltung hat das auch umgesetzt, schließlich kam die Maildirekt vom Chef. Nur eben nicht der echte Chef.
Nach dem Erlangen von Zugang zum E-Mail-System hat der Angreifer die Schreibweise des Geschäftsführers studiert, um ihn nachahmen zu können. Aus Perspektive des Mitarbeiters war die Nachricht absolut authentisch. Inklusive üblicher Formulierungen und den gängigen Imperativ.
Ergebnis: FACC hat 42 Millionen Euro verloren (10,9 Millionen konnten noch gestoppt werden), CEO gekündigt, die Aktie stürzt in die Tiefe. Das Unternehmen hat gegen die entlassenen Führungskräfte geklagt und vor Gericht verloren. Bis heute sind die über 30 Millionen Euro weg.
Hier sind fairerweise mehr als nur der Angriff schiefgelaufen. Interne Kontrollen waren irgendwo zwischen nicht existent und mangelhaft.
Snapchat kennt man (wie lange kann man eigentlich unprofitabel sein?). Im Februar 2016 hat ein Mitarbeiter der Personalabteilung eine E-Mail bekommen, die angeblich von CEO Evan Spiegel stammte. Der Fake-CEO wollte dringend alle W-2-Formulare (US-Lohnsteuerbescheinigung) aller aktuellen und ehemaligen Mitarbeitern für ein wichtiges Projekt.
Der Mitarbeiter hat brav alle Daten verschickt:
Identitätsdiebstal war noch nie einfacher.
Ergebnis: Snapchat musste das FBI einschalten, allen betroffenen Mitarbeitern zwei Jahre Kredit-Monitoring spendieren und sich öffentlich entschuldigen. Peinlich genug, aber relativ harmlos im Verhältnis zum Vertrauensverlustinnerhalb der Belegschaft.
Es handelte sich hier nicht um einen hochkomplexen Hackerangriff. Es war eine simple E-Mail von jemandem, der sich mehr als 5 Minuten Mühegegeben hat.
Maersk: Weltmarktführer im Containerversand. Scheinbar werden sogar ein Viertel der weltweiten Nahrungsmittel von denen transportiert. Juni 2017 war dann Schluss. Innerhalb von sieben Minuten waren 49.000 Laptops und 4.000 Server tot. NotPetya (Malware) ist bei Maersk eingeschlagen.
Und wie ist das passiert? Über eine kompromittierte Buchhaltungssoftware namens M.E.Doc aus der Ukraine. Russische Hacker haben monatelang die Update-Server gehackt und auf den richtigen Moment gewartet. Maersk hatte zu diesem Zeitpunkt nur einen einzigen Computer in Odessa mit dieser Software. Das hat gereicht.
Ergebnis: 300 Millionen Dollar Schaden, neun Tage keine IT, Schiffe ohne Informationen über ihre Ladung. Häfen haben weltweitstillgestanden. Wie kam die Rettung? Ein Domain Controller in Lagos, Nigeria war zufällig durch einen Stromausfall offline und damit sauber.
Das Gemeinsame an allen Fällen? Hätten durch einfache Sicherheitsmaßnahmen verhindert werden können. Aber dazu kommen wir gleich.
Bei der Diskussion dieser Angriffe kommt das Verständnis für die Effektivität meist etwas kurz. Wieso funktioniert es denn überhaupt?
Wenn der Vorgesetzte schreit, dann springst du. Ich auch, ist menschlich. Genau das machen sich Angreifer zu nutze. Wenn Angreifer es schaffen sich erfolgreich als Vorgesetzte, wichtige Kunden oder Behördenauszugeben, dann schalten viele das Gehirn auf ihren Gefügigkeits-Modus.
"DRINGEND: Ihr Konto wird in 24 Stunden gesperrt!"- kennst du, oder?
Zeitdruck ist nicht nur eine Vertriebstaktik von drittklassigen Verkauftrainern, er ist auch sehr förderlich für schlechte Entscheidungen. Das Wissen Angreifer und nutzen es gnadenlos aus.
Unter Kaufleuten basiert viel auf Vertrauen. Das ist auch gut so, aber es macht alle Beteiligten auch verwundbar. Wenn die neu eingetroffene Mail authentisch nach Microsoft, Amazon oder der lokalen Sparkasse aussieht, dann wird das schon hinkommen. Und Zack, der Mitarbeiterverrät freiwillig sein Login-Daten.
Bequemlichkeit ist der Feind. „Firmenname2025!“ ist gut zu merken und deshalb nutze ich auch überall als Passwort. Schlechte Angewohnheiten machen es Angreifern leicht. Wenn nun ein Account kompromittiert ist, dann sin des alle anderen auch.
Was steht denn konkret auf dem Spiel. Keine Angstmacherei, einfach Risiken.
Finanzieller Schaden
Der offensichtlichste Punkt. Aber es geht nicht nur um gestohlenes Geld:
Durchschnittlich kostet ein erfolgreicher Angriff KMUs 135.000 Euro. Bei vielen ist das ein Jahresgewinn.
Hier wird's richtig ungemütlich. Wenn personenbezogene Datenabfließen, hast du ein massives Problem:
Von Heute-auf-Morgen sind alle Systeme verschlüsselt. Keine E-Mails, keine Aufträge, keine Rechnungen. Wie lange haltet ihr das durch?
KMUs mit genügend Cashflow um 30 Tage durchzuhalten sind nicht untypisch. Was macht ihr, wenn es doch länger dauern sollte?
Von vielen unterschätzt. Es gibt zu genüge KMUs die rein von ihrer Mundpropaganda leben. Wenn diese begeisterten Kunden nun ein anderes Bild von euch haben und wenn dann noch die Lokalzeitung über den Hack berichten, dann wird hängenbleiben, dass ihr das gehackte Unternehmen seid.
Trübsal blasen ist aber auch langweilig. Worauf es ankommt: Wie du dich, dein Unternehmen und deine Kollegen schützen kannst. Sollte auch ohne große Budgets gehen. Auch nochmal weiterführend vom BSI.
Wenn du nur Eine Sache von meinem Palaver mitnimmst, dann bitte:
Schalte deine Multi-Faktor-Authentifizierung ein!
Was ist das? Neben deinem Passwort benötigst du einen zweiten Faktor, um dich zu identifizieren. Meistens läuft dies über dein Handy oder über Authentifizierungsgeräte. Meistens etwas nervig, aber laut Microsoftverbessert es die Sicherheit deiner Accounts um etwas über 99%.
So gehst du vor:
Sekerheit-Tipp: Ich nutze für Firmenkunden gerne Hardware-Token wie YubiKeys. Einmal eingerichtet, super einfach in der Nutzung.
Sei bitte ehrlich! Du benutzt eine kleine Anzahl an Passwörtern für alle Accounts. Tu das bitte nicht.
Ich kann dir Bitwarden oder 1Password empfehlen. Beide funktionieren in der Praxis gut und sind auch für Teams geeignet. Noch mehr Vorschläge.
Vorteile:
Kosten: Ab 3 Euro pro Nutzer/Monat. Ernsthaft, das ist weniger als ein Kaffee.
Die beste Technik bringt nichts, wenn deine Mitarbeiter auf jeden Link klicken. Manchmal reicht es die Kollegen regelmäßig zu erinnern.
E-Mail-Vorlage für Mitarbeiter:
Betreff: WICHTIG: Kurze Sicherheits-Info - bitte lesen
Hi Team,
kurze Erinnerung zu verdächtigen E-Mails:
✓ Bei Geldforderungen IMMER telefonisch rückfragen
✓ Links genau prüfen (mouse-over!)
✓ Anhänge von Unbekannten = No-Go
✓ Dringlichkeit = Warnsignal
Unsicher? Lieber einmal zu viel bei mir melden als einmal zu wenig.
Danke fürs Mitdenken!
[Dein Name]
"Zero Trust" klingt unheimlich hart, ist aber eigentlich simple Vorsicht: Jede Anfrage wird geprüft, egal von wem sie kommt. Wirklich egal von wem.
Klingt nach Enterprise, klingt teuer? Gibt's auch in klein und bezahlbar.
Empfehlenswerte Lösungen:
Hierbei bitte auch den europäischen Datenschutz beachten.
Was du damit bekommst:
Du musst wissen, was in deinen Systemen los ist. Aber keine Sorge, du brauchst kein Security Operations Center.
[ ] Betroffene Accounts sofort sperren
[ ] Passwörter aller verbundenen Systeme ändern
[ ] IT-Dienstleisterinformieren
[ ] Beweise sichern (Screenshots!)
[ ] Bei Kundendaten: DSGVO-Meldung vorbereiten
[ ] Kommunikationsplan aktivieren
Okay, du bist überzeugt und willst loslegen. Hier ist dein konkreter Fahrplan:
Tag 1-2: Bestandsaufnahme
Tag 3-5: MFA aktivieren
Tag 6-7: Passwort-Manager einrichten
Tag 8-10: Mitarbeiter briefen
Tag 11-14: Prozesse etablieren
Tag 15-17: Zugriffsrechte prüfen
Tag 18-21: Backup-Strategie
Tag 22-25: Security-Tests
Tag 26-30: Dokumentation und Review
Lass uns über Geld reden. Ich habe noch kein Security-Team mit ausreichend Budget getroffen. Schauen wir mal, was wahrscheinlich ein Minimum sein sollte:
Basis-Schutz (Must-Have)
Erweiterter Schutz (empfohlen)
Premium-Schutz
Alles nur Richtwerte natürlich.
Meine Empfehlung? Starte mit Basis-Schutz und baue schrittweise aus. 50€ im Monat tun keinem weh, können aber deine Firma retten.
Typische Fehler und wie du sie vermeidest
Aus Erfahrung kann ich dir sagen: Diese Fehler sehe ich immer wieder. Lern draus!
Fehler 1: "Einmal einrichten und vergessen"
Security ist kein Projekt, sondern ein Prozess (Stichwort: PDCA). Plane monatliche Reviews ein. Dauert 30 Minuten, spart potenziell Millionen.
Fehler 2: "Zu kompliziert für meine Mitarbeiter"
Wenn deine Security-Maßnahmen die Arbeit behindern, werden sie umgangen. Finde die Balance zwischen Sicherheit und Usability. Manchmal ist man faul, Lösungen sollten sich den Workflows/Prozessen anpassen.
Fehler 3: "Wir sind zu klein für Angriffe"
Der Klassiker. Gerade WEIL du klein bist, bist du ein attraktives Ziel. Weniger Schutz = leichteres Spiel.
Fehler 4: "Das IT-Systemhaus kümmert sich"
Dein IT-Dienstleister ist wichtig, aber Security ist Chefsache. Du musst die Grundlagen verstehen und Entscheidungen treffen. Uninformiert sein ist ein Luxus den ein Geschäftsführer nicht hat.
Fehler 5: "Passwort-Zettel im Schreibtisch"
Jeder kennt es: Post-Its am Monitor, Excel-Listen mit Passwörtern, Zettel in der Schublade. Stopp! Passwort-Manager oder gar nichts.
Juristerei ist weniger sexy, aber muss leider manchmal sein.
Die DSGVO verlangt "angemessene" Schutzmaßnahmen. Was heißt das konkret?
Minimum für KMUs:
Die 72-Stunden-Regel: Bei Verlust von personenbezogenen Daten musst du binnen 72 Stunden die Aufsichtsbehörde informieren.
Was du vorbereiten solltest:
Ja, nervt. Muss halt sein. Dokumentiere:
Sekerheit-Tipp: Ein einfaches Wiki (Notion, Confluence) reicht völlig aus.
Die Gretchenfrage (Faust? 6/10 Sternen). Meine Meinung? Kommt drauf an.
Sinnvoll wenn:
Check vorher:
Preise starten bei ~1000€/Jahr für Basis-Schutz.
Hier meine persönlichen Empfehlungen aus der Praxis:
Passwort-Manager
MFA-Lösungen
Schulungs-Ressourcen
Monitoring-Tools
Notfall-Kontakte
Bis du diesen Satz zu Ende gelesen hast, sind die folgenden Infos schon beinahe alt. Aber was kommt auf uns zu?
Die schlechte Nachricht: Angriffe werden immer raffinierter. Deepfakes, perfekt formulierte Phishing-Mails, automatisierte Social-Engineering-Kampagnen.
Die gute Nachricht: Auch die Abwehr wird intelligenter. KI-basierte Anomalie-Erkennung wird bezahlbar.
Passwörter sterben aus. Passkeys (wie bei Apple und Google)werden Standard. Sicherer und bequemer. Win-win.
Noch Zukunftsmusik, aber: Aktuelle Verschlüsselung wird irgendwann knackbar. Plane langfristig Post-Quantum-Cryptography ein. Übersteigt auch meinen Horizont, aber wenn es soweit ist, gibt es sicherlich adäquate Softwarelösungen.
NIS2, KI-Verordnung (AI Act), Cyber Resilience Act (CRA). Es kommen mehr Pflichten. Wer jetzt schon gut aufgestellt ist, hat es später leichter.
Da war ein Haufen Input, den einige von Euch wirklich lesen sollten. Für den Rest einmal zusammengefasst:
Die Investition lohnt sich wirklich. Der Seelenfrieden sein Due Diligence getan zu haben und die Vorbereitung auf den Ernstfall sind einiges wert. Zudem werden dir die Prozesse, die im Rahmen der Vorbereitung auf den Ernstfall geschaffen wurden, im weiteren Skalieren deines Unternehmenshelfen.
Sekerheit-Tipp: Fang gleich mit MFA für deinen E-Mail-Account an. Dauert 5 Minuten, kostet nichts, macht dich 100x sicherer. So läuft‘s:
Wenn du das geschafft hast, hast du den wichtigsten Schritt schon gemacht. Der Rest kommt dann fast von selbst.
Identitätsbasierte Angriffe sind eine echte Bedrohung, aber eben keine vor der du kapitulieren musst. Mit eine wenig Mühe wird es schwierig für Angreifer. Mit etwas Glück suchen diese *********** sich ja ein leichteres Ziel.
Ja, es ist Aufwand. Ja, es kostet ein wenig Geld. Aber verglichen mit dem potenziellen Schaden ist es verschwinden gering. Und 50€ sind mittlerweile nicht mal mehr eine Tankfüllung. Das sollte noch drin sein.
Du hast ein Unternehmen aufgebaut, Kunden gewonnen, Mitarbeiter eingestellt. Das alles zu schützen ist nicht optional. Es ist deine Verantwortung. Und jetzt weißt du, wie es geht.