Cyberrisiken im Mittelstand: Diese 7 Schwachstellen sind typisch

Cyberrisiken im Mittelstand. Das größte Risiko entsteht oft nicht durch „Hightech-Hacker“, sondern durch ungepatchte Systeme, zu große Zugriffsrechte und Phishing, das Mitarbeitende zu echten Passwörtern verleitet.

Wenn im Alltag Updates ausfallen, alte Produktionsrechner weiterlaufen und ein externer IT-Dienstleister „kurz mal“ alles administriert, kann ein einzelnes gestohlenes Passwort reichen, damit Angreifer sich unbemerkt durchs Netzwerk bewegen. Genau diese Muster beschreibt der Gesamtverband der Deutschen Versicherungswirtschaft (GDV) in einem Interview mit dem Cybersicherheitsexperten Michael Wiesner, der seit Jahren Sicherheitschecks in mittelständischen Betrieben durchführt.

Im jüngsten Check fand Wiesner in elf von zwölf geprüften Unternehmen Lücken, über die Angreifer potenziell unbemerkt einsteigen könnten. In rund drei Viertel der Betriebe galten die Schwachstellen als so gravierend, dass ein Angriff „trivial einfach“ wäre.

Was in vielen Betrieben schiefläuft und warum das alltagsrelevant ist

Die Befunde drehen sich immer wieder um ähnliche Grundlagen. Das ist praktisch, weil sich daraus konkrete Prioritäten ableiten lassen, ohne zuerst jedes Detail der IT verstehen zu müssen.

• Veraltete Software bleibt im Betrieb. In neun von zwölf Unternehmen liefen Systeme ohne Hersteller-Updates weiter, zum Beispiel Windows XP oder veraltete Server und Webseiten-Software. In Produktion und Fertigung ist Austausch oft teuer, weil Software an Maschinen hängt und Stillstand kostet. Kritisch wird es laut Wiesner vor allem dann, wenn solche Alt-Systeme ohne Schutzmaßnahmen direkt im Unternehmensnetz oder sogar am Internet hängen.
• Bekannte „Alt-Schwachstellen“ sind noch offen. Wiesner nennt Beispiele wie EternalBlue, BlueKeep oder MS08-067. Das sind Lücken, für die es seit Jahren Patches gibt. Wenn sie ungepatcht bleiben, kann die Kompromittierung eines Systems laut Wiesner teils in weniger als einer Minute gelingen.
• Passwörter werden durch Phishing abgegriffen. In einem Phishing-Test scheiterten fünf von elf Unternehmen, Mitarbeitende gaben echte Zugangsdaten auf gefälschten Seiten ein. In einem Betrieb betraf es zehn Personen. Das Problem ist weniger die einzelne Mail, sondern was danach möglich wird.
• Gestohlene Zugangsdaten sind oft der Startpunkt der Angriffskette. Angreifer melden sich über VPN, Cloud-Dienste oder E-Mail-Konten als „normale Nutzer“ an. Danach folgen häufig Rechteausweitung und „Lateral Movement“, also das schrittweise Bewegen durchs Netzwerk über Tage oder Wochen, bis sensible Daten kopiert oder Systeme verschlüsselt werden.
• Zugangsdaten werden weiterverkauft. Wiesner ordnet Passwörter als Handelsware ein. Wer sie abgreift, nutzt sie nicht zwingend selbst. Das erhöht das Risiko, dass aus einem scheinbar kleinen Vorfall später ein größerer wird.
• Digitale Lieferketten sind ein blinder Fleck. Selbst gut abgesicherte Unternehmen können betroffen sein, wenn Softwarehersteller, Cloud-Anbieter oder IT-Dienstleister kompromittiert werden. Für die Schadendynamik zählt auch, ob viele Betriebe dieselben Plattformen nutzen und dadurch Konzentrationsrisiken entstehen.
• Externe Dienstleister haben zu weitreichende Rechte. Laut Wiesner haben externe IT-Dienstleister in vielen Betrieben umfangreichen Zugriff, ohne dass klare Sicherheitsanforderungen gestellt oder Kontrollen etabliert sind. Nur jedes vierte Unternehmen habe das im Griff. Als Gegenmodell nennt er ein strukturiertes Drittparteien-Management mit Anforderungen, Verträgen, Audits und regelmäßigen Prüfungen.

Welche Schutzlogik hinter den wichtigsten Maßnahmen steckt

Wiesners Einordnung läuft auf eine einfache Risikologik hinaus. Technische Altlasten müssen nicht automatisch „unverantwortlich“ sein, wenn sie abgesichert betrieben werden.

• Transparenz als Grundlage. Wer nicht genau weiß, welche Systeme laufen und wie ihr Sicherheitsstatus ist, übersieht typische Einfallstore. Wiesner nennt dafür regelmäßige Schwachstellenscans und systematisches Asset-Management als Hebel, um bekannte Lücken überhaupt sichtbar zu machen.
• Schadensbegrenzung durch Trennung. Wenn alte Systeme bleiben müssen, helfen laut Wiesner Maßnahmen wie konsequente Netzwerksegmentierung, Isolation kritischer Anlagen, strenge Zugriffsregeln und kontinuierliche Überwachung. Die Idee ist, dass ein einzelner Einstieg nicht automatisch das ganze Netzwerk öffnet.
• Kontrolle von Dienstleisterzugängen. Je mehr Rechte ein externer Dienstleister hat, desto wichtiger werden klare Regeln und Überprüfung. Fragebögen allein hält Wiesner für wenig belastbar, weil Selbstauskünfte stark davon abhängen, wer sie ausfüllt.

Wie KI die Lage verändert, ohne die Basics zu ersetzen

Generative KI macht Phishing laut Wiesner schneller, fehlerloser und personalisierter, also leichter zu skalieren. Gleichzeitig kann KI bei Erkennung, Analyse und Reaktion helfen. Er beschreibt das als „AI vs. AI“.

Die praktische Konsequenz ist weniger eine neue Wunderlösung, sondern ein Zeitfaktor. Angriffe werden schneller vorbereitet und durchgeführt. Verteidigung muss ebenfalls schneller reagieren können. Dadurch gewinnen Routine-Prozesse wie Patchen, Rechteverwaltung und Monitoring eher an Bedeutung, statt weniger.

Ein Satz, der als Faustregel taugt

Cyberversicherungen können finanzielle Folgen abfedern, aber einen Sicherheitsvorfall nicht verhindern. Entscheidend bleibt ein kontinuierlicher Prozess aus Überblick, Priorisierung und Kontrolle, weil viele Schäden laut GDV-Experte aus bekannten und vermeidbaren Standardproblemen entstehen. red