Die größten Security-Fehler deutscher KMU

Der Großteil der Cyberangriffe und des durch sie verursachten Schadens entfällt nicht auf die besonders spektakulären Hacks, die es bis in die Nachrichten schaffen. Zumeist sind es kleine Alltagsfehler wie falsche Konfigurationen, verschlafene Patches und menschliche Unachtsamkeit, die Angreifern die Tür öffnen und Unternehmen teuer zu stehen kommen.

In der öffentlichen Wahrnehmung spielen besonders die großen, aufsehenerregenden Cyberattacken eine Rolle, die bekannte Unternehmen treffen und oft mit Lösegeldforderungen in Millionenhöhe verbunden sind. Tatsächlich sind diese meist sehr gezielten und für die Angreifer vergleichsweise aufwändigen Fälle jedoch nur die sprichwörtliche Spitze des Eisbergs – sowohl hinsichtlich der Anzahl als auch des Schadens. Das unterstreicht der aktuelle Cyber Protect Report 2026 des Security-Herstellers Sonicwall. Ihm zufolge stagniert die Zahl der Angriffe zwar auf hohem Niveau, während die von ihnen ausgehende Gefährdung jedoch weiter deutlich ansteigt. Denn, indem sie neue Möglichkeiten wie die Unterstützung durch KI nutzen, um klüger und gezielter agieren, steigern die Angreifer ihre Erfolgsquote spürbar. Vor allem die Zahl der kritischen Angriffe, also der Treffer mit mittlerer oder hoher Kritikalität, hat dadurch laut dem Report deutlich zugelegt.

Zugleich liegen die Ursachen und Einfallstore auf Seiten der Opfer weiterhin zumeist in altbekannten Fehlern und Lässlichkeiten wie ungepatchten Schwachstellen, unsauberen Konfigurationen sowie fehlendem Knowhow und Gefahrenbewusstsein begründet. Dementsprechend ist es für die meisten deutschen Unternehmen, gerade aus dem Mittelstand, wenig hilfreich, sich hinsichtlich des eigenen Schutzbedürfnisses an den Einzelfällen der teils hochkomplexen Spezialangriffe zu orientieren. Vielmehr gilt es für sie, die typischen Fehler zu vermeiden, die zu jenem Großteil der Angriffe führen, der unterhalb der Wahrnehmungsschwelle nationaler Nachrichtensendungen verläuft. "Die Unternehmen, die am stärksten betroffen sind, scheitern nicht, weil heutige Angriffe hochkomplex sind. Sie scheitern an vorhersehbaren, vermeidbaren Schwachstellen", erklärt Johannes Dahmen, der Regional Manager Germany bei Sonicwall ist.

Sieben Todsünden der Cybersicherheit bei KMU

Um den Unternehmen dafür ein Rahmenwerk an die Hand zu geben, fasst Sonicwall die wichtigsten und häufigsten dieser Versäumnisse und Pannen plakativ in den "sieben Todsünden der Cybersicherheit" zusammen:

1. Nachlässigkeit: Ungepatchte Systeme, schwache Authentifizierung und allzu weitreichende Rechte, insbesondere bei Administratoren, bilden nach wie vor die größte Angriffsfläche. Wer schon solche elementaren Grundlagen versäumt, öffnet den Angreifern damit Tür und Tor. Ein drastisches Beispiel dafür liefert die Log4j-Schwachstelle, die im Jahr 2025, also vier Jahre nach ihrer Entdeckung, noch immer über 825 Millionen Mal angegriffen wurde.
2. Selbstüberschätzung: Nicht nur die Überschätzung der eigenen Sicherheitsmaßnahmen und Resilienz ohne entsprechende Tests und Nachweise kann allzu schnell zu gefährlichen Schwachstellen und blinden Flecken führen. Auch die immer wieder postulierte Annahme, zu klein zu sein, um ins Visier der Cyberkriminellen zu geraten, lässt gerade kleinere Unternehmen immer wieder blind in die Fallen tappen.
3. Maßlosigkeit: Zu großzügige Regeln mit ausufernden Zugriffsrechten, flache Netzwerke und implizites Vertrauen nach der Authentifizierung eröffnen Angreifern freie Bahn, sobald sie einmal im Netzwerk sind.
4. Passivität: Während die IT-Verantwortlichen davon ausgehen, Angriffe im Durchschnitt nach spätestens 8 Stunden zu bemerken, bleiben Sicherheitsverletzungen im Schnitt tatsächlich 181 Tage lang unentdeckt. Damit haben die Angreifer alle Zeit der Welt, Daten zu stehlen, weitere Hintertüren zu finden und sich tiefer ins Netzwerk vorzuarbeiten. Um das zu ändern, gilt es, sich von reaktiven Sicherheitsstrategien zu verabschieden und stattdessen auf aktive Optionen wie 24/7-Monitoring und Threat-Hunting zu setzen.
5. Geiz: Wer notwendige Sicherheitsinvestitionen aufgrund von Kostendruck und kurzfristigen Budgetzwängen aufschiebt oder gar streicht, zahlt dafür oft später einen deutlich höheren Preis: Inklusive Faktoren wie Ausfallzeiten und Wiederherstellung kann ein einziger Sicherheitsvorfall KMUs schnell über 4,5 Millionen Euro kosten.
6. Trägheit: Veraltete Zugriffsmodelle wie etwa VPNs, bei denen eine einmalige Authentifizierung erfolgt und die anschließend einen weitreichenden Netzwerkzugriff gewähren, gehören weiterhin zu den am häufigsten ausgenutzten Einstiegspunkten in der Unternehmenssicherheit. Der Report konstatiert hier einen Anstieg der VPN-Schwachstellen (CVE) um 82,5 Prozent.
7. Hochmut: Selbst wer stets dem neuesten Hype folgt und die aktuellsten und angesagtesten Sicherheitstools nutzt, ist damit nicht automatisch vor fatalen Angriffen gefeit. Denn ohne richtige Implementierung und konsequente Umsetzung bleiben Lücken in Prozessen und Sicherheitsstrategien auch mit der neusten Technologie offen und damit eine Schwachstelle.

"Wir sehen immer wieder bei unseren Kunden Insellösungen, die auf Hypes zurückgehen", bestätigt Boris Wetzel, Geschäftsführer des SonicWall Partners choin! aus Weinheim. Er gibt zu bedenken: "Aber wichtiger als einzelne technische Maßnahmen ist ein ganzheitliches Cybersicherheitskonzept, das die Unternehmen dann konsequent gemeinsam mit Ihren Partnern umsetzen." Sein Team beginnt die Arbeit deshalb zunächst mit einer umfassenden Bestandsaufnahme in Form eines Security Basis Checks und erstellt darauf aufbauend dann gemeinsam mit dem Kunden einen Bedarfs- und Aktionsplan.

In den meisten Fällen sind die Kunden schon damit überfordert, solche Probleme selbst zu erkennen, geschweige denn die entsprechenden Schritte zu ihrer Beseitigung zu definieren und umzusetzen. "Für unsere Partner gibt es viel zu tun", folgert Dahmen. Und das komme nicht nur den Systemhäusern und Dienstleistern zugute: "Wer KMUs schützt, schützt uns als Gesellschaft", postuliert Dahmen aufgrund der besonderen Wichtigkeit der KMU, die in Deutschland 99 Prozent der Firmen und fast die Hälfte aller Arbeitsplätze im privaten Sektor stellen.

CRN-Newsletter beziehen und Archiv nutzen - kostenlos: Jetzt bei der CRN Community anmelden