Stell dir einen Einbrecher vor, der vor einer verschlossenen Tür steht. Er könnte mühsam das Schloss knacken, oder er kauft sich für ein paar Euro einfach den passenden Schlüssel. In der digitalen Welt ist die zweite Variante längst die Regel. Die romantische Vorstellung vom Hacker, der nächtelang komplexen Code schreibt, um Firewalls zu überwinden, entspricht nicht mehr der wirtschaftlichen Realität der Cyberkriminalität.
Ein industrialisierter Handel mit Zugangsdaten
Interne Analysen von Baobab Risk Solutions für einen aktuellen Data Breach Report zeigen ein klares Muster: 91 Prozent der analysierten Datenleaks enthalten Passwörter im Klartext, sofort lesbar und einsatzbereit. Damit wird der initiale Zugriff auf ein Unternehmen trivial und kosteneffizient. Wie industrialisiert dieser Handel inzwischen ist, zeigt ein beobachteter Telegram-Kanal: Gegen ein Monatsabonnement von rund 250 US-Dollar erhalten Käufer täglich Zugriff auf tausende frisch gestohlene Datensätze.
Die unabhängige Datenlage bestätigt diesen Befund. Laut dem Verizon Data Breach Investigations Report 2025 sind gestohlene Zugangsdaten weiterhin der häufigste initiale Angriffsvektor, verantwortlich für 22 Prozent aller untersuchten Sicherheitsverletzungen. Bei Angriffen auf einfache Webanwendungen kamen sogar in 88 Prozent der Fälle gestohlene Credentials zum Einsatz. Wer einmal in den einschlägigen Datensammlungen des Darkwebs gelandet ist, bleibt zudem über Jahre als Ziel markiert: Die Duplikationsrate liegt laut Baobab bei rund 88,7 Prozent, dieselben gestohlenen Datensätze tauchen also immer wieder in neuen Sammlungen auf und werden automatisiert gegen Netzwerke eingesetzt. Treiber dieser Entwicklung sind vor allem Info-Stealer, also Schadsoftware, die unbemerkt Zugangsdaten direkt aus dem Browser, aus Passwort-Managern oder aus aktiven Sitzungen extrahiert. Die Angriffsstrategie verschiebt sich damit weg von singulären, massiven Server-Hacks hin zur Skalierung durch tausende kleine Info-Stealer-Infektionen, ein Trend, bei dem die Komplexität eines Passworts zweitrangig wird, sobald es im Klartext zum Verkauf steht.
„Wir sind zu klein" ist ein gefährlicher Trugschluss
In den Geschäftsführungen kleinerer Unternehmen hält sich hartnäckig die Annahme, man sei für Angreifer uninteressant. Laut dem aktuellen Lagebericht des BSI zur IT-Sicherheit in Deutschland 2025 richteten sich jedoch rund 80 Prozent der angezeigten Ransomware-Angriffe gegen kleine und mittlere Unternehmen, denen häufig die Mittel und das Wissen fehlen, um sich eigenständig zu schützen. KMU erfüllen laut BSI im Schnitt nur etwa 56 Prozent der Basisanforderungen an IT-Sicherheit und überschätzen ihr eigenes Schutzniveau regelmäßig.
Entscheidend ist dabei ein Perspektivwechsel: Angreifer messen die Attraktivität eines Ziels nicht am Umsatz, sondern an der Menge personenbezogener Daten. Bereits 31 Prozent aller Unternehmen mit weniger als 5 Millionen Euro Jahresumsatz verwalten mehr als 10.000 personenbezogene Datensätze, elf Prozent der Kleinunternehmen verfügen sogar über Datenbestände zwischen 100.000 und 500.000 Einträgen. Gelingt Angreifern der Weg ins System, sind die wirtschaftlichen Folgen erheblich: Ein einzelner gestohlener Datensatz kostet ein Unternehmen im Durchschnitt rund 134 Euro, zusammengesetzt aus Eigenschäden wie Incident Response, Forensik, Krisenkommunikation, Bußgeldern und Rechtsberatung sowie aus Drittschäden etwa durch Gerichtsverfahren betroffener Parteien. Verliert ein mittelständisches Unternehmen 10.000 Datensätze, summiert sich der theoretische Schaden bereits auf 1,34 Millionen Euro, für viele KMU eine existenzbedrohende Größenordnung.
Der Mensch bleibt das Hauptziel
So sehr die technische Angriffsfläche im Fokus steht, die teuersten Schäden entstehen oft woanders. Die Auswertung realer Schadenfälle zeigt, dass technische Hacks seltener der direkte Grund für finanzielle Verluste sind, in den meisten Fällen spielt der Mensch die entscheidende Rolle. First-Party-Schäden, etwa durch Phishing, machen mit 39 Prozent den größten Anteil aus, dicht gefolgt von Business Email Compromise mit 37 Prozent. Klassische Ransomware liegt mit neun Prozent deutlich dahinter.
Diese Zahlen gewinnen vor dem Hintergrund einer aktuellen Entwicklung an Brisanz: Laut dem ENISA Threat Landscape 2025 wurden bereits Anfang 2025 mehr als 80 Prozent der weltweit beobachteten Social-Engineering-Aktivität durch KI unterstützt. Phishing bleibt mit 60 Prozent der dominante Vektor für den initialen Zugriff, und KI-generierte Nachrichten sind von echter Korrespondenz kaum noch zu unterscheiden. Die Belegschaft allein zu sensibilisieren reicht deshalb nicht mehr aus.
Drei Hebel, die den Unterschied machen
Die gute Nachricht: Die meisten Angriffe sind nicht hochkomplex, sondern opportunistisch. Wer den Weg des geringsten Widerstands versperrt, fällt aus dem Raster automatisierter Massenangriffe heraus, dafür braucht es keine digitale Festung, sondern drei konsequent umgesetzte Praktiken.
Der wirkungsvollste Hebel ist Multi-Faktor-Authentifizierung. Sie stellt sicher, dass ein Login nur dann erfolgreich ist, wenn neben dem Passwort ein zweiter, persönlicher Faktor erbracht wird, selbst ein gestohlenes Passwort scheitert dann an dieser Hürde. Genau hier klafft im Mittelstand die größte Lücke: Laut Baobab-Daten arbeiten 53 Prozent der Unternehmen mit weniger als fünf Millionen Euro Umsatz vollständig ohne MFA, erst ab 50 Millionen Euro Umsatz gehört sie zum Standard.
Der zweite Hebel betrifft die Erkennung. Da KI-gestütztes Phishing Täuschungen immer realitätsnäher macht, reicht Bewusstsein allein nicht aus, entscheidend ist kontinuierliche Überwachung internetexponierter Systeme. Rund 75 Prozent der kritischen Bedrohungsaktivität entfallen dabei auf nur zwei Bereiche: den Netzwerk-Perimeter mit VPNs und Firewalls sowie Kollaborationswerkzeuge wie E-Mail. Veraltete VPN-Gateways oder ungepatchte Server wirken dabei wie offene Fenster im Erdgeschoss. Kleinere Organisationen weisen mit 12,7 Prozent kritischen Schwachstellen doppelt so viele auf wie Großunternehmen mit 6,23 Prozent, vor allem eine Frage fehlender Patch-Disziplin.
Der dritte Hebel ist das verifizierte Backup. Ein ungetestetes Backup ist keine Sicherheitsmaßnahme, sondern eine vage Hoffnung, ein Fehler, der auch größeren Unternehmen unterläuft: 21 Prozent der Großunternehmen testen ihre vollständige Wiederherstellung nicht regelmäßig. Dabei zeigt eine Analyse von 245 realen Ransomware-Fällen, dass rund 77 Prozent der betroffenen Unternehmen kein Lösegeld zahlten, weil funktionierende Backups und professionelle Incident Response griffen. Und selbst wo verhandelt wurde, ist die Erstforderung so gut wie nie der Endpreis, im Schnitt ließ sie sich um 51 Prozent reduzieren.
Aus Hygiene wird Routine
Unternehmen sind dem Risiko nicht hilflos ausgeliefert. Weil die überwältigende Mehrheit der Angriffe opportunistisch ist und auf billig erworbenen Identitäten beruht, lässt sich die Gefahr mit grundlegender Hygiene drastisch senken. Praktisch heißt das: MFA wird flächendeckend ausgerollt, über alle Zugangspunkte hinweg, von der VPN-Anmeldung bis zum E-Mail-Postfach, nicht als Projekt mit Enddatum, sondern als Standardkonfiguration für jeden neuen Account. Die Überwachung der nach außen exponierten Systeme wird ein fester Posten im Betriebsrhythmus, idealerweise verzahnt mit einem klar dokumentierten Patch-Prozess. Und der jährliche Wiederherstellungstest gehört genauso in den Kalender wie die Steuererklärung. Keine dieser Maßnahmen erfordert ein eigenes Security Operations Center, sie erfordern vor allem Verbindlichkeit. Wer die offensichtlichen Türen verriegelt, ist für den automatisierten Angreifer schlicht zu teuer und zieht weiter.