Warum automatisierte Angriffe auch den kleinsten Betrieb treffen
Der verbreitete Gedanke lautet: Wer soll bei mir schon etwas holen wollen. Er unterstellt, dass jemand gezielt auswählt. Tatsächlich läuft der größte Teil automatisiert ab: Programme durchsuchen Adressen nach bekannten Schwachstellen und probieren gestohlene Zugangsdaten durch. Ob dahinter ein Konzern oder ein Zweipersonenbetrieb steckt, ist für diese Programme gleichgültig.
Dieser Artikel wurde mit Hilfe von Künstlicher Intelligenz erstellt. Die verwendeten Quellen stehen am Ende der Seite.
Bewertung
Das gefährdet deine Stabilität. Kümmer dich zeitnah darum.
Die Bewertung bemisst sich an der Wirkung auf einen normalen Haushalt oder einen kleinen Betrieb, nicht an der weltpolitischen Bedeutung des Themas. Wie die Skala gemeint ist
Wen es wo trifft
Warum das passiert
Ein Angriffsversuch kostet fast nichts, weil er automatisiert abläuft. Deshalb lohnt es sich, sehr viele Ziele mit sehr geringer Erfolgsquote zu prüfen, statt wenige gezielt auszuwählen.
Gesucht wird nach zwei Dingen: nach bekannten Schwachstellen in Software, die nicht aktualisiert wurde, und nach Zugangsdaten, die anderswo bereits abgeflossen sind und mehrfach verwendet werden.
Der dritte Weg führt über Menschen: eine glaubwürdig aussehende Nachricht, die zu einer Zahlung, einer Anmeldung oder einer Freigabe auffordert. Dieser Weg funktioniert unabhängig von der eingesetzten Technik.
Der Schaden entsteht meist nicht durch den Verlust der Daten selbst, sondern durch den Stillstand: Wenn Systeme nicht laufen, kann nicht gearbeitet, nicht geliefert und nicht abgerechnet werden.
Für Betriebe kommt eine rechtliche Ebene dazu. Wenn personenbezogene Daten betroffen sind, gelten Meldepflichten mit kurzen Fristen, unabhängig von der Größe des Betriebs.
Wann es bei dir ankommt
Nachdem eine Schwachstelle öffentlich bekannt wird, steigt die Zahl der automatisierten Versuche innerhalb von Tagen stark an.
Gestohlene Zugangsdaten tauchen oft erst Monate nach dem ursprünglichen Vorfall auf und werden dann über Jahre weiterverwendet.
Zwischen einem erfolgreichen Zugriff und dem sichtbaren Schaden liegen häufig Wochen, in denen unbemerkt vorbereitet wird.
Die Wiederherstellung dauert typischerweise deutlich länger als der Ausfall selbst, weil Systeme geprüft und sauber aufgesetzt werden müssen.
Die rechtlichen Fristen für Meldungen laufen dagegen in Stunden bis wenigen Tagen, also deutlich schneller als die technische Klärung.
Was du tun kannst
Kurzfristig
In den nächsten Tagen und Wochen. Verschaff dir zuerst Klarheit über deine eigene Lage.
Als Privatperson
Der größte Teil automatisierter Angriffe nutzt Lücken, für die längst eine Korrektur vorliegt. Automatische Aktualisierung für Betriebssystem, Browser und Telefon zu aktivieren, ist die wirksamste einzelne Maßnahme und kostet nichts. Wenn dich Neustarts stören, plane sie auf eine feste Zeit, statt sie dauerhaft zu verschieben.
Als Selbstständiger oder kleiner Betrieb
Im Betrieb gehört dazu eine Liste aller Geräte und Programme, die überhaupt aktualisiert werden müssen, einschließlich der vergessenen: Router, Kassensysteme, Drucker, Zeiterfassung. Wer diese Liste nicht hat, aktualisiert immer nur das, was ihm einfällt. Die Liste zu erstellen dauert einen Nachmittag und ist danach jahrelang die Grundlage.
Als Privatperson
Es gibt einige wenige Zugänge, über die alles andere zurückgesetzt werden kann, allen voran dein E-Mail-Postfach. Sorge dafür, dass dieser Zugang ein eigenes, nirgends sonst verwendetes Kennwort hat und mit einem zweiten Faktor gesichert ist. Wenn dieser eine Zugang hält, sind fast alle anderen Schäden begrenzbar.
Als Selbstständiger oder kleiner Betrieb
Im Betrieb betrifft das zusätzlich die Zugänge zu Bankkonten, zur Domainverwaltung und zur Buchhaltung. Prüfe außerdem, wer diese Zugänge kennt und was passiert, wenn diese Person nicht erreichbar ist. Beides gehört schriftlich geregelt, nicht mündlich.
Mittelfristig
In den nächsten Monaten. Hier geht es ums Rechnen und ums Sortieren von Verträgen und Abhängigkeiten.
Als Privatperson
Eine Sicherung, die dauerhaft am selben Gerät hängt, ist keine Sicherung, denn sie ist bei einem Befall mit betroffen. Sorge dafür, dass mindestens eine Kopie nicht ständig verbunden ist. Und probiere einmal aus, ob du aus dieser Kopie tatsächlich etwas zurückholen kannst, denn eine ungeprüfte Sicherung ist eine Vermutung.
Als Selbstständiger oder kleiner Betrieb
Für Betriebe ist das die zentrale Maßnahme überhaupt. Lege fest, wie viel Datenverlust und wie viel Ausfallzeit du im schlimmsten Fall verkraften kannst, und richte die Sicherung an diesen zwei Zahlen aus. Führe mindestens einmal im Jahr eine echte Wiederherstellung durch und notiere, wie lange sie gedauert hat.
Als Privatperson
Bei Zahlungsaufforderungen per Nachricht gilt: nie über den mitgelieferten Weg reagieren, sondern über einen dir bekannten Kontaktweg nachfragen. Diese eine Gewohnheit verhindert einen Großteil der Schäden, die auf Täuschung beruhen.
Als Selbstständiger oder kleiner Betrieb
Im Betrieb heißt das ein Vieraugenprinzip für Zahlungen ab einer festgelegten Höhe und eine feste Regel für Änderungen von Bankverbindungen. Eine Änderung der Kontonummer eines Lieferanten wird nie per Mail bestätigt, sondern telefonisch über eine bekannte Nummer. Schreib diese Regel auf und mach sie im Team bekannt.
Langfristig
Über Jahre. Entscheidungen, die du selten triffst und die dafür lange wirken.
Als Privatperson
Überleg dir einmal in Ruhe, was du täte, wenn du morgen früh nicht mehr in dein Postfach kämst. Welche Kontaktwege hättest du, welche Nachweise, wen müsstest du informieren. Zehn Minuten Nachdenken ersetzen im Ernstfall Stunden Ratlosigkeit. Notiere das Ergebnis irgendwo, wo es nicht selbst betroffen wäre.
Als Selbstständiger oder kleiner Betrieb
Für Betriebe gehört dazu ein knapper Notfallplan auf Papier: wer wird informiert, welche Systeme werden zuerst getrennt, wer spricht mit Kunden, welche Fristen laufen. Er muss nicht lang sein, aber er muss ohne funktionierende IT lesbar sein. Geh ihn einmal im Jahr im Team durch.
Als Privatperson
Für Privatpersonen ist der eigentliche Schutz Gewohnheit: unterschiedliche Kennwörter, zweiter Faktor, Aktualisierungen, Misstrauen bei Dringlichkeit. Das sind vier Dinge, keine Technikprojekte, und sie halten über Jahre.
Als Selbstständiger oder kleiner Betrieb
Für Betriebe gehört das Thema in dieselbe Kategorie wie Feuer oder Ausfall einer zentralen Maschine: seltene Ereignisse mit hohem Schaden. Wer es so einordnet, trifft angemessene Entscheidungen über Aufwand und Vorsorge, statt es entweder zu ignorieren oder zu überdrehen.
Quellen
- 1Bundesamt für Sicherheit in der Informationstechnik, Lagebericht
- 2Bundesbeauftragte für den Datenschutz und die Informationsfreiheit
Verlinkt sind die Stellen und Rechtsgrundlagen, auf die sich dieser Artikel stützt. Wir verweisen auf die jeweilige amtliche Seite, weil einzelne Dokumente dort regelmäßig durch neuere Fassungen ersetzt werden.
Datengrundlage
Grundlage sind die Lageberichte des Bundesamts für Sicherheit in der Informationstechnik, öffentliche Schwachstellenverzeichnisse, Veröffentlichungen der Datenschutzaufsichtsbehörden zu Meldepflichten sowie Erhebungen von Wirtschaftsverbänden zur Betroffenheit kleiner Unternehmen. Wir nennen keine Produkte, keine Anbieter und keine konkreten Angriffswerkzeuge.
Hinweis
Dieser Artikel ist keine Anlage-, Steuer- oder Rechtsberatung. Wir nennen keine Finanzprodukte, keine Anbieter und keine Versicherungen und geben keine Kauf-, Verkaufs- oder Umschichtungsempfehlungen. Was du hier findest, sind Erklärungen und Prüfpunkte, mit denen du deine eigene Lage einschätzen kannst. Für Entscheidungen mit Geld, Steuern oder Verträgen zieh bitte eine Person hinzu, die dafür zugelassen ist und deine Situation kennt.