Kurzes Lagebild
Stand Mai 2026 gibt es für kleine und mittlere Unternehmen keine Entwarnung. Die Lage wirkt oft abstrakt, wird im Alltag aber sehr konkret: schwache Konten, verspätete Updates, öffentlich erreichbare Dienste und unklare Zuständigkeiten reichen Angreifern häufig schon aus.
Der BSI-Lagebericht 2025 beschreibt weiterhin eine angespannte Bedrohungslage.11 Das BKA-Bundeslagebild Cybercrime 2024 nennt 131.391 im Inland registrierte Cybercrime-Fälle, weitere 201.877 Fälle mit Tatort Ausland oder unbekanntem Tatort sowie 950 polizeilich bekannt gewordene Ransomware-Fälle.12
Die größten Gefahren für KMU
- Ransomware und Datenabfluss: Angriffe verschlüsseln Systeme nicht nur, sondern verbinden Erpressung häufig mit der Drohung, Daten zu veröffentlichen.13
- Identitätsmissbrauch: Gestohlene Passwörter, MFA-Müdigkeit und gefälschte Anmeldeseiten öffnen häufig den ersten Zugang.
- Betriebsunterbrechung: Selbst kleine IT-Ausfälle treffen Terminplanung, Abrechnung, Kommunikation und Dokumentation schnell direkt.
- Dienstleister- und Lieferkettenrisiken: Kleine Betriebe sind oft an Software, Fernwartung oder externe IT-Partner angebunden und übernehmen deren Risiko mit.
Typische Angriffsvektoren
In der Praxis kommen Angriffe selten aus dem Nichts, sondern über bekannte Wege: Phishing-Mails, präparierte Anhänge, kompromittierte Webseiten, offene Remote-Zugänge, ungepatchte VPN- oder Firewall-Systeme, schwache Administratorpasswörter und fehlende Trennung zwischen Benutzer- und Administratorkonten.13
Für KMU ist deshalb nicht die spektakulärste Maßnahme zuerst entscheidend, sondern eine belastbare Basis: aktuelle Systeme, Mehr-Faktor-Anmeldung, geprüfte Backups, klare Zuständigkeiten, dokumentierte Zugänge und ein Plan für den Ernstfall.
Was daraus folgt
Der sinnvollste Startpunkt ist ein kompaktes IT-Lagebild: Welche Systeme sind kritisch, welche Zugänge sind extern erreichbar, welche Daten müssen wiederherstellbar sein und wer darf was administrieren? Danach lassen sich Prioritäten setzen, ohne in Aktionismus zu geraten und ohne Menschen im Betrieb mit unnötiger Techniklast allein zu lassen.