Inhaltsverzeichnis
- Die Lage ist ernst – aber beherrschbar
- Was der BSI-Lagebericht 2026 konkret zeigt
- Warum der Mittelstand besonders im Visier steht
- Die fünf größten Angriffsvektoren für Unternehmen mit 30–150 Arbeitsplätzen
- Was NIS2 jetzt von Ihnen verlangt
- Konkrete Schutzmaßnahmen – und was sie in der Praxis bedeuten
- Ein reales Szenario: Ransomware im Logistikunternehmen
- FAQs
Die Lage ist ernst – aber beherrschbar
Ransomware, Phishing, kompromittierte Zugangsdaten. Wer den aktuellen BSI-Lagebericht liest, kommt schnell zu dem Schluss: Ein Angriff auf das eigene Unternehmen ist keine Frage des Ob, sondern des Wann.
Dieser Eindruck ist nicht falsch. Aber er ist auch nicht das Ende der Geschichte.
Die meisten erfolgreichen Cyberangriffe auf mittelständische Unternehmen setzen keine hochkomplexen Zero-Day-Exploits ein. Sie nutzen vermeidbare Schwachstellen. Ungepatchte Systeme. Schwache Passwörter. Mitarbeiter, die auf eine täuschend echte Phishing-Mail hereinfallen.
Was das konkret für Ihr Unternehmen mit 30 bis 150 Arbeitsplätzen bedeutet – und welche Maßnahmen jetzt sinnvoll sind – das zeigt dieser Artikel.
Was der BSI-Lagebericht 2026 konkret zeigt
Das Bundesamt für Sicherheit in der Informationstechnik veröffentlicht jährlich seinen Lagebericht zur IT-Sicherheit in Deutschland. Die Kernaussagen der aktuellen Ausgabe sind klar:
- Ransomware bleibt die größte Bedrohung für Unternehmen aller Größen. Angriffe werden gezielter, Lösegeldforderungen höher.
- Phishing ist der häufigste Einstiegsvektor. KI-generierte E-Mails sind kaum noch von echten Nachrichten zu unterscheiden.
- Lieferketten werden aktiv angegriffen. Wer mit größeren Unternehmen zusammenarbeitet, wird zunehmend als Einfallstor genutzt.
- Der Mittelstand ist überproportional betroffen. Große Konzerne haben dedizierte Security-Teams. Kleinstbetriebe sind oft kein lohnendes Ziel. Der Mittelstand liegt genau dazwischen – mit wertvollen Daten und häufig begrenzten Schutzmaßnahmen.
Das BSI empfiehlt einen risikobasierten Ansatz: Nicht jedes Unternehmen muss alles absichern. Aber jedes Unternehmen muss seine eigenen Schwachstellen kennen.
Warum der Mittelstand besonders im Visier steht
Ein Unternehmen mit 50 Mitarbeitern im Handel oder in der Logistik ist für Angreifer aus mehreren Gründen attraktiv.
Erstens: Es gibt echte Daten. Kundendaten, Zahlungsinformationen, Lieferantenverträge, interne Preislisten. Daten, für die jemand zahlt – oder mit denen sich ein Unternehmen unter Druck setzen lässt.
Zweitens: Die Schutzmaßnahmen sind oft lückenhaft. Kein dediziertes Security-Team, keine Rund-um-die-Uhr-Überwachung, Systeme, die „noch laufen", aber längst veraltet sind.
Drittens: Der Betrieb muss weiterlaufen. Ein Produktionsunternehmen oder ein Logistiker kann sich keinen tagelangen Ausfall leisten. Das macht Ransomware-Opfer zahlungsbereit.
Bitkom schätzt, dass der deutschen Wirtschaft durch Cyberkriminalität jährlich Schäden in dreistelliger Milliardenhöhe entstehen. Ein erheblicher Teil davon trifft den Mittelstand.
Die fünf größten Angriffsvektoren für Unternehmen mit 30–150 Arbeitsplätzen
1. Phishing und Social Engineering
Mitarbeiter erhalten täuschend echte E-Mails – angeblich von der Geschäftsführung, vom Steuerberater oder von Microsoft. Ein Klick genügt. Ohne Schulung und technische Filter ist das Risiko hoch.
2. Ungepatchte Systeme und Endgeräte
Bekannte Sicherheitslücken in Windows, Office oder Drittanbieter-Software werden aktiv ausgenutzt. Wer Updates nicht zeitnah einspielt, öffnet Angreifern eine Tür, die längst bekannt ist.
3. Schwache oder wiederverwendete Passwörter
Zugangsdaten aus früheren Datenlecks werden automatisiert gegen Unternehmensportale getestet. Wer dasselbe Passwort mehrfach verwendet, verliert früher oder später den Zugang.
4. Fehlende oder ungetestete Backups
Ein Backup, das nie wiederhergestellt wurde, ist kein Backup. Viele Unternehmen stellen erst im Ernstfall fest, dass ihre Datensicherung unvollständig oder veraltet ist.
5. Ungesicherte Cloud-Dienste
Microsoft 365 und Google Workspace sind weit verbreitet. Ohne dedizierte Sicherheitskonfiguration und Backup sind sie aber kein sicherer Hafen – sie sind ein weiterer Angriffspunkt.
Was NIS2 jetzt von Ihnen verlangt
Die NIS2-Richtlinie der EU ist seit Ende 2024 in deutsches Recht umgesetzt. Der Kreis der betroffenen Unternehmen ist damit erheblich größer geworden.
Betroffen sind unter anderem Unternehmen aus den Bereichen Energie, Transport, Logistik, Gesundheit, digitale Infrastruktur und verarbeitendes Gewerbe – ab einer bestimmten Größe. Für viele mittelständische Unternehmen ab 50 Mitarbeitern und einem Jahresumsatz ab 10 Millionen Euro gilt NIS2 direkt.
Was die Richtlinie konkret verlangt:
- Risikomanagement und dokumentierte Sicherheitsmaßnahmen
- Meldepflicht bei Sicherheitsvorfällen innerhalb von 24 Stunden
- Maßnahmen zur Business Continuity, einschließlich Backup und Notfallplänen
- Sicherheit in der Lieferkette
- Schulungen für Mitarbeiter und Führungskräfte
Wer diese Anforderungen nicht erfüllt, riskiert empfindliche Bußgelder. Wichtiger noch: Wer sie erfüllt, ist gegen die häufigsten Angriffe deutlich besser aufgestellt.
Konkrete Schutzmaßnahmen – und was sie in der Praxis bedeuten
BSI-Grundschutz und NIS2-Anforderungen klingen abstrakt. In der Praxis lassen sie sich auf eine überschaubare Anzahl konkreter Maßnahmen herunterbrechen.
Patch-Management: Jedes Endgerät und jeder Server erhält Sicherheitsupdates zeitnah und automatisiert. Kein manuelles Nachhalten, keine Ausnahmen.
Endpoint Detection and Response (EDR): Ein modernes EDR-System wie SentinelOne erkennt Angriffsmuster in Echtzeit – auch solche, die klassische Antivirenlösungen übersehen. In Kombination mit einem SOC läuft die Überwachung rund um die Uhr.
NextGen Firewall: Eine WatchGuard NextGen Firewall analysiert den Netzwerkverkehr, blockiert bekannte Bedrohungen und segmentiert das Netzwerk. Wenn ein Gerät kompromittiert wird, bleibt der Schaden begrenzt.
Multi-Faktor-Authentifizierung: MFA mit Hardware-Token wie YubiKey macht gestohlene Passwörter weitgehend wertlos. Selbst wenn Zugangsdaten abgegriffen werden, kommt der Angreifer nicht weiter.
Mitarbeiterschulungen mit Phishing-Simulation: Technische Schutzmaßnahmen allein reichen nicht. Mitarbeiter müssen lernen, Phishing-Mails zu erkennen. Regelmäßige simulierte Angriffe zeigen, wo Schulungsbedarf besteht.
Automatisiertes Backup mit Wiederherstellungstest: Ein Backup ist nur so gut wie seine letzte erfolgreiche Wiederherstellung. Automatisierte Sicherungen mit regelmäßigen Recovery-Tests sind keine Option – sie sind Pflicht.
E-Mail-Verschlüsselung und Archivierung: Für Unternehmen mit DSGVO-Relevanz ist die verschlüsselte Übertragung und rechtssichere Archivierung von E-Mails ein Compliance-Muss.
Diese Maßnahmen sind kein Luxus für Großkonzerne. Sie sind der Standard, den das BSI für Unternehmen ab einer gewissen Größe empfiehlt – und den NIS2 für viele Mittelständler vorschreibt.
Ein reales Szenario: Ransomware im Logistikunternehmen
Freitagabend, 18:30 Uhr. Ein Logistikunternehmen mit 60 Mitarbeitern in der Rhein-Neckar-Region. Ein Mitarbeiter klickt auf einen Link in einer E-Mail, die aussieht wie eine Sendungsverfolgung von DHL.
Innerhalb von Minuten beginnt die Ransomware, sich durch das Netzwerk zu bewegen. Bis Montagmorgen sind alle Dateiserver verschlüsselt. Die Lagerverwaltung steht. Lieferungen können nicht disponiert werden. Kunden rufen an.
Ohne funktionierendes Backup und ohne Notfallplan dauert die Wiederherstellung Tage bis Wochen – mit einer Lösegeldforderung im fünfstelligen Bereich im Posteingang.
Das ist kein Worst Case. Es ist der Alltag, den das BSI dokumentiert.
Mit den richtigen Maßnahmen sieht dasselbe Szenario anders aus: Das EDR-System erkennt das Angriffsmuster und isoliert das betroffene Gerät automatisch. Der SOC wird alarmiert. Das Backup stellt die Daten innerhalb weniger Stunden wieder her. Der Betrieb läuft am Montag weiter.
Der Unterschied liegt nicht in der Größe des Unternehmens. Er liegt in der Vorbereitung.
Breihof IT Service betreut mittelständische Unternehmen in genau dieser Größenordnung – mit WatchGuard NextGen Firewall, SentinelOne EDR/XDR mit SOC-Anbindung, automatisierten Backups und Mitarbeiterschulungen, alles aus einer Hand unter einem Managed-Service-Vertrag.
FAQs
Ist mein Unternehmen von NIS2 betroffen?
NIS2 gilt für Unternehmen in bestimmten Sektoren ab 50 Mitarbeitern oder einem Jahresumsatz von 10 Millionen Euro – darunter Logistik, verarbeitendes Gewerbe, digitale Dienste und Gesundheitsversorgung. Ob Ihr Unternehmen direkt betroffen ist, hängt von Branche und Größe ab. Im Zweifel lohnt sich eine konkrete Einschätzung.
Was kostet ein Cyberangriff ein mittelständisches Unternehmen wirklich?
Die direkten Kosten umfassen Wiederherstellung, Ausfallzeit und mögliche Lösegeldzahlungen. Dazu kommen indirekte Folgen: Reputationsschäden, Kundenverlust, Bußgelder bei DSGVO-Verstößen und steigende Versicherungsprämien. Bitkom beziffert den Gesamtschaden für die deutsche Wirtschaft auf über 200 Milliarden Euro jährlich.
Reicht ein klassisches Antivirenprogramm noch aus?
Nein. Klassische Antivirenlösungen erkennen bekannte Schadsoftware anhand von Signaturen. Moderne Angriffe umgehen diese Signaturen gezielt. EDR-Systeme wie SentinelOne analysieren das Verhalten von Prozessen in Echtzeit und erkennen Angriffe auch ohne bekannte Signatur.
Wie oft sollten Mitarbeiter zu Cybersicherheit geschult werden?
Das BSI empfiehlt mindestens einmal jährlich. Phishing-Simulationen sollten häufiger stattfinden – idealerweise mehrmals pro Jahr – damit das Bewusstsein dauerhaft hoch bleibt. Einmalige Schulungen verpuffen schnell.
Was ist der Unterschied zwischen Backup und Managed Backup?
Ein einfaches Backup sichert Daten automatisch. Managed Backup geht weiter: Es überwacht den Sicherungsprozess aktiv, testet die Wiederherstellbarkeit regelmäßig und stellt sicher, dass im Ernstfall tatsächlich alles funktioniert. Viele Unternehmen merken erst bei einem Vorfall, dass ihr Backup unvollständig oder veraltet war.
Muss ich für gute IT-Sicherheit ein großes Budget einplanen?
Nicht zwingend. Viele der wirksamsten Maßnahmen – Patch-Management, MFA, Mitarbeiterschulungen – sind keine Frage des Budgets, sondern der Konsequenz. Ein Managed-Service-Modell mit fixen Monatsbeiträgen macht die Kosten planbar und vermeidet teure Überraschungen.
Wie lange dauert es, einen Managed-Service-Vertrag einzurichten?
Das hängt von der Ausgangssituation ab. In der Regel sind Erstaufnahme und Einrichtung der Basismaßnahmen in wenigen Wochen abgeschlossen. Danach läuft der Betrieb im Hintergrund – ohne dass Sie sich täglich darum kümmern müssen.
Cybersicherheit ist 2026 für den Mittelstand kein optionales Thema mehr. Die Bedrohungslage ist real, die regulatorischen Anforderungen sind konkret, und die Konsequenzen eines Vorfalls sind spürbar.
Der erste Schritt ist eine ehrliche Bestandsaufnahme: Wo liegen Ihre größten Schwachstellen? Wäre Ihr Betrieb nach einem Ransomware-Angriff handlungsfähig?
Wenn Sie diese Fragen nicht sicher beantworten können, ist jetzt der richtige Zeitpunkt für ein Gespräch.