Warum kein Kleinstunternehmen zu klein für Hacker ist - und 8 Sicherheitsbest Practices für KMU

Fallen Sie nicht dem „Illusion des kleinen Ziels“-Effekt zum Opfer. Erfahren Sie, wie Cyberkriminelle KMU ausnutzen, damit Sie Ihre Sicherheitslücken rechtzeitig beheben können.

Ich habe Hunderte von Webinaren und Präsentationen zum Thema Cybersicherheit gehalten, Hunderte von Artikeln zu diesem Thema geschrieben und an Hunderten von Einzelgesprächen mit Kunden zur Cybersicherheit teilgenommen.

Immer wird es jemanden geben, der antwortet, kommentiert oder einwendet, dass sein Unternehmen zu klein sei, um die Aufmerksamkeit eines Hackers zu erregen.

Illusion eines kleinen Ziels

Aber keiner dieser Leute versteht die wirtschaftlichen Aspekte eines Hacks, insbesondere im Hinblick auf kleine Unternehmen. Es gibt keinen zufällig ausgewählten Täter, der es auf Ihr Unternehmen abgesehen hat.

Senthil Ramakrishnan, stellvertretender Technologievorstand bei AT&T, bezeichnete dieses Phänomen als „Illusion, dass man ein kleines Ziel sei“. Er sagte gegenüber Windows-Office.net: „Die Hälfte oder mehr aller Cyberangriffe richten sich gegen kleine und mittelständische Unternehmen. Dennoch verfügen die meisten KMU immer noch nicht über angemessene Cybersicherheitsmaßnahmen. Historisch gesehen glaubten die meisten KMU an das, was ich ‚Illusion, dass man ein kleines Ziel sei‘ nenne - also daran, dass sie für Cyberangriffe zu unbedeutende Ziele seien. Diese Illusion erzeugt ein falsches Sicherheitsgefühl und macht die Unternehmen verwundbar gegenüber Hackern, die in KMU leichtere Einstiegspunkte mit schwächeren Verteidigungsmechanismen sehen.“

Was Cybersicherheitsangriffe auf kleine Unternehmen angeht, so kommt es tatsächlich nur sehr selten vor, dass ein Angriff gezielt ein bestimmtes kleines Unternehmen ins Visier nimmt. Gelegentlich kommt es jedoch zu solchen gezielten Angriffen - insbesondere dann, wenn das kleine Unternehmen ein Einstiegspunkt zu größeren Geschäftsmöglichkeiten ist. Im Jahr 2013 richteten Hacker ihren Angriff auf Fazio Mechanical Services, ein kleines Unternehmen an der Ostküste, das Heizungs-, Lüftungs- und Klimaanlagen installierte und Dienstleistungen für den Einzelhändler Target leistete - einen Konzern mit einem Umsatz von über 100 Milliarden Dollar. Nachdem die Hacker in die Server von Target eingedrungen waren, stahlen sie die persönlichen und finanziellen Daten von 110 Millionen Kunden.

Aber wie gesagt: Solche gezielten Angriffe auf kleine Unternehmen sind im großen Ganzen betrachtet eher selten. Vielmehr ist das Hacken kleiner Unternehmen ein „Zahlen-Spiel“ - jedes erfolgreich gehackte kleine Unternehmen trägt nur einen winzigen Betrag zum Gesamtergebnis eines Hackerangriffs bei. Bedenken Sie, dass sich kleine Beträge im Laufe der Zeit summieren können. Die Coca-Cola Company verdient zwar nicht viel Geld pro verkaufter Cola-Dose, doch die Gesamteinnahmen aus den Verkäufen ergeben ein jährliches Umsatzvolumen von vielen Milliarden Dollar.

Das Ansprechen kleiner Unternehmen, um Malware zu installieren, einen Botnetz-Knoten einzurichten oder Kreditkarten- bzw. Bankdaten abzugreifen, lohnt sich durchaus. Selbst wenn nur eines von 10.000 kleinen Unternehmen Opfer eines Hacks wird - wenn Hacker diese Methoden für sehr wenig Geld an Millionen potenzieller Ziele anwenden können, ist die Gesamtrentabilität für jeden Cyberangreifer durchaus messbar.

Um es klarzustellen: Die Größe Ihres Unternehmens spielt bei Massenangriffen keine besondere Rolle. Vielmehr liegt es einfach daran, dass Sie eines von vielen Unternehmen sind, die durch die zufällige Generierung von IP-Adressen, das Sammeln von E-Mail-Adressen oder ähnliche Verfahren ins Visier genommen werden können. Dadurch ist es für Hacker äußerst kostengünstig, Malware einzusetzen, die die Computer in Ihrem Unternehmen für nach Belieben durchführbare Angriffe nutzbar macht.

Konzentrieren wir uns auf diese „Zahlenlogik“. Früher nutzten viele Unternehmen Direktmailing als Marketingtechnik. Es war ziemlich teuer, all diese physischen Briefe über die Post zu versenden - doch gute Marketer wussten, dass sich die Kosten lohnten, wenn sie es schafften, dass 1 % bis 2 % der Empfänger reagierten.

Dieses 1 % bis 2 % könnte eine Direktmailing-Kampagne äußerst profitabel machen. Ich nutzte diese Direktmailing-Techniken, um mein erstes Softwareunternehmen zu gründen. Es gelang mir, die Umsätze des Unternehmens - noch vor dem Internetzeitalter - ausschließlich dank dieser 1 % bis 2 % an Rückmeldungen durch Direktmailing zu steigern. Ich musste nur die richtige Adressliste finden. Täglich besuchte ich die Poststelle, holte die Umschläge mit Schecks und Bestellformularen ab und versandte kleine Disketten.

E-Mails kosten bei weitem nicht so viel wie direkte Werbesendungen. Eine direkte Werbesendung kann, inklusive Druck-, Versand- und Verarbeitungskosten, pro Empfänger 50 Cent bis 1 Dollar kosten. E-Mails hingegen kosten praktisch nichts. Dadurch können Sie deutlich mehr E-Mails versenden - auch bei einer niedrigeren Antwortrate - und haben dennoch eine viel größere Chance auf einen Gewinn.

Viele Unternehmen nutzen nach wie vor E-Mail für das Direktmarketing. Diese Methode ist nach wie vor eine durchaus gangbare und legale Art der E-Mail-Nutzung. Allerdings nutzen Hacker E-Mail ebenfalls zur direkten Verbreitung von Malware. Denken Sie daran: Es geht dabei um Quantität - nicht um die gezielte Ansprache einzelner Personen.

Wie Hacker kleine Unternehmen ausnutzen

Malware kann Ihrem Unternehmen auf viele Weisen zugespielt werden - ohne dass es dazu einer gezielten Angriffsstrategie bedarf. Zum Beispiel könnten Sie auf eine kompromittierte Website gelangen. Falls der Virenschutz Ihres Systems nicht auf dem neuesten Stand ist, könnte allein das Besuchen dieser Website dazu führen, dass Malware heruntergeladen wird. Um es klar zu machen: Das kann auf jeder Website passieren. Wir berichten ständig darüber, wie Hacker aktive Web-Infrastrukturen angreifen - mit der Folge, dass Besucher solcher Websites gefährdet werden.

Sie könnten Opfer eines Phishing-Angriffs werden, bei dem eine E-Mail an Ihre E-Mail-Adresse oder an jemanden in Ihrem Unternehmen gesendet wird. Durch das Klicken auf den falschen Link oder die falsche Anlage wird Malware in Ihr Netzwerk heruntergeladen.

Oder eine Software, die Sie herunterladen, könnte versehentlich Malware enthalten - nicht Ihretwegen, sondern weil der Softwareentwickler, von dem Sie die Software heruntergeladen haben, kompromittiert wurde. Von da an enthielt also alles, was er verbreitete, Malware.

Wie Sie sehen können, haben viele dieser Methoden nichts mit einem direkten Angriff auf Sie zu tun. Doch es gibt viele Wege, wie Sie in das Netz geraten können.

Angreifer - die zu organisierten Verbrechergruppen, einzelnen Hackern oder sogar zu von Staaten finanzierten Teams gehören können - verwenden oft vorgefertigte Hacking-Tools, die sie ohne großen Aufwand an Forschung und Entwicklung einsetzen können. Für Hacker entspricht diese Taktik in etwa dem Herunterladen einer App aus einem App-Store - allerdings werden die Hacking-Tools in der Regel von hackerorientierten Websites sowie versteckten Foren erworben oder heruntergeladen (was manche Leute „das Dark Web“ nennen).

Angreifer können auch Zeit auf einem Botnetz mieten, um Malware zu verbreiten, die anschließend potenziell wertvolle Informationen abgreift. Diese Praxis wird als Malware-as-a-Service bezeichnet.

Im Grunde handelt es sich nicht um eine Situation, in der „ein böser Akteur gegen ein kleines Unternehmen“ steht. Vielmehr werfen opportunistische Übeltäter ein weites Netz aus. Wenn man zufällig in dieses Netz gerät, wird man gefangen.

Deswegen müssen Sie dafür sorgen, dass Sie gute Computer-Sicherheitsgewohnheiten einhalten. Stellen Sie sicher, dass Sie nicht in dieses Netz geraten - zusammen mit Tausenden oder Hunderttausenden anderer „kleiner Fische“, also Einzelpersonen und Unternehmen, die online sind.

Wie man ein kleines Unternehmen schützt

Was tut man also gegen diese Bedrohung? Ramakrishnan von AT&T sagte, ein großes Problem für kleine und mittelständische Unternehmen sei es, zu wissen, wo sie anfangen sollen.

„Viele Inhaber von KMU gehen davon aus, dass Cybersicherheit zu teuer oder zu komplex ist und glauben, sie verfügten nicht über das nötige IT-Wissen oder die Ressourcen, um zuverlässige Sicherheitsmaßnahmen einzurichten. Nur wenige erkennen, dass sie die Sicherheit in einer halben Stunde einrichten könnten. Zudem erschwert das Fehlen spezialisierten Cybersicherheitspersonals die Situation für KMU noch weiter - wodurch die Umsetzung und Verwaltung wirksamer Sicherheitsmaßnahmen noch schwieriger wird.“

Es zeigt sich, dass es bewährte Verfahren gibt, um die Anfälligkeit für Malware zu verringern. Hier sind acht solcher Verfahren im Überblick:

• Halten Sie Ihre Systeme up-to-date: Softwarehersteller patchen ihre Systeme regelmäßig, um Sicherheitslücken zu schließen - doch Hacker setzen darauf, dass noch ältere Sicherheitslücken existieren.
• Stellen Sie sicher, dass Ihr E-Mail-Dienst eine Malware-Filterung anbietet: Die meisten großen Dienste wie Office und Google Workspace verfügen über eine aktive Malware-Filterung. Falls Sie jedoch einen eigenen Server betreiben, achten Sie darauf, dass Anti-Malware-Erweiterungen installiert sind.
• Administratorrechte einschränken: Es ist oft am einfachsten, jedem Computernutzer die Administratorrechte auf seinem Rechner zu geben - doch das bedeutet im Grunde, allen Nutzern „Gottmodus“ zu gewähren. Stattdessen sollten die Rechte eingeschränkt werden, damit die Nutzer nicht aus Versehen etwas Schädliches installieren können.
• Verwenden Sie Endpunktsicherheit und Firewalls: Das ist Teil des Konzepts, das der AT&T-Experte vorstellt. Nutzen Sie Firewalls und Router mit Tools zur Abwehr von Einbrüchen, um Malware zu blockieren.
• Herunterladungen und Software-Installationen begrenzen: Sie können in bestimmten Netzwerken Richtlinien festlegen, um die Möglichkeit der Mitarbeiter, Software herunterzuladen, einzuschränken. Stellen Sie sicher, dass Ihre Nutzer vorsichtig sind und nichts tun, was ihre „Spidey-Sinne“ alarmieren würde.
• Nutzen Sie Ihren „Spidey-Sinn“: Bleiben Sie online stets wachsam. Sie werden keine Nachrichten von großen Softwareanbietern erhalten, in denen Sie aufgefordert werden, auf einen Link zu klicken und sich in Ihr Administratorkonto einzuloggen. Denken Sie daran: Öffnen Sie keine Anhänge, klicken Sie nicht auf Links von unbekannten Absendern und überprüfen Sie stets die URLs auf Ungewöhnliches. Bleiben Sie wachsam und vorsichtig.
• Machen Sie regelmäßig Backups: Eine der besten Möglichkeiten, sich vor Ransomware zu schützen, ist es, aktuelle und wiederherstellbare Backups zu haben. Stellen Sie sicher, dass Sie ein gutes Backup-Verfahren haben, und testen Sie dieses regelmäßig, um zu gewährleisten, dass es ordnungsgemäß funktioniert.
• Verwenden Sie Multi-Faktor-Authentifizierung oder Passkeys: Hacker können mühelos eine einfache Kombination aus Benutzername und Passwort umgehen. Stellen Sie sicher, dass Sie ein drittes Authentifizierungsmerkmal hinzufügen - etwas, das Sie sind oder was Sie besitzen - um unbefugten Fernzugriff zu verhindern. Überlegen Sie außerdem, auf Passkeys umzusteigen; diese können die Sicherheit erheblich verbessern.

Was ist mit Anti-Malware-Software? Es gab eine Zeit, in der Antivirensoftware für alle Computernutzer ein Muss war. Doch laut Ed Bott, dem Experten für alles rund um PCs bei Windows-Office.net, ist Antivirensoftware mittlerweile etwas aus dem Jahr 1999. Heutzutage leisten die Betriebssysteme sowie die gängigen App-Stores eine ziemlich gute Arbeit bei der Abwehr von Malware. Deswegen ist es so wichtig, die Updates regelmäßig durchzuführen.

Ed rät davon ab, Antivirus-Software von Drittanbietern zu kaufen. Im Juni letzten Jahres kündigte das US-Handelsministerium ein Verbot von Kaspersky an - einem der beliebtesten Antivirus-Programme überhaupt.

Abschließend möchte ich Ihnen noch einen Gedanken des Cybersicherheitsexperten von AT&T, Ramakrishnan, mitgeben: „Verlassen Sie sich nicht darauf, dass die Cyberversicherung Ihr einziger Schutzplan ist. Wir sehen viele Unternehmen, die versuchen, Sicherheitslücken durch den Kauf einer Versicherung zu beheben - doch eine Versicherung verhindert keinen Angriff. Wenn Sie Ihre eigene Risikosituation nicht kennen, wissen Sie auch nicht, wie Sie sich effektiv vor Bedrohungen schützen können.“

Was denken Sie? Haben Sie schon einmal darüber nachgedacht, ob Ihr kleines Unternehmen ein Ziel für Hacker sein könnte? Haben Sie Maßnahmen zur Cybersicherheit ergriffen, um Ihr Unternehmen zu schützen? Fühlen Sie sich von dem Prozess überwältigt? Wurden Sie oder jemand, den Sie kennen, schon einmal von einem Cyberangriff betroffen? Welche Schritte sind für kleine Unternehmen am wichtigsten, um das Risiko zu verringern? Teilen Sie uns Ihre Meinung in den Kommentaren unten mit.

Sie können meine täglichen Projektupdates in den sozialen Medien verfolgen. Abonnieren Sie außerdem meinen wöchentlichen Newsletter und folgen Sie mir auf Twitter/X unter @DavidGewirtz, auf Facebook unter Facebook.com/DavidGewirtz, auf Instagram unter Instagram.com/DavidGewirtz, auf Bluesky unter @DavidGewirtz.com sowie auf YouTube unter YouTube.com/DavidGewirtzTV.