Cyberkriminalität: So schützen sich Betriebe

Cyberangriffe treffen längst nicht mehr nur Großkonzerne. Auch kleinere Unternehmen geraten ins Visier professioneller Täter. Dabei geht es nicht allein um gestohlene Daten: Ein manipuliertes Zahlungssystem, eine gesperrte IT oder eine geschickt gefälschte E-Mail können den laufenden Betrieb empfindlich treffen. Wie Unternehmen ihre Angriffsfläche verkleinern können – und warum dabei nicht nur die Technik zählt.
Der Arbeitstag beginnt wie immer. In der Produktion laufen die ersten Maschinen, in der Fleischerei werden Bestellungen vorbereitet, Filialen öffnen ihre Türen. Die Abläufe sind eingespielt, die Zeit ist knapp und die Aufmerksamkeit gilt dem Tagesgeschäft. Irgendwo dazwischen landet eine E-Mail im Posteingang. Sie sieht plausibel aus. Der Absender scheint bekannt und die Formulierung professionell. Und dann verweist die Nachricht auf einen Vorgang, der ja tatsächlich gerade ansteht. Eine Rechnung soll bezahlt, ein Dokument geöffnet oder Zugangsdaten bestätigt werden. Was wie eine alltägliche geschäftliche Kommunikation anmutet, kann der Beginn eines Cyberangriffs sein.

Schwachstelle Mensch

Genau darin liegt eine der größten Gefahren: Cyberkriminalität findet nicht ausschließlich dort statt, wo Hacker spektakulär in Computersysteme eindringen. Sie setzt häufig beim Menschen an. Die Täter versuchen, Vertrauen zu erzeugen, Zeitdruck aufzubauen und ihre Opfer dazu zu bringen, etwas zu tun, das sie unter normalen Umständen vielleicht hinterfragen würden. Rechtsanwalt Georg Zanger beschreibt die Professionalität der Täter als bemerkenswert: „Cyberkriminalität ist längst zu einem eigenen Geschäftszweig geworden. Dahinter stehen mitunter große, fest organisierte Strukturen mit zahlreichen Mitarbeitern – und teilweise auch psychologisch geschulte Personen.“
Für einen Bäcker- oder Fleischereibetrieb ist diese Erkenntnis ebenso relevant. Denn hier geht es nicht nur um Büroarbeitsplätze. Die Digitalisierung reicht längst in Produktion, Warenwirtschaft, Kassen, Bestellwesen, Zeiterfassung, Buchhaltung und Filialorganisation hinein. Fällt ein Teil dieser Infrastruktur aus, kann aus einem IT-Problem sehr schnell ein operatives Problem werden.

Kleine Betriebe sind keine kleinen Ziele

Lange hielt sich die Vorstellung, Cyberkriminelle würden vor allem große Konzerne ins Visier nehmen. Das ist überholt. Leider: „Gerade kleine und mittlere Betriebe zählen zu den häufigen Zielen, weil Sicherheitsmaßnahmen hier oft unterschätzt werden“, erläutert Martin Heimhilcher, Obmann der Sparte Information und Consulting der Wirtschaftskammer Wien.
Cybersicherheit sei ihm zufolge daher kein Nice-to-have, sondern ein Muss für jedes Unternehmen. Automatisierte Angriffe und der Einsatz Künstlicher Intelligenz erleichtern den Tätern dabei die Arbeit. Die Zahlen zeichnen ein entsprechend deutliches Bild: Laut einer aktuellen KPMG-Erhebung, an der auch die Wirtschaftskammer Wien beteiligt war, war der Angriff auf jedes siebente Unternehmen in Wien erfolgreich. Jeder fünfte Angriff fand über die Lieferkette statt.
Für die Lebensmittelbranche ist das aus einem weiteren Grund relevant: Auch kleinere und mittlere Unternehmen können über Wissen verfügen, das für andere Akteure wertvoll ist. Die Direktion Staatsschutz und Nachrichtendienst (DSN) weist darauf hin, dass gerade solche mittelständischen Hidden Champions häufig über spezialisiertes und schwer zu reproduzierendes Prozess- und Fertigungswissen verfügen. Sie können deshalb auch für Wirtschaftsspionage interessant sein – selbst wenn sie außerhalb ihrer Branche kaum bekannt sind. Bei einem Cyberangriff geht es folglich nicht immer nur darum, Geld zu erbeuten. Auch wertvolles Unternehmenswissen kann ins Visier der Täter geraten.

Wenn die Rechnung plötzlich anders aussieht

Eine der tückischsten Formen der Cyberkriminalität besteht darin, einen legitimen Geschäftsvorgang zu manipulieren. Der Betrüger muss dabei nicht zwingend selbst Geld überweisen. Es reicht, wenn er einen Mitarbeiter dazu bringt, eine Überweisung auszulösen. Rechtsanwalt Zanger verweist auf die Schwierigkeit, solche Transaktionen im Nachhinein rückgängig zu machen. Gibt eine tatsächlich berechtigte Person einen Auftrag aufgrund einer Täuschung frei, ist sie gegenüber der Bank zunächst auch tatsächlich der Berechtigte, der den Auftrag erteilt hat. Die Frage, wer für den Schaden aufkommt und ob sich eine Zahlung noch stoppen oder zurückholen lässt, kann deshalb äußerst kompliziert werden.
Hier kommt das Vier-Augen-Prinzip ins Spiel. Zanger hält klare Strukturen für entscheidend: „Es sollte niemals eine einzelne Person allein über Vorgänge mit hohem finanziellem Risiko entscheiden können. Auch Limits sind sinnvoll.“ Solche Regeln existierten in Unternehmen durchaus, würden in der Praxis aber mitunter ignoriert, gerade wenn ein betrügerischer Vorgang zunächst völlig plausibel erscheine. Für eine Fleischerei kann das beispielsweise eine kurzfristig geänderte Bankverbindung eines Lieferanten sein. Für eine Bäckerei oder Konditorei könnte eine vermeintlich dringende Zahlungsaufforderung der Geschäftsführung eintreffen. Der konkrete Fall kann unterschiedlich aussehen. Das Prinzip bleibt dasselbe: Nicht die Technik allein entscheidet darüber, ob ein Angriff erfolgreich ist, sondern auch die organisatorische Architektur eines Unternehmens.

Die Psychologie hinter dem Klick

Besonders perfide ist, dass erfolgreiche Angriffe das Opfer häufig nicht sofort misstrauisch machen. Im Gegenteil: Je professioneller die Täuschung, desto eher werden Warnsignale ausgeblendet. Zanger schildert, dass Menschen nach einer glaubhaft erscheinenden Nachricht dazu neigen können, auch nachfolgende Kommunikation nicht mehr ausreichend zu überprüfen. Ist das Vertrauen einmal hergestellt, wird der Absender zudem weniger kritisch hinterfragt. Das ist ein wichtiger Punkt für die betriebliche Prävention. Ein Unternehmen kann über moderne Firewalls, Back-ups und Sicherheitssoftware verfügen und dennoch angreifbar bleiben, wenn Mitarbeiter nicht wissen, wie eine Täuschung funktioniert.
In Schulungen sollte deshalb nicht nur erklärt werden, dass man keine verdächtigen Links anklicken soll. Es muss vermittelt werden, wie Manipulation überhaupt funktioniert. Zeitdruck, ungewöhnliche Zahlungsaufforderungen oder ein plötzlich veränderter Kommunikationsweg können Warnsignale sein. Zanger empfiehlt Unternehmen daher ausdrücklich, Vorträge und Seminare zu besuchen, in denen die Vielfalt solcher meist höchst professioneller Täuschungshandlungen dargestellt wird. „Ziel muss es sein, die Aufmerksamkeit zu erhöhen und dadurch bestimmte Vorgänge frühzeitig zu erkennen“, so der Rechtsexperte.

Sicherheit ist nicht nur Chefsache

Die Verantwortung für Cybersicherheit lässt sich allerdings nicht einfach an den Geschäftsführer delegieren. Ebenso wenig reicht es, einen Mitarbeiter aus der IT-Abteilung dafür zuständig zu machen. Cybersicherheit ist eine Querschnittsaufgabe. Sie betrifft Geschäftsführung und Buchhaltung ebenso wie Verkauf, Produktion, Einkauf und Filialorganisation. Wer Zugänge besitzt, Zahlungen anweisen kann oder mit sensiblen Daten arbeitet, ist Teil der Sicherheitskette. Dabei geht es nicht darum, aus jedem Mitarbeitenden einen IT-Spezialisten zu machen. Es müssen vielmehr klare Abläufe geschaffen werden, die auch dann funktionieren, wenn jemand unter Zeitdruck steht oder einer professionellen Täuschung ausgesetzt ist.
Zanger sieht deshalb nicht primär die Rechtsberatung als zentrale Instanz für die Einrichtung solcher Schutzmaßnahmen. „Unternehmen sollten vielmehr IT-Fachleute und Unternehmensberater einbinden, die bei der konkreten Einrichtung von Sicherheitsmaßnahmen unterstützen. Juristische Fragen werden relevant, wenn es um Haftung, Pflichten oder die Folgen eines konkreten Vorfalls geht“, so der Rechtsanwalt.
Viele Sicherheitsmaßnahmen sind organisatorischer Natur. Dazu gehört etwa die klare Regelung, wer Überweisungen freigeben oder Passwörter zurücksetzen darf, wie neue Mitarbeiter mit Systemzugängen ausgestattet und ausscheidende Mitarbeiter aus den Systemen entfernt werden und wer bei einer verdächtigen Nachricht zu verständigen ist. Je klarer diese Abläufe geregelt sind, desto weniger muss im Ernstfall improvisiert werden.

Technik allein schützt leider nicht

Natürlich spielt die technische Absicherung eine zentrale Rolle. Sichere Passwörter, regelmäßige Back-ups und geschulte Mitarbeiter gehören zur Grundausstattung eines Betriebs. Doch selbst ein technisch gut geschütztes Unternehmen bleibt verwundbar, wenn organisatorische Sicherheitsvorkehrungen fehlen.
Darauf weist auch Marc Dönges, Projektleiter bei der in Berlin ansässigen Transferstelle Cybersicherheit im Mittelstand, hin. Seine Einschätzungen stammen aus einem Beitrag mit dem Titel „Cyberversicherung im Einzelhandel – wann sich der Schutz für Kaufleute lohnt“, der im E-Mail-Newsletter „LP Kompakt“ des deutschen Fachmagazins „Lebensmittel Praxis“ erschienen ist. Dönges betrachtet darin die Frage, welchen Schutz eine Cyberversicherung für Händler bieten kann – und macht zugleich deutlich, dass eine Versicherung grundlegende Sicherheitsmaßnahmen keinesfalls ersetzt: „Eine Cyberversicherung macht Unternehmen nicht sicher, sondern ist nur ein Baustein der Cybersicherheit.“ Voraussetzung für einen solchen Versicherungsschutz seien unter anderem sichere Passwörter, Schulungen der Mitarbeiter und regelmäßige Daten-Back-ups.
Gerade für Bäckereien und Fleischereien ist dieser Gedanke relevant. Denn die Folgen eines Cyberangriffs können weit über die unmittelbaren Kosten für die Wiederherstellung von Daten oder Systemen hinausgehen. Wenn die digitale Infrastruktur ausfällt, können Bestellungen nicht mehr bearbeitet, Kassen nicht mehr betrieben oder interne Abläufe erheblich beeinträchtigt werden.

Betrieb muss weiterlaufen können

Dönges weist deshalb auch auf die betriebliche Dimension eines Angriffs hin: „Ohne IT läuft im Einzelhandel oft nichts mehr.“ Es gehe bei Cyberangriffen nicht allein um den Schutz sensibler Daten, sondern auch darum, den täglichen Betrieb aufrechterhalten zu können. Damit rückt neben der Verhinderung eines Angriffs die eigene Widerstandsfähigkeit in den Mittelpunkt.
Technische Schutzmaßnahmen, klare Berechtigungen, Schulungen und Kontrollmechanismen bilden dabei die Grundlage. Ebenso wichtig ist ein Plan für den Ernstfall: Zuständigkeiten sollten festgelegt sein, Ansprechpartner bei IT-Dienstleistern, Banken und Versicherungen bekannt sein und die wichtigsten betrieblichen Abläufe auch bei einem Ausfall digitaler Systeme möglichst aufrechterhalten werden können.
Besonders wichtig sind regelmäßige Back-ups. Sie sollten nicht nur angelegt, sondern auch überprüft werden, damit im Ernstfall tatsächlich auf sie zurückgegriffen werden kann. Gleiches gilt für Kommunikationswege und Notabläufe, die man am besten ausgedruckt an einem sicheren Ort verwahrt. Wenn das E-Mail-System ausfällt oder die Warenwirtschaft nicht verfügbar ist, muss ein Betrieb zumindest für die wichtigsten Prozesse handlungsfähig bleiben.

Vier Augen sehen mehr

Besonders wirkungsvoll sind Sicherheitsmaßnahmen dort, wo sie ohne großen Aufwand in den Arbeitsalltag integriert werden können. Das Vier-Augen-Prinzip bei finanziell relevanten Vorgängen ist ein Beispiel. Ein zweites Paar Augen kann eine ungewöhnliche Rechnung, eine geänderte Kontoverbindung oder eine plötzlich auftretende Dringlichkeit erkennen. Auch Limits können helfen. Zanger empfiehlt unter anderem, gemeinsam mit der Bank festzulegen, wie hoch bestimmte Transaktions- oder Kartenlimits sein sollen. Kontrollmechanismen sind dabei keine Frage des persönlichen Vertrauens. Sie sollen vielmehr verhindern, dass eine einzelne Person – möglicherweise unter großem Zeitdruck – eine folgenschwere Entscheidung allein treffen muss. Wo Menschen täglich unter hohem Zeitdruck arbeiten, sind standardisierte Abläufe keine Bürokratie um ihrer selbst willen. Sie schaffen Sicherheit.

Staat kann nicht alles verhindern

Wo die Verantwortung des Unternehmens endet und jene des Staates beginnt, ist weniger eindeutig. Die Wirtschaftskammer Wien spricht von einer gemeinsamen Verantwortung von Staat und Unternehmen. Der Staat müsse durch Gesetze, Verordnungen und entsprechende Sicherheitsmaßnahmen einen Rahmen schaffen, Unternehmen wiederum müssten ihre eigenen Hausaufgaben erledigen.
Zanger hält staatliche Maßnahmen für wichtig, warnt aber vor überhöhten Erwartungen. „Am Ende steht immer noch der Mensch, der eine Nachricht öffnet, eine Zahlung freigibt oder eine Handlung setzt. Wenn dieser Mensch getäuscht wird, kann auch der Staat einen Angriff nicht vollständig verhindern“, erklärt der Jurist. Es geht deshalb um ein Zusammenspiel: Der Staat schafft Rahmenbedingungen und Sicherheitsstrukturen, Unternehmen müssen ihre Prozesse entsprechend gestalten und Mitarbeiter für die Gefahren sensibilisieren.

Versicherung als Sicherheitsnetz

Eine Cyberversicherung kann die finanziellen Folgen eines Angriffs zum Teil abfedern. Sie kann, abhängig vom Vertrag, etwa Kosten für die Wiederherstellung von Daten, externe IT-Fachleute, bestimmte Meldepflichten oder Betriebsunterbrechungen abdecken. Sie ersetzt jedoch weder Back-ups noch Schulungen noch technische Schutzmaßnahmen. Auch die Versicherer setzen grundlegende Sicherheitsvorkehrungen voraus.
Ob sich eine solche Versicherung für einen Betrieb lohnt, hängt vom individuellen Risikoprofil ab. Die Empfehlung der Sparte Information und Consulting der Wirtschaftskammer Wien lautet, sich mit der Frage an den Versicherungsmakler des Vertrauens zu wenden. Entscheidend sind unter anderem der Grad der Digitalisierung, die gespeicherten Daten und die Frage, wie stark der Geschäftsbetrieb von der IT abhängt. Nicht jeder Schaden lässt sich verhindern, aber seine finanziellen Folgen lassen sich unter Umständen begrenzen.

Digitalisierung braucht Vertrauen

Wie eng Digitalisierung und Cybersicherheit inzwischen miteinander verbunden sind, zeigt auch ein Blick auf die Fachmesse Südback, die vom 24. bis 27. Oktober 2026 in Stuttgart stattfindet. Im Kompetenz-Forum (Halle 7, Stand 7B29) wird es unter anderem um KI-gestützte Anwendungen, digitale Prozesse, Cybersecurity und moderne Payment-Lösungen gehen. Vorgestellt werden KI-Assistenten, die Verkaufs-, Sortiments- und Filialdaten dialogfähig machen und damit datenbasierte Entscheidungen erleichtern, ebenso wie Lösungen für Personaleinsatzplanung, Zeiterfassung und interne Kommunikation.
Ein weiterer Schwerpunkt liegt auf der Absicherung digitaler Infrastrukturen und der schnellen Wiederherstellung kritischer Daten und Systeme nach einem Cyberangriff. Auch die Zahlungsabwicklung wird zunehmend digital gedacht: Neue Payment-Lösungen sollen Zahlungen über verschiedene Standorte und Kanäle hinweg zentral bündeln und auch bei einem Internetausfall den Betrieb aufrechterhalten können. Digitalisierung erhöht die Effizienz. Sie schafft aber zugleich neue Abhängigkeiten. Jede neue Schnittstelle kann – zumindest theoretisch – eine weitere Angriffsfläche darstellen.

Was Betriebe jetzt tun können

Die wichtigste Erkenntnis lautet deshalb nicht, dass jedes Unternehmen eine Hochsicherheitsfestung werden muss. Entscheidend ist vielmehr, die eigenen Schwachstellen zu kennen. Dazu gehören klare Zugriffsrechte, aktuelle Back-ups, geschulte Mitarbeiter, aktuelle Systeme und Software sowie ein festgelegter Ablauf für den Fall, dass die IT für mehrere Stunden oder Tage nicht verfügbar ist.
Die Wirtschaftskammer Wien weist ausdrücklich darauf hin, dass viele Angriffe durch einfache organisatorische und technische Maßnahmen verhindert werden können. Sie bietet seit 2017 eine Cybersecurity-Hotline (Tel.: 0800 888 133) an, die rund um die Uhr erreichbar ist und Ersthilfe beziehungsweise bei Bedarf den Kontakt zu spezialisierten IT-Dienstleistern vermittelt. Der erste Schritt muss daher nicht zwangsläufig ein großes, teures Sicherheitsprojekt sein. Er kann auch darin bestehen, die eigenen Abläufe kritisch zu durchleuchten und jene Stellen zu identifizieren, an denen ein Angreifer ansetzen könnte.

Aufmerksamkeit ist die erste und wahrscheinlich beste Verteidigung

Cyberkriminalität lässt sich nicht vollständig aus der Welt schaffen. Die Täter entwickeln ihre Methoden weiter, automatisieren Angriffe und kombinieren technische Möglichkeiten mit psychologischer Manipulation. Unternehmen werden daher auch in Zukunft mit neuen Formen der Bedrohung konfrontiert sein. KI wird auch von Cyberkriminellen verstärkt genutzt, weshalb etwa gerade Phishing-Mails nicht mehr so leicht zu erkennen sind wie früher.
Vor diesem Hintergrund sollte Cybersicherheit nicht als einmalige Investition betrachtet werden. Sie ist ein fortlaufender Prozess. Für Fleischereien und Bäckereien bedeutet das vor allem eines: Cybersecurity ist kein abstraktes IT-Thema. Sie betrifft den ganz konkreten Betriebsalltag – von der Überweisung an einen Lieferanten bis zur Kasse in der Filiale, von der Warenwirtschaft bis zur Mitarbeiterkommunikation. Wer sich mit dem Thema beschäftigt, bevor etwas passiert, hat einen entscheidenden Vorteil: Er muss im Ernstfall nicht erst überlegen, was zu tun ist.