München. Mit 56 Prozent hat mehr als jedes zweite deutsche Kleinunternehmen mit zehn bis 50 Beschäftigten heute schlechte Erfahrung mit Cyberkriminellen gemacht. Das ist das Ergebnis einer Studie des Versicherers HDI, die vor allem bei dieser Unternehmensgröße auf besonders hohes Wachstum krimineller Aktivitäten schließen lässt. Bei einer Vorgängerstudie 2022 hat mit 37 Prozent erst gut jede dritte Kleinfirma von Cyberangriffen berichtet. „Die Studie zeigt deutlich, auch Kleinunternehmen, Kleinstunternehmen und Freiberufler werden für Angreifer immer interessanter“, sagt HDI-Vorstand Christian Kussmann. Selbst Minifirmen mit unter zehn Beschäftigten seien aktuell zu 39 Prozent betroffen. Vor zwei Jahren waren das erst 31 Prozent.

Wie bei größeren Unternehmen gehe es dort um Datenklau, das Blockieren von Firmen-IT per Schadprogrammen und Lösegeld, erklärt HDI-Cyberexperte Sören Brokamp das Vorgehen der Kriminellen. Zunehmend kleinere Firmen würden aus mehreren Gründen in ihren Fokus geraten. Zum einen sei Cyberschutz dort oft nicht so ausgeprägt wie bei größeren Firmen und leichter etwas zu holen. „Kleinunternehmen fungieren unserer Erfahrung nach auch als Lernfeld, dort trainieren Cyberkriminelle für größere Unternehmen“, erklärt der Experte. Oft seien Kleinunternehmen wie Steuerberater oder Anwaltskanzleien mit ihren besonders sensiblen Daten zudem gar nicht das eigentliche Ziel, sondern deren Mandanten. Die würden nach erfolgreichem Hack dann erpresst.

Durchschnittsschaden von knapp 100.000 Euro

„Kleinunternehmen sind zudem oft Teil einer Lieferkette, sie dienen als Steigbügelhalter“, schildert Brokamp seine Erfahrungen. Über diese Zulieferer können Angreifer bisweilen auch in die IT-Systeme größerer Auftraggeber eindringen. Aber auch der materielle Schaden bei direkt betroffenen Kleinfirmen ist gemessen an ihrer Firmengröße und oft überschaubaren wirtschaftlichen Potenz spürbar. Über alle in der Studie untersuchten Firmengrößen, die auch Firmen von bis zu 250 Beschäftigten umfasst, hat HDI einen Durchschnittsschaden inklusive Lösegeld von knapp 100.000 Euro ermittelt.

In Cyberpolicen ist Lösegeld nicht in jedem Fall abgedeckt. Experten schätzen, dass das im Markt nur bei ungefähr jeder zweiten Cyberversicherung der Fall ist. Gerade über Lösegelder spricht man weder bei betroffenen Firmen noch in der Assekuranz offen. Jedoch gilt Lösegeld gegenüber mit Cyberangriffen verbundenen Betriebsunterbrechungen und Reputationsschäden als geringeres Problem.

Prävention senkt Schadensausmaß und Eintrittswahrscheinlichkeit drastisch

Aus der Studie lässt sich mit Blick speziell auf Betriebsunterbrechung noch mehr herauslesen. Sie unterscheidet in Firmen, die Cyberprävention betreiben und sie auf dem neuesten Stand halten, und solchen, die das nicht tun. „Ohne oder bei geringer Umsetzung von Präventionsmaßnahmen liegt ein Durchschnittsschaden wegen Betriebsunterbrechung bei 75.000 Euro, bei hoher Prävention nur bei 30.000 Euro“, erklärt Brokamp. Mit Prävention meint er lediglich das kleine ABC von Cyberschutz wie Antivirenprogramme, eine Firewall, sichere Passwörter oder regelmäßige Sicherheitsupdates. Ein Dienstleister, mit dem HDI kooperiert, hat bei Checks zur Cybersicherheit herausgefunden, dass 60 Prozent aller überwiegend kleineren Firmen selbst diesen Basisschutz vermissen lassen.

Die Wahrscheinlichkeit, dass bei einem Cyberangriff überhaupt ein Schaden eintritt, wird laut Studie allein durch regelmäßige Updates von Sicherheitssoftware um rund ein Viertel verringert. Eine weitere Erkenntnis ist schnelles Vergessen. Wird ein Unternehmen Opfer eines Cyberangriffs, schätzen 57 Prozent von ihnen die Chance, dass sich das wiederholt, im ersten Jahr danach als hoch oder sehr hoch ein. Nach drei Jahren ist dieser Wert drastisch auf 27 Prozent gesunken. Die Assekuranz kennt dieses Phänomen auch aus dem Bereich Unwettergefahren und hat dafür dort den Begriff Hochwasserdemenz geprägt. Von Hochwasser Betroffene vergessen ähnlich rasch wie Opfer von Cyberangriffen. „Von Cybervergessen zu sprechen ist damit aus meiner Sicht nicht übertrieben“, findet HDI-Vorstand Kussmann.