KMU und die Evolution von Cyberrisiken

Ein Artikel von Gesine Froese, Regional Manager Cyber Risks DACH bei Beazley

Viele KMU sind auf externe Dienstleister sowie IT- und Softwareanbieter angewiesen, um ihren Betrieb aufrechtzuerhalten. Damit setzen sie sich jedoch wachsenden und häufig unterschätzten Risiken aus. Wird einer ihrer externen Anbieter Opfer eines Cyberangriffs, kann dies unmittelbare Konsequenzen auf das eigene Unternehmen haben. Denn die Konsequenzen eines Angriffs können sich ebenfalls auf die digitale Lieferkette auswirken. Viele IT-Abteilungen sind mit der Verwaltung von Zugriffen ihrer Drittanbieter bereits heute stark belastet: Durchschnittlich verbringen sie laut einer Studie des Ponemon Instituts und Imprivata 150 Stunden pro Woche damit, diese Zugriffe zu analysieren und zu untersuchen. Ein zentrales Risiko, denn allein in Deutschland sind selbiger Studie zufolge über die Hälfte der Cybervorfälle auf Sicherheitsverletzungen bei Drittanbietern zurückzuführen. Daher überrascht es nicht, dass 82% der Führungskräfte in Deutschland aktuell Investitionen planen, um die Cyberresilienz gegenüber Dienstleistern gezielt zu stärken. Das zeigen die Ergebnisse des aktuellen Beazley Risk & Resilience Report.

Ransomware: Raffiniert und automatisiert

Ransomware-Angriffe folgen heute keinem klaren Muster. Sie werden durch den Einsatz von künstlicher Intelligenz immer raffinierter und automatisiert. Das macht es zunehmend komplexer, sie zu identifizieren. Trotzdem sehen sich laut Risk & Resilience Report 2025 87% der globalen Führungskräfte gut auf Cyberrisiken vorbereitet.

Doch interne Schadendaten von Beazley erzählen eine andere Geschichte: Die häufigste Ursache für Schadenfälle sind Phishing-Angriffe, bei denen Mitarbeitende unwissend auf einen bösartigen Link klicken. Dieses Phänomen macht eine gelebte Sicherheitskultur mit regelmäßigen Schulungen entscheidend, um das Bewusstsein der Mitarbeitenden kontinuierlich für die Gefahren moderner Technologien zu schärfen. Simulierte Phishing-Kampagnen mit adaptierendem Schwierigkeitsgrad und eine laufende Weiterbildung helfen, die Anzahl menschlicher Fehler zu minimieren – denn Technik allein reicht nicht. Gerade kleine und mittelständische Unternehmen vernachlässigen jedoch häufig solche präventiven Maßnahmen im Alltag, wie eine repräsentative Forsa-Umfrage im Auftrag des GDV zeigt.

Unverzichtbare Unterstützung

KMU fehlen oft die Ressourcen, um Cybervorfälle selbst zu bewältigen, Mitarbeitende angemessen zu schulen oder wachsenden regulatorischen Anforderungen gerecht zu werden. Deshalb ist eine umfassende Unterstützung im Risikomanagement entscheidend. Von Betriebsunterbrechungen bis zu regulatorischen Strafen: Ohne Expertenhilfe kann ein Cybervorfall verheerend sein. Wenn man bedenkt, dass in Deutschland nach Angaben des IT-Sicherheitsdienstleisters G DATA monatlich über 1.800 DDoS-Attacken ausgeführt werden, ist die Frage nicht ob, sondern wann Unternehmen Opfer von Cyberkriminellen werden und ihr Betrieb von heute auf morgen zum Stillstand kommt.

Ein zentraler Baustein für die Cybersicherheit von Unternehmen sind daher auch spezialisierte Versicherungslösungen wie Beazleys Full Spectrum Cyber. Versicherungsnehmer erhalten dabei mehr als nur finanziellen Schutz vor Eigen- und Drittschäden. Sie ermöglichen auch den Zugang zu Experten für Incident Response und Cybersicherheit. Das unterstützt KMU dabei, Bedrohungen frühzeitig zu erkennen, sich effektiv auf den Ernstfall vorzubereiten und dann schnell zu reagieren – so wird der reibungslose Geschäftsbetrieb rasch wieder auf Kurs gebracht.

Auch staatliche Förderprogramme, Brancheninitiativen oder Kooperationen mit Behörden wie dem BSI (Bundesamt für Sicherheit in der Informationstechnik) können hilfreiche Ressourcen bieten, um die eigene Sicherheitslage zu verbessern.

Der regulatorische Flickenteppich

Eine weitere zentrale Herausforderung für KMU ist die Navigation durch unterschiedliche regulatorische Anforderungen. Selbst Unternehmen mit lokalem Fokus verarbeiten oft Daten, die internationalen Regelungen unterliegen, wenn sie Kunden in den USA, Großbritannien, der EU oder Asien bedienen. Aktuell besonders relevant ist die neue NIS-2-Richtlinie der EU. Sie verpflichtet Unternehmen zu konkreten Maßnahmen in der Cybersicherheit: darunter Risikomanagement, Meldepflichten und technische Schutzmaßnahmen. Auch viele deutsche KMU fallen nun unter die Regelungen, da die NIS-2 in der Regel Unternehmen ab 50 Mitarbeitenden und 10 Mio. Euro Jahresumsatz reguliert, so die Südwestfälische IHK zu Hagen. Daher muss der deutsche Mittelstand nun handeln, um Folgen aus der Nichteinhaltung wie z. B. Bußgelder zu vermeiden. Die Vielzahl an Vorschriften macht das Management von grenzüberschreitender Cybersicherheit komplex. Daher sollten Unternehmen Experten einbeziehen, um Risiken zu mitigieren und potenzielle finanzielle Schäden zu vermeiden.

Vorbereitung: Das A und O

Eine mehrschichtige Cybersicherheitsstrategie und optimales Risikomanagement können Angriffsrisiken für KMU minimieren, denn Cyberkriminelle suchen meist den Weg des geringsten Widerstands. Trotzdem kann kein Unternehmen zu 100% sicher sein. Deshalb sind ein sorgfältig ausgearbeiteter und eingeübter Business-Continuity-Plan sowie eine Cyberversicherung mit Zugang zu Experten in unserer digitalen vernetzten Welt unerlässlich für ein effizientes Risikomanagement.

Lesen Sie auch:

Cyberrisiken bei M&A-Transaktionen – die Katze im Sack

Cyber und Haftung: Wie Unternehmen sich richtig absichern

Diesen Beitrag lesen Sie auch in AssCompact 08/2025 und in unserem ePaper.