Wenn du in einem regionalen kleinen und mittelständischen Unternehmen für IT verantwortlich bist, kennst du den Spagat: Die IT soll stabil laufen, sicher sein, bezahlbar bleiben – und am besten gestern modernisiert werden.
Genau diese Mischung macht KMU so attraktiv für Angreifer: nicht weil „bei dir so viel zu holen“ ist, sondern weil irgendwo eine Tür offen steht.
Das ist übrigens auch eine der klarsten Botschaften aus dem gemeinsamen Talk von aixpedIT und dem BKA: Die Gegenseite arbeitet hochprofessionell – und die Frage ist weniger ob, sondern wann es dich trifft.
Auf der CCC-Konferenz 39C3 im Dezember 2025 in Hamburg war IT-Sicherheit natürlich ein großes Thema – unter anderem im Talk „Security Nightmares“, der die Trends und „fiesesten Fehler“ des Jahres zusammenfasst.
Damit du das Ganze ohne Technik-Nebel greifen kannst, schauen wir uns drei typische Bedrohungen an – Ransomware, Phishing und Lieferkettenangriffe – mit Praxisbeispielen und konkreten Maßnahmen für KMU.
Ransomware ist die Art Angriff, bei der deine Daten verschlüsselt werden – und oft zusätzlich vorher kopiert („Doppelte Erpressung“: Zahl oder wir veröffentlichen). Im BKA/aixpedIT-Talk wird das sehr plastisch erklärt: Erst kommt der „Fuß in die Tür“, dann wird das Netzwerk über Wochen/Monate erkundet, Daten werden abgezogen, dann wird verschlüsselt – und erst dann startet die Erpressung.
Was viele unterschätzen: Das serds“. Da gibt’s Rollen wie in einer Firma (Entwicklung, Operations, Verhandlungsteam) – und sogar Ransomware-as-a-Service (Miete dir Angriffswerkzeuge wie ein Abo).
Was du daraus ableiten solltest (ohne Buzzwords):
Der CCC-Talk „Security Nightmares“ hat genau dieses Thema sehr pointiert aufgegriffen: Ransomware bleibt ein zentraler Albtraum – und Resilienz (sprich: wieder hochkommen können) ist oft der Unterschied zwischen „schlimm“ und „existenzbedrohend“.
Phishing ist der Klassiker: Eine Mail, ein Link, ein Login, zack – Zugangsdaten weg. Und das betrifft längst nicht nur „unvorsichtige“ Menschen: Angriffe sind heute professionell, sprachlich sauber und optisch überzeugend.
Studien zeigen ziemlich konstant: Social Engineering (also „Menschen austricksen“) bleibt einer der wichtigsten Einstiegspunkte – über alle Unternehmensgrößen hinweg.
Du bekommst eine Mail wie:
Der Link führt auf eine täuschend echte Login-Seite. Du gibst deine Daten ein und die Credentials landen beim Angreifer. Der loggt sich ein, legt Regeln im Postfach an („alle Mails mit ‚Rechnung’ weiterleiten“), greift SharePoint oder OneDrive ab – und nutzt deinen Account, um intern weiter zu phishen.
Was KMU am meisten bringt:
Und ja: Die Lage ist insgesamt nicht entspannter geworden. Der BSI-Lagebericht 2025 spricht weiterhin von „angespanntem Niveau“.
„Lieferkette“ klingt nach Automobilindustrie – betrifft aber jedes KMU, das Tools nutzt: Telefonie, Fernwartung, Zeiterfassung, Cloud-Apps, IT-Dienstleister, Managed Services, Branchen-Software und mehr.
Bitkom zeigt das sehr greifbar: Angriffe nehmen zu, Schäden steigen stark – und Zulieferer oder Partner sind ein relevantes Einfallstor (ob direkt oder als „Mitbetroffene“).
Ein sehr anschaulicher Fall aus den letzten Jahren ist der 3CX-Vorfall (2023): Ein kompromittiertes Softwarepaket führte dazu, dass über eine legitime Anwendung Schadcode verteilt wurde – also über genau den Kanal, dem Unternehmen normalerweise vertrauen („Update vom Hersteller“).
Was du als KMU konkret tun kannst (ohne ein Audit-Monster zu bauen):
Viele KMU glauben: „Wir sind zu klein.“
Die Realität: Angriffe laufen oft skalierbar (Gießkanne) oder halb-gezielt („Wer hat die schwächste Tür?“). Im Talk von BKA und aixpedIT fällt dazu ein Satz sinngemäß: Die Unternehmen, die sich noch nicht als betroffen sehen, haben es möglicherweise nur noch nicht gemerkt.
Bitkom belegt die Breite der Betroffenheit in Deutschland in seiner Studie „Wirtschaftsschutz 2025“.
Das passt übrigens auch zu Erkenntnissen aus dem IBM-Umfeld: Die Einbindung von Strafverfolgung kann Auswirkungen auf Kosten und Zeit zur Eindämmung haben (je nach Fallkonstellation).
Wenn Systeme ausfallen, Daten verschlüsselt werden oder Dienste nicht mehr verfügbar sind, zählt jede Minute.
Mit dem IT-Notfallplan von aixpedIT bekommst du eine strukturierte, praxistaugliche Checkliste inkl. Sofortmaßnahmen, Eindämmung, Bewertung und Kommunikationsplan – abgestimmt auf dein Unternehmen.