Warum der teuerste Angriff auf den Mittelstand keine Lücke im System braucht
Lesezeit ca. 7 Minuten
Garching, im Juli 2026.
Es ist Freitag, 15:40 Uhr. In der Buchhaltung eines Maschinenbauers mit 220 Mitarbeitenden im Münchner Umland geht eine Mail ein. Der Lieferant teilt mit, dass sich die Bankverbindung geändert hat. Die offene Rechnung über 40.000 Euro möge bitte auf das neue Konto gehen.
Absender: korrekt. Signatur: korrekt. Rechnungsnummer: korrekt. Der Ton: freundlich, ein bisschen drängend, wie immer vor dem Wochenende.
Die Sachbearbeiterin überweist. Sie macht keinen Fehler im eigentlichen Sinne – sie tut exakt das, was sie an jedem anderen Freitag auch tut.
Elf Tage später mahnt der echte Lieferant.
Es folgt, was in solchen Fällen immer folgt: Anzeige, Bankrückruf, Versicherungsprüfung, interne Aufarbeitung. Das Geld ist längst weitergeleitet. Zurück kommen 0 Euro.
Firewall, Spamfilter und Virenschutz waren übrigens aktiv. Alle drei haben korrekt funktioniert. Es gab nichts zu blockieren – die Mail war echt zugestellt, sie war nur nicht echt.
Der Mittelstand zahlt Rekordsummen. Und fühlt sich zunehmend sicher.
Was hier passiert ist, ist kein Einzelfall und kein Pech. Es ist die Normalform des Angriffs geworden.
Die aktuelle Bitkom-Studie „Wirtschaftsschutz 2026" beziffert den Schaden durch Cyberattacken in der deutschen Wirtschaft auf 160,4 bis 205,8 Milliarden Euro verfassungsschutz. Cyberangriffe machen inzwischen 76 Prozent des Gesamtschadens durch Diebstahl, Spionage und Sabotage aus zfk. 63 Prozent der Unternehmen haben in den vergangenen zwölf Monaten eine Zunahme registriert, 69 Prozent erwarten weitere Zunahmen cash-online. Sechs von zehn Unternehmen haben im selben Zeitraum bereits einen Schaden erlitten cash-online.
Und jetzt die Zahl, die stutzig machen sollte.
Nur 43 Prozent der Unternehmen halten sich für sehr gut vorbereitet – ein Rückgang gegenüber 50 Prozent im Vorjahr. Gleichzeitig ist der Anteil derer, die ihre Existenz durch einen erfolgreichen Angriff bedroht sehen, von 59 auf 45 Prozent gefallen.
Die Trügerische Sicherheit
Weniger vorbereitet, aber entspannter. Bitkom-Präsident Ralf Wintergerst nennt das „eine etwas trügerische Sicherheit, die möglicherweise auf einen Gewöhnungseffekt schließen lässt".
Übersetzt: Die Bedrohung ist so alltäglich geworden, dass sie aufgehört hat, alarmierend zu wirken.
Die Angreifer haben die Baustelle gewechselt
Interessant ist, wo die Studie die Ursachen verortet. Ganz oben stehen nicht Zero-Days und keine exotischen Exploits, sondern: Fehlkonfigurationen von IT-Systemen (57 Prozent), unzureichendes Identitäts- und Zugriffsmanagement (55 Prozent) – und erst danach technische Schwachstellen (50 Prozent) und veraltete Hard- oder Software (43 Prozent).
Das sind organisatorische Probleme, keine Produktprobleme. Dazu kommt eine Entwicklung, die den Mittelstand in den nächsten Jahren härter treffen wird als jede Malware-Welle: Künstliche Intelligenz hat die Qualität von Phishing-Mails fundamental verändert. Die Erkennungsmerkmale, auf die eine Generation von Mitarbeitenden trainiert wurde – holprige Grammatik, falsche Anrede, seltsame Formulierungen – sind verschwunden. Was ankommt, liest sich wie die Mail eines Kollegen. Weil sie mit den Daten eines Kollegen erzeugt wurde.
Die alte Awareness-Faustregel „Achten Sie auf Rechtschreibfehler" ist damit nicht nur nutzlos. Sie ist gefährlich, weil sie ein falsches Erkennungsmuster einübt.
Was Geschäftsführer über ihre Belegschaft wissen – und was nicht
In fast jedem Erstgespräch stellen wir dieselbe Frage: Wie viele Ihrer Mitarbeitenden würden auf eine gut gemachte Phishing-Mail klicken?
Die Schätzungen liegen fast immer zwischen fünf und zehn Prozent. Die Realität liegt bei den meisten Erstmessungen deutlich darüber.
Das ist kein Vorwurf an die Belegschaft. Wer täglich 80 Mails bearbeitet, prüft keine davon forensisch – und genau darauf ist der Angriff ausgelegt. Er nutzt Zeitdruck, Routine und Hierarchie, nicht Unwissen.
Der Punkt ist ein anderer: Die Einschätzung der Geschäftsführung basiert auf einem Bauchgefühl, nicht auf einer Messung. Bei jeder anderen unternehmerischen Kennzahl wäre das undenkbar. Niemand schätzt die Ausschussquote in der Fertigung. Niemand schätzt den Deckungsbeitrag. Beim größten Einzelrisiko der IT-Sicherheit ist Schätzen aber der Normalfall.
Die Zahl, auf die es wirklich ankommt
Wenn ein Test durchgeführt wird, fragen alle zuerst nach der Klickrate. Verständlich – aber sie ist die am wenigsten aussagekräftige Zahl.
Stellen Sie sich zwei Unternehmen vor.
Unternehmen A: 12 Prozent klicken. Aber 40 Prozent melden die verdächtige Mail innerhalb von 20 Minuten.
Unternehmen B: 6 Prozent klicken. Gemeldet hat niemand.
Unternehmen B sieht auf dem Papier doppelt so gut aus. In der Realität ist es dramatisch schlechter aufgestellt. Denn im Ernstfall merkt Unternehmen A den Angriff nach 20 Minuten und kann Zugänge sperren, bevor Schaden entsteht. Unternehmen B merkt ihn, wenn der Lieferant mahnt. Nach elf Tagen.
Meldequote und Meldedauer sind die eigentlichen Sicherheitskennzahlen. Nicht die Klickrate. Wer nur auf sie schaut, optimiert die falsche Größe – und belohnt am Ende ein Verhalten, das im Ernstfall schadet: bloß nichts melden, um nicht aufzufallen.
Was nach dem Test passiert – und was auf keinen Fall
Ein Test ohne Konsequenz erzeugt Verunsicherung und sonst nichts. Drei Dinge entscheiden über die Wirkung.
Erstens: keine Namen. Wer nach einem Test Einzelne benennt, sorgt dafür, dass beim nächsten echten Vorfall niemand mehr meldet. Das ist das exakte Gegenteil des Ziels. Ergebnisse gehören als Lagebild kommuniziert, nach Abteilung und Szenario – nie als Liste.
Zweitens: den Meldeweg lächerlich einfach machen. In vielen Unternehmen ist schlicht unklar, wohin eine verdächtige Mail überhaupt soll. Ein Melde-Button direkt im Mailprogramm verändert die Meldequote regelmäßig stärker als jede Schulungsstunde.
Drittens: Prozesse ändern, nicht nur Menschen schulen. Der Fall aus der Einleitung wäre durch eine einzige Regel verhindert worden: Änderungen von Bankverbindungen werden grundsätzlich telefonisch über die hinterlegte, bekannte Nummer bestätigt. Kein Training nötig, keine Tagesform relevant. Solche Regeln sind der günstigste Sicherheitsgewinn, den ein Mittelständler haben kann.
Und dann: wiederholen. Ein einmaliger Test ist eine Momentaufnahme. Erst die zweite und dritte Messung zeigt, ob sich etwas bewegt hat – und macht Fortschritt gegenüber Geschäftsführung, Kunden und Auditoren belegbar.
Der Nachweis wird zur Geschäftsbedingung
Bis vor Kurzem war Mitarbeitersensibilisierung eine gute Idee. Inzwischen ist sie eine Anforderung.
NIS2 nennt Schulungen ausdrücklich als Bestandteil der Risikomanagementmaßnahmen und verpflichtet die Geschäftsleitung persönlich. ISO 27001 verlangt nachweisbare Awareness-Maßnahmen. Und in den Lieferantenfragebögen großer Auftraggeber taucht der Punkt inzwischen regelmäßig auf – bei Industriezulieferern im Raum München praktisch flächendeckend.
Der Unterschied ist entscheidend: Eine Teilnehmerliste vom letzten Schulungstag ist kein Nachweis von Wirksamkeit. Eine dokumentierte Testreihe mit Klickrate, Meldequote und Entwicklung über die Zeit ist einer.
Machen Sie es messbar – mit Net-D-Sign
Genau dafür haben wir den Mitarbeitersicherheit & IT Baseline Check entwickelt: reale Phishing-Tests, verständliche Auswertung, konkrete Maßnahmen. Zugeschnitten auf den Mittelstand, ohne Enterprise-Überbau und ohne Projektmonate.
Sie bekommen:
● eine ehrliche Erstmessung statt einer Schätzung – Klickrate, Meldequote, Meldedauer, aufgeschlüsselt nach Bereichen
● ein Lagebild ohne Namensnennung, abgestimmt mit Betriebsrat und Datenschutz
● konkrete Maßnahmen – welche Schulung, welche Prozessregel, welche technische Nachbesserung, in welcher Reihenfolge
● einen Report, der in der Geschäftsführungsrunde funktioniert und gleichzeitig der IT-Leitung Ansatzpunkte liefert
● Wiederholungsmessungen, mit denen Sie Wirksamkeit gegenüber Kunden und Auditoren belegen können
Net-D-Sign ist selbst nach ISO 27001 zertifiziert – am eigenen Standort und in allen Rechenzentren. Als IT-Partner mit Systemzugriff gehören wir zur Lieferkette unserer Kunden; unsere Zertifizierung zahlt damit direkt auf deren eigenen Nachweis ein. Vom BusinessCampus München:Garching aus betreuen wir mittelständische Unternehmen deutschlandweit, mit Schwerpunkt auf Produktionsbetrieben, Industriezulieferern und dienstleistungsintensiven Mittelständlern.
Die Frage ist nicht, ob bei Ihnen jemand klicken würde. Die Frage ist, ob es jemand melden würde – und wie schnell.
Wie sicher verhält sich Ihre Belegschaft?
Mit dem Mitarbeitersicherheit & IT Baseline Check machen wir es messbar: reale Phishing-Tests, ein Lagebild ohne Namensnennung und konkrete Maßnahmen in der richtigen Reihenfolge. Kompakt genug für den Mittelstand, belastbar genug für Auditoren und Kunden.
→ Mitarbeitersicherheit & IT Baseline Check kennenlernen
Quellen:
● Bitkom: Wirtschaftsschutz 2026 – Studienbericht
● Bundesamt für Verfassungsschutz: Vorstellung der Bitkom-Studie „Wirtschaftsschutz 2026"
● BSI: Spam, Phishing & Co.
● BSI: NIS2-Pflichten
Hinweis: Das einleitende Beispiel ist ein typisierter Fall und beschreibt kein konkretes Kundenprojekt. Phishing-Simulationen berühren Mitbestimmung und Datenschutz – Betriebsrat und Datenschutzbeauftragte sind vor der Durchführung einzubinden.
Quelle Titelbild: Opus 8 (Claude)
