Nach seinem Praxis-Impuls auf der Veranstaltung „KI.Compliance.Sicherheit – Orientierung und Umsetzung für kleine und mittlere Unternehmen“ haben wir mit Patrick Jung, Gründer und Inhaber von ISB Plus, über die aktuelle Bedrohungslage im Bereich Cybersicherheit gesprochen. Im Interview erläutert der IT-Sicherheitsexperte, welche Risiken insbesondere kleine und mittlere Unternehmen betreffen und wie sie sich wirksam vor Cyberangriffen schützen können.
Sie beschreiben, dass Cyberangriffe früher Wochen dauerten – heute nur noch Minuten. Was hat sich technisch verändert, dass das möglich ist?
Die Angreifer unterliegen beim Einsatz von Automatisierungen oder „unfertigen“ KI-Modellen keinerlei Einschränkungen. Damit lassen sich Aufgaben, die früher manuell erledigt werden mussten, beispielsweise das Prüfen gestohlener Zugangsdaten, schnell umsetzen. Das heißt, hier wird geprüft, ob die Zugangsdaten überhaupt noch funktionieren und ob sie eventuell auch für andere Plattformen funktionieren, weil jemand das gleiche Kennwort bei der Arbeit und in einem Online-Shop benutzt.
Was sich vor allem geändert hat, ist die Ausnutzung bekannter Schwachstellen. Das muss man sich so vorstellen:
Man hat ein Haus, das mit einer Alarmanlage gesichert ist. Nun kommt heraus, dass man über ein Bauteil die Alarmanlage abschalten kann. Dieses Bauteil muss aber umprogrammiert werden. Früher musste sich jemand hinsetzen und dieses Programm schreiben und immer wieder prüfen, ob die Alarmanlage nun wirklich abgeschaltet werden kann. Das dauerte Wochen. Das kann man heute mit KI-Modellen machen. Eine Schwachstelle in einer Software wird bekannt und man kann per KI, die den Programmcode schnell versteht, einen sogenannten Exploit, also das Werkzeug der Einbrecher, bauen lassen. Die Statistik von zerodayclock.com sagt aus, dass der Zeitraum von Bekanntwerden und Ausnutzung der Schwachstelle im Jahr 2025 im Durchschnitt noch bei 21,5 Tagen lag und im Jahr 2026 nur noch bei 1,9 Tagen. Das bedeutet, dass ein Teil der Angriffe schon direkt am Tag des Bekanntwerdens stattfindet.
Welche Art von Angriffen sehen Sie aktuell am häufigsten bei kleinen und mittleren Unternehmen?
Häufig handelt es sich um eine Mischung aus Identitätsdiebstahl und Betrugsfällen mit IT-Unterstützung. Die geänderte Bankverbindung ist ein klassisches Mittel, das leider immer noch sehr häufig zum Erfolg führt. Die Betrüger schaffen es nämlich auch, sich unter einer sehr ähnlich klingenden Firmenbezeichnung ein Bankkonto zu registrieren. Man sieht aber auch, dass Phishing-E-Mails sehr gezielt auf bestimmte Personen mit viel Hintergrundwissen eingesetzt werden. Hierzu werden E-Mail-Konten mit gestohlenen Passwörtern ausgenutzt, vorangegangene Konversationen kopiert bzw. fortgeführt und dann unter einer ähnlich klingenden Absenderadresse weitergeführt. Das Opfer sieht dann die bekannte Konversation im E-Mail-Verlauf und stellt die Anweisung, dass sich an der Bankverbindung etwas geändert hat, nicht in Frage bzw. überprüft sie nicht, etwa durch eine telefonische Nachfrage, besonders dann nicht, wenn die E-Mail intern an den Vorgesetzten weitergeleitet wird. Ein weiteres beliebtes Ziel ist der Diebstahl von Zugangsdaten. Hier wird ebenfalls ein gehacktes E-Mail-Postfach benutzt und bekannte Kontakte werden angeschrieben. Diese erhalten einen Link oder ein verschlüsseltes Dokument und sollen ihre Zugangsdaten eingeben. Wenn der Empfänger dies tut, wird in seinem Namen die gleiche E-Mail an die eigenen Kontakte gesendet – also ein moderner Kettenbrief, dessen Ziel es ist, Passwörter zu stehlen.
Warum sind kleine und mittlere Unternehmen für Angreifer heute besonders attraktiv und wo liegen die typischen Einfallstore?
Häufig haben KMUs keine Mitarbeiter, die sich um das Thema IT-Sicherheit kümmern. Wenn der IT-Dienstleister diese Themen anspricht, haben die Unternehmen oft das Gefühl, dass er ihnen etwas verkaufen will und erkennen den Nutzen nicht. Daher ist das Schutzniveau an einigen Stellen niedriger. Man muss sich IT-Sicherheit wie einen Deich vorstellen: Er sollte überall gleich hoch sein. Wenn er an einer Stelle statt 5 m nur 3 m hoch ist, dann schwappt der Cyberangriff genau da hinein. Neben den Kosten befürchten viele auch, dass es komplizierter wird und die Arbeitszeit darunter leidet. Einige Unternehmen haben auch das Problem, dass sie eventuell IT-Dienstleister haben, die das Thema IT-Sicherheit ebenfalls nicht im Fokus haben, weil sie sich nur um die Systeme kümmern und dafür sorgen, dass alles „up and running“ ist. Dann bekommt das Unternehmen gar keine Informationen darüber, welche Maßnahmen warum umgesetzt werden müssen.
Was sind die drei Maßnahmen, die ein KMU mit begrenztem Budget sofort umsetzen kann, um sich besser zu schützen?
Überall, wo es möglich ist, sollte ein zweiter Faktor (MFA) zusätzlich zum Passwort genutzt bzw. erzwungen werden. Zudem sollten Administratorkonten reduziert und immer als getrennte Konten genutzt werden, sodass kein Mitarbeiter unter seinem persönlichen Konto mit Mailaccount administrative Rechte besitzt. Alle Systeme sollten mit automatischen Updates konfiguriert werden, damit Lücken geschlossen werden, sobald ein Patch verfügbar ist. Dies gilt insbesondere für Arbeitsplatzrechner und Systeme, die aus dem Internet erreichbar sind. Bei Systemen, die für die Produktion genutzt werden, muss natürlich vorsichtig damit umgegangen werden. Aber auch bei solchen Systemen muss zukünftig schneller aktualisiert werden. Mein Tipp für virtuelle Systeme: Tägliche Snapshot-Sicherung durchführen und automatische Updates aktivieren. Wenn etwas schiefgeht, kann man auf die Version von gestern springen. Ein Ausfall von einigen Stunden für die Wiederherstellung nach einem fehlerhaften Update ist aus meiner Sicht besser als ein kompletter Stillstand wegen eines Cyberangriffs. Als Bonus-Tipp: Haben Sie einen Plan für den Totalausfall Ihrer IT? Stellen Sie sich die Frage: „Wie kann ich mindestens 60 % meiner Unternehmensprozesse auch ohne die kompletten IT-Systeme am Laufen halten?“
Ist das klassische Passwort eigentlich ein Auslaufmodell? Wohin geht die Entwicklung, Stichwort „Passkeys oder biometrische Authentifizierung“?
Das Passwort ist ein Auslaufmodell. Das zeigt die aktuelle Auswertung des Hasso-Plattner-Instituts. Der durchschnittliche Anwender nutzt aus Bequemlichkeit oder Missverständnis heraus keine sicheren Passwörter und wird das wohl auch nie tun. Passkeys bieten da eine echte Chance, da unser Smartphone das Passwort ist. Wir haben es immer dabei und die darauf gespeicherten Passkeys sind verschlüsselt abgelegt. Hier ist aber wieder der Knackpunkt: Wie habe ich mein Smartphone abgesichert? Nutze ich einen 4-stelligen PIN-Code wie „1234″, dann sind auch die Passkeys nicht sicher, denn mit diesem PIN-Code gebe ich den Zugriff auf meine Passkeys frei. Daher muss man das Smartphone mit einem langen Passwort schützen oder mit biometrischen Maßnahmen, was für viele Anwender das Einfachste ist und auch deutlich sicherer als jede schlechte PIN. Ich denke, dass es in Unternehmen auch einen Wandel zu Hardware-Tokens geben wird, die in den Rechner gesteckt und anschließend einen PIN eingeben werden muss. So habe ich automatisch eine Zwei-Faktor-Authentifizierung, die auch phishingresistent ist, da der Angreifer für das Login auch meinen Hardware-Token bräuchte.
Wie hat sich das Bild eines typischen Cyberangriffs in den letzten 5 Jahren verändert?
Heute kann man sich komplette Werkzeuge für einen Cyberangriff kaufen, sogenannte Ransomware-as-a-Service-Angebote. Das heißt, ich muss kein Programmierer oder IT-Nerd sein, um dem Geschäftsmodell „Erpressung“ nachzugehen. Daher gibt es viele neue Gruppen, die sich in diesem Markt tummeln und schnell „erfolgreich“ sind. Dieser für jeden bezahlbare Werkzeugkoffer, gepaart mit KI-Modellen, die darauf trainiert sind, Viren oder Phishing-Mails zu entwickeln, beschleunigt die Angriffe enorm. Die aktuelle Statistik des BKA zeigt beispielsweise, dass eine Gruppe, die es 2024 noch gar nicht gab, 2025 die zweithäufigste Angriffsvariante ist. Was dazukommt, ist die Variabilität von Schadsoftware (Software, die den Rechner manipuliert). Es wurden schon erste Varianten gefunden, die sich anhand ihrer Zielumgebung, also dem System, auf dem sie sich befinden, umprogrammiert haben. Das heißt, ein schädliches Programm auf meinem Rechner spioniert meine Schutzmaßnahmen aus und erhält per KI-Modell Informationen darüber, wie es sich umprogrammieren muss, damit es nicht erkannt wird. Diese Funde von Google Threat Intelligence befinden sich zwar noch in der Entwicklung, werden aber in kurzer Zeit zur neuen Realität werden. Mit solchen „Evil-KI“-Modellen kann man sehr viel Geld verdienen, wenn sie funktionieren. Wo ein Markt ist, werden sich die Anbieter etablieren.
Das Interview macht deutlich, dass Cybersicherheit heute ein zentraler Bestandteil der digitalen Transformation ist. Während KI neue Möglichkeiten für Unternehmen eröffnet, verschafft sie auch Cyberkriminellen neue Werkzeuge. Umso wichtiger ist es, dass insbesondere kleine und mittlere Unternehmen IT-Sicherheit als kontinuierliche Aufgabe verstehen und frühzeitig geeignete Schutzmaßnahmen ergreifen.
Mehr über IT-Sicherheit und Patrick Jungs Arbeit finden Sie auf seiner Website: https://isb-plus.de/.
