Zahlen aus Studien sind meistens nutzlos. Sie sind zu groß, um etwas zu bedeuten, und wer sie zitiert, will in der Regel etwas verkaufen.
Bei der jüngsten Bitkom-Erhebung lohnen trotzdem drei Zeilen — nicht wegen der Schadenssumme, sondern wegen einer Lücke, die darin steckt.
Die Zahlen
Der jährliche Schaden durch Datendiebstahl, Spionage und Sabotage liegt bei rund 289 Milliarden Euro, gut acht Prozent mehr als im Jahr davor. 87 Prozent der befragten Unternehmen waren betroffen oder vermuten es. Ransomware gilt als gefährlichste Angriffsform, gefolgt von Überlastungsangriffen und Schadsoftware. 15 Prozent haben Lösegeld gezahlt.
Und dann kommt die Zeile, um die es eigentlich geht: Fast sechzig Prozent halten Cyberangriffe für existenzbedrohend — aber nur die Hälfte hält sich für ausreichend vorbereitet.
Das ist der ganze Befund. Fast alle wissen, dass es sie treffen kann. Die Hälfte weiß, dass sie es nicht kann.
„Wir sind zu klein dafür"
Das ist der Satz, den ich am häufigsten höre, und er beruht auf einem Denkfehler: Er unterstellt, dass jemand sich dich aussucht.
So läuft das nicht. Der überwiegende Teil dieser Angriffe ist automatisiert. Da sitzt niemand und überlegt, ob sich ein Zimmereibetrieb mit elf Leuten lohnt. Da läuft ein Programm, das das Internet nach offenen Fernwartungszugängen absucht, nach Anmeldeseiten, nach ungepatchten Systemen. Was antwortet, wird angefasst.
Klein sein schützt nicht. Es sorgt nur dafür, dass es niemanden interessiert, wenn es passiert — es steht dann nämlich in keiner Zeitung.
Was in kleinen Betrieben tatsächlich passiert
Nicht der spektakuläre Hackerangriff. Sondern:
Die Rechnung mit der falschen IBAN. Jemand liest in einem gekaperten Postfach mit, wartet auf die richtige Rechnung, ändert die Kontonummer und schickt sie hinterher. Der Betrag ist weg, bevor irgendwer misstrauisch wird — und die Bank holt ihn nicht zurück.
Das Postfach, das übernommen wird. Ein Passwort, das an drei Stellen benutzt wurde und irgendwo aus einer alten Datenpanne stammt. Der Zugriff fällt oft wochenlang nicht auf.
Die Verschlüsselung übers Wochenende. Freitagabend rein, Montagmorgen steht alles. Warum das Backup danach häufig nicht hilft, steht in Ein Backup ist noch keine Datensicherung.
Der Fernzugang, den mal jemand eingerichtet hat. Für den Notfall, vor vier Jahren, mit einem einfachen Passwort. Er ist immer noch offen.
Die vier Dinge, die wirklich etwas bringen
Wenn ich in einem kleinen Betrieb nur vier Dinge ändern dürfte, wären es diese — in dieser Reihenfolge:
Zwei-Faktor überall, wo es Geld oder Mail gibt. Postfach, Onlinebanking, Steuerportal, Warenwirtschaft. Das erledigt die Mehrzahl der Übernahmen, bevor sie anfangen. Wie das im Betrieb praktisch aussieht.
Eine Sicherung, die außer Haus liegt und einmal zurückgespielt wurde. Nicht geprüft heißt nicht vorhanden.
Updates, automatisch, auch auf den unbeliebten Geräten. Router, NAS, Telefonanlage, Kamera. Nicht nur Windows.
Nicht als Administrator arbeiten. Ein normales Benutzerkonto für den Alltag verhindert mehr Schaden als jedes Virenschutzprogramm.
Das kostet zusammen ein paar Stunden und fast kein Geld. Es ist unspektakulär und deshalb schwer zu verkaufen — aber es ist der Teil, der die Statistik oben tatsächlich für dich verändert.
Und wenn doch etwas passiert
Zahlen ist die schlechteste Option: Es finanziert die nächste Runde, es gibt keine Garantie, und die Daten waren vorher trotzdem woanders. Sinnvoller ist, vorher zu wissen, wen man anruft — und dass eine Meldung an die Datenschutzaufsicht binnen 72 Stunden fällig sein kann. Wie das abläuft, steht hier.
Die 289 Milliarden sind nicht dein Problem. Die 6.400 Euro, die an eine falsche IBAN gingen, weil jemand in deinem Postfach mitlas, schon.