Wir sind zu klein für Hacker.
Der Satz fällt in jedem zweiten Erstgespräch über IT-Sicherheit. “Warum sollte uns jemand angreifen, wir sind doch nur ein Mittelständler.” Die Annahme wirkt vernünftig. Sie ist trotzdem falsch.
Die meisten Angriffe sind nicht gezielt, sondern automatisiert. Bots scannen rund um die Uhr das Internet nach offenen Ports, veralteten Exchange-Servern, schwachen VPN-Gateways und Mitarbeitern, die auf die falsche Mail klicken. Wer da reinpasst, ist Beute. Unabhängig von Branche und Größe.
Kleine Firmen sind für diese Logik nicht zu klein. Sie sind perfekt. Kaum Budget für Abwehr, kein eigenes Security-Team, oft auch keine getesteten Backups. Der Aufwand pro erfolgreichem Angriff ist gering, die Zahlungsbereitschaft im Ernstfall hoch.
Der eigentliche Irrtum
Der Satz “wir sind zu klein” setzt voraus, dass jemand an der anderen Seite sitzt und überlegt, ob sich ein Angriff lohnt. Das war vor zwanzig Jahren so. Heute überlegt da niemand mehr.
Eine Ransomware-Gruppe kauft Zugänge im Paket, einer davon ist eure Firma. Ein Phishing-Kit wird an hunderttausend Adressen geschickt, ein paar davon gehören euren Mitarbeitern. Eine Sicherheitslücke wird veröffentlicht, und am selben Tag scannen Bots das Netz nach genau dieser Schwachstelle. Ihr seid nicht Ziel, ihr seid Kollateral-Auswahl.
Wer nicht getroffen wird, hat meistens nicht viel richtig gemacht, sondern nur etwas weniger falsch als der Nachbar.
Was ihr stattdessen tun könnt
Die gute Nachricht: gegen automatisierte Angriffe hilft keine Enterprise-Security-Suite, sondern nüchterne Grundhygiene. Vier Punkte bringen mehr als jedes Tool:
- Mehr-Faktor-Authentifizierung für alles, was von außen erreichbar ist. Keine Ausnahmen für die Geschäftsführung.
- Patches zeitnah einspielen, besonders bei allem, was ins Internet schaut. Exchange, VPN, Firewall, Mail-Gateway.
- Backups, die regelmäßig zurückgespielt werden, nicht nur nachts gestartet.
- Rechte kappen. Niemand braucht dauerhaft Administrator-Rechte, auch nicht der Chef.
Das ist keine Raketenwissenschaft, das ist Zähneputzen. Aber genau daran scheitert es in der Praxis, weil das Thema zu selten offen als Chef-Thema behandelt wird.
Fazit
“Wir sind zu klein für Hacker” ist kein Sicherheitskonzept, sondern eine Hoffnung. Automatisierte Angriffe kennen eure Umsatzzahlen nicht und interessieren sich nicht dafür. Die Frage ist nicht, ob ihr ins Raster fallt, sondern wie viel es euch kostet, wenn es passiert.
Wer die vier Punkte oben sauber durchzieht, ist nicht unverwundbar, aber weit überdurchschnittlich. Darüber können wir gern reden.