Cyber-Angriffe folgen häufig bestimmten Mustern. Angreifer nutzen Methoden, die sich im Unternehmensalltag besonders leicht umsetzen lassen. Auswertungen des Bundesamt für Sicherheit in der Informationstechnik zeigen, dass sich viele Angriffe auf folgende typische Angriffstypen zurückführen lassen.
Phishing und Social Engineering
Phishing: Diese Form der Cyber-Kriminalität gehört zu den häufigsten Einstiegspunkten für Angriffe auf Unternehmen. Dabei versuchen Kriminelle, Unternehmens-Mitarbeiter über gefälschte Nachrichten zu täuschen. Diese Nachrichten wirken auf den ersten Blick seriös und vertrauenswürdig. Sie sehen zum Beispiel aus, als stammten sie von einem Paketdienst, einer Bank, einem Softwareanbieter, einem Geschäftspartner oder sogar aus dem eigenen Unternehmen.
Das Ziel solcher Angriffe ist meist, dass eine Person im Unternehmen etwas Bestimmtes tut. Zum Beispiel soll sie:
- auf einen Link klicken
- einen (infizierten) Anhang öffnen
- Zugangsdaten eingeben
- eine Zahlung freigeben
- vertrauliche Informationen weitergeben
Social Engineering: Diese Methode geht noch einen Schritt weiter. Hier nutzen Angreifer gezielt psychologische Mechanismen wie Zeitdruck, Autorität, Hilfsbereitschaft oder Unsicherheit. Der Angriff zielt also nicht zuerst auf die Technik, sondern auf den Menschen. Besonders gefährlich ist das, weil selbst gut geschützte Systeme angreifbar werden, wenn ein Mitarbeitender versehentlich die Tür öffnet.
Praxisbeispiel: Eine Mitarbeiterin in der Buchhaltung erhält eine E-Mail, die scheinbar vom Geschäftsführer stammt. Darin wird sie gebeten, wegen eines vertraulichen Projekts kurzfristig eine Überweisung auszulösen. Die Nachricht wirkt glaubwürdig und dringlich. Tatsächlich stammt sie von einem Angreifer, der mit einer gefälschten Absenderadresse arbeitet.
Ransomware
Ransomware ist eine Form von Schadsoftware, bei der Angreifer Daten oder ganze Systeme verschlüsseln. Das betroffene Unternehmen kann dann nicht mehr auf wichtige Dateien, Anwendungen oder Server zugreifen. Bei einem solchen Hackerangriff fordern anschließend die Täter Lösegeld (oft in Kryptowährung) und versprechen im Gegenzug eine Entschlüsselung.
Für Unternehmen ist Ransomware besonders kritisch, weil sie den laufenden Betrieb oft unmittelbar trifft. Wenn zentrale Systeme ausfallen, können Aufträge nicht mehr bearbeitet, Waren nicht versendet, Rechnungen nicht geschrieben oder Kundendaten nicht genutzt werden. Der Schaden entsteht also nicht nur durch die IT-Störung selbst, sondern auch durch Betriebsunterbrechung, Umsatzausfall und Krisenmanagement. Laut Hiscox Cyber Readiness Report 2025 waren 27 % der kleinen und mittleren Unternehmen innerhalb eines Jahres von einem Ransomware Angriff betroffen.
Praxisbeispiel: Ein mittelständischer Produktionsbetrieb stellt morgens fest, dass weder die Auftragsdaten noch die Maschinensteuerung normal erreichbar sind. Auf den Bildschirmen erscheint eine Lösegeldforderung. Die Angreifer teilen mit, dass sie interne Unterlagen und Kundendaten entwendet haben und diese löschen werden, falls keine Zahlung erfolgt.
Angriffe über Schwachstellen
Viele Cyber-Angriffe beginnen mit einer technischen Schwachstelle. Dies sind Sicherheitslücken in Software, Servern, Firewalls, Remote Zugängen oder anderen IT-Systemen. Solche Schwachstellen entstehen durch:
- Programmierfehler
- Veraltete Softwareversionen
- Fehlende Updates
Angreifer suchen gezielt nach diesen Lücken. Dafür scannen sie automatisiert öffentlich erreichbare Systeme im Internet. Finden sie eine Schwachstelle, versuchen sie, diese auszunutzen, um Zugriff auf das System zu erhalten. Das ist für Hacker oft besonders attraktiv, weil kein Mensch im Unternehmen aktiv mitwirken muss. Der Angriff erfolgt direkt über die Technik. Für KMU ist das riskant, weil Sicherheitsupdates im Alltag häufig nicht sofort eingespielt werden. Gerade wenn IT-Ressourcen knapp sind, bleiben bekannte Lücken manchmal zu lange offen.
Praxisbeispiel: Ein Unternehmen nutzt für den Fernzugriff auf sein Netzwerk ein System, für das seit einigen Wochen ein wichtiges Sicherheitsupdate verfügbar ist. Das Update wurde wegen Personalmangels noch nicht installiert. Angreifer nutzen genau diese bekannte Lücke und verschaffen sich darüber Zugang zum internen Netzwerk, um dort weitere Angriffe vorzubereiten.
Angriffe über gestohlene Zugangsdaten
Gestohlene Zugangsdaten spielen bei Cyber-Angriffen eine zentrale Rolle. Sie können über Phishing, frühere Datenleaks oder unzureichend geschützte Zugangsdaten in die Hände von Angreifern gelangen. Besonders problematisch ist das, wenn Passwörter mehrfach verwendet werden oder wenn kein zusätzlicher Schutz wie eine Mehrfaktor-Authentifizierung eingerichtet ist.
Der große Vorteil für Angreifer: Mit echten Zugangsdaten wirken ihre Zugriffe zunächst häufig legitim. Sie müssen keine Sicherheitssysteme aufbrechen, sondern melden sich einfach mit einem vorhandenen Benutzerkonto an. Dadurch bleiben solche Angriffe oft länger unentdeckt als klassische Schadsoftwareangriffe. Haben Täter erst einmal Zugriff auf ein E-Mail-Postfach, ein Cloud System oder einen Administrationszugang, können sie sich oft weiter im Unternehmen ausbreiten, Daten auslesen oder weitere Betrugsversuche starten.
Praxisbeispiel: Die Zugangsdaten eines Vertriebsmitarbeiters werden nach einem früheren Datenleck im Internet illegal gehandelt. Weil das Passwort auch für ein geschäftliches Cloud System genutzt wurde, können sich Angreifer dort anmelden, Kontakte auslesen und im Namen des Mitarbeiters betrügerische Nachrichten an Kunden verschicken.
Lieferketten-Angriffe
Nicht jeder Angriff zielt direkt auf das eigentliche Unternehmen. Bei Lieferketten Angriffen nutzen Angreifer einen Umweg über externe Dienstleister, Softwareanbieter, IT-Partner oder andere verbundene Organisationen. Das Ziel ist, über diese Verbindung Zugriff auf das eigentliche Unternehmen zu erhalten. Gerade für KMU ist das relevant, weil viele IT-Leistungen, Softwarelösungen oder Wartungszugänge von externen Partnern bereitgestellt werden. Diese Verbindungen sind im Alltag sinnvoll und oft notwendig, erweitern aber zugleich die Angriffsfläche. Wird ein externer Dienstleister Opfer eines Cyber-Angriffs, kann das auch schwerwiegende Folgen für seine Kunden haben.
Solche Angriffe sind besonders heikel, weil sie über vertrauenswürdige Beziehungen erfolgen. Das betroffene Unternehmen rechnet also gerade dort nicht mit einem Angriff, wo normalerweise Unterstützung, Wartung oder Datenaustausch stattfindet.
Praxisbeispiel: Ein externer IT-Dienstleister betreut mehrere mittelständische Kunden per Fernzugriff. Cyber-Kriminelle haben die Zugangsdaten des Dienstleisters gestohlen. Die Angreifer nutzen die bestehende Wartungsverbindung, um sich auch in die Systeme eines Kundenunternehmens einzuloggen. Dort können sie weitere Zugänge ausspähen, Daten auslesen und Schadsoftware installieren.
DDoS Angriffe
Bei einem DDoS Angriff versuchen Täter, einen Online-Dienst gezielt lahmzulegen. Dazu senden sie in sehr kurzer Zeit extrem viele Anfragen an eine Webseite, einen Server oder eine Plattform. Das System wird dadurch überlastet und für echte Nutzer nicht mehr erreichbar.
Solche Angriffe zielen nicht in erster Linie auf Datendiebstahl, sondern auf Störung ab. Für Unternehmen kann das erhebliche Folgen haben. Wenn ein Online-Shop, ein Kundenportal oder ein Terminbuchungssystem nicht erreichbar sind, können Verkäufe, Serviceleistungen oder Kommunikation ausfallen. In manchen Fällen dienen DDoS Angriffe auch als Druckmittel oder als Ablenkung für weitere Angriffe im Hintergrund. Besonders betroffen sind Unternehmen, die stark von digitalen Services abhängen oder öffentlich erreichbare Plattformen betreiben.
Praxisbeispiel: Ein Händler betreibt einen stark frequentierten Online-Shop. Innerhalb weniger Minuten steigt die Zahl der Zugriffe sprunghaft an. Der Server reagiert kaum noch, Bestellungen brechen ab und Kunden können die Seite nicht mehr laden. Später zeigt sich, dass es sich um einen gezielten Überlastungsangriff als Ablenkung für weitere Angriffe handelte.
Zwischen-Fazit: Typische Angriffsmuster frühzeitig erkennen
Die Beispiele zeigen: Cyber-Angriffe auf kleine und mittlere Unternehmen folgen meist klar erkennbaren Mustern. Für Sie ist es deshalb entscheidend, typische Angriffsmuster zu kennen. Wenn Sie verstehen, wie Cyber-Angriffe in der Praxis ablaufen, können Sie Risiken besser einschätzen und geeignete Schutzmaßnahmen für Ihr Unternehmen treffen.
