Cybersicherheit für Frankfurter KMU: 8 neue Angriffsvektoren – und was jetzt konkret hilft

Viele KMU kämpfen mit knappen Ressourcen, während Angreifer Werkzeuge automatisieren und professionalisieren. Dieser Beitrag erklärt acht aktuelle Angriffswege und zeigt und priorisiert Gegenmaßnahmen. Jede Empfehlung lässt sich ohne Großprojekt starten und stützt sich auf praxiserprobtes Wissen.

1) KI-gestütztes Social Engineering: Deepfake-Stimmen, Phishing-Texte

Angreifer generieren täuschend echte E-Mails, Chats und Audioanrufe. Sprachmodelle imitieren Tonfall und Fachjargon, sodass Mitarbeiter Zahlungsfreigaben oder Zugangsdaten preisgeben. Kontextreiche, vollkommen professionell wirkende Nachrichten statt der früher gängigen Standard-Phishing-Nachrichten mit enormer Fehlerquote. Auch wenn in spektakulären Fällen, die es in die Nachrichten schaffen, oft andere Angriffswege genutzt werden: Analysten beschreiben Social Engineering weiterhin als primären Einstiegsvektor, zunehmend skaliert durch Automatisierung.

Gegenmaßnahmen:

• Transaktionsfreigaben strikt trennen: zweite Person, separater Kanal, Rückruf unter verifizierter Nummer.
• Realistische Phishing-Resilienzübungen ohne Schuldzuweisung, mit kurzen Lernimpulsen.
• E-Mail-Schutz: DMARC/DKIM/SPF korrekt konfigurieren, Inbound-Banner für externe Absender, Link-Sandboxing.

2) Ransomware 2.0: Exfiltration, Wiper und Angriffe auf Virtualisierungs-Hosts

Moderne Ransomware verschlüsselt nicht nur, sondern stiehlt Daten und droht mit deren Veröffentlichung. Einige Gruppen zielen auf Hypervisoren, um ganze Serverfarmen zu treffen. Mittlerweile versuchen die Angreifer immer öfter, auch Backups gezielt zu sabotieren.

Gegenmaßnahmen:

• 3-2-1-Backup mit Offline- und unveränderlicher Kopie; Wiederherstellungen regelmäßig testen und dokumentieren.
• Netzwerksegmentierung für Hypervisor-Management, strikte Admin-Trennung, temporäre Privilegien per Just-in-Time.
• EDR mit verhaltensbasierten Regeln einführen, betroffene Systeme sofort isolieren, Playbooks für Notbetrieb und Prioritäten festlegen.

Wenn trotz Schutzmaßnahmen Systeme unzugänglich sind, können im Notfall zertifizierte RAID-Datenretter forensisch sichern und beschädigte Datenträger auslesen.

3) Identität statt Perimeter: MFA-Fatigue, Adversary-in-the-Middle und API-Token

Angreifer umgehen schwach konfigurierte Multi-Faktor-Authentifizierung mit Push-Bombing oder setzen Phishing-Proxies ein, die Session-Cookies abgreifen. Zugleich geraten langlebige API-Token und Service-Accounts in DevOps-Umgebungen ins Visier.

Gegenmaßnahmen:

• Phishing-resistente MFA (FIDO2/Passkeys) priorisieren; SMS/Push nur übergangsweise und mit Rate-Limits nutzen.
• Session-Bindung an Client-Kontext, kurze Token-Laufzeiten, Secret-Scanning in Repositories etablieren.
• Zugriffe nach Risiko bewerten (Gerätestatus, Geolocation), Privilegien fein granular vergeben und regelmäßig überprüfen.

4) SaaS- und Cloud-Misskonfigurationen: kleine Fehlklicks, große Datenabflüsse

KMU nutzen E-Mail, DMS, CRM und Kollaborations-Tools in der Cloud. Häufige Fehler sind globale Freigaben, offene Storage-Buckets und zu weit verteilte Admin-Rechte. Baseline-Hardening nach anerkannten Benchmarks senkt das Risiko deutlich.

Gegenmaßnahmen:

• Baseline-Hardening anwenden; Konfigurationsdrift mit CSPM/SSPM regelmäßig prüfen.
• Standardfreigaben restriktiv setzen („privat“), externe Freigaben zeitlich und inhaltlich begrenzen.
• Admin-Rollen minimieren, quartalsweise Access-Reviews durchführen, Audit-Logs zentral sammeln und aufbewahren.

5) Software-Lieferkette: Typosquatting, bösartige Abhängigkeiten, kompromittierte Build-Pipelines

Angriffe über Open-Source-Pakete und CI/CD-Infrastrukturen treffen auch kleine Teams. Ein manipuliertes NPM- oder PyPI-Paket reicht, um Zugangsdaten abzugreifen oder Build-Server zu kompromittieren. Die Open-Source-Sicherheitsinitiative OpenSSF stellt Richtlinien und Werkzeuge für härtere Lieferketten bereit, darunter Frameworks zur Paketvalidierung und Signatur.

Gegenmaßnahmen:

• Paketquellen pinnen, Signaturen und Checksummen prüfen, Software Bill of Materials erzeugen und pflegen.
• Abhängigkeiten zentral verwalten, automatische Sicherheitsupdates in Staging testen, nicht direkt in Produktion.
• CI/CD absichern: getrennte Secrets, signierte Artefakte, Minimalrechte für Runner und isolierte Build-Umgebungen.

Im Ernstfall, wenn Malware Dateien zerstört oder ein Datenträger physisch Schaden nimmt, unterstützen Reinraum-Labore in Frankfurt am Main und anderen Wirtschaftsstandorten dabei, wichtige Daten auch von defekte Medien zu extrahieren.

6) OT- und IoT-Konvergenz im Betrieb: vernetzte Geräte als Seiteneingang

Produktionsnahe KMU, Handwerk und Logistik nutzen vernetzte Steuerungen, Kameras, Zutrittskontrollen oder smarte Ladetechnik. Standardpasswörter, veraltete Firmware und fehlende Netztrennung öffnen Seitenwege ins Unternehmensnetz. Der Mittelstandsratgeber des Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt eine klare Segmentierung und Härtung auch für kleine Umgebungen.

Gegenmaßnahmen:

• OT/IoT vom Office-Netz trennen, strikte Firewall-Regeln, nur notwendige Protokolle zulassen.
• Asset-Inventar aufbauen, Standardanmeldedaten deaktivieren, Updates in planbaren Wartungsfenstern bereitstellen.
• Remote-Wartung nur über VPN mit starker MFA und Sitzungsaufzeichnung; Zugänge nach Nutzung wieder schließen.

7) GenAI- und Copilot-Risiken: Datenaustritt, Prompt-Injection, Halluzinationen im Prozess

LLM-gestützte Assistenten bewegen sich inzwischen auch in vielen KMU in E-Mail, DMS und Code-Workflows. Das ist per se keine bedrohliche Entwicklung, oft werden aber die Risiken, die dadurch entstehen können, völlig unterschätzt. Sei es durch ungewollten Upload sensibler Daten, durch manipulative Eingaben über eingebettete Inhalte oder unprüfbare Ausgaben, die in Prozesse einfließen.

Gegenmaßnahmen:

• Data-Loss-Prevention für Kopieren/Einfügen und Uploads in AI-Tools aktivieren, sensible Quellen ausschließen.
• LLM-Zugriffe nach Rollen und Datenklassen beschränken; Protokolle für Training und Prompt-Logs definieren.
• Prüfprozesse für LLM-Ausgaben festlegen, besonders bei Recht, Finanzen und Code; Änderungen nachvollziehbar dokumentieren.

8) Kleine Schwachstellen, große Wirkung: Shadow IT, geteilte Geräte, QR-/Link-Missbrauch

Der KMU-Alltag ist oft geprägt von schnellen, vorläufigen Lösungen und ohne größere Planung aufgesetzten Workarounds: private Cloud-Drives, spontan installierte Apps, gemeinsam genutzte Endgeräte. QR-Codes und Kurzlinks verschleiern Ziele, mobile Geräte sind ständig online. Experten empfehlen, diesen Wildwuchs durch einfache, klare Kontrollen zu ergänzen, die auch ohne große Budgets wirken.

Gegenmaßnahmen:

• Eine Liste genehmigter Tools und Apps sowie einen Self-Service-Katalog bereitstellen.
• Browser-Isolation oder Link-Detonation für unbekannte Ziele nutzen, URL-Previews aktivieren, Mobilgeräte einbeziehen.
• Gemeinsame Geräte mit getrennten Nutzerprofilen, automatischer Abmeldung und Festplattenverschlüsselung betreiben.

Fazit

Für KMU zählt Priorisierung. Drei Bausteine decken viele Risiken ab: Erstens starke Identitäten mit phishing-resistenter MFA, minimalen Rechten und regelmäßigen Access-Reviews. Zweitens belastbare Backups mit Offline- oder unveränderlicher Kopie sowie getesteten Wiederherstellungswegen, ergänzt um Netzttrennung für Managementebenen. Drittens saubere Cloud- und SaaS-Konfigurationen nach anerkannten Benchmarks, kontinuierlich überwacht und dokumentiert. Kurze, regelmäßige Übungen erhöhen die Reaktionsfähigkeit: Phishing-Drills, Incident-Playbooks und Restore-Tests. Wer zusätzlich die Lieferkette härtet, IoT sauber segmentiert und GenAI-Zugriffe kontrolliert, reduziert die Angriffsfläche spürbar. Im Notfall helfen klare Abläufe und externe Forensik, Beweise und Daten zu sichern, während der Geschäftsbetrieb schrittweise wieder anläuft.