Wenn KI den Cyberangriff beschleunigt: Was KMU jetzt absichern müssen

Bild enthält KI-Inhalte

Wer KI-gestützte Angriffe mit einer neuen Sicherheitssoftware stoppen will, sichert oft das Falsche ab. Für kleine und mittlere Unternehmen zählen zuerst geschützte Zugänge, aktuell gehaltene Systeme, brauchbare Backups und ein Notfallplan, der auch ohne erreichbare IT funktioniert.

KI hilft Angreifern, glaubwürdige Nachrichten zu formulieren und bekannte Betrugsmaschen schneller auf verschiedene Empfänger zuzuschneiden. Ein Architekturbüro kann etwa eine vermeintliche Nachricht zu einer laufenden Rechnung erhalten, die sprachlich sauber ist und zum richtigen Projekt zu passen scheint. Gefährlich wird es, wenn ein Beschäftigter daraufhin eine Zahlung umleitet, Zugangsdaten eingibt oder eine schädliche Datei öffnet. Nicht jede überzeugende Nachricht stammt tatsächlich von einem KI-System; für die Abwehr macht das zunächst keinen Unterschied. Entscheidend ist, ob ein einzelner Fehler sofort Zugriff auf E-Mails, Projektdateien oder die Buchhaltung ermöglicht. IT-Sicherheit beginnt deshalb bei den Wegen, über die aus einer Täuschung ein Schaden werden kann.

Viele KMU haben keine eigene IT-Abteilung, die Berechtigungen, Updates und verdächtige Vorgänge laufend im Blick behält. Gerade dann hilft eine klare Reihenfolge mehr als eine Sammlung einzelner Sicherheitstools. Zuerst sollten die Zugänge und Daten geprüft werden, deren Ausfall den Betrieb unmittelbar trifft.

Welche Zugänge müssen zuerst geschützt werden?

Priorität haben E-Mail-Konten, Administrationszugänge und alle Konten, über die Zahlungen oder vertrauliche Daten freigegeben werden. Wer ein solches Konto übernimmt, braucht häufig keinen weiteren Angriff auf die Technik.

Mehrstufige Anmeldung erschwert den Zugriff mit einem gestohlenen Passwort, ersetzt aber keine Prüfung verdächtiger Anfragen. Besonders kritisch sind gemeinsam genutzte Konten, alte Zugänge ausgeschiedener Beschäftigter und Rechte, die weit über die tägliche Aufgabe hinausgehen. Das Prinzip Zero Trust bedeutet hier: Ein Zugriff gilt nicht allein deshalb als vertrauenswürdig, weil er aus dem Firmennetz kommt oder das Passwort stimmt. Rechte werden passend zur Aufgabe vergeben, und sensible Zugriffe werden zusätzlich abgesichert. Auch IT-Dienstleisterzugänge gehören in diese Prüfung, denn sie können weitreichende Berechtigungen haben. Welche Schutzfunktionen sich in Microsoft 365 nutzen lassen, hängt von der vorhandenen Einrichtung und den Lizenzen ab.

Für ein IT-Sicherheitskonzept für Unternehmen muss niemand bei einem leeren Blatt anfangen. Eine Übersicht der wichtigsten Konten, Geräte, Anwendungen und Daten zeigt, wo ein Ausfall oder Fremdzugriff besonders schmerzt. DigitaleDenkart kann KMU im Rhein-Main-Gebiet dabei als externer IT-Dienstleister begleiten, Maßnahmen mit der Geschäftsführung abstimmen und passende Hard- oder Software in die bestehende Umgebung einordnen.

Welche Sicherheitslücken sind im Alltag besonders riskant?

Am gefährlichsten sind oft nicht unbekannte Schwachstellen, sondern offene Updates, schlecht gesicherte Fernzugänge und Geräte, für die sich niemand zuständig fühlt. KI ändert daran wenig, verkürzt aber unter Umständen die Zeit, in der Angreifer Täuschungen vorbereiten und verbreiten.

Ein vollständiges Geräteverzeichnis hilft zu erkennen, ob neben Bürorechnern auch Laptops im Homeoffice, Server und Netzwerkgeräte gepflegt werden. Sicherheitsupdates sollten nach Risiko priorisiert werden: Ein von außen erreichbarer Dienst verlangt mehr Aufmerksamkeit als ein selten genutztes internes Programm. Wo Geräte nicht mehr unterstützt werden, reicht regelmäßiges Klicken auf „Aktualisieren“ nicht aus. Auch Datenschutz hängt an solchen Entscheidungen, wenn über die betroffenen Systeme personenbezogene Informationen verarbeitet werden. Ebenso wichtig ist die Frage, wer Warnmeldungen erhält und tatsächlich prüft. Eine Schutzsoftware, deren Hinweise ungelesen bleiben, schließt keine organisatorische Lücke.

Beschäftigte brauchen zudem einen einfachen Weg, auffällige E-Mails oder ungewöhnliche Zahlungswünsche zu melden, ohne erst selbst eine technische Diagnose stellen zu müssen. Rückfragen zu geänderten Bankdaten gehören über einen bereits bekannten Kontaktweg geführt, nicht über die Telefonnummer in der verdächtigen Nachricht. Solche Abläufe schützen auch dann, wenn ein Betrugsversuch sprachlich fehlerfrei und auf ein echtes Projekt zugeschnitten ist.

Was muss funktionieren, wenn der Angriff trotzdem gelingt?

Ein Backup hilft nur, wenn die benötigten Daten wiederhergestellt werden können und Zuständigkeiten geklärt sind. IT-Notfallplanung für Unternehmen muss deshalb den Betrieb nach einem Ausfall beschreiben, nicht nur die Datensicherung.

Für ein Architekturbüro können Projektdateien, E-Mails und aktuelle Planstände unterschiedlich dringend sein. Die Geschäftsführung sollte festlegen, welche Arbeit bei einem Ausfall zuerst wieder möglich sein muss und welche Entscheidungen ohne Zugriff auf die üblichen Systeme getroffen werden können. Sicherungskopien sollten so geschützt sein, dass ein Angreifer mit übernommenen Administrationsrechten sie nicht einfach mitlöscht. Wiederherstellungstests zeigen, ob Dateien vollständig und in einer brauchbaren Fassung zurückkommen. Zur Notfallplanung gehören außerdem erreichbare Ansprechpartner und ein Weg, Mitarbeitende sowie Kunden zu informieren. Bei einem möglichen Abfluss personenbezogener Daten müssen auch datenschutzrechtliche Pflichten geprüft werden.

DigitaleDenkart kann solche Fragen mit Geschäftsführung und IT-Verantwortlichen in konkrete Aufgaben übersetzen: Wer pflegt Zugänge, wer prüft Backups, und wen erreicht das Team im Ernstfall? Das ist der praktische Kern einer Cyber Security Beratung für KMU ohne eigene IT-Abteilung. Ob NIS2 für ein bestimmtes Unternehmen zusätzliche Pflichten auslöst, muss anhand seiner Tätigkeit und Einordnung gesondert geprüft werden; eine allgemeine Checkliste ersetzt diese Prüfung nicht.