Stellen Sie sich einen Einbrecher vor, der vor verschlossenen Türen steht. Er könnte mühsam das Schloss knacken. Oder er kauft sich für ein paar Euro einfach den passenden Schlüssel. In der digitalen Welt ist die zweite Variante längst die Regel. Gestohlene Zugangsdaten sind zum bevorzugten Werkzeug der Cyberkriminalität geworden, und der deutsche Mittelstand ist ihr Hauptziel.
Identität als neues Einfallstor: Warum Passwörter allein nicht mehr schützen
Die romantische Vorstellung vom Hacker, der nächtelang komplexen Code schreibt, um Firewalls zu überwinden, entspricht nicht mehr der wirtschaftlichen Realität. Cyberkriminelle müssen längst nicht mehr einbrechen. Sie kaufen für wenige Euro gültige Zugangsdaten und melden sich damit an. Die internen Analysen von Baobab Risk Solutions für den Data Breach Report zeigen ein klares Muster: 91 Prozent der analysierten Datenleaks enthalten Passwörter im Klartext. Sie sind sofort lesbar und sofort einsatzbereit. Der initiale Zugriff wird damit trivial und kosteneffizient.
Wie industrialisiert dieser Handel ist, verdeutlicht ein beobachteter Telegram-Kanal. Gegen ein simples Monatsabonnement von rund 250 Dollar erhalten Käufer täglich Zugriff auf tausende frisch gestohlene Datensätze. Die unabhängige Datenlage bestätigt diesen Befund. Laut dem Verizon Data Breach Investigations Report 2025 waren gestohlene Zugangsdaten bei 22 Prozent aller untersuchten Sicherheitsverletzungen der Ausgangspunkt – und bei Angriffen auf einfache Webanwendungen sogar in 88 Prozent der Fälle.
Das Darkweb vergisst nicht
Wer einmal in den einschlägigen Datensammlungen des Darkwebs gelandet ist, bleibt dort über Jahre als Ziel markiert. Die Analyse belegt eine Duplikationsrate von rund 88,7 Prozent. Dieselben gestohlenen Datensätze tauchen immer wieder in neuen Sammlungen auf, werden neu verpackt und automatisiert gegen Netzwerke eingesetzt. Treiber dieser Entwicklung sind sogenannte Info-Stealer – Schadsoftware, die unbemerkt Zugangsdaten direkt aus dem Browser, aus Passwort-Managern oder aus aktiven Sitzungen extrahiert. Die Angriffsstrategie verschiebt sich weg von singulären, massiven Server-Hacks hin zur Skalierung durch tausende kleine Info-Stealer-Infektionen.
Diese Verschiebung hat eine unbequeme Konsequenz: Die Komplexität eines Passworts ist zweitrangig, wenn es im Klartext zum Verkauf steht. Kriminelle Gruppierungen machen sich heute nicht mehr die Mühe, Passwörter mühsam zu knacken. Sie fügen kompromittierte Zugangsdaten direkt in automatisierte Tools ein – ein Vorgehen, das als Credential Stuffing bekannt ist. Ohne einen zusätzlichen Faktor bleibt der initiale Zugang zur Unternehmensarchitektur trivial, völlig ungeachtet der Passwortkomplexität.
„Wir sind zu klein, um ein Ziel zu sein” – ein gefährlicher Trugschluss
In den Geschäftsführungen kleinerer Unternehmen hält sich hartnäckig die Annahme, man sei für Angreifer uninteressant. Dieser Irrglaube basiert auf der Vorstellung, Täter würden ihre Ziele manuell auswählen. Laut dem aktuellen Lagebericht des BSI zur IT-Sicherheit in Deutschland 2025 richteten sich rund 80 Prozent der angezeigten Ransomware-Angriffe gegen kleine und mittlere Unternehmen (KMU). KMU erfüllen im Schnitt nur etwa 56 Prozent der Basisanforderungen an IT-Sicherheit und überschätzen ihr Schutzniveau regelmäßig.
Entscheidend ist ein Perspektivwechsel: Hacker messen die Attraktivität eines Ziels nicht am Umsatz, sondern an der Menge personenbezogener Daten. Bereits 31 Prozent aller Unternehmen mit weniger als 5 Millionen Euro Jahresumsatz verwalten mehr als 10.000 personenbezogene Datensätze. Elf Prozent der Kleinunternehmen verfügen über Datenbestände zwischen 100.000 und 500.000 Einträgen.
Die wirtschaftlichen Folgen sind erheblich: Ein einzelner gestohlener Datensatz kostet das Unternehmen im Durchschnitt rund 134 Euro – zusammengesetzt aus Kosten für Incident Response, Forensik, Krisenkommunikation, Bußgelder und Rechtsberatung. Verliert ein mittelständisches Unternehmen 10.000 Datensätze, summiert sich der theoretische Schaden auf 1,34 Millionen Euro. Für viele KMU eine existenzbedrohende Größenordnung.
Der Mensch als Hauptziel: KI verbessert den Angriff
Die teuersten Schäden entstehen nicht durch technische Hacks. Die Auswertung realer Schadenfälle zeigt, dass der Mensch die entscheidende Rolle spielt. First-Party Losses durch Phishing machen mit 39 Prozent den größten Anteil aus, dicht gefolgt von Business Email Compromise mit 37 Prozent. Klassische Ransomware liegt mit neun Prozent deutlich dahinter.
Diese Zahlen gewinnen vor dem Hintergrund einer aktuellen Entwicklung an Brisanz: Laut der ENISA Threat Landscape 2025 wurden bereits Anfang 2025 mehr als 80 Prozent der weltweit beobachteten Social-Engineering-Aktivität durch Künstliche Intelligenz unterstützt. Phishing bleibt mit 60 Prozent der dominante Vektor für den initialen Zugriff. KI-generierte Nachrichten sind von echter Korrespondenz kaum noch zu unterscheiden. Nur die Belegschaft zu sensibilisieren reicht nicht mehr aus.
Drei Hebel, die in der Praxis den Unterschied machen
Die gute Nachricht: Die meisten Angriffe sind nicht hochkomplex, sondern opportunistisch. Wer den Weg des geringsten Widerstands versperrt, fällt aus dem Raster der automatisierten Massenangriffe heraus. Es braucht keine digitale Festung, sondern drei konsequent umgesetzte Praktiken.
Der erste und wirkungsvollste Hebel ist die Multi-Faktor-Authentifizierung (MFA). Sie stellt sicher, dass ein Login nur dann erfolgreich ist, wenn neben dem Passwort ein zweiter, persönlicher Faktor erbracht wird. Genau hier klafft im Mittelstand die größte Lücke: 53 Prozent der Unternehmen mit weniger als fünf Millionen Euro Umsatz arbeiten vollständig ohne MFA. Erst ab 50 Millionen Euro Umsatz gehört MFA zum Standard.
Der zweite Hebel betrifft die Erkennung. Da KI-gestütztes Phishing Täuschungen immer realitätsnäher macht, reicht Bewusstsein allein nicht aus. Entscheidend ist eine kontinuierliche Überwachung internetexponierter Systeme. Rund 75 Prozent der kritischen Bedrohungsaktivität entfallen auf den Netzwerk-Perimeter mit VPNs und Firewalls sowie auf Kollaborationswerkzeuge wie E-Mail. Veraltete VPN-Gateways oder ungepatchte Server sind offene Fenster im Erdgeschoss. Kleinere Organisationen weisen mit 12,7 Prozent doppelt so viele kritische Schwachstellen auf wie Großunternehmen mit 6,23 Prozent – eine Frage fehlender Patch-Disziplin.
Der dritte Hebel ist das verifizierte Backup. Ein ungetestetes Backup ist keine Sicherheitsmaßnahme, sondern eine vage Hoffnung. Bemerkenswert: 21 Prozent der Großunternehmen testen ihre vollständige Wiederherstellung nicht regelmäßig. Die Analyse von 245 realen Ransomware-Fällen zeigt, dass rund 77 Prozent der betroffenen Unternehmen kein Lösegeld zahlten, weil funktionierende Backups und professionelle Incident Response griffen. Selbst wo verhandelt wurde, ist die Erstforderung so gut wie nie der Endpreis – im Schnitt ließ sich die Forderung um 51 Prozent reduzieren.
Aus Hygiene wird Routine: Der Mittelstand kann sich wehren
Der entscheidende Befund ist zugleich der ermutigendste: Unternehmen sind dem Risiko nicht hilflos ausgeliefert. Weil die überwältigende Mehrheit der Angriffe opportunistisch ist und auf billig erworbenen Identitäten beruht, lässt sich die Gefahr mit grundlegender Hygiene drastisch senken. Praktisch heißt das: MFA wird flächendeckend ausgerollt – über alle Zugangspunkte hinweg, von der VPN-Anmeldung bis zum E-Mail-Postfach – und zwar als Standardkonfiguration für jeden neuen Account. Die Überwachung der nach außen exponierten Systeme wird ein fester Posten im Betriebsrhythmus, idealerweise verzahnt mit einem klar dokumentierten Patch-Prozess. Und der jährliche Wiederherstellungstest gehört in den Kalender wie die Steuererklärung.
Keine dieser Maßnahmen erfordert ein eigenes Security-Operations-Center. Sie erfordern Verbindlichkeit. Wer die offensichtlichen Türen verriegelt, ist für den automatisierten Angreifer schlicht zu teuer und wird weiterziehen. Der Mittelstand hat es selbst in der Hand, aus der Zielscheibe zum schlecht lohnenden Angriffsziel zu werden.
Über den Autor: Andrew Saula ist Head of Cybersecurity und Incident Response bei Baobab Risk Solutions, einem auf digitale Risiken spezialisierten Managing General Agent mit Sitz in Deutschland. Er verantwortet die Bewertung technischer Angriffsflächen und die Steuerung von Schadenfällen nach Cybervorfällen.
