Cyberkriminalität: Der Mittelstand segelt im Nebel

Zwei Drittel der Unternehmen in der DACH-Region wurden gehackt – oft ohne es zu merken

---

Darum geht’s: Cyberangriffe nehmen nicht nur zu, sie werden auch härter, professioneller und bleiben häufiger unentdeckt. Der «Cyber Security Report DACH 2025» zeigt: Viele Mittelständler agieren ohne getestete Notfallpläne – trotz realer und steigender Bedrohung.

---

Der Kontext: Die Studie von Horizon3.ai basiert auf einer Umfrage unter 300 Führungskräften – überwiegend aus mittelständischen Betrieben in Deutschland, Österreich und der Schweiz. Zwei Drittel der Unternehmen (66 %) wurden laut eigenen Angaben in den letzten zwei Jahren mindestens einmal Opfer eines Cyberangriffs. 2024 lag dieser Wert noch bei 60 %.

Besorgniserregend: Viele Angriffe bleiben unbemerkt. Nur 11 % der Befragten glauben, überhaupt nicht betroffen gewesen zu sein – eine Annahme, die Sicherheitsexperte Dennis Weyel für unrealistisch hält.

---

Die Faktenlage: Die Folgen der Attacken sind konkret und kostspielig:

• 58 % der betroffenen Firmen meldeten Ausfallzeiten.
• 46 % klagten über operative Beeinträchtigungen.
• 37 % verloren Daten.
• 31 % mussten sich mit rechtlichen Konsequenzen auseinandersetzen.
• 33 % wurden mit Lösegeldforderungen konfrontiert – Dunkelziffer unbekannt.
• Nur 23 % konnten Angriffe erfolgreich abwehren. In vielen Fällen fehlten Sichtbarkeit, Reaktionspläne oder systematische Tests.

---

Was wirklich zählt: Cyberangriffe sind kein Einzelfall, sondern Routine: Mehr als die Hälfte der Unternehmen (51 %) registrierten in den letzten zwei Jahren zwei oder mehr Angriffe, ein Drittel sogar drei oder mehr. Damit hat sich die Bedrohung im Vergleich zum Vorjahr deutlich verschärft.

«Kein Angriff ist so gut wie ausgeschlossen – oft bleiben sie einfach unentdeckt.» – Dennis Weyel

Er empfiehlt regelmässige Penetrationstests: kontrollierte Simulationen, die Schwachstellen im Netzwerk aufdecken. Die Cloud-Plattform NodeZero ermöglicht dies auch für KMU – kosteneffizient und praxisnah.

---

Was jetzt wichtig wird: Vorsorge statt Hoffnung: Nur 18 % der Firmen haben einen getesteten Notfallplan für Cybervorfälle.
Weitere 19 % besitzen zwar einen Plan – haben ihn aber nie erprobt. 24 % haben gar keine Notfallmassnahmen.

«Das ist wie eine Feuerwehrtruppe, die noch nie ein Feuer gelöscht hat.» – Dennis Weyel

Ohne Training und Tests bleiben Pläne Theorie. Resilienz entsteht erst durch Wiederholung, realitätsnahe Übung und systematische Schwachstellenanalysen.

---

Der grössere Zusammenhang: Die regulatorischen Anforderungen an Cyberresilienz steigen – auch durch europäische Vorgaben. Unternehmen müssen GRC-Prozesse (Governance, Risk & Compliance) modernisieren und dokumentieren. Regelmässige Inhouse-Pentests gelten zunehmend als Best Practice – idealerweise wöchentlich.