Cyberangriff: Bezahlt in der Buchhaltung

Die meisten Cyberangriffe beginnen nicht mit einem Hacker.
Sondern mit einem Mitarbeiter, der glaubt, alles richtig gemacht zu haben.
Eine E-Mail.
Eine vermeintliche Rechnung.
Ein Anhang.
Ein Link.
Ein Klick.

Und plötzlich nimmt ein gewöhnlicher Arbeitstag eine Richtung, die niemand geplant hatte.
Viele Unternehmer stellen sich Cyberangriffe noch immer als technisches Problem vor. Irgendwo sitzt ein Hacker vor mehreren Bildschirmen, überlistet Firewalls und dringt in Systeme ein.
Die Realität ist meist deutlich unspektakulärer.
Der Computer wird nicht gehackt.
Das Vertrauen wird gehackt.
Genau deshalb beginnen viele Angriffe nicht mit Technik. Sondern mit Psychologie.
Social Engineering klingt kompliziert.

Tatsächlich handelt es sich um eine der ältesten Betrugsformen überhaupt:
Jemand bringt einen anderen Menschen dazu, etwas zu tun, das er eigentlich nicht tun wollte.
Der Täter sucht nicht zuerst eine Schwachstelle im Server.
Er sucht eine Schwachstelle im Alltag.
Und dort wird er erstaunlich oft fündig.

Der teuerste Irrtum

In Beratungsgesprächen hören wir regelmäßig denselben Satz:
„Für Hacker sind wir viel zu klein.“
Cyberkriminelle sehen das meist anders. Große Unternehmen verfügen über große IT-Abteilungen. Kleine und mittelständische Unternehmen verfügen häufig über Optimismus.
Optimismus ist allerdings keine Sicherheitsarchitektur. Cyberkriminelle suchen nicht zwingend große Unternehmen. Sie suchen verwundbare Unternehmen. Das ist ein wesentlicher Unterschied.

Die ersten 72 Stunden

Wer größere Vorfälle begleitet hat, erkennt erstaunlich schnell ein Muster.
Die ersten Tage bestehen meist aus drei Zuständen:
Panik, Telefonieren und Unsicherheit. Und zwar in wechselnder Reihenfolge.
Es wird mit IT-Dienstleistern telefoniert. Mit Softwareanbietern. Mit Hosting-Partnern. Mit Mitarbeitern. Mit Kunden. Mit der Cyberversicherung.
Jeder benötigt Informationen.
Niemand hat welche. Menschen arbeiten plötzlich zwölf Stunden täglich und haben dennoch das Gefühl, keinen Meter voranzukommen. Produktiv ist daran wenig. Notwendig allerdings fast alles.
Irgendwann stellt die Geschäftsführung jene Frage, die in nahezu jedem Fall gestellt wird:
„Wie lange dauert das?“ Die ehrliche Antwort lautet meist: „Wir wissen es noch nicht.“
Und genau das macht solche Angriffe so unangenehm. Unternehmer sind gewohnt, Entscheidungen zu treffen. Cyberangriffe beginnen dagegen häufig mit einem Zustand, den Unternehmer besonders ungern haben: Unsicherheit. Bei einem Wasserschaden sieht man das Wasser. Bei einem Brandschaden sieht man das Feuer. Bei Cyberkriminalität sieht man zunächst vor allem Fragezeichen.

Der Angriff begann nicht heute

Spätestens jetzt übernehmen Spezialisten. Forensiker analysieren Systeme. Sicherheitsexperten untersuchen Spuren. Logfiles werden ausgewertet. Und häufig folgt dieselbe Erkenntnis: Der Angriff begann nicht heute. Er wurde heute entdeckt. Zwischen diesen beiden Zeitpunkten liegen oft Wochen. Manchmal Monate. Die schlechte Nachricht: Der Täter kennt Ihr Unternehmen bereits. Sie kennen den Täter noch nicht. Der Unternehmer erlebt die Krise als Überraschung. Der Täter hat sie längst geplant. Die Täter sind nicht blöd.

Viele Menschen stellen sich Cyberkriminelle als technisch brillante Einzelgänger vor. Die Realität sieht häufig deutlich professioneller aus. Die Gruppen arbeiten arbeitsteilig. Sie sind organisiert. Sie analysieren Unternehmen. Sie schätzen Größe, Abhängigkeiten und Zahlungsfähigkeit. Und sie kalkulieren ihre Forderungen. Nicht zufällig. Sondern wirtschaftlich.

Aus vielen Schadenfällen zeigt sich ein ähnliches Bild: Die Forderung bewegt sich häufig im mittleren fünfstelligen Bereich. Der Gesamtschaden liegt oft deutlich darüber. Nicht wegen des Hackers. Sondern wegen des Stillstands. Die Täter wissen das. Sie rechnen nicht in Bitcoins. Sie rechnen in Unternehmensschmerz. Deshalb verlangen sie häufig nicht das Maximum, sondern jenen Betrag, bei dem das Unternehmen zu rechnen beginnt. Nicht zu kämpfen. Man könnte zynisch sagen: Sie kennen die Schmerzgrenze oft besser als ihr Opfer. Das mag zynisch klingen. Wirtschaftlich betrachtet ist es oft erstaunlich zutreffend.

Die überraschendste Begegnung

Viele Unternehmer erwarten nach einer Verschlüsselung Beschimpfungen, Drohungen und aggressive Forderungen. Die Realität sieht oft anders aus. Die Kommunikation erfolgt häufig über Messenger-Dienste oder spezielle Chatportale. Und sie wirkt erstaunlich professionell. Manchmal irritierend professionell.

Es wird erklärt. Verhandelt. Nachgefragt. Teilweise werden Dateien probeweise entschlüsselt. Teilweise wird sogar in der jeweiligen Landessprache kommuniziert. Nicht aus Höflichkeit. Sondern weil die Wahrscheinlichkeit einer Zahlung steigt.

Während auf der einen Seite Forensiker versuchen, das Unternehmen zu retten, erklärt auf der anderen Seite ein Krimineller geduldig die nächsten Schritte. Eine absurde Situation. Aber keine ungewöhnliche. Das gefährlichste Wort im Cyberfall. Nach vielen Schadenfällen fällt irgendwann ein Satz. Fast immer derselbe: „Wir haben eh ein Backup.“ In diesem Moment keimt Hoffnung auf. Manchmal berechtigt. Manchmal nicht. Denn ein Backup ist noch keine Wiederherstellung. Ein Backup ist eine Hoffnung. Erst ein erfolgreicher Restore ist eine Lösung.

Viele Unternehmen verfügen über Datensicherungen. Deutlich weniger testen regelmäßig, ob diese Datensicherungen tatsächlich funktionieren. Niemand testet gerne einen Restore. Genau deshalb wird er oft nicht getestet. Zwischen „Wir haben ein Backup“ und „Wir können morgen früh wieder arbeiten“ liegen oft überraschend viele Fragezeichen. Der Moment, in dem aus IT Geld wird. Nach einigen Stunden sitzen plötzlich Menschen im Besprechungsraum, deren Stundensatz höher ist als jener vieler Rechtsanwälte. Forensiker. Und plötzlich erscheint das völlig normal. Weil jede Stunde Stillstand mittlerweile teurer ist.

Das ist der Moment, in dem aus einem IT-Problem eine Unternehmenskrise wird. Hier beginnt der eigentliche Schaden. Der Hacker verschwindet langsam aus der Geschichte. Die betriebswirtschaftliche Realität übernimmt. Keine Fakturierung. Keine Auftragsbearbeitung. Keine Produktion. Keine Leistungserbringung. Keine Umsätze.

Dafür laufen Löhne, Mieten, Leasingraten, Kredite und Fixkosten unbeeindruckt weiter. Und genau an diesem Punkt wird vielen Unternehmern klar: Der Cyberangriff war nie das eigentliche Problem. Das eigentliche Problem ist der Stillstand. Interessanterweise ist der technische Schaden oft gar nicht der größte Posten. Der wirklich teure Teil entsteht häufig erst danach: Betriebsstillstand. Verzögerungen. Überstunden. Kundenbeschwerden. Verlorene Aufträge. Verärgerte Kunden. Lieferprobleme. Liquiditätsbelastungen.

Der Hacker stellt die erste Rechnung. Die Realität die zweite. Und die ist häufig die teurere. Und die Realität verschickt keine Mahnung. Sie bucht direkt ab.

Drei Monate später

Die Systeme laufen wieder. Zumindest die meisten. Viele glauben nun: Geschafft. Tatsächlich beginnt jetzt oft die zweite Hälfte der Geschichte. Rückstände müssen aufgearbeitet werden. Kunden beruhigt werden. Sicherheitsmaßnahmen werden umgesetzt. Mitarbeiter geschult. Abläufe verändert.

Wer größere Vorfälle begleitet hat, weiß: Der Angriff dauert Stunden. Die Folgen häufig Monate. Manchmal deutlich länger. Der Hacker arbeitet oft nur wenige Stunden. Das Unternehmen beschäftigt sich manchmal noch ein Vierteljahr später mit den Folgen.

Was eine gute Cyberversicherung tatsächlich macht?

Viele Menschen glauben, Cyberversicherungen seien eine Reparaturkostenversicherung für Computer. Das greift deutlich zu kurz.

Eine gute Cyberversicherung beginnt nicht irgendwann zu zahlen. Sie beginnt zu arbeiten. Sofort. Während das Unternehmen versucht zu verstehen, was passiert ist, versuchen Forensiker, Krisenmanager, Datenschutzjuristen und Verhandlungsspezialisten bereits, das Schlimmste zu verhindern. Genau dafür schließt man eine Cyberversicherung ab. Nicht für die Polizze. Sondern für den Tag, an dem plötzlich niemand mehr weiß, wie es weitergeht.
Typischerweise übernimmt eine gute Cyberversicherung genau jene Leistungen, die Unternehmen in dieser Situation am dringendsten benötigen:

• Forensik
• Datenrettung
• Wiederherstellung von Systemen und Daten
• Betriebsunterbrechung
• Krisenmanagement
• Haftpflicht- und Datenschutzthemen
• und – sofern vereinbart – auch Cyber-Erpressungen und Lösegeldzahlungen

Denn die wichtigste Frage in den ersten Stunden lautet selten: „Wer bezahlt das?“ Die wichtigste Frage lautet: „Wer hilft uns jetzt?“

Fazit

Viele Cyberangriffe beginnen mit einem Mausklick. Die Panik dauert oft 72 Stunden. Die Folgen häufig mehrere Monate. Der Hacker arbeitet oft nur wenige Stunden. Das Unternehmen beschäftigt sich manchmal noch Monate damit.

Cyberangriffe beginnen meist im Serverraum.
Bezahlt werden sie später in der Buchhaltung.

Dort interessiert sich niemand für Logfiles.
Dort interessiert sich niemand für Firewalls.
Dort interessiert sich niemand für Verschlüsselungsalgorithmen.

Dort interessiert man sich nur noch für eine Frage:
Was kostet uns das?
Genau deshalb sind Cyberangriffe kein IT-Risiko.

Wenn Sie Klarheit wollen

Bei der Cyberabsicherung sehen wir uns nicht nur an, ob eine Polizze vorhanden ist, sondern auch, was sie im Ernstfall tatsächlich leistet — von der Forensik über das Krisenmanagement bis zur Betriebsunterbrechung. Denn im Schadenfall zählt selten die Frage, wer am Ende zahlt, sondern wer in den ersten Stunden hilft.

Rufen Sie uns an oder schicken Sie uns ein Mail, wenn Sie wissen möchten, ob Ihr Betrieb für den Ernstfall tatsächlich vorbereitet ist.