Das Gefährlichste an einem Cyberangriff ist nicht immer die verschlüsselte Datei. Es ist der Moment, in dem niemand mehr sicher weiss, welche Systeme, Daten und Zugänge noch vertrauenswürdig sind.

Ein Cyberangriff beginnt im Unternehmensalltag häufig unscheinbar. Ein Login funktioniert nicht mehr, ein gemeinsamer Ordner ist plötzlich nicht erreichbar oder das ERP-System reagiert ungewöhnlich langsam. Im ersten Moment vermutet man eine gewöhnliche technische Störung, möglicherweise verursacht durch ein fehlerhaftes Update, ein Netzwerkproblem oder einen Serverausfall. Dass sich hinter diesen ersten Anzeichen ein Cyberangriff verbergen könnte, wird zunächst oft nicht in Betracht gezogen.

Während die IT nach der Ursache sucht, kann das Unternehmen jedoch bereits beginnen, die Kontrolle über wichtige Teile seiner Infrastruktur zu verlieren. Ein System fällt aus, kurz darauf ist ein weiteres betroffen. Vorsichtshalber werden Geräte vom Netzwerk getrennt, Benutzerkonten gesperrt und Passwörter zurückgesetzt, während gleichzeitig überprüft werden muss, ob vorhandene Backups noch sicher und verwendbar sind.

Was am Morgen noch selbstverständlich war, wird innerhalb kürzester Zeit zur Unsicherheit. Plötzlich stellt sich die Frage, ob Kundendaten weiterhin verfügbar sind, Bestellungen bearbeitet werden können und welche Systeme überhaupt noch genutzt werden dürfen. Hinzu kommt die Sorge, dass möglicherweise nicht nur der Zugriff auf Daten verloren gegangen ist, sondern auch deren Vertraulichkeit oder Integrität beeinträchtigt wurde.

Der eigentliche Angriff kann innerhalb weniger Minuten erfolgen. Seine Auswirkungen beschäftigen ein Unternehmen jedoch unter Umständen über Wochen, denn mit dem technischen Vorfall beginnt eine organisatorische Krise, die weit über die IT-Abteilung hinausreicht.

Der Schaden zeigt sich zuerst im Betrieb

Viele Unternehmen verbinden Cyberangriffe hauptsächlich mit technischen Problemen. Man denkt an Hacker, Schadsoftware, Firewalls oder verschlüsselte Bildschirme. Für die betroffenen Mitarbeitenden und Führungskräfte zeigt sich ein solcher Vorfall jedoch häufig an ganz anderen Stellen.

Kunden können nicht mehr wie gewohnt bedient werden, Rechnungen bleiben liegen und laufende Projekte geraten ins Stocken. Mitarbeitende suchen nach Informationen, auf die sie am Vortag noch problemlos zugreifen konnten, während die Geschäftsleitung Entscheidungen treffen muss, obwohl die tatsächlichen Auswirkungen des Angriffs noch unklar sind. Je stärker ein Unternehmen von seinen digitalen Prozessen abhängig ist, desto schneller machen sich solche Störungen im gesamten Betrieb bemerkbar.

Besonders deutlich wird das bei alltäglichen Arbeitsabläufen. Eine Kundenanfrage, die normalerweise innerhalb von zwei Minuten beantwortet werden könnte, beschäftigt plötzlich mehrere Personen. Ein Auftrag kann nicht abgeschlossen werden, weil die dafür benötigten Dokumente fehlen oder nicht erreichbar sind. Eine Rechnung lässt sich nicht versenden, weil niemand sicher bestätigen kann, ob die hinterlegten Angaben noch aktuell und korrekt sind.

Solche Einschränkungen erscheinen einzeln betrachtet möglicherweise überschaubar. Wenn jedoch mehrere Abteilungen gleichzeitig betroffen sind, summieren sich die Verzögerungen schnell zu einem erheblichen betrieblichen Problem. Mitarbeitende verlieren wertvolle Arbeitszeit, Kunden warten auf Rückmeldungen und wichtige Entscheidungen müssen aufgeschoben werden, weil die notwendigen Informationen fehlen.

Der Schaden eines Cyberangriffs lässt sich deshalb nicht allein am Ausfall einzelner Systeme oder an den Kosten für deren Wiederherstellung messen. Mindestens ebenso schwer wiegt der Verlust der betrieblichen Verlässlichkeit, auf die Mitarbeitende, Kunden und Geschäftspartner im Alltag angewiesen sind.

Wenn Improvisation zur zweiten Gefahr wird

Gerade in kleinen und mittleren Unternehmen haben sich über die Jahre häufig pragmatische Arbeitsweisen etabliert. Man kennt jemanden, der den benötigten Zugang besitzt, findet ein Passwort in einer älteren E-Mail oder greift auf eine Excel-Liste zurück, die irgendwann erstellt wurde, damit mehrere Personen auf wichtige Konten zugreifen können. Einzelne Informationen befinden sich möglicherweise auf persönlichen Geräten oder in privaten Notizen.

Solange der Betrieb reibungslos funktioniert, erscheinen solche Lösungen praktisch und unkompliziert. Oft fällt gar nicht auf, wie stark bestimmte Prozesse von einzelnen Mitarbeitenden, informellen Absprachen oder historisch gewachsenen Strukturen abhängig geworden sind.

Im Krisenfall können genau diese Gewohnheiten jedoch zum Problem werden. Wenn zentrale Systeme nicht mehr verfügbar sind, versuchen die Mitarbeitenden verständlicherweise, ihre Aufgaben auf anderen Wegen zu erledigen. Bestellungen werden manuell notiert, Kundendaten aus alten E-Mails zusammengesucht und Informationen telefonisch weitergegeben. Teilweise entstehen lokale Kopien wichtiger Dokumente, damit zumindest ein Teil der Arbeit fortgesetzt werden kann.

Diese Improvisation ist zunächst nachvollziehbar und kann helfen, den Betrieb kurzfristig aufrechtzuerhalten. Gleichzeitig entstehen dadurch neue Unsicherheiten, die später zusätzlichen Aufwand verursachen. Wenn mehrere Personen unabhängig voneinander Informationen bearbeiten, lässt sich beispielsweise kaum noch nachvollziehen, welche Datei aktuell ist, welche Rechnung bereits versendet wurde oder welche Entscheidungen während des Systemausfalls getroffen wurden.

Hinzu kommt die Herausforderung, sämtliche zwischenzeitlich erfassten Informationen nach der Wiederherstellung wieder korrekt in die regulären Systeme zu übertragen. Wurden Kundendaten an unterschiedlichen Orten gespeichert oder Dokumente mehrfach verändert, besteht die Gefahr, dass Informationen verloren gehen, doppelt erfasst werden oder widersprüchliche Datenbestände entstehen.

Damit wird aus einem technischen Sicherheitsvorfall zunehmend ein organisatorisches Problem. Der Cyberangriff gefährdet nicht nur die Verfügbarkeit der IT, sondern auch die Ordnung und Nachvollziehbarkeit der betrieblichen Abläufe. Je weniger diese Prozesse im Voraus geregelt wurden, desto schwieriger gestaltet sich die Rückkehr zum Normalbetrieb.

Nach dem Neustart ist die Krise nicht vorbei

Selbst wenn die betroffenen Systeme technisch wieder verfügbar sind, bedeutet das noch lange nicht, dass der Vorfall vollständig bewältigt wurde. Häufig beginnt nach der Wiederherstellung eine besonders aufwendige Phase, in der das Unternehmen den Angriff untersuchen, seine Folgen einschätzen und die Sicherheit der betroffenen Infrastruktur überprüfen muss.

Dabei stellen sich zahlreiche Fragen, auf die es zunächst möglicherweise keine eindeutigen Antworten gibt. Welche Systeme waren tatsächlich betroffen und über welche Zugänge konnten sich die Angreifer Zugriff verschaffen? Wurden Daten lediglich verschlüsselt oder möglicherweise auch eingesehen, kopiert oder verändert? Welche Benutzerkonten müssen gesperrt, welche Passwörter zurückgesetzt und welche Berechtigungen überprüft werden? Je nach Art und Umfang des Vorfalls muss ausserdem geklärt werden, ob Kunden, Geschäftspartner oder zuständige Behörden informiert werden müssen.

Gleichzeitig werden häufig organisatorische Schwachstellen sichtbar, die im normalen Betrieb kaum aufgefallen sind. Vielleicht wurde ein Administratorkonto über Jahre von mehreren Personen gemeinsam verwendet, ohne dass die einzelnen Zugriffe eindeutig zugeordnet werden können. Möglicherweise besitzt ein ehemaliger Mitarbeitender noch aktive Berechtigungen, obwohl er das Unternehmen längst verlassen hat. Oder ein wichtiges Passwort wurde ausschliesslich im Browser einer einzelnen Person gespeichert, die gerade nicht erreichbar ist.

Ein weiteres Problem entsteht, wenn für geschäftskritische Anwendungen keine klaren Verantwortlichkeiten bestehen. Solange diese Systeme funktionieren, fällt das häufig nicht auf. Sobald jedoch Zugänge gesperrt, Passwörter geändert oder Berechtigungen neu vergeben werden müssen, zeigt sich, dass niemand genau weiss, wer dafür zuständig ist.

Solche Situationen sind keine aussergewöhnlichen IT-Probleme, sondern typische Folgen historisch gewachsener Strukturen. Ein Cyberangriff macht diese Schwachstellen lediglich schlagartig sichtbar und zwingt das Unternehmen dazu, sich unter erheblichem Zeitdruck mit Versäumnissen auseinanderzusetzen, die zuvor möglicherweise jahrelang unbemerkt geblieben sind.

Zugänge sind Teil der betrieblichen Infrastruktur

Bei der Vorbereitung auf Cyberangriffe stehen häufig technische Schutzmassnahmen im Vordergrund. Firewalls, Endpoint-Schutz, Netzwerküberwachung, Multi-Faktor-Authentifizierung und regelmässige Backups sind wichtige Bestandteile einer sicheren IT-Infrastruktur. Mindestens ebenso relevant ist jedoch die Frage, wie geschäftliche Zugänge verwaltet werden und ob im Ernstfall nachvollziehbar bleibt, wer auf welche Systeme zugreifen darf.

Ein Business-Passwortmanager kann in diesem Zusammenhang einen wichtigen Beitrag leisten. Er verhindert zwar nicht jeden Cyberangriff und ersetzt auch keine anderen Sicherheitsmassnahmen oder einen funktionierenden Notfallplan. Richtig eingesetzt, schafft er jedoch eine zentrale Struktur für die Verwaltung geschäftlicher Zugangsdaten und kann dadurch helfen, im Krisenfall schneller und gezielter zu handeln.

Wenn geschäftliche Zugänge vollständig erfasst, klaren Verantwortlichen zugeordnet und mit nachvollziehbaren Berechtigungen verwaltet werden, lässt sich wesentlich einfacher feststellen, welche Konten existieren und wer darauf zugreifen darf. Unternehmen können überprüfen, welche Zugriffsrechte nicht mehr benötigt werden, welche Passwörter geändert werden müssen und bei welchen gemeinsam genutzten Konten besondere Vorsicht erforderlich ist. Abhängig von den eingesetzten Funktionen können auch Änderungen und sicherheitsrelevante Aktivitäten protokolliert werden.

Der Nutzen einer solchen Struktur zeigt sich besonders dann, wenn nach einem Sicherheitsvorfall zahlreiche Zugänge gleichzeitig überprüft werden müssen. Statt Informationen aus verschiedenen Excel-Listen, E-Mails oder persönlichen Notizen zusammenzutragen, steht eine zentrale Übersicht über die verwalteten Zugangsdaten zur Verfügung. Das erleichtert nicht nur die Arbeit der IT-Abteilung, sondern schafft auch eine bessere Grundlage für Entscheidungen und die Abstimmung zwischen den Verantwortlichen.

Besonders gefährlich sind dabei nicht ausschliesslich Passwörter, die bereits gestohlen wurden. Ein erhebliches Risiko stellen auch Zugänge dar, deren Existenz innerhalb des Unternehmens kaum noch bekannt ist. Vergessene Administratorkonten, nie deaktivierte Benutzer oder Zugangsdaten in alten E-Mails können Angreifern zusätzliche Möglichkeiten eröffnen und die Aufarbeitung eines Vorfalls erheblich erschweren.

Eine strukturierte Zugangsverwaltung ist deshalb weit mehr als eine praktische Lösung zum Speichern von Passwörtern. Sie gehört zur betrieblichen Sicherheitsarchitektur und trägt dazu bei, Abhängigkeiten zu reduzieren, Verantwortlichkeiten sichtbar zu machen und im Ernstfall handlungsfähig zu bleiben.

Cybersecurity ist auch eine Führungsaufgabe

Ein Cyberangriff stellt nicht nur die technische Infrastruktur eines Unternehmens auf die Probe, sondern auch dessen Organisation und Führungsstrukturen. Erst in einer solchen Ausnahmesituation zeigt sich, ob Verantwortlichkeiten tatsächlich klar definiert sind, kritische Geschäftsprozesse priorisiert wurden und die notwendigen Entscheidungen auch unter Zeitdruck getroffen werden können.

Die Verantwortung dafür liegt nicht ausschliesslich bei der IT-Abteilung. Geschäftsleitungen müssen sich ebenfalls mit der Frage auseinandersetzen, welche Auswirkungen ein längerer Systemausfall auf das Unternehmen hätte und welche Prozesse unbedingt aufrechterhalten werden müssen. Dazu gehört beispielsweise die Festlegung, welche Systeme zuerst wiederhergestellt werden sollen, wer bei einem Sicherheitsvorfall Entscheidungen trifft und wie Mitarbeitende, Kunden sowie externe Partner informiert werden.

Auch die Verfügbarkeit und Qualität von Backups sind in diesem Zusammenhang entscheidend. Es reicht nicht aus, Sicherungskopien lediglich zu erstellen. Unternehmen müssen auch überprüfen, ob sich die gesicherten Daten tatsächlich wiederherstellen lassen und wie lange die Wiederaufnahme des regulären Betriebs voraussichtlich dauern würde.

Ebenso wichtig ist die Organisation geschäftskritischer Zugänge. Wenn nur eine einzelne Person über bestimmte Berechtigungen verfügt oder wichtige Passwörter ausschliesslich auf persönlichen Geräten gespeichert sind, entstehen unnötige Abhängigkeiten. Fällt diese Person im entscheidenden Moment aus, kann sich die Wiederherstellung wichtiger Geschäftsprozesse zusätzlich verzögern.

Deshalb sollte sich die Geschäftsleitung nicht ausschliesslich darauf konzentrieren, wie sich Cyberangriffe verhindern lassen. Mindestens ebenso wichtig ist die Frage, wie stark ein erfolgreicher Angriff das Unternehmen tatsächlich treffen würde.

Kann der Betrieb zumindest teilweise weitergeführt werden? Wissen die verantwortlichen Personen, welche Systeme zuerst wiederhergestellt werden müssen? Sind kritische Zugänge auch dann verfügbar, wenn einzelne Mitarbeitende nicht erreichbar sind? Und können Berechtigungen schnell überprüft oder entzogen werden, ohne dass zunächst zahlreiche E-Mails, Browser oder Excel-Listen durchsucht werden müssen?

Wer diese Fragen erst während eines laufenden Cyberangriffs beantworten muss, verliert wertvolle Zeit. Unternehmen, die solche Szenarien hingegen bereits im Voraus durchdenken, schaffen bessere Voraussetzungen, um auch in einer Krisensituation strukturiert und nachvollziehbar zu handeln.

Vorbereitung beginnt vor dem Vorfall

Cybersecurity wird häufig als rein technisches Thema betrachtet, obwohl ihre Bedeutung weit über den Schutz einzelner Systeme hinausgeht. Für Unternehmen geht es ebenso um Betriebssicherheit, Kundenvertrauen und die Fähigkeit, unter schwierigen Bedingungen handlungsfähig zu bleiben.

Ein Cyberangriff kann mit einem ungewöhnlichen Login, einem nicht erreichbaren Ordner oder einem plötzlich langsamen System beginnen. Seine Folgen zeigen sich jedoch häufig erst später, wenn Teams nicht mehr wie gewohnt arbeiten können, Kunden auf wichtige Rückmeldungen warten und geschäftliche Verpflichtungen nicht rechtzeitig erfüllt werden. Was zunächst wie eine technische Störung aussieht, kann sich dadurch zu einer Krise entwickeln, die zahlreiche Unternehmensbereiche gleichzeitig betrifft.

Gerade deshalb lohnt es sich für KMU, die eigene Organisation regelmässig auf solche Situationen vorzubereiten. Dazu gehören nicht nur technische Sicherheitsmassnahmen und getestete Backups, sondern auch nachvollziehbare Zugriffsrechte, klar geregelte Verantwortlichkeiten und funktionierende Notfallabläufe. Entscheidend ist, dass diese Massnahmen nicht nur dokumentiert sind, sondern im betrieblichen Alltag tatsächlich funktionieren.

Denn selbst mit umfangreichen Sicherheitsvorkehrungen lässt sich das Risiko eines erfolgreichen Cyberangriffs niemals vollständig ausschliessen. Unternehmen können jedoch beeinflussen, wie gut sie darauf vorbereitet sind, wie schnell sie reagieren und wie stark die Auswirkungen auf ihre Geschäftstätigkeit ausfallen.

Echte IT-Sicherheit zeigt sich deshalb nicht nur darin, wie zuverlässig ein Unternehmen Angriffe abwehren kann, sondern vor allem darin, wie handlungsfähig es bleibt, wenn plötzlich wichtige Systeme und Prozesse nicht mehr funktionieren.