Vom Zufallsopfer zum ausgewählten Ziel
Lange galt Ransomware als Massenphänomen: möglichst viele E-Mails mit Schadanhang verschicken und abwarten, wer klickt. Dieses Modell existiert weiter – doch parallel hat sich eine deutlich gefährlichere Methode etabliert.
Sicherheitsexperten sprechen vom „Big Game Hunting“ – der gezielten Großwildjagd. Dabei werden besonders zahlungskräftige Unternehmen ins Visier genommen, mit initialen Forderungen bis in zweistellige Millionenhöhen. Doch diese spektakulären Fälle sind nur ein Ausschnitt der Wirklichkeit.
Das bedeutet: Angreifer investieren heute Zeit in die Recherche, bevor sie zuschlagen. Sie prüfen, wie viel ein Unternehmen wahrscheinlich zahlen kann – und wie sehr es unter Druck gerät.
Was Angreifer über ihre Ziele herausfinden
Cyberkriminelle nutzen für ihre Vorab-Recherche dieselben öffentlich zugänglichen Quellen wie jeder andere auch:
- Handelsregister und veröffentlichte Jahresabschlüsse
- Umsatz- und Mitarbeiterzahlen auf der Unternehmenswebsite
- Pressemitteilungen über Wachstum, Aufträge und Expansion
- Stellenanzeigen, die Rückschlüsse auf die eingesetzte IT zulassen
- Informationen aus sozialen Netzwerken über Mitarbeiter und Strukturen
Das bedeutet:
Schon bevor die erste Schadsoftware das Netzwerk erreicht, haben professionelle Angreifer ein erstaunlich genaues Bild von der wirtschaftlichen Lage ihres Ziels.
Besonders perfide: Viele Hackergruppen passen ihre Lösegeldforderungen inzwischen an die Profile ihrer Opfer an – bei Unternehmen häufig als Prozentsatz der vermuteten Jahreseinnahmen.
Warum gerade der Mittelstand im Visier steht
Wer bei diesen Zahlen an Großkonzerne denkt, liegt falsch. Die Realität trifft den Mittelstand – und zwar ins Mark.
Laut dem Bundeslagebild Cybercrime des BKA richten sich rund 80 Prozent aller bekannten Ransomware-Angriffe in Deutschland gegen kleine und mittlere Unternehmen. Große Konzerne unterhalten spezialisierte Sicherheitsteams – im Mittelstand fehlt dagegen oft schon eigenes IT-Sicherheitspersonal.
Das bedeutet: Nicht die Größe eines Unternehmens entscheidet über das Risiko, sondern seine Verwundbarkeit. Und die ist im Mittelstand häufig größer als im Konzern.
Hinzu kommt ein Wandel in der Angriffstechnik. Durch das Geschäftsmodell „Ransomware-as-a-Service“ sind die Einstiegshürden für Täter drastisch gesunken: Kriminelle mieten fertige Schadsoftware und führen Angriffe teils vollautomatisiert und KI-gestützt durch. Damit lohnt sich für sie auch ein kleineres Ziel – weil der Aufwand pro Angriff minimal ist.
Das macht den Mittelstand aus Angreifersicht besonders attraktiv:
- Häufig kein eigenes IT-Sicherheitsteam
- Die eigene Sicherheitslage wird regelmäßig überschätzt
- Wertvolle Daten bei oft schwächerer Absicherung
- Automatisierte Massenangriffe treffen jeden erreichbaren Betrieb
Die Wahrheit über die Lösegeldsummen
Auch bei der Höhe der Forderungen führt der Blick auf die Schlagzeilen in die Irre. Der Alltag im Mittelstand sieht anders aus als die Millionenfälle einzelner Großkonzerne.
Weil viele Angreifer ihre Forderung an die wirtschaftliche Leistungsfähigkeit des Opfers anpassen, bewegt sie sich bei mittelständischen Unternehmen oft im fünfstelligen Bereich. Das ist bewusst kalkuliert: niedrig genug, dass eine Zahlung schneller und einfacher erscheint als der lange, teure Weg über Datenwiederherstellung, Anwälte und Betriebsstillstand.
Diese Rechnung ist gefährlich. Denn eine fünfstellige Forderung wirkt auf den ersten Blick überschaubar – doch die Gesamtkosten eines Angriffs übersteigen das Lösegeld regelmäßig um ein Vielfaches. Nach der HDI Cyberstudie lag der durchschnittliche Schaden eines Cybervorfalls bei kleineren Unternehmen zuletzt bei rund 99.000 Euro, Tendenz steigend. Sobald Betriebsunterbrechung, Wiederherstellung und Reputationsschaden zusammenkommen, ist die sechsstellige Schwelle schnell erreicht.
Konkret bedeutet das: Gerade für den Mittelstand ist ein Cyberangriff keine abstrakte Konzerngefahr, sondern ein reales, existenzbedrohendes Risiko. Wer glaubt, für Angreifer „zu klein“ zu sein, ist oft genau deshalb ein attraktives Ziel.
Der Mythos vom „Versicherung macht zum Ziel“
An dieser Stelle kursiert ein hartnäckiges Gerücht: Wer eine Cyberversicherung abschließe, werde zum bevorzugten Ziel, weil Angreifer dann mit sicherer Zahlung rechnen.
Die Faktenlage ist differenzierter. Eine viel beachtete Studie des britischen Royal United Services Institute (RUSI) kommt zu dem Schluss, dass es keine zwingenden Beweise dafür gibt, dass Opfer mit einer Cyberversicherung eher Lösegeld zahlen als Unternehmen ohne.
Das bedeutet: Eine Cyberversicherung ist kein Magnet für Angriffe. Wer das Gegenteil behauptet, verkauft Angst – nicht Fakten. Entscheidend ist nicht, ob ein Unternehmen versichert ist, sondern wie gut es im Ernstfall handlungsfähig bleibt.
Warum Lösegeld zahlen die falsche Strategie ist
Ein verbreiteter Irrtum lautet: Mit einer Versicherung im Rücken zahlt man im Ernstfall einfach das Lösegeld, und das Problem ist gelöst. Diese Rechnung geht aus mehreren Gründen nicht auf.
Erstens gibt es keine Garantie, dass die Daten nach Zahlung tatsächlich wieder freigegeben werden. Das BSI weist ausdrücklich darauf hin, dass Unternehmen, die zahlen, keine Garantie auf Wiederherstellung ihrer Systeme haben.
Zweitens bleibt das Risiko, dass Angreifer Schadcode im System hinterlassen, um später erneut zuzuschlagen. Ein zweiter Angriff bringt zusätzliche Einnahmen.
Drittens werden Firmendaten häufig zusätzlich im Darknet verkauft – mit der Folge möglicher DSGVO-Verstöße und Bußgelder, völlig unabhängig von der Lösegeldzahlung.
Behörden und Fachleute sind sich einig: Lösegeldforderungen sollten grundsätzlich nicht bedient werden, um dem organisierten Verbrechen keine Mittel zur Verfügung zu stellen.
Was die Cyberversicherung wirklich leistet – jenseits des Lösegelds
Die eigentliche Stärke einer guten Cyberversicherung liegt nicht in der Lösegeldzahlung, sondern in der schnellen Handlungsfähigkeit nach einem Angriff. Je nach Vertrag können folgende Leistungen entscheidend sein:
- Sofortzugang zu IT-Forensik und Incident-Response-Spezialisten
- Wiederherstellung von Systemen und Daten
- Absicherung von Betriebsunterbrechungsschäden
- Krisenkommunikation gegenüber Kunden und Öffentlichkeit
- Rechtsberatung bei Meldepflichten gegenüber Behörden
- Übernahme von Benachrichtigungskosten nach DSGVO
Konkret bedeutet das: Im Ernstfall zählt jede Stunde. Ein Unternehmen, das sofort auf ein eingespieltes Krisenteam zugreifen kann, begrenzt den Schaden oft drastischer als jede Lösegeldzahlung es könnte.
Rettungskosten: Wenn die Zahlung doch erstattungsfähig wird
Falls in einem extremen Einzelfall eine Zahlung als letztes Mittel erwogen wird, kommt ein versicherungsrechtlicher Aspekt ins Spiel: die sogenannten Rettungskosten.
Nach § 83 Versicherungsvertragsgesetz (VVG) muss der Versicherer Aufwendungen erstatten, die der Versicherungsnehmer den Umständen nach für geboten halten durfte, um einen Schaden abzuwenden oder zu mindern. Eine Lösegeldzahlung kann unter bestimmten Voraussetzungen solche Rettungskosten darstellen – etwa wenn dadurch ein noch höherer Betriebsunterbrechungsschaden verhindert wird.
Wichtig zu wissen: Ob und wann das greift, hängt stark vom konkreten Vertrag und Einzelfall ab. Genau hier zeigt sich, wie entscheidend eine sauber gestaltete Police ist.
Was Angreifer nicht sehen wollen: ein vorbereitetes Unternehmen
So gründlich professionelle Angreifer recherchieren – ihr Geschäftsmodell lebt von leichten Zielen. Unternehmen, die erkennbar vorbereitet sind, sind aus Sicht der Kriminellen unattraktiv, weil der Angriff aufwändiger und der erwartbare Ertrag geringer wird.
Zu einer solchen Vorbereitung gehören:
- Regelmäßige, getrennt aufbewahrte Backups
- Multifaktor-Authentifizierung an allen kritischen Zugängen
- Aktuelles Patch-Management und Schwachstellenmanagement
- Geschulte Mitarbeiter, die Phishing erkennen
- Ein dokumentierter Notfallplan für den Ernstfall
- Eine auf das Unternehmen abgestimmte Cyberversicherung
Das bedeutet: Prävention und Versicherung sind keine Gegensätze. Sie greifen ineinander. Die beste Police ersetzt keine Sicherheitsmaßnahmen – und die besten Sicherheitsmaßnahmen ersetzen keine Absicherung gegen den Fall, dass es doch passiert.
Vor Gericht: Warum die Vorbereitung über den Schutz entscheidet
Wie eng IT-Sicherheit und Versicherungsschutz zusammenhängen, zeigt die deutsche Rechtsprechung:
Das Landgericht Kiel (Az. 5 O 128/21) erklärte eine Cyberversicherung für nichtig, weil der Versicherungsnehmer Risikofragen falsch beantwortet hatte. Der Schaden von rund 500.000 Euro blieb vollständig am Unternehmen hängen. Das Urteil wurde inzwischen vom OLG bestätigt.
Anders das Landgericht Tübingen (Az. 4 O 193/21): Hier sprach das Gericht dem Unternehmen 2,8 Millionen Euro zu, weil veraltete Server nicht ursächlich für den Schaden waren. Das Urteil ist beim OLG Stuttgart in der Berufung anhängig.
Konkret bedeutet das: Der Versicherungsschutz entscheidet sich nicht erst im Schadenfall, sondern bereits bei Vertragsabschluss – durch ehrliche Angaben und tatsächlich umgesetzte Sicherheitsmaßnahmen.
Fazit: Wissen ist die beste Verteidigung
Cyberkriminelle sind heute Geschäftsleute. Sie kalkulieren Aufwand und Ertrag, recherchieren ihre Ziele und passen ihre Forderungen an. Und sie machen längst keinen Bogen um kleinere Adressen – im Gegenteil: Der Mittelstand steht heute im Zentrum, nicht am Rand. Was sie am wenigsten gebrauchen können, ist ein Unternehmen, das vorbereitet ist – technisch, organisatorisch und versicherungstechnisch.
Die gute Nachricht: All das ist gestaltbar. Wer seine Risiken kennt, seine Systeme härtet und seinen Versicherungsschutz passgenau aufstellt, dreht den Spieß um. Aus einem kalkulierbaren Ziel wird ein unkalkulierbares Risiko – für die Angreifer.
Wer hingegen darauf vertraut, dass es schon nicht passieren wird, überlässt die wichtigste Entscheidung den Kriminellen.
👉 Sprechen Sie mit uns – wir analysieren Ihre Risiken, prüfen bestehende Verträge auf Deckungslücken und entwickeln eine Absicherung, die zu Ihrem Unternehmen genau zugeschnitten ist. Persönlich, unabhängig und vorausschauend.
