Inhalt in Kürze
- Die Bedrohungslage 2026 ist anders als 2023: weniger Massenmalware, dafür mehr Ransomware-as-a-Service, KI-Phishing und Supply-Chain-Angriffe.
- Laut BSI-Lagebericht 2025 ist die IT-Sicherheitslage in Deutschland weiterhin „angespannt bis kritisch” — Mittelständler sind das Hauptziel, weil die Angriffsfläche groß und der Schutz oft dünn ist.
- Vier Maßnahmen mit dem besten Aufwand-Wirkung-Verhältnis: MFA, getestete Backups, EDR statt nur AV, regelmäßige Mitarbeiter-Schulung.
- Cyber-Versicherungen sind seit 2024 strenger: Ohne MFA und Backup-Konzept bekommen Sie keine Police mehr — oder zahlen im Ernstfall trotzdem selbst.
Wir verkaufen keine Panik. Wir betreuen rund 200 Mittelständler in Hamburg und Norddeutschland mit Managed IT zum Festpreis — und sehen jede Woche, was wirklich passiert. Was Sie hier lesen, sind die Schutzschichten, die in unserer Praxis tatsächlich Angriffe verhindern. Nicht das, was in jedem Marketing-Whitepaper steht.
Was die Bedrohungslage 2026 von 2023 unterscheidet
Vor drei Jahren sah ein typischer Angriff so aus: Massen-Phishing mit holprigem Deutsch, ein Klick auf einen Anhang, Verschlüsselungstrojaner aktiv, Lösegeldforderung. Heute läuft das industrieller. Der BSI-Lagebericht 2025 beschreibt eine arbeitsteilige Cybercrime-Ökonomie mit klaren Spezialisten:
- Initial Access Broker verkaufen gestohlene Zugangsdaten und Schwachstellen an Erpresser-Banden. Marktpreise stehen in Foren wie Auktionspreise.
- Ransomware-as-a-Service-Anbieter stellen die Verschlüsselungs-Tools, die Verhandlungs-Plattformen und sogar Helpdesks für Opfer bereit.
- Geld-Wäscher wickeln die Krypto-Auszahlung ab, oft über mehrere Schichten an Mixer-Diensten.
Für Sie als Geschäftsführer heißt das: Die Frage ist nicht mehr, ob ein Angreifer in Ihre Liga zielt. Die Frage ist, wie viel Geld er für einen Zugang zu Ihrem Netzwerk bietet — und wie schwer Sie ihm den Weg machen.
Die Top-5-Bedrohungen für Mittelständler 2026
1. Ransomware-as-a-Service
Verschlüsselungstrojaner sind kein lone-wolf-Phänomen mehr. Banden wie LockBit-Nachfolger, BlackBasta oder Akira betreiben professionell organisierte Affiliate-Programme. Sie selbst sehen davon nichts — bis ein Affiliate Ihre Firewall-Schwachstelle kauft und nachts um 03:00 alle Dateifreigaben verschlüsselt. Pragmatischer Schutz: 3-2-1-Backup mit Offline-Kopie, dokumentierter Wiederherstellungsplan, getestet mindestens halbjährlich. Details im Praxisartikel Ransomware-Angriff: Was tun statt Lösegeld zahlen.
2. KI-gestütztes Phishing
ChatGPT und Konkurrenz schreiben heute fehlerfreies, kontextangepasstes Deutsch. Eine Mail an Ihre Buchhaltung — mit korrektem Geschäftsführer-Namen aus dem Impressum, plausiblem Anlass und ohne Tippfehler — ist mit drei Klicks erstellt. Die alten Phishing-Indikatoren (schlechtes Deutsch, generische Anrede) funktionieren nicht mehr. Was hilft: technische Filter (DMARC, SPF, DKIM) + Schulung mit echten Simulationen + Vier-Augen-Prinzip bei Zahlungsfreigaben. Mehr dazu unter Phishing erkennen und abwehren.
3. Supply-Chain-Angriffe
Erinnern Sie sich an SolarWinds? Das war kein Einzelfall, das war ein Genre. 2024 traf es mehrere ERP- und Buchhaltungs-SaaS-Anbieter. Wenn Ihr Software-Lieferant kompromittiert wird, sind Sie über das Update-Verfahren plötzlich auch betroffen. Schutz: Vendor-Inventar, kritische Updates erst nach 72 Stunden Quarantäne, Software-Bill-of-Materials anfragen.
4. Identitätsdiebstahl und Token-Theft
Klassische Passwort-Phishing ist out, modern ist der Diebstahl von Session-Tokens (zum Beispiel via gefälschter Microsoft-Login-Seiten mit Reverse-Proxy). Selbst MFA hilft nicht immer, wenn der Angreifer das Auth-Cookie kopiert. Gegenmaßnahme: MFA mit phishing-resistenten Methoden (FIDO2-Keys, Microsoft Authenticator Number-Match), Conditional Access mit Geräte-Compliance, Session-Token-Lifetime kurz halten.
5. Schatten-IT und Cloud-Konfigurationsfehler
Ein Mitarbeiter legt schnell ein OneDrive für ein Projekt an, teilt es „anyone with the link”. Drei Monate später crawlt das Internet diese URL — Adieu, vertrauliche Daten. Diese Fälle sehen wir bei Neukunden regelmäßig. Schutz: zentrales Cloud-Inventar, Default-Sharing-Policies härten, regelmäßige Audits.
Ob Sie 5 oder 500 Mitarbeiter haben — einem KI-gesteuerten Massenangriff ist das völlig egal. Die verschlüsseln Sie automatisiert, einfach weil sie können. Deshalb braucht heute jedes Unternehmen einen Grundschutz.
Jens HagelGeschäftsführer, hagel IT-Services GmbH
Die vier Schutzschichten, die in unserer Praxis wirklich greifen
Wir starten jeden neuen Kunden mit einer Infrastrukturanalyse — und stellen seit Jahren dieselben Lücken fest. Diese Schwerpunkte decken sich mit den Empfehlungen aus dem Microsoft Digital Defense Report 2024 und mit dem ENISA Threat Landscape: Identität, Endpoint, Daten, Mensch. Wer diese vier Schichten sauber aufbaut, ist gegen 80-90 % der heute laufenden Angriffe deutlich besser aufgestellt:
- Identität absichern (MFA + Conditional Access). Multi-Faktor-Authentifizierung auf allen Konten, ohne Ausnahmen. Conditional Access in Microsoft 365: Login nur aus Deutschland und EU, nur von compliant devices. Kostet Lizenz, dauert 1-2 Wochen Einführung — wirkt sofort.
- Endpunkt schützen (EDR statt nur AV). Endpoint Detection and Response erkennt Verhalten, nicht nur Signaturen. Microsoft Defender for Endpoint reicht für die meisten KMU. Bei heterogenen Umgebungen oder MDR-Bedarf lohnt CrowdStrike Falcon, SentinelOne oder Sophos Intercept X.
- Daten wiederherstellbar halten (3-2-1-Backup). Drei Kopien, zwei verschiedene Medien, eine offline. Wiederherstellung wird quartalsweise getestet — nicht nur „Backup ist grün" geguckt. Diese Schicht entscheidet, ob ein Ransomware-Vorfall ein Schock-Wochenende oder eine Insolvenz wird.
- Menschen schulen (mit Simulationen). Jährliche Awareness-Schulung plus monatliche Phishing-Simulationen. Mitarbeiter, die schon mal selbst geklickt haben, klicken Monate später viel weniger. Trockenes E-Learning allein wirkt nicht.
Was wir bei Neukunden in den ersten 30 Tagen ändern
Ein typisches Kennenlernen mit einem Hamburger Mittelständler — sagen wir 35 Mitarbeiter, eine Spedition mit Disposition, Buchhaltung und Werkstatt — sieht meist so aus:
Backup läuft, aber wurde nie getestet. MFA nur auf der GF-Mailbox, nicht im Team. Mehrere Admin-Accounts werden geteilt. Die Firewall-Firmware ist 18 Monate alt. EDR? Klassisches Antivirus von 2019. Awareness-Schulung? „Haben wir mal gemacht, vor drei Jahren." Das ist nicht Bösartigkeit — das ist Alltagsrealität, wenn IT-Sicherheit nebenher mitlaufen muss.
Unsere 30-Tage-Maßnahmen in der genannten Reihenfolge — orientiert an NIST SP 800-61 Computer Security Incident Handling:
- Woche 1: MFA flächendeckend ausrollen. Microsoft Authenticator-App, Number-Match aktiv. Erfolgsmessung: 100 % der M365-Konten haben MFA registriert.
- Woche 1-2: Admin-Hygiene. Persönliche Admin-Accounts pro Person, getrennt vom Tages-Account. Geteilte Admin-Logins sperren.
- Woche 2: Backup-Test mit echter Wiederherstellung. Eine Datei, ein Postfach, ein Server — alles einmal real wiederherstellen, mit Stoppuhr.
- Woche 2-3: EDR ausrollen. Defender for Endpoint oder Falcon, je nach Lizenz und Komplexität. Mit Staging-Ringen — niemand soll am Montag aufwachen und nicht booten können.
- Woche 3: Firewall-Firmware und Regeln prüfen. Veraltete VPN-Endpoints sind 2026 das Lieblings-Einfallstor. Wenn nötig, Sofort-Update außerhalb der Arbeitszeit.
- Woche 4: Schulung und Phishing-Simulation. 45 Minuten Live-Schulung, danach eine echte Test-Phishing-Mail. Klick-Quote dokumentieren, das ist die Baseline.
Über Weihnachten wurde bei uns alles verschlüsselt. Nur weil ich jede Woche eine externe Festplatte mit nach Hause genommen habe, hatten wir noch eine brauchbare Sicherung. Das war pures Glück.
Cyber-Versicherung: Wichtig, aber nicht statt Technik
Bitkom-Erhebungen zum Wirtschaftsschutz zeigen für Deutschland 2024 Cybercrime-Schäden im dreistelligen Milliardenbereich. Logisch, dass Versicherer reagieren. Was sich seit 2024 geändert hat:
- Versicherungen verlangen Mindeststandards (MFA, Backup-Konzept, EDR, Awareness) als Voraussetzung für die Police.
- Sub-Limits für Lösegeld und Betriebsunterbrechung sind häufiger.
- Ausschlüsse bei „grober Fahrlässigkeit” werden härter ausgelegt — zum Beispiel wenn bekannte Schwachstellen nicht gepatcht wurden.
Heißt: Eine Police ohne technische Hausaufgaben ist entweder nicht erhältlich oder wertlos. Erst die Schutzschichten oben aufbauen, dann die Versicherung als Backup für den Worst Case dazu nehmen.
Weiterführende Lektüre auf hagel-it.de
- IT-Sicherheit Trends 2026 — KI-Agenten als Bedrohung und Chance
- NIS-2 Beratung Hamburg — Pflichten und Umsetzung für KMU
- Multi-Faktor-Authentifizierung für Unternehmen 2026
- Cybersecurity Hamburg
- Cybersecurity für Hamburger Geschäftsführer
Ehrlich wissen, wo Sie heute stehen.
15 Minuten Erstgespräch. Kostenlos. Wir schauen Ihre vier Schutzschichten an — und sagen, wo die größte Lücke klafft.
Erstgespräch buchen →
