Cyber-Erpressung 2026: Warum der deutsche Mittelstand jetzt handeln muss

Der Security Navigator 2026 von Orange Cyberdefense wertet 139.373 potenzielle und 19.053 bestätigte Sicherheitsvorfälle aus 15 CyberSOCs im beschriebenen Berichtsfenster aus. Der Report ordnet darin auch Cyber-Erpressung, kleine und mittlere Unternehmen sowie Deutschland ein. Diese Zahlen sind wertvoll, müssen aber eng gelesen werden: Sie beschreiben die Kunden- und SOC-Stichprobe von Orange Cyberdefense und nicht alle Unternehmen in Deutschland.

Die belastbare Schlussfolgerung lautet deshalb nicht, jedes KMU werde zwangsläufig getroffen. Sie lautet: Cyber-Erpressung ist in einem großen operativen Sicherheitsdatensatz sichtbar, und Unternehmen sollten ihre Reaktionsfähigkeit nicht von ihrer Größe abhängig machen.

Warum automatisierte Angriffe auch kleine Unternehmen erreichen

Angreifer können verwundbare Internetdienste, wiederverwendete Zugangsdaten und Phishing-Kampagnen in großer Zahl bearbeiten. Ein Unternehmen muss dabei nicht persönlich ausgewählt worden sein. Schon eine öffentlich erreichbare, ungepatchte Anwendung oder ein kompromittiertes Konto kann den Einstieg ermöglichen.

KMU haben häufig kurze Entscheidungswege und ausgelagerte IT-Leistungen. Das kann die Reaktion beschleunigen, wenn Zuständigkeiten klar sind. Fehlen Inventar, Protokollierung und Notfallkontakte, kann dieselbe Struktur jedoch zu Verzögerungen führen. Pauschale Aussagen, KMU seien leichte Ziele oder hätten grundsätzlich keine Schutzstrukturen, werden der sehr unterschiedlichen Praxis nicht gerecht.

Double Extortion verändert die Rolle von Backups

Bei Double Extortion werden Daten kopiert und Systeme verschlüsselt. Ein getestetes Backup bleibt wichtig, weil es die technische Wiederherstellung ermöglichen kann. Es nimmt den Angreifern aber nicht automatisch den zweiten Erpressungshebel: die Drohung mit Veröffentlichung gestohlener Informationen.

Deshalb gehören neben Sicherungen auch restriktive Zugriffsrechte, Netzwerksegmentierung, Erkennung ungewöhnlicher Datenbewegungen und nachvollziehbare Protokolle in eine Ransomware-Schutzstrategie. Ob und welche Meldepflichten bei IT-Sicherheitsvorfällen greifen, hängt vom konkreten Vorfall, den betroffenen Daten und der rechtlichen Einordnung ab.

Lieferanten und Fernzugänge mitdenken

Ein IT-Dienstleister, Softwareanbieter oder anderer Partner kann technisch eng mit dem eigenen Betrieb verbunden sein. Daraus folgt kein sicherer Dominoeffekt, wohl aber ein Abhängigkeitsrisiko. Unternehmen sollten wissen, welche externen Konten und Fernzugänge bestehen, wie sie freigegeben werden und wie ein Partner über Sicherheitsvorfälle informiert.

Praktische Mindestkontrollen sind zeitlich begrenzte Zugänge, Multi-Faktor-Authentifizierung, minimale Berechtigungen, Protokollierung und ein getesteter Ausweichprozess. Der Beitrag zu Supply-Chain-Angriffen vertieft diese Punkte.

Deutsche Pflichten nicht pauschalisieren

Für bestimmte Unternehmen ergeben sich gesetzliche Pflichten aus dem deutschen BSIG. Die Einstufung richtet sich nach § 28 BSIG, nicht nach der pauschalen Annahme, jeder Mittelständler sei unmittelbar erfasst. § 38 BSIG weist Leitungsorganen betroffener Einrichtungen konkrete Aufgaben zu; § 65 BSIG staffelt mögliche Bußgelder.

Auch nicht unmittelbar erfasste Unternehmen können vertragliche Sicherheitsanforderungen ihrer Kunden erhalten. Das ist von einer eigenen gesetzlichen Einstufung zu unterscheiden. Dieser Beitrag bietet eine technische Orientierung und ersetzt keine rechtliche Prüfung.

Was KMU jetzt konkret tun können

1. Notfallorganisation testen: Der Incident-Response-Plan muss Kontakte, Entscheidungsrechte, Kommunikationswege und Wiederanlauf abdecken.
2. Angriffsfläche kennen: Internetdienste, Administrationszugänge, Cloud-Konten und kritische Datenbestände inventarisieren.
3. Identitäten absichern: Privilegierte Konten trennen, starke MFA einsetzen und veraltete Zugänge entfernen.
4. Wiederherstellung beweisen: Getrennte oder unveränderliche Backups nicht nur erstellen, sondern regelmäßig zurückspielen.
5. Erkennung organisieren: Festlegen, welche Protokolle ausgewertet werden und wer Alarme innerhalb welcher betrieblich realistischen Zeit bearbeitet.
6. Lieferanten einbinden: Sicherheitskontakte, Meldewege und technische Zugriffe dokumentieren.

Sicherheit als belastbaren Betriebsprozess behandeln

Cyber-Erpressung lässt sich nicht mit einer einzelnen Prozentzahl oder einem Produkt erklären. Entscheidend ist, ob das Unternehmen einen Angriff erschwert, verdächtige Vorgänge erkennt und den Betrieb kontrolliert wiederaufnehmen kann. Eine IT-Sicherheitsberatung kann die vorhandenen Maßnahmen bewerten und eine risikobasierte Reihenfolge entwickeln. Ein vollständiger Schutz oder ein bestimmtes Ergebnis lässt sich dabei nicht garantieren.