Wie Angriffe auf KMU ablaufen

Worum es geht

Montagmorgen im Reisebüro Horizont in St. Gallen. Die Inhaberin, Frau Brändli, erzählt Jana von einem befreundeten Velogeschäft: Die Buchhalterin dort hat eine Lieferantenrechnung über CHF 23'400 bezahlt. Logo, Mailverlauf, Tonfall, alles sah echt aus. Nur die IBAN war neu. Das Geld ist weg. Dann die Frage, die du in diesem Modul noch oft hören wirst: «Kann uns das auch passieren? Wir sind doch viel zu klein für Hacker.»

Die ehrliche Antwort lautet: Ja, es kann passieren, und zwar gerade weil das Büro klein ist. Die meisten Angriffe auf KMU sind nicht von langer Hand geplant wie im Film. Sie laufen automatisiert und massenhaft, und sie treffen die, bei denen die Tür offen steht.

In dieser Lektion lernst du die Grundbegriffe Schutzziel, Bedrohung, Schwachstelle und Risiko, die drei häufigsten Angriffsketten auf Schweizer KMU und vor allem, an welchen Stellen man eine Kette unterbrechen kann. Genau das ist dein Job in diesem Modul: verteidigen, mit dem Budget eines kleinen Betriebs.

Warum gerade KMU?

Stell dir einen Einbrecher vor, der nachts durch ein Quartier geht und an jeder Haustür die Klinke drückt. Er sucht nicht das reichste Haus, sondern das, bei dem nicht abgeschlossen ist. So funktionieren die meisten Cyberangriffe: Programme verschicken Millionen Phishing-Mails, probieren gestohlene Passwörter bei Microsoft 365 aus und suchen im Internet nach Firewalls mit bekannten Lücken. Wer ungeschützt ist, wird gefunden, egal wie klein er ist.

Über 99 Prozent der Schweizer Unternehmen sind KMU. Viele haben Gemeinsamkeiten, die Angreifern das Leben leicht machen:

Dazu kommt: Ein KMU hat Geld auf dem Konto, Kundendaten im System und hängt vollständig an seiner IT.

Schutzziele und Grundbegriffe

In der Informationssicherheit geht es um drei Schutzziele. Du kennst sie aus Modul 231:

• Vertraulichkeit: Nur Berechtigte sehen die Daten. Verletzt, wenn die Kundenliste mit Passnummern im Internet auftaucht.
• Integrität: Daten sind korrekt und unverändert. Verletzt, wenn jemand auf einer Rechnung die IBAN austauscht.
• Verfügbarkeit: Daten und Systeme sind nutzbar, wenn man sie braucht. Verletzt, wenn Ransomware den Server verschlüsselt.

Damit du Risiken später sauber beschreiben kannst, brauchst du vier weitere Begriffe. Bleiben wir beim Einbrecher:

Ein Risiko entsteht erst, wenn eine Bedrohung auf eine passende Schwachstelle trifft. Gegen die Bedrohung kannst du meist wenig tun: Phishing-Mails wird es immer geben. Die Schwachstelle dagegen kannst du schliessen. Das ist die Massnahme.

Drei Angriffsketten, die KMU wirklich treffen

Ein Angriff ist selten ein einzelner Moment, sondern eine Kette von Schritten. Das ist eine gute Nachricht: Jedes Glied ist eine Chance, ihn zu stoppen.

Kette 1: Kontoübernahme und Rechnungsbetrug

So lief es beim Velogeschäft:

1. Die Buchhalterin erhält eine Mail «Neue Dokumente für Sie freigegeben» mit einem Link.
2. Der Link führt auf eine täuschend echte Microsoft-Anmeldeseite. Sie gibt Mailadresse und Passwort ein.
3. Die Angreifer melden sich damit bei Microsoft 365 an. Ohne zweiten Faktor klappt das sofort.
4. Sie lesen wochenlang mit, legen eine versteckte Posteingangsregel an, die Mails eines Lieferanten in einen Unterordner verschiebt, und warten auf eine echte Rechnung.
5. Dann schicken sie aus dem echten Verlauf heraus eine «korrigierte» Rechnung mit neuer IBAN.

Diese Masche heisst Business E-Mail Compromise. Sie ist so gefährlich, weil die betrügerische Mail aus einem echten Postfach und einem echten Gespräch kommt.

Kette 2: CEO-Fraud

Hier wird kein Konto übernommen. Jemand gibt sich per Mail oder Telefon als Chefin aus: «Ich sitze in einer Besprechung. Wir müssen heute noch diskret eine Anzahlung von CHF 48'000 leisten.» Technik hilft hier wenig. Was hilft, ist eine organisatorische Regel: Zahlungen an neue Empfänger oder geänderte Konten nur nach Rückruf auf einer bekannten Nummer und im Vier-Augen-Prinzip.

Kette 3: Ransomware

Die gestrichelten Pfeile zeigen, wo eine Massnahme die Kette bricht. Moderne Ransomware-Gruppen verschlüsseln nicht nur, sie kopieren vorher Daten und drohen mit deren Veröffentlichung (doppelte Erpressung). Ein gutes Backup rettet also die Verfügbarkeit, aber nicht die Vertraulichkeit. Darum braucht es mehrere Schutzschichten hintereinander.

Phishing-Links lesen

Bei Kette 1 entscheidet ein einziger Blick: Wohin führt der Link wirklich? Der angezeigte Text in einer Mail kann alles behaupten. Massgebend ist die Zieladresse, die du siehst, wenn du mit der Maus über den Link fährst, ohne zu klicken (auf dem Smartphone: lange drücken).

So liest du eine Adresse: Der Hostname steht zwischen https:// und dem nächsten /. Die Hauptdomain sind die letzten beiden Teile des Hostnamens, ganz rechts. Alles links davon sind Subdomains, und die kann ein Angreifer frei wählen.

Der letzte Fall heisst Typosquatting: eine Domain mit Tippfehler, die auf den ersten Blick wie die echte aussieht.

Jetzt bist du dran: Bring Python bei, die Hauptdomain zu finden und verdächtige Links zu erkennen. Wenn alle Tests grün sind, kannst du den Trick, den du gerade gelernt hast, sogar einem Computer erklären.

Schritt für Schritt: Den Vorfall beim Velogeschäft auswerten

Frau Brändli bittet Jana, den Vorfall kurz für das Reisebüro auszuwerten. So geht Jana vor:

Schritt 1: Fakten in eine Zeitachse bringen. Der Inhaber des Velogeschäfts und sein IT-Partner liefern die Daten.

Schritt 2: Die Kette erkennen. Es ist Kette 1: Phishing, Kontoübernahme, Mitlesen, Rechnungsbetrug.

Schritt 3: Verletzte Schutzziele bestimmen. Vertraulichkeit (das Postfach wurde vier Wochen mitgelesen) und Integrität (die Rechnung wurde verfälscht). Die Verfügbarkeit war nie betroffen, die IT lief die ganze Zeit normal. Genau das macht diesen Angriff so unauffällig.

Schritt 4: Schwachstellen benennen. Kein MFA. Keine Schulung zum Erkennen falscher Anmeldeseiten. Keine Regel, IBAN-Änderungen telefonisch zu bestätigen. Niemand prüft Anmeldungen aus dem Ausland oder neue Weiterleitungsregeln.

Schritt 5: Pro Glied der Kette eine Massnahme zuordnen.

Schritt 6: Auf das Reisebüro übertragen. Im Reisebüro haben 9 von 14 Konten kein MFA. Dazu zahlt das Büro laufend Hotels und Partner im Ausland, wechselnde Bankverbindungen fallen also kaum auf. Die gleiche Kette ist hier mindestens so wahrscheinlich.

Schritt 7: Ein Satz für die Inhaberin. Jana formuliert: «Der Betrug hätte an vier Stellen gestoppt werden können. Zwei davon, MFA und eine Rückrufregel bei neuen Kontonummern, kosten uns praktisch nichts und können wir diese Woche einführen.»

Typische Fehler

• «Wir sind zu klein.» Die meisten Angriffe sind automatisiert und wählen ihre Opfer nach Gelegenheit, nicht nach Grösse. Korrektur: mit einem konkreten Fall aus der Branche argumentieren.
• Bedrohung und Schwachstelle verwechseln. «Phishing ist unsere Schwachstelle» stimmt nicht. Phishing ist die Bedrohung, die Schwachstelle ist zum Beispiel fehlendes MFA. Nur wer die Schwachstelle benennt, findet die passende Massnahme.
• Nur an Technik denken. Gegen CEO-Fraud und Rechnungsbetrug wirken organisatorische Regeln wie der Rückruf oft stärker als jedes Produkt.
• Backup für den kompletten Ransomware-Schutz halten. Es stellt die Verfügbarkeit wieder her, verhindert aber nicht die Veröffentlichung gestohlener Daten.
• Den Linktext statt das Ziel prüfen. Entscheidend ist die Hauptdomain der Zieladresse, nicht der angezeigte Text.

Zusammenfassung

• KMU werden angegriffen, weil Angriffe automatisiert nach offenen Türen suchen, nicht weil jemand sie gezielt auswählt.
• Die Schutzziele sind Vertraulichkeit, Integrität und Verfügbarkeit.
• Ein Risiko entsteht, wenn eine Bedrohung auf eine Schwachstelle trifft. Massnahmen schliessen Schwachstellen.
• Die drei häufigsten Ketten sind Kontoübernahme mit Rechnungsbetrug, CEO-Fraud und Ransomware mit doppelter Erpressung.
• Jedes Glied einer Kette ist eine Chance: Mehrere Schutzschichten hintereinander bremsen Angriffe am wirksamsten.
• Bei Links zählt die Hauptdomain ganz rechts im Hostnamen.