Angriffsfläche in Unternehmen wirksam reduzieren

Ein ehemaliges E-Mail-Postfach, ein nicht mehr unterstützter Server, ein geteiltes Administratorkennwort: Oft genügt eine einzige übersehene Schwachstelle, damit ein Angriff den Geschäftsbetrieb trifft. Wer die Angriffsfläche reduzieren will, muss daher nicht jedes IT-System durch neue Technik ersetzen. Entscheidend ist, im Unternehmen wieder Kontrolle darüber zu gewinnen, welche Systeme erreichbar sind, welche Daten wo liegen und wer tatsächlich Zugriff hat.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beobachtet seit Jahren eine hohe und dynamische Bedrohungslage. Allein im Lagebericht 2024 nennt das BSI durchschnittlich rund 309.000 neue Schadprogrammvarianten pro Tag. Für mittelständische Unternehmen ist das keine abstrakte Statistik: Ransomware, kompromittierte E-Mail-Konten und ungesicherte Fernzugänge können Produktion, Rechnungswesen, Vertrieb und Kundenservice gleichzeitig beeinträchtigen. Die größte Gefahr entsteht häufig dort, wo gewachsene IT-Strukturen nicht mehr vollständig dokumentiert und überwacht werden.

Was die Angriffsfläche eines Unternehmens wirklich umfasst

Die Angriffsfläche ist die Summe aller Punkte, über die Angreifer auf Systeme, Daten oder Konten zugreifen könnten. Dazu gehören nicht nur Firewall und Server. Auch Cloud-Anwendungen, mobile Geräte, E-Mail-Postfächer, VPN-Zugänge, externe Dienstleister, Webportale, Drucker und veraltete Benutzerkonten zählen dazu.

Besonders kritisch sind Schnittstellen, die im Tagesgeschäft praktisch wirken, aber selten geprüft werden. Ein Mitarbeiter nutzt etwa sein privates Smartphone für E-Mails. Ein Dienstleister behält nach Projektende einen Fernwartungszugang. Oder eine Fachanwendung speichert Sicherungen auf einem Netzlaufwerk, das im Ernstfall ebenfalls verschlüsselt wird. Jede einzelne Konstellation kann vertretbar sein. Ohne klare Regeln, technische Absicherung und regelmäßige Kontrolle wächst jedoch das Gesamtrisiko.

Dabei geht es nicht darum, jede Zugriffsmöglichkeit zu verbieten. Mittelständler brauchen funktionierende Zusammenarbeit, Homeoffice und schnelle Unterstützung durch Partner. Die Aufgabe besteht darin, Zugriffe auf das notwendige Maß zu begrenzen, eindeutig zuzuordnen und nachvollziehbar abzusichern.

Angriffsfläche im Unternehmen reduzieren: zuerst Transparenz schaffen

Viele Sicherheitsmaßnahmen scheitern nicht an fehlendem Budget, sondern an fehlendem Überblick. Bevor Lösungen ausgewählt werden, sollte klar sein: Welche Systeme sind im Einsatz? Welche davon sind aus dem Internet erreichbar? Wo werden personenbezogene, kaufmännische oder technische Daten verarbeitet? Und welche Konten besitzen weitreichende Rechte?

Eine belastbare Sicherheitsanalyse verbindet diese Fragen mit einem technischen Realitätscheck. Dabei werden unter anderem externe Erreichbarkeiten, Softwarestände, Endpoint-Schutz, Firewall-Regeln, Backup-Konzept, Berechtigungen und Protokollierung betrachtet. Ebenso wichtig ist die organisatorische Seite: Gibt es geregelte Austrittsprozesse für Mitarbeitende? Sind Zuständigkeiten für Updates und Sicherheitsvorfälle klar definiert? Wissen Verantwortliche, welche Dienstleister auf welche Systeme zugreifen?

Diese Bestandsaufnahme ist auch aus DSGVO-Sicht sinnvoll. Artikel 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen, die ein dem Risiko angemessenes Schutzniveau gewährleisten. Das bedeutet nicht, dass jedes Unternehmen dieselben Werkzeuge einsetzen muss. Es bedeutet aber, dass Verantwortliche Risiken nachvollziehbar bewerten und Schutzmaßnahmen begründen können müssen.

Praxisfall: Der vergessene Fernzugang

In einer anonymisierten Sicherheitsanalyse bei einem regionalen Handelsunternehmen mit rund 80 Arbeitsplätzen fiel ein alter Fernwartungszugang auf. Er war ursprünglich für einen externen Softwarepartner eingerichtet worden, wurde aber seit mehr als zwei Jahren nicht mehr benötigt. Das zugehörige Konto besaß weitreichende Rechte und war lediglich durch ein Kennwort geschützt.

Der Zugang wurde deaktiviert, die Berechtigungen aller externen Partner überprüft und für verbleibende Fernzugriffe eine Mehrfaktor-Authentifizierung eingeführt. Der Aufwand war überschaubar. Der wesentliche Gewinn lag in der Klarheit: Das Unternehmen wusste anschließend, welche externen Zugänge bestehen, wer sie verantwortet und wie sie abgesichert sind.

Die wirksamsten Hebel liegen oft im Alltag

Technik allein schützt nicht, wenn sie nicht verlässlich betrieben wird. Für den Mittelstand haben sich einige Maßnahmen besonders bewährt, weil sie das Risiko an mehreren Stellen gleichzeitig senken.

Zugriffsrechte konsequent begrenzen. Mitarbeitende benötigen nur die Berechtigungen, die sie für ihre Aufgabe brauchen. Administrationsrechte gehören nicht auf jeden Arbeitsplatz. Geteilte Benutzerkonten erschweren die Nachverfolgung und sollten durch persönliche Zugänge ersetzt werden. Bei Personalwechseln müssen Konten, Tokens und Zugänge zeitnah angepasst oder deaktiviert werden.

Mehrfaktor-Authentifizierung gezielt einsetzen. E-Mail, Cloud-Dienste, VPN und administrative Konten sind bevorzugte Angriffspunkte. Ein gestohlenes Kennwort allein darf nicht genügen, um Zugang zu erhalten. Besonders bei extern erreichbaren Diensten ist Mehrfaktor-Authentifizierung heute eine grundlegende Schutzmaßnahme, nicht nur eine Option für große Konzerne.

Updates und unterstützte Systeme sicherstellen. Ungepatchte Schwachstellen werden häufig automatisiert ausgenutzt. Deshalb braucht es einen verbindlichen Prozess für Sicherheitsupdates – auch für Firewall, VPN-Komponenten, Fachanwendungen und Netzwerkgeräte. Systeme ohne Herstellersupport verdienen eine klare Entscheidung: absichern, ersetzen oder kontrolliert isolieren. Weiterbetrieb ohne Plan ist kein tragfähiger Zustand.

Endpoints und Netzwerk überwachen. Moderne Endpoint Protection erkennt verdächtige Aktivitäten auf Arbeitsplatzrechnern und Servern. Eine professionell betreute Firewall begrenzt unerwünschte Verbindungen und macht auffälligen Datenverkehr sichtbar. Beide Maßnahmen entfalten ihren Wert erst durch laufende Pflege, Alarmbewertung und schnelle Reaktion. Ein Warnhinweis, den niemand prüft, schützt den Betrieb nicht.

Backups gegen Ransomware absichern. Datensicherungen sind der Rettungsanker, wenn Systeme verschlüsselt oder Daten versehentlich gelöscht werden. Das BSI empfiehlt die 3-2-1-Regel: mindestens drei Kopien auf zwei unterschiedlichen Medien, davon eine Kopie getrennt vom produktiven Netzwerk. In der Praxis zählt zusätzlich der Wiederherstellungstest. Ein Backup ist erst dann verlässlich, wenn sich Daten und Systeme innerhalb der benötigten Zeit wiederherstellen lassen.

Cloud und Dienstleister: Kontrolle vor Bequemlichkeit

Cloud-Dienste können die Angriffsfläche verkleinern, etwa wenn sie schlecht gepflegte Eigenlösungen ersetzen. Sie können sie aber auch vergrößern, wenn Verantwortlichkeiten, Datenflüsse und Zugriffsrechte unklar bleiben. Entscheidend ist nicht das Etikett „Cloud“, sondern die konkrete Architektur.

Mittelständische Unternehmen sollten nachvollziehen können, wo ihre Daten verarbeitet werden, welche Unterauftragnehmer beteiligt sind und wie Zugriffe protokolliert werden. Bei personenbezogenen Daten sind zudem Auftragsverarbeitungsverträge, Löschkonzepte und technisch-organisatorische Maßnahmen relevant. Deutsche oder europäische Betriebs- und Verarbeitungsstandards erleichtern hier häufig die Kontrolle und die DSGVO-konforme Dokumentation. Sie ersetzen jedoch keine eigene Prüfung der eingesetzten Dienste.

Auch die ENISA, die Cybersicherheitsagentur der Europäischen Union, weist regelmäßig darauf hin, dass Lieferketten und externe Abhängigkeiten ein wesentlicher Risikofaktor sind. Für Unternehmen bedeutet das: Dienstleister nicht pauschal misstrauen, aber Zugänge, Verantwortlichkeiten und Sicherheitsanforderungen verbindlich regeln.

Praxisfall: Backup vorhanden, Wiederherstellung ungeklärt

Bei einem mittelständischen Dienstleister im Bergischen Land bestanden tägliche Backups. Im Test zeigte sich jedoch, dass die Sicherungen dauerhaft mit dem Produktivnetz verbunden waren. Bei einer erfolgreichen Ransomware-Infektion hätten Angreifer sie mit hoher Wahrscheinlichkeit erreichen können. Außerdem war nicht dokumentiert, wie lange die Wiederherstellung eines zentralen Servers dauern würde.

Das Konzept wurde um eine getrennte Sicherungskopie ergänzt. Wiederherstellungsziele wurden mit der Geschäftsleitung abgestimmt und regelmäßige Tests eingeplant. Das Ergebnis war nicht nur ein besseres technisches Sicherheitsniveau. Die Verantwortlichen konnten erstmals belastbar beantworten, wie lange ein Ausfall maximal dauern darf und welche Daten priorisiert wieder verfügbar sein müssen.

Sicherheit messbar und dauerhaft betreiben

Die Angriffsfläche verändert sich mit jedem neuen Gerät, Benutzerkonto und Dienstleister. Deshalb reicht eine einmalige Prüfung nicht aus. Sinnvoll ist ein kontinuierlicher Sicherheitsbetrieb mit festen Zuständigkeiten: Aktualisierungen werden nachgehalten, auffällige Ereignisse bewertet, Zugriffsrechte regelmäßig geprüft und Backups getestet.

Geschäftsführer müssen dafür keine Security-Spezialisten werden. Sie brauchen jedoch eine verständliche Entscheidungsgrundlage. Dazu gehören regelmäßige Berichte über den Sicherheitsstatus, offene Risiken, durchgeführte Maßnahmen und Handlungsbedarf. Eine gute Managed-Security-Betreuung übersetzt technische Signale in betriebliche Konsequenzen: Was ist passiert, wie kritisch ist es und was wird konkret unternommen?

Wer seine Angriffsfläche reduziert, verhindert nicht jeden Angriff. Er senkt aber die Wahrscheinlichkeit erfolgreicher Zugriffe, begrenzt mögliche Schäden und verbessert die Fähigkeit, nach einem Vorfall handlungsfähig zu bleiben. Der sinnvollste erste Schritt ist eine ehrliche Bestandsaufnahme – nicht, um Mängel zu verwalten, sondern um Sicherheit planbar, überprüfbar und dauerhaft beherrschbar zu machen.