Was ein Cyberangriff ein Industrie-KMU wirklich kostet

An einem Montagmorgen betritt Daniel A. seine Werkstatt und findet die Maschinen im Stillstand vor. Die Leitstand-Bildschirme zeigen eine Meldung, die er nicht versteht, und Marc K., sein Teilzeit-IT-Verantwortlicher, telefoniert bereits, kreidebleich. An diesem Morgen weiss noch niemand, was der Cyberangriff wirklich kosten wird — und genau diese Ungewissheit tut am meisten weh.

Die Kosten eines Cyberangriffs sind weit mehr als das Lösegeld

Wenn von einem Cyberangriff die Rede ist, denkt man an ein Lösegeld: eine Summe, die Angreifer fordern, um den Zugriff auf die Dateien wieder freizugeben. Das ist das Bild von Ransomware (ein Programm, das Ihre Daten verschlüsselt, unlesbar macht und dann eine Zahlung im Austausch gegen den Schlüssel verlangt). Doch in einem Industrie-KMU wie dem von Daniel A. ist das Lösegeld fast nie der schwerste Kostenpunkt.

In einem Zerspanungsbetrieb sieht ein Teil des Systems nicht wie Büro-Computer aus: Es sind die Maschinen selbst, ihre Steuerungen und der Arbeitsplatz, der sie steuert — das nennt man OT (die «operative Technik», im Gegensatz zur Büro-IT). Dieser Leitstand-Arbeitsplatz läuft oft auf einem alten System, das nicht mehr aktualisiert wird, «weil die Maschinensoftware nichts Neueres unterstützt». Und sehr oft teilen sich Werkstatt und Büros dasselbe flache Netzwerk. Das Ergebnis: Eine präparierte E-Mail, die in der Buchhaltung geöffnet wird, kann Schritt für Schritt die Maschine erreichen, die zerspant. Genau das macht aus einem gewöhnlichen IT-Vorfall einen Produktionsstillstand.

Sobald die Werkstatt steht, wächst die Rechnung leise, über mehrere Punkte, die man nicht kommen sieht. Das macht die Kosten eines Cyberangriffs so trügerisch: Die Zahl, die Schlagzeilen macht — das Lösegeld —, ist fast immer der kleinste Teil der Summe. Der Rest zeigt sich am Montagmorgen nirgends; er offenbart sich Tag für Tag, während das Unternehmen versucht, zum Normalbetrieb zurückzufinden. Für Marc K., der die «Brände» allein löscht, ist es auch eine unsichtbare Last: Jede Stunde, die er mit Wiederaufbau verbringt, fehlt dem Rest des Betriebs.

Der erste Punkt ist der Produktionsstillstand. Eine Zerspanungslinie, die nicht läuft, bedeutet Aufträge, die in Verzug geraten, einem Auftraggeber zugesagte Termine, die nicht gehalten werden, Mitarbeitende, die bezahlt werden und warten. Dieser Kostenpunkt misst sich nicht in Stunden, sondern oft in Tagen: die Zeit, um zu verstehen, aufzuräumen und dann alles wieder in Gang zu bringen. Für eine Werkstatt ist das fast immer der dominierende Punkt — weit vor dem Lösegeld.

Der zweite ist die technische Wiederherstellung. Die Server wieder aufsetzen, die Arbeitsplätze neu installieren, die Daten aus den Sicherungen rekonstruieren — sofern sie existieren und tatsächlich funktionieren. Viele KMU entdecken genau in diesem Moment, dass ihre Sicherungen nie getestet worden waren oder am selben Netzwerk hingen wie alles andere und deshalb ebenfalls verschlüsselt wurden. Die ganze Zeit über läuft die Rechnung des externen Dienstleisters weiter.

Der dritte Punkt ist der leiseste und dauerhafteste: das Vertrauen. Ein Auftraggeber, der erfährt, dass sein Zulieferer lahmgelegt wurde, fragt sich, ob seine technischen Zeichnungen — sein geistiges Eigentum — noch vertraulich sind. Er kann Garantien verlangen, einen Auftrag verschieben oder sich schlicht anderswo umsehen. Dieser Kostenpunkt steht auf keiner Rechnung, wird aber in den folgenden Monaten bezahlt.

Hinzu kommt schliesslich die regulatorische Dimension. Sind Personendaten betroffen — eine Kundenkartei, HR-Daten —, so erwartet das revDSG (das Schweizer Datenschutzgesetz) vom Verantwortlichen, angemessene Sicherheitsmassnahmen zu treffen und, wenn eine Verletzung voraussichtlich ein hohes Risiko für die betroffenen Personen mit sich bringt, sie dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) zu melden. Das mitten in der Krise zu bewältigen, ohne vorher daran gedacht zu haben, kostet zusätzlich Zeit und Nerven in einem Moment, in dem beides ohnehin knapp ist.

Keiner dieser Punkte lässt sich im Voraus genau beziffern, und genau deshalb ist es besser, in Grössenordnungen zu denken als in Versprechen. Was man ohne Irrtum sagen kann, ist die Reihenfolge: In einem produzierenden KMU wiegt der Stillstand am schwersten, die Wiederherstellung folgt, und das verlorene Vertrauen braucht am längsten, um sich wieder aufzubauen. Diese Reihenfolge zu kennen, sagt Ihnen bereits, wo Sie Ihre Kräfte vor einem Vorfall bündeln sollten, statt alles auf einmal an dem Tag zu entdecken, an dem er eintrifft.

Klartext (Camille). Die richtige Frage lautet nicht «wie hoch ist das Lösegeld», sondern «wie viel kostet mich ein Tag, an dem nichts läuft, multipliziert mit der Zahl der Tage, die ich brauche, um wieder anzufahren». Dieser eine Satz rückt das Risiko an seinen richtigen Platz — und er verlangt keinerlei technisches Können, um beantwortet zu werden.

Was Sie sich merken sollten

• Die echten Kosten eines Cyberangriffs sind die Summe mehrerer unsichtbarer Punkte: Produktionsstillstand, Wiederaufbau, Kundenvertrauen, rechtliche Pflichten. Das Lösegeld, sofern es eines gibt, ist oft nur die Spitze des Eisbergs.
• Ein Industrie-KMU ist besonders exponiert, weil sich Werkstatt und Büro-IT oft dasselbe Netzwerk teilen: Eine Infektion, die auf einer E-Mail in der Buchhaltung beginnt, kann auf der Maschine enden, die zerspant.
• Diese Kosten sind kein Schicksal. Man senkt sie nie auf null, aber man macht sie weit tragbarer, indem man in Ruhe vorbereitet, was sich unter Druck abspielt.

Die Schritte für diese Woche

1. Beziffern Sie einen Stillstandstag

Nehmen Sie sich zehn Minuten mit Ihrem Produktionsleiter. Wie viele Aufträge verschiebt ein Tag ohne Werkstatt? Wie viele Personen warten am Ende? Dieser Betrag, selbst grob geschätzt, in Franken, ist Ihre wahre Exponierung. Er verwandelt ein abstraktes Risiko in eine unternehmerische Entscheidung — und er braucht kein IT-Werkzeug.

2. Verlangen Sie eine Wiederherstellung zu sehen, keine Sicherung

«Wir haben Sicherungen» heisst gar nichts, solange nicht geprüft ist, dass man daraus tatsächlich zurückkehren kann. Als Geschäftsführer müssen Sie das nicht selbst tun: Bitten Sie einfach Ihren IT-Verantwortlichen oder Ihren Dienstleister, Ihnen eine wirklich wiederhergestellte Datei zu zeigen — und in welcher Zeit. Die Antwort — oder ihr Ausbleiben — sagt Ihnen, wo Sie stehen.

3. Schreiben Sie Ihr Krisen-Verzeichnis vor der Krise

Auf einer einzigen Seite: wen anrufen, wenn alles stillsteht. Ihren IT-Dienstleister, Ihre Versicherung (mit der Vertragsnummer), das Bundesamt für Cybersicherheit (BACS/NCSC), das Meldungen entgegennimmt, und den EDÖB, wenn Personendaten betroffen sind. Diese Nummern während des Vorfalls zu suchen, heisst die Stunden zu verlieren, die am meisten kosten.

Wo stehen Sie wirklich?

Diese drei Schritte beseitigen das Risiko nicht — nichts tut das —, aber sie verschieben die Kosten eines Cyberangriffs vom Unbekannten ins Beherrschbare. Eine ehrliche Frage bleibt: Wo ist Ihre Organisation über diese ersten Schritte hinaus wirklich stabil, und wo ruht sie auf der Hoffnung, dass «es hier nicht passiert»?

Genau das legt die Selbsteinschätzung von Cyber Passport offen, Frage für Frage, ohne Fachjargon. Sie zertifiziert nichts und erklärt Sie nicht für «geschützt»: Sie zeigt Ihnen schwarz auf weiss Ihre Stärken und Ihre blinden Flecken, in einem Bericht, den Sie mit einem Kunden oder einem Prüfer teilen können. Genug, um in Ruhe zu entscheiden, was Sie vor dem nächsten schwierigen Montagmorgen vorbereiten.