An einem Montagmorgen kommt Daniel A. vor allen anderen in die Werkstatt. Die Maschinen sind eingeschaltet, doch der Leitstandbildschirm zeigt eine Meldung, die er nicht versteht: Seine Dateien sind gesperrt, und eine anonyme Adresse verlangt eine Zahlung, um sie freizugeben. Innerhalb weniger Stunden steht die gesamte Produktion still — nicht wegen eines mechanischen Defekts, sondern weil eine Ransomware — eine Software, die Ihre Dateien sperrt und ein Lösegeld fordert — seine Daten als Geisel genommen hat.
An diesem Szenario ist nichts Aussergewöhnliches, und es zielt nicht zuerst auf Grosskonzerne. Zulieferwerkstätten, Treuhandbüros, Arztpraxen: Gerade die am wenigsten vorbereiteten Organisationen sind die besten Ziele. Zu verstehen, warum, ist bereits der Anfang Ihrer Verteidigung.
Warum ein industrielles KMU ein bevorzugtes Ziel für Ransomware ist
Ransomware ist eine Schadsoftware, die Ihre Dateien verschlüsselt — sie macht sie unlesbar, wie hinter einem digitalen Vorhängeschloss — und dann ein Lösegeld verlangt, um Ihnen den Schlüssel zurückzugeben. Solange Sie nicht zahlen — und oft auch danach — bleiben Ihre Pläne, Ihre Bearbeitungsabläufe, Ihre Buchhaltung und Ihr Auftragsbuch unerreichbar.
Der erste Irrtum, den man ausräumen muss: Man wird nicht angegriffen, weil man wichtig ist, sondern weil man erreichbar ist. Angreifer suchen sich kein KMU aus einem Adressbuch aus. Sie starten automatische Programme, die das Internet nach einer schlecht geschlossenen Tür absuchen — ein Postfach, in dem jemand einen präparierten Anhang anklickt, eine Software, die seit Monaten nicht aktualisiert wurde, ein Fernzugriff, der nur durch ein Passwort geschützt ist. Wenn die Tür nachgibt, dringt das Programm ein, breitet sich aus und verschlüsselt alles, was es findet.
Ein industrielles KMU hat oft gleich mehrere Türen angelehnt. Das Netzwerk ist «flach»: Der Buchhaltungsrechner und die CNC-Maschine in der Werkstatt kommunizieren über dasselbe Kabel, sodass sich eine Infektion auf der Büroseite bis in die Produktion ausbreitet. Ein alter Leitrechner läuft auf einem System, das «die Maschinensoftware nicht anders unterstützt», und wird deshalb nie aktualisiert. Backups gibt es — Marc K., der Teilzeit-IT-Verantwortliche, ist sich sicher —, aber niemand hat je geprüft, ob man sie wirklich wiederherstellen kann. Und es gibt kein Vollzeit-IT-Team, das über all das wacht.
Hinzu kommt ein Punkt, den Daniel A. nur zu gut kennt: In der Präzisionsbearbeitung kostet Stillstand sofort. Jede Stunde ohne Produktion ist ein Auftrag, der in Verzug gerät, ein Kunde, der ungeduldig wird, technische Pläne — oft das geistige Eigentum eines Auftraggebers — plötzlich ausser Reichweite. Angreifer wissen das: Ein Unternehmen, das stündlich Geld verliert, ist ein Unternehmen, das versucht ist, schnell zu zahlen, ohne nachzudenken.
Oft öffnet erst ein äusseres Ereignis die Augen. Ein Berufskollege aus der Region wird verschlüsselt und steht drei Tage still; ein Auftraggeber beginnt zu fragen, wie seine Pläne geschützt sind. Da wird Daniel A. klar, dass die Frage nicht mehr «kann mir das passieren?» lautet, sondern «könnte ich wieder anfahren, wenn es mir morgen passierte?». Das ist eine viel bessere Frage, weil sie nach konkreten Antworten verlangt.
Klartext (Camille). Ransomware prüft nicht Ihre Wichtigkeit, sie prüft Ihre Schlösser. Ein KMU mit einigen Dutzend Personen ist in den Augen eines Angreifers nicht weniger wert als ein Grosskonzern — es hat nur, allzu oft, leichter zu knackende Schlösser.
Was Sie sich merken sollten
Drei Gedanken genügen, um die Haltung zu ändern, ohne Experte zu werden.
Nicht Sie sind das Ziel, sondern eine Schwachstelle. Der Angriff ist industriell und automatisch. Die richtige Frage lautet also nicht «bin ich ein interessantes Ziel?», sondern «welche Türen habe ich offen gelassen?». Das ist eine Frage, die Sie beantworten können, Arbeitsplatz für Arbeitsplatz, Zugang für Zugang.
Zahlen löst nichts. Nichts garantiert, dass man Ihnen Ihre Daten zurückgibt oder dass nicht bereits eine Kopie gestohlen wurde. Das Bundesamt für Cybersicherheit (BACS, früher NCSC) rät davon ab, der Lösegeldforderung nachzugeben, und empfiehlt, den Vorfall zu melden. Und wenn Personendaten abgeflossen sind, kann das revDSG — das Schweizer Datenschutzgesetz — Sie verpflichten, die Verletzung der zuständigen Behörde zu melden. Zahlen heisst, den nächsten Angriff zu finanzieren, ohne den eigenen rückgängig zu machen.
Schutz besteht aus Gewohnheiten, nicht aus einem Wunderprodukt. Keine Software macht Sie «unangreifbar». Den Unterschied machen Backups, die Sie wirklich getestet haben, gesperrte Zugänge und ein gemeinsamer Reflex beim ersten verdächtigen Anzeichen. Nichts davon erfordert das Budget eines Grosskonzerns: Es sind organisatorische Entscheidungen, keine technischen.
Gewohnheiten, die Sie diese Woche einführen sollten
Hier sind drei Gewohnheiten, die Daniel A. ohne grosse Investition und ohne eine IT-Grundüberholung starten kann. Sie ersetzen keine echte Vorbereitung — dafür ist der Blueprint da —, aber sie schliessen bereits die leichtesten Türen.
1. Testen Sie eine echte Wiederherstellung, nicht nur, dass Backups existieren
«Wir haben Backups» bedeutet nichts, solange Sie daraus keine Datei wiederhergestellt haben. Bitten Sie Marc K. diese Woche, einen zufälligen Ordner auszuwählen, ihn tatsächlich wiederherzustellen und zu prüfen, ob er sich öffnet. Vielleicht stellen Sie fest, dass das Backup unvollständig ist, zu alt oder dauerhaft ans Netzwerk angeschlossen — und damit gleichzeitig mit allem anderen verschlüsselbar. Genau das erfährt man besser an einem ruhigen Dienstag als an einem Montag in der Krise.
2. Schliessen Sie die einfachsten Einfallstore
Zwei schnelle Schlösser. Aktivieren Sie zunächst die Zwei-Faktor-Authentifizierung (MFA) — zusätzlich zum Passwort ein zweiter Nachweis, etwa ein Code auf dem Telefon — überall dort, wo Sie sich von aussen verbinden: E-Mail, Fernzugriff auf die Werkstatt. Ein gestohlenes Passwort genügt dann nicht mehr, um hineinzukommen. Erinnern Sie das Team ausserdem an den lohnendsten Reflex überhaupt: Im Zweifel über einen Anhang oder einen Link nicht klicken, sondern nachfragen. Die meiste Ransomware kommt durch einen Klick zu viel herein.
3. Bereiten Sie das Merkblatt «wen anrufen» vor, bevor Sie es brauchen
Mitten in der Krise sucht man keine Nummer — man hat sie bereits. Notieren Sie auf einem einzigen Blatt den Kontakt Ihres IT-Dienstleisters, den Ihrer Versicherung (prüfen Sie, ob Ihre Police Cyberrisiken abdeckt) und das Vorgehen, um den Vorfall dem BACS zu melden. Fügen Sie die erste Anweisung hinzu, die den Schaden begrenzt: die betroffene Maschine vom Netzwerk trennen — ohne sie auszuschalten —, um die Ausbreitung zu stoppen. Hängen Sie dieses Blatt dort auf, wo Sie und Marc K. es mit geschlossenen Augen finden.
Wo stehen Sie wirklich?
Diese drei Gewohnheiten schliessen die sichtbarsten Türen. Eine echte Ransomware-Vorbereitung geht jedoch weiter: Offline- oder «unveränderliche» Backups — die ein Angriff weder verändern noch löschen kann —, eine klare Trennung zwischen Büronetzwerk und Werkstattnetzwerk, ein schriftlicher Reaktionsplan und eine Übung, um ihn vor dem Ernstfall zu testen. Genau das führt unser eigener Blueprint Schritt für Schritt durch.
Bevor Sie dorthin gelangen, müssen Sie zuerst wissen, wo Sie stehen. Cyber Passport zertifiziert nichts und erklärt Sie nicht für «geschützt»: Es führt Sie durch eine strukturierte Selbstbeurteilung, die Frage für Frage zeigt, wo Ihre Organisation Halt hat und wo sie noch auf Vertrauen oder Gewohnheit beruht. Für ein industrielles KMU wie das von Daniel A. ist das oft der erste konkrete Schritt — der, der eine diffuse Sorge in einen klaren Plan verwandelt.
