Ein Angriffsvektor ist der Weg, auf dem ein Angreifer in dein System gelangt. Wer die Wege kennt, kann sie gezielt verbarrikadieren, statt überall ein bisschen zu schützen. Dieser Überblick ist unsere Einschätzung für 2027 – auf Basis dessen, was wir heute in Betrieben sehen.
Was ist die Angriffsfläche eines Betriebs?
Die Angriffsfläche ist die Summe aller Stellen, an denen ein Angreifer ansetzen kann: Menschen, Geräte, Konten, Software und Dienstleister. Jedes neue Cloud-Konto, jede Kamera im Netz und jeder externe Zugang vergrößert sie. Der erste Schritt ist deshalb immer eine Liste: Was haben wir, was ist aus dem Internet erreichbar, wer hat Zugriff?
1. KI-Phishing und gefälschte Stimmen
Phishing-Mails sind dank KI fehlerfrei, persönlich und in perfektem Deutsch. Dazu kommen gefälschte Anrufe mit der Stimme des Chefs oder eines Lieferanten, erstellt aus wenigen Sekunden Audiomaterial von Social Media oder der Mailbox.
Absicherung: feste Rückruf-Regeln für Zahlungen und Zugänge, ein Codewort für echte Notfälle, regelmäßige kurze Schulungen. Siehe Tricks für Mitarbeiter.
2. Gestohlene Sitzungen statt gestohlener Passwörter
Weil immer mehr Betriebe MFA nutzen, stehlen Angreifer zunehmend die Sitzung nach der Anmeldung – über täuschend echte Login-Seiten, die sich zwischen dich und Microsoft schalten (Adversary-in-the-Middle), oder über Infostealer-Schadsoftware, die Browser-Cookies ausliest. Auch MFA-Ermüdung ist verbreitet: so lange Anfragen senden, bis jemand genervt bestätigt.
Absicherung: phishing-resistente Verfahren wie Passkeys oder Hardware-Schlüssel, Nummernabgleich bei Authenticator-Apps, bedingter Zugriff nur von verwalteten Geräten, kurze Sitzungsdauer für Admin-Konten.
3. Firewalls, VPN-Geräte und Router ohne Updates
Geräte am Rand des Netzwerks sind beliebte Ziele, weil sie direkt aus dem Internet erreichbar sind und selten aktualisiert werden. Wird für ein verbreitetes Modell eine Lücke bekannt, beginnen automatisierte Scans oft innerhalb von Tagen.
Absicherung: Firmware-Updates zeitnah einspielen, Verwaltungsoberflächen nicht aus dem Internet erreichbar machen, Geräte ohne Herstellersupport ersetzen, Hersteller-Warnungen abonnieren.
4. Fernzugriff ohne zweiten Faktor
Remote-Desktop-Zugänge, die direkt im Internet hängen, und VPN-Zugänge nur mit Passwort sind ein Klassiker, der nicht verschwindet. Gestohlene Zugangsdaten werden in Untergrundforen gehandelt.
Absicherung: Fernzugriff nur über VPN oder Zero-Trust-Zugang mit MFA, Zugriffe protokollieren, ungenutzte Konten sperren. Wie sicherer Fernsupport funktioniert: Fernwartung.
5. Angriffe über Dienstleister und Software
Statt hundert Betriebe einzeln anzugreifen, greifen Täter einen Dienstleister an, der Zugriff auf alle hat – oder manipulieren eine Software, die alle verwenden. Das betrifft IT-Firmen, Steuerberater, Branchensoftware-Hersteller und Online-Plattformen.
Absicherung: Zugänge von Dienstleistern dokumentieren, zeitlich begrenzen und mit MFA schützen, nur Software aus vertrauenswürdigen Quellen. Ab Dezember 2027 gelten für Hersteller vernetzter Produkte umfassende Pflichten nach dem EU Cyber Resilience Act – das verbessert die Lage mittelfristig.
6. Fehlkonfigurierte Cloud-Dienste
Ein freigegebener Ordner „für alle mit dem Link“, ein vergessenes Testkonto mit Admin-Rechten, eine Datenbank ohne Passwort: In der Cloud entstehen Lücken oft durch Einstellungen, nicht durch Schadsoftware.
Absicherung: Freigaben regelmäßig prüfen, Standard-Sicherheitseinstellungen aktivieren, Konten ehemaliger Mitarbeiter sofort deaktivieren.
7. Vernetzte Geräte im Betrieb
Überwachungskameras, Zutrittssysteme, Heizungssteuerung, Maschinen mit Fernwartung: Diese Geräte laufen oft jahrelang mit Standardpasswörtern und ohne Updates im selben Netz wie die Buchhaltung.
Absicherung: eigenes Netzwerksegment für solche Geräte, Standardpasswörter ändern, Herstellerzugänge nur bei Bedarf freischalten.
Schnellcheck: Weißt du, welche deiner Geräte aus dem Internet erreichbar sind? Wenn nicht, ist das der erste Punkt auf der Liste. Genau das deckt ein Schwachstellenmanagement auf.
Häufige Fragen
Welcher Angriffsweg ist für kleine Betriebe am gefährlichsten?
Nach wie vor E-Mail und gestohlene Zugangsdaten. Sie sind billig für Angreifer und treffen jeden Betrieb.
Wie oft sollte die Angriffsfläche überprüft werden?
Automatisiert laufend, mit einer Gesamtbetrachtung mindestens einmal im Jahr und nach jeder größeren Änderung, etwa einem neuen Standort oder neuer Software.
