Cyber Security im Mittelstand: Warum die Basics entscheiden

Cyberangriffe treffen den deutschen Mittelstand häufiger und gezielter als je zuvor. Ransomware-Banden agieren heute hochprofessionell, Compliance-Anforderungen wie NIS-2 verschärfen den Druck und die technologische Entwicklung schreitet schneller voran als viele Unternehmen mithalten können. Gleichzeitig fehlen Fachkräfte, Budgets sind begrenzt und andere betriebliche Prioritäten drängen das Thema Cyber Security regelmäßig in den Hintergrund.

David Knauer, Senior Business Manager bei fernao magellan GmbH, kennt dieses Spannungsfeld aus der täglichen Beratungspraxis. Im Gespräch mit dem mittelstand.digital.forum erklärt er, warum hundertprozentige Sicherheit eine Illusion ist, wo Automatisierung in der Cyber Security wirklich weiterhilft und was Unternehmen konkret tun können, um widerstandsfähiger zu werden.

Cyber Security ist kein statisches Thema. Angriffsmethoden entwickeln sich kontinuierlich weiter, Ransomware-Banden arbeiten heute mit einer Professionalität, die noch vor wenigen Jahren undenkbar war, und Compliance-Anforderungen verändern sich in immer kürzeren Abständen. Für Unternehmen bedeutet das: Der Handlungsdruck wächst, während die Komplexität des Feldes gleichzeitig zunimmt.

Wer Resilienz aufbauen will, muss sich weniger fragen, ob ein Angriff kommt, sondern wie gut das eigene Unternehmen darauf vorbereitet ist. Hundertprozentige Sicherheit gibt es nicht. Selbst gut aufgestellte Organisationen wie der Bundestag oder das FBI wurden bereits erfolgreich angegriffen.

Viele mittelständische Unternehmen stehen vor einer besonderen Herausforderung: IT und OT sind organisatorisch und technisch voneinander getrennt. Der IT-Leiter verantwortet die klassische Unternehmens-IT, der Produktionsleiter die Betriebstechnologie. Ein CIO, der beide Bereiche überblickt, ist in der Praxis eher die Ausnahme als die Regel.

Gleichzeitig wächst der Druck, Produktionsanlagen zu vernetzen und zu digitalisieren. Themen wie Predictive Maintenance oder Smart Factory erfordern eine zunehmende Integration von IT und OT. Wie dieser Schritt gelingt und gleichzeitig sicher gestaltet wird, gehört zu den zentralen Fragen im produzierenden Mittelstand. David Knauer bringt das Dilemma auf den Punkt: „Du hast oftmals eine OT, die nicht mal am Netz hängt – aber auf der anderen Seite schreien alle nach Digitalisierung, nach Automatisierung, nach mehr Intelligenz."

In der Beratungspraxis ist es häufig eine konkrete externe Anforderung, die den ersten Schritt auslöst. Ob die Pflicht zur Absicherung der OT-Infrastruktur, eine fällige Erneuerung der Firewall oder regulatorische Vorgaben wie NIS-2 – solche Anforderungen schaffen den initialen Handlungsdruck, der viele Unternehmen in Bewegung setzt.

Entscheidend ist dabei, den eigenen Ausgangspunkt zu kennen. In einer strukturierten Analyse werden zunächst die tatsächlichen Anforderungen und Gegebenheiten eines Unternehmens erfasst, bevor über konkrete Maßnahmen gesprochen wird. Nur wer weiß, wo er steht, kann gezielt und budgetschonend investieren.

Automatisierung ist dort sinnvoll, wo menschliche Kapazitäten schlicht nicht ausreichen. Ein typisches Beispiel ist die Bedrohungserkennung: Unternehmen produzieren täglich Millionen von Log-Einträgen, die manuell nicht sinnvoll ausgewertet werden können. Automatisierte Mustererkennung, kombiniert mit KI-gestützter Analyse, schafft hier echten Mehrwert. Auch automatisierte Reaktionen, etwa das sofortige Isolieren eines kompromittierten Endpunkts, können im Ernstfall entscheidende Sekunden gewinnen.

Gleichzeitig zeigt die Praxis deutlich, wo Automatisierung an ihre Grenzen stößt. Konzepte erstellen, Stakeholder abholen und Managemententscheidungen vorbereiten sind Aufgaben, die menschliche Empathie, Kreativität und Urteilsvermögen erfordern. Dasselbe gilt für unbekannte Angriffsmethoden: Was statistisch nicht erfasst ist, kann maschinell nicht erkannt werden. Die Grundvoraussetzung für jeden Automatisierungsansatz fasst David Knauer so zusammen: „Du kannst nur Prozesse automatisieren, die du vorher mal irgendwie standardisiert, dokumentiert und dann im Endeffekt auch digitalisiert hast."

Aus der Beratungspraxis lassen sich drei konkrete Empfehlungen für mittelständische Unternehmen ableiten.

Der erste Schritt ist konsequentes Risikomanagement. Unternehmen sollten ihre Risiken systematisch erfassen, realistische Szenarien durchdenken und die finanziellen Auswirkungen beziffern. Dafür braucht es kein aufwändiges Tool, eine strukturierte Liste reicht als Einstieg. Wer weiß, was auf dem Spiel steht, kann Prioritäten setzen und Budgets gezielt einsetzen.

Der zweite Schritt ist der Aufbau einer soliden Grundsicherung. Statt sich in Nischenlösungen zu verlieren, empfiehlt es sich, zunächst flächendeckend wirksame Maßnahmen umzusetzen: eine leistungsfähige Firewall, Endpoint Protection und ein durchgängiges Monitoring. Diese Grundlage schlägt viele Angriffsszenarien bereits wirkungsvoll ab.

Der dritte Schritt ist das konsequente Auslagern von Aufgaben, die intern nicht dauerhaft leistbar sind. Ein 24/7-Betrieb mit einem kleinen IT-Team ist in der Praxis nicht realisierbar. Spezialisierte Dienstleister bieten hier nicht nur mehr Sicherheit, sondern sind in der Regel auch kostengünstiger als eine interne Lösung. Dabei gilt: Verantwortung lässt sich nicht delegieren. Unternehmen müssen stets den Überblick behalten und den Service aktiv steuern.

Weitere Einblicke in die Themen Cyber Security, Automatisierung und Resilienz im Mittelstand gibt es direkt im Interview.