Zwei Wochen offline: Wenn der Betrieb plötzlich alles stillsteht

Von Gernot Heigl und Michael Pekovics

Die größte Waffe der Polizei gegen Betrugsversuche im Internet ist die Prävention. Und die wirkt laut der im Jänner präsentierten Zahlen des Innenministeriums. 

Denn die Schadenssummen von Telefonbetrug bei privaten Haushalten gingen von 2023 bis 2025 um rund 60 Prozent zurück. Die Behörden setzen weiter auf Prävention, unlängst wurde eine Warnung vor versuchtem Cyber-Betrug mit Tickets im Vorfeld des Eurovision Songcontests veröffentlicht.

Zuletzt haben sich Cyber-Kriminelle aber verstärkt auf Unternehmen fokussiert, vor allem mit Ransomware-Angriffen: Ein Trojaner wird eingeschleust, das System heruntergefahren und nur gegen eine Zahlung wieder freigegeben. 

Angriff mit Folgen

Unlängst hatte das auch Auswirkungen im Burgenland. Ein Cyberangriff legte den Auto- und Landmaschinenhändler „Gady-Family“ zwei Wochen lang lahm. Ende Jänner verschafften sich die Kriminellen über eine noch nicht bekannte Sicherheitslücke Zugriff auf das Netzwerk der Firma mit rund 500 Mitarbeitern an 17 Standorten, drei davon im Burgenland (St. Michael, Oberpullendorf, Eisenstadt).

Trotz sofortiger Analyse und Schadensbehebung sei man zwei Wochen offline gewesen. Betroffen waren alle Internetzugänge inklusive eMail sowie die Telefonanlagen beim Auto- und Landmaschinen-Verkauf, beim Werkstattservice, der Ersatzteilversorgung sowie dem Karosserie- und Lackierzentrum. Die Übergangslösung: „Unsere Mitarbeiter haben über ihre Handys Kontakt zu unseren Kunden hergestellt.“ Nur der Werkstattbetrieb konnte großteils aufrechterhalten werden. 

Der durch den Cyberangriff entstandene Schaden wird vom Unternehmen nicht bekannt gegeben, selbiges gilt für eine etwaige Lösegeldzahlung. Die „gute Nachricht“ laut Gady: „Laut aktuellen Auswertungen steht fest, dass keine Kundendaten gestohlen wurden.“

Experten konnten mittlerweile die attackierte und beschädigte IT-Infrastruktur isolieren, parallel dazu die Sicherheitsmaßnahmen optimieren und alle internen Systeme störungsfrei hochfahren. Seit Kurzem sind wieder alle Standorte der Gady-Familie im normalen Betrieb.

Was ab Oktober neu auf Betriebe zukommt 

Mit dem Beschluss im Ministerrat vom 20. November 2025 wurde die Umsetzung der NIS-2-Richtlinie eingeleitet. Der Entwurf des Netz- und Informationssystemsicherheitsgesetzes 2026  liegt im Parlament. Für Unternehmen bringt das konkrete Änderungen.

Unternehmen haben damit voraussichtlich bis Herbst 2026 Zeit, technische und organisatorische Risikomanagementmaßnahmen umzusetzen. Danach beginnt eine zwölfmonatige Frist zur Selbstdeklaration. Der Anwendungsbereich wird künftig vom Unternehmen selbst ermittelt, eine Registrierung bei der zuständigen NIS-2-Behörde ist verpflichtend. Ein Konzernprivileg ist nicht vorgesehen, jede GmbH wird gesondert betrachtet. Die Behörde wird als nachgelagerte Cyber-Sicherheits- behörde des Innenministeriums eingerichtet.

Tausende Unternehmen sind davon betroffen

Die Behörde rechnet mit rund 4.000 bis 5.000 direkt betroffenen Unternehmen sowie weitaus mehr Lieferanten.  Wie relevant das ist, zeigt die aktuelle Studie „Cybersecurity in Österreich“, die von KPMG mit dem Kompetenzzentrum Sicheres Österreich (KSÖ) mit Schwerpunkt Wien erstellt wurde.

• 22 Prozent jener Unternehmen, die von Datendiebstahl betroffen waren, meldeten, dass die Informationen nicht bei ihnen selbst, sondern bei Dienstleistern entwendet wurden.
• 61 Prozent befürchten direkte Auswirkungen, wenn Lieferanten angegriffen werden.

„Das schwächste Glied in der Kette ist für Hacker natürlich das spannendste, das kann verheerende Konsequenzen haben und einen Dominoeffekt auslösen“, sagt Robert Lamprecht von KPMG.