Kleine und mittlere Betriebe galten lange als unattraktive Ziele für Cyberkriminelle. Die aktuelle Bedrohungslage in Österreich widerlegt diese Annahme deutlich. Automatisierte Angriffswerkzeuge, KI-gestützte Phishing-Kampagnen und staatlich unterstützte Akteure treffen zunehmend Betriebe, die weder über eigene IT-Sicherheitsabteilungen noch über ausgereifte Notfallpläne verfügen. Damit rückt eine Zielgruppe in den Fokus, die bislang wenig auf systematische Prävention gesetzt hat.
Die Zahlen zeichnen ein klares Bild
Die elfte Ausgabe der Studie „Cybersecurity in Österreich“ von KPMG und dem Kompetenzzentrum Sicheres Österreich (KSÖ) hat 1.396 heimische Unternehmen befragt. Jeder achte Cyberangriff war dabei erfolgreich und überwand die Sicherheitsbarrieren der Unternehmen. 25 Prozent der befragten Unternehmen berichten von einem starken oder eher starken Anstieg der Angriffe. Besonders häufig registrierten die Betriebe Malware über E-Mail-Anhänge, Phishing über Links sowie die Ausnutzung von Hardware- und Software-Schwachstellen. Die Wirtschaftskammer Wien beobachtet einen ähnlichen Trend. Laut einer KPMG-Erhebung war bereits jedes sechste Unternehmen in Wien erfolgreich von einem Angriff betroffen. Ergänzend dazu zeigt dieEY Cybersecurity Studie 2025, dass drei von vier Cyberangriffen, von denen die Befragten berichten, Phishing-Angriffe waren. Regelmäßige Sicherheitsaudits sind gerade bei KMU unterrepräsentiert, während sie bei größeren Unternehmen längst zum Standard gehören. Genau hier setzt ein Penetrationstest an, bei dem geschulte Sicherheitsexperten die eigenen Systeme gezielt aus Angreiferperspektive prüfen, bevor es reale Kriminelle tun.
Die strukturellen Gründe für die hohe Verwundbarkeit sind bekannt. Rund 78 Prozent der Wiener KMU beschäftigen ein bis neun Mitarbeiter und verfügen daher meist über keinen firmeninternen IT-Experten oder gar eine eigene IT-Abteilung. Sicherheitsupdates werden verzögert eingespielt, Passwortrichtlinien lax gehandhabt, Backups selten getestet. Gleichzeitig hat sich die Angriffsfläche durch Cloud-Dienste, Homeoffice und vernetzte Produktionsanlagen erheblich vergrößert.Hinzu kommt eine geopolitische Dimension. Laut demKPMG/KSÖ-Bericht dominieren zunehmend unauffällige, strategisch orchestrierte Angriffe, häufig von staatlichen oder staatlich unterstützten Akteur:innen getragen, die auf langfristige Informationsbeschaffung, gezielte Verbreitung von Desinformation und den Aufbau persistenter Zugänge in die Systeme von Unternehmen oder der kritischen Infrastruktur fokussieren. Für Zulieferer großer Konzerne bedeutet das, dass sie oft als Einfallstor missbraucht werden, was regulatorische Konsequenzen im Rahmen der NIS-2-Richtlinie nach sich ziehen kann.
Etablierte Rahmenwerke bieten Orientierung. Die Norm ISO/IEC 27001 definiert Anforderungen an ein Informationssicherheits-Managementsystem und verlangt regelmäßige technische Prüfungen. Das deutsche Bundesamt für Sicherheit in der Informationstechnik empfiehlt in seinem IT-Grundschutz-Kompendium einen mehrstufigen Prüfansatz aus Schwachstellenscans, Konfigurationsprüfungen und tiefergehenden manuellen Tests. Der OWASP Application Security Verification Standard liefert konkrete Kriterien für die Prüfung von Webanwendungen, PTES und OSSTMM strukturieren den Ablauf klassischer Sicherheitsprüfungen.
In der Praxis umfassen solche Prüfungen typischerweise eine Aufklärungsphase, eine Analyse der externen und internen Angriffsvektoren, kontrollierte Exploit-Versuche sowie einen dokumentierten Abschlussbericht mit priorisierten Empfehlungen. Sinnvoll ist es, Prüfungen nach relevanten Änderungen an der Infrastruktur zu wiederholen, mindestens jedoch einmal jährlich. Ergänzend gehören Awareness-Schulungen für Mitarbeiter, Multi-Faktor-Authentifizierung und ein getesteter Incident-Response-Plan zum Grundgerüst.
Für Geschäftsführungen österreichischer KMU bedeutet das konkret, den eigenen Sicherheitsstatus nüchtern zu bewerten. Wer bislang keine strukturierte Prüfung seiner Systeme durchgeführt hat, sollte einen Ausgangsbefund erheben, Prioritäten setzen und die Maßnahmen in einem realistischen Zeitplan umsetzen. Cybersicherheit ist damit weniger eine IT-Frage als eine Frage der unternehmerischen Sorgfaltspflicht.
