Cyberrisiken erkennen: 5 typische Schwachstellen im Mittelstand und was Unternehmen tun können

Unauffällige Cyberangriffe: Kleine Hinweise deuten auf große IT-Probleme

Ein Angriff kündigt sich selten spektakulär an. Es gibt keinen schwarzen Bildschirm, keine große Fehlermeldung. Oft ist es nur ein ungewöhnlicher Eintrag in den Systemprotokollen, eine seltsame Anmeldung oder ein Mitarbeiter, der sich meldet, weil "etwas nicht wie sonst" wirkt. In vielen mittelständischen Unternehmen wird dieser Moment übersehen – oder erst ernst genommen, wenn die Folgen bereits spürbar sind.

Der "Cyber-Risikocheck für den Mittelstand" von Trufflepig IT-Forensics, basierend auf 273 realen Angriffssimulationen in Unternehmen im DACH-Raum, zeigt, wo die wunden Punkte sitzen. Die größten Schwachstellen betreffen nicht exotische Sicherheitslücken, sondern Strukturen, Prozesse und gewachsene IT-Landschaften. Fünf Bereiche stechen hervor – und bilden zusammen ein Muster.

Fünf IT-Schwachstellen im Mittelstand: Was der Cyber-Risikocheck 2026 zeigt

Im Rahmen der Auswertung hat Trufflepig IT-Forensics 273 sogenannte Penetrationstests ausgewertet – kontrollierte Testangriffe, bei denen Sicherheitsspezialisten versuchen, in Unternehmensnetze einzudringen, um Schwachstellen aufzudecken. Die Datenbasis bildet die gesamte, ungefilterte Kundenbasis ab und liefert damit ein ungeschöntes, realistisches Lagebild des mitteleuropäischen Mittelstands. Die Stichprobe umfasst alle IT-Reifegrade und ist branchenübergreifend angelegt, wobei der Fokus primär auf kleinen und mittleren Unternehmen aus der DACH-Region liegt. Im Zahlenbild des Risikochecks zeichnen sich fünf zentrale Schwachstellen ab:

• In 81,8 Prozent der Unternehmen gibt es Probleme bei der Authentifizierung.
• In 66,7 Prozent sind die Administratorrechte in der Windows-Umgebung zu weit gefasst.
• In 62,1 Prozent fehlt es an Transparenz, weil zu wenig aufgezeichnet und ausgewertet wird.
• In 56,1 Prozent sind die Abläufe im Notfall (Incident Response) nicht ausreichend verankert.
• In 47 Prozent ist das Netzwerk zu wenig in getrennte Bereiche unterteilt.

Im Folgenden wird deutlich, was genau dahintersteckt.

Passwort-Sicherheit im Mittelstand: Authentifizierung als größtes Cyber-Risiko

Der Risikocheck zeigt: Mehr als jedes zweite mittelständische Unternehmen hat Schwächen bei der Authentifizierung. Klassische Passwörter bleiben damit ein zentrales Einfallstor – ob durch Phishing-Angriffe oder durch ihren unsicheren Einsatz im Arbeitsalltag. Der Bericht nennt zwei zentrale Gegenmaßnahmen:

Passwortlose Verfahren wie FIDO2

Bei modernen, passwortlosen Anmeldeverfahren melden sich Mitarbeitende zum Beispiel mit einem Hardware-Schlüssel oder einer biometrischen Freigabe an. Das bisher gewohnte Passwort wird dadurch deutlich weniger wichtig. Ohne das zusätzliche Gerät oder die körperliche Bestätigung bleibt ein Account auch dann geschützt, wenn das Passwort bekannt geworden ist.

Zwei-Faktor-Authentifizierung (2FA)

Hier bleibt das Passwort, wird aber um einen zweiten Baustein ergänzt – etwa einen Zahlencode aus einer App, eine SMS oder eine Bestätigung auf dem Smartphone. Auch hier gilt, dass der Zugang ohne diesen zweiten Faktor unvollständig bleibt, selbst wenn ein Passwort bekannt wird.

Für Geschäftsführungen und IT-Verantwortliche heißt das konkret: Sorgen Sie dafür, dass Anmeldungen konsequent abgesichert sind – etwa durch Zwei-Faktor-Authentifizierung und klare Vorgaben zum Umgang mit Passwörtern.

Administratorrechte als Risiko: Wenn in der IT zu viele "alles dürfen"

Die zweite Schwachstelle betrifft die Windows-Administration, also die Verwaltung von Servern und Arbeitsplätzen, die mit dem Betriebssystem Windows laufen. In vielen Unternehmen gibt es Administratoren, die besondere Rechte besitzen: Sie dürfen Programme installieren, Systeme konfigurieren, Nutzer anlegen und vieles mehr.

Laut Risikocheck haben in 66,7 Prozent der Unternehmen diese Administratoren sehr große, oft überschneidende Rechte auf vielen Systemen gleichzeitig. Das ist im Alltag bequem – birgt aber ein Risiko. Wenn ein solches Administratorkonto in falsche Hände gerät, erhält der Angreifer häufig Zugang zu vielen oder sogar allen zentralen Systemen.

Trufflepig IT-Forensics nennt hier Windows LAPS (Local Administrator Password Solution) als Beispiel für eine Schutzmaßnahme. Jeder Rechner bekommt sein eigenes, zufälliges Administratorpasswort, das regelmäßig automatisch geändert wird. Diese Passwörter werden sicher gespeichert und können bei Bedarf von autorisierten Personen eingesehen werden. Es gibt also keinen "Generalschlüssel" mehr, der auf vielen Geräten identisch ist.

Für viele mittelständische Unternehmen bedeutet das: Ein Blick auf die bestehenden Admin-Konten und deren Rechte kann bereits ein großer Schritt in Richtung mehr Sicherheit sein.

IT-Protokolle und SIEM: Wie fehlendes Logging-Angriffe unsichtbar macht

Die dritte Schwachstelle ist unzureichendes Logging oder SIEM: Den Unternehmen fehlen entweder ausreichende Protokolle oder eine zentrale Auswertung der Daten. Logging bedeutet, dass Systeme wichtige Ereignisse mitschreiben – zum Beispiel Anmeldungen, Fehlversuche oder Änderungen an Einstellungen. Ohne diese Protokolle bleibt oft unklar, was im Hintergrund passiert.

Ein SIEM (Security Information & Event Management) sammelt diese Protokolle an einer Stelle und wertet sie automatisch aus. Es erkennt Muster, die auf Angriffe hindeuten, und schlägt Alarm, wenn etwas auffällt. Fehlt Logging oder SIEM, fehlt der Überblick über sicherheitsrelevante Ereignisse. Angriffe bleiben dadurch häufig länger unbemerkt, und Reaktionszeiten verlängern sich – mit direkten Auswirkungen auf den möglichen Schaden.

Unternehmen sollten Log-Daten zentral auswerten, um Transparenz zu gewinnen und schneller reagieren zu können. Im Ernstfall kann genau diese Geschwindigkeit darüber entscheiden, wie groß der Schaden eines Vorfalls am Ende wird.

Cyber-Notfallpläne in KMU: Incident Response als entscheidender Erfolgsfaktor

Die vierte Schwachstelle sind unzureichende Incident-Response-Fähigkeiten: Im Ernstfall fehlen klare Abläufe. Incident Response meint den strukturierten Umgang mit Sicherheitsvorfällen – also wie ein Unternehmen auf eine Cyberattacke reagiert, von der ersten Meldung bis zur Wiederherstellung des Betriebs. Viele Mittelständler haben zwar formale Notfallpläne, doch im Ernstfall zeigt sich, dass sie oft nicht ausreichend und fest genug im Unternehmen verankert.

Ein gelebter Incident-Response-Plan kann nach Einschätzung von Trufflepig IT-Forensics die Schadenssumme im Schnitt um rund 53 Prozent reduzieren.

Rolle der Geschäftsführung: Entscheidungsinstanz, nicht Techniksteuerung

Auf Nachfrage der DWN erläutert Trufflepig IT-Forensics zusätzlich, welche Rolle die Geschäftsführung im Incident Response spielt und wo typische Probleme im Mittelstand liegen.

Aus Sicht der Experten hat die Geschäftsführung im Incident Response vor allem eine zentrale Aufgabe: Sie trifft Entscheidungen, gibt Budgets frei und sorgt dafür, dass die technischen Teams arbeitsfähig sind. Während das Incident-Response-Team die Systeme analysiert und bereinigt, sollte die Führungsebene die gesamte Kommunikation nach innen und außen übernehmen – also gegenüber Mitarbeitenden, Kunden, Partnern und gegebenenfalls Behörden. In der Praxis des Mittelstands klappt dieses Zusammenspiel jedoch oft nicht reibungslos. Trufflepig IT-Forensics beschreibt drei typische Hürden:

• Sprachbarriere: IT-Experten und Geschäftsführung sprechen aneinander vorbei. Häufig fehlt die Übersetzung von technischem Risiko in unternehmerisches Risiko. Dadurch haben IT-Verantwortliche schon lange vor einem Vorfall Schwierigkeiten, die Dringlichkeit von Maßnahmen verständlich zu machen – und notwendige Budgets zu erhalten.
• Kostenperspektive: IT-Sicherheit wird in vielen Häusern vor allem als Kostenblock gesehen, bei dem es zu sparen gilt. Der Charakter als Absicherung der eigenen Existenz – vergleichbar mit Versicherungen oder Brandschutz – tritt in den Hintergrund.
• Entscheidungswege: Im Ernstfall dauern Sonderfreigaben und wichtige Entscheidungen oft zu lange. Statt schneller Handlungsfähigkeit entstehen mehrere Diskussionsrunden. So steht die Geschäftsführung der Incident Response ungewollt im Weg, anstatt den Prozess zu beschleunigen.

Die Empfehlung der Experten: Geschäftsführungen sollten ihre Rolle im Incident Response klar definieren – als Entscheidungsinstanz und Kommunikationsdrehscheibe. Wenn die Technik-Teams im Hintergrund arbeiten können, während die Unternehmensleitung nach außen und innen Orientierung gibt, steigt die Chance, einen Vorfall kontrolliert zu bewältigen.

Zero Trust im Firmennetz: Wie Segmentierung Cyberangriffe begrenzt

Die fünfte Schwachstelle ist eine nicht ausreichende Netzwerksegmentierung: Angriffe werden im Netz kaum begrenzt.

Netzwerksegmentierung bedeutet, dass das Firmennetz in einzelne Bereiche mit klaren Grenzen aufgeteilt wird – zum Beispiel nach Abteilungen, Standorten oder Kritikalität der Systeme. Fehlt diese Trennung oder ist sie nur schwach ausgeprägt, können sich Angreifer nach einem ersten Zugriff fast frei bewegen. Aus einem einzelnen Sicherheitsvorfall kann so schnell ein Problem für weite Teile des Unternehmens werden.

Trufflepig IT-Forensics verweist hier auf das Prinzip "Zero Trust". Es wird nicht automatisch angenommen, dass interne Verbindungen sicher sind. Jeder Zugriff auf ein System, egal ob von "innen" oder "außen", wird geprüft. Mit einer solchen Segmentierung lässt sich die Ausbreitung eines Angriffs begrenzen. Ein Vorfall bleibt im Idealfall auf einen Bereich beschränkt, statt das gesamte Unternehmen zu betreffen.

Reaktionsfähigkeit: Wie schnell ein Unternehmen handeln kann

Über alle fünf Schwachstellen hinweg wird ein zusätzliches Thema sichtbar: die Reaktionsfähigkeit im Ernstfall. Christian Müller, technischer Geschäftsführer (CTO) bei Trufflepig IT-Forensics, bringt es so auf den Punkt: "Die meisten erfolgreichen Cyberangriffe entstehen im Mittelstand nicht durch hochkomplexe Sicherheitslücken, sondern durch die Kombinationen aus strukturellen Schwächen und fehlender Reaktionsfähigkeit."

Nach Einschätzung von Christian Müller wird es vor allem dann kritisch, wenn Sicherheitsmaßnahmen isoliert betrachtet werden. Aus seiner Sicht macht erst das Zusammenspiel aus Prävention, Transparenz und schneller Reaktion den entscheidenden Unterschied.

Ergänzende Kennzahlen: Infrastruktur, Backups, Mitarbeitende

Neben den fünf Schwachstellen betrachtet Trufflepig IT-Forensics weitere Kennzahlen, die helfen, den Stand der IT-Sicherheit besser einzuordnen.

Infrastruktur und Patches: Wie schnell Lücken geschlossen werden

Zwei Kennzahlen spielen hier eine Rolle:

• Time-to-Patch: Wie viel Zeit vergeht im Durchschnitt, bis eine bekannte Sicherheitslücke mit einem Update geschlossen wird?
• Patch-Compliance-Rate: Wie viele Systeme im Unternehmen haben die aktuellen Sicherheitsupdates installiert?

Je schneller kritische Updates eingespielt werden und je höher der Anteil aktueller Systeme ist, desto kleiner sind die Zeitfenster, in denen Angreifer bekannte Schwachstellen ausnutzen können.

Hinzu kommt die EDR/XDR-Abdeckungsrate:

• EDR (Endpoint Detection and Response): Systeme, die Endgeräte wie Laptops oder Server rund um die Uhr überwachen und bei verdächtigen Aktivitäten Alarm schlagen.
• XDR (Extended Detection and Response): Ein Ansatz, der zusätzlich Daten aus unterschiedlichen Quellen (zum Beispiel Netzwerke, E-Mails, Cloud-Dienste) verbindet, um Angriffe besser zu erkennen.

Die Frage dahinter lautet: Wie viele der Geräte im Unternehmen werden aktiv überwacht?

Notfall-Resilienz: Backups und Wiederherstellungen

Im Bereich Notfall-Resilienz (also der Widerstandsfähigkeit in Krisen) schaut der Risikocheck auf:

• Backup-Fehlerquote: Wie häufig schlagen Datensicherungen fehl?
• Behebungsstatus: Werden diese Fehler nur kurzfristig übergangen oder dauerhaft behoben?

Entscheidend ist außerdem: Wann wurde zuletzt getestet, ob sich Systeme nach einem Totalausfall wirklich wiederherstellen lassen?

Ein Backup ist nur dann eine echte Sicherheit, wenn die Wiederherstellung – der sogenannte Restore-Test – regelmäßig geübt und erfolgreich dokumentiert wird. Sonst bleibt offen, ob Sicherungen im Ernstfall ausreichen.

Menschlicher Faktor: Verhalten und Schulung

Der menschliche Faktor bleibt ebenfalls wichtig. Der Risikocheck nutzt hier unter anderem:

• Klickraten bei Phishing-Simulationen: Wie oft klicken Mitarbeitende auf simulierte Betrugs-E-Mails?
• Schulungsquoten: Wie viele Mitarbeitende haben an Sicherheitsschulungen teilgenommen?

Diese Kennzahlen zeigen, wie stark oder schwach die Belegschaft gegenüber Täuschungsversuchen (Social Engineering) ist.

Zusätzlich werden Kennzahlen wie:

• Anzahl blockierter Bedrohungen (wie viele Angriffe bereits automatisch abgewehrt werden),
• MTTR (Mean Time to Respond), also die durchschnittliche Zeit von einem Alarm bis zur Reaktion,

betrachtet. Sie machen sichtbar, wie aktiv die Bedrohungslage ist und wie schnell die Organisation darauf reagiert.

Drei Schritte für Unternehmen mit begrenztem Budget

Trufflepig IT-Forensics betont: Eine moderne IT-Infrastruktur ist zwar nicht "budgetfreundlich", aber sie ist längst kein reiner Kostenpunkt mehr. Ohne IT funktionieren heutige Geschäftsmodelle schlichtweg nicht; sie ist das Fundament, um überhaupt wettbewerbsfähig zu bleiben. Ein moderner Basissatz an Security ist damit kein Luxus, sondern eine Form von Existenzabsicherung.

Die Experten empfehlen einen dreistufigen Fahrplan:

Status quo ermitteln – der Penetrationstest

Bevor Geld in Einzelmaßnahmen fließt, sollte klar sein, wo das Unternehmen tatsächlich steht. Dafür empfehlen die Experten einen gezielten Penetrationstest. Dabei versuchen Sicherheitsspezialisten kontrolliert, in die Systeme des Unternehmens einzudringen – wie ein echter Angreifer, aber mit Auftrag und klaren Grenzen.

Der Test zeigt, welche Schwachstellen konkret vorhanden sind und an welchen Stellen mit dem geringsten finanziellen Aufwand die größte Sicherheitswirkung erzielt werden kann. Statt Budgets "nach Gefühl" zu verteilen, werden Maßnahmen so gezielt dort angesetzt, wo sie am meisten bewirken.

Passwortlose Authentifizierung einführen

Als nächsten Schritt nennen sie die passwortlose Authentifizierung. Die sofortige Ablösung klassischer Passwörter – überall dort, wo es technisch möglich ist – schließt das im Risikocheck beschriebene größte Einfallstor für Angreifer, ohne das IT-Budget zu sprengen.

Gemeint sind Verfahren, bei denen sich Mitarbeitende nicht mehr nur mit einem Passwort anmelden, sondern zum Beispiel mit einem Sicherheitsschlüssel oder einer biometrischen Freigabe. Das Passwort verliert damit seine zentrale Rolle; ein bekannt gewordenes Passwort allein genügt nicht mehr für den Zugang.

In eine Security-Basis investieren – MXDR und ZTNA

Als dritten Baustein empfehlen die Experten ein Investment in eine moderne Sicherheitsbasis. Ein funktionierendes Business braucht einen zeitgemäßen Basissatz an IT-Sicherheit. Dazu zählen insbesondere zwei Bausteine:

Managed Extended Detection and Response (MXDR): Eine gemanagte Dauerschutzlösung, bei der ein spezialisierter Dienstleister die IT-Umgebung rund um die Uhr überwacht, Auffälligkeiten erkennt und bei der Abwehr unterstützt.

Zero Trust Network Access (ZTNA): Ein Zugriffsmodell, bei dem kein Zugriff allein deshalb erlaubt wird, weil er "aus dem internen Netz" kommt. Jeder Zugriff wird geprüft – nach dem Prinzip "kein Vertrauen ohne Kontrolle".

Nach Einschätzung von Trufflepig IT-Forensics bildet dies die notwendige Basis, um die Handlungsfähigkeit des Unternehmens rund um die Uhr zu sichern. Für Mittelständler mit begrenztem Budget bedeutet das: Nicht alles auf einmal, sondern strukturiert vorgehen. Zuerst die Lage klären, dann das größte Einfallstor schließen und schließlich eine tragfähige Sicherheitsbasis aufbauen.