Cybersicherheitsgesetz: Der Staat rüstet auf – der Mittelstand bleibt verwundbar

Vor diesem Hintergrund plant die Bundesregierung eine deutliche Stärkung der staatlichen Cyberabwehr. Das geplante Cybersicherheitsgesetz soll die Befugnisse von BSI, Bundeskriminalamt (BKA) und Bundespolizei erweitern. Ziel ist es, konkrete Cyberangriffe und länger laufende Angriffskampagnen früher zu erkennen, besser aufzuklären und Vorbereitungshandlungen schneller sichtbar zu machen. Zudem sollen Behörden mehr Möglichkeiten erhalten, schwere Angriffe mit großem Schadenspotenzial zu stoppen oder ihre Folgen abzumildern. Dazu sollen sie unter bestimmten Voraussetzungen Datenverkehr umleiten sowie Daten auslesen, löschen oder verändern können, um schwere Cyberangriffe abzuwehren.

Bisher habe man Angriffe vor allem in schadlose Bereiche des Netzes umzuleiten versucht. Künftig wolle man stärker den Angreifer selbst, seine Server, seine Software und seine Strategie in den Blick nehmen. Das geplante Cybersicherheitsgesetz zeigt damit vor allem eines: Digitale Angriffe werden nicht länger als Randproblem behandelt, sondern als Sicherheitsrisiko für Staat und Wirtschaft.

Berlin kann warnen – retten muss sich der Betrieb selbst

Doch mehr staatliche Abwehr beantwortet nicht die entscheidende Frage im Betrieb: Was passiert, wenn der Angriff trotzdem durchkommt? Der zentrale Trugschluss wäre, den Gesetzentwurf als Sicherheitsgarantie für Unternehmen zu verstehen. Das Gesetz stärkt vor allem die staatliche Abwehrarchitektur. Es soll Behörden schneller, handlungsfähiger und besser vernetzt machen. Für Unternehmen ist das zunächst eine gute Nachricht: Bessere Aufklärung, stärkere Behörden und klarere Strukturen können helfen, Angriffe früher zu erkennen und größere Schäden zu verhindern. Aber sie ersetzen keine betriebliche Resilienz.

Der Staat kann Angriffsinfrastrukturen analysieren, Warnungen aussprechen und in bestimmten Fällen eingreifen. Er kann aber nicht verhindern, dass ein Mitarbeiter auf eine täuschend echte Phishing-Mail klickt. Er kann nicht garantieren, dass der externe IT-Dienstleister ausreichend abgesichert ist. Er kann keine verschlüsselten Daten wiederherstellen, wenn das Backup ebenfalls infiziert wurde. Und er kann einem Unternehmen nicht automatisch die verlorene Liquidität ersetzen, wenn der Betrieb tagelang stillsteht.

Der Ernstfall beginnt oft mit einer E-Mail

Die entscheidende Frage für Unternehmer lautet deshalb nicht: Was darf der Staat künftig? Sie lautet: Was passiert im Betrieb am ersten Tag des Angriffs? Oft beginnt er unspektakulär: Mit einem gefälschten Anhang, einer angeblichen Rechnung, einem manipulierten Link. Künstliche Intelligenz macht solche Angriffe glaubwürdiger, schneller und schwerer erkennbar – während kleine IT-Teams oder externe Dienstleister im Ernstfall meist neben dem Tagesgeschäft reagieren müssen.

Für Mittelständler ist das besonders riskant, weil fast jeder Betriebsablauf an digitalen Systemen hängt: Angebote, Rechnungen, Bestellungen, Liefertermine, Kundendaten. Fällt die IT aus, wird aus einem technischen Vorfall schnell ein Liquiditätsproblem. Dann zählen nicht abstrakte Behördenbefugnisse, sondern einfache Fragen: Wer entscheidet? Wer ruft den IT-Dienstleister an? Wer informiert Kunden, Versicherer oder Datenschutzbehörde? Wo liegen Notfallnummern, wenn E-Mail und Teams ausfallen? Können Aufträge, Rechnungen oder Lieferscheine notfalls manuell erstellt werden? Diese Fragen entscheiden darüber, ob ein Angriff kontrollierbar bleibt – oder zur existenziellen Krise wird.

Die unterschätzte Falle: Cyberversicherung

Auch eine Cyberversicherung ist kein Freibrief. Viele Betriebe glauben, sie hätten das Risiko ausgelagert, sobald eine Police abgeschlossen ist. Doch das kann ein gefährlicher Irrtum sein.

Im Schadensfall prüfen Versicherer genau, ob vereinbarte Sicherheitsstandards eingehalten wurden. Gab es Mehrfaktor-Authentifizierung für wichtige Zugänge? Wurden Sicherheitsupdates regelmäßig eingespielt? Waren Administratorrechte klar begrenzt? Existierten aktuelle Backups? Wurden diese Backups vom Netzwerk getrennt gespeichert und tatsächlich getestet? Wer solche Grundlagen nicht nachweisen kann, riskiert Streit mit dem Versicherer – gerade dann, wenn das Unternehmen schnelle Hilfe braucht.

Für Unternehmer heißt das: Cybersicherheit muss nicht nur umgesetzt, sondern auch dokumentiert werden. Wer im Ernstfall zeigen kann, dass Schutzmaßnahmen geplant, geprüft und geübt wurden, steht deutlich besser da.

Cybersicherheitsgesetz: Der Staat rüstet auf – Unternehmen müssen es auch tun

Das geplante Cybersicherheitsgesetz ist ein notwendiger Schritt. Es stärkt die staatliche Abwehr gegen Cyberangriffe und ordnet digitale Attacken als Risiko für Wirtschaft, Verwaltung und kritische Infrastruktur ein. Für Unternehmen wäre es jedoch fatal, daraus ein Gefühl der Sicherheit abzuleiten. Der Staat schützt in erster Linie die öffentliche Sicherheit und die Stabilität kritischer Strukturen. Unternehmer müssen ihre eigene Betriebsfähigkeit schützen. Wer beides verwechselt, wiegt sich in falscher Sicherheit.

Die entscheidende Verteidigungslinie des Mittelstands verläuft nicht in Berlin. Sie verläuft im eigenen Betrieb: bei Zugriffsrechten, Backups, Dienstleisterverträgen, Schulungen, Versicherungsbedingungen, Notfallplänen und der Frage, ob die Geschäftsführung Cybersicherheit als Überlebensfrage begreift.

Der Staat rüstet auf. Der Mittelstand muss nachziehen – nicht aus Angst, sondern um Lieferfähigkeit, Vertrauen, Arbeitsplätze und die eigene Existenz zu schützen.