Ein Cyberangriff kann die Auftragsbearbeitung lahmlegen, Rechnungen verzögern oder Zahlungen auf fremde Konten umleiten. Während Einnahmen fehlen, laufen Kosten weiter. Für kleine und mittlere Unternehmen (KMU) stellt sich dann eine dringliche Frage: Wie lange können wir das überbrücken?
Der Hiscox Cyber Readiness Report 2026 zeigt, wie ernst diese Frage ist. 31 Prozent der deutschen KMU haben in den vergangenen zwölf Monaten vor der Befragung einen Angriff oder einen Angriffsversuch festgestellt. Von den Betroffenen sahen 33 Prozent ihre Zahlungsfähigkeit oder Existenz erheblich gefährdet.
Ihre durchschnittliche Betriebsunterbrechung lag bei 41,7 Stunden. Ein Ausfall ist damit nicht allein ein Problem für die IT-Abteilung. Er gehört in die Liquiditäts- und Notfallplanung der Geschäftsführung.
In der Risikowahrnehmung steht dennoch die Reputation vorn: 48 Prozent der deutschen KMU nennen Rufschäden als größte Befürchtung. Unter den angegriffenen Unternehmen berichten 25 Prozent von negativer Öffentlichkeitswirkung, 21 Prozent vom Verlust von Geschäftspartnern und 18 Prozent von verlorenen Kunden.
Die Angaben messen eine Sorge aller Befragten und Erfahrungen der Betroffenen. Eine Rangfolge der Schadenschwere lässt sich daraus nicht ableiten. Die Beratung darf aber bei der Außenwirkung nicht stehen bleiben: Wirtschaftlicher Druck setzt keine öffentliche Aufmerksamkeit voraus.
Bei den erfolgreichen Angriffen berichten 45 Prozent der betroffenen deutschen KMU von Finanzbetrug durch umgeleitete Zahlungen. DDoS-Attacken, die Dienste durch Überlastung lahmlegen sollen, folgen mit 42 Prozent, der Missbrauch von IT-Ressourcen mit 40 Prozent. Die Angriffsarten können sich überschneiden. Sie betreffen Zahlungsströme ebenso wie die Verfügbarkeit von Systemen und damit Abläufe, auf die auch Kunden und Lieferanten angewiesen sind.
97 Prozent der deutschen KMU ergreifen Maßnahmen zur Stärkung ihrer Cyber-Resilienz. Gleichzeitig geben 58 Prozent jährlich weniger als rund 8.700 Euro dafür aus; 12 Prozent investieren gar nichts. Ein Budgetbetrag allein sagt allerdings wenig darüber aus, ob der Schutz ausreicht.
Bei knappen Mitteln braucht es eine Bestandsaufnahme: Welche Systeme sind für Aufträge, Zahlungen und Lieferungen unverzichtbar? Welche Daten braucht der Wiederanlauf? Danach richten sich die Prioritäten. Kritische Zugänge benötigen Mehrfaktor-Authentifizierung und begrenzte Zugriffsrechte. Sicherheitsupdates müssen verlässlich eingespielt werden. Datensicherungen sollten vom laufenden Betrieb getrennt geschützt und ihre Wiederherstellung regelmäßig getestet werden.
Beim Zahlungsverkehr hilft eine klare Verfahrensregel: Änderungen von Bankverbindungen werden über einen bereits bekannten Kontaktweg bestätigt, nicht über die Kontaktdaten in der Änderungsnachricht. Schulungen sollten solche Situationen durchspielen.
Ein Notfallplan muss festlegen, wer betroffene Systeme abschalten und externe Hilfe anfordern darf. Zudem ist zu regeln, wie Beschäftigte, Kunden und Lieferanten informiert werden. Kontaktdaten und Zuständigkeiten müssen auch ohne Firmennetz erreichbar sein. Eine Übung zeigt, welche Abläufe ohne die üblichen Systeme funktionieren.
Die Liquiditätsplanung muss fehlende Einnahmen, laufende Kosten und Ausgaben für die Wiederherstellung berücksichtigen. Daraus ergibt sich der Bedarf an Reserven und Absicherung.
Für die kommenden fünf Jahre fürchten 45 Prozent der deutschen KMU manipulierte KI-Daten, sogenanntes Data Poisoning. 44 Prozent nennen Schwachstellen durch Dritt-KI-Tools wie ChatGPT, 43 Prozent eine zu große KI-Abhängigkeit mit nachlassender menschlicher Kontrolle. Zur Einordnung dieser Zahlen gehört, dass es sich um Risikoeinschätzungen handelt, nicht um gemessene Schadenhäufigkeiten. Gleichwohl beruhen sie auch auf den Erfahrungen Betroffener.
Unternehmen sollten deshalb festlegen, welche Werkzeuge erlaubt sind, welche Daten eingegeben werden dürfen und wer Ergebnisse prüft. Zahlungsfreigaben und andere sensible Entscheidungen brauchen weiterhin eine verantwortliche Person. Die Regeln gehören in die bestehenden Arbeitsabläufe und Schulungen.
Eine Cyberversicherung ergänzt Prävention und Notfallplanung. Maklerinnen und Makler sollten prüfen, wie Betriebsunterbrechung, Wiederherstellungskosten und Zahlungsbetrug im konkreten Vertrag behandelt werden. Versicherungssumme, Selbstbehalt, Ausschlüsse und Leistungsvoraussetzungen müssen zum Betrieb passen.
Ebenso wichtig ist die Organisation der Hilfe: Wie werden spezialisierte IT-, Rechts- und Krisenkommunikationsexperten eingeschaltet, und welche Leistungen sind vereinbart? Neben der Erstattung zählt, wie der Kunde wieder arbeitsfähig wird.
Klemens Lemke ist Underwriting Manager Cyber bei Hiscox und am Standort Hamburg tätig. Er bewertet Cyberrisiken und entwickelt passgenaue Cyberversicherungslösungen für Unternehmen unterschiedlicher Branchen und Größen. Seine Schwerpunkte sind die Analyse von IT-Infrastrukturen, die Bewertung möglicher Cyberbedrohungen und die Entwicklung geeigneter Absicherungsstrategien. Dabei verbindet er technisches Verständnis mit versicherungsfachlicher Expertise.
