Neue Strategien für mehr Cyber-Resilienz im Mittelstand Wie Threat-informed Defense den Mittelstand widerstandsfähiger macht

Cyberangriffe treffen mittelständische Unternehmen immer gezielter. Klassische Schutzmaßnahmen und Cyberversicherungen reichen längst nicht mehr aus. Threat-informed Defense (TiD) schafft Transparenz über reale Bedrohungen und hilft, Risiken strategisch zu priorisieren. So wird IT-Sicherheit messbar und zum entscheidenden Faktor für operative Resilienz.

Die Wahrscheinlichkeit, dass mittelständische Unternehmen Opfer eines Cyberangriffs werden, nimmt jedes Jahr weiter zu. Die Bedrohungslage ist Unternehmen oft weder vollständig bewusst, noch können sie sich das Ausmaß potenzieller Schäden ausmalen: Imageschäden, Datenverluste und Produktionsstillstände sind an der Tagesordnung. Trotz dieser Risiken bleibt die Sicherheit der unternehmerischen Infrastruktur meist in einem unzureichenden Zustand. Häufig fehlt es an Wissen, Zeit, Personal und vor allem an Budget.

Unternehmen stehen heute vor der Aufgabe, mit der steigenden Bedrohungslage effizient und wirksam umzugehen. Entscheidend ist dabei vor allem, präventive und reaktive IT-Sicherheit ganzheitlich zu betrachten. Genau hier stoßen viele Unternehmen auf Schwierigkeiten – die Unübersichtlichkeit der Gesamtthematik verführt oft zum scheinbar einfachen Weg: Reaktiv setzen viele Unternehmen üblicherweise auf den Abschluss einer Cyberversicherung, die das Unternehmen „schon irgendwie retten wird“. Präventiv beschaffen viele Unternehmen oft teure Hard- und Softwareprodukte und hoffen, durch sie vor dem Schlimmsten geschützt zu werden. Beides kann sinnvoll sein, doch weder eine Versicherung noch gute Technik allein garantieren Sicherheit. Die Kernfrage, die sich jedes Unternehmen und jeder Verantwortliche für IT-Sicherheit stellen sollten, lautet: Was kann und was muss ich tun, um mir in kurzer Zeit einen Überblick über die IT-Sicherheitsrisiken meines Unternehmens zu verschaffen?

Die Lage der IT-Sicherheit 2024

BSI sieht Bedrohungslage als „besorgniserregend“

Die Geschäftsleitung ist sogar rechtlich verpflichtet, angemessene Maßnahmen zu ergreifen, um ihr Unternehmen gegen Cyberangriffe zu schützen. Diese Verpflichtung ergibt sich insbesondere aus § 91 Abs. 2 AktG (Risikofrüherkennung und Überwachungspflichten), § 43 Abs. 1 GmbHG (Sorgfaltspflichten der Geschäftsführer) sowie § 93 Abs. 1 AktG (Sorgfaltspflichten und Haftung der Vorstandsmitglieder). Verstöße können zu persönlicher Haftung führen. Ein angemessenes IT-Sicherheitsmanagement ist daher unerlässlich. Insbesondere durch das KRITIS-Dachgesetz (§ 8a BSI-Gesetz), das NIS2-Umsetzungsgesetz (NIS2UmsuCG) sowie branchenspezifische Normen wird das Schutzniveau weiter konkretisiert und umfasst vorbeugende, erkennbare und reaktive Maßnahmen zum Schutz der Informationssicherheit. Das NIS2UmsuCG erweitert den Kreis der verpflichteten Unternehmen erheblich und legt erhöhte Anforderungen an das Risikomanagement, die Meldepflichten sowie die Rechenschaftspflichten der Geschäftsleitung fest. Verstöße gegen diese Pflichten können sowohl zu Bußgeldern als auch zu persönlichen Haftungsrisiken der Geschäftsleitung führen.

Die Antwort darauf ist eine methodische Schritt-für-Schritt-Vorgehensweise. Hier setzt Threat-informed Defense (TiD) an. TiD analysiert systematisch, welche Angreifergruppen für Branche, Sektor oder Unternehmen tatsächlich relevant sind und mit welchen konkreten Methoden Angreifer vorgehen. Auf dieser Basis werden gezielte, priorisierte Maßnahmen abgeleitet, deren Wirksamkeit sich messen und regelmäßig einzeln überprüfen lässt. TiD hat das Ziel, eine klare IT-Security-Strategie zur Identifikation notwendiger Maßnahmen und deren messbarer Umsetzung aufzustellen.

Wege zur digitalen Widerstandskraft

So erreichen Unternehmen Cyber-Resilienz

Threat-informed Defense in drei Schritten

Schritt 1: Analyse

Kein Unternehmen – egal ob mittelständisch oder global agierend – kann sich gegen jede erdenkliche Bedrohung absichern. Eine dahingehende Erwartungshaltung an die eigene IT-Abteilung ist mehr als unrealistisch.

Vor allen Dingen ist es wichtig zu verstehen, gegen wen oder was man sein Unternehmen eigentlich schützen möchte.

Hier setzt die Threat-Intelligence-Analyse an:

Zu Beginn der Analyse werden Parameter wie die geografische Lage der Unternehmensstandorte, die Branche und die Art des Geschäftsmodells (z. B. als Teil einer Supply Chain) betrachtet. Diese Daten werden anschließend um öffentlich verfügbare Informationen aus der IT-Security-Forschung ergänzt.

Zur Einordnung und späteren Darstellung bedient sich die Threat-Intelligence-Analyse der auf dem „MITRE ATT&CK Framework“ basierenden TTPs (Tactics, Techniques and Procedures).

SolarWinds IT-Trends-Report 2025

So erkennen IT-Teams ihre wahren Resilienz-Lücken

Jedes einzelne TTP steht für unterschiedliche Methoden bzw. Muster, mit denen Angriffe durchgeführt werden. Man unterscheidet hierbei die Strategie/ das Ziel (Tactics), die verwendeten Angriffsmittel (Techniques) und die konkrete Umsetzung (Procedures).

Basierend auf diesen Datenpunkten und der darauf aufbauenden Anzahl möglicher Angriffsvektoren, erfolgt im nächsten Schritt eine visuelle Darstellung in kategorisierter und gewichteter Form. Exemplarisch hierfür ist im Folgenden eine sogenannte Heatmap der meist genutzten TTPs von fünf Ransomware-Gruppen (branchenübergreifend) dargestellt.

Schritt 2: Maßnahmen

Auf Basis der in Schritt 1 ermittelten individuellen Heatmap kann jedes Unternehmen die kritischsten TTPs identifizieren und darauf basierend beginnen, einzelne Maßnahmen abzuleiten.

An dieser Stelle wird der erste Vorteil der TiD-Methodik sichtbar: Das Unternehmen erkennt, wo seine größten Sicherheitsrisiken liegen können. Dieses Wissen versetzt in die Lage, sinnvoll zu priorisieren und zeitliche, personelle wie auch monetäre Investitionen zunächst auf diese Risiken zu fokussieren.

Dennoch ist es weiterhin wichtig, das Gesamtbild nicht aus dem Auge zu verlieren. Jedes identifizierte Risiko und die daraus abgeleitete Maßnahme muss Teil eines Gesamtkonzepts sein. Es ist nicht sinnvoll, sich ausschließlich auf einzelne kritische TTPs zu konzentrieren. Eine gesamtheitliche Priorisierung und ein darauf aufbauender Maßnahmenplan sind für eine nachhaltige IT-Sicherheit von entscheidender Bedeutung.

Pentesting mit Legion, sqlmap, ZAP, OpenSCAP, Karkinos und Scapy

6 Open Source-Tools für Penetrationstests

Da TTPs Risiken ausschließlich von außen auf Basis der gesammelten externen Informationen betrachten, muss außerdem ein Abgleich mit der unternehmensinternen Realität erfolgen. Hierbei muss verglichen werden, was entsprechend des TTP-Maßnahmenplans bereits umgesetzt worden ist, welche Maßnahmen­umsetzung bereits läuft und welche Maßnahmen noch umgesetzt werden müssen. Besonders wichtig ist bei diesem Schritt, einen vertrauensvollen Raum zu schaffen. Hier müssen alle fachlich verantwortlichen Mitarbeiter auf Basis des individuellen TTP-Maßnahmenplans und der ihnen aus ihrer täglichen Arbeit bekannten Informationen zu bereits erledigten oder noch nicht betrachteten Maßnahmen offen und ehrlich miteinander über alle notwendigen Maßnahmen und deren Umsetzung diskutieren können. Auch das ist Teil von TiD.

Schritt 3: Wirksamkeit

Der entscheidende Punkt bei der Umsetzung jeder Maßnahme ist die Messung ihrer anschließenden Wirksamkeit. Hierbei gibt es, je nach TTP, mehrere Testmethoden. Diese reichen vom klassischen Penetrationstest bis zu einem umfassenden Red Teaming. Wichtig ist, sich an diesem Punkt zu überlegen, wann welche Testmethode am effektivsten eingesetzt werden kann. Ein umfassendes Red Teaming kann ohne zuvor umgesetzte Maßnahmen hohe Kosten verursachen und dabei zunächst weniger wirksam sein als gezielte Penetrationstests. Eine sinnvolle Vorgehensweise auf Basis eines Gesamtkonzepts ist daher auch hier essenziell.

Entscheidend ist das Verständnis der Bedrohungslage innerhalb des gesamten Unternehmens. TiD ist eine unternehmensweite Aufgabe, nicht nur eine der IT-Abteilung. Daher müssen auch Maßnahmen wie Awareness-Trainings, Krisenmanagement, Notfallhandbücher und -übungen zwingend betrachtet werden. Denn: Pläne wirken nur, wenn sie im gesamten Unternehmen verstanden und gelebt werden.

Security-Insider Podcast – Folge 24

So funktioniert Red Teaming

Fazit

TiD ermöglicht es Unternehmen, in einer diffusen Bedrohungslage den Überblick zu behalten. Es versetzt sie in die Lage, strategische Entscheidungen zu treffen. Hierbei ist TiD mehr als eine Methodik. Es kombiniert Wissen aus realen Cyber-Angriffen und der bei jedem Unternehmen vorherrschenden Ist-Situation. So erzeugt es eine Messbarkeit für relevante IT-Sicherheitsmaßnahmen. Es ermöglicht jedem Unternehmen, ein auf technischen Kennzahlen basierendes, realistisches Risikomanagement aufzubauen. Durch die strukturierte Umsetzung von Maßnahmen wird die Resilienz jedes einzelnen Unternehmens gestärkt.

Über die Autoren

Marc Lenze ist Business Development Lead IT-Security bei der codecentric AG und verfügt über langjährige Erfahrung an der Schnittstelle zwischen öffentlichem Sektor und IT. Über ein Jahrzehnt hinweg war er im Public Sector tätig und hat dabei tiefgreifende Einblicke in die besonderen Anforderungen und Rahmenbedingungen öffentlicher Institutionen und Behörden gewonnen.

Guido Hansch ist Head of Legal bei der codecentric AG mit Schwerpunkt Daten- und IT-Recht. Zuvor leitete er den Bereich Globaler Datenschutz & Compliance in einem internationalen Konzern. Er publiziert regelmäßig zu datenrechtlichen Themen mit europarechtlichem Bezug.

Bundeslagebild Cybercrime 2024

Bedrohungslage in Deutschland ist anhaltend hoch

(ID:50612199)