Wenn die KI plötzlich auf der anderen Seite steht
Vor ein paar Monaten rief mich ein Geschäftsführer eines mittelständischen Maschinenbauers aus der Region Magdeburg an. Seine Stimme klang müde. „Wir wurden gehackt", sagte er. „Und das Verrückte: Die Phishing-Mail war so perfekt geschrieben, dass selbst unser IT-Leiter drauf reingefallen ist." Was folgte, waren drei Wochen Chaos, ein sechsstelliger Schaden und eine harte Lektion über das, was 2026 „normal" geworden ist.
Denn die Cyberkriminalität hat sich verändert – grundlegend. Was früher schlecht formulierte Spam-Mails mit offensichtlichen Rechtschreibfehlern waren, sind heute chirurgisch präzise Angriffe. Der Unterschied? Künstliche Intelligenz.
Warum KI das Spielfeld komplett verändert hat
Erinnern Sie sich an die typischen Phishing-Mails von vor fünf Jahren? „Sehr geherter Kunde, Ihr Konto wurd gespert." Man musste kein Experte sein, um die zu erkennen. Heute sieht das anders aus.
Moderne Angreifer füttern ihre KI-Systeme mit öffentlich verfügbaren Informationen über Ihr Unternehmen – LinkedIn-Profile, Pressemitteilungen, sogar Ihre Website-Texte. Das Ergebnis sind E-Mails, die klingen, als kämen sie tatsächlich von Ihrem Geschäftspartner. Die KI imitiert Schreibstile, kennt interne Projekte, trifft den richtigen Ton. Und sie arbeitet rund um die Uhr, für tausende Ziele gleichzeitig.
Dann gibt es die Deepfakes. Ein deutsches Unternehmen verlor 2025 über eine Million Euro, weil ein Mitarbeiter in einem Teams-Call mit seinem „CEO" sprach – nur war es nicht der echte CEO. Die Stimme stimmte, das Gesicht stimmte, sogar die Art zu reden. Alles KI-generiert. Und wir reden hier nicht von Hollywood-Technologie: Für einen überzeugenden Voice-Clone reichen heute drei Sekunden Audiomaterial.
Die unbequeme Wahrheit für KMU
Große Konzerne haben SOC-Teams, eigene Threat-Intelligence-Abteilungen und Budgets, die größer sind als der Jahresumsatz vieler Mittelständler. KMU haben das nicht. Und genau deshalb sind sie das bevorzugte Ziel.
Das klingt paradox – warum sollte jemand ein kleines Unternehmen angreifen, wenn er auch BMW hacken könnte? Die Antwort ist einfach: weil es leichter ist. Ransomware-Gruppen arbeiten nach dem Prinzip der Masse. Sie scannen automatisiert nach Schwachstellen, und ein Unternehmen mit 50 Mitarbeitern und einer veralteten Firewall ist deutlich einfacher zu knacken als ein Konzern mit hundertköpfigem Security-Team.
Die Statistiken sprechen eine klare Sprache: 78% aller Phishing-Angriffe nutzen mittlerweile KI-generierte Inhalte. Deepfake-basierte CEO-Fraud-Angriffe haben sich seit 2024 vervierfacht. Und die durchschnittliche Zeit, bis ein KI-gestützter Angriff überhaupt entdeckt wird, liegt bei 287 Tagen – fast zehn Monate, in denen sich jemand unbemerkt in Ihrem Netzwerk bewegt.
Was Sie dagegen tun können – ohne Millionen-Budget
Jetzt die gute Nachricht: Sie brauchen kein Fortune-500-Budget, um sich zu schützen. Was Sie brauchen, ist ein kluges Vorgehen. Lassen Sie mich das in drei Bereiche aufteilen.
Die technische Basis
Fangen wir mit dem an, was sofort den größten Unterschied macht: Multi-Faktor-Authentifizierung. Ja, MFA. Klingt langweilig, ist aber das Einzelwirksamste, was Sie tun können. Microsoft sagt, dass MFA 99,9% aller Credential-Angriffe blockiert. Nicht 50%, nicht 80% – neunundneunzig Komma neun Prozent. Wenn Sie heute noch irgendwo ohne MFA auf geschäftskritische Systeme zugreifen, ist das wie eine Haustür ohne Schloss.
Allerdings ist MFA nicht gleich MFA. SMS-basierte Codes? Können durch SIM-Swapping umgangen werden. Authenticator-Apps sind deutlich besser, und Hardware-Tokens wie YubiKeys oder Passkeys sind die sicherste Option. Ein YubiKey kostet etwa 50-70 Euro pro Mitarbeiter – das ist billiger als ein einziger Anruf beim IT-Notdienst.
Dann: E-Mail-Security. Nicht der kostenlose Spam-Filter, der in Ihrem Mail-System enthalten ist, sondern eine echte Security-Lösung, die KI-generierte Phishing-Mails erkennt. Lösungen wie Microsoft Defender for Office 365 oder Proofpoint analysieren Schreibstile, prüfen Links in Echtzeit und erkennen, wenn sich jemand als Ihr Chef ausgibt. Die Kosten? Drei bis fünf Euro pro Nutzer im Monat.
Und schließlich: EDR statt klassischem Virenschutz. Endpoint Detection and Response erkennt nicht nur bekannte Viren, sondern beobachtet das Verhalten auf Ihren Geräten. Wenn plötzlich ein Prozess anfängt, massenweise Dateien zu verschlüsseln, schlägt EDR Alarm – und stoppt den Vorgang, bevor der Schaden entsteht.
Der menschliche Faktor
Technik allein reicht nicht. Wenn Ihre Mitarbeiter nicht wissen, worauf sie achten sollen, ist die beste Security-Software nur ein teures Beruhigungsmittel.
Aber vergessen Sie die jährliche Pflichtschulung, bei der alle gelangweilt eine PowerPoint durchklicken. Das bringt nichts. Was funktioniert: kurze, regelmäßige Micro-Trainings – fünf bis zehn Minuten pro Woche, direkt im Arbeitsalltag. Kombiniert mit simulierten Phishing-Kampagnen, bei denen Ihre Mitarbeiter echte (aber ungefährliche) Fake-Mails erhalten. Wer draufklickt, bekommt sofort eine kurze Schulung. Kein Fingerzeigen, kein Bloßstellen – sondern Lernen im Moment.
Besonders wichtig: ein Verifizierungsprozess für Finanztransaktionen. Jede Überweisung über einem bestimmten Betrag sollte telefonisch bestätigt werden – und zwar über eine bekannte Nummer, nicht die aus der verdächtigen E-Mail. Klingt altmodisch? Hätte dem Maschinenbauer, von dem ich eingangs erzählt habe, eine Million Euro gespart.
Der Notfallplan
Kein Schutz ist perfekt. Deshalb brauchen Sie einen Plan für den Fall, dass es doch passiert. Und zwar bevor es passiert.
Was viele falsch machen: Im Panikmoment den Computer ausschalten. Tun Sie das nicht. Im Arbeitsspeicher befinden sich oft die einzigen Spuren, die eine forensische Analyse ermöglichen. Stattdessen: Netzwerkkabel ziehen, WLAN deaktivieren – aber das Gerät laufen lassen.
Ein guter Incident-Response-Plan passt auf zwei Seiten. Er beantwortet die wichtigsten Fragen: Wen rufen wir an? Wer entscheidet was? Wie kommunizieren wir intern und extern? Wo sind unsere Backups? Drucken Sie ihn aus und hängen Sie ihn neben den Serverraum. Denn wenn die Ransomware zuschlägt, kommen Sie an Ihre digitalen Dokumente nicht mehr ran.
Was das alles kostet – und was es spart
Reden wir über Geld. Bei Ovarna kalkulieren wir das für jeden Kunden individuell durch – hier ein grober Richtwert für ein Unternehmen mit 50 Mitarbeitern: E-Mail-Security (150-250 Euro/Monat), EDR (250-500 Euro/Monat), MFA-Token (einmalig 2.500-3.500 Euro), Security-Awareness-Training (100-200 Euro/Monat). In Summe: 15.000 bis 30.000 Euro pro Jahr.
Klingt nach viel? Vergleichen Sie das mit den durchschnittlichen Kosten eines erfolgreichen Ransomware-Angriffs: 150.000 bis 500.000 Euro. Ohne den Reputationsschaden mitzurechnen, der sich nicht in Euro messen lässt, aber Kunden vertreiben kann.
Die Rechnung ist simpel: Prävention kostet einen Bruchteil der Behandlung. Das wusste schon meine Großmutter – nur ging es da um Zahnpflege und nicht um Cybersecurity. Genau deshalb setzen wir bei Ovarna auf ehrliche Beratung statt auf Angstverkauf.
Fangen Sie mit den Quick Wins an
Mein Rat: Lassen Sie sich nicht von der Komplexität erschlagen. Starten Sie diese Woche mit drei Dingen. Erstens: MFA überall aktivieren. Zweitens: Ihren Mitarbeitern erklären, warum sie bei dringenden Überweisungsaufforderungen immer zum Telefon greifen sollen. Drittens: Prüfen, ob Ihre Backups tatsächlich funktionieren – nicht ob sie existieren, sondern ob Sie sie wiederherstellen können.
Alles andere kann danach kommen, Schritt für Schritt. Denn perfekte Sicherheit gibt es nicht. Aber „deutlich besser als gestern" ist ein Ziel, das jedes Unternehmen heute noch erreichen kann.
*Haben Sie Fragen zu Ihrer IT-Sicherheit? Wir beraten Sie gerne – ehrlich und ohne Verkaufsdruck. Jetzt Gespräch vereinbaren*
