Informationssicherheit: So schützen Sie Ihr Unternehmen richtig

Das AV-TEST Institut registriert täglich über 450.000 neue Schadprogramme – und Ihr Unternehmen könnte das nächste Ziel sein. Die gute Nachricht: Mit der richtigen Strategie zur Informationssicherheit verwandeln Sie Ihr Unternehmen in eine digitale Festung, ohne dabei Ihr Budget zu sprengen. Erfahren Sie, welche Maßnahmen wirklich schützen und warum 2025 das Jahr ist, in dem Sie handeln müssen.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Was bedeutet Informationssicherheit für Ihr Unternehmen konkret?

Informationssicherheit ist längst kein IT-Thema mehr, sondern eine Geschäftsgrundlage, die über Erfolg oder Insolvenz entscheiden kann. Verstehen Sie die wahre Dimension dieses Themas und warum es jeden Bereich Ihres Unternehmens betrifft – vom Vertrieb bis zur Buchhaltung.

Warum ist Informationssicherheit mehr als nur IT-Schutz?

Wenn Sie bei Informationssicherheit nur an Firewalls und Virenscanner denken, unterschätzen Sie das Thema gewaltig. Moderne Cybersicherheit durchdringt jeden Winkel Ihres Unternehmens – von der Kaffeemaschine mit WLAN-Anschluss bis zum Smartphone Ihres Vertriebsleiters.

Die klassische Definition der Informationssicherheit basiert auf drei Säulen, die Sie kennen sollten:

• Vertraulichkeit: Nur berechtigte Personen haben Zugriff auf Ihre Daten
• Integrität: Ihre Daten bleiben unverändert und korrekt
• Verfügbarkeit: Sie können jederzeit auf Ihre Systeme zugreifen

Was bedeutet das konkret? Stellen Sie sich vor, Ihre Kundendatenbank wird verschlüsselt und Sie kommen wochenlang nicht an Ihre Daten (Verfügbarkeit verletzt). Oder Ihre Konkurrenz erhält Ihre Angebotskalkulationen (Vertraulichkeit verletzt). Oder jemand manipuliert Ihre Rechnungsdaten und Sie verschicken falsche Forderungen (Integrität verletzt). Jedes dieser Szenarien kann Ihr Unternehmen lahmlegen.

Quick-Check: Wie steht es um Ihre Informationssicherheit?

Testen Sie mit diesem kurzen Quiz, wo Ihr Unternehmen aktuell steht:

Frage 1: Wie oft führen Sie Sicherheitsupdates durch? □ A) Sofort wenn verfügbar
□ B) Monatlich gebündelt
□ C) Wenn Zeit ist oder Probleme auftreten

Frage 2: Wie viele Ihrer Mitarbeiter haben Administratorrechte auf ihrem Rechner? □ A) Nur die IT-Abteilung
□ B) Abteilungsleiter und IT
□ C) Jeder, der danach fragt

Frage 3: Wann wurde Ihre letzte Datensicherung erfolgreich zurückgespielt? □ A) Wir testen vierteljährlich
□ B) Vor etwa einem Jahr
□ C) Noch nie getestet

Frage 4: Wie reagieren Sie auf verdächtige E-Mails? □ A) Definierter Meldeprozess an IT/Sicherheitsbeauftragten
□ B) Löschen und ignorieren
□ C) Kollegen fragen, ob sie das auch bekommen haben

Frage 5: Welche Zwei-Faktor-Authentifizierung nutzen Sie? □ A) Für alle kritischen Systeme
□ B) Nur für Online-Banking
□ C) Passwort reicht uns

Auflösung:

• Überwiegend A: Gratulation! Sie nehmen IT-Sicherheit ernst. Verfeinern Sie Ihre Strategie weiter.
• Überwiegend B: Grundlagen vorhanden, aber deutlicher Verbesserungsbedarf. Priorisieren Sie Sicherheitsmaßnahmen höher.
• Überwiegend C: Akuter Handlungsbedarf! Ihr Unternehmen ist ein leichtes Ziel. Beginnen Sie sofort mit Basismaßnahmen.

Welche Unternehmensbereiche betrifft IT-Sicherheit wirklich?

Die Zeiten, in denen sich nur die IT-Abteilung um digitale Sicherheit kümmern musste, sind vorbei. Heute arbeitet Ihre Buchhaltung in der Cloud, Ihr Vertrieb nutzt CRM-Systeme auf dem Tablet und Ihre Produktion ist vernetzt. Jeder Mitarbeiter wird zum potenziellen Einfallstor – oder zur Verteidigungslinie.

Besonders kritische Schnittstellen in Ihrem Unternehmen:

• Geschäftsführung: Beliebtes Ziel für Geschäftsführer-Betrug (CEO-Fraud)
• Personalabteilung: Verarbeitet hochsensible Mitarbeiterdaten und Gehaltsinformationen
• Buchhaltung: Hauptziel für Rechnungsmanipulation und Überweisungsbetrug
• Vertrieb: Mobile Geräte und Kundendaten als Risikofaktor
• Produktion: Industriespionage und Sabotage durch Schadsoftware

Die Vernetzung macht Ihre Geschäftsprozesse effizienter, erhöht aber gleichzeitig die Angriffsfläche. Ein kompromittierter Rechner in der Marketingabteilung kann zum Sprungbrett in Ihre gesamte IT-Infrastruktur werden.

Was kostet fehlende Cybersicherheit tatsächlich?

Die Zahlen sind erschreckend: Laut aktuellem BSI-Lagebericht liegt der durchschnittliche Schaden eines erfolgreichen Cyberangriffs bei deutschen KMU bei 72.000 Euro¹. Bei größeren Mittelständlern steigt dieser Betrag schnell in den sechsstelligen Bereich. Die Bitkom beziffert den Gesamtschaden für die deutsche Wirtschaft auf 206 Milliarden Euro jährlich³.

Aber die direkten Kosten sind nur die Spitze des Eisbergs. Versteckte Kosten, die Sie einkalkulieren müssen:

• Produktionsausfall und Betriebsunterbrechung (durchschnittlich 7-21 Tage)
• Wiederherstellung von Daten und Systemen
• Rechtsberatung und mögliche Bußgelder (DSGVO-Verstöße bis 20 Mio. Euro)
• Krisenkommunikation und PR-Maßnahmen
• Verlorene Kundenaufträge und Neukundengewinnung
• Imageschaden und Vertrauensverlust (42% der Kunden wechseln nach Datenpanne den Anbieter)

Ein konkretes Beispiel: Ein mittelständischer Maschinenbauer aus Baden-Württemberg wurde 2024 Opfer einer Ransomware-Attacke. Direkter Schaden: 180.000 Euro Lösegeld plus 95.000 Euro Wiederherstellung. Indirekter Schaden: 14 Tage Produktionsausfall (680.000 Euro) und drei verlorene Großkunden (geschätzter Jahresumsatz 2,3 Millionen Euro).

Wie unterscheidet sich Ihr Risiko von Großkonzernen?

Viele Mittelständler wiegen sich in falscher Sicherheit: „Wir sind zu klein, um interessant zu sein.“ Fataler Irrtum! Gerade KMU sind beliebte Ziele, denn Cyberkriminelle wissen um Ihre Schwachstellen:

• Geringere Sicherheitsbudgets: Während Konzerne 8-12% des IT-Budgets in Security investieren, sind es bei KMU oft nur 2-3%²
• Fehlendes Fachpersonal: 67% der Mittelständler haben keinen dedizierten IT-Sicherheitsbeauftragten³
• Veraltete Systeme: Durchschnittsalter der IT-Infrastruktur im Mittelstand: 7,3 Jahre
• Lieferkettenangriffe: Als Zulieferer sind Sie das schwächste Glied zum Großkunden

Gleichzeitig haben Sie als Mittelständler auch spezifische Vorteile in der Informationssicherheit:

• Kürzere Entscheidungswege ermöglichen schnelle Reaktionen
• Überschaubare IT-Landschaft erleichtert Kontrolle
• Persönliche Kommunikation reduziert Social-Engineering-Erfolge

Der Schlüssel liegt darin, diese Vorteile gezielt zu nutzen und Ihre spezifischen Schwachstellen systematisch anzugehen. Im nächsten Kapitel zeigen wir Ihnen, welche konkreten Bedrohungen auf Ihr Unternehmen lauern.

Welche Bedrohungen gefährden Ihre Informationssicherheit aktuell?

Die Bedrohungslandschaft verändert sich rasanter als je zuvor, und was gestern noch sicher war, kann heute bereits kompromittiert sein. Kennen Sie die aktuellen Angriffsmethoden und deren Warnsignale, bevor Ihr Unternehmen zur Statistik wird.

Welche Cyberangriffe treffen KMU am häufigsten?

Ransomware bleibt die Geißel des Mittelstands. Laut BSI-Lagebericht 2024 steigen die Angriffe mit Verschlüsselungstrojanern um 31 Prozent gegenüber dem Vorjahr¹. Dabei geht die Entwicklung weg von Massenangriffen hin zu gezielten Attacken auf zahlungskräftige Mittelständler. Die durchschnittliche Lösegeldforderung liegt mittlerweile bei 189.000 Euro², Tendenz steigend.

Besonders perfide: Moderne Ransomware-Gruppen arbeiten nach dem Geschäftsmodell „Ransomware-as-a-Service“. Kriminelle ohne technische Kenntnisse können fertige Angriffspakete mieten. Die Entwickler kassieren prozentual am Lösegeld mit. Ein lukratives Geschäft, das die Angriffszahlen explodieren lässt.

Phishing entwickelt sich ständig weiter. Vergessen Sie die holprig formulierten Prinzen-Mails von früher. Aktuelle Phishing-Kampagnen nutzen:

• Perfekt nachgebaute Websites Ihrer Hausbank
• Gefälschte Rechnungen echter Geschäftspartner
• Personalisierte Nachrichten mit korrekten Ansprechpartnern
• QR-Codes, die auf Schadsoftware-Seiten führen

Ein Bauunternehmer aus Hessen überwies kürzlich 340.000 Euro an Betrüger. Die gefälschte Mail kam scheinbar vom Geschäftsführer eines langjährigen Lieferanten, inklusive korrekter Projektreferenzen und üblicher Grußformel. Erst Wochen später fiel der Betrug auf.

Wie erkennen Sie einen Angriff rechtzeitig?

Die meisten Unternehmen merken erst nach durchschnittlich 106 Tagen, dass ihre Systeme kompromittiert wurden³. In dieser Zeit spähen Angreifer in Ruhe Ihre Daten aus, installieren Hintertüren und bereiten den finalen Schlag vor.

Achten Sie auf diese Warnsignale:

• Ungewöhnlich langsame Systeme, besonders morgens beim ersten Start
• Dateien, die sich plötzlich nicht mehr öffnen lassen
• Veränderte Dateiendungen (.locked, .encrypted, .666)
• Neue, unbekannte Benutzerkonten in Ihren Systemen
• Massenhafte Fehlermeldungen der Antivirensoftware
• Mitarbeiter berichten über merkwürdige Pop-ups
• Ungewöhnliche Netzwerkaktivitäten außerhalb der Geschäftszeiten

Ein Elektronikhändler aus München bemerkte wochenlang nicht die kleinen Anomalien: Der Server startete morgens drei Minuten länger, die Backup-Größe wuchs stetig. Alles Kleinigkeiten, die niemand ernst nahm. Bis eines Montagmorgens alle Daten verschlüsselt waren und eine Lösegeldforderung über 450.000 Euro auf dem Bildschirm prangte.

Warum ist der Faktor Mensch das größte Sicherheitsrisiko?

Ihre Firewall kann noch so stark sein, wenn Mitarbeiter das Passwort auf einen Klebezettel am Monitor schreiben, hilft die beste Technik nichts. 90 Prozent erfolgreicher Angriffe beginnen mit menschlichem Versagen⁴.

Die Psychologie der Angreifer ist raffiniert. Social Engineering nutzt menschliche Eigenschaften gezielt aus: Hilfsbereitschaft, Autoritätshörigkeit, Zeitdruck und Neugier. Ein angeblicher Microsoft-Techniker ruft an, weil „dringend ein Sicherheitsproblem behoben werden muss“. Die neue Praktikantin bekommt eine Mail vom „Chef“, der schnell Zugang zu bestimmten Dateien braucht. Der Buchhalter erhält eine Mahnung mit drohendem Inkasso.

Besonders gefährlich: Insider-Bedrohungen. Nicht jeder Angriff kommt von außen. Frustrierte Mitarbeiter, die das Unternehmen verlassen, nehmen gerne „Andenken“ in Form von Kundendaten mit. Oder der Praktikant, der aus Versehen Admin-Rechte bekommen hat und „mal schauen wollte, was passiert“.

Welche neuen Bedrohungen bringt KI mit sich?

Künstliche Intelligenz revolutioniert nicht nur Ihr Geschäft, sondern auch die Methoden der Cyberkriminellen. Deepfake-Technologie ermöglicht täuschend echte Video-Anrufe mit gefälschten Geschäftsführern. Ein Energieunternehmen in Großbritannien überwies 220.000 Euro nach einem Videocall mit dem vermeintlichen CEO. Die Stimme, Mimik und sogar die typischen Sprachmanierismen waren perfekt nachgeahmt⁵.

KI-generierte Phishing-Mails sind kaum noch von echten Nachrichten zu unterscheiden. Die Zeiten offensichtlicher Rechtschreibfehler sind vorbei. Moderne KI analysiert vorher abgegriffene echte Mails Ihres Unternehmens und imitiert Schreibstil, Formatierung und sogar interne Abkürzungen perfekt.

Automatisierte Angriffe werden zur Norm. Während ein menschlicher Hacker vielleicht zehn Unternehmen pro Tag angreift, schafft ein KI-System tausende. Die Software scannt automatisch nach Schwachstellen, passt ihre Angriffsmethoden an und lernt aus jedem Versuch dazu. Informationssicherheit wird zum Wettrüsten zwischen defensiver und offensiver KI.

Was bedeutet die NIS2-Richtlinie für Ihre Compliance?

Seit Oktober 2024 gilt die NIS2-Richtlinie in Deutschland. Betroffen sind weitaus mehr Unternehmen als bei der Vorgängerregelung. Sobald Sie mehr als 50 Mitarbeiter beschäftigen oder 10 Millionen Euro Jahresumsatz überschreiten und in einem der definierten Sektoren tätig sind, fallen Sie unter die Richtlinie⁶.

Die Anforderungen sind konkret und umfassend. Sie müssen ein Risikomanagement implementieren, Sicherheitsvorfälle binnen 24 Stunden melden und regelmäßige Audits durchführen. Bei Verstößen drohen Bußgelder bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes.

Aber NIS2 bedeutet mehr als nur Bürokratie. Die persönliche Haftung der Geschäftsführung für Cybersicherheit ist nun gesetzlich verankert. Ignoranz schützt nicht mehr vor Strafe. Ein Maschinenbauer aus Stuttgart musste dies schmerzlich erfahren: Nach einem vermeidbaren Ransomware-Angriff wurde nicht nur das Unternehmen mit 800.000 Euro Bußgeld belegt, sondern auch der Geschäftsführer persönlich zur Rechenschaft gezogen.

Die gute Nachricht: Viele der geforderten Maßnahmen sollten Sie ohnehin umsetzen. NIS2 zwingt Sie zu einer strukturierten Herangehensweise an Informationssicherheit, von der Ihr Unternehmen langfristig profitiert. Dokumentation, klare Prozesse und regelmäßige Überprüfungen werden von der lästigen Pflicht zum Wettbewerbsvorteil.

Bedrohungen verstehen, Risiken minimieren Die Bedrohungslandschaft für Ihre IT-Sicherheit wird komplexer, aber nicht unkontrollierbar. Verstehen Sie die Angriffsmethoden und investieren Sie gezielt in Abwehrmaßnahmen, bevor Ihr Unternehmen zum Opfer wird.

Welche Bedrohungen gefährden Ihre Informationssicherheit aktuell?

Die Bedrohungslandschaft verändert sich rasanter als je zuvor, und was gestern noch sicher war, kann heute bereits kompromittiert sein. Kennen Sie die aktuellen Angriffsmethoden und deren Warnsignale, bevor Ihr Unternehmen zur Statistik wird.

Welche Cyberangriffe treffen KMU am häufigsten?

Ransomware bleibt die Geißel des Mittelstands. Laut BSI-Lagebericht 2024 steigen die Angriffe mit Verschlüsselungstrojanern um 31 Prozent gegenüber dem Vorjahr¹. Dabei geht die Entwicklung weg von Massenangriffen hin zu gezielten Attacken auf zahlungskräftige Mittelständler. Die durchschnittliche Lösegeldforderung liegt mittlerweile bei 189.000 Euro², Tendenz steigend.

Besonders perfide: Moderne Ransomware-Gruppen arbeiten nach dem Geschäftsmodell „Ransomware-as-a-Service“. Kriminelle ohne technische Kenntnisse können fertige Angriffspakete mieten. Die Entwickler kassieren prozentual am Lösegeld mit. Ein lukratives Geschäft, das die Angriffszahlen explodieren lässt.

Phishing entwickelt sich ständig weiter. Vergessen Sie die holprig formulierten Prinzen-Mails von früher. Aktuelle Phishing-Kampagnen nutzen:

Welche neuen Bedrohungen bringt KI mit sich?

Künstliche Intelligenz revolutioniert nicht nur Ihr Geschäft, sondern auch die Methoden der Cyberkriminellen. Deepfake-Technologie ermöglicht täuschend echte Video-Anrufe mit gefälschten Geschäftsführern. Ein Energieunternehmen in Großbritannien überwies 220.000 Euro nach einem Videocall mit dem vermeintlichen CEO. Die Stimme, Mimik und sogar die typischen Sprachmanierismen waren perfekt nachgeahmt⁵.

KI-generierte Phishing-Mails sind kaum noch von echten Nachrichten zu unterscheiden. Die Zeiten offensichtlicher Rechtschreibfehler sind vorbei. Moderne KI analysiert vorher abgegriffene echte Mails Ihres Unternehmens und imitiert Schreibstil, Formatierung und sogar interne Abkürzungen perfekt.

Automatisierte Angriffe werden zur Norm. Während ein menschlicher Hacker vielleicht zehn Unternehmen pro Tag angreift, schafft ein KI-System tausende. Die Software scannt automatisch nach Schwachstellen, passt ihre Angriffsmethoden an und lernt aus jedem Versuch dazu. Informationssicherheit wird zum Wettrüsten zwischen defensiver und offensiver KI.

Was bedeutet die NIS2-Richtlinie für Ihre Compliance?

Seit Oktober 2024 gilt die NIS2-Richtlinie in Deutschland. Betroffen sind weitaus mehr Unternehmen als bei der Vorgängerregelung. Sobald Sie mehr als 50 Mitarbeiter beschäftigen oder 10 Millionen Euro Jahresumsatz überschreiten und in einem der definierten Sektoren tätig sind, fallen Sie unter die Richtlinie⁶.

Die Anforderungen sind konkret und umfassend. Sie müssen ein Risikomanagement implementieren, Sicherheitsvorfälle binnen 24 Stunden melden und regelmäßige Audits durchführen. Bei Verstößen drohen Bußgelder bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes.

Aber NIS2 bedeutet mehr als nur Bürokratie. Die persönliche Haftung der Geschäftsführung für Cybersicherheit ist nun gesetzlich verankert. Ignoranz schützt nicht mehr vor Strafe. Ein Maschinenbauer aus Stuttgart musste dies schmerzlich erfahren: Nach einem vermeidbaren Ransomware-Angriff wurde nicht nur das Unternehmen mit 800.000 Euro Bußgeld belegt, sondern auch der Geschäftsführer persönlich zur Rechenschaft gezogen.

Die gute Nachricht: Viele der geforderten Maßnahmen sollten Sie ohnehin umsetzen. NIS2 zwingt Sie zu einer strukturierten Herangehensweise an Informationssicherheit, von der Ihr Unternehmen langfristig profitiert. Dokumentation, klare Prozesse und regelmäßige Überprüfungen werden von der lästigen Pflicht zum Wettbewerbsvorteil.

Bedrohungen verstehen, Risiken minimieren Die Bedrohungslandschaft für Ihre IT-Sicherheit wird komplexer, aber nicht unkontrollierbar. Verstehen Sie die Angriffsmethoden und investieren Sie gezielt in Abwehrmaßnahmen, bevor Ihr Unternehmen zum Opfer wird.

Wie bauen Sie eine effektive Informationssicherheit auf?

Der Aufbau einer robusten Informationssicherheit gleicht einem Marathonlauf, nicht einem Sprint, aber die ersten Schritte entscheiden über die Richtung. Erfahren Sie, wie Sie systematisch vorgehen und dabei Quick Wins mitnehmen, die sofort Wirkung zeigen.

Womit sollten Sie bei der IT-Security beginnen?

Bevor Sie wild Sicherheitssoftware einkaufen, brauchen Sie einen klaren Überblick über Ihre IT-Landschaft. Viele Mittelständler wissen gar nicht genau, welche Systeme überhaupt im Einsatz sind. Der Vertrieb nutzt eine Cloud-Lösung, von der die IT nichts weiß. Die Buchhaltung hat sich eine praktische Excel-Makro-Sammlung gebaut, die niemand geprüft hat. Solche Schatten-IT wird schnell zum Einfallstor.

Starten Sie mit einer strukturierten Bestandsaufnahme. Dokumentieren Sie:

• Alle genutzten Software-Lösungen (auch die „inoffiziellen“)
• Sämtliche Hardware inklusive privater Geräte im Firmennetzwerk
• Externe Dienste und Cloud-Anwendungen
• Schnittstellen zu Kunden und Lieferanten
• Zugriffsrechte und Administratoren-Konten

Ein Logistikunternehmen aus Hamburg entdeckte bei dieser Inventur 47 vergessene Benutzerkonten ehemaliger Mitarbeiter, drei ungepatchte Server und eine Webshop-Schnittstelle, die seit zwei Jahren Kundendaten unverschlüsselt übertrug. Erschreckend, aber typisch.

Parallel zur Bestandsaufnahme können Sie erste Quick Wins umsetzen, die sofort die Sicherheit erhöhen:

• Aktivieren Sie die Zwei-Faktor-Authentifizierung bei allen Cloud-Diensten
• Ändern Sie Standard-Passwörter (ja, auch das „admin/admin“ am alten Drucker)
• Installieren Sie ausstehende Sicherheitsupdates
• Deaktivieren Sie nicht benötigte Dienste und Ports
• Führen Sie eine Passwort-Richtlinie ein (mindestens 12 Zeichen, Sonderzeichen, keine Wörterbuch-Begriffe)

Nach der Bestandsaufnahme folgt die Risikoanalyse. Nicht alle Systeme sind gleich schützenswert. Ihre Kundendatenbank braucht höheren Schutz als der Speiseplan der Kantine. Bewerten Sie für jedes System: Wie wahrscheinlich ist ein Angriff? Wie hoch wäre der Schaden? Daraus ergibt sich Ihre Prioritätenliste.

Welche technischen Maßnahmen sind unverzichtbar?

Die technische Basis Ihrer IT-Sicherheit besteht aus mehreren Schutzschichten. Das Zwiebelprinzip hat sich bewährt: Mehrere Sicherheitsebenen übereinander schützen besser als eine einzelne, vermeintlich perfekte Lösung.

Die Firewall bildet Ihre erste Verteidigungslinie. Aber Vorsicht: Die Standard-Firewall Ihres Internet-Routers reicht längst nicht mehr aus. Moderne Angriffe nutzen legitime Protokolle und tarnen sich als normaler Datenverkehr. Hier hilft eine Web App Firewall, die speziell Webanwendungen schützt und auch getarnte Angriffe erkennt. Besonders wenn Sie einen Online-Shop oder Kundenportale betreiben, ist dieser zusätzliche Schutz unverzichtbar.

Antivirenschutz allein genügt heute nicht mehr. Moderne Endpoint Protection Plattformen kombinieren klassische Virenerkennung mit Verhaltensanalyse. Verdächtige Aktivitäten werden erkannt, auch wenn die Schadsoftware noch unbekannt ist.

Die Backup-Strategie folgt der bewährten 3-2-1 Regel: Drei Kopien Ihrer Daten, auf zwei verschiedenen Medientypen, eine Kopie extern gelagert. Aber Achtung: Auch Backups werden verschlüsselt, wenn Ransomware Zugriff darauf hat. Offline-Backups oder unveränderliche Cloud-Backups sind Pflicht.

Verschlüsselung wird oft vernachlässigt, dabei ist die Implementierung heute einfacher denn je. Laptops und mobile Geräte sollten grundsätzlich verschlüsselt sein. Ein verlorenes Notebook beim Kunden wird so nicht zur Datenschutzkatastrophe. E-Mails mit sensiblen Inhalten gehören ebenfalls verschlüsselt. Tools wie PGP oder S/MIME sind in wenigen Stunden eingerichtet.

Wie organisieren Sie Informationssicherheit im Unternehmen?

Technik allein macht noch keine sichere IT. Sie brauchen klare Strukturen und Verantwortlichkeiten. Jemand muss den Hut aufhaben, sonst bleibt Cybersicherheit ein Nebenschauplatz, um den sich niemand richtig kümmert.

Ab 20 Mitarbeitern lohnt sich ein dedizierter Informationssicherheitsbeauftragter. Das muss keine Vollzeitstelle sein. Ein technikaffiner Mitarbeiter mit 20 Prozent Freistellung kann schon viel bewirken. Wichtig ist die direkte Anbindung an die Geschäftsführung und echte Entscheidungsbefugnis.

Die Organisation der IT-Sicherheit braucht dokumentierte Prozesse. Was passiert bei einem Vorfall? Wer entscheidet über Sofortmaßnahmen? Wer kommuniziert mit Kunden? Ein Krisenplan, der erst während der Krise geschrieben wird, funktioniert nicht.

Für die kontinuierliche Überwachung Ihrer Systeme fehlen im Mittelstand oft Ressourcen. Hier bietet sich Managed Detection and Response an. Spezialisierte Sicherheitsteams überwachen Ihre Infrastruktur rund um die Uhr und reagieren sofort auf Anomalien. Die Investition rechnet sich schnell, wenn Sie bedenken, dass ein eigenes 24/7-Security-Team mindestens fünf Vollzeitstellen erfordert.

Definieren Sie Notfallprozesse, bevor der Ernstfall eintritt:

• Notfall-Telefonliste mit allen wichtigen Kontakten (ausgedruckt!)
• Eskalationsstufen festlegen
• Kommunikationsplan für Kunden und Partner
• Wiederanlaufplan für kritische Systeme
• Kontakt zu spezialisierten Incident-Response-Teams

Ein mittelständischer Lebensmittelhändler hat seinen Notfallplan vorbildlich umgesetzt: Farbcodierte Karten für verschiedene Szenarien, monatliche Übungen mit wechselnden Szenarien und eine WhatsApp-Gruppe für schnelle Abstimmung. Als tatsächlich ein Verschlüsselungstrojaner zuschlug, funktionierte die Krisenbewältigung wie am Schnürchen. Nach vier Stunden liefen die wichtigsten Systeme wieder.

Warum ist Mitarbeiterschulung Ihre beste Investition?

Ihre Mitarbeiter können die stärkste Firewall oder das größte Sicherheitsrisiko sein. Die Entscheidung liegt bei Ihnen. Studien zeigen: Unternehmen, die regelmäßig Security Awareness trainieren, reduzieren erfolgreiche Phishing-Angriffe um bis zu 70 Prozent⁷.

Einmal im Jahr eine langweilige PowerPoint-Präsentation reicht nicht. Moderne Awareness-Programme arbeiten mit praktischen Übungen, simulierten Angriffen und kontinuierlichem Lernen. Ein Großhändler aus Düsseldorf schickt monatlich Test-Phishing-Mails an die Belegschaft. Wer draufklickt, bekommt keine Strafe, sondern eine kurze Schulung. Die Klickrate sank binnen sechs Monaten von 34 auf 3 Prozent.

Erfolgreiche Schulungskonzepte setzen auf Gamification und positive Verstärkung. Security-Champions in den Abteilungen, die als Multiplikatoren fungieren. Kurze Video-Nuggets statt stundenlanger Vorträge. Praktische Tipps, die Mitarbeiter auch privat nutzen können. So wird Informationssicherheit vom lästigen Pflichtthema zum gemeinsamen Interesse.

Messen Sie den Erfolg Ihrer Schulungen konkret:

• Phishing-Simulationen mit Erfolgsquoten-Tracking
• Kurze Wissenstests nach Schulungen
• Anzahl gemeldeter Sicherheitsvorfälle (mehr Meldungen sind gut!)
• Reduktion von Sicherheitsverstößen
• Mitarbeiter-Feedback zur Praxistauglichkeit

Der Sicherheits-Baukasten für Ihren Erfolg Informationssicherheit aufzubauen gleicht keinem Hexenwerk, sondern folgt klaren Schritten: Bestandsaufnahme, technische Absicherung, organisatorische Struktur und kontinuierliche Mitarbeiterschulung. Beginnen Sie heute mit dem ersten Schritt, denn jeder Tag ohne Schutz ist ein Tag zu viel.

Welche konkreten Schutzmaßnahmen braucht Ihre Informationssicherheit?

Zwischen Theorie und Praxis liegt oft eine gewaltige Lücke, besonders wenn konkrete Sicherheitsmaßnahmen umgesetzt werden sollen. Hier erfahren Sie, welche Schutzmaßnahmen wirklich funktionieren und wie Sie diese ohne IT-Studium implementieren.

Wie sichern Sie Ihre Daten richtig ab?

Die 3-2-1 Backup-Regel kennen Sie vielleicht schon, aber die wenigsten setzen diese konsequent um. Drei Kopien bedeutet: Produktivdaten plus zwei Backups. Zwei verschiedene Medientypen heißt: nicht nur Festplatten, sondern beispielsweise Festplatte plus Tape oder Cloud. Eine externe Kopie muss physisch getrennt sein, idealerweise mehrere Kilometer entfernt.

Ein Architekturbüro aus Stuttgart dachte, mit täglichen Backups auf dem Server im Keller gut geschützt zu sein. Ein Wasserschaden zerstörte Server und Backup gleichzeitig. Drei Millionen Euro Schaden, zwei Insolvenzen bei Auftraggebern, weil Baupläne nicht rechtzeitig geliefert werden konnten. Externes Backup hätte 200 Euro monatlich gekostet.

Cloud-Backups bieten Vorteile: Automatisierung, Skalierbarkeit und geografische Trennung. Aber Vorsicht vor der Kostenfalle. Ein Maschinenbauer speicherte jahrelang alle Daten in der Cloud, bis die Wiederherstellung nach einem Vorfall plötzlich 45.000 Euro kosten sollte. Egress-Gebühren nennt sich das Geschäftsmodell. Prüfen Sie die Wiederherstellungskosten vorher.

Testen Sie Ihre Backups regelmäßig. Ein Backup, das sich nicht wiederherstellen lässt, ist nutzlos. Planen Sie vierteljährliche Restore-Tests ein. Dokumentieren Sie dabei genau, wie lange die Wiederherstellung dauert. Diese Recovery Time Objective (RTO) bestimmt Ihre Ausfallzeiten im Ernstfall.

Welche Zugriffskontrollen schützen vor Missbrauch?

Das Zero-Trust-Prinzip revolutioniert gerade die IT-Sicherheit. Vertrauen Sie niemandem, verifizieren Sie alles. Klingt paranoid, funktioniert aber. Jeder Zugriff wird einzeln geprüft, egal ob der Mitarbeiter im Büro sitzt oder im Homeoffice arbeitet.

Praktisch bedeutet Zero Trust:

• Minimale Zugriffsrechte als Standard
• Regelmäßige Überprüfung der Berechtigungen
• Kontextabhängige Zugriffsentscheidungen
• Kontinuierliche Authentifizierung

Multi-Faktor-Authentifizierung (MFA) ist dabei Ihr wichtigstes Werkzeug. Passwort plus Smartphone-Code, schon sinkt das Risiko eines erfolgreichen Angriffs um 99,9 Prozent⁸. Microsoft, Google und Apple bieten kostenlose Authenticator-Apps. Die Einrichtung dauert pro Mitarbeiter fünf Minuten.

Ein Steuerbüro führte MFA zunächst nur für die Partner ein. Nach zwei Wochen fragten die Mitarbeiter von selbst nach der „praktischen App“, weil diese auch fürs Online-Banking funktioniert. Sicherheit, die Mehrwert bietet, wird akzeptiert.

Wie schützen Sie mobile Arbeitsplätze und Home-Office?

Die Arbeitswelt hat sich grundlegend gewandelt. 67 Prozent der Mittelständler bieten flexibles Arbeiten an⁹. Jeder Heimarbeitsplatz erweitert aber Ihre Angriffsfläche. Das private WLAN, der Familien-PC, der Drucker ohne Updates, alles potenzielle Einfallstore.

VPN ist kein Allheilmittel, aber ein wichtiger Baustein. Viele Mittelständler glauben, VPN mache sie unsichtbar und unknackbar. Ein Trugschluss. Tarnkappe oder Aluhut? Was VPNs können, und was nicht. VPN verschlüsselt die Verbindung zwischen Heimarbeitsplatz und Firmennetzwerk. Mehr nicht, aber das reicht oft schon.

BYOD (Bring Your Own Device) spart Kosten, erhöht aber Risiken. Wenn Mitarbeiter private Geräte nutzen, brauchen Sie klare Regeln:

• Verpflichtende Sicherheitssoftware
• Automatische Updates aktiviert
• Trennung privater und geschäftlicher Daten
• Remote-Wipe-Möglichkeit bei Verlust
• Regelmäßige Sicherheitschecks

Mobile Device Management (MDM) automatisiert viele dieser Anforderungen. Die Software trennt private und geschäftliche Bereiche auf dem Smartphone. Bei Verlust oder Mitarbeiteraustritt lassen sich Firmendaten fernlöschen, private Fotos bleiben erhalten.

Was gehört in Ihren Notfallplan?

Ein Cyberangriff am Freitagabend, die IT-Abteilung im Wochenende, der Chef im Urlaub. Chaos pur, wenn kein Notfallplan existiert.

Ihr Incident Response Team sollte vorher feststehen. Nicht nur Namen, sondern auch Rollen und Befugnisse. Der Kommunikationsverantwortliche, der Technik-Lead, der Entscheidungsträger für „Zahlen oder nicht zahlen“. Private Handynummern gehören auf eine laminierte Karte, die jedes Teammitglied im Geldbeutel trägt. Digital nutzt nichts, wenn die Systeme verschlüsselt sind.

Die ersten 60 Minuten entscheiden über Erfolg oder Katastrophe. Ihr Notfallplan muss klare Sofortmaßnahmen definieren:

1. Betroffene Systeme isolieren (Netzwerkkabel ziehen!)
2. Beweissicherung starten (Logs, Screenshots, Speicherabbilder)
3. Krisenstab aktivieren
4. Erste Schadensbewertung
5. Kommunikationsstrategie festlegen

Kommunikation im Krisenfall folgt eigenen Regeln. Transparenz schafft Vertrauen, Schweigen nährt Gerüchte. Aber auch zu viel Information schadet. „Wir wurden gehackt und wissen nicht weiter“ ist keine gute Kundenkommunikation. Besser: „Wir haben eine Sicherheitswarnung festgestellt und untersuchen diese mit höchster Priorität. Ihre Daten sind durch mehrfache Sicherung geschützt.“

Wie testen Sie Ihre Sicherheitsmaßnahmen?

Vertrauen ist gut, Kontrolle ist überlebenswichtig. Penetrationstests simulieren echte Angriffe auf Ihre Systeme. Ein ethischer Hacker versucht einzubrechen und dokumentiert alle Schwachstellen. Kosten: 5.000 bis 15.000 Euro, je nach Umfang. Die Investition lohnt sich, wenn Sie bedenken, was ein echter Angriff kosten würde.

Ein Handelsunternehmen beauftragte einen Pentest. Nach zwei Stunden hatte der Tester Zugriff auf alle Kundendaten. Die Schwachstelle: Ein vergessener Testserver mit Standardpasswort. Peinlich, aber heilsam. Besser der Tester findet solche Lücken als ein Krimineller.

Red Team Exercises gehen noch weiter. Hier wird nicht nur die Technik, sondern die gesamte Organisation getestet. Social Engineering inklusive. Das Red Team versucht mit allen legalen Mitteln einzudringen. Das Blue Team (Ihre Sicherheitsmannschaft) muss den Angriff erkennen und abwehren. Lehrreich, aber auch anstrengend für alle Beteiligten.

Sicherheit konkret umsetzen Vom Backup bis zum Pentest: Konkrete Schutzmaßnahmen für Ihre Informationssicherheit existieren reichlich, die Kunst liegt in der richtigen Auswahl und konsequenten Umsetzung. Starten Sie mit den Basics und bauen Sie systematisch auf.

Was kostet professionelle Informationssicherheit wirklich?

Die Budgetfrage bei der Informationssicherheit gleicht oft einem Blick in die Glaskugel, dabei existieren durchaus belastbare Kalkulationsmodelle. Verstehen Sie die wahren Kosten und noch wichtiger: warum sich jeder investierte Euro dreifach auszahlt.

Welches Budget sollten Sie einplanen?

Die Bitkom-Studie 2024 zeigt: Deutsche Mittelständler investieren durchschnittlich 3,7 Prozent ihres IT-Budgets in Cybersicherheit³. Klingt wenig? Ist es auch. Experten empfehlen mindestens 6 bis 8 Prozent. Bei einem typischen Mittelständler mit 100 Mitarbeitern und einem IT-Budget von 500.000 Euro jährlich sprechen wir also über 30.000 bis 40.000 Euro für IT-Security.

Aber pauschale Prozentsätze führen in die Irre. Ein Ingenieurbüro mit wertvollen Konstruktionsdaten braucht anderen Schutz als ein Handwerksbetrieb. Die risikobasierte Budgetierung funktioniert besser: Welchen Schaden würde ein erfolgreicher Angriff verursachen? Zehn Prozent davon sollten Sie jährlich in Prävention investieren.

Ein Beispiel macht das deutlich: Ein Automobilzulieferer kalkulierte den maximalen Schaden eines Ransomware-Angriffs auf 2,5 Millionen Euro (Produktionsausfall, Konventionalstrafen, Wiederherstellung). Daraus ergab sich ein Sicherheitsbudget von 250.000 Euro jährlich. Nach einem verhinderten Angriff war klar: Die Investition hat sich bereits im ersten Jahr amortisiert.

Fördermöglichkeiten nutzen viele Mittelständler nicht. Das Bundeswirtschaftsministerium fördert IT-Sicherheitsinvestitionen mit bis zu 50 Prozent (go-digital Programm). Die KfW bietet zinsgünstige Digitalisierungskredite. Manche Bundesländer haben eigene Programme. Ein Maschinenbauer aus Bayern erhielt 35.000 Euro Förderung für seine Security-Modernisierung. Geschenktes Geld, das viele liegen lassen.

Wann lohnt sich externes Outsourcing?

Die Make-or-Buy-Entscheidung bei IT-Sicherheit ist komplex. Ein interner Sicherheitsexperte kostet mindestens 75.000 Euro brutto jährlich, plus Fortbildungen, plus Ausfallzeiten. Und Sie finden überhaupt erst mal einen. Der Fachkräftemangel in der IT-Security ist dramatisch: 137.000 offene Stellen in Deutschland¹⁰.

Managed Security Services bieten eine Alternative. Für 2.000 bis 5.000 Euro monatlich bekommen Sie:

• 24/7 Monitoring Ihrer Systeme
• Sofortreaktion bei Vorfällen
• Regelmäßige Sicherheitsreports
• Updates und Patch-Management
• Zugang zu Spezialisten-Know-how

Ein Pharmahändler mit 80 Mitarbeitern rechnete durch: Eigener Security-Experte plus Vertretung plus Tools hätten 150.000 Euro jährlich gekostet. Die Managed Security Lösung kostet 48.000 Euro und bietet besseren Schutz. Die Entscheidung fiel leicht.

Aber Outsourcing hat Grenzen. Kernkompetenzen gehören ins Haus. Strategische Entscheidungen, Governance und Compliance-Verantwortung können Sie nicht wegdelegieren. Das optimale Modell kombiniert oft beides: Ein interner Koordinator arbeitet mit externen Spezialisten.

Vorsicht vor Billiganbietern. Security-Monitoring für 99 Euro monatlich kann nicht funktionieren. Prüfen Sie Referenzen, Zertifizierungen und vor allem: Was passiert im Ernstfall? Wer haftet? Wie schnell kommt Hilfe? Ein Textilhändler sparte am falschen Ende, der Billiganbieter meldete sich im Ransomware-Fall erst nach 72 Stunden. Da war bereits alles verschlüsselt.

Wie berechnen Sie den ROI Ihrer IT-Sicherheit?

Return on Investment bei Informationssicherheit zu berechnen, erscheint zunächst paradox. Wie bewerten Sie etwas, das nicht passiert ist? Trotzdem existieren bewährte Modelle.

Die Grundformel: ROI = (Vermiedene Schäden – Sicherheitskosten) / Sicherheitskosten × 100

Vermiedene Schäden kalkulieren Sie über Eintrittswahrscheinlichkeit mal potenziellem Schaden. Laut BSI liegt die Wahrscheinlichkeit eines erfolgreichen Cyberangriffs für ungeschützte Mittelständler bei 46 Prozent pro Jahr¹. Mit professioneller IT-Sicherheit sinkt diese auf etwa 5 Prozent.

Rechenbeispiel für einen Mittelständler:

• Potenzieller Schaden eines Angriffs: 500.000 Euro
• Wahrscheinlichkeit ohne Schutz: 46% = 230.000 Euro Risikowert
• Wahrscheinlichkeit mit Schutz: 5% = 25.000 Euro Risikowert
• Vermiedener Schaden: 205.000 Euro
• Sicherheitsinvestition: 50.000 Euro
• ROI: 310 Prozent

Zusätzliche Einsparungen verstärken den Effekt. Cyber-Versicherungen werden mit guter IT-Sicherheit bis zu 40 Prozent günstiger. DSGVO-Compliance verhindert Bußgelder. Manche Kunden fordern Sicherheitsnachweise als Voraussetzung für Aufträge.

Ein Zulieferer der Automobilindustrie durfte nach ISO 27001 Zertifizierung die Preise um zwei Prozent erhöhen. Begründung: Nachgewiesene Liefersicherheit. Die Kunden zahlten gerne den Aufpreis, weil eigene Ausfallrisiken sanken.

Aber nicht alles lässt sich in Euro messen. Vertrauen, Reputation, Mitarbeiterzufriedenheit, ruhiger Schlaf der Geschäftsführung. Ein Handelsunternehmen führte nach einem Beinahe-Vorfall umfassende Sicherheitsmaßnahmen ein. Der Geschäftsführer: „Die 80.000 Euro jährlich sind mir meine Gesundheit wert. Seit ich weiß, dass Profis aufpassen, schlafe ich wieder durch.“

Die Amortisationszeit professioneller Cybersicherheit liegt typischerweise bei 14 bis 18 Monaten. Danach wird aus der Versicherung gegen Schäden ein Wettbewerbsvorteil. Kunden honorieren Verlässlichkeit, Mitarbeiter schätzen moderne, sichere Arbeitsplätze, Versicherer gewähren Rabatte.

Investition mit Renditegarantie Professionelle Informationssicherheit kostet Geld, keine Frage, aber die Alternative kostet mehr. Planen Sie 6-8 Prozent Ihres IT-Budgets ein, prüfen Sie Outsourcing-Optionen und rechnen Sie den ROI realistisch: Sie werden überrascht sein, wie schnell sich Sicherheit bezahlt macht.

Wie bleiben Sie bei der Informationssicherheit am Ball?

Informationssicherheit ist kein Projekt mit Enddatum, sondern ein kontinuierlicher Prozess, der sich permanent weiterentwickelt. Wer heute aufhört zu lernen, ist morgen das nächste Opfer.

Welche Trends prägen die Cybersicherheit 2025?

Künstliche Intelligenz wird zum Gamechanger auf beiden Seiten. Angreifer nutzen KI für personalisierte Phishing-Kampagnen, die selbst Profis täuschen. Verteidiger setzen auf Machine Learning zur Anomalie-Erkennung. Ein Wettrüsten, bei dem Geschwindigkeit entscheidet.

Quantencomputer stehen vor dem Durchbruch. Was heute noch Science Fiction klingt, wird in wenigen Jahren aktuelle Verschlüsselungen knacken. Unternehmen, die jetzt auf quantenresistente Kryptografie umstellen, haben die Nase vorn. Das BSI empfiehlt bereits konkrete Algorithmen für die Post-Quanten-Ära¹.

Zero Trust wird vom Konzept zum Standard. Perimeterschutz allein funktioniert nicht mehr, wenn Mitarbeiter von überall arbeiten. Jeder Zugriff wird verifiziert, egal woher er kommt. Microsoft macht es vor: Seit der kompletten Zero-Trust-Implementierung sanken erfolgreiche Angriffe um 87 Prozent¹¹.

Wie entwickeln Sie Ihre Security-Strategie weiter?

Stillstand bedeutet Rückschritt, besonders bei IT-Sicherheit. Planen Sie quartalsweise Reviews Ihrer Sicherheitsarchitektur ein. Was hat funktioniert? Wo gab es Beinahe-Vorfälle? Welche neuen Bedrohungen sind relevant?

Ein Elektronikhändler führte monatliche Security-Meetings ein. Jede Abteilung berichtet über Auffälligkeiten. Resultat: Drei Angriffe wurden frühzeitig erkannt, weil Mitarbeiter sensibilisiert waren. Die Investition: zwei Stunden Meetingzeit pro Monat.

Lernen Sie aus jedem Vorfall, auch aus denen bei anderen. Das BSI veröffentlicht anonymisierte Fallstudien, die Allianz für Cybersicherheit bietet Erfahrungsaustausch. Ein Vorfall bei der Konkurrenz ist Ihre kostenlose Lehrstunde.

Wo finden Sie verlässliche Informationen und Unterstützung?

Das BSI bleibt Ihre erste Anlaufstelle. Der Warn- und Informationsdienst verschickt kostenlose Alerts bei akuten Bedrohungen. Die Cyber-Sicherheits-Umfrage gibt jährlich Einblicke in die Bedrohungslage. Praktische Handlungsempfehlungen speziell für KMU runden das Angebot ab.

Die Allianz für Cybersicherheit vernetzt über 6.000 Unternehmen. Regionale Treffen ermöglichen persönlichen Austausch. Gemeinsam stark: Ein Metallbauer aus Sachsen verhinderte einen Millionenschaden, weil ein Netzwerkpartner vor einer neuen Angriffswelle warnte.

Branchenverbände bieten spezifische Hilfe. Der VDMA für Maschinenbauer, Bitkom für IT-Unternehmen, der Handelsverband für Retailer. Kostenlose Leitfäden, Webinare und Beratung helfen bei der Umsetzung.

Dranbleiben lohnt sich Cybersicherheit entwickelt sich rasant weiter, aber mit systematischen Reviews, verlässlichen Informationsquellen und kontinuierlicher Anpassung bleiben Sie den Angreifern einen Schritt voraus.

Fazit: Ihre Informationssicherheit startet heute

Informationssicherheit ist keine Option mehr, sondern Überlebensbedingung für jeden Mittelständler. Die durchschnittlichen Schäden von 72.000 Euro bei KMU oder die 206 Milliarden Euro Gesamtschaden für die deutsche Wirtschaft sprechen eine deutliche Sprache.

Aber Panik hilft nicht weiter. Mit systematischem Vorgehen schaffen Sie robuste Cybersicherheit: Bestandsaufnahme, Risikoanalyse, technische Grundabsicherung, organisatorische Strukturen und kontinuierliche Mitarbeiterschulung. Die Investition von 6-8 Prozent Ihres IT-Budgets in IT-Security zahlt sich mit einem ROI von durchschnittlich 310 Prozent aus.

Starten Sie heute mit drei konkreten Schritten:

1. Aktivieren Sie Zwei-Faktor-Authentifizierung bei allen Cloud-Diensten
2. Planen Sie einen Backup-Test für nächste Woche
3. Melden Sie sich beim BSI-Warn- und Informationsdienst an

Jeder Tag ohne angemessene Informationssicherheit erhöht Ihr Risiko. Jeder Tag mit professionellem Schutz stärkt Ihr Unternehmen. Die Entscheidung liegt bei Ihnen.

Quellenverzeichnis:

¹ BSI-Lagebericht zur IT-Sicherheit in Deutschland 2024
² Kaspersky Ransomware Report 2024
³ Bitkom Wirtschaftsschutz-Studie 2024
⁴ Verizon Data Breach Investigations Report 2024
⁵ Europol Internet Organised Crime Threat Assessment 2024
⁶ Bundesnetzagentur NIS2-Umsetzungsgesetz 2024
⁷ KnowBe4 Security Awareness Training Report 2024
⁸ Microsoft Digital Defense Report 2024
⁹ Institut für Mittelstandsforschung Bonn, Digitalisierungsstudie 2024
¹⁰ Bitkom IT-Fachkräftestudie 2024
¹¹ Microsoft Zero Trust Adoption Report 2024

AV-TEST Institut Malware-Statistik 2024/2025: https://www.av-test.org/de/statistiken/malware/