IT-Sicherheit : Viele NRW-Betriebe auf Cyberangriffe schlecht vorbereitet

Es ist zwei Tage vor Weihnachten 2023, gegen 9:30 Uhr am Morgen, als im Büro der Bergischen Strukturgesellschaft in Solingen ein Mitarbeiter der Grafikabteilung Alarm schlägt. Auf dem Server ändern sich vor seinen Augen die Dateiendungen: "Ich glaube, wir haben ein Cyberproblem."

Wenig später friert das System ein. Geschäftsführer Stefan Vogelskamp greift durch: Ab 10:15 Uhr arbeitet niemand mehr digital, das Landeskriminalamt ist bereits verständigt. Mitarbeitende, viele schon im Weihnachtsurlaub, müssen ihre Geräte ins Büro bringen. Um 13 Uhr steht die Kripo im Haus, ab 15 Uhr übernimmt eine IT-Sicherheitsfirma die Aufräumarbeiten.

Hinter dem Angriff steckt "Akira", eine bekannte Erpressergruppe. Sie hat die Systeme verschlüsselt und viele Gigabyte an Daten gestohlen. Getroffen hat es ausgerechnet die Wirtschaftsförderung, die mit dem Land NRW die Modellregion Cybersicherheit im Bergischen aufbaut - und zwei Jahre zuvor bei einer Prüfung als gut geschützt galt.

Die Angriffe nehmen zu - hohe Dunkelziffer

Was die Agentur erlebt hat, trifft immer mehr Unternehmen in NRW. 179 Firmen zählte das LKA 2024 als Opfer von Ransomware, also Erpressersoftware. Tatsächlich sind es wahrscheinlich weitaus mehr: "Nur ein Bruchteil der Fälle landet erfahrungsgemäß bei der Polizei", sagt Felix Kuhlenkamp, Leiter Sicherheit beim Digitalverband Bitkom. Und schon gar nicht in der Öffentlichkeit.

Cyberangriffe kosten deutsche Unternehmen jedes Jahr Unsummen: In einer Bitkom-Befragung bezifferten sie die Schäden für 2025 auf 202 Milliarden Euro - 50 Prozent mehr als noch fünf Jahre zuvor. Allein auf NRW dürfte davon ein zweistelliger Milliardenbetrag entfallen.

Wie schnell solche Summen zusammenkommen, rechnet Jannik Pewny von der IT-Sicherheitsfirma Secunet aus Essen vor: Bei produzierenden Unternehmen koste ein Stillstand der Maschinen schnell mehrere Millionen Euro - pro Tag. Bis zur Normalität vergingen oft Wochen: "Der Rattenschwanz ist enorm."

Verbrechen als Dienstleistung

Wenn ein Unternehmen Opfer eines Cyberangriffs wird, werden Pewny und sein Team verständigt, gewissermaßen als Cyberfeuerwehr: Schaden begrenzen, Systeme sichern, den Weg der Angreifer rekonstruieren. Dabei beobachtet Pewny, wie sich eine Schattenindustrie aufgebaut hat: Firmenähnlich organisierte Gruppen bildeten eine kriminelle Wertschöpfungskette - von gefälschten E-Mails über den Handel mit gestohlenen Zugängen bis zur Geldwäsche.

Beim Cybercrime-Kompetenzzentrum des LKA NRW kennt man das System aus unzähligen Verfahren. Kerngruppen lieferten Software, Infrastruktur und Verhandlungsführung, angeschlossene Partner führten die Angriffe gegen Gewinnbeteiligung aus. So schildern es die Ermittler: Vor der Erpressung analysierten die Täter Bilanzen und Patente ihrer Opfer; die Forderung liege oft bei rund zehn Prozent des Jahresumsatzes. Häufig blieben die Kriminellen monatelang unentdeckt im System.

LKA-Sonderermittler Markus Steffan

Markus Steffan, der beim LKA die Ermittlungskommissionen für herausragende Cyberangriffe leitet, verfolgt die Täterbanden bis ins Ausland. Die Spur führe dabei häufig nach Russland. Eine staatliche Beauftragung lasse sich nicht nachweisen, sagt er. Doch die Gruppen agierten dort unbehelligt. 2024 hat die britische Kriminalpolizei bei einer Gruppe enge Kontakte zum russischen Geheimdienst dokumentiert und wie erbeutete Informationen beim russischen Staat landen.

Zugleich wachse die Szene von unten, sagt Steffan: "Die Einstiegshürden für Cyberkriminelle sinken, für einen Angriff muss man kein Hacker mehr sein." KI könnte diese Entwicklung beschleunigen: Laut Bitkom kursieren bereits fehlerfreie KI-Phishing-Mails; jüngst wurde der erste wohl vollständig KI-basierte Ransomware-Angriff festgestellt. Und nun haben KI-Modelle des Chat-GPT-Entwicklers OpenAI sogar eigenständig ein Unternehmen gehackt.

Manche Unternehmen gehen nach Angriff insolvent

Bei der Bergischen Strukturgesellschaft rekonstruierten die Forensiker den Angriff: Im Mai 2023 nutzten die Täter eine Sicherheitslücke in einer Software, loggten sich im Herbst ein, kurz vor Weihnachten schlugen sie zu. Das Erpresserschreiben: höflich formuliert, mit Link zu einem Chat im Darknet. Auch hier führte die Spur nach Russland. Der Angriff, so gibt Vogelskamp die Einschätzung der Ermittler wieder, sei "Teil des Wirtschaftskrieges": Es gehe um Geld, Informationen, Chaos.

Stephan Vogelskamps Agentur wurde gehackt

Gezahlt hat die Agentur nicht - anders als laut Bitkom jedes siebte betroffene Unternehmen. Nach etwa einem Monat lief alles wieder, zwei Drittel der Laptops und die Server mussten ersetzt werden. Andere trifft es härter: Vogelskamp kennt Betriebe, die monatelang stillstanden oder nach einem Angriff insolvent gingen. Dreimal im Monat melde sich bei ihm ein gehacktes Unternehmen aus der Region, ratlos, wie es reagieren soll.

Riskante Klicks, fehlende Schulungen

Wie verwundbar kleinere Unternehmen sind, zeigt eine Befragung von mehr als 1.100 NRW-Beschäftigten für die IT-Sicherheitsfirma G Data: Zwei von drei Befragten haben am Firmengerät schon aus Neugier Riskantes getan - unbekannte Links geklickt, Anhänge geöffnet. "Der Mensch ist immer das schwächste Glied in der Kette", sagt Kuhlenkamp von Bitkom. Häufig würden Angreifer auch über schlecht geschützte Zulieferer in größere Unternehmen eindringen.

Pewny kennt die Einfallstore aus unzähligen Testangriffen: Phishing-Mails, fehlende Updates. Bei manchen Unternehmen, darunter auch Betreiber kritischer Infrastrukturen, habe er das immergleiche Passwort in unterschiedlichen Accounts und Netzwerken gefunden:

Regelmäßige Schulungen könnten die Gefahren verringern, doch in der Mehrheit der Betriebe in NRW werden Mitarbeitende gar nicht oder nur unregelmäßig zur Cybersicherheit geschult.

Doch Schulungen sind nur ein Baustein: Insgesamt liegt das IT-Sicherheitsniveau in kleinen und mittleren Betrieben deutlich unter dem der großen. LKA-Ermittler Steffan kennt die Haltung dahinter: "Viele Betriebe denken: Was wollen die Angreifer von mir? Bei mir gibt es doch gar nichts Wertvolles zu holen." Ein Irrtum: "Die Frage ist nicht, ob man von einem Ransomware-Angriff getroffen wird, sondern wann."

Ähnliches beobachtet Thomas Lämmer-Gamp, Leiter Infrastruktur bei der Bergischen Strukturgesellschaft: Bei Betrieben mit 30 bis 60 Beschäftigten sei die IT-Abteilung - wenn es sie gibt - selten stark genug für die Abwehr. Nur etwa die Hälfte der kleinen und mittleren Betriebe in der Region habe überhaupt eine Notfallplanung.

Und nun warten durch KI weitere Hürden: 67 Prozent der NRW-Beschäftigten erwarten, dass KI-gestützte Angriffe zunehmen. Geschult wurde dafür bisher nur rund ein Drittel.

EU-Richtlinie macht Druck auf Unternehmen

Seit Anfang 2026 müssen laut IT-Sicherheitsbehörde BSI 29.500 deutsche Unternehmen die Auflagen der neuen EU-Sicherheitsrichtlinie NIS-2 erfüllen. Dazu gehören etwa ein Notfallplan, regelmäßige Datensicherungen, Schulungen für Beschäftigte, behördliche Meldungen von Sicherheitsvorfällen und ein Blick auf die IT-Sicherheit der eigenen Zulieferer.

In die Pflicht genommen werden nun auch Branchen wie der Maschinenbau, die Lebensmittelindustrie oder Logistiker - teils schon ab 50 Mitarbeitenden oder zehn Millionen Euro Jahresumsatz. Doch die Umsetzung stockt.

Kurz vor Inkrafttreten hatten laut einer G-Data-Umfrage nur wenige Unternehmen die Vorgaben vollständig umgesetzt. Viel besser wurde es seither nicht: Das BSI verlängerte die Registrierungsfrist zuletzt von März auf Ende Juli.

Hannah Knuth von der landesgeförderten NIS-2-Anlaufstelle von Eurobits berät Mittelständler kostenfrei: "Ich rufe bei Verbänden in ganz NRW an und frage: Kennen Sie NIS-2? In 95 Prozent der Fälle sagen die: noch nie davon gehört." Betroffene Unternehmen werden in Deutschland anders als in anderen EU-Ländern nicht aktiv benachrichtigt.

NIS-2-Prozess aufwendig

Philipp Nicolai vom Maschinenbauer MKW Digital Automation aus Wuppertal (80 Mitarbeitende, zehn Millionen Euro Umsatz) war schon vor NIS-2 gut aufgestellt: IT-Abteilung, Pflicht-Schulungen mit Prüfung, Notstrom, dreifach redundante Internetanbindung.

Die Spezialmaschinen, die MKW für Fabriken baut, wartet die Firma aus der Ferne - ein mögliches Einfallstor. Deshalb läuft der Zugriff über ein abgeschottetes Netzwerk, jede Maschine ist vom Rest getrennt.

Investieren muss er trotzdem: ein neuer Penetrationstest für rund 10.000 Euro, Zertifizierungen sowie neue Melde- und Dokumentationspflichten. Unterm Strich: dauerhaft eine zusätzliche halbe bis dreiviertel IT-Stelle.

Aus der Branche kennt Nicolai die Klagen: Wer bei null anfange, empfinde den NIS-2-Prozess als "sehr schleppend und aufwendig". Nötig sei eine grundlegende Neuausrichtung der internen Abläufe, mit Investitionen teils in Millionenhöhe - ausgerechnet jetzt, wo die Industrie mit hohen Kosten und schlechter Konjunktur kämpft. IT-Kosten weitergeben könne MKW kaum: Seine Kunden stünden selbst im Preiskampf mit Herstellern aus Fernost, für die Cybersicherheit kaum eine Rolle spiele.

Maschinen wie die der Firma MKW müssen durch die neue EU-Richtlinie vor Cyberangriffen geschützt sein.

Selbst wer sich bei der NIS-2-Stelle beraten lässt, sucht oft nach Ausflüchten: "Die meisten erzählen, wie wichtig sie für die Industrie sind - und im nächsten Schritt versuchen sie zu erklären, warum NIS-2 für sie nicht relevant sei." Versichern Firmenchefs, ihre Computer seien bestens geschützt, fragt Knuth nach den vernetzten Maschinen in der Produktion. Daran haben dann viele nicht gedacht.

Bei Verstößen drohen hohe Geldbußen, durch NIS-2 können nun sogar "Geschäftsführer für mangelnde IT-Sicherheit haftbar gemacht werden", betont Kuhlenkamp. Kontrollieren kann das BSI die Vielzahl an Unternehmen kaum.

Hundertprozentigen Schutz gibt es nicht

Doch Sicherheit liege ohnehin im Eigeninteresse jedes Betriebs, sagt Knuth. Es gehe darum, Angriffe zu erschweren und Schäden zu begrenzen. "Ein Angriff kostet immer viel, viel mehr als die Investitionen."

Bei der Wirtschaftsförderung haben sie daraus Konsequenzen gezogen und ihren Schutz systematisch ausgebaut: eine Cyberversicherung, regelmäßig geprobte Abläufe für den Ernstfall, zusätzliche Backups. Und den Notfallplan gibt es ausgedruckt im Schrank, samt aller wichtigen Nummern, falls wieder nichts mehr geht.

Und als NRW-Modellregion probt man mit den Betrieben im Bergischen Städtedreieck den Ernstfall - mit simulierten Angriffen auf die kritische Infrastruktur, gemeinsam mit estnischen NATO-Cyberexperten. Vogelskamp betont: "Die Frage ist: Wie werde ich resilient - was mache ich, wenn es passiert?"

Unsere Quellen:

Sendung: WDR.de, Cyberangriffe: Viele Betriebe kaum geschützt, 24.07.2026, 16:49 Uhr.