„Zu klein, um interessant zu sein“: die verlorene Wette der belgischen KMU gegen Ransomware

Es ist der Satz, der beruhigt – und der verurteilt: „Wir sind zu klein, niemand interessiert sich für uns.“ Er ist falsch, und er ist gefährlich. Moderne Angriffe zielen nicht mehr, sie kämmen ab: Ein Skript scannt Tausende Unternehmen gleichzeitig und trifft die anfälligsten, ohne deren Größe zu kennen und ohne sich dafür zu interessieren. In Belgien wurden 42 % der KMU bereits getroffen, und die durchschnittlichen Kosten eines Angriffs sind auf 42.000 Euro gesprungen. Das Gefühl, klein zu sein, ist zum wichtigsten Risikofaktor geworden.

Ein Freitagabend, in einem Industrie-KMU. Die Teams sind weg, die Server laufen. Irgendwo testet ein automatisiertes Programm Tausende Adressen, entdeckt einen schlecht geschützten Zugang, tritt ein. Am Montagmorgen sind die Dateien verschlüsselt, die Produktion steht, und eine Nachricht fordert Lösegeld in Kryptowährung. Niemand auf Angreiferseite hat je von diesem Unternehmen gehört. Es wurde nicht ausgewählt, es wurde gefunden. Genau darin liegt der ganze Unterschied zwischen der Bedrohung von gestern, gezielt, und der von heute, industriell und blind.

Das Ende von „das trifft nur die Großen“

Die belgischen Zahlen zerlegen den Mythos methodisch. Nach Daten, die die Fachpresse aus den Arbeiten des Centre pour la Cybersécurité Belgique (belgisches Zentrum für Cybersicherheit) zitiert, erlebt das Land im Durchschnitt das Äquivalent von mehr als zwanzig Ransomware-Angriffen pro Tag, und 42 % der belgischen KMU wurden bereits von einem Angriff getroffen. Schlimmer noch: 30 % der Unternehmen verfügen bis heute über keine Cybersicherheitsstrategie. Die am stärksten betroffenen Branchen sind nicht nur die Hochtechnologie: Handel und Industrie stehen an der Spitze, und das häufigste Einfallstor bleibt von entwaffnender Banalität – die Übernahme eines Kontos und die Ausnutzung einer nicht behobenen Schwachstelle. Der Angriff beginnt fast nie mit einem Tastaturgenie, er beginnt mit einem schwachen Passwort oder einem vergessenen Update.

Phishing, diese Tür, die man selbst öffnet

Die widersinnigste Tatsache der ganzen Cybersicherheit steckt in einer Statistik: Die große Mehrheit der Vorfälle beginnt nicht mit einer technischen Meisterleistung, sondern mit einer simplen E-Mail. Eine Nachricht, die eine Rechnung, eine Bank, einen Lieferanten oder einen Kollegen imitiert und einen Mitarbeitenden in Eile dazu bringt, zu klicken, ein Passwort einzugeben, einen Anhang zu öffnen. Das ist kein IT-Problem, das ist ein Problem der Organisation und der menschlichen Wachsamkeit. Für KMU hat das eine entscheidende Folge: Der wesentliche Teil des Schutzes wird nicht gekauft, er setzt sich in den Gewohnheiten fest. Starke und einmalige Passwörter, eine Zwei-Faktor-Authentifizierung, eingespielte Updates, getestete Backups und Teams, die eine getarnte E-Mail erkennen. Keine dieser Maßnahmen verlangt das Budget eines Großunternehmens.

NIS2: Das Thema hat gerade seine Natur geändert

Ein neues Element mischt 2026 die Karten neu: die europäische NIS2-Richtlinie, in belgisches Recht umgesetzt durch das Gesetz vom 15. Mai 2025. Sie erweitert die Cybersicherheitspflichten auf eine weit größere Zahl von Organisationen, darunter KMU aus Sektoren, die als essenziell oder wichtig eingestuft sind, und verlangt eine Registrierung beim Centre pour la Cybersécurité Belgique. Zwei konkrete Folgen. Erstens: Für die direkt betroffenen Unternehmen ist Konformität nicht mehr optional. Zweitens, und das betrifft fast alle: Große Auftraggeber, die NIS2 unterliegen, verlangen von ihren KMU-Lieferanten inzwischen Sicherheitsgarantien. Cybersicherheit wird zur Bedingung für den Zugang zu Märkten, unabhängig von der eigenen Größe. Das Thema ist vom theoretischen Risiko zur geschäftlichen Anforderung geworden.

Sicherheit ist keine Option mehr, sie ist eine Überlebensbedingung