Ein einziger Einbruch kann ein mittelständisches Unternehmen ruinieren
Ein Maschinenbauer aus Bayern – 80 Mitarbeiter, 25 Millionen Jahresumsatz – bekommt eine E-Mail. Der Absender: das BSI. Die Nachricht: Ein Hackerangriff auf einen Zulieferer hat eine Sicherheitslücke offengelegt, über die auch der Maschinenbauer angegriffen wurde. Ergebnis: 6 Wochen Produktionsausfall, Lösegeld-Forderung in Höhe von 400.000 €, Gesamtschaden inklusive Produktionsausfall und Datenwiederherstellung: über 2 Millionen Euro.
Das ist kein fiktives Szenario. Das ist die Realität für durchschnittlich 70–80 deutsche Mittelständler pro Tag (BSI-Lagebericht 2024). Und die Dunkelziffer ist hoch – viele Unternehmen melden Angriffe nicht.
Der größte Fehler, den Geschäftsführer machen? Sie glauben, ihr Unternehmen sei zu klein, zu unbedeutend oder zu gut geschützt. Fakt ist: 60 % der Cyberangriffe zielen auf kleine und mittlere Unternehmen ab. Und die wenigsten sind darauf vorbereitet.
Was ist VAPT – und warum brauchen Sie beides?
Vulnerability Assessment (VA) – Die Bestandsaufnahme
Ein Vulnerability Assessment ist wie ein Hausrundgang mit der Checkliste eines Gutachters. Ein automatisiertes Tool scannt Ihre gesamte IT-Infrastruktur – Server, Netzwerke, Firewalls, Webanwendungen, Cloud-Dienste – und vergleicht sie mit einer Datenbank bekannter Schwachstellen (CVEs).
Vorteil: Schnell, umfassend, wiederholbar.
Nachteil: Findet nur bekannte Schwachstellen – keine logischen Fehler oder kombinierte Angriffspfade.
Penetration Testing (PT) – Der Stresstest
Ein Penetration-Test geht einen Schritt weiter. Hier greift ein ethischer Hacker Ihr System aktiv an – mit denselben Methoden und Tools wie ein echter Angreifer. Der Unterschied: Er hat Ihre Erlaubnis und dokumentiert alles.
Vorteil: Findet das, was kein Scanner sieht – Konzeptionsfehler, logische Lücken, kombinierte Angriffspfade.
Nachteil: Aufwändiger und teurer – daher sinnvoll 1–2 x jährlich.
Die Kombination macht den Unterschied
| Kriterium | VA (Scan) | PT (Pentest) | VAPT (Beides) |
|---|---|---|---|
| Frequenz | Wöchentlich / monatlich | 1–2 x pro Jahr | Kontinuierlich + punktuell |
| Kosten | Ab 500 € / Monat | Ab 5.000 € / Test | Effizientester ROI |
Warum gerade Mittelständler im Fokus der Angreifer stehen
1. Der Mittelstand ist das schwächste Glied in der Lieferkette
Großkonzerne haben Security-Operation-Centers. Der Mittelständler meist einen IT-Administrator. 75 % aller erfolgreichen Angriffe auf Großunternehmen erfolgen über Drittanbieter oder Zulieferer (Verizon DBIR 2024).
2. Mittelständler zahlen häufiger Lösegeld
Wenn die Produktion steht, steht die Existenz auf dem Spiel. Die Bereitschaft zu zahlen ist beim Mittelstand deutlich höher.
3. Die größten Sicherheitslücken im Mittelstand
- Ungepatchte Systeme – 68 % patchen kritische Lücken später als 30 Tage
- Schwache Passwörter & fehlende 2FA – bei 40 % der KMIs
- Offene RDP-Ports ohne VPN
- Fehlende Netzwerksegmentierung
Praxisbeispiel: Wie ein Pentest einen 7-stelligen Schaden verhinderte
Das Unternehmen: Ein Kunststoffverarbeiter mit 150 Mitarbeitern – Zulieferer der Automobilindustrie.
Der Pentest: Ein ethischer Hacker von CyberEiche bekam nur die öffentliche IP-Adresse.
Was er in 3 Tagen fand:
- Ungepatchten Web-Server (CVE-2023-44487 – kritisch) → Zugriff ins interne Netz
- Keine Segmentierung zwischen Büro-IT und Produktions-IT
- Ungesicherte Datenbank mit Zugangsdaten zum Kundenportal eines Automobilherstellers
- Backup-System im selben Netz – Angreifer hätten Backups löschen können
Geschätzter Schaden: 3–5 Millionen Euro verhindert. Der Geschäftsführer: „Wir haben 5.000 € bezahlt und damit 3 Millionen gespart.“
Der VAPT-Prozess von CyberEiche
Phase 1 – Scoping: Welche Systeme werden getestet? (Intern, extern, Cloud, APIs, Social Engineering)
Phase 2 – Vulnerability Assessment: Automatisierter Scan mit Nessus, OpenVAS, Qualys
Phase 3 – Manuelle Validierung: Jede kritische Lücke wird vom Pentester live geprüft und ausgenutzt
Phase 4 – Bericht: Executive Summary + technischer Bericht + priorisierte Handlungsempfehlungen
Phase 5 – Retest: Sind die Lücken wirklich geschlossen?
Mythen über Penetration-Tests
„Das ist zu teuer für uns“
Ein Pentest ab 5.000 €. Ein Cyberangriff kostet 150.000–500.000 € (Hiscox 2024). Eine Versicherungsprämie, die den Schaden aktiv verhindert.
„Wir haben Firewall und Antivirus – das reicht“
Firewall + Antivirus sind Grundschutz. Sie schützen nicht vor gezielten Angriffen, Social Engineering oder Zero-Day-Exploits.
„Das macht unsere IT-Abteilung selbst“
Externe Pentester haben keine Betriebsblindheit. Sie denken wie Angreifer – und Angreifer kennen Ihr System nicht von innen.
Rechtliche Aspekte: Wer haftet?
DSGVO Art. 32 und IT-Sicherheitsgesetz 2.0 verlangen angemessene TOMs. Ein VAPT ist ein zentraler Bestandteil. Ohne regelmäßigen Pentest drohen:
- Keine Versicherungsleistung bei Angriff
- Haftung gegenüber Kunden bei Datenabfluss
- Bußgelder der Aufsichtsbehörde
Die optimale VAPT-Strategie für den Mittelstand
| Maßnahme | Frequenz | Ziel |
|---|---|---|
| Vulnerability Scan | Wöchentlich | Frühwarnsystem |
| Penetration Test | Jährlich | Tiefgehende Prüfung |
| Pentest nach Änderungen | Bei Bedarf | Neue Systeme absichern |
Fazit: VAPT ist keine Frage des Budgets – es ist eine Frage der Existenz
5.000 € für einen Pentest vs. 500.000 € für einen Angriff. Jeder Pentest findet Lücken. Jede geschlossene Lücke ist ein Angriff, der nicht passiert ist.
Das Team von CyberEiche hat über 100 VAPT-Projekte im deutschen Mittelstand durchgeführt.