Cyber Security im Sanierungsgutachten
Ein Beitrag von Christoph Elzer
Cyberangriffe gehören heute zu den größten wirtschaftlichen Bedrohungen unserer Zeit. Allein im Jahr 2024 entstand der deutschen Wirtschaft ein Gesamtschaden von 266,6 Mrd. Euro – mehr als im bisherigen Rekordjahr 2021 und annähernd die Hälfte des gesamten Bundeshaushalts. 81 % der deutschen Unternehmen waren von Datendiebstahl, Industriespionage oder Sabotage betroffen, weitere 10 % vermuteten einen Vorfall. Die Frage lautet längst nicht mehr, ob ein Unternehmen angegriffen wird, sondern wann. Für mittelständische Unternehmen ist diese Erkenntnis von besonderer Brisanz: Sie stehen überproportional häufig im Fadenkreuz der Angreifer, verfügen aber oft nicht über die Ressourcen und Strukturen, um sich wirksam zu schützen. Der vorliegende Beitrag beleuchtet die aktuelle Bedrohungslage, zeigt anhand eines realen Beispiels, wie ein Cyberangriff zum Auslöser einer Insolvenz werden kann, und gibt Hinweise, welche Rolle Cyber Security im Rahmen von Sanierungsgutachten spielt.
Christoph Elzer
Partner @RSM Ebner Stolz Management ConsultantsKERNAUSSAGEN
👉 Ransomware ist die dominierende Bedrohung im Cyberraum: Täglich werden in Deutschland zwei bis drei schwere Angriffe angezeigt, die Dunkelziffer liegt weitaus höher – weltweit wurden allein im Jahr 2024 rund 1,1 Mrd. Dollar Lösegeld erbeutet.
👉 80 % der angezeigten Cyberangriffe richten sich gegen kleine und mittlere Unternehmen; der verbreitete Irrglaube, als kleineres Unternehmen kein interessantes Ziel zu sein, ist einer der gefährlichsten Fehler im Umgang mit Cyberrisiken.
👉 Ein Cyberangriff kann ein wirtschaftlich bereits angespanntes Unternehmen in die Insolvenz drängen – der Vorfall wird damit zum Auslöser oder Katalysator einer Restrukturierung und nicht mehr nur zu einem IT-Problem.
👉 Cyber Security ist als Bestandteil des strategischen Leitbildes im Sanierungsgutachten nach IDW S 6 zu berücksichtigen und erfordert eine strukturierte, expertengestützte Bewertung.
I. Die Bedrohungslage: Deutschland im Fadenkreuz
Die Dimension der Cyberbedrohung in Deutschland hat ein Ausmaß erreicht, das noch vor wenigen Jahren kaum vorstellbar gewesen wäre. Die Zahlen des Jahres 2024 sprechen eine unmissverständliche Sprache: 81 % der deutschen Unternehmen waren von Daten- und IT-Geräte-Diebstahl, Industriespionage oder Sabotage betroffen. Weitere 10 % vermuteten zumindest einen entsprechenden Vorfall. Damit ist nahezu jedes Unternehmen in Deutschland bereits Opfer geworden – oder weiß es schlicht noch nicht. Der entstandene Gesamtschaden belief sich gemäß bitcom im Jahr 2024 auf 266,6 Mrd. € und übertraf damit das bisherige Rekordjahr 2021 mit 223,5 Mrd. € deutlich. Um diese Zahl einzuordnen: Der Schaden entspricht in etwa dem halben Bundeshaushalt Deutschlands. Laut dem Bundeslagebild Cybercrime 2024 des Bundeskriminalamts wurden im Berichtsjahr 131.391 Cybercrime-Fälle in Deutschland verübt; hinzu kamen weitere 201.877 Straftaten, die als sogenannte Auslandstaten klassifiziert wurden.
1. Ransomware als dominierende Bedrohung
Unter den verschiedenen Angriffsformen stellt Ransomware das mit Abstand größte Risiko für Unternehmen dar.
PRAXISHINWEIS
Bei einem Ransomware-Angriff schleusen Cyberkriminelle Schadsoftware in die IT-Systeme eines Unternehmens ein, die sämtliche Daten verschlüsselt und den Zugriff darauf sperrt – erst gegen Zahlung eines Lösegelds (englisch „ransom“) wird die Freigabe in Aussicht gestellt. Häufig wird zusätzlich mit der Veröffentlichung sensibler Unternehmensdaten gedroht, um den Druck auf die Betroffenen zu erhöhen.
Im Jahr 2024 haben bundesweit rund 950 Unternehmen und Institutionen Ransomware-Fälle bei der Polizei zur Anzeige gebracht. BKA-Präsident Holger Münch brachte die Lage in einer Pressemitteilung vom 3.6.2025 zum Bundeslagebild Cybercrime 2024 auf den Punkt: „Jeden Tag werden der Polizei in Deutschland zwei bis drei schwere Ransomware Angriffe angezeigt. Sie können Unternehmen in ihrer Existenz bedrohen, die öffentliche Verwaltung lähmen oder auch Kunden von Verkehrsbetrieben betreffen.“ Dabei handelt es sich wohlgemerkt nur um die angezeigten Fälle. Weltweit wurden im Jahr 2024 rund 1,1 Mrd. $ Lösegeld durch Ransomware Angriffe erbeutet. Die tatsächliche Dunkelziffer dürfte weitaus höher liegen, da viele Unternehmen Angriffe aus Reputationsgründen nicht melden.
2. Das Täterfeld: Hochorganisiert, professionell, arbeitsteilig
Ein weit verbreiteter Irrtum besteht in der Vorstellung, Cyberkriminalität sei das Werk einzelner Hacker in dunklen Kellern. Die Realität sieht grundlegend anders aus: Cyberkriminalität hat sich massiv professionalisiert. Was früher vereinzelte Angriffe waren, ist heute eine hochorganisierte Schattenwirtschaft mit klarer Arbeitsteilung. Ransomware-Betreiber, deren Partner und spezialisierte Access Broker – also Akteure, die sich auf das Eindringen in Unternehmensnetzwerke spezialisiert haben – arbeiten Hand in Hand.
PRAXISHINWEIS
Das Geschäftsmodell „Cybercrimeas-a-Service“ hat sich als zentrales Element dieser Untergrundökonomie etabliert: Kriminelle Dienstleistungen werden in industriellem Maßstab angeboten. Der Einsatz künstlicher Intelligenz dürfte diesen Trend weiter verstärken, indem er Angriffe effizienter, zielgerichteter und schwerer erkennbar macht.
Hinzu kommt eine zunehmende geopolitische Dimension. Laut Ausführungen von Bundesinnenminister Alexander Dobrindt zum Bundeslagebild Cybercrime 2024 vom 3.6.2025 ist eine zunehmende Ausweitung geopolitischer Konflikte in den digitalen Raum zu beobachten und festzustellen, dass die hybride Bedrohung in Deutschland erkennbar angestiegen ist. Dabei verschwimmen die Grenzen zwischen finanziell und politisch motivierten Cyber-Gruppierungen immer mehr. Ziele waren dabei primär öffentliche Einrichtungen und Behörden, aber auch Logistikdienstleister und Unternehmen des verarbeitenden Gewerbes.
3. Die wachsende Angriffsfläche
Die fortschreitende Digitalisierung und Vernetzung erweitern die Angriffsflächen stetig. Täglich werden durchschnittlich 78 neue Schwachstellen bekannt – ein Anstieg von 14% gegenüber dem Vorjahr. Betroffen sind Fachanwendungen, Serverinfrastrukturen und Smartphone-Apps gleichermaßen. Besonders gefährlich sind sogenannte Zero Day-Schwachstellen, also Sicherheitslücken, für die es noch keine Sicherheitsupdates gibt. Jedes neue System, jedes IoT-Gerät und jede Cloud-Anbindung kann potenzielle Einfallstore bieten. Cyberkriminelle nutzen zunehmend Schwachstellen in Perimetersystemen wie Firewalls und VPN-Zugängen aus. Wie abhängig moderne Unternehmen von funktionierender IT-Infrastruktur sind, zeigte eindrücklich ein Vorfall im Juli 2024: Ein fehlerhaftes Update eines Sicherheitsprodukts eines US-amerikanischen Cybersicherheitsunternehmens führte 2024 zu weltweiten IT-Ausfällen mit erheblichen wirtschaftlichen Schäden – ohne dass überhaupt ein Angriff stattgefunden hatte.
II. Warum Cyberangriffe mittelständische Unternehmen besonders gefährden
Mittelständische Unternehmen unterliegen mit der Annahme zu klein zu sein, um ein interessantes Angriffsziel zu sein, einem der verbreitetsten und zugleich gefährlichsten Irrtümer. Die Zahlen widerlegen diese Annahme eindrucksvoll: 80 % der angezeigten Cyberangriffe richten sich gegen kleine und mittlere Unternehmen. Dieser Befund hat mehrere Ursachen. Viele mittelständische Unternehmen machen es Angreifern nach Feststellung des Bundesamts für Sicherheit in der Informationstechnik (BSI) immer noch zu leicht. Einfachste und oft kostenfreie Präventionsmaßnahmen werden nicht umgesetzt. Gleichzeitig schätzen Unternehmen ihre eigene IT-Sicherheit regelmäßig besser ein, als sie tatsächlich ist. Dieses falsche Sicherheitsgefühl verhindert notwendige Investitionen in Schutzmaßnahmen.
PRAXISHINWEIS
Cyberkriminelle greifen nicht nur gezielt finanzstarke Unternehmen oder Einrichtungen mit hoher Öffentlichkeitswirksamkeit an. Vielmehr erfolgen zahlreiche Angriffe automatisiert und breitflächig – sie treffen jedes Unternehmen, das Schwachstellen aufweist, unabhängig von dessen Größe oder Branche. Gerade mittelständische Unternehmen, die über keine dedizierte IT-Sicherheitsabteilung verfügen, sind daher besonders verwundbar.
III. Wenn der Cyberangriff zur Existenzfrage wird: Ein Fallbeispiel
Dass ein Cyberangriff nicht nur ein operatives Problem darstellt, sondern ein Unternehmen in seiner Existenz bedrohen kann, wurde bereits bittere Realität. Ein Industrieunternehmen aus Nordrhein-Westfalen wurde 2024 Ziel eines schwerwiegenden Cyberangriffs. Eine gefährliche internationale Ransomware-Hackergruppe bekannte sich zu dem Angriff. Diese Ransomware verfolgt das Prinzip der doppelten Erpressung. Mittels modifizierter Versionen bekannter Verschlüsselungs-Tools und Schwachstellen im Netzwerk dringen Angreifer in Unternehmensnetzwerke ein, um Daten zu entwenden und diese anschließend zu verschlüsseln. Den betroffenen Unternehmen wird gedroht, dass sie ihre Daten nicht zurückerhalten und zugleich für den Fall der Nichtzahlung des geforderten Lösegelds die Veröffentlichung der gestohlenen Daten im Darknet angekündigt.
1. Ausgangslage und Angriff
Die finanzielle Schieflage des betroffenen Unternehmens hatte mehrere Ursachen. Neben einem schwierigen Wettbewerbsumfeld und Umsatzrückgängen führte nicht zuletzt der Cyberangriff zu Produktionsausfällen sowie zu unerwarteten Kostenbelastungen. Der Angriff traf das Unternehmen in einer Phase, in der bereits Restrukturierungsmaßnahmen geplant waren, und hinderte es daran, diese planmäßig umzusetzen.
2. Auswirkungen und Konsequenzen
Die Geschäftsführung des in die Krise geratenen Unternehmens hatte bereits einen klaren Plan für den Turnaround. Nach dem Cybereingriff reichten jedoch die bisherigen Planungen zur Restrukturierung nicht mehr aus. Infolgedessen stellte das Unternehmen einen Antrag auf Sanierung in Eigenverwaltung.
3. Einordnung
Dieses Beispiel steht exemplarisch für eine Entwicklung, die künftig immer häufiger zu beobachten sein wird: Der Angriff trifft ein Unternehmen, das sich bereits in einer wirtschaftlich angespannten Lage befindet, und drängt dieses in die Insolvenz. Die Bedrohung wird also in wirtschaftlich angespannten Zeiten nochmals deutlich gravierender. Der Cybervorfall wird damit zum Auslöser oder Katalysator einer Restrukturierung. Damit ist ein Cybervorfall nicht mehr nur ein IT-Problem, sondern eine existenzielle unternehmerische Bedrohung. Somit ist Cyber Security auch für mittelständische Unternehmer keine bloße Frage der IT-Abteilung mehr, sondern eine Frage der Unternehmensführung.
IV. Welche Rolle Cyber Security im Sanierungsgutachten nach IDW S 6 spielt
Die wachsende Bedeutung von Cyberrisiken spiegelt sich auch in den Anforderungen an Sanierungsgutachten wider. Der IDW Standard S 6 – der maßgebliche Prüfungsstandard für die Erstellung von Sanierungsgutachten – sieht Cyber Security als Bestandteil des strategischen Leitbildes eines Unternehmens vor. Die Gewichtung der Cyber Security wird insbesondere im Vergleich zu anderen strategischen Elementen wie der ESG-Strategie deutlich.
1. Einordnung im strategischen Leitbild
Das strategische Leitbild gemäß IDW S 6 umfasst die wesentlichen Geschäftsfelder, Ressourcen und Fähigkeiten, langfristige Zielvorstellungen, Grundstrategien, die angestrebte Wettbewerbsposition sowie Wertvorstellungen, Grundregeln und Verhaltensweisen. Ergänzend sind die digitale Strategie und die ESG-Strategie zu berücksichtigen. Cyber Security ist dabei als konkretes Risikofeld einzuordnen, das sowohl strategisch als auch operativ kritisch ist. Im Unterschied zur ESG-Strategie, die einen breiten Rahmen mit langfristiger Wirkung und Reporting-getriebenem Ansatz darstellt, zeichnet sich Cyber Security durch sofortige Auswirkungen und eine Inzident getriebene Steuerungslogik aus. Denn ein Cyberangriff entfaltet seine Wirkung unmittelbar und nicht erst Jahre später.
2. Konkrete Vorgaben und Empfehlungen
Der IDW S 6 selbst enthält keine detaillierten Vorgaben zur Ausgestaltung der Cyber-Security-Analyse im Sanierungsgutachten. Er dient vielmehr als Orientierungshilfe. Die ergänzenden Fragen und Antworten (F&A) zum IDW S 6 empfehlen den Einsatz von Checklisten zur Bewertung vorgesehener Maßnahmen zur Abwehr von Cyberangriffen sowie die Hinzuziehung von Experten, sofern die eigene Expertise nicht ausreichend ist. Es obliegt dem pflichtgemäßen Ermessen des Konzepterstellers, über die Auswirkungen zu berichten. Relevante Fragestellungen gemäß den F&A umfassen unter anderem:
- Wie ist das IT-Zugriffs- und Berechtigungssystem organisiert?
- Wie wird das Netzwerk regelmäßig auf Intrusion geprüft?
- Wie häufig wird ein Backup erstellt?
- Liegt eine Zertifizierung der Informationssicherheit vor?
- Besteht eine Cybercrime-Versicherung?
V. So lassen sich Cyberrisiken im Sanierungsgutachten bewerten
Eine adäquate Bewertung und Ausarbeitung der Cyber Security im Sanierungsgutachten erfordert einen strukturierten Prozess, der von hoher Expertise sowie effizientem und kostenbewusstem Handeln getragen wird. Ein mehrstufiger Bewertungsansatz hat sich in der Praxis bewährt.
Phase 1: Analyse
Den Ausgangspunkt bildet eine Ist-Analyse der IT-Organisation. Diese umfasst die Prüfung der Aufbau- und Ablauforganisation sowie der relevanten Prozesse und die Durchführung einer übergeordneten Risikobewertung. Ziel ist es, ein fundiertes Verständnis der bestehenden Sicherheitsarchitektur und der organisatorischen Rahmenbedingungen zu gewinnen.
Phase 2: Unternehmensspezifische Schwachstellenanalyse
In der zweiten Phase erfolgt eine unternehmensspezifische Schwachstellenanalyse. Diese beinhaltet die Durchführung eines modularen Penetrationstests sowie die Identifizierung potenzieller technischer und organisatorischer Schwachstellen einschließlich der damit verbundenen Risiken. Dabei kommen anerkannte Standards wie ISO/IEC 27001 oder NIST zum Einsatz.
Phase 3: Auswertung und Handlungsempfehlungen
Die dritte Phase dient der Ergebniskonsolidierung und der Ableitung konkreter Handlungsempfehlungen. Die Erkenntnisse aus den beiden Analysephasen werden zusammengeführt und in zentrale Inhalte für das Sanierungsgutachten überführt. Dabei sind drei Anforderungen sicherzustellen:
- der gezielte Einsatz spezialisierter Expertise,
- die Einhaltung standardisierter und effizienter Prozesse sowie
- eine konsequente Begrenzung auf die wesentlichen Anforderungen im Sinne eines kostenbewussten Vorgehens.
VI. Typische Cyber-Security-Schwachstellen und Maßnahmen in der Praxis
Die praktische Erfahrung zeigt, dass bei der Bewertung der Cyber Security in Unternehmen regelmäßig eine Vielzahl kritischer Komponenten und Risikofelder zutage tritt. Der Fokus liegt dabei typischerweise auf geschäftskritischen Assets und Prozessen, einem wirksamen Cyber-Risikomanagement sowie einer kontinuierlichen Überwachung.
1. Typische Schwachstellen
In der Praxis begegnen folgende Defizite besonders häufig:
a) Security-Strategie und Governance
Keine klar definierte Sicherheitsstrategie, fehlende verbindliche Richtlinien und geringe Einbindung des Managements führen zu inkonsistenten Maßnahmen und Sicherheitslücken durch uneinheitliches Verhalten.
b) Rollen und Verantwortlichkeiten
Unklare Zuständigkeiten, Überlastung einzelner Personen und fehlende Aufgabentrennung haben zur Folge, dass Sicherheitsaufgaben nicht wahrgenommen werden und operative Sicherheitslücken entstehen.
c) Kritische Assets und Prozesse
Unvollständige Asset-Transparenz und fehlende Priorisierung führen dazu, dass Schutzmaßnahmen nicht greifen, kritische Systeme unzureichend geschützt sind und hohe Ausfallrisiken bestehen.
d) Cyber-Risikomanagement
Risiken werden nicht strukturiert erfasst, Risikobewertungen fehlen oder werden nicht regelmäßig aktualisiert. Dies führt zu Blind Spots und falscher Priorisierung von Maßnahmen.
e) Überwachung
Unvollständige Protokollierung, fehlende zentrale Auswertung von Logdaten und mangelnde Alarmierungsmechanismen haben zur Folge, dass sicherheitsrelevante Ereignisse teilweise unentdeckt bleiben und die Reaktion auf Sicherheitsvorfälle verzögert erfolgt.
2. Empfohlene Maßnahmen
Zur Verbesserung der Cyber Security-Lage empfehlen sich insbesondere zwei zentrale Maßnahmenpakete:
a) Einführung eines integrierten CyberRisikomanagement-Prozesses
Das Ziel der Einführung eines integrierten Cyber-Risikomanagement-Prozesses besteht in der Schaffung von Transparenz über kritische Assets und Cyberrisiken sowie der
Ableitung priorisierter, strategiekonformer Sicherheitsmaßnahmen. Dies umfasst
- eine Asset-Inventarisierung und Schutzbedarfsfeststellung,
- strukturierte Risikoanalysen,
- die Ableitung kritischer Geschäftsprozesse einschließlich Abhängigkeiten,
- die Definition und Priorisierung von Risikobehandlungsmaßnahmen,
- die Integration in bestehende Governance-Strukturen, sowie
- die Etablierung eines regelmäßigen Review-Zyklus.
b) Aufbau einer zentralen Security-Monitoring- und Incident-Response-Funktion
Mit dem Aufbau einer zentralen Security-Monitoring- und Incident-Response-Funktion wird die frühzeitige Erkennung, Bewertung und strukturierte Behandlung von Sicherheitsvorfällen bezweckt. Dies beinhaltet
- die Auswahl und Einführung eines SIEM-Systems zur zentralen Logaggregation und -analyse,
- die Definition von Use Cases (etwa Anomalien oder unautorisierte Zugriffe),
- den Aufbau eines Incident-Response-Prozesses von der
- Erkennung über die Bewertung und Eskalation bis zur Behandlung,
- die Einführung von Alarmierungs- und Eskalationswegen, sowie
- die Durchführung von Testszenarien.
VII. Welche Maßnahmen Unternehmen jetzt priorisieren sollten
Die dargestellte Bedrohungslage und die zunehmende Bedeutung von Cyber Security im Kontext von Sanierung und Restrukturierung legen mittelständischen Unternehmern folgende Handlungsschritte nahe:
Realistische Selbsteinschätzung
Unternehmer sollten die eigene IT-Sicherheitslage kritisch und ehrlich bewerten. Das BSI stellt fest, dass viele Unternehmen ihre IT-Sicherheit besser einschätzen, als sie tatsächlich ist. Ein falsches Sicherheitsgefühl verhindert notwendige Investitionen.
Umsetzung grundlegender Schutzmaßnahmen
Bereits einfachste und oft kostenfreie Präventionsmaßnahmen – wie die Einführung einer Multi-Faktor-Authentifizierung, regelmäßige Awareness-Schulungen für Mitarbeitende und ein zentrales Patch- und Update-Management – können das Schutzniveau erheblich verbessern.
Hinzuziehung externer Expertise
Sofern die eigene Expertise nicht ausreicht, sollten spezialisierte Cyber-Security-Experten eingebunden werden. Dies gilt insbesondere für die Durchführung von Penetrationstests, die Bewertung der Sicherheitsarchitektur und die Erstellung von Notfallplänen.
Prüfung des Versicherungsschutzes
Die Frage, ob eine Cybercrime-Versicherung besteht und ob deren Deckungsumfang der tatsächlichen Risikolage entspricht, sollte regelmäßig überprüft werden.
Cyber Security als Chefsache
Cyberrisiken sind keine rein technischen Risiken, sondern unternehmerische Risiken mit potenziell existenziellen Auswirkungen. Sie gehören auf die Agenda der Geschäftsführung und müssen in die strategische Unternehmensplanung integriert werden.
FAZIT
Die Zeiten, in denen Cyber Security als rein technisches Thema der IT-Abteilung betrachtet werden konnte, sind endgültig vorbei. Cyberangriffe können Unternehmen gerade in wirtschaftlich schwierigen Zeiten in ihrer Existenz bedrohen, Restrukturierungen auslösen und Sanierungsbemühungen zunichtemachen. Für mittelständische Unternehmer, die ohnehin mit vielfältigen wirtschaftlichen Herausforderungen konfrontiert sind, ist die Auseinandersetzung mit Cyberrisiken keine Option, sondern eine Notwendigkeit. Wer heute in Prävention, Erkennung und Reaktionsfähigkeit investiert, schützt nicht nur seine IT-Systeme, sondern die Existenzgrundlage seines Unternehmens.
__________________________________________
Dies ist ein Beitrages aus NWB BBK 2025 Seite 998
👀 Was es sonst noch alles gibt in der NWB-Datenbank? Einfach mal reinklicken!
IM BEITRAG ERWÄHNTE TOOL-KATEGORIEN 
INTERNE KONTROLLSYSTEME (IKS)
Diese Systeme tragen dazu bei, Fehler und Unregelmäßigkeiten frühzeitig zu erkennen und zu korrigieren.
