Kleine und mittlere Unternehmen (KMU) sowie mittelständische Unternehmen (ETI) machen mittlerweile 48 % der von Ransomware betroffenen Opfer aus, die von der ANSSI identifiziert wurden, gegenüber 37 % im Vorjahr. Dieser Anstieg stellt diese Strukturen an die erste Front, weit vor Kommunen oder Gesundheitseinrichtungen. Drei Arten von Web-Schwachstellen treten in der Mehrheit der dokumentierten Vorfälle auf, und ihre Behebung erfordert kein übermäßiges Budget.
Web-Schwachstellen von KMU: Zahlenmäßiger Überblick über Angriffsvektoren
Öffentliche Berichte ermöglichen es, die tatsächlich ausgenutzten Schwachstellen zu priorisieren. Die folgende Tabelle fasst die drei häufigsten Web-Schwachstellen in Vorfällen zusammen, die kleine und mittlere Unternehmen betreffen, indem die verfügbaren Daten miteinander verknüpft werden.
| Art der Schwachstelle | Häufiger Vektor | Typische Konsequenz | Reparaturniveau |
|---|---|---|---|
| Ungepatchte CMS und Drittanbieter-Komponenten | Veraltetes WordPress-Plugin, verwundbare JavaScript-Bibliothek | Code-Injection, Umleitung zu bösartiger Website | Regelmäßige Aktualisierung (kostenlos) |
| Exponiertes Zugangsportal ohne MFA | Zugängliche Administrationsoberfläche, VPN ohne Zwei-Faktor-Authentifizierung | Konto-Kompromittierung, laterale Bewegung | Aktivierung von MFA (geringe Kosten) |
| Unverschlüsselte Kommunikation | Formulare in HTTP, unverschlüsselte Datenübertragungen | Datenabfang von Kunden, Diebstahl von Anmeldedaten | TLS-Zertifikat (oft kostenlos) |
Was aus diesem Vergleich hervorgeht: Die am häufigsten ausgenutzten Schwachstellen sind auch die kostengünstigsten zu beheben. Die Diskrepanz zwischen der Einfachheit der Korrekturen und der Schwere der Konsequenzen erklärt, warum Angreifer weiterhin KMU ins Visier nehmen.
Eine detaillierte Analyse des Webschutzes von KMU laut Viruslab bestätigt, dass diese drei Kategorien die überwältigende Mehrheit der beobachteten Vorfälle auf kleinen professionellen Websites konzentrieren.
Unaktualisierte CMS: Die Web-Schwachstelle, die KMU zu spät beheben
Der CISA KEV-Katalog, der aktiv ausgenutzte Schwachstellen unter realen Bedingungen erfasst, enthält regelmäßig Schwachstellen, die mit CMS oder deren Erweiterungen verbunden sind. Ein WordPress-Plugin, das von seinem Entwickler aufgegeben wurde, eine Joomla-Version, die seit mehreren Monaten keinen Patch erhalten hat: Diese Situationen schaffen permanente Hintertüren.
Das Problem beschränkt sich nicht nur auf das CMS selbst. Die in den Themen oder Drittanbieter-Modulen integrierten JavaScript-Bibliotheken sammeln Schwachstellen, die unter dem Radar bleiben. Ein KMU, das seine Website ohne dedizierten technischen Dienstleister verwaltet, überwacht in der Regel diese Abhängigkeiten nicht.
Korrekturen nach tatsächlichem Risiko priorisieren
Nicht alle Updates sind gleichwertig. Korrekturen von bereits in der Praxis ausgenutzten Schwachstellen haben Vorrang vor Komfort- oder Benutzeroberflächen-Updates. Listen von aktiv ausgenutzten Schwachstellen, wie die von CISA geführte, ermöglichen eine Sortierung.
- Wöchentlich überprüfen, ob die installierten Erweiterungen in den Sicherheitswarnungen des CMS-Anbieters aufgeführt sind
- Alle inaktiven oder seit mehr als sechs Monaten nicht gewarteten Plugins entfernen, auch wenn sie funktional erscheinen
- Kleinere Sicherheitsupdates automatisieren, um die Zeit zwischen der Veröffentlichung des Patches und der Anwendung zu verkürzen
Diese Disziplin bei den Updates stellt die erste Verteidigungslinie dar. Sie erfordert weder Softwareinvestitionen noch fortgeschrittene Fähigkeiten, sondern eine Regelmäßigkeit, die viele KMU noch nicht in ihre Routine integriert haben.
Exponierte Administrationsportale: VPN-Zugänge und Schnittstellen ohne Zwei-Faktor-Authentifizierung
Ein WordPress-Administrationspanel, das von jeder IP-Adresse aus zugänglich ist, ein Unternehmens-VPN, das nur durch ein einfaches Passwort geschützt ist: Diese Konfigurationen sind nach wie vor häufig. Das Fehlen von MFA bei Remote-Zugängen ist der Hauptfaktor für Konto-Kompromittierungen in Unternehmen mit weniger als 250 Mitarbeitern.
Angreifer benötigen keine ausgeklügelten Techniken. Credential Stuffing (Wiederverwendung von gestohlenen Anmeldedaten auf anderen Diensten) reicht aus, wenn kein zweiter Authentifizierungsfaktor aktiviert ist. Ein Mitarbeiter, der dasselbe Passwort für sein persönliches E-Mail-Konto und die Administrationsoberfläche der Website verwendet, gefährdet die gesamte Infrastruktur.
Angriffsfläche bei Remote-Zugängen reduzieren
Den Zugang zum Administrationspanel nach IP-Adresse einzuschränken, wo immer möglich, eliminiert die Mehrheit der automatisierten Versuche. Bei VPNs reduziert die Aktivierung von MFA das Risiko einer Kompromittierung erheblich.
Allerdings deckt die bloße Implementierung von MFA nicht alles ab. Ein vergessenes Administratorkonto, das während der ursprünglichen Installation erstellt und nie gelöscht wurde, bleibt ein Ziel. Die Überprüfung der Liste der privilegierten Konten mindestens einmal pro Quartal gehört zu den Maßnahmen, die null Euro kosten und den ausnutzbaren Umfang reduzieren.
Richtlinie NIS 2 und Cybersicherheitsverpflichtungen für unterauftragende KMU
Die Umsetzung der Richtlinie NIS 2 in französisches Recht verändert den regulatorischen Rahmen für viele KMU, einschließlich derjenigen, die sich nicht als direkte Ziele betrachten. Die Kaskadeneffekte von NIS 2 betreffen die Unterauftragnehmer und Lieferanten der regulierten Einheiten, die ein minimales Sicherheitsniveau nachweisen müssen.
Für ein unterauftragendes KMU eines als “wichtige Einheit” eingestuften Betreibers bedeutet dies konkret, dass die drei oben beschriebenen Schwachstellen (ungepatchtes CMS, Zugang ohne MFA, unverschlüsselte Kommunikation) Gründe für eine Vertragsnonkonformität werden könnten. Das Risiko ist nicht mehr nur technisch: Es wird rechtlich und kommerziell.
Vorfallmeldungen und Verantwortung der Führungskräfte
NIS 2 führt Fristen für die Meldung von signifikanten Vorfällen ein. Die Führungskräfte der betroffenen Einheiten tragen eine direkte Verantwortung für die Einhaltung. Für KMU verwandelt sich diese Verpflichtung von einem technischen Thema, das der IT übertragen wird, in ein Governance-Thema.
- Verträge mit Auftraggebern, die der NIS 2 unterliegen, kartieren, um die Sicherheitsanforderungen, die sie weitergeben werden, vorherzusehen
- Die bestehenden Schutzmaßnahmen (Updates, MFA, Verschlüsselung) dokumentieren, um auf eine Kundenprüfung reagieren zu können
- Ein internes Verfahren zur Meldung von Vorfällen, auch vereinfacht, vorsehen, um die regulatorischen Fristen einzuhalten
Der wachsende Anteil von TPE und KMU unter den Opfern von Ransomware und das schrittweise Inkrafttreten von NIS 2 führen zu derselben Erkenntnis. Die drei am häufigsten ausgenutzten Schwachstellen sind bekannt, dokumentiert und kostengünstig zu beheben. Was oft am meisten fehlt, ist nicht das Budget, sondern die Regelmäßigkeit bei der Anwendung der Korrekturen und die Berücksichtigung des Themas auf Leitungsebene.
