Viele Inhaber kleiner und mittlerer Unternehmen denken: Wir sind zu klein, um für Cyberkriminelle interessant zu sein. Diese Annahme ist falsch und sie ist gefährlich. Hacker greifen KMU nicht trotz ihrer Größe an, sondern wegen ihr.

Die Lage in Österreich ist ernst

Die gemeinsame Studie von KPMG und dem Kompetenzzentrum Sicheres Österreich (KSÖ) dokumentierte für das Jahr 2023 einen Anstieg der Cyberangriffe auf österreichische Unternehmen um 201 Prozent im Vergleich zum Vorjahr. Jeder sechste dieser Angriffe war erfolgreich, und eine Entspannung ist nicht in Sicht.[Quelle: KSÖ / KPMG] Der World Economic Forum Global Risk Report 2024 stuft Cyberkriminalität als eine der zehn größten globalen Risiken für Wirtschaft und Gesellschaft ein.[Quelle: BMF CyberGuide / WEF]

Warum KMU besonders attraktiv sind

Großkonzerne investieren Millionen in ihre IT-Sicherheit. Sie haben eigene Security-Teams, rund um die Uhr überwachte Systeme und ausgereifte Notfallpläne. KMU haben das in der Regel nicht. Weniger Schutzmaßnahmen bedeuten für Angreifer weniger Aufwand und eine höhere Erfolgsquote. Gleichzeitig liegen in vielen KMU wertvolle Daten: Kundendaten, Bankverbindungen, Projektunterlagen, Geschäftsgeheimnisse und manchmal sogar Zugänge zu den Systemen größerer Auftraggeber oder Partnerunternehmen.

Eine EY-Studie aus 2024 ergab, dass nur 35 Prozent der österreichischen Unternehmen ihr eigenes Cyberrisiko realistisch einschätzen.[Quelle: Die Wirtschaft / EY] Das macht KMU nicht nur zu einem leichten Ziel, sondern auch zu einem unvorbereiteten.

Ransomware trifft KMU besonders hart

Der Verizon Data Breach Investigations Report 2025 zeigt, dass Ransomware bei 88 Prozent aller Datenpannen in kleinen und mittleren Unternehmen eine Rolle spielte, verglichen mit 39 Prozent bei Großunternehmen.[Quelle: Verizon DBIR 2025 / Infosecurity Magazine] Angreifer behandeln KMU nicht als Zufallsopfer, sondern als bewusst gewählte Zielgruppe, weil Ransomware-Angriffe hier am zuverlässigsten funktionieren.

Wie Angreifer typischerweise vorgehen

Der häufigste Einstiegspunkt ist der Mensch. Phishing-E-Mails, die Mitarbeitende dazu bringen, auf einen Link zu klicken oder Zugangsdaten einzugeben, sind der klassische Weg. Daneben werden veraltete Softwareversionen ohne aktuelle Sicherheitsupdates gezielt ausgenutzt, ebenso schwache oder wiederverwendete Passwörter und schlecht gesicherte Fernzugänge. Der Verizon DBIR 2024 stellte fest, dass mehr als zwei Drittel aller analysierten Datenpannen eine menschliche Komponente hatten.[Quelle: Verizon DBIR 2024 / Security Magazine]

Was ein Angriff wirklich kostet

Die globalen Durchschnittskosten eines Datenschutzvorfalls lagen laut IBM Cost of a Data Breach Report 2024 bei 4,88 Millionen US-Dollar.[Quelle: IBM] Für ein KMU können die realen Kosten durch Betriebsausfall, Datenverlust, Kundenflucht, Reputationsschaden und mögliche DSGVO-Bußgelder existenzbedrohend sein.

Was KMU konkret tun können

Der erste Schritt ist Bewusstsein. Wer versteht, dass das eigene Unternehmen ein reales Ziel ist, trifft bessere Entscheidungen. Der zweite Schritt ist ein strukturierter Blick auf die eigene IT-Sicherheitslage durch einen IT-Check, der zeigt, wo die tatsächlichen Schwachstellen liegen. Der dritte Schritt ist die gezielte Umsetzung der wichtigsten Maßnahmen: Multi-Faktor-Authentifizierung, aktuelle Patches, regelmäßige Backups an einem sicheren Ort und Mitarbeitende, die wissen, wie eine verdächtige E-Mail aussieht.

Fazit

KMU sind kein unbedeutender Randschauplatz der Cyberkriminalität. Sie sind das bevorzugte Ziel professioneller Angreifer. Das lässt sich nicht ändern, aber darauf lässt sich vorbereiten.

Many owners of small and medium-sized businesses operate with a comfortable assumption: we are too small to be interesting to cybercriminals. That assumption is wrong, and it is dangerous. Hackers attack SMBs not in spite of their size, but because of it.

The situation in Austria is serious

A joint study by KPMG and the Kompetenzzentrum Sicheres Österreich (KSÖ) documented a 201 percent increase in cyberattacks on Austrian businesses in 2023 compared to the previous year. One in six of those attacks was successful, and there is no sign of the pressure easing.[Source: KSÖ / KPMG] The World Economic Forum Global Risk Report 2024 ranks cybercrime among the ten greatest global risks to economies and societies.[Source: BMF CyberGuide / WEF]

Why SMBs are particularly attractive targets

Large corporations invest millions in their IT security. They have dedicated security teams, around-the-clock monitoring, and mature incident response plans. Most SMBs do not. Fewer protective measures mean less effort and a higher success rate for attackers. At the same time, many SMBs hold genuinely valuable data: customer records, bank details, project files, trade secrets, and sometimes even access to the systems of larger clients or partner companies.

A 2024 EY study found that only 35 percent of Austrian businesses accurately assess their own cyber risk.[Source: Die Wirtschaft / EY] That makes SMBs not just easy targets, but unprepared ones.

Ransomware hits SMBs hardest

The Verizon Data Breach Investigations Report 2025 found that ransomware played a role in 88 percent of all data breaches at small and medium-sized businesses, compared to 39 percent at large enterprises.[Source: Verizon DBIR 2025 / Infosecurity Magazine] Attackers do not treat SMBs as random targets. They treat them as a deliberate and preferred category of victim because ransomware attacks succeed there most reliably.

How attackers typically operate

The most common point of entry is people. Phishing emails that trick employees into clicking a link or entering credentials are the classic route. Beyond that, attackers systematically exploit outdated software without current security patches, weak or reused passwords, and poorly secured remote access connections. The Verizon DBIR 2024 found that more than two thirds of all analysed data breaches involved a human element.[Source: Verizon DBIR 2024 / Security Magazine]

What an attack actually costs

The IBM Cost of a Data Breach Report 2024 puts the average global cost of a data security incident at 4.88 million US dollars.[Source: IBM] For an SMB, the real-world costs from downtime, data loss, customer churn, reputational damage, and potential GDPR fines can be existential.

What SMBs can do right now

The first step is awareness. Businesses that understand they are real targets make better decisions. The second step is a structured look at their IT security posture through an IT check that identifies where the actual weaknesses are. The third step is targeted implementation of the measures that matter most: multi-factor authentication, current patches, regular backups held in a secure location, and employees who know what a suspicious email looks like.

Summary

SMBs are not a minor sideshow in the world of cybercrime. They are the preferred hunting ground of professional attackers. That cannot be changed, but it can be prepared for.