8 min
Lesezeit
Urlaubszeit ist Angriffszeit
Kriminelle Banden und staatlich beauftragte Saboteure greifen die IT-Systeme sächsischer Unternehmen an
Der Angriff startete in einer Nacht von Freitag auf Samstag. In dieser Nacht im Oktober 2025 sind im Büronetzwerk der Nickelhütte Aue ungewöhnliche Einschränkungen bei den Datenbanken und Fehlermeldungen zu verzeichnen. Als die Frühschicht am Samstagmorgen beginnt, gibt es Probleme mit der Zeiterfassung der Mitarbeiter und an Datenbanken. Der Schichtleiter kontaktiert sofort den IT-Verantwortlichen. Der kann nur feststellen: Das Büronetzwerk ist nicht mehr unter seiner Kontrolle. Vier Bildschirmarbeitsplätze und einige wichtige Server sind infiziert und bereits verschlüsselt. Zeiterfassung, Materialbestellung, Lohnbuchhaltung – nichts funktioniert mehr.
„Urlaubszeit ist Angriffszeit“, weiß Lutz Müller-Kröhnert, der bei der IHK Chemnitz den Bereich der Digitalisierung verantwortet.
„Täter, die IT-Systeme angreifen, tun dies bevorzugt in Zeiten, in denen nicht so viele Nutzende an ihren Rechnern sitzen: in Urlaubszeiten, zwischen Weihnachten und Silvester oder eben am Wochenende. Damit steigt die Chance, dass ein Angriff möglichst lang unbemerkt bleibt und sich die Täter tief ins System einarbeiten und den potenziellen Schaden größtmöglich anlegen können.“
Sabotage und Cybercrime
Das Bundesamt für die Sicherheit in der Informationstechnik (BSI) unterscheidet grundsätzlich zwischen zwei Arten von Angriffen auf IT-Infrastrukturen in Deutschland. Auf der einen Seite stehen Spionage- und Sabotageaktivitäten im Kontext geopolitischer Konflikte.
„In den letzten Jahren hat sich das sicherheitspolitische Umfeld infolge des russischen Angriffskriegs gegen die Ukraine und der Eskalation im Nahen Osten erheblich verschärft. Dies wirkt sich auch auf das Bedrohungspotenzial im Bereich der Informationssicherheit aus“, heißt es dazu im BSI-Lagebericht für das Jahr 2025. Ein Großteil von Angriffen in diesem Bereich richten sich gegen staatliche Stellen, insbesondere die Bundesverwaltung. Aber „auch politische und politiknahe Stiftungen, Vereine, Verbände sowie politische Parteien“ seien ein attraktives Ziel für potenzielle Cyberangriffe.
Dabei gehe es darum, sensible Informationen abzugreifen, um damit „im Rahmen fremdstaatlicher Destabilisierungsstrategien“ sogenannte „Informationsoperationen“ durchzuführen, „die beispielsweise politische Stimmungen beeinflussen sollen oder die ganz grundsätzlich auf die Destabilisierung der Demokratie in Deutschland zielen.“
Die zweite Art von Angriffen fällt in den Bereich Cyberkriminalität. Hierbei geht es den Tätern vor allem ums Geldmachen: Man übernimmt die Kontrolle über IT-Systeme und fordert Lösegelder (Datenverschlüsselung). Man greift gezielt Daten ab, droht deren Veröffentlichung an und erpresst ebenfalls Geldzahlungen (Datenleaks). Oder man verkauft die abgegriffenen Daten – speziell persönliche Informationen verbunden mit Zugangs- oder Zahlungsinformationen – direkt im Dark Net.
„Angegriffen werden dann nicht unbedingt die Unternehmen mit dem größten Erpressungspotenzial, sondern vor allem die Unternehmen mit den schwächsten Sicherheitsvorkehrungen“,
so das BSI in seinem Jahresbericht. Die Lösegelder im Berichtsjahr 2024 waren die durchschnittlich höchsten seit Beginn der Aufzeichnungen.
Bei der Nickelhütte Aue hatten es die Täter ebenfalls auf ein Lösegeld abgesehen, berichtet André Härtel, Prokurist des erzgebirgischen Unternehmens. Eine sehr hohe Summe sei aufgerufen gewesen. Ob die Summe bezahlt wurde, darf Härtel nicht sagen – noch läuft die Suche nach den Tätern. Allerdings war das Unternehmen verhältnismäßig gut vorbereitet – und das in mehrfacher Hinsicht. So betreibt die Nickelhütte bereits seit mehreren Jahren zwei strikt getrennte IT-Netze: eines für die Produktion, eines für die Verwaltung. Betroffen war ausschließlich letzteres – immerhin auf die produzierenden Bereiche hatte der Angriff damit keine Auswirkungen.
Zum zweiten hatte die Nickelhütte bereits vor dem Angriff alle ihre Daten in eine Cloud verschoben. So waren zwar die internen Abläufe gestört, aber zumindest alle wichtigen Kennziffern noch vorhanden und wiederherstellbar. Zum dritten hatte das Unternehmen eine IT-Versicherung abgeschlossen. Auch wenn das nicht eben günstig ist, zahlte sie sich in diesem Falle aus: Teil der Police war auch, dass von der Versicherung im Falle eines Angriffs ein Sicherheitsexperte bereitgestellt wird.
Immer klügere Angriffe
Vor allem der Mensch vor dem Computer bleibt ein Sicherheitsrisiko. Zwar ist die Sensibilität von Computer-Nutzenden bei möglichen Angriffen angesichts vielfältiger Informationen, Belehrungen und Schulungen gestiegen. Aber auch die Kriminellen werden klüger und nutzen dabei unter anderem Künstliche Intelligenz und Social Engineering: Das Deutsch von Phishing-Mails wird immer besser und die Texte sind bestmöglich auf ihre Empfänger zugeschnitten. Ein aktueller Trick: der sogenannte CEO-Fraud.
„Angreifer nutzen dabei in E-Mails den Absendernamen des Chefs, anderer Mitarbeiter oder von Kunden, um kurzfristige Zahlungen anzuweisen. Da muss man schon bei jeder E-Mail besonders hinschauen, ob es sich um einen echten Arbeitsauftrag handelt – und im Zweifelsfall nachfragen“,
so Lutz Müller Kröhnert. „Auch vermeintliche Mitteilungen von Paketdienstleistern, Banken oder Shoppingportalen mit der Aufforderung sich anzumelden oder einen QR-Code zu scannen, sollten genau geprüft werden, indem die Absenderdomain vollständig angezeigt oder auf Rechtschreibung geschaut wird“, so der IHK-Experte weiter.
Vergrößerte Angriffsfläche
Bei der Nickelhütte Aue hatte sich hingegen – nach aktuellem Stand – kein eigener Mitarbeiter schuldhaft verhalten. Über den genauen Angriffsweg darf derzeit noch nicht gesprochen werden. Doch grundsätzlich kann es eben von überall herkommen. Die Angriffsfläche, so der offizielle Begriff des BSI, wächst seit Jahren. Allein 13,2 Millionen Webseiten mit .de-Domain existierten Mitte 2025 in Deutschland, gehostet bei über 6.000 verschiedenen Anbietern.
Über 60 Prozent der Webseiten waren nur über veraltete Protokolle erreichbar – und damit vor Angriffen von außen unzureichend geschützt. Hinzu kommen geschätzt 150 Millionen aktive E-Mail-Adressen, 85 Millionen Social-Media-Accounts sowie ungezählte Messenger-Accounts und Mobilfunknummern. Da entstehen beinahe automatisch Schwachstellen. Im Berichtzeitraum des BSI wurden weltweit durchschnittlich 119 neue Schwachstellen in IT-Systemen bekannt – und das tagtäglich!
Nicht zuletzt deshalb haben Bundestag und Bundesrat im vergangenen Jahr das NIS-2-Umsetzungsgesetz verabschiedet. Die gleichnamige Richtlinie der Europäischen Union verpflichtet mittlere und große Unternehmen, die in einem von 18 regulierten Sektoren tätig sind, zu erhöhten IT-Sicherheitsstandards.
„Bei der NIS-2- Richtlinie geht es um den Schutz kritischer Infrastruktur und systemrelevanter Unternehmen – dazu gehören neben den erwartbaren Bereichen wie Energie, Gesundheit oder Banken unter anderem auch Lebensmittelproduktion, Handel, verarbeitendes Gewerbe oder Transportwesen“,
sagt Lutz Müller-Kröhnert. Neben der verpflichtenden Registrierung beim Bundesamt gehören ein Risikomanagement für die IT-Sicherheit und die Datensicherung zu den verpflichtenden Auflagen. Und: „Die Geschäftsführung haftet hier persönlich und ist zu regelmäßigen Weiterbildungen verpflichtet“, so Müller-Krönert. Noch herrsche Verunsicherung unter Unternehmen, wer unter die Richtlinie fällt – das BSI bietet dafür auf seinen Webseiten einen Selbsttest an.
Kostspieliger Erneuerungsschub
Unterstützung kann man sich auch beim Cyber-Sicherheitsnetzwerk Sachsen und der Transferstelle Cybersicherheit holen. Das Netzwerk wurde von den sächsischen Industrie- und Handelskammern, den Handwerkskammern, dem Landeskriminalamt sowie der Digitalagentur des sächsischen Wirtschaftsministeriums ins Leben gerufen. Hier sollen vor allem kleine und mittlere Unternehmen qualifizierte Expertise für die Vermeidung von IT-Sicherheitsnotfällen sowie Erste Hilfe bei einem Angriff erhalten, wenn man nicht über eine entsprechende Versicherung verfügt. Das Netzwerk hat auch eine Notfallkarte entwickelt, die die wichtigsten Schritte im Falle eines Angriffs aufführt: Netzwerkkabel ziehen, Meldepflichten beachten, interne oder externe Hilfe rufen.
In Aue stellte die Versicherung das Krisenmanagement, zusätzliche Expertise kam durch den IT-Partner NMS ins Haus.
„Wir haben gegen 10 Uhr angerufen, 15 Uhr hatten wir die Unterstützung bei uns vor Ort“,
so André Härtel. Sofort wurde ein Krisenstab aus Geschäftsführung, IT-Abteilung, weiteren Abteilungsleitern und eben dem Experten der Versicherung eingesetzt, der die eingetretenen Schäden ermitteln und beheben sollte. Die Polizeibehörden – Landeskriminalamt und Bundeskriminalamt – wurden informiert, der Vorfall zur Anzeige gebracht. Hinzu kam die schnellstmögliche Information wichtiger Partner – neben der eigenen Belegschaft unter anderem Banken, Kunden und die Mutter- und Schwesterunternehmen der Jacob Metal Group, zu der die Nickelhütte gehört.
Aufwendig gestaltete sich die Arbeit an der Hardware: „Man glaubt gar nicht, wo überall Computer stehen“, sagt André Härtel. Server, Computer und Drucker, aber auch unzählige Switches, Powerbanks und USB-Sticks wurden vom Netz getrennt. Die Rechner wurden bereinigt, teilweise mussten neue beschafft werden. Eine größere Herausforderung waren die Server – hier brauchte es mehrere Wochen und teils Monate, um sie wieder in Gang zu setzen.
Was vorher digital lief, wurde in dieser Zeit wieder klassisch mit Zettel und Stift erledigt, Kollegen halfen sich gegenseitig oder bauten auch mal Überstunden ab. „Wir haben unsere Arbeitsfähigkeit Schritt für Schritt mit den Daten aus der Cloud wieder hergestellt – von der Eingangswaage für Rohstofflieferungen bis zu Lohnabrechnung und Zahlungsabläufen“, so Härtel. Manche Prozesse zogen sich bis ins Frühjahr 2026. Wie groß der entstandene Schaden ist, steht noch nicht endgültig fest.
Der Prokurist erklärt:
Von den Erfahrungen mit dem Vorfall berichtet André Härtel auch beim 10. Chemnitzer Wirtschaftsschutzforum der IHK Chemnitz am 3. September 2026. Neben aktuellen Informationen des Landeskriminalamts zur Sicherheitslage in Sachsen stellt die Transferstelle Cybersicherheit Empfehlungen zur Umsetzung der NIS-2 Richtlinie vor. Im anschließenden Praxisteil schildern Unternehmen ihre Strategien für mehr Resilienz – darunter die Nickelhütte Aue.
Lesen Sie mehr: Von Cyberangriffen zum Krisenfall Blackout
Kontakt
Lutz Müller-Kröhnert
Referent Unternehmensfinanzierung / Wirtschaftsförderung / Digitalisierung