--- title: "Die 4 Phasen eines Cyberangriffs und wo KMU ihn stoppen" description: "Die 4 Phasen eines Cyberangriffs auf ein KMU und die Kontrolle, die ihn in jeder Phase stoppt: MFA, VLAN, unveränderbare Backups und NOC. Unverbindlich." language: de url: https://www.dataroad-it.com/de/cyberangriff-vier-phasen-stoppen/ source: https://www.dataroad-it.com/de/cyberangriff-vier-phasen-stoppen/ publisher: DataRoad IT (DataRoad - IT Services and Consulting), Portugal --- > Die 4 Phasen eines Cyberangriffs auf ein KMU und die Kontrolle, die ihn in jeder Phase stoppt: MFA, VLAN, unveränderbare Backups und NOC. Unverbindlich. # Die 4 Phasen eines Cyberangriffs und wo KMU ihn stoppen Auf einen Blick Für Entscheider mit wenig Zeit. - 01 Ein Ransomware-Angriff beginnt Tage oder Wochen, bevor Dateien verschlüsselt werden. - 02 Phasen: Aufklärung, Eindringen, Ausbreitung, Schaden; jede hat ihre eigene Bremse. - 03 Die Ausbreitung entscheidet: VLAN, minimale Rechte und unveränderliche Backups. - 04 Erster Schritt mit größter Wirkung: MFA für externe Zugänge und Backups außerhalb des Netzes. ### In diesem Artikel **Drei Wochen Teilstillstand, Honorare für die Wiederherstellung, Meldungen an die Datenschutzbehörde CNPD und Kunden, die fragen, was passiert ist: Das ist der Preis eines Cyberangriffs, den niemand rechtzeitig gestoppt hat.** Und er beginnt fast nie in der Nacht der Lösegeldforderung. Ein Cyberangriff auf ein Unternehmen durchläuft vier Phasen (Aufklärung, Eindringen, Ausbreitung und Schaden) und für jede gibt es eine wirksame Kontrolle. Je früher der Angriff stoppt, desto kleiner die Rechnung. Nach dieser Logik gestaltet DataRoad - IT Services and Consulting die Managed Cybersecurity der KMU, die es schützt. ## Wie viel Zeit hat das Unternehmen zum Reagieren? | Phase | Was passiert | Übliches Zeitfenster | Wirksame Kontrolle | | --- | --- | --- | --- | | Aufklärung | Sammeln öffentlicher Informationen über das Unternehmen | Stunden bis Wochen | Einzigartige Zugangsdaten, weniger Angriffsfläche | | Eindringen | Phishing, offener Zugang oder ungepatchte Schwachstelle | Minuten | MFA, E-Mail-Filterung, Patches, Managed Firewall | | Ausbreitung | Jagd nach Zugangsdaten, Servern und Backups | Tage bis Wochen | VLAN, minimale Rechte, unveränderliche Backups, NOC | | Schaden | Verschlüsselung, Datendiebstahl, umgeleitete Zahlungen | Stunden | Geplante Eindämmung und Wiederherstellung | ## Phase 1: Was weiß ein Angreifer über Ihr Unternehmen? Mehr als Sie denken. Aus LinkedIn holt er Namen und Funktionen, von der Website E-Mail-Adressen, aus der Presse die Lieferanten, aus Stellenanzeigen die interne Software. Dazu kommen Zugangsdaten von Mitarbeitenden aus Leaks anderer Dienste. Das Ergebnis ist ein gezielter Angriff: die Nachricht des vertrauten Lieferanten, der Anruf der Bank, der Loginversuch mit dem wiederverwendeten Passwort. Nichts davon hinterlässt sichtbare Spuren. **Die Bremse:** Zugangsdaten entwerten und die öffentliche Angriffsfläche verkleinern. Ein eigenes Passwort pro Dienst, gespeichert in einem [Passwortmanager](https://www.dataroad-it.com/de/passwortmanager-unternehmen-team-tresore/), macht fremde Leaks wertlos. Weniger veröffentlichte Sammeladressen und eine klare Regel für Anfragen „im Namen von“ jemandem nehmen Social Engineering den Raum. ## Phase 2: Wo dringt man in ein KMU ein? - **Betrügerische E-Mails** Zugangsdaten auf einem gefälschten Portal eingegeben oder ein Anhang, der Malware installiert. - **Zum Internet offene Zugänge** RDP, VPN oder alte Portale, nur per Passwort geschützt. - **Bekannte Schwachstellen** Firewall mit veralteter Firmware, Server ohne Patches, Windows 10 ohne Support. Das eigentliche Eindringen dauert Minuten. **Die Bremse:** [MFA](https://www.dataroad-it.com/de/mfa-multi-faktor-authentifizierung-14-tage/) für jeden externen Zugang, damit gestohlene Zugangsdaten nichts öffnen; E-Mail-Filterung und ein [Team, das Phishing erkennt und meldet](https://www.dataroad-it.com/de/phishing-deepfake-awareness-team/); eingespielte Patches und eine [Managed Firewall](https://www.dataroad-it.com/de/managed-firewall-vs-gekaufte-firewall/), die nur das Nötigste freigibt. Die meisten Angriffe auf KMU sollten hier enden. ## Phase 3: Warum entscheidet sich hier der Schaden? Einmal drin, will der Eindringling drei Dinge: Administratorkonten, einen Weg zu den Servern und Zugriff auf die Sicherungskopien. Ist das Netz flach, verwaltet jeder Nutzer seinen eigenen PC und ist das Administratorpasswort auf allen Rechnern gleich, genügen Stunden. Es folgen ein abgeschalteter Virenschutz, angelegte Konten für die spätere Rückkehr und gelöschte oder verschlüsselte Backups. **Die Bremse:** - **Segmentiertes Netz** VLANs, die Arbeitsplätze, Server und Backups trennen ([Leitfaden zur Segmentierung](https://www.dataroad-it.com/de/vlan-netzwerksegmentierung-sicherheit/)). - **Keine lokalen Administratoren** Jede Person arbeitet mit den unbedingt nötigen Rechten. - **Unveränderliche, isolierte Kopien** Außer Reichweite jedes Netzwerkkontos. - **Augen auf dem Netz** [NOC und Monitoring](https://www.dataroad-it.com/de/noc-it-monitoring-24-7-portugal/), im Tarif Premium 365 rund um die Uhr (24/7), um Logins zu ungewöhnlichen Zeiten, neue Konten oder auffälligen Datenverkehr zu erkennen, solange es noch Alarme sind. Das ist die Logik der [vier Zero-Trust-Schritte für KMU](https://www.dataroad-it.com/de/zero-trust-kmu-90-tage-plan/). Der Zugang wird nie vollständig geschlossen sein: Es gibt immer einen falschen Klick und eine neue Schwachstelle. Den Schaden verhindert man nicht mehr. In der Ausbreitung macht ein segmentiertes, überwachtes Netz mit geschützten Kopien aus einem schweren Vorfall einen neu aufzusetzenden Arbeitsplatz. Dennoch ist es die Phase, die Unternehmen am meisten vernachlässigen, sie investieren in die Tür und in die Wiederherstellung und lassen das Innere ohne Trennwände. ## Phase 4: Was bleibt zu tun, wenn der Angriff sichtbar wird? Eindämmen. Der Schaden zeigt sich in verschlüsselten Dateien mit Lösegeldforderung, offengelegten oder verkauften Daten, betrügerischen Überweisungen oder ausgefallenen Diensten. Der Angreifer wählt den Zeitpunkt (Freitagabend, Vorabend eines Feiertags) um Zeit zu gewinnen. Ab dann zahlt man in Ausfalltagen, Wiederherstellungsberatern, Meldungen an CNPD und Kunden sowie mit dem Ruf. **Die Eindämmung:** ein schriftlicher, geübter Reaktionsplan (wer schaltet was ab, wer spricht mit wem); geprüfte Kopien, die für den Angreifer unerreichbar sind, der Unterschied zwischen Wiederherstellung in Stunden und Verhandlungen mit Kriminellen; [Disaster Recovery](https://www.dataroad-it.com/de/disaster-recovery-business-continuity-portugal/) mit definierten Wiederherstellungszielen; und methodisch geführte erste Stunden, wie im Leitfaden zur [Datenwiederherstellung direkt nach dem Vorfall](https://www.dataroad-it.com/de/datenverlust-erste-stunde-managed-backup/) beschrieben. ## Wie läuft ein typischer Fall ab? *Rekonstruktion aus mehreren Vorfällen in KMU.* - **Dienstag**: in der Buchhaltung trifft eine „Lieferantenrechnung“ ein; die Mitarbeiterin gibt ihre Zugangsdaten auf einem gefälschten Portal ein. - **In derselben Nacht**: der Angreifer öffnet das Postfach und beobachtet eine Woche lang. Er entdeckt einen Remote-Desktop-Zugang ohne zweiten Faktor. - **Tage später**: bereits im Netz nutzt er aus, dass die Nutzerin lokale Administratorin ist, sammelt Zugangsdaten und erreicht den Dateiserver und das Backup-NAS im selben Segment. - **Donnerstagabend**: er löscht die Kopien. - **Samstag früh**: er verschlüsselt alle Daten. Das Unternehmen bemerkt es erst am Montag. Ein zweiter Faktor beim Fernzugang hätte alles in Phase 2 gestoppt. VLANs und isolierte Kopien hätten nur einen Server zur Wiederherstellung übrig gelassen. Ohne jede dieser Maßnahmen lautete die Rechnung: drei Wochen mit halber Kraft. ## Häufige Fragen ### Wie viel Zeit liegt zwischen Eindringen und Lösegeldforderung? Zwischen einigen Tagen und einigen Wochen bei einem typischen KMU. Automatisierte Angriffe können in Stunden verschlüsseln; gezielte warten länger, weil der Angreifer zuerst die Kopien zerstören will. ### Löst ein guter Virenschutz das Problem? Nicht allein. Er blockiert schädliche Anhänge und bekannte Angriffswerkzeuge, erkennt aber keinen Eindringling mit gültigen Zugangsdaten, und so verlaufen die meisten Angriffe. MFA und Segmentierung sind wertvoller. ### Bringt die Zahlung des Lösegelds die Daten zurück? Es gibt keine Garantie. Zahlen sichert weder die Rückgabe noch verhindert es die Veröffentlichung, und es finanziert den nächsten Angriff. Mit geprüften, isolierten Kopien stellt sich die Frage gar nicht. ### Was ist der erste Schritt, wenn das Unternehmen keine dieser Abwehrmaßnahmen hat? MFA für alle externen Zugänge. Es folgen isolierte, geprüfte Kopien, der Entzug von Administratorrechten und die Netzsegmentierung; die ersten beiden Schritte sind in Tagen erledigt. ## Nächster Schritt: Finden Sie heraus, in welcher Phase ein Angriff heute stoppen würde Wir analysieren Ihre Infrastruktur Phase für Phase und halten schriftlich fest, wo ein Angriff heute gestoppt würde und was fehlt, um ihn früher zu stoppen. Mehr zur [Managed Cybersecurity von DataRoad](https://www.dataroad-it.com/de/cybersicherheit-unternehmen/): in 11 Jahren hat DataRoad keinen einzigen Sicherheitsvorfall verzeichnet. Unverbindliches Angebot. **Ab 10 Arbeitsplätzen · Servicevertrag · Support remote, vor Ort und telefonisch.** Rufen Sie an: +351 211 459 950 * oder schreiben Sie an sales@dataroad.pt. **Anruf ins portugiesische Festnetz.* Gewählt von renommierten und internationalen Unternehmen ★★★★★ 5,0 · 52 Google-Bewertungen ★★★★★ 5,0 · 52 Google-Bewertungen DataRoad ## Verwandte Artikel [Managed IT und CybersicherheitTeams auf Reisen: Laptops, Handys und öffentliches WLAN sichernDas echte Reiserisiko ist ein verlorener, unverschlüsselter Laptop, nicht das Hotel-WLAN. Mit Verschlüsselung, MFA und zentraler Verwaltung …12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/cybersecurity-teams-auf-reisen-laptop-wlan/)[Managed IT und CybersicherheitExterne Angriffsfläche: was das Internet von Ihrer Firma siehtAutomatisierte Angriffe suchen verwundbare Versionen, die Firmengröße spielt keine Rolle. 2025 verzeichnete CERT.PT 3.864 Vorfälle, 40 % meh…12. Oktober 2026 · 5 Min. Lesezeit](https://www.dataroad-it.com/de/externe-angriffsflaeche-unternehmen/)[Managed IT und CybersicherheitNOC und Managed Cybersecurity: wer Ihr KMU überwacht, und wannEntscheidend ist nicht ein SOC, sondern wer samstags um 22 Uhr den Alarm erhält und was dann passiert. Bei DataRoad sind Nächte, Wochenenden…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/noc-soc-managed-cybersecurity-kmu/)[Managed IT und CybersicherheitMicrosoft-365-Sicherheit: die 10 Kontrollen des UnternehmensIn Microsoft 365 gehört die Plattform Microsoft, die Schlüssel gehören Ihnen. Laut Microsoft stoppen MFA und das Blockieren veralteter Authe…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/microsoft-365-sicherheit-geteilte-verantwortung/)[Managed IT und CybersicherheitDSGVO und Managed Cybersecurity: 10 technische KontrollenOhne dokumentierte technische Maßnahmen wird eine Datenpanne vom IT-Vorfall zum Problem mit der Aufsichtsbehörde. Zehn Kontrollen in drei Bl…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/dsgvo-technische-massnahmen-it-infrastruktur/)[Managed IT und CybersicherheitGeleakte Passwörter: Domain prüfen und Lücke in 5 Tagen schließenDas Risiko ist nicht die E-Mail im Datenleck, sondern dasselbe Passwort für ein Firmenkonto. Betroffenes ändern, MFA für alle Konten und ein…12. Oktober 2026 · 5 Min. Lesezeit](https://www.dataroad-it.com/de/zugangsdaten-datenleck-domain-pruefen/)[Managed IT und CybersicherheitAsset-Inventar: Grundlage für IT-Bestandsverwaltung und NIS2Ohne Asset-Inventar gibt es keine geplante Erneuerung, keine nachweisbare Sicherheit und keine Antwort an das CNCS. NIS2-Einrichtungen müsse…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/it-asset-inventar-nis2/)[Managed IT und CybersicherheitBreak-Glass-Konten in Microsoft 365: die Versicherung der FirmaEin ausgesperrter Admin kann E-Mail, Teams und Dateien tagelang unverwaltet lassen. Break-Glass-Konten sind der Reserve-Administrator, wenn …12. Oktober 2026 · 5 Min. Lesezeit](https://www.dataroad-it.com/de/break-glass-konten-microsoft-365-notfall/)[Managed IT und CybersicherheitWindows 365 im Unternehmen: wann der Cloud-PC Kosten senktDer Cloud-PC lohnt sich für Berater, Saisonkräfte, Teams ohne Büro und gemischte Mac-/Windows-Umgebungen. Für Video, CAD oder schwaches Inte…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/windows-365-cloud-pc-kosten-unternehmen/) Zahlen, die Sie prüfen können **11** Jahre am Markt **232** Kunden **< 10 Min.** durchschnittliche Reaktionszeit **15+** IT-Herstellerzertifizierungen **10+** Länder mit betreuten Kunden **5,0 ★** 52 Google-Bewertungen Transparenz ## Was viele Anbieter verschweigen, veröffentlichen wir. [Pläne und Preise ansehen →](https://www.dataroad-it.com/it-unlimited/) - **Preise offen** Essential ab 395 €/Monat zzgl. MwSt., Premium ab 750 € und Premium 365 ab 1.200 €. - **Keine Bindung** Jahresvertrag, keine Bindung und keine Einrichtungskosten. - **Alles schriftlich** Leistungsumfang und Preis, bevor Sie unterschreiben. - **Support ohne Stundenzählung** Remote und telefonisch in jedem Plan; Vor-Ort-Support ab Premium. Partner und Zertifizierungen DataRoad · Managed Cybersecurity ## One StepAhead of IT. Sicherheit beweist sich über Jahre, nicht durch Versprechen. Managed Firewalls, MFA, Endpoint-Schutz und getestete Backups, derselbe Standard für alle Kunden. - **5 ★** bei Google · 52 Bewertungen - **Top 5%** KMU · scoring.pt - **232** geschützte Unternehmen We do **IT** right. DataRoad IT Unlimited ## Ein Internetausfall sollte Ihr Büro nicht lahmlegen. Redundante Zugänge, automatisches Failover und laufende Überwachung. [Unverbindliches Angebot anfordern →](https://www.dataroad-it.com/de/#contact)+351 211 459 950 **Anruf ins portugiesische Festnetz · Mehr als 10 Arbeitsplätze · Supportvertrag · Remote-, Vor-Ort- und Telefonsupport[Unsicher, was Sie brauchen? Sprechen Sie mit dem Assistenten →](https://www.dataroad-it.com/de/#assistente) --- Versão HTML desta página: https://www.dataroad-it.com/de/cyberangriff-vier-phasen-stoppen/