Cyberprotection Day 2026: Wenn Hacker 289 Milliarden Euro Schaden anrichten

Es war 15.24 Uhr, als beim Kölner Sanitätshaus Rahm eine englischsprachige E-Mail eintraf. Die Geschäftsführung wurde sofort misstrauisch: Englischer Schriftverkehr ist in ihrem Alltag selten – und die Absender kannten erstaunlich viele interne Details. Drei Minuten später klingelte das Telefon bei IT-Chef Guido Laux: Verdacht auf Cyberangriff.

„Ich griff zunächst in die Schublade zu unserem Krisenplan", schilderte Laux auf dem Cyberprotection Day 2026 der WirtschaftsWoche in Düsseldorf. „Doch Punkt eins bis zwölf von dem, was wir uns da vorgestellt hatten, konnte ich gleich vergessen – dafür gab es gar nicht die Zeit." Seine erste Maßnahme: Er trennte das gesamte Unternehmen vom Internet. 1.200 Mitarbeiter mussten von einer Minute auf die andere auf Stift und Papier umsteigen.

Das Managementteam fuhr persönlich zu den knapp 50 Niederlassungen, um die Belegschaft zu informieren und die Sorgen um Arbeitsplätze und Gehaltszahlungen zu zerstreuen. „Dabei flossen auch einige Tränen", berichtete Laux.

Schäden von 289 Milliarden Euro – Tendenz steigend

Der Fall des Sanitätshauses Rahm steht exemplarisch für eine bedrohliche Entwicklung. Beim vierten Cyberprotection Day im Düsseldorfer Verlagsgebäude der Handelsblatt-Gruppe tauschten sich Krisenmanager und Unternehmensverantwortliche über Schutzstrategien aus. Die Zahlen, die sie dabei präsentierten, sind alarmierend: Laut der Bitkom-Studie Wirtschaftsschutz 2025 hatten neun von zehn deutschen Unternehmen im vergangenen Jahr mit Datendiebstahl, Industriespionage oder Sabotage zu kämpfen. Der Gesamtschaden belief sich auf 289 Milliarden Euro – ein Anstieg von acht Prozent gegenüber dem Vorjahr.

Besonders diskutiert wurde auf der Konferenz das neue KI-Modell „Mythos" des Unternehmens Anthropic, das in der Lage ist, Schwachstellen in Softwarecodes automatisch aufzuspüren. Solche KI-Agenten könnten die Arbeit von IT-Sicherheitsexperten künftig erheblich erschweren.

„Schon heute beflügelt künstliche Intelligenz die Qualität, die Geschwindigkeit und auch die Häufigkeit der Angriffe", warnte Okay Güler, Gründer des IT-Dienstleisters Cloudyrion. Für ein überzeugendes Deepfake einer Stimme reiche der neuesten KI-Generation bereits ein dreisekündiger Audioausschnitt. Binnen Minuten könnten Angreifer ein detailliertes Sozialprofil einer Zielperson erstellen – inklusive Hobbys und jüngsten Reisen – und das dank öffentlich zugänglicher Social-Media-Daten.

Güler empfiehlt daher, mit wichtigen Mitarbeitern und sogar Familienmitgliedern einen separaten, vertrauenswürdigen Kommunikationskanal einzurichten – eine Art menschliche Zwei-Faktor-Authentifizierung. Ein einfaches Beispiel zeigt, wie wirksam das sein kann: „Eine Zielperson fragte den Anrufer, der sich als seine Frau ausgab, kurzerhand, was denn sein Lieblingsbuch sei – und der legte umgehend auf."

KI als Angriffsfläche im eigenen Unternehmen

Nicht nur externe Angreifer nutzen KI – auch der interne Einsatz birgt neue Risiken. Christopher Ruppricht, Chief Information Officer der Schufa, beschrieb das Dilemma: „Einerseits darf man die positive Einstellung der Mitarbeitenden zu neuen Anwendungen nicht zu sehr dämpfen, aber natürlich müssen wir die Daten von Kunden und Dritten bestmöglich schützen." Er sieht sich dabei oft in der Rolle des „Spaßverderbers". Besonders KI-Agenten, die wie Mitarbeiter agieren und entsprechende Zugriffsrechte erhalten, bereiten ihm Sorgen: „Der Insider-Threat verdoppelt sich dadurch."

Sven Uckermann vom Krisen-Consultant HiSolutions berichtete von typischen Fehlern unter Stress. Ein IT-Mitarbeiter befragte im Ernstfall eine KI – und führte die erhaltenen Anweisungen in der falschen Reihenfolge aus, was die Datenwiederherstellung erheblich erschwerte. Ein anderer kappte beim Versuch, das Internet zu trennen, zu viele Kabel – und legte dabei versehentlich auch den Aufzug und die Schließanlage lahm, während sich die Tochter des Firmenchefs zur Zigarettenpause auf dem Dach befand.

Uckermann mahnte, trotz des enormen Drucks bei einem Cyberangriff regelmäßige Pausen einzuplanen. Nur so seien die nötigen Höchstleistungen über mehrere Tage aufrechtzuerhalten. Und Fehler seien dabei einzukalkulieren: „Man kann zwar viel falsch machen, aber gar nichts zu tun, ist noch schlimmer, wenn in der Inbox die Nachricht einläuft: ‚Dear Victim, wir haben Sie verschlüsselt'."

Cyberresilienz ist Chefsache

Oft genügt ein einziger unachtsamer Klick, um Angreifern Tür und Tor zu öffnen. Beim Sanitätshaus Rahm war es eine Phishing-E-Mail, über die sich die Hacker monatelang unbemerkt im System ausbreiteten. Ingo Wolf, Geschäftsführer von Nexia Digital & Technology Services, warnt davor, die Verantwortung allein auf die Mitarbeiter abzuwälzen: „Cyberresilienz ist Chefsache – das Unternehmensrisiko liegt auf der strategischen Ebene."

Das Sanitätshaus Rahm zog nach dem Angriff die radikalste Konsequenz: Das gesamte IT-System wurde ausgetauscht. Ein Mitarbeiter fuhr eigens nach Dresden, um sofort einen neuen Server zu kaufen – die reguläre Lieferzeit beträgt eine Woche und mehr. Jeder einzelne Computer wurde auf Werkseinstellungen zurückgesetzt, neu konfiguriert und mit neuer Software ausgestattet. Dabei kümmerte sich jeder Mitarbeiter selbst um seinen Rechner. „Das haben viele unserer Mitarbeiter zum allerersten Mal im Leben gemacht", so Laux.

Insgesamt dauerte es fünfeinhalb Monate, bis der Betrieb vollständig wiederhergestellt war. Als Sanitätshaus, das auch Prothesen und lebenserhaltende Produkte vertreibt, gehört das Unternehmen in Teilen zur kritischen Infrastruktur. Laux zieht ein nüchternes Fazit: „Wir haben den Angriff stärker als zuvor überlebt – aber die Zufriedenheit unserer zwei Millionen Kunden müssen wir jetzt wieder neu erarbeiten."