Inhaltsverzeichnis
Die letzte Lieferung
Prolog
Die „Nordversand GmbH“ war ein Großhändler mit einem Ruf für Zuverlässigkeit. Von ihrem Standort am Rand von Stuttgart aus belieferte sie Kunden in ganz Europa mit technischen Komponenten, Maschinenzubehör und Spezialwerkzeugen. Doch hinter der Fassade aus Ordnung und Effizienz begann sich ein Schatten auszubreiten.
Es begann harmlos. Eine Lieferung nach Wien kam doppelt an. Ein Kunde in Lyon erhielt Ware, die nie bestellt worden war. Die Buchhaltung entdeckte eine Rechnung über 38.000 Euro – ausgestellt an eine Firma namens „Nordbyte Solutions“, die es nicht gab. Die IT meldete verdächtige Zugriffe auf das CRM-System – über ein VPN aus Salzburg.
Clara Stein, Geschäftsführerin der Nordversand, rief ihre Führungskräfte zusammen. Im Besprechungsraum saßen Henrik Baum (IT-Leiter), Oliver Kern (Logistikchef), Nina Falk (Buchhaltung) und Leo Brandt (Außendienst). Die Stimmung war angespannt.
„Wir haben ein Sicherheitsproblem“, begann Henrik. „Jemand hat sich mit Admin-Rechten Zugriff auf unsere Systeme verschafft. Die Spur führt zu einem VPN-Server in Salzburg.“
Leo hob die Hand. „Ich war letzte Woche dort – privat. Ich hatte keinen Laptop dabei.“
„Und trotzdem wurde von deinem Account eine Bestellung ausgelöst“, sagte Henrik. „An Nordbyte Solutions. Die Adresse ist ein leerstehendes Bürogebäude.“
Clara sah Leo scharf an. „Wie erklärst du das?“
Leo schwieg.
Nina meldete sich zu Wort. „Ich habe eine Rechnung gesehen, die doppelt verbucht wurde – mit einer abweichenden Kontonummer. Das ist mir erst beim Monatsabschluss aufgefallen.“
„Und wer hat die Rechnung freigegeben?“ fragte Clara.
„Das System zeigt Oliver Kern als Freigeber“, antwortete Nina. „Aber das Datum passt nicht. Oliver war da auf einer Messe in Hamburg.“
Henrik überprüfte die Logdateien. „Die Freigabe erfolgte von einem internen Rechner – aus dem Buchhaltungsbüro.“
„Mein Rechner war zur Wartung“, sagte Nina. „Henrik, du hast ihn abgeholt.“
„Stimmt“, sagte Henrik. „Aber ich habe ihn nur weitergegeben – an unseren externen Techniker.“
„Wer hat den beauftragt?“ fragte Clara.
„Ich“, sagte Henrik. „Er heißt Tobias Rehm. Ich kenne ihn aus einem früheren Projekt.“
Clara stand auf. „Wir müssen die Polizei einschalten.“
Henrik winkte ab. „Ich habe noch etwas gefunden.“ Er öffnete eine Datei: „Lieferstatus_final.xlsx“. Darin waren Lieferungen aufgeführt, die nie stattgefunden hatten – aber abgerechnet wurden. Die Datei war zuletzt bearbeitet worden von einem Benutzer namens „c.stein“.
„Das kann nicht sein“, sagte Clara. „Ich habe nie mit dieser Datei gearbeitet.“
Henrik lächelte. „Ich weiß. Der Benutzer wurde manipuliert. Die Datei stammt von einem USB-Stick – gefunden in deinem Büro.“
Stille.
„Ich habe ihn nicht dort hingelegt“, sagte Clara. „Jemand will mir etwas anhängen.“
Henrik nickte. „Genau das dachte ich auch. Und dann habe ich mir die Sicherheitskameras angesehen.“
Er spielte ein Video ab. Zu sehen war, wie jemand spätabends das Büro betrat – mit einem USB-Stick in der Hand. Die Person trug eine Nordversand-Jacke. Das Gesicht war nicht zu erkennen, aber die Körperhaltung war eindeutig.
„Oliver Kern“, sagte Henrik leise.
Oliver stand auf. „Ich wollte nur zeigen, wie unsicher unser System ist. Ich wollte, dass ihr endlich zuhört.“
Zwei Wochen zuvor
Oliver saß allein im Lagerbüro. Die Halle war leer, das Licht gedimmt. Auf dem Bildschirm blinkte ein Fenster: „Zugriffsrechte erweitern – Admin-Modus aktiv“. Er hatte lange darüber nachgedacht. Die letzten Monate waren frustrierend gewesen. Seine Vorschläge zur Optimierung der Lieferkette wurden ignoriert, sein Budget gekürzt, seine Abteilung übergangen.
„Wenn sie nicht zuhören, muss ich sie zwingen“, murmelte er.
Er hatte sich Zugang zu einem alten VPN-Server verschafft, den die IT nie richtig abgeschaltet hatte. Von dort aus konnte er sich als Leo einloggen – dessen Passwort hatte er zufällig gesehen, als dieser es auf einem Post-it am Monitor kleben ließ. Die Bestellung an „Nordbyte Solutions“ war ein Test. Niemand sollte Schaden nehmen – nur ein paar Daten, ein paar falsche Buchungen. Ein Weckruf.
Doch dann wurde es komplizierter. Der externe Techniker Tobias, den Henrik beauftragt hatte, war neugierig geworden. Er hatte Fragen gestellt, sich tiefer ins System gegraben, und plötzlich war Oliver nicht mehr allein. Die Kontrolle entglitt ihm.
Die Eskalation
Am nächsten Tag meldete sich ein Kunde aus Dänemark. Er hatte eine Lieferung erhalten, die nie bestellt worden war – exakt die Ware, die über „Nordbyte Solutions“ verbucht worden war. Clara war fassungslos. „Das ist kein Test mehr“, sagte sie. „Das ist Betrug.“
Henrik entdeckte weitere Unregelmäßigkeiten: E-Mails, die scheinbar von Clara stammten, aber nie von ihrem Account verschickt wurden. Eine davon enthielt eine Freigabe für eine Zahlung über 48.000 Euro – an ein Konto in Estland.
„Das ist nicht mein Stil“, sagte Clara. „Ich würde nie eine Zahlung ohne Rücksprache freigeben.“
Henrik überprüfte die Metadaten. Die E-Mail war über einen internen Server verschickt worden – mit gefälschter Absenderadresse. Der Zugriff erfolgte über ein Gerät, das zuletzt im Lagerbereich aktiv war.
„Oliver hat dort sein Büro“, sagte Nina leise.
Henrik begann, die Bewegungsdaten der Mitarbeiterausweise auszuwerten. Oliver war in den letzten zwei Wochen mehrfach spätabends im Gebäude gewesen – zu Zeiten, in denen er laut Dienstplan nicht hätte da sein dürfen.
Die Konfrontation
Die Geschäftsführung entschied sich, Oliver zur Rede zu stellen. In einem vertraulichen Gespräch mit Clara und Henrik gestand er schließlich: „Ich wollte nie Schaden anrichten. Ich wollte nur, dass ihr versteht, wie verletzlich wir sind.“
„Du hast uns gezeigt, wie wichtig Sicherheit ist“, sagte Clara ruhig. „Aber du hast auch Vertrauen zerstört.“
Oliver wurde suspendiert. Die Polizei übernahm die Ermittlungen. Die Beweise waren erdrückend: Logdateien, Videoaufnahmen, manipulierte Dateien, gefälschte E-Mails. Doch das Motiv blieb rätselhaft.
In einem letzten Gespräch mit Henrik sagte Oliver: „Ich habe gesehen, wie leicht es ist, alles zu manipulieren. Und ich habe gehofft, dass ihr es auch seht.“
Die Wendung
Zwei Tage später meldete sich Tobias Rehm, der externe Techniker. Er hatte bei der Durchsicht der Serverprotokolle etwas entdeckt: ein versteckter Prozess, der Daten in Echtzeit an eine externe Adresse sendete – nicht nach Estland, sondern nach Frankfurt.
Henrik war alarmiert. „Das war nicht Oliver“, sagte er. „Er hat das System manipuliert – aber nicht diesen Prozess.“
Die Spur führte zu einem zweiten VPN-Zugang – eingerichtet über einen Admin-Account, der nie offiziell existierte. Die Zugangsdaten stammten aus einem Backup, das vor drei Jahren erstellt worden war – von Henrik selbst.
Clara konfrontierte Henrik. „Was hast du getan?“
Henrik schwieg lange. Dann sagte er: „Ich wollte ein Sicherheitsnetz. Einen Weg, um alles zu überwachen. Aber jemand hat es benutzt – ohne mein Wissen.“
Die Polizei ermittelte weiter. Am Ende stellte sich heraus: Tobias Rehm hatte sich über das Backup Zugang verschafft. Er hatte Oliver beobachtet, seine Aktionen kopiert – und parallel ein eigenes System aufgebaut, um Daten zu verkaufen.
Auflösung
Der Täter war nicht Oliver Kern – sondern Tobias Rehm, der externe Techniker. Oliver hatte das System manipuliert, um auf Missstände hinzuweisen. Tobias nutzte die Gelegenheit, um echten Schaden anzurichten.
Die Hinweise waren subtil gestreut:
- Die parallelen VPN-Zugriffe.
- Die E-Mails mit gefälschter Absenderadresse.
- Die Zahlung nach Estland – ein Ablenkungsmanöver.
- Der versteckte Prozess im Server.
- Das Backup von Henrik – das Tobias missbrauchte.
Oliver wurde freigesprochen. Tobias wurde verhaftet. Clara führte neue Sicherheitsrichtlinien ein. Und Nordversand lernte, dass Vertrauen nicht nur ein Wert ist – sondern eine Verantwortung.
Wenn du möchtest, kann ich diese Geschichte als PDF oder Word-Datei exportieren oder eine Fortsetzung schreiben – etwa aus Sicht der Ermittler oder mit einem neuen Fall. Sag einfach Bescheid!
IT‑Sicherheit nach BSI‑Standards: faktisch unverzichtbar auch ohne NIS2
Management-Zusammenfassung:
Cyberangriffe zählen heute zu den größten Geschäftsrisiken – unabhängig von Branche, Unternehmensgröße oder gesetzlicher Betroffenheit durch NIS2. Ransomware, Phishing und Datenexfiltration treffen nicht „nur regulierte Unternehmen“, sondern alle Organisationen mit IT‑gestützten Geschäftsprozessen.Auch Unternehmen ohne NIS2‑Pflicht stehen unter zunehmendem wirtschaftlichem Druck. Cyber‑Versicherer, Banken, Wirtschaftsprüfer und Kunden verlangen belastbare Sicherheits‑ und Notfallnachweise. Ein einmaliger oder veralteter Sicherheitscheck reicht dafür nicht aus.
Regelmäßige IT‑Sicherheitschecks und Folgeaudits nach BSI‑Standards sind daher kein optionales Compliance‑Projekt mehr, sondern ein zentrales Instrument des unternehmerischen Risikomanagements.
Cyberangriffe nehmen zu – Gesetze schützen nicht
Cyberangriffe wie Ransomware, Phishing und gezielte Datenexfiltration treffen Unternehmen aller Größen und Branchen. Angreifer unterscheiden nicht zwischen „NIS2‑pflichtig“ und „nicht betroffen“. Entscheidend sind technische Schwächen, fehlende Prozesse und mangelnde Vorbereitung.
Viele Unternehmen wiegen sich in falscher Sicherheit, weil sie formal nicht unter das NIS2UmsuCG oder das BSI‑Gesetz fallen. Diese Annahme ist gefährlich: Ein Cyberangriff ist kein Rechtsproblem, sondern ein Betriebsrisiko.
Warum IT‑Sicherheit nach BSI‑Standards unverzichtbar ist
BSI‑Standards (200‑1 bis 200‑4) gelten als anerkannter Referenzrahmen, um ein angemessenes und nachweisbares Sicherheitsniveau zu bewerten. Der IT‑Sicherheitscheck dient dabei als strukturierte GAP‑Analyse, mit der bestehende Abweichungen, Risiken und fehlende Maßnahmen identifiziert und dokumentiert werden. Erst die anschließende Umsetzung der empfohlenen Maßnahmen kann dazu beitragen, Haftungsrisiken zu reduzieren, die Versicherbarkeit zu verbessern, das Vertrauen von Kunden und Partnern zu stärken und Ausfallzeiten im Ernstfall zu verkürzen.
Er bietet:
- eine strukturierte Analyse technischer, organisatorischer und personeller Schwachstellen.
- klare Handlungsempfehlungen auf Basis des BSI‑Grundschutzes.
- einen belastbare GAP-Analyse zur Vorlage gegenüber Geschäftsführung, Versicherern, Banken und Kunden.
Der BSI‑Grundschutz ist kein reines Compliance‑Thema, sondern ein betriebswirtschaftliches Risikomanagement‑Instrument.
NIS2 regelt Pflichten – BSI regelt Sicherheit
Die NIS2‑Richtlinie definiert, wer gesetzlich melden muss. Der BSI‑Grundschutz definiert, wie Unternehmen sich wirksam schützen.
Auch Unternehmen ohne NIS2‑Pflicht stehen unter Druck:
- Geschäftsführungen haften für angemessene IT‑Sicherheitsmaßnahmen (z. B. DSGVO Art. 32).
- Cyber‑Versicherer verlangen ISMS‑Nachweise und Notfallpläne.
- Banken und Wirtschaftsprüfer berücksichtigen den IT‑Sicherheitsstatus.
- Kunden und Verbünde fordern Sicherheitsnachweise in der Lieferkette.
Was nicht gesetzlich Pflicht ist, wird wirtschaftlich Pflicht.
Achtung: Ihr letztes Audit ist älter als 12 Monate?
Ein Audit ist keine einmalige Maßnahme, sondern eine Momentaufnahme. Bereits nach 12 Monaten verliert ein Sicherheitscheck seine Aussagekraft.
Gründe dafür sind unter anderem neue Angriffsmethoden, veränderte IT‑Infrastrukturen (Cloud, Microsoft 365, Homeoffice) sowie aktualisierte BSI‑Standards und regulatorische Anforderungen.
Ein veraltetes Audit kann im Ernstfall zu Versicherungsablehnung, Haftungsfragen und längeren Ausfallzeiten führen.
Warum auch Unternehmen ohne NIS2‑Pflicht Folgeaudits benötigen
Die Folgen eines Cybervorfalls sind für alle Unternehmen identisch:
- Produktions‑ oder Betriebsstillstand.
- hohe Wiederherstellungskosten.
- Reputations‑ und Vertrauensverlust.
- mögliche DSGVO‑Bußgelder.
Regelmäßige Folgeaudits bieten eine aktuelle Risikobewertung, ermöglichen proaktive Sicherheitsverbesserungen, erhöhen die Versicherbarkeit und liefern belastbare Nachweise für Kunden, Banken und Prüfer.
Empfohlen wird ein jährliches Folgeaudit nach BSI‑Standards mit einem Intervall von maximal 12 Monaten.
BSI‑Standards 200‑1 bis 200‑4 – ganzheitlich statt punktuell
Ein moderner IT‑Sicherheitscheck umfasst mehr als Technik:
- BSI 200‑1: ISMS und Governance, klare Verantwortlichkeiten.
- BSI 200‑2: Sicherheitskonzept und strukturierte Maßnahmen.
- BSI 200‑3: Risikoanalyse und Bewertung geschäftskritischer Risiken.
- BSI 200‑4: Notfallmanagement und schnelle Wiederherstellung.
Erst die Kombination dieser Standards schafft echte Resilienz.
Fazit: Handeln Sie, bevor es zu spät ist
Jeder Tag ohne aktuellen IT‑Sicherheitscheck und Notfallplan erhöht Ihr Risiko. Ein IT‑Sicherheitscheck nach BSI‑Standards trägt zur Absicherung der Geschäftsführung, Voraussetzung für Versicherbarkeit, Vertrauensnachweis für Kunden und Partner sowie Grundlage für schnelle Wiederanlaufzeiten im Ernstfall bei.
Das gilt unabhängig davon, ob Ihr Unternehmen unter NIS2 fällt oder nicht.