Wenn ich mit kleinen Betrieben über IT-Sicherheit spreche, kommt früher oder später dieser Satz: „Bei uns gibt es doch nichts zu holen." Das stimmt oft sogar. Nur spielt es keine Rolle. Was einen Betrieb umbringt, ist nicht der Wert seiner Daten für einen Angreifer — es ist die Zeit, in der er nicht arbeiten kann.

Seit 2022 gibt es dafür eine Reihe von Fällen, die man nebeneinanderlegen kann. Sie sind lehrreich, aber nicht auf die Art, wie die Überschriften nahelegen.

Fünf Betriebe, fünf Stillstände

ZEGO Textilveredelungszentrum, Aschaffenburg, rund 60 Beschäftigte, Kunden aus der Berufsbekleidung. Angriff Ende März 2026, danach standen die Maschinen nach eigenen Angaben knapp sechs Wochen still. Anfang Juli 2026 der Insolvenzantrag beim Amtsgericht Aschaffenburg. Der Betrieb läuft weiter.

Fasana, Euskirchen, Servietten und Hygienepapier, rund 240 Beschäftigte. Am 19. Mai 2025 verschlüsselt, etwa 190 Geräte mussten neu aufgesetzt werden. Der entscheidende Satz steht in den Berichten der Insolvenzverwaltung: Die Mai-Löhne konnten nicht pünktlich gezahlt werden. Damit schrumpfte das Zeitfenster für eine Investorenlösung von zwölf auf acht Wochen. Antrag am 1. Juni, also dreizehn Tage nach dem Angriff. Inzwischen Masseunzulänglichkeit, die Produktion läuft aus.

Eu-Rec, Hermeskeil, Recycling, rund 50 Beschäftigte. Angriff am 7. April 2025, Daten von etwa 200 Kunden abgeflossen, inklusive Bankverbindungen. Sechzehn Tage später der Antrag.

Schumag, Aachen, Präzisionsteile, 194 Jahre alt, rund 450 Beschäftigte. Angriff im September 2024, Eigenverwaltung im Oktober. Der Vorstand hat den Zusammenhang selbst so beschrieben: Man habe einen klaren Turnaround-Plan gehabt und akzeptieren müssen, dass die bisherigen Sanierungsplanungen nach dem Angriff hinfällig waren. Die Sanierung gelang trotzdem — 374 Arbeitsplätze wurden gerettet.

Prophete, Fahrräder, rund 400 Beschäftigte. Angriff im November 2022, drei Wochen Stillstand bei Produktion, Rechnungsstellung und Versand, Antrag vier Wochen später. Der vorläufige Insolvenzverwalter nannte zwei Ursachen gleichrangig: Beschaffungsprobleme mit teuren Überbeständen — und die Folgen des Angriffs, deren Verluste die Gesellschafter nicht mehr tragen wollten.

Das Muster ist nicht das Lösegeld

In keinem dieser Fälle war die Lösegeldforderung der Grund für den Antrag. Was die Betriebe umgeworfen hat, war der Ausfall: sechs Wochen, in denen keine Ware das Haus verlässt, während Löhne, Miete und Leasingraten unverändert weiterlaufen. Bei Fasana lässt sich der Kipppunkt sogar auf einen Vorgang zurückführen, der mit Erpressung nichts zu tun hat — auf eine Gehaltsabrechnung, die nicht durchlief.

Dazu passt eine Zahl aus einer Bitkom-Umfrage vom Februar 2026: Bei einem vollständigen IT-Ausfall bleiben deutsche Unternehmen im Schnitt 20 Stunden arbeitsfähig. Jedes fünfte müsste sofort stoppen, nur acht Prozent kämen über 48 Stunden. Vier von zehn haben sich auf diesen Fall gar nicht vorbereitet.

Zwanzig Stunden. Und in den Fällen oben geht es um Wochen.

Die unbequeme Stelle

Jetzt der Teil, den die Fachpresse gern weglässt: In keinem dieser Fälle ist der Angriff als alleinige, unabhängig geprüfte Ursache belegt.

Bei Eu-Rec nennen die Berichte selbst schwankende Auftragseingänge und hohe Energiekosten. Bei Fasana kamen dünne Margen und gestiegene Rohstoffpreise dazu — und die Investorensuche scheiterte am Ende daran, dass der Grundstückseigentümer nicht verkaufen wollte, ein Umstand ohne jeden Bezug zur IT. Bei Prophete standen die Beschaffungsprobleme gleichberechtigt neben dem Angriff. Bei Schumag bestand die Krise nachweislich vorher; der Angriff hat den Sanierungsplan zerstört, nicht das Unternehmen.

Ein Fall wird in der IT-Presse regelmäßig mitgezählt, der nicht dazugehört: Beim Anlagenbauer Wehrle-Werk in Emmendingen liegen zwischen Angriff und Insolvenzantrag fünfzehn Monate, und die Lokalpresse listet sechs Ursachen — vom Rückzug aus dem Russlandgeschäft bis zu einer misslungenen Software-Migration. Das Unternehmen hatte bei 50 Millionen Euro Umsatz bereits 17 Millionen Euro Verlust ausgewiesen, lange bevor jemand die Systeme verschlüsselte.

Und die Zahl, die überall zitiert wird — dass sechzig Prozent der kleinen Unternehmen innerhalb von sechs Monaten nach einem Angriff schließen — hat keine auffindbare Primärquelle. Es gibt in Deutschland keine Statistik, die Insolvenzen kausal Cyberangriffen zuordnet; die amtliche Insolvenzstatistik kennt diesen Grund gar nicht.

Was bleibt, ist die vorsichtigere und deshalb belastbarere Aussage: Der Angriff war der Auslöser, der einen bereits belasteten Betrieb über die Kante gebracht hat. Das ist keine Entwarnung. Es ist eine Verschärfung — denn belastet ist in der aktuellen Konjunktur fast jeder.

Was daraus folgt

Drei Dinge, in dieser Reihenfolge.

Die Wiederherstellung proben, nicht die Sicherung. Bei der Südwestfalen-IT, die im Oktober 2023 rund 72 Kommunen lahmlegte, blieben die Sicherungen unverschlüsselt. Deshalb wurde kein Lösegeld gezahlt. Trotzdem dauerte der vollständige Wiederanlauf bis Herbst 2024. Eine Sicherung, die niemand zurückgespielt hat, ist eine Hoffnung, die Speicherplatz verbraucht — und selbst eine funktionierende ersetzt keinen Plan.

Zweiter Faktor an jedem Fernzugang. Bei derselben Südwestfalen-IT kamen die Angreifer über einen VPN-Zugang ohne Zwei-Faktor-Authentisierung herein, schlicht durch Ausprobieren. Das ist die billigste Maßnahme auf dieser Liste und die mit der besten Wirkung.

Zwanzig Stunden durchspielen. Was passiert konkret, wenn morgen früh nichts mehr angeht? Wer erreicht die Kunden, womit werden Löhne gezahlt, wo liegen die Telefonnummern der Dienstleister — auf Papier, nicht im verschlüsselten Dateiserver. Das kostet einen Nachmittag und ist der Teil, den in der Bitkom-Umfrage vierzig Prozent nie gemacht haben.

Die Frage ist nicht, ob Ihre Systeme angegriffen werden. Sie ist, wie lange Sie ohne sie arbeiten können — und ob Sie diese Zahl kennen, bevor jemand anderes sie für Sie herausfindet.

Quellen: Unternehmensmitteilung ZEGO Textilveredelungszentrum · dhpg und Radio Euskirchen zu Fasana · EUWID Recycling zu Eu-Rec · Presseportal und t-online zu Schumag · Insolvenzverwaltung Sack zu Prophete · baden24 zu Wehrle-Werk · KommunalWiki der Heinrich-Böll-Stiftung zur Südwestfalen-IT · Bitkom-Umfrage zur Ausfallresilienz, Februar 2026.