Cyberresilienz im Mittelstand entscheidet sich nicht erst dann, wenn ein Angriff läuft. Sie entsteht vorher: durch belastbare technische Architektur, klare Verantwortlichkeiten, transparente Abhängigkeiten und geübte Notfallprozesse.
Das bedeutet: Cyberresilienz verhindert nicht jeden Angriff, aber es führt dazu, unter Belastung handlungsfähig zu bleiben. Dieser Beitrag fokussiert einen zentralen Teil der Cyberresilienz: die Verfügbarkeit internetbasierter Services, Webanwendungen, APIs und DNS-Infrastrukturen.
Für viele mittelständische Unternehmen hängen zentrale Geschäftsprozesse heute an digitalen Services. Kundenportale, Onlineshops, Produktionssysteme, Cloud-Anwendungen, Schnittstellen zu Lieferanten oder E-Mail-Kommunikation müssen verfügbar sein. Fällt ein solcher Service aus oder wird er über Stunden spürbar langsamer, ist das längst kein reines IT-Problem mehr. Es betrifft Umsatz, Produktivität, Lieferfähigkeit und Vertrauen.
Der European Cyber Report 2026 von Link11 zeigt, wie sich die Lage verschärft: DDoS-Angriffe nehmen nicht nur zu, sondern werden länger, wiederholter und schwerer erkennbar. Gleichzeitig verlagern sich Angriffe von der Infrastruktur auf Anwendungen, APIs und digitale Geschäftsprozesse.1
Warum Cyberresilienz im Mittelstand ein Führungsthema ist
Cyberresilienz bedeutet nicht, jeden Angriff vollständig verhindern zu können. Das wäre weder realistisch noch wirtschaftlich sinnvoll. Resilient ist ein Unternehmen vielmehr dann, wenn es Angriffe, technische Störungen und Sicherheitsvorfälle ohne gravierende Unterbrechung des Geschäftsbetriebs bewältigen kann.
Dazu gehören vier Fähigkeiten:
- kritische Services kennen: Welche Systeme müssen verfügbar bleiben, damit Kunden, Mitarbeitende und Partner arbeitsfähig sind?
- Angriffe früh erkennen: Welche Auffälligkeiten deuten auf Missbrauch, Überlastung oder Manipulation hin?
- wirksam reagieren: Wer entscheidet im Ernstfall? Welche technischen und organisatorischen Schritte folgen?
- schnell wieder handlungsfähig sein: Wie wird der Betrieb stabilisiert, kommuniziert und nachvollziehbar ausgewertet?
Diese Fragen lassen sich nicht allein an die IT delegieren. Wenn ein Kundenportal ausfällt, eine Schnittstelle nicht mehr erreichbar ist oder die Website unter Last kaum nutzbar bleibt, braucht es Entscheidungen zu Prioritäten, Kommunikation und Ressourcen. Deshalb gehört Cyberresilienz auf die Agenda von Geschäftsführung, IT, Fachbereichen und Risikomanagement.
DDoS-Angriffe sind heute eine dauerhafte Belastung
Bei einem DDoS-Angriff (Distributed Denial of Service) wird ein digitaler Dienst mit einer sehr großen Zahl von Anfragen oder Datenpaketen überlastet. Ziel ist, dass echte Nutzerinnen und Nutzer nicht mehr auf Websites, Anwendungen oder Schnittstellen zugreifen können.
Früher wurde DDoS häufig als kurzfristige Störung betrachtet: Ein Angriff kommt, der Dienst ist für eine gewisse Zeit nicht erreichbar und danach läuft alles wieder normal. Dieses Bild greift zu kurz.
Der European Cyber Report 2026 beschreibt für das Link11-Netzwerk einen Anstieg der DDoS-Angriffe um 75 Prozent im Jahr 2025 gegenüber 2024. Zudem wurden Angriffe mit Bandbreiten von mehr als einem Terabit pro Sekunde registriert. Die längste abgewehrte Attacke dauerte laut Report mehr als acht Tage.1
Für mittelständische Unternehmen ist dabei ein Punkt besonders wichtig: Nicht nur die maximale Angriffslast ist relevant. Auch lange oder wiederkehrende Belastungen können operative Schäden verursachen. Wenn Teams über Tage hinweg manuell reagieren müssen, Fachbereiche keine verlässlichen Informationen erhalten und digitale Services immer wieder beeinträchtigt sind, wird aus einem Sicherheitsvorfall ein Organisationsproblem.
Von der einmaligen Störung zur Angriffskampagne
Nach einem ersten Angriff folgt häufig nicht einfach Ruhe. Der Report weist darauf hin, dass betroffene Unternehmen mit einer Wahrscheinlichkeit von über 70 Prozent erneut angegriffen werden.1 Angreifer testen Schutzmechanismen, verändern Muster und suchen gezielt nach Schwachstellen in der Abwehr.
Daraus folgt eine einfache Konsequenz: Ein Notfallkonzept, das erst nach dem ersten Ausfall erstellt wird, kommt zu spät. DDoS-Schutz muss als dauerhafte Fähigkeit geplant werden – technisch, organisatorisch und wirtschaftlich.
Die unterschätzten Risiken: Bots, Webanwendungen und APIs
Viele Unternehmen verbinden DDoS noch immer mit einem abrupten Ausfall durch enorme Datenmengen. Moderne Angriffe können jedoch deutlich subtiler sein. Statt eine Website sofort lahmzulegen, simulieren Bots scheinbar normales Nutzerverhalten, rufen ressourcenintensive Seiten auf oder belasten gezielt einzelne Schnittstellen.
Besonders betroffen sind häufig:
- Kunden- und Self-Service-Portale,
- E-Commerce-Plattformen,
- Buchungs- und Bestellsysteme,
- APIs zu Partnern, Dienstleistern oder mobilen Apps,
- Login- und Passwort-zurücksetzen-Funktionen,
- Suchfunktionen, Warenkörbe oder Formulare mit hoher Serverlast.
Solche Angriffe bewegen sich oft unterhalb klassischer Alarmgrenzen. Die Website ist dann nicht vollständig ausgefallen, aber Seiten laden langsamer, Transaktionen brechen ab oder die Infrastrukturkosten steigen ohne erkennbaren Geschäftsnutzen.
Warum hoher Traffic nicht automatisch Nachfrage bedeutet
Mehr Zugriffe wirken auf den ersten Blick positiv. Ohne Kontext kann hoher Traffic jedoch täuschen. Eine steigende Zahl von eindeutigen IP-Adressen, Sessions oder Requests bedeutet nicht zwingend mehr echte Kundschaft.
Im European Cyber Report wird beschrieben, wie automatisierte Zugriffe zunehmend legitime Bots imitieren. Besonders problematisch sind gefälschte Suchmaschinen-Crawler. Wer Bots pauschal vertraut oder allein auf IP-Listen und Herkunftsländer setzt, kann schädlichen Traffic durchlassen – oder im umgekehrten Fall echte Nutzer blockieren.1
Für die Praxis bedeutet das: Nicht allein das Volumen des Datenverkehrs ist entscheidend. Wichtiger ist das Verhalten:
- Welche Seiten und Schnittstellen werden aufgerufen?
- Wie schnell und in welcher Reihenfolge erfolgen Anfragen?
- Werden Sessions realistisch genutzt?
- Entsteht ein tatsächlicher Geschäftsvorgang – oder nur technische Last?
- Weichen Zugriffe von bekannten Nutzungsmustern ab?
Hier setzt Web Application & API Protection (WAAP) an. WAAP steht für „Web Application & API Protection“. Gemeint ist ein Bündel von Schutzmechanismen, das schädliche Zugriffe auf Websites, Kundenportale und Programmschnittstellen erkennen und blockieren soll – etwa durch Web Application Firewall, Bot-Management und API-Schutz. Für Unternehmen mit digitalen Kunden- oder Partnerprozessen ist das keine isolierte Sicherheitsfunktion, sondern ein Baustein für verlässliche Verfügbarkeit.
DNS-Sicherheit: Die Vertrauenskette hinter digitalen Services
Während DDoS-Angriffe die Verfügbarkeit direkt beeinträchtigen können, zielen Angriffe auf das Domain Name System häufig auf die Integrität digitaler Kommunikation.
DNS funktioniert vereinfacht wie ein Adressbuch des Internets: Es übersetzt eine Domain wie unternehmen.de in die technische IP-Adresse des zugehörigen Systems. Nahezu jeder Zugriff auf eine Website, Cloud-Anwendung, API oder E-Mail-Infrastruktur beginnt mit einer DNS-Abfrage.
Wird diese Namensauflösung manipuliert, können Nutzer unbemerkt auf falsche oder kompromittierte Systeme geleitet werden. Die Webadresse sieht dann weiterhin korrekt aus – der Datenverkehr landet aber möglicherweise nicht beim vorgesehenen Ziel.
Was DNSSEC leistet – und was nicht
DNSSEC steht für Domain Name System Security Extensions. Die Technologie ergänzt DNS-Antworten um kryptografische Signaturen. Dadurch kann geprüft werden, ob eine Antwort tatsächlich von der zuständigen Quelle stammt und unterwegs nicht verändert wurde.
DNSSEC schützt nicht vor DDoS-Angriffen und verschlüsselt auch keinen Datenverkehr. Es kann jedoch Manipulationen der DNS-Auflösung erschweren und damit eine zentrale Vertrauenskette absichern.
Für mittelständische Unternehmen ist DNSSEC besonders dann relevant, wenn sie geschäftskritische digitale Services, Kundenportale, E-Mail-Infrastrukturen oder mehrere Cloud-Dienste betreiben. Die Einführung sollte allerdings geplant erfolgen: Falsch konfigurierte Schlüssel oder abgelaufene Signaturen können selbst zu Erreichbarkeitsproblemen führen. Deshalb gehören Zuständigkeiten, Monitoring und ein getesteter Rückfallplan zwingend dazu.
Cyberresilienz im Mittelstand systematisch aufbauen
Die beste Schutzlösung hilft wenig, wenn nicht klar ist, welche Services wirklich priorisiert werden müssen und wer im Ernstfall entscheidet. Cyberresilienz entsteht durch das Zusammenspiel von Technik, Prozessen und Menschen.
1. Kritische Services und Abhängigkeiten transparent machen
Der erste Schritt ist eine nüchterne Bestandsaufnahme. Nicht jedes System braucht denselben Schutz. Entscheidend sind die Anwendungen und Schnittstellen, deren Ausfall unmittelbar geschäftliche Folgen hätte.
Frage Dich beispielsweise:
- Welche digitalen Services sind für Umsatz, Produktion oder Kundenservice kritisch?
- Welche Systeme hängen an externen Cloud-, DNS-, Payment- oder Hosting-Anbietern?
- Welche APIs verbinden interne Prozesse mit Kunden, Lieferanten oder Plattformen?
- Welche Ausfallzeiten sind akzeptabel – und wer hat diese Vorgaben festgelegt?
- Welche manuellen Ausweichprozesse gibt es, wenn ein Dienst nicht verfügbar ist?
Das Ergebnis sollte keine unübersichtliche Systemliste sein, sondern eine priorisierte Übersicht: Was muss zuerst geschützt, überwacht und im Notfall wiederhergestellt werden?
2. Schutz, Monitoring und Notfallprozesse verbinden
Für exponierte digitale Services reicht ein einzelner Schutzmechanismus selten aus. Sinnvoll ist ein mehrstufiger Ansatz:
- DDoS-Schutz: möglichst automatisiert und dauerhaft aktiviert, statt erst im Angriffsmoment zugeschaltet zu werden.
- Schutz auf Anwendungsebene: etwa durch WAAP, Web Application Firewall, Bot-Management und API-Schutz.
- Monitoring: technische Kennzahlen mit geschäftlich relevanten Signalen verbinden, beispielsweise Antwortzeiten, Abbruchquoten, Fehlerraten und Conversion-Verluste.
- DNS-Sicherheit: Namensauflösung absichern, Konfigurationen überwachen und Verantwortlichkeiten eindeutig zuweisen.
- Notfall-Runbook: klare Abläufe für Eskalation, Kommunikation, externe Dienstleister und Entscheidungen im Krisenfall definieren.
Wichtig ist: Ein Incident-Response-Plan darf nicht nur als Dokument im Intranet liegen. Er muss praktisch nutzbar sein. Wer informiert Geschäftsführung und Fachbereiche? Wer spricht mit dem Provider? Wer entscheidet über temporäre Schutzmaßnahmen, beispielsweise CAPTCHAs oder Einschränkungen einzelner Funktionen? Und wie werden Kunden informiert, wenn ein Service beeinträchtigt ist?
3. Verfügbarkeit als Kennzahl im Management etablieren
Viele Unternehmen berichten im Management regelmäßig über Umsätze, Datenschutzvorfälle, Projektfortschritt oder IT-Kosten. Die Verfügbarkeit geschäftskritischer Services wird dagegen häufig nur technisch betrachtet.
Das sollte sich ändern. Sinnvolle Kennzahlen können sein:
- Verfügbarkeit kritischer Anwendungen,
- durchschnittliche und maximale Antwortzeiten,
- Fehlerraten bei Transaktionen,
- Anzahl und Dauer sicherheitsrelevanter Störungen,
- Zeit bis zur Erkennung und Reaktion,
- Abhängigkeiten von einzelnen Dienstleistern,
- Ergebnisse aus Notfallübungen.
So wird sichtbar, ob die Organisation nur auf Vorfälle reagiert oder ihre digitale Resilienz tatsächlich verbessert.
Ein praxistauglicher 90-Tage-Plan
Cyberresilienz muss kein Großprojekt sein, das erst nach Jahren Wirkung zeigt. Mit einem klaren Fokus lassen sich innerhalb von 3 Monaten belastbare Grundlagen schaffen.
In den ersten 30 Tagen: Transparenz schaffen
Identifiziere die 5 bis 10 kritischsten digitalen Services. Dokumentiere jeweils Geschäftsprozess, technische Abhängigkeiten, verantwortliche Personen, Ausfallfolgen und bestehende Schutzmaßnahmen.
Prüfe dabei auch externe Abhängigkeiten: Hosting, Cloud-Plattformen, DNS-Provider, E-Mail-Dienstleister, Payment-Anbieter und wichtige Schnittstellen zu Partnern.
Bis Tag 60: Risiken priorisieren und Lücken schließen
Bewerte, welche kritischen Dienste bereits gegen DDoS- und Bot-Angriffe geschützt sind. Prüfe insbesondere öffentlich erreichbare Webanwendungen, Login-Bereiche und APIs.
Parallel sollten Verantwortlichkeiten und Eskalationswege konkretisiert werden. Ein kurzer, klarer Notfallablauf ist wertvoller als ein umfangreiches Konzept, das niemand im Ernstfall findet.
Bis Tag 90: Ernstfall üben und Verbesserungen festlegen
Führe eine realistische Tabletop-Übung durch. Das Szenario kann einfach sein: Das Kundenportal wird über mehrere Stunden langsamer, die Support-Anfragen steigen und der technische Dienstleister meldet auffälligen Traffic.
Kläre gemeinsam mit IT, Fachbereich und Geschäftsführung:
- Woran erkennen wir die Störung?
- Wer entscheidet über Sofortmaßnahmen?
- Welche Informationen brauchen Kunden, Mitarbeitende und Partner?
- Welche Dienstleister müssen eingebunden werden?
- Was dokumentieren wir für die spätere Auswertung?
Nach der Übung sollten konkrete Maßnahmen mit Verantwortlichen und Terminen festgelegt werden. Erst dadurch wird aus einem Notfallplan eine wirksame Routine.
Fazit: Verfügbarkeit ist eine geschäftskritische Kennzahl
Cyberangriffe zielen nicht mehr nur auf spektakuläre Ausfälle. Häufig beeinträchtigen sie digitale Prozesse schleichend: durch wiederkehrende DDoS-Angriffe, automatisierte Bot-Zugriffe, überlastete APIs oder manipulierte Infrastrukturkomponenten.
Für die Cyberresilienz im Mittelstand bedeutet das: Verfügbarkeit, Integrität und Reaktionsfähigkeit müssen gemeinsam betrachtet werden. DDoS-Schutz, Web- und API-Sicherheit, DNS-Sicherheit sowie klare Notfallprozesse gehören zusammen.
Wer kritische Services kennt, Schutzmaßnahmen priorisiert und den Ernstfall regelmäßig übt, reduziert nicht nur technische Risiken. Das Unternehmen gewinnt vor allem eines: die Fähigkeit, auch unter Druck handlungsfähig zu bleiben.
