Höchste Zeit für ein neues Sicherheitsbewusstsein

Cybersicherheit ist so wichtig wie nie. Im März 2025 warnte das Bundesamt für Verfassungsschutz Dutzende Organisationen aus dem gemeinnützigen Sektor vor russischen Cyberangriffen. Im darauffolgenden Juli meldete dann die vom Deutschen Gewerkschaftsbund finanzierte Hans-Böckler-Stiftung, „Opfer eines gezielten Angriffs“ geworden zu sein, der zur Verschlüsselung wichtiger IT-Systeme geführt habe. Der Vorfall ist bis heute nicht abschließend geklärt.Er reiht sich in eine Liste von Vorkommnissen ein: Die Friedrich-Ebert-Stiftung wurde 2021 Ziel eines Cyberangriffs, bei dem Daten von Mitarbeitern und Partnern kompromittiert wurden. Die Konrad-Adenauer-Stiftung verzeichnete in den letzten Jahren mehrere Attacken im digitalen Raum. 2020 erbeuteten Hacker Log-in-Daten zu einzelnen E-Mail-Konten der Organisation. 2017 und 2024 dokumentierte eine Sicherheitsfirma mehrere Spähversuche auf die politische Stiftung und konnte eine Verbindung zu einem russischen Hackerkollektiv nachweisen.Der gesamte zivilgesellschaftliche Sektor gerät im digitalen Raum zunehmend unter Druck. Der Bundesverband Deutscher Stiftungen teilt auf Anfrage mit, ihn erreichten immer wieder Berichte von betroffenen Stiftungen. Belastbare Zahlen über Angriffe im digitalen Raum liegen dem Verband allerdings nicht vor. „In unseren Augen beschäftigen sich immer noch zu wenige Stiftungen mit dem Thema und den damit verbundenen Gefahren.“ Cybersicherheit sei ein integraler Bestandteil der Organisationsentwicklung und gehe mit Themen wie Digitalisierung und KI-Einführung einher. Caroline Krohn-Atug leitet den Fachbereich Digitaler Verbraucherschutz beim BSI. Foto: Martin Kreutter Die Kronjuwelen schützen„Es gibt verschiedene Arten von Cyberangriffen“, sagt Caroline Krohn-Atug vom Bundesamt für Sicherheit in der Informationstechnik (BSI). „Ransomware-Angriffe haben zum Ziel, maximalen Schaden anzurichten. Das ist Schadsoftware, die Inhalte verschlüsselt und Organisationen handlungsunfähig macht.“ Ist ein solcher Angriff erfolgreich, folge im Anschluss meistens der namensgebende Versuch, ein Lösegeld zu erpressen. „Ransomware-Angriffe stellen das größte Schadensrisiko dar“, sagt Krohn-Atug.Phishing-Attacken seien hingegen subtiler und würden zu unterschiedlichen Zwecken von Hackern genutzt. „Hier geht es darum, erst mal in Kontakt mit möglichen Opfern zu kommen.“ Sind Phishing-Angriffe erfolgreich, können sie den Weg für weitere Angriffe bereiten, etwa zur Cyberspionage oder mit Ransomware. Typischerweise erfolgten solche Angriffe durch gefälschte Mails, zunehmend würden Kriminelle auch künstliche Intelligenz verwenden. „Deepfakes sind täuschend echt wirkende Stimmen oder Videos, die bei ihren Opfern Vertrauen aufbauen und sie manipulieren sollen.“Verschiedene AngriffsartenWenn Cyberangriffe gezielt auf eine bestimmte Person oder Organisation erfolgten, spreche man von „Spear-Phishing“. „Meistens geht es dabei darum, die Kronjuwelen einer Organisation zu erbeuten“, sagt Krohn-Atug. Diese BSI-interne Bezeichnung meint etwa personenbezogene Daten, aber auch Organisationsinformationen über Vorgehensweisen oder Kampagnen. Man müsse wissen, welche Daten für Angreifer von Belang sind.Oftmals erfolgten solche Angriffe in Form von Datenleaks oder Sabotage und aus dem Umfeld der Organisation. „Sie können von früheren Mitarbeitern oder Partnern durchgeführt werden, um die Organisation zu schädigen“, so Krohn-Atug. Häufig seien Spear-Phishing-Angriffe auch politisch motiviert. Das Kalkül eines Angriffs könne sein, dass zivilgesellschaftliche Organisationen ihrem Förderzweck nicht mehr nachgehen könnten. „Das BSI verzeichnet eine Zunahme solcher Angriffe, die Systemausfälle, Sabotage, gesellschaftliche Spaltung und Verunsicherung zum Ziel haben.“ Doch im Grunde seien die Motive der Angreifer weniger von Bedeutung, sagt Krohn-Atug. „Das Ziel von Resilienz ist es, dafür zu sorgen, dass Angriffe im digitalen Raum nicht erfolgreich sind. Und wenn doch, dass die Betroffenen den Schaden begrenzen können.“Datenschutzbehörde informierenDas Haus des Stiftens wurde im September 2024 Ziel eines Hackerangriffs. „Es kam die klassische Meldung der Hacker auf dem Bildschirm: ‚Wir waren hier‘“, sagte Geschäftsführerin Gerit Reimann im Online-Format „Impulse stiften“, einer Initiative aus dem Bundesverband von Felix Dresewski, Stephanie Reuter, Karsten Timmer und Kirsten Wagner. Der Ransomware-Angriff habe zu einer Komplettverschlüsselung aller Systeme geführt. „Ein Teil der Daten wurde zudem geklaut“, sagte Reimann, die auch persönlich betroffen war. „Seither ist eine Kopie meines Personalausweises im Darknet auffindbar.“ Info Was bedeutet Cybercrime? Cybercrime ist laut dem Bundeskriminalamt (BKA) eines der sich am dynamischsten verändernden Kriminalitätsphänomene und ein hochkomplexes, professionelles Geschäft mit eigenen Wertschöpfungsketten. Das BKA unterscheidet zwischen zwei Typen von Straftaten. „Im engeren Sinne“ sind hochtechnische Taten gemeint, die sich gegen das Internet, Datennetze, Systeme und Daten richten. „Im weiteren Sinne“ meint Cybercrime auch Straftaten, die ebenso in der analogen Welt begangen werden können, wie etwa Drogenhandel. Nach einem Hackerangriff sei man gesetzlich verpflichtet, die Datenschutzbehörde innerhalb von 72 Stunden zu informieren. Nach dieser Meldung gehe die Informationsarbeit los. „Wegen der Vollverschlüsselung hatten wir keine Kontaktdaten oder Kundenlisten mehr“, so Reimann. „Wir waren komplett blind.“ Um mit den Partnern dennoch Kontakt aufzunehmen, nutzte die gemeinnützige GmbH ihre eigene Website. „Eine klare Kommunikation ist wichtig: Was ist passiert? Was sind unsere nächsten Schritte?“, so Reimann in dem Online-Austausch. Für die interne Kommunikation seien die rund 130 Mitarbeiter auf private Messenger wie Whatsapp und Signal umgestiegen oder hätten das Festnetztelefon benutzt.Die IT-Abteilung habe nach Bekanntwerden des Angriffs schnell reagiert und alle Verbindungen mit dem Internet gekappt. „Dann ging das Incident Management los“, sagte Reimann. In einem ersten Schritt habe man die vulnerabelsten Stellen identifiziert. „Ein großes Augenmerk haben wir auf die Bankenserver gelegt. Die haben wir komplett neu aufgesetzt.“ Eine enorme Hilfe sei gewesen, dass das Sozialunternehmen eine gute Backup-Struktur gehabt habe. „Das ist ein Tipp, den ich geben kann: Übertragen Sie regelmäßig alle Daten auf separate Server.“ Lesen Sie hier: Webinar über Transparenz, Effizienz und Automatisierung: So optimieren gemeinnützige Organisationen durch digitale Tools ihre Abläufe Das Haus des Stiftens habe durch diese Maßnahme einen Datenverlust von lediglich wenigen Tagen gehabt. Eine aufwendige Entschlüsselung durch die Polizei sei deshalb nicht nötig gewesen. Einen Monat habe es dennoch gedauert, bis das Sozialunternehmen seine Server neu aufsetzen und wieder in Betrieb nehmen konnte. Denn man könne erst wieder ans Netz gehen, wenn die Schwachstelle, über die der Angriff erfolgte, identifiziert und – sofern möglich – ausgebessert worden sei. „Hochkalkuliert hat der Angriff 500.000 Euro Schaden verursacht“, so Reimann. Zum Glück verfüge das Haus des Stiftens über eine Cyberversicherung, die alle Kosten übernommen habe. „Hätten wir die Versicherung nicht gehabt, wären das unsere Kosten gewesen.”Cyberversicherungen sind sinnvollAuch laut BSI-Mitarbeiterin Krohn-Atug sind Cyberversicherungen grundsätzlich sinnvoll. Denn solche Versicherungen würden vor Vertragsschluss intensiv prüfen, wen sie versicherten. Die Kosten hingen individuell vom Risikoprofil der geprüften Organisation ab. „Die Versicherung schickt sehr viele Fragebögen, um das Risikoprofil zu erörtern.“ Sich mit diesen Fragen intensiv auseinanderzusetzen, helfe bereits, ein neues Bewusstsein für Cybersicherheit zu schaffen.Wichtig sei es, nicht vor der Auseinandersetzung mit dem Thema zurückzuschrecken, sagt Krohn-Atug. Noch zu oft herrsche in Stiftungen gleichermaßen wie in Unternehmen eine Kultur, die wenig Raum für Fehler lasse. „Das setzt bei Mitarbeitern die falschen Anreize.“ Sinnvoller sei es, die Belegschaft zu ermutigen, eigene Fehler zu melden. Ganz zentral dabei sei die Perspektive der Geschäftsführung: „Es macht einen riesigen Unterschied, ob eine Stiftung in ihren Mitarbeitern ein Risiko sieht oder sie als feste Bausteine in einer Cyberstrategie betrachtet“, sagt Krohn-Atug. Eine Kultur, die das Verantwortungsbewusstsein von Mitarbeitern fördere, anstatt es zu untergraben, sei ein riesiger Resilienzfaktor.Auch der Faktor Zeit spiele eine Rolle. „Viele Angriffe haben eine zeitkritische Komponente.“ Die ersten Minuten und Stunden nach einem Cyberangriff seien entscheidend, um den Schaden zu begrenzen. Eine fehlertolerante Stiftungskultur könne hier einen Unterschied machen und dabei helfen, Angriffe frühzeitig aufzudecken und zu stoppen.Keine Mittel für CybersicherheitDie Eintrittshürden für Angreifer sind im gemeinnützigen Sektor laut Krohn-Atug noch vergleichsweise niedrig. „Insbesondere kleinere Stiftungen verwenden einen Großteil ihrer Arbeitskraft auf die Verwirklichung ihres Förderzwecks.“ Für eine eigene IT-Abteilung oder eine moderne IT-Infrastruktur gebe es oftmals nicht genügend Mittel. Auch deshalb sei es so wichtig, das Sicherheitsbewusstsein und die Resilienz sektorweit zu erhöhen. Info Die Bedrohungslage steigt Laut BKA steigt die Zahl polizeilich bekannt gewordener Cyberdelikte. Schätzungen der Behörde zufolge werden rund 90 Prozent der Taten nicht angezeigt – aus Scham, Angst vor Reputationsverlust, oder weil der Angriff gar nicht bemerkt wurde. 2024 verzeichnete das BKA hierzulande rund 131.400 Cyberdelikte von Tätern in Deutschland sowie etwa 201.900 Fälle durch ausländische oder unbekannte Täter. 2023 belief sich der wirtschaftliche Schaden durch Cyberattacken laut BKA auf 148,2 Milliarden Euro. 2024 waren es 178,6 Milliarden Euro – die höchste je gemessene Schadenssumme. Jakob Meyer von der Stiftung Erinnerung, Verantwortung und Zukunft (EVZ) berichtete bei „Impulse stiften“ ebenfalls von einem Hackerangriff auf seine Organisation. Die Stiftung fördert Bildungs- und Aufklärungsarbeit über den Nationalsozialismus in Deutschland und war bis Februar 2025 auch in Russland und Belarus aktiv. Der Hackerangriff habe stattgefunden, kurz nachdem die Stiftung den Entschluss gefasst habe, alle Kuratoren aus Russland und Belarus aus den Programmen auszuschließen. „Ob wirklich ein Zusammenhang besteht, kann ich natürlich nicht sagen“, so Meyer.Anders als im Falle von Haus des Stiftens wurde die Berliner Stiftung frühzeitig auf den digitalen Angriff aufmerksam gemacht: „Wir erhielten einen Warnhinweis vom Bundesverfassungsschutz“, so Meyer. Wohl nur deshalb sei man „glimpflich davongekommen“. Eine IP-Adresse, die beim BND unter Beobachtung stünde, habe auf die Mailserver der Stiftung zugegriffen. „Die Angreifer haben ein Mailpostfach gehackt, von dem sie wohl angenommen haben, dass dort am meisten Informationen zu holen sind.“ Lesen Sie hier: Das 16. Deutsche Stiftungsbarometer zeigt beim Thema Finanzen relative Stabilität. Am verschobenen Start des Stiftungsregisters scheiden sich allerdings die Geister der Teilnehmer. Und künstliche Intelligenz ist noch längst nicht überall im Alltag angekommen. Gemeinsam mit einem externen Dienstleister habe die Stiftung mit der Aufklärungsarbeit begonnen: „Wir wollten zuerst wissen, wie weit die Angreifer in unsere Systeme vorgedrungen sind.“ Zu diesem Zeitpunkt habe die Geschäftsführung den Vorfall geheimhalten müssen. „Erst wenn man ein genaues Bild hat, sollte man an die Öffentlichkeit gehen“, so Meyer. Andernfalls schrecke man die Angreifer auf, sodass diese versuchen könnten, in der verbleibenden Zeit so viel Schaden wie möglich anzurichten.Im Falle der Stiftung EVZ beschränkte sich der Angriff nur auf ein einziges Mailpostfach. „Weiter waren sie noch nicht vorgedrungen.“ Wer die Angreifer waren und was sie bezwecken wollten, darüber könne man nur spekulieren, so Meyer. Doch verfüge die Stiftung etwa über sensible Daten von Projektträgern in der Ukraine.Systeme für Passwortmanagement„Wir haben Cybersicherheit nicht genügend gelebt“, gab Meyer zu. „Heute überlegen wir uns genau, welche Informationen wir überhaupt noch digital speichern oder per Mail verschicken.“ Wie genau die Log-in-Daten für das Postfach kompromittiert wurden, ließ sich nicht abschließend klären. „Vielleicht war das Passwort nicht sicher genug“, sagte Meyer. Die Stiftung zog Konsequenzen aus dem Vorfall und führte zur Einwahl in die Mailprogramme eine Zwei-Faktor-Authentifizierung ein. Info Was ist Cybercrime as a Service? Ein wachsender Trend sind sogenannte Cybercrime-as-a-Service-Modelle, bei denen kriminelle Akteure ihre Fähigkeiten und Tools über illegale Marktplätze vermieten. Dies führt dazu, dass selbst weniger technisch versierte Kriminelle Cyberangriffe durchführen können. Wesentliche Faktoren, die diese Entwicklung fördern, sind der einfache Zugang und die leichte Verbreitung zu hochentwickelter, aber kostengünstiger Cyberkriminalitätsinfrastruktur. Laut einem Bericht des BSI haben 2024 insbesondere „Ransomware-as-a-Service“-Angebote zugenommen, bei denen Kriminelle Software und Tools zur Verschlüsselung von Daten und Erpressung von Lösegeld an Dritte verkaufen. Das Bundeskriminalamt teilte mit, dass 2024 insgesamt 950 schwere Ransomware-Angriffe zur Anzeige gebracht wurden. Einem Bericht des internationalen Cyber-Sicherheitsunternehmens Kaspersky zufolge bleibt das Ransomware-as-a-Service-Modell das vorherrschende Rahmenwerk für Ransomware-Angriffe und senkt die technische Einstiegshürde, indem Plattformen Malware, technische Unterstützung und Affiliate-Programme anbieten. Das Unternehmen weist darauf hin, dass kriminelle Gruppen künftig verstärkt KI-gestützte Tools einsetzen könnten, etwa für die Generierung von Code und zur Umgehung von Erkennungsmechanismen. Das sei eine gute Maßnahme, sagt Caroline Krohn-Atug. Darüber hinaus sei es aber auch sinnvoll, ein Passwortmanagementsystem zu nutzen. „Ein Mensch hat im Durchschnitt 70 digitale Accounts. Jeder Account sollte ein individuelles, sicheres Passwort haben.“ Sich all diese Passwörter zu merken, sei nicht zielführend. „Ein Passwortmanagementsystem übernimmt diese Aufgabe. Man merkt sich ein einziges Passwort, das über eine Zwei-Faktor-Authentifizierung oder einen Passkey doppelt gesichert ist, und dahinter kommen alle anderen Passwörter.“ Wichtig sei zudem auch, Betriebssysteme und Anwendungen aktuell zu halten. Von offiziellen Updates gehe keine Gefahr aus, diese könnten und sollten ruhigen Gewissens installiert werden.Der neuen Realität bewusst werdenFür den Stiftungssektor hat das Bundesamt für Sicherheit in der Informationstechnik bislang noch keinen spezifischen Leitfaden für Cybersicherheit. „Das wollen wir aber zeitnah ändern“, sagt Krohn-Atug. Allerdings könnten größere Stiftungen auf die Informationen zurückgreifen, die das BSI für kleinere und mittlere Unternehmen auf seiner Website bereitstellt. „Stiftungen mit eigener Verwaltung haben oft ähnliche Sicherheitsrisiken wie Unternehmen.“Für kleine Stiftungen könnten die generellen Verbraucherinformationen des BSI zum Thema Cybersicherheit nützlich sein. Mit diesen Dokumenten wolle die Behörde die gesamtgesellschaftliche Reife stärken. „Die Welt wird technischer“, sagt Krohn-Atug. „Nicht alle müssen Vordenker der neuen Technologien werden. Es geht darum, dass sich der gemeinnützige Sektor wie auch viele andere gesellschaftliche Bereiche der neuen Bedrohungslage bewusst werden und ihr stellen.“

Höchste Zeit für ein neues Sicherheitsbewusstsein

Weitere Artikel

„Nicht jeder muss eine rechtsfähige Stiftung gründen“

Dieter-Schwarz-Stiftung trauert um Silke Lohmiller

Aktuelle Ausgabe

Abkehr mit Folgen [Ausgabe 02|2026]

Weitere Inhalte

„Nicht jeder muss eine rechtsfähige Stiftung gründen“

Dieter-Schwarz-Stiftung trauert um Silke Lohmiller

Female Philanthropy: Frauen gestalten Zukunft und Gemeinwohl

News

Magazin

Events

Studien

Ihr Nutzerkonto

Über uns

Partner

Mediadaten

FAQ

Kontakt

Höchste Zeit für ein neues Sicherheitsbewusstsein

Weitere Inhalte

Ihr Feedback an DIE STIFTUNG