Crime-as-a-Service: Wie die Industrialisierung der Cyberkriminalität den Mittelstand bedroht
Cyberangriffe gibt es mittlerweile im Abo-Modell. Ransomware-Baukästen, Phishing-Kits und gestohlene Zugangsdaten werden auf spezialisierten Marktplätzen gehandelt – mit Support-Chat, Geld-zurück-Garantie und Umsatzbeteiligung. Für KMU bedeutet das: Die Angreifer werden mehr, die Angriffe billiger und die Abwehr schwieriger. Dieser Artikel erklärt, wie Crime-as-a-Service funktioniert und was Unternehmen jetzt tun müssen.
Was ist Crime-as-a-Service?
Crime-as-a-Service (CaaS) beschreibt das Geschäftsmodell, bei dem Cyberkriminelle ihre Werkzeuge, Infrastruktur und Expertise als Dienstleistung an andere Kriminelle verkaufen. Das Prinzip folgt der gleichen Logik wie legitime SaaS-Angebote: Statt selbst Malware zu entwickeln, Server zu betreiben und Opfer zu identifizieren, bucht ein Angreifer fertige Pakete – oft inklusive technischem Support.
Die Folge: Die Einstiegshürden für Cyberangriffe sinken drastisch. Wer vor fünf Jahren noch Programmierkenntnisse brauchte, um einen Ransomware-Angriff durchzuführen, braucht heute nur eine Kreditkarte und Zugang zu den richtigen Foren. Das BSI und der Verfassungsschutz haben Anfang August 2026 in einer gemeinsamen Warnung bestätigt, dass Künstliche Intelligenz diesen Trend zusätzlich beschleunigt – KI-Modelle kombinieren eigenständig verschiedene Angriffsschritte und senken die technischen Hürden weiter.
BSI-Warnung vom 3. August 2026
Das Bundesamt für Sicherheit in der Informationstechnik und der Verfassungsschutz warnen gemeinsam: KI-gestützte Werkzeuge ermöglichen eine deutlich höhere Skalierbarkeit von Angriffen bei gleichzeitig sinkenden Einstiegshürden. KI-Modelle können bei Tests eigenständig verschiedene Angriffsschritte kombinieren und sich Zugang zu externen Systemen verschaffen. Crime-as-a-Service-Anbieter integrieren solche Funktionen bereits in ihre Produkte.
Das CaaS-Ökosystem: Wer liefert was?
Das kriminelle Ökosystem ist hochgradig spezialisiert. Genau wie in der legalen Wirtschaft gibt es Zulieferer, Plattformbetreiber und Endkunden. Für KMU ist das deshalb gefährlich, weil jeder einzelne Baustein professionell optimiert ist – und die Kombination dieser Bausteine Angriffe ermöglicht, die früher nur staatlichen Akteuren vorbehalten waren.
| CaaS-Dienst | Was er liefert | Typischer Preis |
|---|---|---|
| Ransomware-as-a-Service (RaaS) | Komplette Ransomware-Infrastruktur inkl. Verschlüsselung, Verhandlungsportal und Leak-Site | 20–30 % des Lösegelds |
| Phishing-as-a-Service (PhaaS) | Fertige Phishing-Kits mit Vorlagen, Landing Pages und MFA-Bypass | Ab 50 $ / Monat |
| Initial Access Broker (IAB) | Gestohlene VPN-Zugänge, RDP-Sessions und kompromittierte Konten | 500–5.000 $ pro Zugang |
| Bulletproof Hosting | Server-Infrastruktur, die Takedown-Anfragen ignoriert | Ab 100 $ / Monat |
| DDoS-for-Hire | Gezielte Überlastungsangriffe auf beliebige Ziele | Ab 10 $ pro Angriff |
| Credential Stuffing Tools | Automatisierte Tests gestohlener Zugangsdaten gegen tausende Dienste | Ab 20 $ / Monat |
Warum trifft es vor allem den Mittelstand?
Der Security Navigator 2026 von Orange Cyberdefense liefert eine klare Antwort: Kleine und mittlere Unternehmen mit bis zu 250 Mitarbeitern sind die häufigste Opferkategorie bei Cyber-Erpressung. Die Zahl der bekannten Opfer in Deutschland stieg im Berichtszeitraum um 91 Prozent.
Das Kalkül der Angreifer
Großkonzerne investieren Millionen in Security Operations Center, Red Teams und Threat Intelligence. Für einen CaaS-Kunden ist der Aufwand, diese Verteidigung zu überwinden, unverhältnismäßig hoch. Ein mittelständisches Unternehmen mit 80 Mitarbeitern bietet dagegen oft die perfekte Kombination: genug Umsatz für ein lohnendes Lösegeld, aber zu wenig Budget für eine dedizierte Sicherheitsabteilung.
Typische Schwachstellen, die Initial Access Broker bei KMU ausnutzen:
Top-5-Einfallstore bei KMU
- Ungepatchte VPN-Gateways: Bekannte Schwachstellen in Fortinet, SonicWall oder Cisco ASA werden innerhalb von Stunden nach Veröffentlichung gescannt. Wer nicht innerhalb von 48 Stunden patcht, steht im Katalog der Access Broker.
- Fehlende Multi-Faktor-Authentifizierung: Microsoft-365-Konten ohne MFA sind die am häufigsten gehandelten Zugänge. Preis: unter 500 Dollar pro Unternehmen.
- Exponierte Remote-Desktop-Dienste: RDP-Ports, die direkt aus dem Internet erreichbar sind, werden automatisiert per Brute-Force angegriffen.
- Veraltete Web-Applikationen: WordPress-Instanzen, Joomla-Systeme oder selbst entwickelte Kundenportale ohne aktuelle Updates.
- Kompromittierte Mitarbeiter-Passwörter: Durch Datenlecks bei Drittdiensten gelangen Zugangsdaten in Credential-Datenbanken – und werden per Credential Stuffing gegen Unternehmens-Logins getestet.
Wie Sie Ihre externe Angriffsfläche systematisch reduzieren, beschreibt unser Artikel zum Angriffsflächenmanagement nach NIS2.
Die Rolle von KI im CaaS-Ökosystem
Künstliche Intelligenz verändert das Crime-as-a-Service-Modell auf drei Ebenen. Das BSI spricht in seiner August-Warnung von einer absehbaren Verschiebung in der Angriffsrealität:
1. Automatisierte Schwachstellensuche
KI-Modelle können öffentlich bekannte Schwachstellen (CVEs) mit exponierten Systemen abgleichen und automatisiert Exploits generieren. Was früher Stunden manueller Arbeit erforderte, läuft jetzt in Minuten ab. Für KMU bedeutet das: Das Zeitfenster zwischen Schwachstellen-Veröffentlichung und erstem Angriff schrumpft weiter. Patch-Management wird damit überlebenswichtig.
2. Personalisierte Phishing-Kampagnen
Generative KI ermöglicht Phishing-Mails, die sprachlich perfekt auf das Zielunternehmen zugeschnitten sind – inklusive korrekter Anrede, branchenspezifischer Fachbegriffe und nachgeahmtem Kommunikationsstil. Die Zeiten offensichtlicher Rechtschreibfehler als Erkennungsmerkmal sind vorbei.
3. Skalierung durch Automatisierung
CaaS-Plattformen nutzen KI, um den gesamten Angriffszyklus zu automatisieren: von der Zielauswahl über die initiale Kompromittierung bis zur Lösegeldverhandlung. Dadurch können auch weniger technisch versierte Kriminelle professionelle Angriffe fahren – und das in hoher Stückzahl.
NIS2 und Crime-as-a-Service: Was das Gesetz fordert
Das NIS2-Umsetzungsgesetz adressiert die CaaS-Bedrohung nicht namentlich, aber die geforderten Maßnahmen treffen genau die Schwachstellen, die das Modell ausnutzt. Drei Bereiche sind zentral:
NIS2-Pflichten gegen CaaS-Angriffe
§ 30 Abs. 1 Nr. 2 BSIG – Bewältigung von Sicherheitsvorfällen: Unternehmen brauchen einen getesteten Incident-Response-Plan, der auch Ransomware-Szenarien abdeckt. CaaS-Angriffe folgen bekannten Mustern – wer vorbereitet ist, kann den Schaden begrenzen.
§ 30 Abs. 1 Nr. 4 BSIG – Sicherheit der Lieferkette: Initial Access Broker kompromittieren häufig Zulieferer, um über deren Zugänge ins eigentliche Zielunternehmen einzudringen. Die Absicherung der digitalen Lieferkette ist daher Pflicht.
§ 30 Abs. 1 Nr. 7 BSIG – Schwachstellenmanagement: Regelmäßige Schwachstellenscans und zeitnahes Patching sind keine Kür mehr. Wer bekannte Lücken offen lässt, liefert den Access Brokern Ware.
Zur persönlichen Haftung der Geschäftsführung bei NIS2-Verstößen haben wir einen eigenen Beitrag verfasst.
Schutzmaßnahmen: So wehren sich KMU gegen CaaS-Angriffe
7 Maßnahmen gegen Crime-as-a-Service
- MFA überall aktivieren: Multi-Faktor-Authentifizierung für alle extern erreichbaren Dienste – Microsoft 365, VPN, Fernwartung, Cloud-Konsolen. Damit wird der Handel mit gestohlenen Passwörtern wertlos.
- Angriffsfläche minimieren: Nicht benötigte Dienste abschalten. RDP nie direkt exponieren. VPN-Zugänge auf das Notwendige beschränken. Ein regelmäßiger Schwachstellenscan deckt vergessene Dienste auf.
- Patch-Management beschleunigen: Kritische Patches innerhalb von 48 Stunden einspielen. Automatisierte Patch-Prozesse einrichten, wo möglich.
- Backups nach der 3-2-1-Regel: Drei Kopien, zwei verschiedene Medien, eine offline. CaaS-Ransomware sucht gezielt nach Online-Backups und verschlüsselt sie mit.
- E-Mail-Sicherheit härten: SPF, DKIM und DMARC konfigurieren. Anti-Phishing-Schulungen durchführen. KI-generierte Phishing-Mails sind schwerer zu erkennen – technische Filter müssen die erste Verteidigungslinie sein.
- Netzwerksegmentierung einführen: Wenn ein Angreifer einen Fuß in der Tür hat, darf er nicht gleich Zugriff auf das gesamte Netz bekommen. Kritische Systeme (Domänencontroller, Backup-Server, ERP) in eigene Segmente trennen.
- Incident-Response-Plan testen: Nicht nur erstellen, sondern jährlich in einer Tabletop-Übung durchspielen. CaaS-Angriffe laufen schnell ab – wer erst im Ernstfall das Vorgehen klärt, verliert entscheidende Stunden.
Was tun, wenn der Angriff bereits läuft?
CaaS-basierte Ransomware-Angriffe folgen einem vorhersehbaren Muster: Initial Access, laterale Bewegung, Datenexfiltration, Verschlüsselung, Erpressung. Je früher ein Angriff erkannt wird, desto größer die Chance, ihn einzudämmen.
Sofortmaßnahmen bei Ransomware-Verdacht
1. Netzwerk isolieren: Betroffene Systeme sofort vom Netz trennen – aber nicht ausschalten. Forensische Spuren gehen beim Herunterfahren verloren.
2. Meldepflicht prüfen: Unter NIS2 muss ein erheblicher Sicherheitsvorfall innerhalb von 24 Stunden an das BSI gemeldet werden. Die Details stehen in unserem Artikel zu den NIS2-Meldepflichten.
3. Kein Lösegeld zahlen: BSI und BKA raten von Lösegeldzahlungen ab. Zahlungen finanzieren das CaaS-Ökosystem und garantieren weder die Entschlüsselung noch, dass die Daten nicht veröffentlicht werden.
4. Fachleute einschalten: IT-Forensik, Datenschutzbeauftragten und ggf. Rechtsanwalt hinzuziehen. TSMONDO unterstützt KMU bei der strukturierten Vorfallbewältigung.
Fazit: CaaS macht Cyberkriminalität skalierbar – Ihre Abwehr muss es auch sein
Crime-as-a-Service hat die Spielregeln verändert. Cyberangriffe sind kein Einzeltäter-Phänomen mehr, sondern ein industrialisierter Markt mit Arbeitsteilung, Qualitätskontrolle und Kundenservice. Die gute Nachricht: Die Maßnahmen, die CaaS-Angriffe abwehren, sind bekannt und auch für KMU umsetzbar – MFA, Patching, Backups, Segmentierung und ein getesteter Notfallplan. Unter NIS2 sind sie ohnehin Pflicht. Wer sie noch nicht umgesetzt hat, sollte das jetzt tun – bevor ein Access Broker den VPN-Zugang des Unternehmens für 500 Dollar ins Schaufenster stellt.
Ist Ihr Unternehmen im CaaS-Fadenkreuz?
TSMONDO prüft die externe Angriffsfläche Ihres Unternehmens, identifiziert exponierte Dienste und hilft bei der Umsetzung der NIS2-Pflichten – pragmatisch und auf den Mittelstand zugeschnitten.