Cyberangriffe: Wie Wohnungsunternehmen handlungsfähig bleiben

Antonia Angermann ist Abteilungsleiterin Digitalisierung bei der Stadt und Land Wohnbauten-Gesellschaft mbH in Berlin. Nicolai Bracht ist Chief Claims and Security Services Officer bei der Deutschen Gesellschaft für Cybersicherheit AG.

Sie erklären im Interview, wie sich Risiken verringern lassen und was im Ernstfall zu tun ist.

Ernstfall und Handlungsfähigkeit bei Cyberangriff

Frau Angermann, welche Szenarien bereiten Ihnen im Bereich Cybersecurity die größten Sorgen?

Antonia Angermann: Der schlimmste Fall wäre, wenn Angreifer Zugriff auf unsere Heizsysteme oder Solaranlagen erlangen – und im Extremfall dafür sorgen, dass Mieterinnen und Mieter ohne Heizung dastehen. Noch kritischer wird es, wenn sich die Angreifer von dort aus in unser Unternehmensnetzwerk vorarbeiten, Daten abfischen oder unsere gesamte IT lahmlegen. Das ist das Szenario, das wir um jeden Preis verhindern wollen. 

Herr Bracht, wie schnell kann ein solcher Ernstfall tatsächlich eintreten? 

Nicolai Bracht: Leider sehr schnell. Unsere Pentests zeigen: Es kann eine Frage von Stunden sein, bis das Active Directory kompromittiert ist. Damit verfügt der Angreifer regelmäßig über weitreichende administrative Rechte und kann die Verschlüsselung der Systeme vorbereiten. Professionelle Angreifergruppen arbeiten dabei systematisch und automatisiert. Sie sitzen mitunter tage-, wochen- oder monatelang still in den Systemen, bewegen sich schrittweise weiter – man nennt das laterales Movement – und nutzen öffentlich bekannte Sicherheitslücken als Einstieg. 

Phishing und BEC-Angriffe: Die häufigsten Einfallstore

Welche Schäden treten in der Wohnungswirtschaft am häufigsten auf und was überrascht betroffene Unternehmen am meisten?

Bracht: Der häufigste Einstieg bleibt Phishing, weil letztlich nicht die Technik, sondern der Mensch angegriffen wird. Das schlimmste Szenario ist die vollständige Ransomware-Attacke. Sehr verbreitet sind aber auch sogenannte Business-Email-Compromise (BEC)-Angriffe: Postfächer werden gekapert, Rechnungen manipuliert, Zahlungen umgeleitet. Die Veränderungen sind minimal – eine leicht abgewandelte IBAN, kaum erkennbar.

Erst vor wenigen Wochen begleiteten wir einen Fall mit einem Schaden von 1,8 Millionen Euro. Die Angreifer hatten mehrere Rechnungen manipuliert und sich anschließend per WhatsApp als Geschäftspartner ausgegeben, um die Zahlung zu bestätigen. Das Geld war weg. Die Kombination aus Social Engineering und kompromittierten Kommunikationswegen beobachten wir derzeit häufiger. 

Ist eine solche Fehlüberweisung durch eine Cyberversicherung abgedeckt? 

Bracht: Entscheidend ist die konkrete Ausgestaltung des Versicherungsschutzes. Bei einem Man-in-the-Middle-Angriff – bei dem der Angreifer zwischen zwei kommunizierenden Unternehmen sitzt – greift eine reine Cyberversicherung nicht zwingend. Hier braucht man eine Vertrauensschadenversicherung oder eine Police mit entsprechendem Baustein. Wer das nicht vorab klärt, steht im Ernstfall ohne Deckung da. 

Frau Angermann, wie haben Sie bei der Stadt und Land die Rollen im Notfall definiert? 

Angermann: Wir setzen bewusst auf eine Kombination aus internen und externen Strukturen. Intern gibt es unseren IT-Service-Desk, der innerhalb unserer IT die Ist-Situation aufnimmt. Extern haben wir einen spezialisierten Incident-Response-Dienstleister beauftragt, der sofort handeln kann – Netzwerke trennen, erste Maßnahmen einleiten.

Zusätzlich koordinieren ein externer Informationssicherheitsbeauftragter und ein externer Datenschutzbeauftragter im Ernstfall. Die Geschäftsführung übernimmt die externe Kommunikation in Abstimmung mit unserer Unternehmenskommunikation, die dafür Strategien entwickelt hat. Die bewusste Entscheidung, so viel extern zu vergeben, war richtig: Denn im Notfall kann auch die eigene IT überfordert sein. Dann braucht man Expertinnen und Experten, die sofort handlungsfähig sind. 

Cybervorfall: Was in den ersten 60 Minuten zählt

Herr Bracht, wie sieht der Ernstfall in der Praxis aus, in den ersten 60 Minuten und den folgenden 72 Stunden? 

Bracht: Die ersten Stunden entscheiden darüber, ob ein Cybervorfall beherrschbar bleibt oder sich eine Unternehmenskrise entwickelt. Was wir immer wieder beobachten: Verschiedene Prioritäten überlagern sich, ohne dass vorher klar geregelt wurde, wer was wann tut. Die IT fokussiert sich auf den technischen Wiederaufbau – dabei geraten Kommunikation, Datenschutzmeldungen und regulatorische Pflichten in den Hintergrund. 

Ein weiteres Dauerproblem sind Backups, deren Wiederherstellbarkeit nie unter realen Bedingungen getestet wurde. Gerade deshalb braucht es einen definierten Krisenstab mit festen Rollen und klaren Entscheidungswegen. 

Im Krisenfall müssen technische, rechtliche und kommunikative Maßnahmen parallel gesteuert werden. Entsprechende Maßnahmen und Prioritäten müssen im Vorfeld festgelegt werden. Ich habe beispielsweise erlebt, dass ein Finanzvorstand die Kommunikation mit einem von uns bereitgestellten Laptop und einer neuen E-Mail-Adresse übernommen hat – weil diese Rolle vorher klar definiert war. Das hat sich in der Praxis bewährt. 

Frau Angermann, haben Sie Ihren Notfallplan bereits erprobt? 

Angermann: Den vollständigen Plan mussten wir – zum Glück – noch nie aktivieren. Der schlimmste Vorfall bisher war ein gekapertes altes Postfach mit schwachem Kennwort. Es wurde rechtzeitig entdeckt und gestoppt. 

Regelmäßig führen wir aber Tabletop-Übungen durch – Simulationen mit Fachbereichen und Dienstleistern. Dabei geht es genau um die Frage: Was tun wir, wenn der Notfall eintritt? Das hat sich bewährt. Zusätzlich haben wir ein Red-Button-Team über Microsoft beauftragt, das speziell auf die Abwehr von DDoS-Angriffen ausgelegt ist – Szenarien, bei denen ein Netzwerk durch massenhafte Anfragen überflutet wird. Die Angriffsmethoden werden raffinierter. 

Cybersecurity-Strategie: Prävention, Früherkennung und Krisenfähigkeit

Was dominiert aktuell? 

Bracht: Der Klassiker bleibt Phishing – allerdings auf einem völlig neuen Niveau. Durch Large Language Models sind gefälschte Mails heute kaum noch von echten zu unterscheiden. KI-gestützte Stimmenimitationen gibt es, ich sehe sie aber noch nicht als Massenphänomen. Was wirklich dominiert, sind manipulierte Rechnungen und abgefangene Kommunikation. KI verändert derzeit weniger die Angriffsziele als die Geschwindigkeit und Qualität der Angriffe. 

Was sind heute die Mindestanforderungen an eine wirksame Cybersecurity-Strategie?

Angermann: Zwei Ebenen sind entscheidend. Erstens die organisatorische: ein unternehmensweites Bewusstsein, dass Cybersicherheit jeden angeht. Jede und jeder Mitarbeitende trägt Verantwortung. Zweitens die technische: konsequentes Patchmanagement, sofortige Updates, regelmäßige Hardware-Überprüfung.

Wer auf veralteten Systemen arbeitet, darf sich über Sicherheitslücken nicht wundern. Neue Systeme beschaffen wir – aber immer mit vorheriger Prüfung der Netzwerkanbindung und entsprechenden Schutzmaßnahmen.

Bracht: Eine wirksame Cybersecurity-Strategie verbindet Prävention, Früherkennung und Krisenfähigkeit. Patchmanagement und Firewall sind heute Grundvoraussetzung, aber längst nicht mehr ausreichend. Entscheidend ist, Angriffe frühzeitig zu erkennen, schnell und strukturiert zu reagieren und den Geschäftsbetrieb aufrechterhalten zu können. Früherkennung entscheidet maßgeblich über die Schadenhöhe. 

Die Prämien in der Immobilienwirtschaft sind deshalb hoch, weil Wiederaufbauprozesse komplex sind: ERP-Systeme, Cloudanbieter, externe Dienstleister müssen koordiniert werden, Kommunikationswege fehlen. Technik allein schafft keine Resilienz. Entscheidend sind klare Prozesse, Verantwortlichkeiten und Übungen unter realen Bedingungen. 

Worauf sollten Wohnungsunternehmen beim Einsatz von Drittanbietern achten? 

Bracht: Outsourcing ist sinnvoll – aber es schafft Abhängigkeiten. Zertifikate wie ISO 27001 sind ein wichtiger Indikator, entscheidend ist jedoch, ob Sicherheits- und Notfallprozesse tatsächlich funktionieren. Wer sich ausschließlich auf Audits und Zertifikate verlässt, kann bei einem Cybervorfall überrascht werden. 

Notfallplan Cybersecurity: Rollen klar definieren

Was sollten Geschäftsführerinnen und Geschäftsführer in der Wohnungswirtschaft heute konkret tun? 

Bracht: Erstens: Cyberrisiken als Führungsaufgabe verstehen. Zweitens: Prävention und Krisenfähigkeit regelmäßig testen – und dabei auch externe Dienstleister einbeziehen, denn sie sind im Ernstfall ein wesentlicher Teil der Reaktionsfähigkeit. Drittens: Den Versicherungsschutz nicht als Selbstverständlichkeit betrachten. Wer vorvertragliche Anzeigepflichten oder vereinbarte Sicherheitsanforderungen nicht ernst nimmt, riskiert im Schadenfall den Verlust des Versicherungsschutzes – und damit häufig auch den schnellen Zugang zu spezialisierten Incident-Response-Teams. 

Angermann: Ich würde ergänzen: Nicht warten, bis der Ernstfall eintritt. Rollen definieren, Notfallplan hinterlegen, regelmäßig üben – und dabei auch die externen Dienstleister einbinden. Wir haben das getan und sind damit gut aufgestellt. Vollständige Sicherheit gibt es nicht. Aber man kann sich so aufstellen, dass man handlungsfähig bleibt.

Der Beitrag ist aus der Ausgabe DW 09 2026 des Fachmagazins "DW Die Wohnungswirtschaft". Das gesamte Heft gibt es auch in der DW-App .