IT-Sicherheit in der Urlaubssaison: Endpoint- & Mobile-Schutz für den Mittelstand

Warum die Ferienzeit zur Hochsaison für Cyberangriffe wird – und was der Mittelstand bei Endpoint- und Mobile-Security jetzt richtig machen sollte

Der Parkplatz ist halb leer, das Telefon klingelt seltener, in der IT hält eine Rumpfmannschaft die Stellung. Für viele mittelständische Unternehmen ist der Hochsommer die ruhigste Zeit des Jahres. Für Cyberkriminelle ist sie das genaue Gegenteil – der Moment, auf den sie warten.

Der Grund ist so simpel wie unbequem: Angreifer schlagen dann zu, wenn am wenigsten Menschen hinschauen. Das ist im Zweifel der Freitagabend vor einem langen Wochenende, ein Feiertag – oder eben mitten in der Sommerpause. Wer glaubt, dass die Bedrohungslage im Sommer Betriebsferien macht, verwechselt den eigenen Kalender mit dem der Gegenseite.

Auf den Punkt

Laut dem Ransomware Holiday Risk Report 2025 des Sicherheitsanbieters Semperis wurde rund die Hälfte der betroffenen Unternehmen an einem Feiertag oder Wochenende angegriffen. Zugleich fahren 78 % der Organisationen ihre Sicherheitsbesetzung in genau diesen Zeiträumen um mindestens die Hälfte herunter. Ein besseres Zeitfenster können Angreifer sich kaum wünschen.

Die Zahlen sind eindeutig

Dass Angriffe rund um Feiertage und Wochenenden gehäuft stattfinden, ist keine Bauchgefühl-Thesis, sondern gut dokumentiert. Der bereits zitierte Semperis-Report 2025 nennt für zehn untersuchte Länder einen Anteil von 52 % der Attacken an Feiertagen oder Wochenenden. In der Vorjahresbefragung, die gezielt auch deutsche Unternehmen einschloss, lag der Wert mit 86 % sogar deutlich höher. Die Spanne erklärt sich durch unterschiedliche Länderscopes und Stichproben – die Richtung ist in beiden Erhebungen dieselbe: Angriffe verdichten sich dann, wenn Verteidiger unterbesetzt sind.

Auch die US-Behörden CISA und FBI warnen seit Jahren vor diesem Muster. Ihre Einschätzung stützt sich nicht auf konkrete Bedrohungsmeldungen, sondern auf die schlichte Beobachtung, dass die folgenreichsten Vorfälle immer wieder in Randzeiten fielen: Der Angriff auf den Pipeline-Betreiber Colonial Pipeline traf ein Wochenende im Mai, der Fleischkonzern JBS wurde rund um den Memorial Day getroffen, und der Software-Lieferkettenangriff auf Kaseya lief unmittelbar vor dem US-Feiertag am 4. Juli an. Das Kalkül dahinter ist immer gleich: mehr Zeit bis zur Entdeckung, weniger Personal für die Abwehr, höherer Druck, schnell zu zahlen.

Zwei Effekte, die im Sommer zusammenkommen

Die Urlaubssaison ist deshalb so heikel, weil zwei Entwicklungen gleichzeitig auftreten – und sich gegenseitig verstärken.

1. Die Verteidigung dünnt aus
   

   Wenn das halbe Team im Urlaub ist, wird die Rufbereitschaft dünner, Freigaben dauern länger, und der eine Kollege, der die Firewall-Regeln wirklich kennt, ist gerade nicht erreichbar. Genau in diese Lücke zielen Angreifer. Nicht, weil sie im August besonders kreativ sind – sondern weil eine automatisierte Attacke gegen ein unbeaufsichtigtes Netz schlicht die höhere Erfolgsquote hat.

2. Die mobile Angriffsfläche wächst
   

   Zugleich verlagert sich Arbeit nach draußen. Mitarbeitende nehmen Notebooks und Diensthandys mit, checken das Postfach am Flughafen, greifen aus dem Hotel-WLAN auf Systeme zu. Jedes dieser Geräte ist ein Stück Unternehmensnetz, das die schützende Büroumgebung verlassen hat. Der klassische Perimeter – die Mauer um das Firmennetz – hat hier ausgedient. Was zählt, ist der Schutz direkt am Endgerät und an der Identität, die sich anmeldet.

Die mobile Front: Wo es auf Reisen konkret knirscht

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat für die Reisezeit vier Angriffspfade beschrieben, die im Alltag unterschätzt werden – gerade, weil sie so bequem daherkommen:

• Gefälschte WLAN-Netze (Evil Twin). Angreifer stellen Hotspots mit vertrauenswürdig klingenden Namen wie „Flughafen-WLAN“ oder „Free Wifi“ bereit. Wer sich einbucht, leitet seinen Datenverkehr direkt über fremde Hände. In öffentlichen Netzen ist die Verbindung oft unverschlüsselt – Zugangsdaten lassen sich mitlesen oder Schadsoftware einschleusen.
• Manipulierte Ladepunkte (Juice Jacking). An öffentlichen USB-Ladestellen kann über das Kabel nicht nur Strom, sondern auch ein Datenstrom fließen. Die Empfehlung des BSI ist unspektakulär, aber wirksam: eigenes Netzteil, eigenes Kabel – oder gleich eine Powerbank.
• Phishing unter Zeitdruck. Gefälschte Buchungsbestätigungen und angebliche Zahlungsprobleme setzen bewusst auf Stress („sofort bestätigen“, „Zahlung fehlgeschlagen“). Im Urlaubsmodus, unterwegs und mit halber Aufmerksamkeit klickt es sich schneller als am Schreibtisch.
• Verlust und Diebstahl. Im Zug, im Café, am Strand – Sekunden reichen. Ein ungesperrtes Gerät ist ein offener Zugang zu Postfach, Dateien und gespeicherten Anmeldungen.

Realitätscheck

Auf einem einzigen Diensthandy bündeln sich unterwegs E-Mails, Kalender, gespeicherte Passwörter, Zahlungs- und oft auch Kundendaten. Das Gerät ist damit kein „Telefon“ mehr, sondern ein mobiler Zugang zu Ihrem Unternehmen. Entsprechend sollte es behandelt werden.

Was jetzt zählt: pragmatische Maßnahmen statt Alarmismus

Die gute Nachricht: Die wirksamen Hebel sind bekannt, bezahlbar und lassen sich verhältnismäßig schnell aufsetzen. Es geht nicht um Hochsicherheit, sondern um solide Grundhygiene an den richtigen Stellen.

Endpoint & Mobile

• Moderne Endpoint-Protection (EDR/XDR) auf allen Geräten – auch auf den mobilen. Sie erkennt verdächtiges Verhalten, nicht nur bekannte Signaturen, und meldet auffällige Aktivitäten auch dann, wenn niemand aktiv hinschaut.
• Mobile-Device-Management und Conditional Access: Nur verwaltete, aktuelle und konforme Geräte erhalten Zugriff. Bei Verlust lässt sich ein Gerät aus der Ferne sperren oder löschen (Remote Wipe).
• Festplattenverschlüsselung und erzwungene Bildschirmsperre als Grundeinstellung – nicht als Bitte an die Belegschaft.

Identität

• Phishing-resistente Multi-Faktor-Authentifizierung als Standard. Gestohlene Passwörter allein bringen Angreifer damit nicht ans Ziel.
• Konten vor der Abreise absichern – beginnend beim E-Mail-Postfach, das als Generalschlüssel für Passwort-Resets dient.

Netzwerk

• Statt offenem WLAN ein abgesicherter Zugang über VPN oder – zeitgemäßer – Zero Trust Network Access (ZTNA), der Zugriff pro Anwendung statt pauschal aufs ganze Netz gewährt.
• Automatische WLAN-Anmeldung deaktivieren; öffentliche USB-Ladestellen meiden.

Betrieb & Governance

• Einen Notfall- und Rufbereitschaftsplan für die Ferienzeit definieren: Wer ist erreichbar, wer entscheidet, wer meldet? Reduzierte Besetzung ist legitim – ein blinder Fleck ist es nicht.
• Offline-Backups vor Beginn der Urlaubswelle prüfen und testen. Ein Backup, das noch nie zurückgespielt wurde, ist eine Hoffnung, kein Plan.
• Für viele Häuser der wirtschaftlichste Hebel: eine 24/7-Überwachung als Managed Detection & Response auslagern, statt eigenes Personal rund um die Uhr vorzuhalten. So bleibt die Reaktionsfähigkeit hoch, ohne die Kostenseite zu sprengen.

Menschen

• Eine kurze, konkrete Sensibilisierung vor der Reisezeit wirkt oft mehr als jede Jahresschulung: gefälschte WLANs, Reise-Phishing, Gerätesperre. Fünf Minuten, die sich auszahlen.

Die Uhr läuft auch im Sommer

Wer glaubt, dass sich ein Sicherheitsvorfall im Sommer „nach dem Urlaub“ regeln lässt, unterschätzt die regulatorische Realität. Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz (NIS2UmsuCG). Rund 29.500 Unternehmen fallen nach Schätzungen unter die neuen Pflichten, darunter viele Mittelständler aus Fertigung, Logistik, Energie, Lebensmittel- und Gesundheitswirtschaft.

Die entscheidende Konsequenz für die Ferienzeit: Ein meldepflichtiger Vorfall stoppt die Uhr nicht, nur weil gerade Betriebsruhe herrscht. Das Gesetz sieht ein gestuftes Meldeverfahren vor – eine Erstmeldung binnen 24 Stunden, einen Bericht nach 72 Stunden und einen Abschlussbericht nach einem Monat. Verstöße können mit Bußgeldern von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden, und die Geschäftsleitung haftet persönlich. Parallel gilt weiterhin die DSGVO mit ihrer eigenen 72-Stunden-Meldepflicht bei Datenpannen.

Für die Praxis heißt das: Reaktionsfähigkeit ist keine Frage guten Willens mehr, sondern eine Pflicht mit fester Frist – auch am 15. August. Genau deshalb gehören Meldeketten, Ansprechpartner und Erreichbarkeiten in den Urlaubsplan der IT, nicht nur die Vertretungsregelung für den Posteingang.

Die Rechnung ist einfach: ausgedünnte Verteidigung plus wachsende mobile Angriffsfläche plus gesetzliche Reaktionspflicht. Drei Faktoren, die im Sommer zusammenfallen – und die sich mit Planung entschärfen lassen, nicht mit Glück. Unser Ansatz ist unaufgeregt: die Endgeräte und Identitäten dort absichern, wo Arbeit heute stattfinden – und die 24/7-Wachsamkeit übernehmen, damit Ihr Team tatsächlich Urlaub machen kann. Denn genau das ist der Punkt: Erholung sollte man sich leisten können, ohne dafür die Sicherheit in den Urlaub zu schicken.

Fazit

Die Urlaubssaison ist kein Grund zur Panik – aber ein guter Grund, jetzt die richtigen Dinge festzuzurren. Endpoint- und Mobile-Security, phishing-resistente Anmeldung, ein belastbarer Notfallplan und getestete Backups: Das ist keine Raketentechnik, sondern Handwerk. Wer es vor der ersten Abwesenheitsnotiz erledigt, verschafft dem eigenen Team eine ruhige Sommerpause – und den Angreifern einen schlechten Sommer.

Sprechen Sie uns für weitere Details, eine Beratung oder ein Expertengespräch gerne auch direkt an oder wenden Sie sich formlos an hallo@enthus.de.