Cyber Security Report 2026: Markante Sicherheitslücken in der deutschen Wirtschaft

Im März 2026 wurde im Rahmen der Cyber Security Conference (CSC) in Heilbronn der aktuelle Cyber Security Report vorgestellt. Die von Schwarz Digits veröffentlichte Erhebung unter 1.001 deutschen Unternehmen zeichnet ein detailliertes Bild der gegenwärtigen Bedrohungslage und der organisationalen Abwehrbereitschaft. Trotz steigender Budgets für die IT-Sicherheit identifiziert die Studie wesentliche Wissenslücken bei regulatorischen Anforderungen sowie eine Fehleinschätzung technologischer Risiken durch Künstliche Intelligenz.

Fehleinschätzungen zur NIS-2-Regulierung

Ein zentrales Ergebnis der Untersuchung betrifft die Umsetzung der europäischen NIS-2-Richtlinie. Dem Cyber Security Report zufolge gehen rund 48 % der befragten Organisationen fälschlicherweise davon aus, nicht unter den Anwendungsbereich dieser Regulierung zu fallen. Besonders ausgeprägt ist dieses Informationsdefizit bei umsatzstarken Kleinunternehmen. Firmen mit 10 bis 49 Mitarbeitern, die die Umsatzgrenze von 10 Millionen Euro überschreiten, sind rechtlich zur Einhaltung verpflichtet. Dennoch schließen in diesem Segment 92 % der Betroffenen eine Regulierungspflicht für das eigene Haus aus.

Die Geschäftsführung von Schwarz Digits betont in diesem Zusammenhang, dass Cybersicherheit im Jahr 2026 eine existenzielle Bedeutung für die Unternehmensführung hat. Eine Fehlinterpretation der NIS-2-Richtlinie als rein bürokratische Anforderung könne die operative Substanz gefährden. Gleichzeitig wird eine mangelnde Unterstützung durch staatliche Stellen kritisiert: 62 % der Unternehmen geben an, sich bei der Einführung der Richtlinie von Behörden nicht ausreichend begleitet zu fühlen.

Die Rolle Künstlicher Intelligenz in der Bedrohungsmatrix

Ein weiterer Schwerpunkt im Cyber Security Report liegt auf dem Einfluss von Künstlicher Intelligenz (KI). Die Daten zeigen eine Diskrepanz zwischen der Expertenmeinung und der Wahrnehmung in den Betrieben. Während Fachleute vor autonomen KI-Angriffen und sogenannten kinetischen Prompt-Hacks warnen, stufen 54 % der Unternehmen das Cyberrisiko durch KI-Anwendungen als gering oder nicht vorhanden ein.

Anzeige

Zwar verfügen 73 % der Großunternehmen über klare Richtlinien für den Einsatz von KI-Systemen, doch bei den kleinen und mittleren Unternehmen (KMU) besteht bei mindestens 23 % ein deutlicher Nachholbedarf. Die Professionalisierung der Angreifer durch KI-gestützte Skalierung bestehender Bedrohungen wird somit von einem Großteil der Wirtschaft derzeit nicht als unmittelbare Gefahr für die eigene Infrastruktur gewertet.

Risiken innerhalb der Lieferketten und digitale Souveränität

Die Vernetzung der Wirtschaft erweist sich laut dem Cyber Security Report als strukturelle Schwachstelle. Jedes zweite Unternehmen hat bereits Angriffe auf seine Zulieferer registriert. Dennoch führen 75 % der Befragten keine regelmäßigen Audits bei ihren Partnern durch. Nur ein Drittel der Organisationen besitzt einen vollständigen Überblick über die Abhängigkeiten innerhalb der eigenen Lieferkette. Vorfälle über Managed Service Provider oder kompromittierte Software-Updates gehören zu den folgenreichsten Szenarien, wobei die Wiederherstellung des Betriebs im Ernstfall bis zu 30 Tage in Anspruch nehmen kann.

Hinsichtlich der digitalen Souveränität zeigt die Studie, dass lediglich 19 % der Firmen über eine entsprechende Strategie verfügen. Obwohl die Finanz- und Versicherungswirtschaft hier eine Vorreiterrolle einnimmt, investieren insgesamt nur 13 % der Unternehmen gezielt Ressourcen, um technologische Abhängigkeiten von außereuropäischen Plattformen zu reduzieren. Der Cyber Security Report nutzt hierfür das Software Sovereignty Framework (EU SSF), welches EU-basierten Open-Source-Lösungen eine höhere Souveränität attestiert als proprietären Systemen aus Drittstaaten.

Bewertung der staatlichen Resilienz und defensive Strategien

Die Einschätzung der öffentlichen Hand durch die Privatwirtschaft fällt zurückhaltend aus. Lediglich 21 % der Firmen fühlen sich durch politische Maßnahmen ausreichend geschützt. Besonders die digitale Aufstellung der Bundesländer wird kritisch bewertet; nur 7 % der Befragten stellen ihnen ein gutes Zeugnis aus. Diese Unzufriedenheit spiegelt sich in der Forderung nach aktiveren Verteidigungsmaßnahmen wider: 79 % befürworten staatliche Gegenangriffe, sogenannte Hackbacks, und mehr als die Hälfte der Unternehmen wünscht sich entsprechende Befugnisse auch für private Akteure. Der Cyber Security Report verdeutlicht damit eine wachsende Tendenz zu offensiveren Strategien angesichts der hohen jährlichen Schäden von über 202 Milliarden Euro.

Faktenbox