Aphos Cyberlage 2026 Report: KI-Angriffe und die Detection-Lücke im deutschen Mittelstand

Vier von fünf Organisationen im Mittelstand haben 2026 schon KI-gestützte Angriffsversuche gesehen. Das ist das Kernergebnis der Aphos Cyberlage 2026, für die wir 31 Verantwortliche aus IT, Security und Geschäftsführung befragt haben. Zwei Zahlen fassen die Lage zusammen. Das Einfallstor ist heute die Identität, nicht mehr die Firewall. Und die größte Schwäche ist nicht der Grundschutz, sondern die fehlende Detection.

Aus unserer Sicht heißt das für den Betrieb, an anderer Stelle zu investieren als bisher. Wer Backup und Firewall hat, aber keinen Blick auf laufende Angriffe, schützt die Mauern und übersieht den Einbruch. Dieser Beitrag nimmt die Ergebnisse der Umfrage und übersetzt sie in eine Reihenfolge, die im Firewall-Betrieb, am Endpunkt und in der Managed Security funktioniert.

Bedrohungslage 2026: Phishing, KI und Zugangsdaten vorn

Gefragt, welche Bedrohungen sie aktuell als kritisch einstufen, setzen die Befragten Phishing mit 74 Prozent an die Spitze, dicht dahinter KI-gestützte Angriffe und kompromittierte Zugangsdaten mit je 68 Prozent, dann Angriffe auf Microsoft 365 / Cloud (61 Prozent) und Lieferkette (52 Prozent). Mehrfachnennungen waren möglich. Für uns ist weniger die Spitze bemerkenswert als die Reihenfolge dahinter. Die Sorgen drehen sich um Konten und Cloud, nicht um Ports und Perimeter. Das Netzwerk bleibt wichtig, aber es ist aus unserer Sicht nicht mehr die Stelle, an der die meisten Angriffe entschieden werden.

Alle Grafiken zum Download und die vollständige Auswertung im Report auf aphos.de.

KI-Angriffe sind im Mittelstand angekommen

81 Prozent der Befragten haben Angriffsversuche bemerkt, die auf KI hindeuten, meist sauber formulierte Phishing-Mails. Bei jeder vierten Organisation war der KI-Bezug eindeutig. Damit fällt das alte Warnsignal weg, an dem sich Mitarbeitende jahrelang orientiert haben. Holpriges Deutsch und krude Aufmachung sind kein verlässlicher Hinweis mehr, wenn eine Mail in Sekunden fehlerfrei und im richtigen Ton entsteht. Wer die Muster hinter modernem Phishing kennt, erkennt den Angriff noch, wenn die Sprache es nicht mehr verrät.

KI-Risiken: Auch Schwachstellen, Malware und Deepfakes

Hinter dem Anstieg stehen konkrete Mechaniken. In der Umfrage zur Cyberlage nennen die Befragten als größte KI-Risiken realistischere Phishing-Mails (94 Prozent), die automatisierte Suche nach Schwachstellen (81 Prozent), Deepfakes und CEO-Fraud (74 Prozent) sowie schnellere Malware-Entwicklung (71 Prozent). Wichtig für die Lesart, das sind befürchtete Risiken, keine gezählten Vorfälle. Die Befragten sagen, wovor sie sich fürchten, nicht was ihnen nachweislich passiert ist. Für uns ergibt sich daraus ein klares Bild. KI beschleunigt die bekannten Angriffswege, sie erfindet keine neuen.

KI macht überzeugende Angriffe billig. Vier von fünf Organisationen sehen bereits Phishing- und Betrugsversuche mit deutlicher KI-Handschrift. Was früher an holprigem Deutsch scheiterte, kommt heute fehlerfrei und in Sekunden. Darauf antwortet man nicht mit mehr Mauern, sondern mit schnellerer Detection.

Roman Jacobi, Geschäftsführer, Aphos Gesellschaft für IT-Sicherheit mbH

KI im eigenen Haus: Regeln fehlen fast überall

Neben KI als Werkzeug der Angreifer gibt es eine zweite, hausgemachte Baustelle, den eigenen Umgang mit KI. Fast alle sehen die Gefahr, aber nur 29 Prozent haben verbindliche Regeln für den Einsatz von KI-Tools, 32 Prozent gar keine. Anders als bei den Angriffen geht es hier weniger um Abwehr als um Datenabfluss. 58 Prozent der Befragten fürchten, dass über KI-Tools Unternehmensdaten in fremde Hände geraten. Wo Mitarbeitende Chatbots und Assistenten ohne Leitplanken nutzen, landen Kundendaten, Verträge oder Quellcode bei Drittanbietern, oft ohne dass es jemandem auffällt. In unseren Augen reicht dagegen oft schon eine knappe, verständliche Richtlinie, welche Tools erlaubt sind und welche Daten hineindürfen.

Hier geht es nicht um die Angreifer, sondern um den eigenen Umgang mit KI. Wer KI-Tools im Unternehmen ohne Leitplanken laufen lässt, riskiert, dass sensible Daten in fremden Diensten landen. 97 Prozent sehen das Risiko, aber nur 29 Prozent haben Regeln. Das ist ein Führungs-, kein Technikthema.

Roman Jacobi, Geschäftsführer, Aphos Gesellschaft für IT-Sicherheit mbH

Warum die Identität das neue Einfallstor ist

Ein gestohlenes Konto braucht keine Lücke in der Firewall. Es meldet sich an und steht direkt in Microsoft 365, dort, wo Postfächer, Dateien und Freigaben liegen. Genau deshalb verschiebt sich der Schwerpunkt von der Abwehr am Rand zur Kontrolle im Inneren. Aus unserer Sicht greifen hier vor allem zwei Hebel. Erstens eine harte Absicherung der Anmeldung, von Multi-Faktor-Authentifizierung bis zu risikobasierten Anmelderichtlinien, ergänzt um Identitätsschutz per Sophos ITDR, das verdächtige Anmeldungen sichtbar macht, bevor daraus ein Vorfall wird. Zweitens eine innere Struktur, die einen Treffer eingrenzt. Eine saubere Netzwerksegmentierung sorgt dafür, dass ein übernommenes Konto oder Gerät nicht das halbe Netz öffnet.

In Kundengesprächen hat sich die erste Frage verschoben, weg von „Steht die Firewall?“ hin zu „Wer bewegt sich gerade in meinen Systemen?“. Wenn 68 Prozent kompromittierte Zugangsdaten fürchten, ist die Identität das eigentliche Schutzgut.

Sebastian Geide, Chief Sales Officer, Aphos Gesellschaft für IT-Sicherheit mbH

Die Detection-Lücke ist die eigentliche Schwachstelle

Beim Grundschutz macht der Mittelstand seine Hausaufgaben. Backup (97 Prozent), Firewall (94 Prozent) und E-Mail-Security (87 Prozent) sind fast überall vorhanden. Danach bricht die Kurve ein, und genau dort liegt aus unserer Sicht das Kernproblem der Cyberlage. Backup und Firewall halten Mauern hoch und stellen nach einem Treffer wieder her, aber sie zeigen nicht, dass gerade jemand im Netz ist. Moderne Bedrohungserkennung über MDR, XDR und NDR bleibt die Ausnahme.

Am Endpunkt fängt eine gute Endpoint Protection den Großteil ab. Den durchgehenden Blick über Endpunkt, Netzwerk und Cloud liefert aber erst Sophos XDR. Wer die dafür nötige Auswertung rund um die Uhr nicht selbst stemmen kann, und das trifft im Mittelstand auf die meisten zu, holt sie sich als Service. Sophos MDR übernimmt dann Bedrohungserkennung und erste Reaktion mit einem eigenen Analyseteam. Aus unserer Sicht ist das der schnellste Weg, die Lücke zu schließen, die die Cyberlage so deutlich zeigt.

Backup und Firewall haben fast alle, das ist gut, reicht aber nicht. Wenn nur 16 Prozent sich „sehr gut“ vorbereitet fühlen und fast jeder Fünfte nicht sagen kann, ob er betroffen war, ist das die eigentliche Lücke. Sicherheit entscheidet sich daran, wie schnell man einen laufenden Angriff sieht.

Roman Jacobi, Geschäftsführer, Aphos Gesellschaft für IT-Sicherheit mbH

Managed Security ansehen →

Ransomware, Budget und gewachsene IT

Bei Ransomware halten sich 55 Prozent für gut oder sehr gut gerüstet, aber nur 16 Prozent trauen sich das Prädikat sehr gut zu. Aus unserer Sicht entscheidet sich der Unterschied vor allem am Wiederanlauf. Ein Backup ist Teil des Schutzes, nicht der Schutz selbst. Erst wenn der Restore regelmäßig geübt und die Sicherung getrennt und unveränderlich aufbewahrt wird, trägt sie im Ernstfall. Ein nie zurückgespieltes Backup ist eher ein Test unter Zeitdruck als ein verlässlicher Wiederanlauf. Gegen Ransomware zählt für uns die Kombination aus Prävention, Detection und geübtem Recovery. Gebremst wird der Mittelstand dabei weniger vom Willen als von Ressourcen, allen voran zu wenig Budget (52 Prozent) und über Jahre gewachsene IT (48 Prozent).

Externe Services und NIS-2

Dass 61 Prozent auf externe Security-Services setzen, ist kein Nebenbefund der Cyberlage. Für 35 Prozent sind sie fester Teil der Strategie, weil sich eine Auswertung rund um die Uhr intern kaum darstellen lässt. Für uns ist das der realistische Weg zu einer Detection, die diesen Namen verdient. Parallel wächst der Druck von der Pflichtenseite. Das NIS-2-Umsetzungsgesetz betrifft längst nicht jede Organisation, der Kreis wächst aber schrittweise. Wer unsicher ist, klärt den eigenen Status aus unserer Sicht besser jetzt als nach dem ersten Bußgeldbescheid.

Wo steht die Firewall 2026?

Die Firewall verliert nicht an Bedeutung, sie verschiebt sie. Sie bleibt Fundament, aber der Schutz entsteht in der Konfiguration, nicht im Kauf. Aufgeräumte Regelwerke, abgeschaltete Altdienste, aktives IPS und eine saubere Trennung der Zonen holen aus vorhandener Hardware mehr heraus als das nächste Modell. Wie sich das systematisch umsetzen lässt, zeigt unsere Firewall-Härtung. In unseren Augen liegt der wichtigste Beitrag der Firewall heute weniger im Blocken am Rand als im sauberen Segmentieren im Inneren, damit ein Treffer lokal bleibt und sich nicht im ganzen Netz ausbreitet.

Unsere Empfehlung: Maßnahmen in der richtigen Reihenfolge

Aus den Ergebnissen der Aphos Cyberlage 2026 leiten wir eine klare Reihenfolge ab. Sie priorisiert das, was die größte Lücke schließt, statt alles auf einmal anzugehen. Die folgende Roadmap ist als Orientierung gedacht, nicht als starrer Plan.

Wie die drei Phasen zusammenspielen und wer sie treibt

In Phase eins senken wir die Angriffsfläche, und das ist vor allem Sache des Firewall-Betriebs. Härtung, Segmentierung, flächendeckende Multi-Faktor-Authentifizierung und ein sauberes Patch-Management kosten selten neue Lizenzen, sondern Disziplin. Phase zwei baut die Detection auf, und hier liegt aus unserer Sicht der eigentliche Hebel für IT-Leitung und Managed Security. Wer kein eigenes Team rund um die Uhr stellen kann, setzt MDR oder XDR als Service und ergänzt E-Mail-Sicherheit und Identitätsschutz. Phase drei übt den Ernstfall. Ein getesteter Restore, ein durchgespielter Notfallplan und verbindliche KI-Regeln entscheiden, wie glimpflich ein Angriff verläuft. Der schnelle erste Schritt ist für die IT-Leitung ein MDR-Pilot mit flächendeckender MFA, für den Firewall-Betrieb das Aufräumen der Regelwerke und für die Managed Security eine Auswertung rund um die Uhr samt Restore-Tests.

Fazit: KI-Angriffe und Identitätsthemen prägen Cybersicherheit des Mittelstands

Die Aphos Cyberlage 2026 zeichnet das Bild eines Mittelstands, der die Grundlagen beherrscht und trotzdem verwundbar bleibt. KI hat die Angriffsseite spürbar professionalisiert, das Einfallstor hat sich von der Firewall zur Identität verschoben, und zwischen einem oft guten Selbstbild und der tatsächlichen Fähigkeit, einen laufenden Angriff zu sehen, klafft eine Lücke. Für uns ist das weniger ein Technik- als ein Prioritätenthema. Die Bedrohung entwickelt sich schneller, als viele Organisationen ihre Detection und ihre internen Regeln nachziehen. Die vollständige Auswertung mit allen Zahlen und Quellen steht im Report auf aphos.de.

Lage einschätzen lassen →