Cybersicherheit 2026 in Deutschland: Ein Blick auf aktuelle Zahlen, Statistiken & Trends

Die Cybersicherheitslage in Deutschland ist 2026 so angespannt wie nie zuvor. Laut Bitkom-Wirtschaftsschutzstudie 2025 beläuft sich der jährliche Gesamtschaden durch Datendiebstahl, Sabotage und Industriespionage auf 289,2 Milliarden Euro – ein neuer Rekordwert. 87 Prozent aller deutschen Unternehmen wurden in den letzten zwölf Monaten Opfer eines Angriffs. Der BSI-Lagebericht zur IT-Sicherheit in Deutschland 2025 spricht von einer „weiterhin angespannten Bedrohungslage" bei durchschnittlich 119 neuen Schwachstellen pro Tag. Wir haben die wichtigsten Studien und Reports 2025/2026 ausgewertet und fassen zusammen, was Entscheider jetzt wissen müssen – mit allen relevanten Zahlen, Quellen und Handlungsfeldern.

Die Dimension der Bedrohung: 289 Milliarden Euro Schaden pro Jahr

Die aktuelle Bitkom-Studie „Wirtschaftsschutz 2025" liefert die eindrucksvollsten Zahlen zur Schadenslage in der deutschen Wirtschaft. Der Gesamtschaden durch Datendiebstahl, Sabotage und Industriespionage erreichte im Berichtszeitraum 289,2 Milliarden Euro – gegenüber 266,6 Milliarden Euro im Vorjahr ein Anstieg von rund 8,5 Prozent und der höchste jemals gemessene Wert. Rund 70 Prozent dieser Schäden, also 202,4 Milliarden Euro, sind direkt auf Cyberangriffe zurückzuführen. Die übrigen 30 Prozent entfallen auf analoge Delikte wie Diebstahl physischer Dokumente, Abhören von Besprechungen oder Sabotage an Geräten und Anlagen.

Wirtschaftsspionage: Bedrohung durch staatliche Akteure steigt rasant

Besonders bemerkenswert ist, dass sich der Anteil staatlicher Akteure bei den Angriffen in kurzer Zeit vervielfacht hat. 28 Prozent der befragten Unternehmen führen Angriffe auf ausländische Nachrichtendienste zurück – 2023 lag dieser Wert noch bei lediglich 7 Prozent. Russland und China werden dabei mit jeweils 46 Prozent als Hauptherkunftsländer genannt. Für Unternehmen in sicherheitsrelevanten Branchen wie Rüstung, Halbleiter, Maschinenbau oder kritische Infrastrukturen heißt das konkret, dass die Grenze zwischen klassischem Cybercrime und staatlich gesteuerter Wirtschaftsspionage zunehmend verschwimmt.

BSI-Lagebericht 2025: 119 neue Schwachstellen – Tag für Tag

Am 11. November 2025 veröffentlichte das Bundesamt für Sicherheit in der Informationstechnik (BSI) seinen Lagebericht zur IT-Sicherheit in Deutschland 2025. Der Bericht deckt den Zeitraum 1. Juli 2024 bis 30. Juni 2025 ab und erreicht mit über 70 statistischen Diagrammen und Tabellen eine bislang nicht dagewesene Datendichte. Das Kernfazit fällt ernüchternd aus – die Lage bleibt angespannt, die Resilienz wächst zwar, aber langsamer als die Bedrohungen.

Viele Schwachstellen betreffen öffentlich erreichbare Dienste

Eine der prägnantesten Zahlen betrifft die Schwachstellenentwicklung. Im Berichtszeitraum wurden durchschnittlich 119 neue Sicherheitslücken pro Tag registriert. Gegenüber dem Vorjahr ist das ein Anstieg um 24 Prozent. Die Entwicklung zeigt einen kontinuierlichen Trend nach oben – während 2022 noch 68 Schwachstellen pro Tag dokumentiert wurden, stieg die Zahl 2023 auf 78 und 2024 auf 96. Besonders kritisch ist, dass viele dieser Schwachstellen öffentlich erreichbare Dienste betreffen, also die digitale Angriffsfläche, die für Cyberkriminelle ohne großen Aufwand erreichbar ist.

Weitere zentrale Kennzahlen aus dem BSI-Lagebericht 2025

Im Berichtszeitraum wurden 950 Ransomware-Anzeigen registriert, davon 72 Prozent mit Datenleaks. Rund 80 Prozent der angezeigten Angriffe richteten sich gegen kleine und mittlere Unternehmen. Parallel dokumentierte das BSI 461 Datenlecks, bei denen deutsche Institutionen oder Verbraucher betroffen waren. Das BSI sieht 25 Prozent aller weltweit relevanten APT-Gruppen (Advanced Persistent Threats) aktiv gegen deutsche Ziele gerichtet – Deutschland liegt damit auf Platz 4 der weltweit am stärksten ins Visier genommenen Staaten. Ergänzend zum allgemeinen Lagebild veröffentlicht das BSI sektorspezifische Analysen, darunter einen eigenen Lagebericht zur Cybersicherheit im Gesundheitswesen, der speziell Krankenhäuser, Arztpraxen und Pflegeeinrichtungen in den Blick nimmt.

Angriffsfrequenz: 1.223 Cyberattacken pro Woche und Unternehmen

Eine der aussagekräftigsten Kennzahlen zur aktuellen Bedrohungsdichte liefert der Ende Januar 2026 veröffentlichte Check Point Cyber Security Report 2026. Die Sicherheitsforschung wertet Daten aus über 150.000 Netzwerken weltweit aus. Für Deutschland weist der Report 2025 einen Jahresdurchschnitt von 1.223 Cyberangriffen pro Woche und Unternehmen aus – ein Plus von 14 Prozent gegenüber dem Vorjahr. Damit belegt Deutschland Platz 11 der weltweit am häufigsten angegriffenen Nationen. Weltweit lag der Durchschnitt bei 1.968 Angriffen pro Woche, ein Anstieg von 18 Prozent gegenüber 2024 und von 70 Prozent seit 2023.

Die folgende Tabelle zeigt die Entwicklung der Angriffsfrequenz 2025 im internationalen Vergleich:

Die Zahlen machen deutlich, dass Cyberangriffe längst keine Ausnahmeereignisse mehr sind, sondern ein dauerhafter Hintergrundlärm im Arbeitsalltag jedes Unternehmens. Pro Werktag entspricht das rund 245 Angriffsversuchen – von automatisierten Scans über Phishing-Versuche bis hin zu gezielten Exploit-Attacken. Für Behörden, Stadtwerke und kommunale Einrichtungen heißt das, dass die reine Existenz einer Internetanbindung heute ausreicht, um in den Fokus automatisierter Angriffswerkzeuge zu geraten. Auch die Entwicklung der globalen Monatswerte bestätigt den Trend. Im Januar 2026 lag der weltweite Durchschnitt bereits bei 2.090 Angriffen pro Woche und damit 17 Prozent höher als ein Jahr zuvor.

Ransomware: Die dominierende und teuerste Angriffsform

Ransomware bleibt 2025/2026 die mit Abstand gefährlichste Bedrohung für deutsche Unternehmen. Die Bitkom-Studie 2025 zeigt, dass in 34 Prozent der befragten Unternehmen Ransomware innerhalb der vergangenen zwölf Monate einen Schaden verursacht hat – damit ist sie die häufigste konkrete Angriffsform, noch vor Distributed-Denial-of-Service-Angriffen (25 Prozent) und Malware-Infektionen (24 Prozent). 15 Prozent der Unternehmen haben bereits Lösegeld an Erpresser bezahlt – eine Zahl, die Bitkom-Präsident Ralf Wintergerst ausdrücklich kritisiert, da jede Zahlung die kriminelle Infrastruktur weiter finanziert.

Im Januar 2026 wurden weltweit 678 öffentlich gemeldete Ransomware-Angriffe registriert – ein Anstieg von 10 Prozent gegenüber dem Vorjahr. Deutschland zählte mit einem Anteil von 4 Prozent zu den am häufigsten attackierten Ländern. Als aktivste Angreifergruppe identifizierte Check Point Research die Qilin-Gruppe mit einem Anteil von 15 Prozent aller Fälle, gefolgt von LockBit mit 12 Prozent und Akira mit 9 Prozent. Besonders im Visier stehen Unternehmensdienstleistungen (33 Prozent aller Fälle), Konsumgüter (15 Prozent) und die industrielle Fertigung (11 Prozent) – also genau jene Branchen, in denen Produktionsausfälle unmittelbar zu hohen finanziellen Schäden führen und Erpressungsversuche damit besonders erfolgversprechend sind.

Sophos Active Adversary Report 2026: 3,40 Stunden bis zum Active Directory

Einen besonders aufschlussreichen Blick auf die tatsächliche Angriffsdynamik liefert der Sophos Active Adversary Report 2026, der 661 reale Incident-Response- und MDR-Fälle zwischen November 2024 und Oktober 2025 auswertet. Ransomware wurde demnach in 88,10 Prozent der Fälle außerhalb der Geschäftszeiten ausgelöst, Datenexfiltration in 78,85 Prozent. Besonders alarmierend ist das Tempo der Angreifer – die mediane Zeit vom ersten Zugriff bis zum Durchgriff auf Active Directory lag bei lediglich 3,40 Stunden und damit rund 70 Prozent unter dem Vorjahreswert. Zwischen Exfiltration und Entdeckung vergingen im Median nur 1,87 Stunden. Für IT-Teams ohne 24/7-Monitoring heißt das in der Praxis, dass der erste wahrnehmbare Vorfall oft erst morgens entdeckt wird, während der Angreifer die kritische Phase längst abgeschlossen hat.

KI verändert die Bedrohungslandschaft fundamental

Die wohl prägendste Entwicklung 2025/2026 ist die vollständige Integration generativer KI in die Angriffskette. Laut einer Auswertung von KnowBe4 sind inzwischen 82,6 Prozent aller Phishing-E-Mails KI-generiert. Deepfake-Angriffe auf Unternehmen – meist in Form gefälschter Video- oder Audio-Nachrichten zur Autorisierung von Zahlungen oder zur Manipulation von Mitarbeitenden – haben ebenfalls sprunghaft zugenommen. Der CrowdStrike Global Threat Report 2025 dokumentierte allein bei Voice-Phishing-Angriffen einen Anstieg um 442 Prozent zwischen dem ersten und zweiten Halbjahr 2024. Check Point spricht von „autonomen KI-Angriffen", bei denen Hacker generative Modelle nutzen, um Ziele zu identifizieren, Angriffe zu koordinieren und operative Entscheidungen in Echtzeit zu treffen.

Social Engineering verzeichnet 2025 Anstieg von 500% 

Besonders alarmierend sind die Entwicklungen im Bereich Social Engineering. Sogenannte „ClickFix"-Methoden, bei denen Nutzer durch KI-generierte Anweisungen zur eigenhändigen Ausführung von Schadcode bewegt werden, verzeichneten 2025 einen Anstieg von 500 Prozent. Der Allianz Risk Barometer 2026 hebt hervor, dass KI inzwischen weltweit auf Platz 2 der größten Geschäftsrisiken gerückt ist – in Deutschland rangiert das Thema auf Platz 4. 52 Prozent der deutschen Unternehmen sehen Cyberkriminalität, IT-Ausfälle und Datenschutzverletzungen als größte Bedrohung überhaupt.

Künstliche Intelligenz im Kampf gegen Cyberbedrohungen

Auch die Verteidigungsseite setzt massiv auf KI. 63 Prozent der im IBM Cost of a Data Breach Report 2025 befragten Organisationen nutzen inzwischen KI-basierte Sicherheits- und Automatisierungstools umfassend oder teilweise. Unternehmen mit umfangreichem KI-Einsatz in der Sicherheit verkürzen den Lebenszyklus eines Datenlecks um 15 Tage und sparen durchschnittlich 1,35 Millionen Euro pro Vorfall. Gleichzeitig entsteht ein neuer blinder Fleck, denn 20 Prozent der befragten Unternehmen erlebten Sicherheitsvorfälle durch sogenannte „Schatten-KI" – also nicht autorisierte KI-Nutzung durch Mitarbeitende. Diese Fälle verursachten im Schnitt 670.000 US-Dollar höhere Kosten als Standard-Vorfälle.

Kosten eines Datenlecks: 3,87 Millionen Euro pro Vorfall

Der IBM Cost of a Data Breach Report 2025, der am 30. Juli 2025 veröffentlicht wurde, basiert auf der Analyse von 600 realen Schadensereignissen weltweit. Für Deutschland zeigt die aktuelle Ausgabe erstmals seit fünf Jahren einen Rückgang: Die durchschnittlichen Gesamtkosten eines Datenlecks sanken auf 3,87 Millionen Euro – gegenüber 4,9 Millionen Euro im Vorjahr ein Minus von rund 21 Prozent. Der weltweite Durchschnittswert fiel auf 4,44 Millionen US-Dollar, während die Kosten in den USA mit 10 Millionen US-Dollar einen neuen Rekord erreichten.

Incidents werden schneller erkannt und eingedämmt

Deutsche Unternehmen benötigten 2025 durchschnittlich 170 Tage, um einen Sicherheitsvorfall zu erkennen und einzudämmen – das sind 15 Tage weniger als im Vorjahr und 71 Tage unter dem weltweiten Durchschnitt. Damit weist Deutschland die kürzeste Reaktionszeit aller im Report untersuchten Länder und Regionen auf. In 16 Prozent der deutschen Fälle erfolgte der Erstzugriff der Angreifer über die Lieferkette oder Drittanbieter-Systeme. Diese Supply-Chain-Angriffe waren besonders teuer und verursachten im Schnitt Kosten von 4,52 Millionen Euro.

Industrielle Unternehmen trugen wie im Vorjahr die höchsten Kosten pro Vorfall (6,67 Millionen Euro), gefolgt von Pharmaunternehmen (4,62 Millionen Euro) und Finanzdienstleistern (4,46 Millionen Euro). Für regulierte Branchen sowie Arztpraxen, Kliniken und Krankenhäuser kann ein einzelner Vorfall damit Jahresbudgets sprengen – insbesondere, wenn zusätzliche Bußgelder nach DSGVO oder NIS-2 hinzukommen.

„Die IBM-Zahlen decken sich mit dem, was wir in unseren Einsätzen sehen. Ein sehr großer Teil der aktuellen Vorfälle bei unseren Kunden sind Supply-Chain-Angriffe – nicht die eigenen Systeme waren das Einfallstor, sondern die eines Dienstleisters oder Lieferanten. Dort, wo Sophos MDR bereits im Einsatz war, konnten wir Schlimmeres verhindern. Aufgrund der rasant steigenden Gefahr identitätsbasierter Angriffe empfehlen wir unseren Kunden inzwischen fast immer, Sophos ITDR direkt mit einzuführen."

NIS-2: Die neue regulatorische Realität 2026

Mit der Verkündung des NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG) im Bundesgesetzblatt ist Deutschland am 6. Dezember 2025 – mit über 14 Monaten Verspätung gegenüber der EU-Frist – in die neue regulatorische Ära eingetreten. Rund 29.500 Unternehmen in 18 Sektoren sind seither verpflichtet, umfangreiche Cybersicherheitsmaßnahmen umzusetzen, Sicherheitsvorfälle innerhalb von 24 Stunden zu melden und sich beim BSI zu registrieren.

Unternehmen unterschätzen NIS-2-Betroffenheit

Drei Monate nach Inkrafttreten fällt die Bilanz ernüchternd aus. Zum Stichtag 6. März 2026, dem Ende der Registrierungsfrist, hatten sich laut verschiedenen Marktbeobachtern lediglich rund 11.500 der 29.500 betroffenen Unternehmen fristgerecht beim BSI registriert. Mehr als die Hälfte ist damit bereits im Verzug. Laut dem auf der Cyber Security Conference in Heilbronn im März 2026 vorgestellten Cyber Security Report 2026 (Schwarz Digits) unterschätzen 48 Prozent der Unternehmen ihre regulatorische Betroffenheit durch NIS-2. Bei umsatzstarken Kleinunternehmen mit 10 bis 49 Mitarbeitenden und über 10 Millionen Euro Jahresumsatz liegt die Fehleinschätzung sogar bei bis zu 92 Prozent.

Besonders brisant ist eine weitere Neuerung. Das Gesetz sieht erstmals eine persönliche Haftung der Geschäftsleitung vor. Geschäftsführer und Vorstände, die die NIS-2-Pflichten nicht umsetzen oder überwachen, können persönlich haftbar gemacht werden. Für Verwaltungen, Stadtwerke, Krankenhäuser und Unternehmen ist Cybersicherheit damit endgültig auf C-Level-Ebene angekommen.

„Was wir in Gesprächen mit Geschäftsführungen und IT-Verantwortlichen täglich erleben, ist eine wachsende Diskrepanz zwischen der Bedrohungswahrnehmung und den tatsächlich umgesetzten Maßnahmen. Mit der persönlichen Haftung durch NIS-2 ist die Zeit des Abwartens vorbei – Cybersicherheit ist endgültig C-Level-Thema. Wer die Registrierung verschläft oder Mindestmaßnahmen nicht dokumentieren kann, handelt heute fahrlässig – nicht nur gegenüber dem eigenen Unternehmen, sondern auch persönlich."

Die am häufigsten angegriffenen Branchen in Deutschland

Die Angriffsintensität unterscheidet sich zwischen den Branchen erheblich. Die folgenden Zahlen geben die durchschnittliche Angriffsfrequenz innerhalb eines Sektors wieder. Sie liegen zwangsläufig über dem deutschen Gesamtdurchschnitt von 1.223 Angriffen pro Woche, weil dieser Gesamtwert auch weniger exponierte Branchen wie Handwerk, einfache Dienstleistungen oder kleinere Handelsbetriebe umfasst.

Bildungssektor 136 Prozent über Durchschnitt

Laut Check Point Cyber Security Report 2026 ist der Bildungssektor in Deutschland die mit Abstand am häufigsten attackierte Branche mit durchschnittlich 2.885 Angriffen pro Woche und Einrichtung – das sind 136 Prozent mehr Attacken als bei einer durchschnittlichen deutschen Organisation. Viele Nutzer, große Mengen sensibler Forschungs- und Personendaten, veraltete IT-Strukturen und knappe Security-Ressourcen machen Schulen, Hochschulen und Forschungseinrichtungen zu attraktiven Zielen. An zweiter Stelle folgen Energie- und Versorgungsunternehmen mit 2.011 Angriffen pro Woche, gefolgt von der Telekommunikationsbranche mit 1.932 Angriffen.

Die folgende Tabelle zeigt die am häufigsten angegriffenen Sektoren in Deutschland im Jahresdurchschnitt 2025. Die Werte beziehen sich jeweils auf eine einzelne Einrichtung oder ein einzelnes Unternehmen innerhalb des Sektors.

Für Stadtwerke und Energieversorger sowie Telekommunikationsanbieter ist diese Konzentration besonders relevant – nicht zuletzt, weil sie auch im Mittelpunkt geopolitisch motivierter Angriffe durch APT-Gruppen stehen. Das BSI weist explizit darauf hin, dass russische Akteure gezielt kritische Infrastrukturen sowie politische Einrichtungen ins Visier nehmen, um Disruption und Desinformation zu verursachen.

Was Entscheider zur Verbesserung der Cybersicherheit 2026 tun sollten

Die Datenlage 2025/2026 macht unmissverständlich klar, dass Cybersicherheit keine IT-Frage mehr ist, sondern eine strategische Führungsaufgabe. Aus den ausgewerteten Studien lassen sich sieben prioritäre Handlungsfelder ableiten, die unabhängig von Branche und Unternehmensgröße relevant sind.

1. Angriffsflächenmanagement als Kerndisziplin etablieren. Das BSI nennt den Schutz der digitalen Angriffsflächen als den „entscheidenden Hebel" für 2026. Eine regelmäßige Inventarisierung aller öffentlich erreichbaren Systeme, restriktives Zugangsmanagement, zeitnahes Patch-Management und die Minimierung exponierter Dienste senken das Angriffsrisiko unmittelbar. Next-Generation Firewalls mit integriertem Angriffsflächenmanagement sind hier ein zentraler Baustein.

2. Multi-Faktor-Authentifizierung konsequent durchsetzen. MFA gilt laut mehreren Reports als die wirksamste Einzelmaßnahme gegen Identitätsdiebstahl und Credential Stuffing. Gleichzeitig zeigt der BSI-Bericht, dass die MFA-Nutzung bei Verbrauchern sogar rückläufig ist – von 42 Prozent (2023) auf 34 Prozent (2025). Im Unternehmenskontext sollten MFA für alle kritischen Systeme, Remote-Zugänge und Admin-Accounts Pflicht sein.

3. Lieferketten-Risiken systematisch erfassen. In 16 Prozent der deutschen Datenlecks erfolgte der Erstzugriff über Drittanbieter – mit überdurchschnittlichen Schadenskosten. NIS-2 fordert hier explizit ein strukturiertes Lieferkettensicherheits-Management. Ein realistischer Einstieg ist die Erfassung aller kritischen IT-Dienstleister inklusive deren Sicherheitszertifizierungen.

4. EDR/XDR-Lösungen mit KI-Unterstützung einführen. Unternehmen mit KI-basierten Sicherheitstools verkürzen laut IBM den Lebenszyklus eines Datenlecks um 15 Tage und senken die Schadenskosten um 1,35 Millionen Euro pro Vorfall. Der Sophos Active Adversary Report 2026 zeigt zudem, dass die mediane Dwell Time in MDR-Fällen bei nur 2 Tagen liegt – gegenüber 5 Tagen in klassischen Incident-Response-Fällen. Endpoint Detection & Response und Extended Detection & Response sind 2026 keine Kür mehr, sondern Pflicht.

5. Backup-Strategie und Wiederanlauftests verbindlich machen. Bei 72 Prozent der Ransomware-Angriffe kommt es zusätzlich zum Datenleak (BSI 2025). Ein funktionierendes, getestetes 3-2-1-Backup (drei Kopien, zwei Medien, eine Kopie offline bzw. unveränderbar) bleibt das zuverlässigste Mittel gegen Erpressung.

6. KI-Governance aufbauen. Mit durchschnittlich 11 parallel genutzten GenAI-Tools pro Unternehmen und einem Datenrisiko bei jedem 31. Prompt ist Schatten-KI ein nicht mehr zu ignorierender Kostentreiber. Verbindliche Nutzungsrichtlinien, zentrale Freigabeprozesse und ein klares Inventar erlaubter KI-Anwendungen sind Mindeststandard.

7. Awareness-Trainings auf KI-Angriffe anpassen. Klassische Phishing-Simulationen verlieren bei 82,6 Prozent KI-generierter Mails an Wirkung. Moderne Trainingsprogramme müssen Deepfakes, Voice-Cloning und hyperpersonalisierte Social-Engineering-Angriffe abdecken. Gartner zufolge erreichen Unternehmen mit GenAI-gestütztem Training bis 2026 eine Reduktion mitarbeiterverursachter Sicherheitsvorfälle um 40 Prozent.

Fazit: Cybersicherheit ist 2026 eine ökonomische Bedrohung

Die Zahlen für 2025 und 2026 lassen keinen Zweifel mehr zu. Cybersicherheit ist in Deutschland eine ökonomische Bedrohung erster Ordnung geworden – 289 Milliarden Euro Schaden pro Jahr, 1.345 Angriffe pro Woche und Unternehmen, 119 neue Schwachstellen pro Tag. Das sind keine Extremwerte mehr, sondern der Normalzustand. Gleichzeitig erfolgt die regulatorische Nachjustierung durch NIS-2 mit einer Verspätung, die die ohnehin angespannte Lage zusätzlich verschärft. Mehr als die Hälfte der betroffenen Unternehmen hat die Registrierungsfrist verpasst und damit die Grundlage für Bußgelder und persönliche Haftung geschaffen.

Für Entscheider in Unternehmen, Behörden und öffentlichen Einrichtungen ergibt sich daraus eine klare Konsequenz. Der Zeitpunkt für eine grundlegende Überprüfung der eigenen Sicherheitsarchitektur ist nicht irgendwann in 2026, sondern jetzt. Wer die kommenden Monate nutzt, um Angriffsflächen zu reduzieren, Backup-Konzepte zu härten, MFA flächendeckend auszurollen und NIS-2-konforme Prozesse zu etablieren, profitiert doppelt – einerseits sinkt das Risiko eines existenzgefährdenden Vorfalls, andererseits werden gleichzeitig die neuen gesetzlichen Anforderungen erfüllt.

FAQ: Cybersicherheit in Deutschland 2026