Transferstelle Cybersicherheit: Cyber-Lagebild 2026 zeigt wachsende Risiken für den Mittelstand

Cyberangriffe auf kleine und mittlere Unternehmen: KI, Ransomware und neue Sicherheitslücken

Die Transferstelle Cybersicherheit im Mittelstand hat im Oktober 2026 das neue „CYBERsicher Lagebild – Die aktuelle Bedrohungslage für kleine und mittlere Unternehmen in Deutschland“ veröffentlicht (https://transferstelle-cybersicherheit.de/material/das-cybersicher-lagebild-2026/) . Der Bericht untersucht die gegenwärtigen Cyberbedrohungen für kleine und mittlere Unternehmen (KMU) und zeigt auf, welche Entwicklungen die IT-Sicherheit besonders gefährden.

Das Lagebild wurde unter anderem auf Grundlage eigener Untersuchungen der Transferstelle, der Auswertung von Ransomware-Daten und wissenschaftlicher Studien erstellt. Ziel ist es, Unternehmen über aktuelle Angriffsmethoden zu informieren und geeignete Schutzmaßnahmen aufzuzeigen. Die Transferstelle gehört zum Netzwerk Mittelstand-Digital, das vom Bundesministerium für Wirtschaft und Energie gefördert wird.

Was war der Anlass?

Hintergrund der Veröffentlichung ist die zunehmende Bedrohung des deutschen Mittelstands durch Cyberkriminalität. Insbesondere der Einsatz Künstlicher Intelligenz verändert die Vorgehensweise der Angreifer erheblich. Phishing-Nachrichten werden überzeugender, Sicherheitslücken lassen sich automatisiert aufspüren und komplexe Angriffe können zunehmend auch ohne besondere technische Kenntnisse durchgeführt werden.

Gleichzeitig entstehen neue Risiken durch den Einsatz von KI innerhalb der Unternehmen. Hinzu kommen steigende Ransomware-Angriffe, geopolitisch motivierte Cyberattacken und Abhängigkeiten von außereuropäischen IT-Dienstleistern.

Das Lagebild beschäftigt sich deshalb nicht nur mit den Angriffen selbst, sondern auch mit der Frage, wie gut deutsche Unternehmen auf diese Bedrohungen vorbereitet sind.

Zahlen und Fakten aus dem CYBERsicher Lagebild 2026

Die Veröffentlichung enthält eine Reihe bemerkenswerter Ergebnisse:

• 56 % Klickrate bei KI-gestütztem Spearphishing: Bei KI-generierten und anschließend menschlich überarbeiteten Phishing-Mails liegt die berichtete Klickrate bei 56 %. Vollautomatisch erstellte KI-Mails erreichen 54 %, während generische Phishing-Mails lediglich auf 12 % kommen.

• 66 % erkennen gefälschte Audioaufnahmen nicht: Die im Lagebild herangezogenen Untersuchungen verdeutlichen, dass Deepfakes erhebliche Täuschungsrisiken schaffen. Zudem werden 58 % der geklonten Stimmen als menschlich eingeordnet.

• 20 % der deutschen KMU setzen KI ein: Damit entstehen neben Produktivitätsvorteilen zusätzliche IT-Sicherheitsrisiken. Nach den angeführten Untersuchungen geben 5 bis 10 % der betrachteten LLM-Anwendungen vertrauliche Informationen preis.

• Bis zu 20-mal mehr Sicherheitslücken: Mit KI-Unterstützung durch sogenanntes „Vibe-Coding“ entwickelte Anwendungen weisen laut einer zitierten Untersuchung bis zu 20-mal mehr Sicherheitslücken auf als konventionell entwickelte Anwendungen.

• Deutlicher Anstieg von Ransomware: Die bekannt gewordenen Angriffe auf deutsche KMU lagen 2024 bei 162 % und 2025 bei 281 % des Referenzwertes von 2023. Für 2026 wird ein Wert von 382 % hochgerechnet. Die Prognose entspricht damit nahezu einer Vervierfachung gegenüber 2023.

• 66 % sehen Abhängigkeiten von ausländischer Software: Zwei Drittel der deutschen KMU fühlen sich stark von nicht-europäischen Softwareanbietern abhängig.

• 81 % bewerten ihre Datensicherungen positiv: In einer Selbsteinschätzung von 1.190 Unternehmen bewerteten rund 81 % ihre Sicherheitskopien mit der Note 3 oder besser. Bei IT-Sicherheitsschulungen waren es dagegen nur rund 55 %.

• 56 % befürworten gesetzliche Cybersicherheitsanforderungen: Eine Mehrheit der befragten Unternehmen steht entsprechenden Pflichten, beispielsweise durch NIS2, positiv gegenüber.

Besonders aufschlussreich ist außerdem die Auswertung eines von der Transferstelle betriebenen Honeypots. Dabei handelt es sich um ein System, das gezielt Angriffsversuche anzieht, um die Vorgehensweise von Cyberkriminellen nachvollziehen zu können.

Die Untersuchung von 8.123 Angreifenden zeigt, dass insbesondere Telnet (22,3 %), SSH (16,7 %) und RDP (9,6 %) im Fokus standen. Bei jedem zweiten der auf dem Honeypot beobachteten Angriffe wurde versucht, Schadsoftware zum sogenannten Cryptojacking zu installieren. Dabei werden fremde IT-Systeme ohne Erlaubnis zur Erzeugung von Kryptowährungen missbraucht.

Auch die Daten der CYBERsicher Notfallhilfe verdeutlichen die praktische Bedeutung menschlicher Fehler: Bei 20 % der ausgewerteten Selbstcheck-Anfragen ging es um menschliches Fehlverhalten, bei 17 % um verdächtige E-Mails. Die Erhebung erfasste 831 Nutzerinnen und Nutzer zwischen Juli 2025 und Juli 2026.

Die Zahlen stammen aus unterschiedlichen Untersuchungen und Erhebungszeiträumen. Sie beschreiben daher nicht durchgehend dieselbe Gruppe von Unternehmen.

Zu welchem Ergebnis kommt die Transferstelle Cybersicherheit?

Die Transferstelle stellt fest, dass Cyberangriffe durch KI an Qualität und Umfang gewinnen. Insbesondere traditionelle Erkennungsmerkmale von Phishing, etwa Rechtschreibfehler oder ungewöhnliche Formulierungen, verlieren zunehmend ihre Bedeutung.

Gleichzeitig zeigt das Lagebild, dass die Unternehmen auf die Bedrohung reagieren und Sicherheitsmaßnahmen verstärkt umsetzen. Dennoch bestehen insbesondere bei der Schulung von Beschäftigten, beim systematischen Informationssicherheitsmanagement und bei der Kontrolle eingesetzter KI-Anwendungen erhebliche Herausforderungen.

Als zentrale Schutzmaßnahmen empfiehlt die Transferstelle weiterhin regelmäßige Updates, sichere Passwörter und Passwortmanager, funktionierende Datensicherungen sowie ein strukturiertes Informationssicherheitsmanagement. Hervorgehoben wird insbesondere die 3-2-1-Backup-Regel, bei der drei Datenkopien auf zwei unterschiedlichen Speichermedien und mit einer Kopie an einem externen Speicherort vorgehalten werden.

Die zentrale Erkenntnis des Berichts lautet, dass Cybersicherheit keine einmalige technische Aufgabe ist, sondern kontinuierlich überprüft und weiterentwickelt werden muss.

Unsere Bewertung aus datenschutzrechtlicher Sicht

Aus Sicht unserer Kanzlei verdeutlicht das Lagebild, dass Cybersicherheit und Datenschutz nicht getrennt voneinander betrachtet werden können. Erfolgreiche Cyberangriffe führen häufig nicht nur zu wirtschaftlichen Schäden, sondern können auch die Vertraulichkeit, Integrität und Verfügbarkeit personenbezogener Daten beeinträchtigen. Unternehmen sind nach Art. 5 Abs. 1 lit. f sowie Art. 32 DSGVO verpflichtet, ein angemessenes Sicherheitsniveau für die Verarbeitung personenbezogener Daten sicherzustellen. Welche technischen und organisatorischen Maßnahmen erforderlich sind, richtet sich insbesondere nach den konkreten Risiken, dem Stand der Technik sowie Art und Umfang der Datenverarbeitung.

Die zunehmende Qualität KI-generierter Phishing-Angriffe macht deutlich, dass klassische Mitarbeiterschulungen und einfache Hinweise auf verdächtige E-Mails nicht mehr ausreichen können. Unternehmen sollten deshalb insbesondere Mehrfaktor-Authentifizierung, wirksame Berechtigungskonzepte, regelmäßige Sicherheitsüberprüfungen und praxisorientierte Schulungen in ihre Sicherheitskonzepte aufnehmen.

Ein weiterer wesentlicher Punkt ist der Einsatz von KI-Systemen. Wenn Anwendungen vertrauliche Informationen offenlegen oder Beschäftigte personenbezogene Daten unkontrolliert in externe KI-Dienste eingeben, können datenschutzrechtliche Verstöße entstehen. Hier sind insbesondere die Rechtsgrundlagen der Verarbeitung, mögliche Auftragsverarbeitungsverträge, Datenübermittlungen in Drittstaaten und gegebenenfalls die Erforderlichkeit einer Datenschutz-Folgenabschätzung zu prüfen. Gerade die im Lagebild angesprochene Abhängigkeit von außereuropäischen Softwareanbietern verdient dabei Aufmerksamkeit. Allerdings ist die Nutzung eines nicht-europäischen Anbieters nicht automatisch datenschutzwidrig.

Besonders relevant sind außerdem Ransomware-Angriffe. Werden personenbezogene Daten verschlüsselt, gelöscht oder entwendet, kann eine Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO vorliegen. In solchen Fällen müssen Unternehmen die Meldepflicht nach Art. 33 DSGVO prüfen. Eine Meldung an die zuständige Datenschutzaufsichtsbehörde muss bei Vorliegen der gesetzlichen Voraussetzungen grundsätzlich möglichst binnen 72 Stunden nach Bekanntwerden erfolgen. Bei einem voraussichtlich hohen Risiko für die Rechte und Freiheiten der Betroffenen kann darüber hinaus deren Benachrichtigung nach Art. 34 DSGVO erforderlich sein.

Auch die seit dem 6. Dezember 2025 geltenden deutschen NIS2-Umsetzungsvorschriften gewinnen in diesem Zusammenhang an Bedeutung. Für die von ihnen erfassten Einrichtungen bestehen zusätzliche gesetzliche Pflichten zur Informationssicherheit, zum Risikomanagement und zur Meldung erheblicher Sicherheitsvorfälle. Die Meldepflichten nach dem BSI-Gesetz und der DSGVO sind dabei gesondert zu prüfen.

Das Lagebild zeigt aus unserer Sicht vor allem, dass Datenschutz-Compliance ohne ein funktionierendes Informationssicherheitsmanagement kaum noch möglich ist. Verantwortliche sollten bestehende Sicherheitskonzepte regelmäßig überprüfen und dokumentieren, Beschäftigte auf neue Angriffsmethoden vorbereiten und organisatorisch sicherstellen, dass Datenschutzverletzungen frühzeitig erkannt und rechtlich bewertet werden.

Gerade für kleinere Unternehmen dürfte es dabei entscheidend sein, nicht ausschließlich in technische Sicherheitsprodukte oder teure Berater zu investieren, sondern klare Zuständigkeiten, wirksame Prozesse und nachvollziehbare Kontrollmechanismen zu etablieren.