Bilanz 2026: Das BKA registrierte 2025 rund 335.000 Cybercrime-Fälle — die Bitkom-Studie Wirtschaftsschutz schätzt die Schäden durch Datendiebstahl, Industriespionage und Sabotage für 2026 auf 211 bis 270,8 Mrd. €.
Die Bilanz 2025/2026: Was die Zahlen zeigen
Im Bundeslagebild Cybercrime 2025 weist das BKA für das Berichtsjahr 2025 rund 335.000 registrierte Fälle von Cybercrime im engeren Sinne aus. Einen Vergleichswert zum Vorjahr nennt die Pressemitteilung nicht — die Zahl bleibt damit auf dem hohen Niveau der Vorjahre. Auffällig ist die internationale Dimension: Etwa zwei Drittel der Taten (207.888) wurden aus dem Ausland oder von unbekannten Tatorten aus begangen. Für Unternehmen bedeutet das: Täter und Opfer sitzen selten im selben Land, Ermittlungen sind langwierig, und auf eine schnelle Aufklärung durch die Strafverfolgung sollte sich niemand verlassen.
Hinzu kommt die Dunkelziffer: Nicht jeder Vorfall wird angezeigt — aus Sorge um die Reputation, weil der Schaden gering erscheint oder weil der Einbruch gar nicht entdeckt wird. Die registrierten Fälle sind daher als Untergrenze zu lesen. Die Botschaft des Lagebilds ist trotzdem eindeutig: Cybercrime ist kein Randphänomen mehr, sondern ein Massenphänomen, das längst auch kleine und mittlere Unternehmen trifft.
Neben der Gesamtzahl nennt das Lagebild zwei Teilbilder, die für Unternehmen besonders relevant sind: Die Überlastungsangriffe, sogenannte DDoS, stiegen 2025 um 25 Prozent auf 36.706 Fälle — eine Angriffsform, die Websites und Dienste lahmlegt und in den vergangenen Jahren auch von Hacktivisten eingesetzt wurde. Und die Ransomware-Zahlen steigen weiter, obwohl immer weniger Betroffene zahlen. Beides zusammen zeigt: Die Belastung nimmt nicht ab — sie verlagert sich in genau die Szenarien, die für den Betrieb unmittelbar schmerzhaft sind.
Was es kostet: Schäden in Milliardenhöhe
Die Bitkom-Studie Wirtschaftsschutz 2026 beziffert die Schäden durch Datendiebstahl, Industriespionage und Sabotage für das Jahr 2026 erstmals als Korridor: auf 211 bis 270,8 Mrd. €. Die Spanne ist das Ergebnis eines geänderten Erhebungsdesigns — ein direkter Vergleich mit der Gesamtsumme der Vorjahresstudie ist daher nicht möglich. Die Studie adressiert die deutsche Wirtschaft insgesamt; bei diesen Angriffsformen laufen die Grenzen zwischen Großkonzernen und Mittelstand zudem zunehmend über Lieferketten.
Für die Schäden durch Cyberangriffe nennt die Studie für das Vorjahr 202,4 Mrd. € — eine Bitkom-Schätzung, die auch im BKA-Lagebild zitiert wird und rund 4,5 % des Bruttoinlandsprodukts entspricht. Sie ist ausdrücklich nicht als BKA-eigene Erhebung zu lesen; für 2026 weist Bitkom den Cyberangriff-Anteil separat aus.
Zur Betroffenheit: 96 Prozent der Unternehmen sind betroffen oder haben zumindest den entsprechenden Verdacht — bezogen auf Datendiebstahl, Industriespionage oder Sabotage. 67 Prozent konnten einen erfolgreichen Angriff mit Sicherheit feststellen; im Vorjahr waren es 87 Prozent (Bitkom 2025, gleiche Fragestellung). Grundlage ist eine repräsentative Befragung von 1.003 Unternehmen ab zehn Beschäftigten — die Werte sind also Umfrage-Schätzungen, keine amtliche Statistik.
Ransomware: Weiter die größte Bedrohung
Ransomware bleibt die kostenintensivste Angriffsform. Das BKA zählt für 2025 1.041 angezeigte Ransomware-Angriffe — ein Anstieg um zehn Prozent gegenüber dem Vorjahr. Die gemeldeten Lösegeldzahlungen summieren sich auf rund 15,5 Mio. US-Dollar; gleichzeitig zahlen laut BKA immer weniger Betroffene, was auf eine höhere Resilienz vieler Unternehmen hindeutet — die durchschnittlichen Lösegeldzahlungen sind zugleich deutlich gestiegen. Technik, Ablauf und Entscheidungshilfen bei Erpressung fasst unser Artikel Ransomware 2026 zusammen.
Wichtig für die Einordnung: Die Leak-Site-Statistik von ransomware.live misst eine völlig andere Größe. Die Seite verzeichnet Opfer, deren Daten die Täter auf ihren Leak-Sites veröffentlicht haben — für Deutschland rund 327 Opfer in 2025 und 359 in den ersten neun Monaten 2026 (Stand: 01.10.2026; die Zahlen werden dynamisch nachgeführt und können sich ändern, kumuliert weist die Seite 1.112 Opfer seit 2023 aus). Viele Angriffe werden nie geleakt — weil Lösegeld gezahlt oder auf eine Veröffentlichung verzichtet wird — und erscheinen in dieser Statistik nicht. Leak-Site-Opfer und polizeiliche Anzeigen (1.041) dürfen daher nicht gegeneinander gerechnet werden.
Der am stärksten betroffene Sektor ist durchgängig das Verarbeitende Gewerbe (Manufacturing); zu den aktivsten Gruppen gegen deutsche Unternehmen zählen 2026 unter anderem Safepay, Qilin und Akira. Weil Ransomware fast immer über kompromittierte Zugänge oder gestohlene Credentials beginnt, lohnt auch ein Blick auf unseren Artikel Phishing 2026. Für betroffene Unternehmen zählt am Ende weniger, welcher Gruppe ein Angriff entstammt — sondern dass die Reaktion aus Isolieren, Wiederherstellen und Melden geübt ist.
Die Angriffsfläche wächst
Das BSI meldet in seinem Monatsbericht zur IT-Sicherheitslage einen deutlichen Sprung bei bekannten Schwachstellen: von 10.803 im ersten auf 17.539 im zweiten Quartal 2026 — Quartalswerte auf Basis weltweiter NIST-Rohdaten. Als Treiber gilt unter anderem das KI-gestützte Auffinden neuer Schwachstellen. Die Lage bei bekannt gewordenen Schwachstellen bewertet das BSI als „durchschnittlich bedrohlich“ — und für Unternehmen wächst damit die Lücke zwischen gefundenen und gepatchten Lücken strukturell.
Für die Praxis heißt das: Die Zeitspanne zwischen der Veröffentlichung einer Schwachstelle und ihrer massenhaften Ausnutzung schrumpft. Wer Patches nur in großen Abständen nachzieht, verliert bei schnell ausgenutzten Lücken den Wettlauf — ein Priorisierungsprozess, der nach Ausnutzbarkeit und Exposition sortiert, ist damit wichtiger als je zuvor.
Auch die Schadsoftware-Seite bewegt sich auf hohem Niveau: Im BSI-Lagebericht 2025 (Berichtszeitraum 01.07.2024–30.06.2025) wurden täglich rund 280.000 neue Schadprogramm-Varianten bekannt — rund neun Prozent weniger als im Vorjahreszeitraum mit rund 309.000. Der Rückgang ändert nichts am Kernproblem: Signaturen allein können dieses Volumen nicht mehr abdecken. Laut Check Point stiegen die wöchentlichen Angriffe auf deutsche Unternehmen im August 2026 zudem um 53 Prozent auf 1.834 — Herstellerdaten aus eigener Telemetrie, keine unabhängige Erhebung, aber ein Hinweis darauf, wohin die Reise geht.
NIS2: Die Schonfrist ist vorbei
Mit der NIS2-Umsetzung gelten in Deutschland erstmals gesetzliche Cybersicherheitspflichten für rund 29.500 „besonders wichtige“ und „wichtige“ Einrichtungen, wie das BSI ausweist. Die reguläre Registrierungsfrist lief am 06.03.2026 aus (laut heise-Berichterstattung und IHK; auf der BSI-Seite selbst ist die Drei-Monats-Frist nach erstmaliger Betroffenheit geregelt). Wegen der geringen Registrierungsquote hatte das BSI eine Nachfrist bis Ende Juli 2026 eingeräumt.
Betroffen sind nicht nur Konzerne: Die Pflichten greifen unabhängig von der Rechtsform, und für viele Zulieferer kritischer Sektoren ergibt sich die Betroffenheit über die Branchenzuordnung. Wer unsicher ist, ob die eigene Einrichtung erfasst ist, sollte die Prüfung dokumentieren — auch das ist im Ernstfall ein Entlastungsargument.
Seit August 2026 prüft das BSI nach übereinstimmender Berichterstattung von Fachmedien und Beratungsstellen aktiv — Bußgelder drohen. Für Nachzügler bleibt die Registrierung über das BSI-Portal weiterhin möglich; wer betroffen ist, sollte das nicht länger aufschieben. Die inhaltlichen Pflichten haben wir im Detail im Artikel NIS2 in Deutschland aufbereitet; wie sich Restrisiken finanziell absichern lassen, erklärt der Artikel Cyber-Versicherung.
Was KMU jetzt konkret tun
Bilanzen nützen nur, wenn sie in Maßnahmen münden. Die folgende Liste ist bewusst kurz: Sie deckt die Angriffswege ab, die in der Bilanz 2026 tatsächlich eine Rolle spielen — Ransomware über kompromittierte Zugänge, ausgenutzte Schwachstellen und Ausfallrisiken. Fünf Hebel bringen für KMU das meiste — keiner davon erfordert ein Großprojekt, aber alle erfordern Konsequenz:
- 1. Patch-Management strukturieren: Mit 17.539 neuen Schwachstellen allein im zweiten Quartal 2026 ist manuelles Patchen chancenlos. Priorisieren Sie nach Ausnutzbarkeit und Exposition — interneterreichbare Systeme und Edge-Geräte zuerst. Ein dokumentierter Patch-Management-Prozess mit festen Zyklen und einem Notfallpfad ist Pflicht.
- 2. E-Mail härten (SPF, DKIM, DMARC): Phishing bleibt mit Abstand der häufigste Angriffsweg. Setzen Sie die DNS-Einträge für SPF, DKIM und DMARC, aktivieren Sie Multi-Faktor-Authentifizierung für alle Mail-Konten und nutzen Sie die Leitlinien in unserem Artikel E-Mail-Sicherheit.
- 3. Backups nach der 3-2-1-Regel: Drei Kopien, zwei verschiedene Medien, eine davon offline. Entscheidend ist der getestete Restore — ein Backup, das noch nie wiederhergestellt wurde, ist ein Plan, kein Schutz. Prüfen Sie den Restore mindestens einmal jährlich und dokumentieren Sie das Ergebnis. Details im Artikel Backup & Recovery.
- 4. Notfallplan und Incident Response vorbereiten: Legen Sie vor dem Ernstfall fest, wer entscheidet, wer rund um die Uhr erreichbar ist und wer kommuniziert — inklusive der Kontakte zu Versicherung, Dienstleister und Behörden. Ein erster Fahrplan steht im Artikel Incident Response. Üben Sie den Ablauf einmal pro Jahr — ein ungeübter Notfallplan versagt in der Regel genau dann, wenn er gebraucht wird.
- 5. Security-Awareness aufbauen: Technik fängt Phishing nie vollständig ab. Kurze, regelmäßige Schulungen und Phishing-Simulationen senken die Klickquote nachweislich — besonders wirksam ist der Fokus auf die Betrugsmaschen, die in Ihrer Branche tatsächlich laufen. Ein Einstieg ist der Artikel Security Awareness.
Wer diese fünf Punkte abdeckt, hat die klassischen Einfallstore deutlich verengt. Das schützt nicht gegen jeden Angriff — aber es verlängert die Widerstandsdauer, verkürzt die Ausfallzeit nach einem Vorfall und ist zugleich die beste Vorbereitung auf Audits, Versicherungsfragen und die NIS2-Anforderungen.
Quellen
- BKA, Pressemitteilung „Bundeslagebild Cybercrime 2025: Deutschland im Fokus von Cyberkriminellen“, 12.05.2026: bka.de
- Bitkom, Presseinformation „Angriffe auf die deutsche Wirtschaft: Spur führt immer öfter zu ausländischen Geheimdiensten“ (Wirtschaftsschutz 2026), 26.08.2026: bitkom.org
- BSI, Monatsbericht „IT-Sicherheitslage“, Rubrik „Angriffsfläche“ (Berichtsmonat August 2026): bsi.bund.de
- BSI, Lagebericht „Die Lage der IT-Sicherheit in Deutschland 2025“: medien.bsi.bund.de
- BSI, „NIS-2-Pflichten“: bsi.bund.de
- ransomware.live, Länderstatistik Deutschland (Stand: 01.10.2026): ransomware.live
Sicherheitsbilanz verbessern — mit einem Gespräch
Die Bilanz 2026 zeigt: Wer seine IT ohne Konzept betreibt, trägt ein unnötiges Risiko. IT-ZU analysiert Ihre Angriffsfläche, härtet E-Mail und Infrastruktur, richtet getestete Backups und Notfallprozesse ein — pragmatisch, mittelstandsgerecht und aus der Rhein-Main-Region heraus.
Kostenlose Erstberatung →
