Jedes deutsche Unternehmen wird im Schnitt 1.345 Mal pro Woche digital angegriffen. Elf Prozent mehr als vor einem Jahr. Die Frage, ob ein Angriff kommt, stellt sich eigentlich nicht mehr. Eher: Übersteht mein Betrieb das?
Drei Entwicklungen, die 2026 alles verändert haben
1. NIS-2 ist da. Und trifft mehr Unternehmen als gedacht.
Seit Dezember 2025 gilt das NIS-2-Umsetzungsgesetz. Die Frist zur Registrierung beim BSI? Am 6. März 2026 abgelaufen. Rund 29.500 Unternehmen in 18 Sektoren sind betroffen, sechsmal mehr als vorher. Wer ab 50 Mitarbeitende beschäftigt und mindestens 10 Millionen Euro Umsatz macht, sollte genau hinschauen. Vor allem in Branchen wie Energie, Transport, Gesundheit oder produzierendes Gewerbe.
Heißt konkret: Geschäftsführer haften persönlich. Vorfälle müssen innerhalb von 24 Stunden gemeldet werden. Und wer die Pflichten ignoriert, riskiert Bußgelder bis zu 10 Millionen Euro.
Auch wer knapp unter den Schwellenwerten liegt, ist nicht automatisch raus. Die Anforderungen an Lieferketten-Sicherheit betreffen indirekt auch Zulieferer und Dienstleister, die für NIS-2-regulierte Unternehmen arbeiten.
2. KI macht Angriffe billig. Und erschreckend glaubwürdig.
346 dokumentierte KI-Vorfälle zählten Sicherheitsforscher 2025. Davon 179 Deepfake-Attacken. Was das in der Praxis bedeutet:
Phishing-Mails klingen nicht mehr holprig. Kein gebrochenes Deutsch, keine offensichtlichen Fehler. KI-generierte Betrugsmails sind sprachlich und optisch kaum noch von echten Nachrichten zu unterscheiden.
Stimmen lassen sich klonen. Kriminelle erzeugen per KI die Stimme des Geschäftsführers und rufen direkt in der Buchhaltung an. Experten gehen davon aus, dass diese Methode 2026 deutlich zunimmt.
Ransomware gibt es als Abo. Fertige Schadsoftware wird als Service verkauft, inklusive Affiliate-Programm und Support. Was früher hochspezialisierte Hacker brauchte, kann heute ein Laie mit dem richtigen Tool starten. Das klingt übertrieben, ist es aber nicht.
3. Die Schadenkosten explodieren
Im Schnitt kostet ein Cyberangriff jetzt 48 Prozent mehr als noch 2023. Bei Unternehmen unter zehn Mitarbeitenden liegt der Durchschnitt bei 54.000 Euro. Zwischen 50 und 250 Mitarbeitenden sind es schon 152.000 Euro.
Die Dunkelziffer ist hoch. Im Februar 2026 allein wurden 17 Ransomware-Angriffe auf deutsche Unternehmen dokumentiert. Metallverarbeiter, Logistiker, Lebensmittelproduzenten. Die meisten Namen kennt niemand.
Die großen Fälle schon eher: Im Februar legte ein DDoS-Angriff die Buchungssysteme der Deutschen Bahn lahm. Am Flughafen BER führte Ransomware über einen IT-Dienstleister zum Betriebsstillstand. Und beim Centro in Oberhausen wurden im März Kundendaten gestohlen, inklusive Kfz-Kennzeichen und Geburtsdaten.
Nicht Ransomware ist das größte Problem
Das überrascht viele: Der häufigste Angriffstyp bei KMU ist gar nicht Ransomware, sondern Business Email Compromise. 70 Prozent aller Sicherheitsvorfälle bei kleinen und mittleren Unternehmen fallen in diese Kategorie. Gefälschte E-Mails, manipulierte Rechnungen, übernommene Postfächer. Laut FBI verursacht BEC 64-mal höhere Schäden als Ransomware.
Der Ablauf ist fast immer gleich. Ein Mitarbeiter klickt. Minuten später haben Angreifer Zugriff. Ohne professionelle Überwachung bleiben sie dann im Schnitt 24 Tage unentdeckt im System. Mit Managed Detection and Response? Unter 24 Minuten.
Was Sie jetzt tun können
Dafür brauchen Sie keinen IT-Experten. Fünf Punkte, die das BSI mittelständischen Unternehmen empfiehlt:
- Updates sofort einspielen. Fehlende Patches sind nach wie vor das Haupteinfallstor. Jeder Tag Verzögerung ist ein Tag mit offener Tür.
- Multi-Faktor-Authentifizierung für alle Zugänge. Nicht nur E-Mail. Am besten mit Passkeys oder FIDO2-Token.
- Backups offline speichern und regelmäßig testen. Wenn Angreifer auch die Sicherungskopien verschlüsseln, hilft die beste Backup-Strategie nichts. Testen Sie die Wiederherstellung. Wirklich.
- Mitarbeiter schulen. Aber bitte ohne Angstkultur. Wer einen verdächtigen Link meldet, darf dafür nicht bestraft werden. Sonst meldet beim nächsten Mal niemand.
- Notfallplan bereithalten. Wer ruft wen an? Geräte vom Netz trennen, nicht ausschalten (Forensik braucht die Daten). Logbuch führen. Und: kein Lösegeld zahlen.
Wie eine Cyberversicherung heute funktioniert
Prävention senkt das Risiko. Hundertprozentigen Schutz gibt es trotzdem nicht. Genau dafür gibt es die Cyberversicherung: als finanzielles Sicherheitsnetz, wenn ein Angriff trotz aller Maßnahmen durchkommt.
Der Abschluss ist seit 2026 einfacher geworden. Wer das Cyber Security Modul wählt, muss keinen Risikofragebogen mehr ausfüllen. Gilt für Unternehmen bis 20 Millionen Euro Umsatz. Stattdessen gibt es einen jährlichen Sicherheits-Basischeck durch Perseus Technologies. Fällt der positiv aus, verzichtet HDI im Schadenfall auf die Prüfung von Obliegenheitsverletzungen. Das ist im Ernstfall ein erheblicher Vorteil.
Und es lohnt sich doppelt: Mitarbeiterschulungen senken den Selbstbehalt um 25 Prozent. Wer zusätzlich den Sicherheitscheck besteht, um bis zu 75 Prozent. Weniger Risiko, niedrigere Kosten. Klingt nach einem guten Deal.
Abwarten ist die teuerste Option
NIS-2, KI-gestützte Angriffe, steigende Schadenkosten. Die Lage hat sich 2026 nochmals verschärft. Wer jetzt handelt, schützt nicht nur seine IT. Sondern seine Existenz.
Sie wollen wissen, wo Ihr Unternehmen steht? Vereinbaren Sie einen kostenlosen Beratungstermin. Vor Ort in Coburg, Sonneberg oder Neustadt, telefonisch oder per Video.