Cyberangriffe sind für deutsche Unternehmen 2026 kein Randrisiko mehr, sondern Betriebsalltag. 96 % aller Unternehmen waren zuletzt von Datendiebstahl, Industriespionage oder Sabotage betroffen oder vermuten es (Bitkom). Der Schaden liegt bei 211 bis 270,8 Milliarden Euro im Jahr, 76 % davon entfallen inzwischen auf Cyberattacken (Bitkom). Neu ist dabei weniger die Menge der Angriffe als ihre Qualität: 82 % der Unternehmen gehen davon aus, dass Angreifer verstärkt Künstliche Intelligenz einsetzen (Bitkom). Dieser Leitfaden zeigt, woran sich KI-gestützte Angriffe erkennen lassen, welche Maßnahmen die am häufigsten genannten Schadensursachen schließen und wie Sie Ihren Online-Shop und Ihr Hosting darauf ausrichten.
Die aktuelle Bedrohungslage in Zahlen
Die Zahlen des Bitkom-Wirtschaftsschutzes beruhen auf einer repräsentativen Befragung von 1.003 Unternehmen ab 10 Beschäftigten in Deutschland (Bitkom). 96 % von ihnen waren von Datendiebstahl, Industriespionage oder Sabotage betroffen oder vermuten es. 63 % haben in den vergangenen zwölf Monaten eine Zunahme von Cyberangriffen registriert, 69 % erwarten eine weitere Zunahme in den kommenden zwölf Monaten – kein einziges befragtes Unternehmen rechnet mit einem Rückgang (Bitkom).
Der Schaden durch Datendiebstahl, Industriespionage oder Sabotage liegt bei 211 bis 270,8 Milliarden Euro im Jahr (Bitkom). 76 % davon gehen auf Cyberattacken zurück, das sind 160,4 bis 205,8 Milliarden Euro (Bitkom). Parallel wächst die Angriffsfläche: Weltweit wurden zuletzt täglich durchschnittlich 119 neue Schwachstellen in IT-Systemen bekannt, rund 24 % mehr als im vorangegangenen Berichtszeitraum (BSI).
Rund 80 % der angezeigten Angriffe richteten sich gegen kleine und mittlere Unternehmen (BSI). Bei kleinen und mittleren Unternehmen führen 26 % der bekannten Einstiegswege über eine ausgenutzte Schwachstelle (Verizon). Und 58 % aller befragten Unternehmen haben in den vergangenen zwölf Monaten tatsächlich einen Schaden durch Cyberangriffe erlitten (Bitkom).
Wie Angreifer KI als Waffe einsetzen
82 % der Unternehmen gehen davon aus, dass Angreifer verstärkt Künstliche Intelligenz einsetzen. Sicher sind sich dessen allerdings nur 31 %, 51 % vermuten den Einsatz lediglich (Bitkom). Festmachen lässt sich der Verdacht vor allem an zwei Beobachtungen: an der automatisierten Anpassung von Angriffsversuchen (53 %) und an der hohen Qualität gefälschter Audio- und Videoaufnahmen (48 %, Bitkom).
KI-generiertes Phishing
Die Zeit holpriger Betrugsmails ist vorbei. 38 % der Unternehmen erkennen den KI-Einsatz an der hohen Qualität von Textnachrichten und Mails, 28 % an stark personalisierten Inhalten (Bitkom). Dass der Weg über das Postfach führt, zeigen zwei unabhängige Erhebungen: Rund 60 % der Vorfälle mit bestimmbarem Eindringvektor gingen auf Phishing einschließlich Vishing, Malspam und Malvertising zurück (ENISA), und in den Regierungsnetzen waren durchschnittlich 73 % aller Spam-Mails Cyberangriffe; unter den betrügerischen Mails machte Phishing 93 % aus (BSI).
Deepfakes und Voice Cloning
Gefälschte Stimmen und Videos sind aus der Machbarkeitsstudie in die Schadensstatistik gewandert. Schäden durch automatisierte Robo Calls sprangen von 3 auf 14 %, durch Deepfakes von 4 auf 8 % (Bitkom). Das Niveau ist niedrig, die Richtung eindeutig – und sie deckt sich damit, dass 48 % der Unternehmen den KI-Einsatz an der hohen Qualität gefälschter Audio- und Videoaufnahmen festmachen (Bitkom). Für Freigabeprozesse heißt das: Eine bekannte Stimme am Telefon ist kein Berechtigungsnachweis.
Automatisierte Angriffsketten
Angriffsketten laufen zunehmend ohne Handarbeit. Die automatisierte Anpassung von Angriffsversuchen ist mit 53 % das am häufigsten genannte Merkmal, an dem Unternehmen den KI-Einsatz festmachen (Bitkom). Wie groß die Grundlast dabei ist, zeigt der Blick auf die Netze: Im Berichtszeitraum meldete das BSI täglich rund 40.000 infizierte Systeme an die deutschen Netzbetreiber (BSI). Ein Angriff, der sich im laufenden Versuch an die Abwehr anpasst, trifft damit auf eine Infrastruktur, in der ohnehin dauerhaft kompromittierte Rechner mitlaufen.
| Merkmal | Traditioneller Angriff | KI-gestützter Angriff |
|---|---|---|
| Textqualität in Betrugsmails | Oft fehlerhaft, erkennbare Muster | Sprachlich sauber und kontextbezogen |
| Personalisierung | Massenversand mit Platzhaltern | Auf Person, Rolle und Anlass zugeschnitten |
| Erstellung von Schadsoftware | Handarbeit, Fachwissen nötig | Werkzeuggestützt, niedrigere Einstiegshürde |
| Anpassung an die Abwehr | Nachträglich durch den Angreifer | Automatisiert im laufenden Versuch |
| Gefälschte Audio- und Videoinhalte | Aufwendig, selten überzeugend | Schnell erzeugt, schwer zu prüfen |
| Angriffsfrequenz | Durch Handarbeit begrenzt | Skaliert mit der verfügbaren Rechenleistung |
| Erkennbarkeit für Beschäftigte | Häufig an Oberflächenmerkmalen erkennbar | Kaum an Oberflächenmerkmalen erkennbar |
Deutschland im Fokus: Bitkom- und BSI-Daten
Die Täterseite verschiebt sich. 37 % der betroffenen Unternehmen konnten mindestens einen Angriff einem fremden Nachrichtendienst zuordnen (Bitkom). Bei den Schadensarten steht Ransomware weiter vorn: Bei 25 % aller Unternehmen haben Angreifer Daten verschlüsselt und wollten sie nur gegen Lösegeld freigeben – nach 34 % im Vorjahr (Bitkom). Danach folgen Angriffe auf Passwörter mit 18 % und Phishing mit 16 % (Bitkom).
Beim Geld klafft die Lücke weiter: Der Anteil der IT-Sicherheit am gesamten IT-Budget stagniert bei 18 %, empfohlen werden von BSI und Bitkom 20 % (Bitkom). Gleichzeitig wurden weltweit täglich durchschnittlich 119 neue Schwachstellen bekannt, rund 24 % mehr als im Berichtszeitraum davor (BSI). Wer die Sicherheitsquote nicht anhebt, verteilt ein gleich großes Budget auf eine wachsende Angriffsfläche.
Praktische Schutzmaßnahmen für Unternehmen
Typische Schadensursachen sind keine exotischen Angriffe, sondern blinde Flecken im eigenen Betrieb. Geschädigte Unternehmen nennen an erster Stelle die unzureichende Erkennung von Sicherheitsvorfällen (59 %), danach Fehlkonfigurationen von IT-Systemen (57 %) und ein unzureichendes Identitäts- und Zugriffsmanagement (55 %, Bitkom). Genau an diesen drei Punkten setzen die folgenden Maßnahmen an.
Mehrfaktor-Anmeldung
Die Mehrfaktor-Anmeldung blockiert nach Herstellerangabe über 99,9 % der Angriffe auf Konten (Microsoft). Beginnen Sie bei Administratoren, Zahlungsfreigaben und Fernzugängen.
Angriffserkennung
59 % der geschädigten Unternehmen nennen die unzureichende Erkennung von Sicherheitsvorfällen als wichtigsten Schadensgrund (Bitkom). Zentrale Protokollierung mit klarer Alarmzuständigkeit schließt diese Lücke.
Identitäts- und Zugriffsmanagement
Ein unzureichendes Identitäts- und Zugriffsmanagement steht bei 55 % der geschädigten Unternehmen unter den Schadensursachen (Bitkom). Rollen trennen, Rechte entziehen, Dienstkonten inventarisieren.
Saubere Konfiguration
Fehlkonfigurationen von IT-Systemen nennen 57 % der geschädigten Unternehmen (Bitkom). Standardpasswörter, offene Verwaltungszugänge und ungenutzte Dienste gehören in eine wiederkehrende Prüfung.
Patch- und Änderungsmanagement
Das BSI verlangt im Baustein OPS.1.1.3, Patches zeitnah nach Veröffentlichung zu bewerten, zu priorisieren und einzuspielen (BSI). Eine feste Stundenzahl nennt es nicht – entscheidend ist ein dokumentierter Ablauf.
E-Mail-Authentifizierung
Das BSI erkennt bei DMARC nur quarantine oder reject als schützende Empfängerrichtlinie an (BSI). Mit SPF, DKIM und einer durchgesetzten Richtlinie wird Ihre Domain für Betrugsmails schwerer nutzbar.
Zero Trust und KI-Abwehr im Detail
Zero Trust heißt: Kein Zugang gilt als vertrauenswürdig, nur weil er aus dem eigenen Netz kommt. Das zielt direkt auf die Lücke, die 55 % der geschädigten Unternehmen als Schadensursache benennen – ein unzureichendes Identitäts- und Zugriffsmanagement (Bitkom). Technische Grundlage ist die Mehrfaktor-Anmeldung, die nach Herstellerangabe über 99,9 % der Angriffe auf Konten blockiert (Microsoft). In der Breite ist sie noch nicht angekommen: Laut Cybersicherheitsmonitor nutzen 40 % der Befragten die Zwei-Faktor-Anmeldung (BSI und Polizeiliche Kriminalprävention).
Erkennen kommt vor Abwehren. Wichtigste technische Erkenntnisquelle bleibt die Analyse von Log-Dateien (68 %, Bitkom). Was das wert ist, zeigt eine Auswertung von Datenlecks: Entdeckte das eigene Team den Vorfall, verkürzte sich dessen Verlauf um 61 Tage und sparte knapp 1 Million USD gegenüber Fällen, die erst der Angreifer offenlegte (IBM).
Beginnen Sie mit der Mehrfaktor-Anmeldung für Administratoren, Zahlungsfreigaben und Fernzugänge. Richten Sie danach eine zentrale Protokollierung mit klarer Alarmzuständigkeit ein. Setzen Sie als Drittes SPF, DKIM und eine durchgesetzte DMARC-Richtlinie für Ihre Domains. Alle drei Schritte greifen die Ursachen auf, die geschädigte Unternehmen am häufigsten nennen – und keiner davon braucht ein mehrjähriges Projekt.
Mitarbeiterschulung richtig ansetzen
Schulung wirkt, ist aber nicht der Hebel, für den sie oft gehalten wird: Nur 18 % der Unternehmen führen erfolgreiche Cyberangriffe auf ein unzureichendes Sicherheitsbewusstsein der Beschäftigten zurück (Bitkom). Trotzdem bleibt der Mensch der Einstiegspunkt – rund 60 % der Vorfälle mit bestimmbarem Eindringvektor gingen auf Phishing einschließlich Vishing und Malvertising zurück (ENISA).
Wirksam ist Schulung dort, wo sie an den beobachteten Angriffsmerkmalen ansetzt: an der hohen Qualität von Textnachrichten und Mails (38 %), an stark personalisierten Inhalten (28 %) und an überzeugend gefälschten Audio- und Videoaufnahmen (48 %, Bitkom). Statt allgemeiner Warnungen braucht es feste Rückrufwege für Zahlungsfreigaben und Übungen mit echtem Kontext. Solche Abläufe richten wir im Rahmen unserer E-Commerce-Beratung mit ein.
Incident Response und Notfallplanung
Vorbereitung und Selbsteinschätzung fallen auseinander: Nur 43 % der Unternehmen sehen sich sehr gut auf Cyberangriffe vorbereitet, gleichzeitig sinkt der Anteil derer, die ihre geschäftliche Existenz durch eine erfolgreiche Cyberattacke bedroht sehen, auf 45 % (Bitkom). Dass der Ernstfall den Betrieb trifft, ist gut belegt: 70 % der Organisationen mit einem Datenleck berichteten von einer erheblichen Störung des Betriebs (IBM).
Ein Notfallplan muss zwei Uhren gleichzeitig bedienen. Die erste ist die Meldepflicht: Eine Verletzung des Schutzes personenbezogener Daten ist unverzüglich und möglichst binnen 72 Stunden an die Aufsichtsbehörde zu melden (Art. 33 DSGVO). Die zweite ist die Entdeckung: Fand das eigene Team den Vorfall, verkürzte sich dessen Verlauf um 61 Tage (IBM). Die weltweiten Durchschnittskosten einer Datenpanne liegen bei 4,99 Mio. USD, 12 % mehr als im Vorjahr (IBM). Welche personenbezogenen Daten betroffen sind, klärt sich nur mit einem gepflegten Verzeichnis – siehe unsere Hinweise zum Datenschutz.
Backup-Strategien gegen Ransomware
Ransomware bleibt eine Schadensart mit großer Reichweite: Bei 25 % aller Unternehmen haben Angreifer Daten verschlüsselt und wollten sie nur gegen Lösegeld freigeben (Bitkom). Der Rückgang von 34 % im Vorjahr zeigt, dass Vorsorge wirkt – ein Grund, die Sicherungsstrategie zurückzufahren, ist er nicht.
Die zweite Erpressungsstufe macht Sicherungen allein unzureichend: Von den erfassten Eindringvorfällen führten 68,6 % zu Datenabflüssen, die in Untergrundforen zum Verkauf angeboten wurden (ENISA). Wer nur wiederherstellen kann, hat den Vorfall technisch überstanden und rechtlich noch vor sich.
Bei einer Verletzung des Schutzes personenbezogener Daten läuft die Frist ab Kenntnisnahme: unverzüglich und möglichst binnen 72 Stunden an die Aufsichtsbehörde (Art. 33 DSGVO). Wer die Zuständigkeiten erst im Ernstfall klärt, verliert genau die Zeit, die für Eindämmung und Beweissicherung gebraucht wird. Halten Sie Meldewege, Ansprechpartner und Vorlagen bereit und verzahnen Sie sie mit Ihren Datenschutzhinweisen und Ihrem E-Commerce-Betrieb.
KI gegen KI: Die Zukunft der Cyberabwehr
Die Richtung ist gesetzt: 69 % der Unternehmen erwarten in den kommenden zwölf Monaten mehr Cyberangriffe, kein einziges rechnet mit einem Rückgang (Bitkom). Die Antwort darauf ist keine einzelne Technik, sondern eine belastbare Erkennungskette – wichtigste technische Erkenntnisquelle bleibt die Analyse von Log-Dateien (68 %, Bitkom). Wie sich Protokolle, Zugriffe und Sicherungen im Betrieb verzahnen, beschreiben wir in unseren Beiträgen zu Zero Trust im Online-Shop und Backup und Disaster Recovery.
- Verhaltensbasierte Analyse: Normalprofile für Nutzer, Systeme und Schnittstellen bilden und Abweichungen automatisch melden, statt nur auf bekannte Signaturen zu warten
- Vorsortierte Alarme: Sicherheitsmeldungen automatisch anreichern und bündeln, damit die knappe Analysezeit auf die belastbaren Fälle entfällt
- Vorbereitete Reaktion: Eindämmungsschritte vorab festlegen und technisch hinterlegen – die Freigabe für kritische Eingriffe bleibt beim Menschen
- Gepflegte Datenbasis: Protokolle vollständig, zeitsynchron und ausreichend lange vorhalten, sonst hat auch das beste Modell nichts zu bewerten
Für Online-Shops kommt ein eigener Risikoschwerpunkt dazu: Im Einzelhandel führen 42 % der bekannten Einstiegswege über eine ausgenutzte Schwachstelle (Verizon). Das trifft genau die Schicht, die wir betreuen – Shopsystem, Erweiterungen und angebundene Systeme. Wie sich Aktualisierungen planbar halten lassen, zeigen unsere Leistungen rund um die Shopware-Agentur, das Hosting und die Schnittstellen.
So könnte Ihr sicherer Online-Auftritt aussehen:
Maschinenbau-Unternehmen
Rechtsanwaltskanzlei
Workflow-Plattform
Häufig gestellte Fragen
Hoch. 96 % aller Unternehmen in Deutschland waren zuletzt von Datendiebstahl, Industriespionage oder Sabotage betroffen oder vermuten es, 63 % haben in den vergangenen zwölf Monaten eine Zunahme von Cyberangriffen registriert (Bitkom). 82 % gehen davon aus, dass Angreifer verstärkt Künstliche Intelligenz einsetzen (Bitkom). Für die Planung heißt das: Die Frage ist nicht, ob ein Versuch kommt, sondern ob er erkannt wird.
Die Mehrfaktor-Anmeldung. Sie blockiert nach Herstellerangabe über 99,9 % der Angriffe auf Konten (Microsoft) und adressiert zugleich die Schwachstelle, die 55 % der geschädigten Unternehmen als Schadensursache nennen – ein unzureichendes Identitäts- und Zugriffsmanagement (Bitkom). Beginnen Sie bei Administratoren, Zahlungsfreigaben und Fernzugängen, danach bei allen übrigen Konten.
Eine belastbare Zahl für den Einzelfall gibt es nicht, weil Ausfalldauer, Branche und Datenumfang stark streuen. Zur Einordnung: Die weltweiten Durchschnittskosten einer Datenpanne liegen bei 4,99 Mio. USD und damit 12 % über dem Vorjahr (IBM). In Deutschland summieren sich die Schäden durch Cyberattacken auf 160,4 bis 205,8 Milliarden Euro im Jahr (Bitkom).
Sie sind schwerer zu erkennen. 38 % der Unternehmen machen den KI-Einsatz an der hohen Qualität von Textnachrichten und Mails fest, 28 % an stark personalisierten Inhalten (Bitkom). Damit fallen genau die Merkmale weg, auf die Schulungen früher abgestellt haben. Der Weg über das Postfach bleibt dominant: Rund 60 % der Vorfälle mit bestimmbarem Eindringvektor gingen auf Phishing zurück (ENISA).
Zero Trust prüft jeden Zugriff einzeln, unabhängig davon, ob er von innerhalb oder außerhalb des Netzes kommt. Das setzt an den beiden meistgenannten Schadensursachen an: der unzureichenden Erkennung von Sicherheitsvorfällen (59 %) und einem unzureichenden Identitäts- und Zugriffsmanagement (55 %, Bitkom). Sprechen Sie uns an, wenn Sie den Einstieg planen.
Sie bleiben notwendig, genügen aber nicht allein. Bei 25 % aller Unternehmen haben Angreifer Daten verschlüsselt und nur gegen Lösegeld freigeben wollen, nach 34 % im Vorjahr (Bitkom). Parallel führten 68,6 % der erfassten Eindringvorfälle zu Datenabflüssen, die in Untergrundforen angeboten wurden (ENISA). Gegen Veröffentlichung hilft keine Wiederherstellung, sondern nur Verhinderung des Abflusses.
Dieser Beitrag stützt sich auf den Bitkom Wirtschaftsschutz 2026, den BSI-Lagebericht zur IT-Sicherheit in Deutschland 2025, den Cybersicherheitsmonitor 2026 von BSI und Polizeilicher Kriminalprävention, die ENISA Threat Landscape 2025, den Verizon Data Breach Investigations Report 2026 und den IBM Cost of a Data Breach Report 2026. Jede genannte Zahl ist mit Quelle, Erhebungsstand und Fundstelle hinterlegt. Erhebungszeiträume und Grundgesamtheiten unterscheiden sich, ein direkter Vergleich einzelner Werte ist daher nur eingeschränkt möglich.