Ich habe 11 aktuelle Cybersecurity-Studien gelesen. Eine Erkenntnis zieht sich durch fast alle.
In den vergangenen Wochen habe ich mich durch aktuelle Cybersecurity-Reports von CrowdStrike, Deloitte, ENISA, Microsoft, Schwarz Digits, Verizon und der GTIA gearbeitet. Weit über tausend Seiten über künstliche Intelligenz, Ransomware, Identitäten, Zero Trust, Lieferketten und neue Angriffsmethoden.
Eigentlich wollte ich eine technische Frage beantworten: Welche Technologie wird die Cybersicherheit der nächsten Jahre bestimmen?
KI? Neue Security-Plattformen? Zero Trust? Vielleicht sogar Quantencomputing?
Nach den ersten Reports hätte ich auf KI getippt. Nach dem letzten war meine Antwort eine andere.
Die entscheidende Frage lautet nicht, welche Technologie als Nächstes kommt. Sie lautet: Wie gut ist ein Unternehmen aufgestellt, wenn trotz aller Technik etwas schiefgeht?
Die Angriffe werden schneller. Die entscheidenden Lücken sind oft alt.
Einige Zahlen aus den Reports sind mir besonders im Gedächtnis geblieben:
- CrowdStrike beobachtete 2025 einen Anstieg der Aktivitäten KI-gestützter Angreifer um 89 Prozent. Bei den untersuchten eCrime-Angriffen dauerte es im Durchschnitt nur noch 29 Minuten, bis Angreifer vom zuerst betroffenen System auf weitere Teile der Umgebung vordrangen. Im schnellsten dokumentierten Fall waren es 27 Sekunden.
- Laut ENISA war Phishing bei rund 60 Prozent der ausgewerteten Fälle der erste Angriffsweg. Dazu zählen auch Varianten über Telefon, manipulierte Werbung oder täuschend echte Nachrichten.
- Im österreichischen Cyber Security Report 2026 von Deloitte bewerten 86 Prozent der Unternehmen ihre Daten und IT-Systeme als sehr oder ziemlich sicher. Gleichzeitig können 66 Prozent einen mehrwöchigen Totalausfall nach einem Cyberangriff nicht ausschließen.
Diese Zahlen darf man nicht einfach zusammenrechnen. Die Studien arbeiten mit unterschiedlichen Daten, Zielgruppen und Methoden. Manche beruhen auf realen Vorfällen, andere auf Befragungen oder den Telemetriedaten eines Herstellers.
Trotzdem ergibt sich über die Reports hinweg ein auffallend ähnliches Bild: Angriffe werden schneller und professioneller. Ob daraus eine kleine Störung oder eine ernste Krise wird, entscheidet sich aber häufig an sehr grundlegenden Dingen.
Der Mensch ist nicht die Schwachstelle. Er ist das Ziel.
In der IT-Sicherheit wird gerne gesagt: „Die größte Schwachstelle sitzt vor dem Bildschirm.“
Ich halte diese Aussage inzwischen für zu einfach.
Natürlich klicken Menschen auf Links. Sie geben Zugangsdaten ein, übersehen Warnzeichen oder vergeben Rechte, die später nicht mehr entfernt werden. Angreifer wissen das und richten ihre Methoden gezielt darauf aus.
Aber wenn die Sicherheit eines Unternehmens davon abhängt, dass kein Mensch jemals einen Fehler macht, dann liegt das eigentliche Problem nicht beim Menschen. Dann ist das Sicherheitskonzept zu schwach.
Ein Mitarbeiter sollte eine ungewöhnliche Zahlungsaufforderung nicht allein beurteilen müssen. Dafür braucht es einen klaren Freigabeprozess.
Ein versehentlicher Klick sollte nicht den direkten Weg zu allen Unternehmensdaten öffnen. Dafür braucht es mehrere Schutzschichten.
Und wer eine verdächtige Nachricht meldet, sollte keine Angst haben, dafür kritisiert zu werden. Sonst erfährt die IT womöglich erst dann davon, wenn es zu spät ist.
Sicherheitskultur bedeutet deshalb nicht, Verantwortung auf Mitarbeitende abzuwälzen. Sie bedeutet, Menschen so vorzubereiten und Prozesse so zu gestalten, dass richtiges Handeln möglichst einfach wird.
KI macht Täuschung günstiger und glaubwürdiger
Vor einigen Jahren war eine Phishing-Mail oft leicht zu erkennen. Holpriges Deutsch, eine merkwürdige Anrede und ein Link, der schon beim Hinsehen verdächtig wirkte.
Diese Checkliste reicht heute nicht mehr.
Mit KI lassen sich Nachrichten in kurzer Zeit sprachlich verbessern, an bestimmte Rollen anpassen und in großer Zahl versenden. Auch gefälschte Stimmen, Bilder und Videos werden glaubwürdiger. Cyberkriminelle müssen dafür nicht jedes Detail selbst beherrschen. Sie nutzen Werkzeuge, die ihnen einen Teil der Arbeit abnehmen.
Das ändert auch die wichtigste Kontrollfrage. Es reicht nicht mehr, nur zu fragen: „Sieht diese Nachricht echt aus?“
Die bessere Frage lautet: „Passt diese Aufforderung zu unserem vereinbarten Prozess?“
Ein angeblicher Anruf des Geschäftsführers bleibt verdächtig, wenn dabei plötzlich eine bekannte Freigaberegel umgangen werden soll. Selbst dann, wenn die Stimme überzeugend klingt.
Was ich bei Sicherheitsanalysen tatsächlich finde
Wenn ich in Unternehmen eine Sicherheitsanalyse durchführe, finde ich selten die eine spektakuläre Lücke, die alles erklärt.
Viel häufiger sind es mehrere kleine Entscheidungen, die irgendwann sinnvoll erschienen und später nie mehr überprüft wurden:
- Ein ehemaliger Mitarbeiter hat noch ein aktives Konto.
- Mehrfaktor-Authentifizierung ist grundsätzlich vorhanden, aber nicht für alle relevanten Zugänge aktiviert.
- Alte Berechtigungen wurden bei einem Rollenwechsel nicht entfernt.
- Das Backup meldet einen grünen Status, eine vollständige Wiederherstellung wurde jedoch nie getestet.
- Für einen Cybervorfall gibt es zwar Ansprechpartner, aber keinen gemeinsam geübten Ablauf.
Keiner dieser Punkte wirkt besonders spektakulär. Genau deshalb bleiben solche Lücken oft lange bestehen.
Im Kundengespräch höre ich zum Beispiel regelmäßig den Satz: „Wir haben ein Backup.“ Meine nächste Frage lautet dann: „Wann wurde die vollständige Wiederherstellung zuletzt getestet?“
Darauf folgt erstaunlich oft eine Pause.
Der grüne Haken in einem Bericht bestätigt, dass ein Sicherungslauf abgeschlossen wurde. Er beweist noch nicht, dass alle benötigten Daten enthalten sind, dass das Backup vor Angreifern geschützt ist oder dass das Unternehmen rechtzeitig wieder arbeitsfähig wäre.
Auch dazu liefert Deloitte eine ernüchternde Zahl: Bei bereits verschlüsselten Daten gelang die Wiederherstellung aus einer Sicherung nur in 40 Prozent der berichteten Fälle.
Gut geschützt – oder nur noch nie ernsthaft geprüft?
Die Zahlen von Deloitte zeigen eine Wahrnehmungslücke, die ich auch aus Gesprächen mit Unternehmen kenne: Das Vertrauen in die eigene IT ist hoch, die Sicherheit im Ernstfall deutlich geringer.
Das bedeutet nicht automatisch, dass sich diese Unternehmen etwas vormachen. Eine Umgebung kann im Alltag stabil laufen und trotzdem schlecht auf einen schweren Vorfall vorbereitet sein. Funktionierende IT und belastbare IT-Sicherheit sind nicht dasselbe.
Ein ähnliches Bild zeigt der Cyber Security Report 2026 von Schwarz Digits. Dort bewerten 65 Prozent der befragten deutschen Unternehmen ihre Abwehrbereitschaft positiv. Gleichzeitig berichtet jedes fünfte Unternehmen bereits von einem erfolgreichen Angriff.
Sicherheit ist deshalb keine Selbsteinschätzung. Sie braucht Nachweise:
- Sind wirklich alle wichtigen Konten geschützt?
- Werden Berechtigungen regelmäßig überprüft?
- Lässt sich das Backup innerhalb der benötigten Zeit wiederherstellen?
- Wissen die Beteiligten, was sie bei einem Vorfall tun müssen?
- Wurde dieser Ablauf schon einmal geübt?
Erst wenn diese Fragen konkret beantwortet werden können, wird aus einem guten Gefühl belastbare Sicherheit.
Warum Cybersecurity heute Chefsache ist
Viele technische Maßnahmen kann und soll die IT umsetzen. Sie kann aber nicht allein entscheiden, welches Risiko ein Unternehmen akzeptiert oder wie lange ein kritischer Prozess ausfallen darf.
Genau dort beginnt die Verantwortung der Geschäftsführung.
Wer ein Unternehmen führt, muss keinen Sicherheitsalarm analysieren und keine Firewall konfigurieren können. Einige Fragen sollte eine Geschäftsführerin oder ein Geschäftsführer dennoch beantworten können:
- Welche Systeme und Daten sind für unseren Betrieb wirklich kritisch?
- Wie lange können wir ohne diese Systeme arbeiten?
- Wer entscheidet im Ernstfall über Abschaltung, Kommunikation und Wiederanlauf?
- Wann wurde die Wiederherstellung unserer wichtigsten Daten zuletzt getestet?
- Welche Zugänge haben externe Partner und ehemalige Mitarbeitende?
- Wissen Beschäftigte, wie und wo sie einen Verdacht sofort melden können?
Das sind keine technischen Detailfragen. Es sind Fragen zu Betriebsfähigkeit, Verantwortung und Risiko.
Deshalb gehört Cybersecurity auf die Agenda der Geschäftsführung – nicht erst nach einem Angriff, sondern solange noch Zeit für vernünftige Entscheidungen ist.
Was nach mehr als tausend Seiten übrig bleibt
Die Zukunft der Cybersicherheit wird ohne Zweifel stark von KI geprägt. Angriffe werden schneller, Täuschungen glaubwürdiger und die Werkzeuge auf beiden Seiten leistungsfähiger.
Meine wichtigste Erkenntnis aus den Reports ist trotzdem eine andere:
Unternehmen werden nicht allein dadurch sicherer, dass sie mehr Security-Produkte kaufen. Sie werden sicherer, wenn Technik, Prozesse und Verantwortung zusammenpassen.
Technologie kann einen Angriff erkennen oder stoppen.
Klare Prozesse begrenzen den Schaden, wenn jemand einen Fehler macht.
Eine gelebte Sicherheitskultur sorgt dafür, dass Warnzeichen früh gemeldet werden.
Und Führung schafft die nötigen Prioritäten, Zuständigkeiten und Mittel.
Der Mensch ist dabei nicht die letzte Firewall. Er ist ein wichtiger Teil des Sicherheitssystems. Dieses System muss so gebaut sein, dass ein einzelner Fehler nicht zur Unternehmenskrise wird.
Vielleicht ist das weniger spektakulär als die nächste große Security-Technologie. Für die Widerstandsfähigkeit eines Unternehmens ist es aber entscheidend.
Wenn Sie die sechs Fragen aus diesem Beitrag nicht klar beantworten können, ist das kein Grund für Panik. Es ist ein guter Anlass, nicht länger von Sicherheit auszugehen, sondern sie überprüfen zu lassen.
