Die deutsche Wirtschaft sieht sich einer wachsenden Cyberbedrohung gegenüber, deren Ursprung zunehmend im Ausland vermutet wird. Ein aktueller Bericht des IT-Branchenverbands Bitkom, der auf der Befragung von rund 1.000 Führungskräften und IT-Verantwortlichen basiert, zeigt dies. 37 Prozent der von Cyberangriffen betroffenen Unternehmen verdächtigen ausländische Nachrichtendienste hinter den Attacken. Das ist ein Anstieg von 28 Prozent im Vorjahr.

Die geschätzte Schadenssumme für die deutsche Wirtschaft durch Angriffe im digitalen und analogen Raum beläuft sich für das Jahr 2026 auf mindestens 211 Milliarden Euro. Dieser Wert stellt einen Rückgang dar, denn 2025 lag er bei 289 Milliarden Euro und 2024 bei 266,6 Milliarden Euro. Der Rückgang erklärt sich unter anderem dadurch, dass nur Schäden berücksichtigt wurden, bei denen sich die Unternehmen der Betroffenheit sicher waren.

Internationale Akteure im Fokus

Die Vermutung, dass staatliche Akteure hinter den Angriffen stecken, nimmt zu. Als häufigster Herkunftsort von Angriffen werden China (52 Prozent) und Russland (49 Prozent) genannt. Dies unterstreicht eine geopolitische Komponente der Bedrohung. Ralf Wintergerst, Präsident des Bitkom, konstatiert: „Die Spur führt immer weiter nach Osten.“

Die Abgrenzung zwischen kriminellen Banden und staatlich gesteuerten Akteuren gestaltet sich dabei oft schwierig. Sicherheitsbehörden wie das Bundesamt für Verfassungsschutz (BfV) und das Bundeskriminalamt (BKA) weisen darauf hin, dass einige staatliche Akteure, insbesondere in Russland, krimineller Hacker sich bedienen oder diese gewähren lassen. Trotzdem vermuten 62 Prozent der befragten Unternehmen weiterhin kriminelle Banden als Urheber der Attacken, was sechs Prozentpunkte weniger sind als im Vorjahr.

KI als Bedrohungsverstärker

Künstliche Intelligenz (KI) gewinnt bei Cyberangriffen zunehmend an Bedeutung. KI-gestützte Methoden wie Robo Calls und Deepfakes werden vermehrt als Angriffsvektoren genannt. Nach den vorliegenden Daten stieg die Nutzung von KI in kriminellen Aktivitäten im Jahr 2026 um 40 Prozent. Die Verluste durch Deepfakes erhöhten sich im selben Zeitraum demnach um 263 Prozent.

Im Erhebungszeitraum gaben 14 Prozent der Unternehmen an, von Robo Calls als Angriffsmethode betroffen gewesen zu sein. Im Vorjahr waren es noch drei Prozent. Bei Deepfakes stieg der Anteil der betroffenen Unternehmen von vier auf acht Prozent.

Kritische Infrastruktur unter Beschuss

Auch kritische Infrastruktur (KRITIS) steht im Fokus der Angreifer. Das BfV meldet eine erhöhte Gefährdung und zunehmende Ausspähung von Sektoren wie der Rüstungsindustrie, Verkehrswegen und Energieunternehmen. Im Juli 2026 wurden unter anderem die Stadt Wiesbaden und das kommunale System in Mülheim an der Ruhr Ziel von DDoS-Angriffen.

Ferner bestätigte der Energiedienstleister Enseco einen Cyberangriff. Ende Juni 2026 traf es zudem die Gemeinschaftsstadtwerke für Kamen, Bönen und Bergkamen.

Das BKA registrierte 2025 insgesamt 36.706 DDoS-Angriffe, was einem Anstieg von 25 Prozent gegenüber dem Vorjahr entspricht. Der BSI-Index für öffentlich bekannt gewordene DDoS-Angriffe erreichte im Juni 2026 einen Wert von 320. Mit Basis 2021 gleich 100 bedeutet dies eine Verdreifachung seit 2021.

Angriffe auf Workplace-Tools und Malware-Entwicklungen

Im Zeitraum Juli 2025 bis Juni 2026 verzeichnete Kaspersky insgesamt 4.781.846 Angriffe auf gängige Workplace-Tools. Davon entfielen 2.658.283 Angriffe auf Zoom und 1.546.122 auf Microsoft Outlook. Kaspersky meldet darüber hinaus 2.733.204 Fälle von Downloadern. Trojaner und Exploits machen ebenfalls große Anteile aus.

Russlandverbundene Gruppen wie UNC6293 und UNC5976 richten sich gezielt gegen Einzelpersonen in Wissenschaft, Verteidigung und NGOs. Die Gruppe TA488 (Laundry Bear/Void Blizzard) nutzte eine Schwachstelle in Microsoft Exchange Server (CVE-2026-42897) und verbreitete die Backdoor OWAReaper.

Die Verweildauer bösartiger Aktivitäten in kompromittierten Systemen bleibt ein kritisches Problem. Kaspersky berichtet, dass bösartige Aktivitäten in 31 Prozent der Fälle mehr als drei Monate unentdeckt blieben. Mehr als die Hälfte der schwerwiegenden Kompromittierungen wurde demnach erst nach 90 Tagen identifiziert.

Der längste dokumentierte Fall erstreckte sich sogar über vier Jahre. Solche langen Verweildauern erhöhen das Risiko langfristiger Zugriffe und damit verbundener Schäden.

Ausblick: Anpassungsdruck auf Wirtschaft und Staat

Der Bitkom-Bericht und die Sicherheitsdaten signalisieren einen steigenden Druck auf Unternehmen und Behörden, ihre Abwehr zu verstärken. Sicherheitsanbieter und Analysten raten zu proaktiver Bedrohungsjagd, verstärkter Systemüberwachung und zur Integration von KI-gestützten Abwehrlösungen. Zahlreiche Anbieter wie Google Cloud, Wazuh und Anthropic erweitern entsprechende Angebote.

Analysten erwarten, dass Unternehmen ihre Investitionen in Cybersicherheit, einschließlich KI-gestützter Abwehrsysteme, weiter erhöhen werden. Dies umfasst Maßnahmen zur Stärkung der Resilienz kritischer Infrastrukturen und zur Sensibilisierung von Mitarbeitenden für neue Angriffsmethoden wie Deepfakes. Die häufigen Nennungen von China und Russland spiegeln die geopolitische Dimension der Bedrohung wider.

Die Debatte über die genaue Zuordnung einzelner Angriffe, etwa im Kontext der Nord-Stream-Sprengung, verdeutlicht die politische Dimension und die damit verbundene Notwendigkeit klarer Kommunikation.