Das Risikobewusstsein für Cyberangriffe steigt in Unternehmen. Eine aktuelle Erhebung zeigt jedoch, dass interne Akteure und menschliches Fehlverhalten für IT-Sicherheitsverantwortliche ein größeres Risiko darstellen als externe Hackerangriffe. Trotz zunehmender Attacken und professionellerer Methoden bestehen erhebliche Lücken in der organisationalen Vorbereitung.

Der Faktor Mensch gilt als eine zentrale Schwachstelle in der Unternehmenssicherheit.

Menschliches Fehlverhalten übertrifft externe Bedrohungen

Aktuelle Studien zeigen eine Verschiebung in der Risikowahrnehmung. Eine Umfrage unter IT-Sicherheitsverantwortlichen ergab, dass 64 Prozent interne Akteure als größeres Risiko einstufen als Angreifer von außen. In der DACH-Region sehen 70 Prozent der befragten IT-Sicherheitsverantwortlichen den Faktor Mensch und mangelndes Sicherheitsbewusstsein als größtes Risiko für ihre Unternehmen.

Unter mittelständischen Unternehmen nannten 59 Prozent ungeschultes Personal als das größte Risiko. Zudem äußerten 53 Prozent der CSOs und CISOs in der DACH-Region die Besorgnis, dass Mitarbeiter anfällig für Cyberattacken sind. Diese Einschätzungen deuten darauf hin, dass Schwachstellen innerhalb der Organisation eine zentrale Rolle spielen.

Steigende Angriffszahlen und hohe finanzielle Schäden

Die Frequenz und Professionalität von Cyberangriffen nimmt weiter zu. Einer Studie zufolge verzeichneten 89 Prozent der deutschen Unternehmen in den vergangenen drei Jahren einen Datenangriff, global liegt der Wert bei 82 Prozent. In der DACH-Region waren 66 Prozent der Unternehmen bereits Opfer von Cyberkriminalität, wobei jedes zweite Unternehmen mehrfach betroffen war.

In den zwölf Monaten vor der Befragung erlebten 15 Prozent der Unternehmen IT-Sicherheitsvorfälle – ein Anstieg um vier Prozentpunkte gegenüber vor zwei Jahren. Die EY Cybersecurity Studie 2026 weist für Österreich aus, dass 36 Prozent der Unternehmen in den vergangenen fünf Jahren Hinweise auf Datenangriffe hatten, ein Plus von vier Prozentpunkten gegenüber dem Vorjahr. Bei Unternehmen mit einem Jahresumsatz von über 51 Millionen Euro berichteten 48 Prozent von mehrfachen Angriffen.

Die finanziellen Folgen sind signifikant. 47 Prozent der befragten deutschen Unternehmen bezifferten die Kosten eines Datendiebstahls oder -missbrauchs mit bis zu einer Million US-Dollar. 26 Prozent bezifferten die Kosten mit einer Million bis zehn Millionen US-Dollar und 11 Prozent mit mehr als zehn Millionen US-Dollar. Vier von zehn Unternehmen in der DACH-Region meldeten den Verlust sensibler Daten, ein vergleichbarer Anteil verzeichnete Störungen der Betriebsabläufe. Bei jedem dritten deutschen KMU, das angegriffen wurde, gerieten Zahlungsfähigkeit oder Existenz in Gefahr.

Diskrepanz zwischen Risikobewusstsein und Präventionsmaßnahmen

Trotz hohem Problembewusstsein zeigen sich Lücken in der Prävention. In Österreich bieten 94 Prozent der Unternehmen Awareness-Schulungen an. Zugleich gaben 77 Prozent der CSOs und CISOs in der DACH-Region an, an Schulungen zu sparen.

In drei von vier Organisationen findet eine Cybersicherheits-Schulung höchstens zweimal pro Jahr statt. Mehr als drei Viertel der Unternehmen bieten einer anderen Umfrage zufolge kaum Schulungen zum Thema Cybersicherheit an.

Ein weiteres Problem stellt die unkontrollierte Nutzung von KI-Anwendungen dar. 76 Prozent der Unternehmen berichten, dass Tools wie ChatGPT oder Gemini ohne Freigabe im Einsatz sind, sogenannte Schatten-KI. 88 Prozent der Unternehmen geben an, ein Insider-Programm zu haben. Nur 44 Prozent setzen moderne Methoden wie User und Entity Behavior Analytics (UEBA) ein, um ungewöhnliche Verhaltensmuster zu erkennen.

Fachkräftemangel und Investitionen in die Zukunft

Der Mangel an qualifiziertem Personal verschärft die Lage. Knapp ein Drittel der IT-Verantwortlichen in Deutschland verfügt nicht über ausreichend Personal, um IT-Systeme adäquat zu schützen. 71 Prozent des gemeldeten Fachkräftemangels betreffen den Bereich Cybersecurity. Banken und Versicherungen berichten häufiger von Fachkräftemangel als Industrie und Handel.

Zudem sehen 83 Prozent der deutschen Unternehmen fehlendes KI-Know-how als Hürde für einen umfassenderen KI-Einsatz in der Cybersicherheit.

77 Prozent der deutschen Unternehmen planen, ihre Cyberbudgets für 2026 zu erhöhen, nach 72 Prozent im Vorjahr. 36 Prozent planen eine Erhöhung um sechs bis zehn Prozent, zehn Prozent planen eine Erhöhung um bis zu 14 Prozent. Gleichzeitig investieren nur 15 Prozent der deutschen Unternehmen in proaktive Maßnahmen, gegenüber 24 Prozent weltweit. Bei KI-Investitionen liegen deutsche Unternehmen mit 29 Prozent unter dem globalen Durchschnitt von 36 Prozent.

Netzwerksicherheit und Zero Trust (33 Prozent) sowie Identitäts- und Zugriffsmanagement (23 Prozent) werden in Deutschland stärker priorisiert.

Studien betonen die Bedeutung von Awareness-Programmen und der Integration von Cybersecurity in die Unternehmensführung. Diese Maßnahmen sollen die erkannten Lücken in Prävention und Vorbereitung adressieren. Analysten beobachten, ob die geplanten Budgeterhöhungen und verstärkten Fokus auf interne Risiken ausreichen, um der steigenden Bedrohungslage entgegenzuwirken.

Die Entwicklung von robusten internen Sicherheitsstrategien bleibt eine zentrale Herausforderung für Unternehmen aller Größen.