Die IT-Sicherheit wandelt sich von einer rein technischen Pflichtaufgabe zu einem strategischen Risikofaktor für Konzerne, mittelständische Betriebe und institutionelle Anleger. Angetrieben von KI-gestützten Angriffsmustern und strengeren europäischen Regularien wachsen die Abwehrbudgets in Deutschland mit zweistelligen Raten. Eine Debatte über den tatsächlichen Nutzen dieser Mittel, die unter anderem im Heise-Podcast unter dem Schlagwort einer „Bunten Tüte für 4 Milliarden Euro“ geführt wird, beleuchtet dabei nicht nur die schiere Höhe der Aufwendungen, sondern verweist zugleich auf erhebliche Defizite bei der operativen Umsetzung.

Regulatorischer Druck treibt Ausgaben über die Zehn-Milliarden-Marke

Der deutsche Markt für Informationstechnologie-Sicherheit expandiert spürbar. Nach Erhebungen des Digitalverbands Bitkom und des Marktforschungsunternehmens IDC steigen die Gesamtausgaben für IT-Sicherheit in Deutschland im Jahr 2026 um 11,7 Prozent auf 14,3 Milliarden Euro. Bereits im Vorjahr erreichte das Volumen 12,8 Milliarden Euro, nachdem der Markt im Jahr 2024 mit 10,5 Milliarden Euro erstmals die Schwelle von zehn Milliarden Euro überschritt.

Für das Jahr 2027 prognostiziert der Bitkom ein weiteres Wachstum um 10,7 Prozent auf 15,8 Milliarden Euro.

Treiber dieser Entwicklung ist vorrangig das Softwaresegment. Im Jahr 2026 entfallen 7,8 Milliarden Euro auf Sicherheitssoftware, was einem Marktanteil von 55 Prozent und einem Zuwachs von 14,5 Prozent entspricht. Sicherheitsdienstleistungen legen zeitgleich um 7,3 Prozent auf 5,3 Milliarden Euro zu, während die Hardwareausgaben bei 1,2 Milliarden Euro stagnieren.

Für das Jahr 2027 prognostizieren die Marktforscher bei der Software ein weiteres Plus von 14,6 Prozent auf 8,9 Milliarden Euro. Das Hardwaresegment verliert hingegen an Bedeutung und sinkt voraussichtlich um 4,2 Prozent auf knapp 1,2 Milliarden Euro.

Verantwortlich für die steigenden Ausgaben sind neben der veränderten Bedrohungslage insbesondere regulatorische Vorgaben der Europäischen Union. Die NIS-2-Richtlinie erfasst in Deutschland schätzungsweise rund 29.500 Unternehmen und Institutionen, die nun umfassende Risikomanagement- und Meldepflichten erfüllen müssen. Parallel dazu verpflichtet der Digital Operational Resilience Act (DORA) den Finanzsektor zu robusteren Systemen, während der Cyber Resilience Act verbindliche Sicherheitsstandards für Hersteller vernetzter Produkte vorschreibt.

Susanne Dehmel, Mitglied der Bitkom-Geschäftsleitung, betont vor diesem Hintergrund die übergeordnete wirtschaftliche Dimension der Schutzmaßnahmen. Wer in IT-Sicherheit investiere, schütze nicht nur das eigene Unternehmen, sondern stabilisiere zugleich Kundenbeziehungen, Lieferketten und kritische Infrastrukturen.

Hohe Schadenssummen treffen auf Mängel in der Budgetallokation

Trotz der Rekordausgaben bleibt das Schadensausmaß für die Wirtschaft gravierend. Der Bitkom-Studie „Wirtschaftsschutz 2026“ zufolge entsteht deutschen Unternehmen durch Datendiebstahl, Spionage und Sabotage ein jährlicher Gesamtschaden von mindestens 211 Milliarden Euro. Cyberangriffe zeichnen dabei für 76 Prozent der Gesamtsumme verantwortlich.

Zwar markiert dies einen Rückgang gegenüber der Vorgängerstudie für das Jahr 2025, die den Schaden noch auf 289,2 Milliarden Euro bezifferte, doch die Verwundbarkeit verharrt auf hohem Niveau.

Gleichzeitig verfehlen viele Organisationen empfohlene Richtwerte bei der internen Mittelverteilung. Deutsche Unternehmen wenden im Durchschnitt unverändert 18 Prozent ihres gesamten IT-Budgets für Schutzmaßnahmen auf. Der Branchenverband Bitkom und das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfehlen hingegen einen Richtwert von mindestens 20 Prozent.

Neben der reinen Budgethöhe offenbaren sich strukturelle Mängel in den Betriebsabläufen. Rund 39 Prozent der Betriebe verfügen über kein eigenes Notfallmanagement. Zudem halten lediglich 40 Prozent der deutschen Unternehmen die Bundesrepublik für gut vorbereitet auf großflächige Cyberangriffe.

Eine Erhebung von Verizon verdeutlicht überdies, dass 74 Prozent aller Datensicherheitsvorfälle auf menschliches Fehlverhalten zurückgehen.

Jon Davies, Cyber-Direktor beim Beratungsunternehmen KPMG, warnt deshalb vor dem Irrglauben, Sicherheit lasse sich allein einkaufen. Zwar schaffe mehr Budget zusätzliche Handlungsspielräume, doch verringere Geld allein nicht automatisch die Angriffsfläche. Entscheidend sei vielmehr, dass Führungskräfte das Kapital nachhaltig über Technologie, geschultes Personal und belastbare Prozesse verteilen, statt isolierte Einzellösungen aneinanderzureihen.

Konsolidierung und Wagniskapital formen den Markt

Die wachsende Relevanz der digitalen Abwehr zieht vermehrt institutionelle Anleger und Finanzinvestoren an. Im europäischen Markt für börsengehandelte Indexfonds verwalten mehr als zwölf Cybersicherheits-ETFs zusammen rund 7,83 Milliarden Euro. Der L und G Cyber Security UCITS ETF dominiert das Segment mit einem Fondsvolumen von 3,47 Milliarden Euro.

Zu den Kernpositionen des Portfolios gehören etablierte Branchengrößen wie Cloudflare, CrowdStrike, Fortinet und Palo Alto Networks.

Peter Reichel, Chief Investment Officer beim Bankhaus ODDO BHF, stellt bei institutionellen Investoren eine spürbare Umschichtung fest. Das Interesse verlagere sich zunehmend von reinen KI-Wachstumswerten hin zu Geschäftsmodellen, die sich auf AI Governance und Security konzentrieren.

Im Segment der Wachstumsunternehmen beschleunigt sich das Tempo ebenfalls. Das niederländische Sicherheitsunternehmen Hadrian sicherte sich eine Finanzierungsrunde über 40 Millionen US-Dollar, um automatisierte Systeme zur Angriffssimulation weiterzuentwickeln. Das Frankfurter Startup QuoIntelligence schloss im April 2026 eine Series-A-Finanzierung über 7,3 Millionen Euro ab.

Im Oktober 2026 beteiligte sich zudem die Investmentgesellschaft des ehemaligen Bundesfinanzministers Christian Lindner an dem Unternehmen, wobei die Parteien über Bewertung und Einstiegssumme Stillschweigen vereinbarten.

Auf Konzernebene treiben Technologieanbieter Zukäufe voran, um ihr Portfolio für künftige Bedrohungsszenarien zu rüsten. Die Bytes Technology Group übernahm das Beratungs- und Systemhaus CyberOne, während das Quantencomputing-Unternehmen IonQ die Akquisition von Elisity abschloss. Beide Transaktionen zielen darauf ab, Schutzmechanismen gegen künftige Entschlüsselungstechnologien aufzubauen.

Gleichzeitig forciert die öffentliche Hand den Aufbau staatlicher Kapazitäten. Für das vom Bundesinnenministerium und dem BSI konzipierte nationale Abwehrsystem „Cyberdome“ steht ein politischer Kostenrahmen von 1 bis 2 Milliarden Euro im Raum. Auf europäischer Ebene stellt das Programm „Digitales Europa“ im Zeitraum von 2021 bis 2027 rund 1,4 bis 1,5 Milliarden Euro für Cybersicherheitsinitiativen bereit.

Der Europäische Rechnungshof kritisiert jedoch erhebliche Mängel bei der Umsetzung: Zentrale Frühwarnsysteme seien weiterhin nicht einsatzbereit, und bei der Vergabe von Fördermitteln an Dritte bestünden gravierende Kontrolllücken.

Reifeprüfung vor der 15-Milliarden-Euro-Grenze

Der Markt für IT-Sicherheit nähert sich einer strategischen Zäsur. Vor dem Erreichen der Marke von 15 Milliarden Euro im Jahr 2027 stehen Chief Information Security Officers und Finanzvorstände unter erhöhtem Rechtfertigungsdruck. Die Unternehmensführung fordert zunehmend messbare Nachweise darüber ein, welchen konkreten Sicherheitsgewinn die stark gestiegenen Budgets tatsächlich liefern.

In den kommenden Quartalen entscheidet sich, wie effizient die Wirtschaft die Umsetzungsfristen von NIS-2 und DORA bewältigt. Branchenbeobachter erwarten eine weitere Konsolidierungswelle, da mittelständische Kunden integrierte Plattformen gegenüber unübersichtlichen Tool-Landschaften bevorzugen. Für Investoren rücken dabei vorrangig jene Anbieter in den Vordergrund, die Automatisierung und regulatorische Compliance nachweisbar verbinden.

Ob staatliche Großprojekte wie der Cyberdome diesen Modernisierungsschub ergänzen können, bleibt angesichts administrativer Hürden vorerst offen.