Cybersicherheits-Lagebild 2026: Was die Zahlen für den Mittelstand bedeuten
Der Europäische Monat der Cybersicherheit hat gerade begonnen, da liegt schon die erste unangenehme Zahl auf dem Tisch: Ransomware-Angriffe auf deutsche kleine und mittlere Unternehmen sollen 2026 um 382 Prozent über dem Niveau von 2023 liegen. Auffällig ist weniger die Höhe als die Herkunft der Zahl. Die Auswertung nimmt ausdrücklich den Mittelstand in den Blick, nicht die Konzerne.
Was tatsächlich passiert ist
Am 5. Oktober 2026 hat die Transferstelle Cybersicherheit im Mittelstand, ein gefördertes Projekt des Bundesministeriums für Wirtschaft und Energie, ihr CYBERsicher Lagebild 2026 veröffentlicht. Die zentralen Befunde:
- Ransomware-Angriffe auf deutsche KMU nahmen 2024 um 162 Prozent und 2025 um 281 Prozent gegenüber dem Referenzjahr 2023 zu. Für 2026 erwartet die Transferstelle ein Plus von 382 Prozent. Diese Zahl ist eine Hochrechnung zum 31.12.2026 auf Basis bekannt gewordener Fälle, Datenstand 24.09.2026.
- Der eigene Honeypot verzeichnete bei jedem zweiten Angriff Cryptojacking-Malware, die infizierte Geräte zum Schürfen von Kryptowährungen missbraucht. Erkennbar ist das an hoher Systemauslastung, erhöhtem Stromverbrauch und heißer Hardware.
- KI verändert den Einstieg: Auf automatisiert personalisierte Spearphishing-Mails klicken fast drei- bis fünfmal so viele Nutzer wie auf generische Mails. 66 Prozent der Befragten erkennen gefälschte Audioaufnahmen nicht, 43 Prozent keine gefälschten Videos.
- 66 Prozent der deutschen KMU fühlen sich stark von nicht-europäischen Softwareanbietern abhängig.
- 81 Prozent der Nutzer des CYBERsicher Checks bewerten das Management ihrer Sicherheitskopien mit Note 3 oder besser. Bei der Schulung der Mitarbeitenden sind es nur 55 Prozent.
Anfang Oktober veröffentlichte der Eco-Verband der Internetwirtschaft seine IT-Sicherheitsumfrage 2026, über die INDUSTR. am 5. Oktober berichtet: Knapp ein Drittel der 100 befragten IT-Entscheider berichtet von sicherheitsrelevanten Vorfällen mit spürbaren Auswirkungen in zwölf Monaten — Betriebsunterbrechungen, Produktionsstillstände, Datenabflüsse, Manipulationen von Prozessen, Erpressungsversuche. Knapp die Hälfte hält eine NIS2-Umsetzung im Mittelstand nur mit externer Unterstützung für machbar.
Meine Einordnung
382 Prozent liest sich wie eine Explosion, ist aber eine Wachstumsrate auf Basis öffentlich bekannt gewordener Fälle. Wer zahlt oder wessen Daten nie veröffentlicht werden, taucht in keiner Leak-Statistik auf. Die absolute Höhe ist also unsicher, die Richtung nicht: Die Reihe wächst von 162 über 281 auf erwartete 382 Prozent. Dass die Transferstelle dabei ausdrücklich kleine Betriebe meint, ist der eigentliche Punkt dieses Lagebilds.
Der interessanteste Befund steht für mich nicht im Ransomware-Abschnitt, sondern beim Honeypot. Wenn jeder zweite registrierte Angriff Cryptojacking ist, dann ist die häufigste Angriffsform die langweilige: Schadsoftware, die wochenlang Rechenleistung und Strom verbraucht, nichts verschlüsselt und deshalb niemanden alarmiert. Ich habe mehr Betriebe gesehen, die über die Stromrechnung gestolpert sind, als über einen Erpresserbrief. Wer nur auf Verschlüsselung schaut, schaut an der Praxis vorbei.
Und die 81 Prozent sind eine Selbstauskunft. In Mandaten erlebe ich regelmäßig, dass Sicherungen vorhanden sind, das Rückspielen aber seit Jahren nicht geprüft wurde. Eine Sicherung, die nie zurückgespielt wurde, ist eine Annahme, kein Nachweis — Versicherer und Auditoren sehen das genauso. Bei der zweiten Zahl, die selten zitiert wird, sehe ich dagegen echten Nachholbedarf: Nur 55 Prozent bewerten die Schulung ihrer Mitarbeitenden positiv. Das passt zu den KI-Phishing-Zahlen. Wer glaubt, das mit einem E-Learning im Intranet zu erledigen, hat die Mechanik nicht verstanden: Es geht nicht um Wissen, sondern um Prozesse wie Rückruf und Vier-Augen-Prinzip.
Was Sie jetzt konkret tun können
1. Notfallkarte auf Papier, eine Seite. Wer entscheidet bei Verdacht, welche drei Telefonnummern gelten, was ist der erste Schritt. Ausgedruckt, weil im Ernstfall der Zugriff auf Wiki und Ticketsystem fehlt.
2. Rückspielen üben, nicht sichern. Stellen Sie aus einer Sicherung einen echten Geschäftsprozess wieder her — eine Buchhaltung, eine Auftragsakte — und dokumentieren Sie Datum, Dauer und Ergebnis.
3. Systemlast im Blick behalten. Notieren Sie monatlich Stromzählerstände wichtiger Geräte und die Dauerlast der Server. Cryptojacking fällt über Verbrauch, Temperatur und Systemlast auf.
4. Vier-Augen-Prinzip für Bankdaten. Keine Ausführung geänderter Kontoverbindungen aus einer E-Mail. Rückruf über eine bekannte Nummer.
5. Zugänge zählen statt Produkte. Eine Liste aller Fernwartungs- und VPN-Zugänge mit Stand, Zweck und Ansprechpartner. Genau die Liste wird im Ernstfall und bei NIS2 gebraucht.
Wann sich Unterstützung lohnt: wenn Sie Nachweise für Audit, Versicherer oder NIS2-Einstufung brauchen und intern niemand Zeit dafür hat. Wie ich dabei vorgehe, steht unter /it-security/; ein Erstgespräch erreichen Sie über /kontakt/.
Quellen
- Der Mittelstand. BVMW e.V. (ots), „CYBERsicher Lagebild 2026: Cyberangriffe auf den Mittelstand erreichen eine neue Qualität“, 05.10.2026 — https://www.tz.de/na-pressemitteilungen/cybersicher-lagebild-2026-cyberangriffe-auf-den-mittelstand-erreichen-eine-neue-qualitaet-zr-94524903.html
- Transferstelle Cybersicherheit im Mittelstand, „Das CYBERsicher Lagebild 2026“, Oktober 2026 — https://transferstelle-cybersicherheit.de/material/das-cybersicher-lagebild-2026/
- INDUSTR., „Mittelstand unter Druck: Ein Drittel spürt Folgen durch Cybervorfälle“ (IT-Sicherheitsumfrage 2026 des Eco-Verbands), 05.10.2026 — https://www.industr.com/de/mittelstand-unter-druck-ein-drittel-spuert-folgen-durch-cybervorfaelle-2923748
Häufige Fragen
Betrifft das meinen Betrieb, wenn wir nichts „Interessantes“ haben?
Der Honeypot zeigt es: Die Mehrzahl der Angriffe ist automatisiert und wählt keine Ziele aus. Interessant ist jedes erreichbare System — Fernwartung, Webserver, ein vergessener Testzugang. Der Unterschied liegt weniger in der Attraktivität als in der Erreichbarkeit.
Reicht ein aktueller Virenschutz?
Für die Abwehr nicht und für den Nachweis erst recht nicht. Nach der Eco-Umfrage zählt im Ernstfall, wie lange der Ausfall geschäftskritischer Systeme tolerierbar ist. Das ist eine Frage der Wiederherstellung, nicht der Schutzsoftware.
Was sage ich der Geschäftsführung, wenn sie nach Zahlen fragt?
Nehmen Sie die drei belastbaren aus dem Lagebild: die Wachstumsraten der Ransomware-Fälle, den Cryptojacking-Anteil am Honeypot und den Schulungswert von 55 Prozent. Diese drei begründen ein Budget ohne Panik.
Eigene Einordnung, keine Rechtsberatung. Quellen: Der Mittelstand. BVMW e.V. (ots), „CYBERsicher Lagebild 2026: Cyberangriffe auf den Mittelstand erreichen eine neue Qualität“, 05.10.2026 — https://www.tz.de/na-pressemitteilungen/cybersicher-lagebild-2026-cyberangriffe-auf-den-mittelstand-erreichen-eine-neue-qualitaet-zr-94524903.html · Transferstelle Cybersicherheit im Mittelstand, „Das CYBERsicher Lagebild 2026“, Oktober 2026 — https://transferstelle-cybersicherheit.de/material/das-cybersicher-lagebild-2026/ · INDUSTR., „Mittelstand unter Druck: Ein Drittel spürt Folgen durch Cybervorfälle“ (IT-Sicherheitsumfrage 2026 des Eco-Verbands), 05.10.2026 — https://www.industr.com/de/mittelstand-unter-druck-ein-drittel-spuert-folgen-durch-cybervorfaelle-2923748