Bitkom-Studie 2026: 270 Milliarden Euro Schaden und warum die Ursachen banaler sind als die Täter

Am 26. August 2026 hat der Bitkom gemeinsam mit dem Bundesamt für Verfassungsschutz die aktuellen Zahlen zum Wirtschaftsschutz vorgestellt. Die Schlagzeile daraus ist schnell erzählt: Der jährliche Schaden für die deutsche Wirtschaft liegt bei 211 bis 270,8 Milliarden Euro, 96 Prozent der Unternehmen sind betroffen oder vermuten es, und ausländische Nachrichtendienste sind so oft Täter wie noch nie.

Für einen Betrieb mit 30, 80 oder 200 Beschäftigten sind das erst einmal Zahlen aus einer anderen Welt. Interessanter ist, was die Studie über die Ursachen sagt. Denn dort steht nichts von Zero-Day-Exploits und Nachrichtendienst-Werkzeugen, sondern: unzureichende Erkennung, Fehlkonfiguration, schlechtes Zugriffsmanagement. Dieser Beitrag ordnet die Zahlen ein und übersetzt sie in das, was ein Mittelständler daraus tatsächlich mitnehmen kann.

Die Kernzahlen der Studie

Bitkom Research hat im Auftrag des Bitkom 1.003 Unternehmen ab 10 Beschäftigten und mindestens einer Million Euro Jahresumsatz telefonisch befragt, im Zeitraum der Kalenderwochen 16 bis 23 des Jahres 2026. Die Befragung ist repräsentativ für die deutsche Wirtschaft.

Die Zahl, an der sich die meisten Berichte festhalten, ist der Schadenskorridor. Er entsteht aus einer Hochrechnung: Das untere Ende umfasst nur Schäden bei Unternehmen, die einen Angriff sicher nachweisen konnten. Das obere Ende bezieht die Unternehmen mit ein, die einen Angriff vermuten, ihn aber nicht belegen können. Und genau diese zweite Gruppe ist das eigentliche Thema der diesjährigen Studie.

Das Dunkelfeld wächst, und das ist die eigentliche Nachricht

Im Vorjahr konnten 87 Prozent der betroffenen Unternehmen einen Angriff sicher feststellen, 10 Prozent hatten nur einen Verdacht. Jetzt sind es 67 Prozent mit Nachweis und 29 Prozent mit Verdacht. Fast jedes dritte betroffene Unternehmen weiß also, dass etwas passiert ist, kann es aber nicht belegen.

Das lässt sich auf zwei Arten lesen. Optimistisch: Unternehmen sind aufmerksamer geworden und melden auch schwache Signale. Realistisch: Die Angriffe werden leiser, und die vorhandenen Mittel reichen nicht mehr aus, um sie sauber zu erkennen und zu belegen. Bitkom-Präsident Ralf Wintergerst formuliert es so, dass das Dunkelfeld größer wird.

Praktisch hängt die Nachweisbarkeit an einer unspektakulären Sache: Logs. 68 Prozent der Unternehmen, die einen Angriff aufklären konnten, taten das durch die Analyse von Log-Dateien. Wer Protokolle nicht zentral sammelt, nicht aufbewahrt und nicht auswertet, hat im Ernstfall nichts in der Hand. Nötig sind dafür eine durchdachte Konfiguration und eine klare Zuständigkeit. Große Investitionen braucht es an dieser Stelle nicht.

Nachrichtendienste als Täter: was das für den Mittelstand heißt

Die auffälligste Verschiebung betrifft die Tätergruppen. 37 Prozent der betroffenen Unternehmen ordnen mindestens einen Angriff einem ausländischen Nachrichtendienst zu. Vor einem Jahr waren es 28 Prozent, vor drei Jahren 7 Prozent. Sinan Selen, Präsident des Bundesamts für Verfassungsschutz, spricht von intensivierten hybriden Aktivitäten.

Bei der Herkunft führen China mit 52 Prozent und Russland mit 49 Prozent, dahinter Osteuropa außerhalb der EU mit 34 Prozent, die USA mit 27 Prozent und EU-Länder ohne Deutschland mit 26 Prozent. Neu in relevanter Größe ist der Iran mit 9 Prozent, nach 4 Prozent im Vorjahr.

Für einen mittelständischen Betrieb ist die naheliegende Reaktion: Das betrifft uns nicht, wir haben keine Staatsgeheimnisse. Diese Rechnung geht aus zwei Gründen nicht auf.

Erstens gehen staatlich gesteuerte Angriffe selten direkt auf das Hauptziel. Sie nehmen den Weg über Zulieferer, Dienstleister, Steuerberater, Konstruktionsbüros, IT-Partner. Wer ein Konzernkunde ist oder einen Konzernkunden beliefert, ist Teil dieser Kette. Die Studie zeigt das auch in der Wirkung: 21 Prozent der betroffenen Unternehmen berichten, dass der Vorfall auch andere Unternehmen getroffen hat, etwa durch Produktionsausfälle.

Zweitens ändert die Tätergruppe an den Einfallstoren wenig. Ein Nachrichtendienst nutzt dieselbe kompromittierten VPN-Zugang wie eine Ransomware-Gruppe. Der Unterschied liegt darin, was danach passiert: Kriminelle verschlüsseln und erpressen, ein Dienst bleibt still und liest mit. Der zweite Fall fällt in der eigenen Statistik nie auf. Er landet im Dunkelfeld.

KI verändert die Angriffe messbar

82 Prozent der Unternehmen gehen davon aus, dass Angreifer verstärkt Künstliche Intelligenz einsetzen, 31 Prozent sind sich sicher, 51 Prozent vermuten es. In den Angriffsarten ist der Effekt bereits sichtbar:

• Automatisierte Robo Calls: 14 Prozent, nach 3 Prozent im Vorjahr
• Deepfakes: 8 Prozent, nach 4 Prozent im Vorjahr

Woran die Unternehmen KI erkennen, ist aufschlussreich: an der automatisierten Anpassung von Angriffsversuchen (53 Prozent), an der Qualität gefälschter Audio- und Videoinhalte (48 Prozent), an auffällig hochwertigen Texten und E-Mails (38 Prozent), an sehr hoher Angriffsfrequenz (34 Prozent) und an stark personalisierten Inhalten (28 Prozent).

Für die tägliche Praxis heißt das vor allem eines: Die alten Faustregeln der Mitarbeitersensibilisierung sind tot. Rechtschreibfehler, falsche Anrede und holpriges Deutsch sind keine Erkennungsmerkmale mehr. Wer seine Belegschaft noch danach schult, schult ins Leere. Funktionierende Kriterien sind heute der Kontext und der Prozess: Passt die Anfrage zum üblichen Ablauf? Wird Eile erzeugt? Wird eine Bestätigung über einen zweiten Kanal verhindert? Wie das in der Praxis aussieht, steht im Beitrag zu Phishing-Awareness für Mitarbeitende.

Bei gefälschten Stimmen und Videos hilft keine Aufmerksamkeit mehr, sondern nur ein Verfahren: Zahlungsfreigaben und Änderungen an Bankverbindungen brauchen einen definierten Rückkanal an eine bekannte Nummer, unabhängig davon, wer angeblich anruft. Details dazu im Beitrag über Deepfakes und gefälschte Stimmen am Telefon.

Quelle: Bitkom: Angriffe auf die deutsche Wirtschaft, Spur führt zu ausländischen GeheimdienstenPressemitteilung vom 26. August 2026, repräsentative Befragung von 1.003 Unternehmen ab 10 Beschäftigten.

Die Ursachen sind hausgemacht

Hier liegt der praktisch wertvollste Teil der Studie. Gefragt nach den Ursachen erfolgreicher Cyberangriffe nennen die Unternehmen:

Keine dieser Ursachen ist exotisch. Alle drei Spitzenreiter entstehen im eigenen Betrieb und hängen kaum davon ab, wie gut der Angreifer ist. Ein Nachrichtendienst mit erheblichem Budget muss keine neue Angriffstechnik erfinden, wenn ein Konto ohne Zwei-Faktor-Authentifizierung offen steht oder ein Freigabeport aus einem Projekt von 2023 noch aktiv ist.

Der Punkt ist unbequem, aber er ist auch die gute Nachricht. Wer diese drei Bereiche systematisch abarbeitet, senkt sein Risiko gegen alle Tätergruppen gleichzeitig, unabhängig davon, ob im konkreten Fall organisierte Kriminalität oder ein Dienst dahintersteckt.

Für die ersten drei Zeilen gibt es im Wissensbereich jeweils eine ausführliche Anleitung: zu MFA und Passwortmanagement, zum sauberen Onboarding und Offboarding und zum Patch-Management im Unternehmen.

Quelle: BSI IT-Grundschutz-Kompendium

Ransomware sinkt, Entwarnung gibt es trotzdem nicht

Die spezifischen Angriffsarten zeigen ein gemischtes Bild. Ransomware ist von 34 auf 25 Prozent zurückgegangen, Passwortangriffe liegen bei 18 Prozent, Phishing bei 16 Prozent, DDoS bei 15 Prozent, Schadsoftware und Spoofing bei je 11 Prozent.

Ein Rückgang bei Ransomware klingt nach Fortschritt, ist aber vor allem eine Verschiebung. Gleichzeitig stiegen die KI-gestützten Methoden deutlich, 63 Prozent der Unternehmen registrierten insgesamt mehr Angriffe, und 69 Prozent erwarten eine weitere Zunahme. Kein einziges befragtes Unternehmen rechnet mit einem Rückgang.

Bemerkenswert ist außerdem, wie präsent klassische, physische Angriffe bleiben: Der Diebstahl von IT- und Telekommunikationsgeräten liegt bei 60 Prozent, der Diebstahl physischer Dokumente und Bauteile bei 37 Prozent, das Abhören von Besprechungen vor Ort bei 33 Prozent. Wirtschaftsschutz ist eben nicht nur ein IT-Thema, sondern auch eine Frage von Zutrittsregelungen, Geräteverschlüsselung und dem, was in der Kantine besprochen wird.

Auf der digitalen Seite dominieren digitale Sabotage (57 Prozent), das Ausspähen von Kommunikation (54 Prozent) und der digitale Diebstahl von Geschäftsdaten (45 Prozent). Wer für den Ernstfall noch keinen geschriebenen Ablauf hat, findet einen Einstieg im Ransomware-Notfallplan für KMU und im IT-Notfallhandbuch.

Quelle: BSI: Top 10 Ransomware-Maßnahmen

Selbsteinschätzung und Budget klaffen auseinander

Zwei Werte aus der Studie sollten Geschäftsführer nachdenklich machen.

Erstens: Nur noch 43 Prozent halten sich für sehr gut auf Cyberangriffe vorbereitet, nach 50 Prozent im Vorjahr. Gleichzeitig sehen nur noch 45 Prozent ihre Geschäftsexistenz durch einen erfolgreichen Angriff bedroht, nach 59 Prozent im Vorjahr. Die Vorbereitung sinkt also, und die wahrgenommene Existenzbedrohung sinkt mit. Das ist eine gefährliche Kombination, weil sie Investitionen unattraktiv macht.

Zweitens das Budget: Im Schnitt fließen 18 Prozent des IT-Gesamtbudgets in Sicherheit, unverändert zum Vorjahr. BSI und Bitkom empfehlen 20 Prozent. 45 Prozent der Unternehmen erreichen diese Marke, 40 Prozent liegen zwischen 10 und 20 Prozent, 6 Prozent zwischen 5 und 10 Prozent, 4 Prozent darunter.

Ein dritter Befund passt in dieselbe strategische Diskussion: 59 Prozent sehen ihr Unternehmen abhängig von US-amerikanischen Sicherheitslösungen, 70 Prozent meinen, Behörden und Unternehmen sollten stärker auf deutsche und europäische Lösungen setzen. Für die meisten Mittelständler ist das kurzfristig keine Handlungsoption, aber ein Kriterium, das bei der nächsten größeren Beschaffung auf den Tisch gehört.

Was jetzt konkret zu tun ist

Die Studie liefert keine neuen Maßnahmen, sie priorisiert die bekannten. Wer die folgenden Schritte in dieser Reihenfolge abarbeitet, deckt die drei Hauptursachen ab.

1. 1
   Erkennung herstellen
   Klären Sie, wo Protokolle von Firewall, Servern, Microsoft 365 und Endgeräten landen, wie lange sie aufbewahrt werden und wer eine Warnung tatsächlich sieht. Ohne diesen Schritt bleibt jeder Vorfall im Dunkelfeld.
2. 2
   Zugänge aufräumen
   MFA für alle Konten, keine Ausnahmen für Geschäftsführung oder Servicekonten. Danach eine Liste aller aktiven Konten ziehen und mit der aktuellen Belegschaft abgleichen. Karteileichen sofort deaktivieren.
3. 3
   Konfiguration prüfen und dokumentieren
   Firewall-Regeln, Fernzugänge und die Grundeinstellungen in Microsoft 365 einmal vollständig durchgehen. Jede Regel, die niemand mehr begründen kann, kommt weg. Das Ergebnis wird schriftlich festgehalten.
4. 4
   Patch-Stand belegen können
   Ein fester Zyklus für Betriebssysteme, Anwendungen und Netzwerkgeräte, mit einem Nachweis, was wann eingespielt wurde. Zusätzlich eine Liste aller Systeme, deren Supportende in den nächsten zwölf Monaten erreicht wird.
5. 5
   Freigabeprozesse gegen KI-Betrug härten
   Zahlungsfreigaben und Änderungen von Bankverbindungen nur über einen definierten Rückkanal an eine hinterlegte Nummer. Diese Regel schriftlich festhalten und im Team bekannt machen, denn sie muss auch dann gelten, wenn die Stimme am Telefon vertraut klingt.
6. 6
   Notfallablauf und Meldewege festlegen
   Wer wird in welcher Reihenfolge informiert, wer entscheidet über die Abschaltung von Systemen, welche Behörde wird kontaktiert. Ein Dokument, das offline verfügbar ist. Die Hälfte der befragten Unternehmen hat Behördenunterstützung genutzt, das funktioniert aber nur mit vorbereiteten Kontakten.

Einordnung

Die Bitkom-Zahlen sind für den Mittelstand vor allem in einer Hinsicht nützlich: Sie nehmen der Diskussion die Ausrede, Cybersicherheit sei ein Konzernthema. 96 Prozent Betroffenheit lassen keinen Bereich mehr aus, und die Verschiebung zu staatlich gesteuerten Tätern trifft über Lieferketten auch Betriebe, die sich selbst für uninteressant halten.

Gleichzeitig sollte niemand aus der Geheimdienst-Schlagzeile die falsche Konsequenz ziehen und nach Speziallösungen suchen. Die Ursachenliste der Studie ist eindeutig: Erkennung, Konfiguration, Zugriffsrechte. Diese Themen gehören in die laufende Betreuung. Mit einer einmaligen Anschaffung sind sie nicht erledigt. Wer sie an einen festen Verantwortlichen bindet und regelmäßig prüft, verbessert seine Position gegen jede Tätergruppe. Wer sie zwischen internen Zuständigkeiten und wechselnden Dienstleistern liegen lässt, produziert genau die Lücken, die in dieser Statistik als Ursache auftauchen. Warum diese Verantwortung nicht an einer einzelnen Person hängen sollte, steht im Beitrag zum Klumpenrisiko bei der IT-Betreuung.

Wenn Sie prüfen möchten, wie Ihr Unternehmen bei den drei Hauptursachen aus der Studie tatsächlich steht, sprechen Sie uns an. ITCC betreut kleine und mittlere Unternehmen als externe IT-Abteilung und arbeitet genau diese Punkte im laufenden Betrieb ab, statt sie zum Projekt zu machen.