Cybersecurity: Wir kennen das Risiko – aber handeln wir auch danach?

45 Prozent der deutschen Unternehmen waren innerhalb nur eines Jahres von Ransomware-Angriffen betroffen. Jedes fünfte betroffene Unternehmen hat bereits Lösegeld gezahlt.

Diese Zahlen aus der aktuellen Bitkom-Erhebung vom September 2026 sollten aufhorchen lassen. Nicht, weil Cyberangriffe etwas Neues wären. Sondern weil sie eine bemerkenswerte Diskrepanz offenlegen: Wir wissen, wie groß die Gefahr ist. Aber wir handeln vielfach noch immer nicht so, als hätten wir die Dimension des Risikos wirklich verstanden. Und vielleicht haben wir das auch noch nicht.

Die Realität: Fast jedes zweite Unternehmen wurde mit Ransomware angegriffen

Die aktuelle repräsentative Bitkom-Befragung von 1.003 Unternehmen in Deutschland zeigt:

• 45 % waren innerhalb der vergangenen zwölf Monate von Ransomware-Angriffen betroffen.
• Bei 25 % aller befragten Unternehmen ist dadurch tatsächlich ein Schaden entstanden.
• 20 % der von Ransomware betroffenen Unternehmen haben bereits Lösegeld gezahlt.

Und wenn gezahlt wird, geht es keineswegs um Bagatellbeträge:

• 24 % der zahlenden Unternehmen überwiesen zwischen 100.000 und 500.000 Euro.
• 6 % zahlten zwischen 500.000 und einer Million Euro.
• 4 % sogar eine Million Euro oder mehr.

Cybercrime ist damit längst kein abstraktes IT-Risiko mehr. Es ist ein konkretes Unternehmens-, Finanz- und Existenzrisiko.

Und trotzdem glauben 54 % der CEOs: Cybersecurity ist teurer als der Cyberangriff

Genau hier beginnt die eigentliche Diskussion. Accenture hat für die Studie „The Cyber-Resilient CEO" 1.000 CEOs aus 15 Ländern befragt. Das bemerkenswerte Ergebnis:

54 % der CEOs glauben, dass die Kosten für die Implementierung von Cybersecurity höher sind als die Kosten eines Cyberangriffs. Gleichzeitig sorgen sich 74 % um die Fähigkeit ihres Unternehmens, einen Cyberangriff abzuwehren oder dessen Schäden zu begrenzen. Und nur 15 % haben spezielle Board-Meetings, in denen Cybersecurity thematisiert wird. Noch bemerkenswerter: 91 % der CEOs betrachten Cybersecurity als technische Funktion in der Verantwortung von CIO oder CISO.

Das zeigt einen entscheidenden Punkt: Cybersecurity wird zwar als Gefahr erkannt – aber noch zu häufig als IT-Thema und Kostenposition behandelt und nicht als strategische Managementaufgabe. Dabei zeigt dieselbe Accenture-Untersuchung: Unternehmen, die Cybersecurity priorisieren, können bis zu dreimal niedrigere Kosten durch Cybervorfälle aufweisen als Vergleichsunternehmen.

EY bestätigt das Problem: Cybersecurity bleibt eine „Kostenstelle"

Eine aktuelle EY-Studie aus 2025 mit 800 C-Level-Führungskräften zeigt eine ähnliche Diskrepanz: 84 % der C-Suite-Führungskräfte betrachten Cybersecurity-Investitionen als Cost Center. Und 68 % sagen, dass in ihrem Unternehmen kurzfristige umsatzgenerierende Investitionen gegenüber Investitionen zum Schutz vor Cyberbedrohungen priorisiert werden. Gleichzeitig sorgen sich 60 %, dass die Cyberbedrohungen, denen ihr Unternehmen ausgesetzt ist, bereits weiter entwickelt sein könnten als die eigene Verteidigung.

Das ist ein bemerkenswerter Widerspruch: Wir erkennen die zunehmende Gefahr – behandeln den Schutz davor aber weiterhin primär als Kostenfaktor.

Und der deutsche Mittelstand?

Gerade hier wird die Diskrepanz besonders relevant. PwC hat 2026 400 Führungskräfte mittelständischer Unternehmen in Deutschland zum Stand ihrer Cyberresilienz befragt. Das Ergebnis ist bereits im Titel der Studie zusammengefasst: „Trügerische Sicherheit: Der deutsche Mittelstand überschätzt seine Cyber-Abwehrkräfte".

PwC stellt eine deutliche Lücke zwischen der Selbsteinschätzung der Unternehmen und dem tatsächlich festgestellten Schutzniveau fest. Hinzu kommt eine teilweise erhebliche Unterinvestition: Selbst Unternehmen mit 500 und mehr Beschäftigten investieren teilweise weniger als 50.000 Euro pro Jahr in ihre IT-Sicherheit. Bei Unternehmen mit mehr als 1.000 Mitarbeitenden verfügen 37 % über ein IT-Sicherheitsbudget von weniger als einer Million Euro. Und bei 46 % der Unternehmen liegt der letzte praktische Test des Notfallplans bereits mehr als ein Jahr zurück.

Das ist besonders bemerkenswert, wenn wir diese Zahlen mit den aktuellen Bitkom-Ergebnissen vergleichen.

Die eigentliche Frage: Was kostet es, nicht ausreichend vorbereitet zu sein?

Vielleicht stellen wir also die falsche Frage. Die Frage lautet nicht: „Wie viel kostet uns Cybersecurity?" Die entscheidende Frage müsste lauten: „Was kostet es uns, nicht ausreichend vorbereitet zu sein?"

• Produktionsstillstand
• Betriebsunterbrechung
• Umsatzausfall
• Datenverlust
• Wiederherstellungskosten
• Forensik und externe Spezialisten
• Lösegeldforderungen
• Haftungs- und regulatorische Risiken
• Vertrauensverlust bei Kunden und Geschäftspartnern
• Reputationsschäden

Und im schlimmsten Fall die Gefährdung der wirtschaftlichen Existenz. Eines der bekannten Fälle: Fasana, Deutschland – vom Cyberangriff zur Schließung in weniger als sechs Monaten. Aber auch andere Fälle wie Eu-Rec, Unico Data und KNP Logistics zeigen eindringlich: „Ein Cyberangriff trifft nicht nur die IT. Er trifft Produktion, Umsatz, Liquidität, Finanzierung, Kundenvertrauen und Reputation – und kann damit zum existenzentscheidenden Ereignis für ein Unternehmen werden."

Die Investition in Cybersecurity ist deshalb nicht einfach eine weitere Position im IT-Budget. Sie ist eine Investition in die Resilienz und Zukunftsfähigkeit eines Unternehmens.

Cybersecurity gehört auf die Agenda der Unternehmensleitung

Und genau hier liegt eine der zentralen Herausforderungen: Wir müssen Cybersecurity aus der ausschließlich technischen Betrachtung herauslösen. Natürlich brauchen wir hervorragende Technologie, kompetente CISOs, IT-Security-Spezialisten und leistungsfähige Cybersecurity-Unternehmen. Aber die Entscheidung darüber, welches Risiko ein Unternehmen bereit ist zu tragen und welchen Schutz es dafür benötigt, ist keine IT-Entscheidung. Es ist eine unternehmerische Entscheidung.

Cybersecurity gehört deshalb auf die Agenda von Geschäftsführungen, Vorständen und Aufsichtsgremien. Nicht erst nach einem Angriff. Sondern vorher.

Vom Reagieren zum Vorbereiten

Bitkom-Präsident Ralf Wintergerst bringt einen weiteren Aspekt auf den Punkt: „Jede Zahlung finanziert den nächsten Angriff." Wer erst im Moment eines erfolgreichen Ransomware-Angriffs über seine Handlungsoptionen nachdenkt, ist zu spät.

Deshalb müssen wir die Diskussion verändern: weg von „Was kostet uns Cybersecurity?" hin zu „Welche Cyberrisiken können und wollen wir als Unternehmen überhaupt tragen?" Und von „Was machen unsere IT-Leute dagegen?" hin zu „Was müssen wir als Unternehmensleitung tun, damit unser Unternehmen auch nach einem erfolgreichen Angriff handlungsfähig bleibt?"

Denn vielleicht ist die größte Gefahr nicht, dass wir die Cyberbedrohung nicht kennen. Vielleicht ist die größere Gefahr, dass wir sie nur (glauben zu) kennen – und trotzdem nicht konsequent genug danach handeln.

Lassen Sie uns gemeinsam für mehr Cyber-Sicherheit und Cyber-Resilienz in Wirtschaft und Gesellschaft eintreten. Handeln wir jetzt!

Sicherheit gibt es nur gemeinsam! Mehr erfahren: Mitglied werden oder Newsletter abonnieren.