eco IT-Sicherheitsumfrage: Knapp ein Drittel mit spürbaren Folgen durch Cybervorfälle – Mittelstand braucht Unterstützung

• Laut IT-Sicherheitsumfrage des eco berichten 31 Prozent der Befragten von Vorfällen mit spürbaren Auswirkungen, etwa Betriebsunterbrechungen oder Datenabflüssen
• 42 Prozent der Unternehmen erleben mehr relevante Cybersicherheitsvorfälle im Vergleich zum Vorjahr
• Drei Viertel der Befragten sehen eigene Verbesserungen im Umgang mit Vorfällen, doch neue Angriffsmuster und höhere Angriffsvolumen setzen Unternehmen unter Druck
• eco: Der Mittelstand braucht Unterstützung bei Cyberresilienz, fast die Hälfte hält NIS2-Umsetzung nur mit externer Hilfe für realisierbar

Unternehmen sehen Fortschritte im Umgang mit Cybervorfällen, stehen aber weiter unter hohem Anpassungsdruck. Das zeigt die IT-Sicherheitsumfrage 2026 des eco - Verband der Internetwirtschaft e.V., die passend zum European Cybersecurity Month veröffentlicht wird. Knapp ein Drittel der befragten 100 IT-Entscheider:innen berichtet von sicherheitsrelevanten Vorfällen mit spürbaren Auswirkungen in den vergangenen zwölf Monaten. Bei 42 Prozent haben relevante Cybersicherheitsvorfälle im Vergleich zum Vorjahr deutlich oder eher zugenommen. Die größte Bedrohung geht aus Sicht der Befragten weiterhin von cyberkriminellen Akteuren aus.

"Die Umfrage macht deutlich, dass viele Unternehmen beim Umgang mit Cybervorfällen professioneller geworden sind. Gleichzeitig reicht klassische Prävention allein nicht mehr aus. Cyberresilienz bedeutet, Angriffe früh zu erkennen, Auswirkungen zu begrenzen und den Geschäftsbetrieb im Krisenfall schnell wiederherzustellen", sagt Norbert Pohlmann, Vorstand IT-Sicherheit bei eco.

Neue Angriffsmuster und mehr Volumen erhöhen den Druck

Laut Umfrage müssen sich Unternehmen nicht nur auf neue Angriffsmethoden einstellen. Auch bekannte Muster treten häufiger oder in größerem Umfang auf. 28 Prozent der Befragten berichten von neuartigen Angriffsmustern, 29 Prozent von identischen Angriffsmustern in erhöhtem Volumen. Cyberresilienz muss daher beides leisten: neue Bedrohungen erkennen und bestehende Schutzmechanismen auch unter höherer Belastung stabil halten.

Gleichzeitig gibt es Fortschritte. Fast die Hälfte der Befragten sieht deutliche Verbesserungen im Umgang mit sicherheitsrelevanten Vorfällen gegenüber dem Stand vor ein bis zwei Jahren. Als besonders wirksam nennen die Befragten Schulung und Sensibilisierung der Mitarbeitenden, technische Modernisierung der Sicherheitsinfrastruktur, Security Operations Center, klare Zuständigkeiten und Incident-Response-Pläne.

Regulierung macht Cybersicherheit zur Organisationsaufgabe

NIS2, das KRITIS-Dachgesetz und weitere IT-Sicherheitsvorgaben erhöhen den Druck auf Unternehmen, Cybersicherheit organisatorisch stärker zu verankern. Besonders herausfordernd bewerten die Befragten Nachweispflichten, Audits, Meldeprozesse und Risikomanagement. Für den Mittelstand bleibt die Umsetzung besonders anspruchsvoll: Knapp die Hälfte der Befragten hält die NIS2-Umsetzung im Mittelstand nur mit externer Unterstützung für realisierbar.

"Gerade der Mittelstand hat oft weder das Budget noch die personellen Ressourcen, um mit wachsenden regulatorischen und technischen Anforderungen Schritt zu halten", so Pohlmann.

Im Ernstfall zählt Wiederherstellungsfähigkeit

Knapp ein Drittel der befragten Unternehmen berichtet von sicherheitsrelevanten Vorfällen mit spürbaren Auswirkungen in den vergangenen zwölf Monaten. Dazu zählen Betriebsunterbrechungen, Produktionsstillstände, Datenabflüsse, Manipulationen von Prozessen oder Produkten sowie Erpressungsversuche.

Entscheidend ist daher, wie lange Unternehmen den Ausfall geschäftskritischer Systeme tolerieren können und ob sie über passende Notfall- und Wiederanlaufpläne verfügen. Cyberversicherungen können finanzielle Risiken ergänzend abfedern, ersetzen aber keine präventiven Maßnahmen, keine Notfallplanung und keine belastbare Wiederherstellungsfähigkeit.

Staatliche Unterstützung bleibt wichtig

Aus Sicht der Befragten sind auch staatliche Akteure gefragt. Vom Bundesamt für Sicherheit in der Informationstechnik (BSI) erwarten Unternehmen vor allem Orientierung, praxistaugliche Standards, zentrale Threat Intelligence und verlässliche Austauschformate. Eine rein kontrollierende oder sanktionierende Rolle reicht aus Sicht vieler Unternehmen nicht aus, um den praktischen Unterstützungsbedarf zu adressieren.

"Die Zahlen zeigen: Unternehmen nehmen ihre Verantwortung ernst und werden handlungsfähiger. Damit das auch beim Mittelstand ankommt, braucht es aber eine engere Zusammenarbeit zwischen Staat und Wirtschaft - mit praxistauglichen Standards und konkreter Orientierung statt zusätzlicher Komplexität", so Pohlmann.

Zur Studie

Die IT-Sicherheitsumfrage 2026 wurde von der Kompetenzgruppe Sicherheit von eco - Verband der Internetwirtschaft e.V. durchgeführt. Die Datenerhebung fand von September bis Dezember 2025 statt. Befragt wurden insgesamt 100 Expert:innen für IT-Sicherheit im Rahmen von Online-Formaten sowie bei Live-Veranstaltungen.

Kostenloser Download: IT-Sicherheitsumfrage 2026 >>

Teilnahme IT-Sicherheitsumfrage 2027 >>