Management Summary

Angriffsdruck steigt: 42 Prozent der Befragten registrieren mehr relevante Cybervorfälle als im Vorjahr; 31 Prozent berichten von spürbaren Folgen.
Resilienz wird zum Geschäftsfaktor: Prävention allein genügt nicht. Erkennung, Eindämmung, Wiederanlauf und belastbare Krisenkommunikation müssen zusammenspielen.
Organisation entscheidet: Schulungen, moderne Sicherheitsinfrastruktur, klare Verantwortlichkeiten, Security Operations und getestete Incident-Response-Pläne gelten als besonders wirksam.
NIS2 verlangt Führung: Risikomanagement, Meldewege, Nachweise und Lieferkettensicherheit gehören auf die Agenda der Geschäftsleitung; das BSI bezeichnet Cybersicherheit ausdrücklich als Chefinnen- und Chefsache. [2]
Mittelstand braucht Priorisierung: Begrenzte Budgets erfordern einen risikobasierten Fahrplan, externe Expertise an Engpässen und regelmäßige Tests der Wiederherstellungsfähigkeit.

Die Abwehr wird besser, doch die Risiken wachsen schneller: Die eco IT-Sicherheitsumfrage 2026 zeichnet das Bild einer Wirtschaft unter dauerhaftem Cyberdruck. Besonders der Mittelstand muss technische Schutzmaßnahmen, belastbare Notfallprozesse und regulatorische Pflichten zu einer gemeinsamen Resilienzstrategie verbinden. Entscheidend ist nicht mehr nur, ob ein Angriff abgewehrt wird – sondern wie schnell das Unternehmen Schäden begrenzt und den Betrieb wieder aufnimmt.

Illustration Absmeier foto ki designer

Cyberresilienz verbindet Prävention, Erkennung, Reaktion und Wiederanlauf – und wird damit zur Managementaufgabe.

Unternehmen sehen Fortschritte im Umgang mit Cybervorfällen, stehen aber weiter unter hohem Anpassungsdruck. Das zeigt die IT-Sicherheitsumfrage 2026 des eco – Verband der Internetwirtschaft e.V., die passend zum European Cybersecurity Month veröffentlicht wird [1]. Knapp ein Drittel der befragten 100 IT-Entscheider berichtet von sicherheitsrelevanten Vorfällen mit spürbaren Auswirkungen in den vergangenen zwölf Monaten. Bei 42 Prozent haben relevante Cybersicherheitsvorfälle im Vergleich zum Vorjahr deutlich oder eher zugenommen. Die größte Bedrohung geht aus Sicht der Befragten weiterhin von cyberkriminellen Akteuren aus.

»Die Umfrage macht deutlich, dass viele Unternehmen beim Umgang mit Cybervorfällen professioneller geworden sind. Gleichzeitig reicht klassische Prävention allein nicht mehr aus. Cyberresilienz bedeutet, Angriffe früh zu erkennen, Auswirkungen zu begrenzen und den Geschäftsbetrieb im Krisenfall schnell wiederherzustellen«, sagt Norbert Pohlmann, Vorstand IT-Sicherheit bei eco.

Neue Angriffsmuster und mehr Volumen erhöhen den Druck

Laut Umfrage müssen sich Unternehmen nicht nur auf neue Angriffsmethoden einstellen. Auch bekannte Muster treten häufiger oder in größerem Umfang auf. 28 Prozent der Befragten berichten von neuartigen Angriffsmustern, 29 Prozent von identischen Angriffsmustern in erhöhtem Volumen. Cyberresilienz muss daher beides leisten: neue Bedrohungen erkennen und bestehende Schutzmechanismen auch unter höherer Belastung stabil halten.

Gleichzeitig gibt es Fortschritte. Fast die Hälfte der Befragten sieht deutliche Verbesserungen im Umgang mit sicherheitsrelevanten Vorfällen gegenüber dem Stand vor ein bis zwei Jahren. Als besonders wirksam nennen die Befragten Schulung und Sensibilisierung der Mitarbeitenden, technische Modernisierung der Sicherheitsinfrastruktur, Security Operations Center, klare Zuständigkeiten und Incident-Response-Pläne.

Regulierung macht Cybersicherheit zur Organisationsaufgabe

NIS2, das KRITIS-Dachgesetz und weitere IT-Sicherheitsvorgaben erhöhen den Druck auf Unternehmen, Cybersicherheit organisatorisch stärker zu verankern. Besonders herausfordernd bewerten die Befragten Nachweispflichten, Audits, Meldeprozesse und Risikomanagement. Für den Mittelstand bleibt die Umsetzung besonders anspruchsvoll: Knapp die Hälfte der Befragten hält die NIS2-Umsetzung im Mittelstand nur mit externer Unterstützung für realisierbar.

»Gerade der Mittelstand hat oft weder das Budget noch die personellen Ressourcen, um mit wachsenden regulatorischen und technischen Anforderungen Schritt zu halten«, so Pohlmann.

Im Ernstfall zählt Wiederherstellungsfähigkeit

Knapp ein Drittel der befragten Unternehmen berichtet von sicherheitsrelevanten Vorfällen mit spürbaren Auswirkungen in den vergangenen zwölf Monaten. Dazu zählen Betriebsunterbrechungen, Produktionsstillstände, Datenabflüsse, Manipulationen von Prozessen oder Produkten sowie Erpressungsversuche.

Entscheidend ist daher, wie lange Unternehmen den Ausfall geschäftskritischer Systeme tolerieren können und ob sie über passende Notfall- und Wiederanlaufpläne verfügen. Cyberversicherungen können finanzielle Risiken ergänzend abfedern, ersetzen aber keine präventiven Maßnahmen, keine Notfallplanung und keine belastbare Wiederherstellungsfähigkeit.

Staatliche Unterstützung bleibt wichtig

Aus Sicht der Befragten sind auch staatliche Akteure gefragt. Vom Bundesamt für Sicherheit in der Informationstechnik (BSI) erwarten Unternehmen vor allem Orientierung, praxistaugliche Standards, zentrale Threat Intelligence und verlässliche Austauschformate. Eine rein kontrollierende oder sanktionierende Rolle reicht aus Sicht vieler Unternehmen nicht aus, um den praktischen Unterstützungsbedarf zu adressieren.

»Die Zahlen zeigen: Unternehmen nehmen ihre Verantwortung ernst und werden handlungsfähiger. Damit das auch beim Mittelstand ankommt, braucht es aber eine engere Zusammenarbeit zwischen Staat und Wirtschaft – mit praxistauglichen Standards und konkreter Orientierung statt zusätzlicher Komplexität«, so Pohlmann.

Tipps für Unternehmen

Kritische Geschäftsprozesse priorisieren: Abhängigkeiten, maximale Ausfallzeiten und Mindestbetriebsniveaus gemeinsam mit den Fachbereichen festlegen.
Incident Response verbindlich organisieren: Rollen, Eskalationswege, externe Kontakte und Meldeprozesse dokumentieren; NIS2-regulierte Einrichtungen müssen entsprechende Prozesse etablieren. [2]
Wiederanlauf real testen: Backups allein reichen nicht. Wiederherstellung, Ersatzkommunikation und Entscheidungswege mindestens jährlich in realistischen Szenarien üben.
Lieferketten einbeziehen: Sicherheitsanforderungen, Meldepflichten und Wiederanlaufzusagen in Verträgen mit IT-Dienstleistern und Cloud-Anbietern konkretisieren.
Ressourcen risikobasiert einsetzen: Für kleine Unternehmen kann der CyberRisikoCheck nach DIN SPEC 27076 einen strukturierten Einstieg bieten. [3]
Kennzahlen ans Management berichten: Erkennungszeit, Reaktionszeit, Wiederherstellungszeit, Testquote und offene Hochrisiken regelmäßig transparent machen.

FAQ: Cyberresilienz, NIS2 und Mittelstand

Was ist die wichtigste Aussage der eco-Umfrage 2026?
Unternehmen professionalisieren ihre Abwehr, zugleich steigen Häufigkeit, Vielfalt und Folgen relevanter Vorfälle. 42 Prozent melden mehr Vorfälle als im Vorjahr, 31 Prozent spürbare Auswirkungen. [1]
Was unterscheidet Cyberresilienz von klassischer IT-Sicherheit?
IT-Sicherheit konzentriert sich stark auf Schutz und Prävention. Cyberresilienz umfasst zusätzlich Erkennung, Reaktion, Schadensbegrenzung, Wiederanlauf und Lernen nach einem Vorfall.
Warum ist das Thema für die Geschäftsleitung relevant?
Cybervorfälle können Umsatz, Produktion, Lieferfähigkeit und Reputation beeinträchtigen. Für NIS2-regulierte Einrichtungen ordnet das BSI Verantwortung, Überwachung und Schulung ausdrücklich der Geschäftsleitung zu. [2]
Welche Unternehmen fallen grundsätzlich in den NIS2-Rahmen?
Die EU-Richtlinie erfasst vor allem mittlere und große Einrichtungen in zahlreichen kritischen und wichtigen Sektoren. Die konkrete Betroffenheit richtet sich nach Tätigkeit, Größe und nationaler Umsetzung; das BSI stellt dafür eine Betroffenheitsprüfung bereit. [2][4]
Welche Pflichten stehen bei NIS2 im Mittelpunkt?
Zentral sind angemessene Risikomanagementmaßnahmen, die Bewältigung von Sicherheitsvorfällen, Meldeprozesse, Lieferkettensicherheit sowie Dokumentation und Aufsicht. [2][4]
Was gehört in einen belastbaren Incident-Response-Plan?
Er sollte Rollen, Auslösekriterien, Eskalationswege, technische Eindämmung, Beweissicherung, Kommunikation, Meldepflichten und Wiederanlauf enthalten. Das BSI hebt klare Abläufe und Zuständigkeiten als Grundlage schneller Schadensbegrenzung hervor. [2]
Wie oft sollten Notfallpläne getestet werden?
Ein fester, risikobasierter Turnus ist sinnvoll; zusätzlich sollten wesentliche Änderungen an Systemen, Dienstleistern oder Prozessen einen Test auslösen. Entscheidend ist, erkannte Lücken nachzuverfolgen und den Plan anzupassen.
Wie können kleine Unternehmen mit begrenztem Budget starten?
Sie sollten kritische Prozesse identifizieren, Basismaßnahmen priorisieren und externe Hilfe gezielt einkaufen. Der BSI-CyberRisikoCheck nach DIN SPEC 27076 bietet Unternehmen ohne eigene IT-Abteilung einen standardisierten Einstieg. [3]
Welche Rolle spielen Mitarbeitende?
Schulungen stärken die Erkennung verdächtiger Vorgänge und die sichere Eskalation. Sie müssen jedoch mit technischen Kontrollen, klaren Verfahren und einer fehleroffenen Meldekultur verbunden werden.
Welche Kennzahlen zeigen Fortschritt?
Geeignet sind unter anderem mittlere Erkennungs- und Reaktionszeit, Wiederherstellungszeit kritischer Dienste, Anteil getesteter Notfallpläne, Patch- und Backup-Erfolgsquoten sowie die Zahl überfälliger Hochrisikomaßnahmen.

Quellen

[1] Die IT-Sicherheitsumfrage 2026 wurde von der Kompetenzgruppe Sicherheit von eco – Verband der Internetwirtschaft e.V. durchgeführt. Die Datenerhebung fand von September bis Dezember 2025 statt. Befragt wurden insgesamt 100 Expert:innen für IT-Sicherheit im Rahmen von Online-Formaten sowie bei Live-Veranstaltungen.
Die vollständige IT-Sicherheitsumfrage 2026 steht auf der Seite des eco zum Download bereit: https://www.eco.de/themen/eco-studien-und-whitepaper/it-sicherheitsumfrage-2026/

[2] BSI – NIS2-regulierte Unternehmen und Incident Response: https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/nis-2-regulierte-unternehmen_node.html; https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-Infopakete/NIS-2-Incident-Response/NIS-2-Incident-Response_node.html

[3] BSI – IT-Sicherheit auch für KMU / CyberRisikoCheck: https://medien.bsi.bund.de/lagebericht/de/it-sicherheit-fuer-kmus/

[4] EUR-Lex – Richtlinie (EU) 2022/2555 (NIS2): https://eur-lex.europa.eu/eli/dir/2022/2555/oj?locale=de

Management Summary, FAQ und Bild wurden mit Hilfe von KI erstellt

926 Artikel zu „Cyberresilienz “

IT-Security | News | Tipps

Vier Best Practices für präventive Cyberresilienz

9. September 2026

Klassisches Patchmanagement allein hält mit der Geschwindigkeit moderner Angriffe nicht mehr Schritt. Unternehmen brauchen deshalb eine präventive Cyberresilienz, die den möglichen Ausbreitungsradius schon vor einem Vorfall begrenzt. Identitätsbasierte Mikrosegmentierung, gezielte Kompensationskontrollen und automatisierte Eindämmung schützen kritische Ressourcen, sichern die Geschäftskontinuität und verschaffen IT-Teams die nötige Zeit für getestete, risikoarme Patches. Management Summary Risiko realistisch bewerten:…