Die kurze Antwort
Bitkom und BfV melden: Nahezu alle deutschen Unternehmen waren 2026 von Cyberangriffen, Wirtschaftsspionage oder Sabotage betroffen oder vermuten es. Die Schaeden durch digitale Angriffe dominieren die Gesamtbilanz. Erstmals ist eine vollstaendig KI-generierte Angriffskampagne aus China dokumentiert. Gleichzeitig ist der Anteil der Firmen, die auslaendische Geheimdienste hinter Attacken vermuten, gegenueber den Vorjahren deutlich gestiegen.
Fuer Unternehmen, die Softwaresysteme betreiben oder entwickeln lassen, ist das kein abstrakter Lagebericht. Er beschreibt den konkreten Bedrohungskontext, in dem jede Anwendung, jede API und jedes Cloud-System heute laeuft. Die Antwort beginnt mit einem realistischen Bild der eigenen Angriffsoberflaeche — und professionellen Penetrationstests und Sicherheitsaudits sind dabei der erste Schritt.
Was die Studie Wirtschaftsschutz 2026 zeigt
Die jaehrliche Gemeinschaftsstudie von Bitkom und BfV gilt als einer der zuverlässigsten Lageberichte zur Cybersicherheit in Deutschland. Fuer die 2026-Ausgabe wurden Unternehmen unterschiedlicher Groessen und Branchen befragt. Die wesentlichen Befunde:
- Nahezu universelle Betroffenheit. Ein ueberwaeltigender Anteil der deutschen Unternehmen berichtet von Cyberangriffen, Datendiebstahl oder Sabotage — oder vermutet, Opfer geworden zu sein, ohne es bisher nachgewiesen zu haben.
- Digitale Angriffe dominieren die Schadensbilanz. Der groesste Teil des wirtschaftlichen Gesamtschadens entfaellt auf den digitalen Kanal: Ransomware, Datenexfiltration und Systemausfaelle treffen Unternehmen messbar haerter als physische Spionage oder Sabotage.
- Mittelstand nicht laenger im Schutz der Anonymitaet. Staatlich gesteuerte Angreifer und kriminelle Gruppen haben ihre Zielauswahl systematisiert. Kleine und mittlere Unternehmen gelten als attraktive Zwischenziele, wenn sie in Lieferketten grösserer Konzerne eingebunden sind.
KI als Angriffsverstärker: Das neue Bedrohungsniveau
Das praegende Thema der diesjaehrigen Studie ist die Rolle kuenstlicher Intelligenz als Angriffsmittel. Bisher war KI vor allem ein Thema der Verteidigungsseite — Anomalieerkennung, Verhaltensanalyse, automatisiertes Patching. Wirtschaftsschutz 2026 dokumentiert erstmals eine vollstaendig KI-generierte Angriffskampagne, die dem chinesischen Nachrichtendienst zugeordnet wird.
Was das konkret bedeutet:
- Personalisierung in Echtzeit. KI-generierte Phishing-Mails sind nicht mehr an generischer Sprache erkennbar. Systeme erzeugen massgeschneiderte Nachrichten auf Basis oeffenlich zugaenglicher Informationen ueber Zielpersonen — Linkedin-Profile, Unternehmenswebsites, Pressemitteilungen.
- Niedrigere Angriffshuerden fuer die Breite. Was frueher erfahrene Entwickler erforderte — Malware, Exploits, Schwachstellenanalyse — laesst sich mit LLM-gestuetzten Werkzeugen erheblich schneller produzieren. Das vergroessert den Pool potenzieller Angreifer drastisch.
- Angriffstempo steigt. Zwischen erstem Zugriff und vollstaendiger Kompromittierung eines Netzwerks liegt bei KI-unterstuetzten Akteuren deutlich weniger Zeit als bei klassischen Angreifern. Fuer Incident-Response-Teams verkuerzt das das verfuegbare Reaktionsfenster.
Fuer Unternehmen, die KI selbst in ihre Produkte oder Prozesse einbetten, kommt eine weitere Dimension hinzu: Der EU AI Act erfordert fuer hochriskante Systeme explizit Sicherheitsnachweise. Wer jetzt in EU AI Act Compliance investiert, legt damit zugleich eine belastbare Sicherheitsgrundlage fuer KI-gestuerzte Angriffsvektoren.
Staatliche Akteure: Auslaendische Geheimdienste haeufiger im Hintergrund
Laut BfV ist der Anteil der Unternehmen, die hinter Attacken auslaendische Nachrichtendienste vermuten, im Mehrjahresvergleich deutlich gestiegen. Dieser Anstieg reflektiert zwei Entwicklungen gleichzeitig.
Erstens: bessere Forensik. Mehr Unternehmen investieren in Threat Intelligence und externe Incident-Response-Kapazitaeten. Das verbessert die Attribution — Muster, Werkzeuge und Infrastrukturen koennen bestimmten Akteuren zuverlässiger zugeordnet werden.
Zweitens: hoehere Intensitaet. Der BfV bestaetigt, dass digitale Operationen gegen die deutsche Wirtschaft koordinierter und methodisch aufwaendiger geworden sind. Dahinter steckt in vielen Faellen staatlich gesteuertes Vorgehen, das auf Technologietransfer, Marktinformationen und kritische Infrastrukturen zielt.
Fuer Mittelstaendler, die bisher davon ausgegangen sind, fuer staatliche Akteure zu klein und zu uninteressant zu sein, ist das ein Korrektiv: Wer Teil einer relevanten Lieferkette ist — sei es in Automotive, Maschinenbau, Energie oder Logistik —, ist potenziell ein Angriffspfad zu groesseren Zielen.
Was der Bericht fuer Software-Teams konkret bedeutet
Die Bitkom-Erhebung ist kein Appell an abstrakte Cyberresilienz. Sie beschreibt den realen Kontext, in dem jede Anwendung laeuft, die ein deutsches oder europaeisches Unternehmen betreibt. Daraus ergeben sich konkrete Implikationen:
- Sicherheit muss in den Entwicklungsprozess. Nachtraegliche Sicherheitsauflagen — ein Penetrationstest nach dem Go-live, Schwachstellenscans auf Anfrage — decken nur einen Bruchteil der realen Angriffsoberflaeche ab. Security by Design ist kein Qualitaetslabel, sondern eine betriebliche Notwendigkeit.
- NIS2 und KRITIS fordern konkrete Nachweise. Betroffene Unternehmen muessen Sicherheitsmassnahmen dokumentieren, Vorfaelle melden und Lieferketten absichern. Softwareanbieter und -entwickler gehoeren dazu — nicht nur als Zulieferer, sondern als eigenstaendige Betreiber.
- Incident Response braucht einen Plan, bevor der Angriff passiert. Unternehmen ohne Playbook verlieren im Ernstfall Tage mit Abstimmung statt mit Eindaemmung. Das ist der Moment, in dem Ransomware-Schaeden eskalieren.
- Supply-Chain-Risiko wird oft unterschaetzt. Eigene Systeme mogen gehaertet sein — aber was ist mit Drittanbieter-SDKs, Cloud-Diensten, Open-Source-Komponenten? Die groessten Vorfaelle der letzten Jahre haben fast immer eine Lieferketten-Dimension.
Handlungsempfehlungen fuer DACH-Unternehmen
Aus dem Bitkom-Lagebericht und den Anforderungen aus NIS2, KRITIS und EU AI Act ergibt sich fuer IT-Entscheider und Engineering-Teams eine priorisierte Agenda:
- Angriffsoberflaeche bestimmen. Inventur aller extern erreichbaren Systeme, APIs, Subdomains und Cloud-Assets. Was unbekannt ist, kann nicht gehaertet werden.
- Penetrationstest beauftragen. Ein jaehrlicher, strukturierter Pentest nach OWASP- oder PTES-Standard liefert ein realistisches Bild der tatsaechlichen Schwachstellen — nicht nur der bekannten CVEs.
- Incident-Response-Plan validieren. Tabletop-Uebungen zeigen, wo der Plan in der Praxis bricht. Der Test kostet ein paar Stunden — der echte Vorfall kostet Tage oder Wochen.
- Drittanbieter-Abhaengigkeiten pruefen. Software-Composition-Analyse (SCA) fuer alle Open-Source-Komponenten; Lieferantenaudits fuer kritische Dienstleister.
- KI-Systeme separat bewerten. Wer KI einsetzt oder entwickelt, sollte zusaetzlich die spezifischen Angriffsvektoren gegen KI-Modelle kennen: Prompt Injection, Modell-Poisoning, Membership Inference. EU AI Act High-Risk-Klassifizierung bringt hier explizite Pflichten mit.
FAQ
- Was ist die Bitkom-Studie Wirtschaftsschutz?
- Die jaehrliche Gemeinschaftsstudie von Bitkom und BfV misst den wirtschaftlichen Schaden durch Cyberangriffe, Spionage und Sabotage in der deutschen Wirtschaft und analysiert Angriffsmuster, Taetertypologien und Entwicklungen. Sie gilt als einer der zuverlässigsten oeffentlichen Lageberichte zur Cybersicherheit in Deutschland.
- Wie gefaehrlich sind KI-gestuetzte Cyberangriffe fuer deutsche Unternehmen?
- KI ermoeglicht es Angreifern, Phishing-Mails und Malware-Varianten in einem Bruchteil der bisherigen Zeit zu erzeugen. Laut Wirtschaftsschutz 2026 ist erstmals eine vollstaendig KI-generierte Angriffskampagne dokumentiert. Das senkt die Einstiegshuerde fuer Angreifer drastisch und macht auch kleinere Unternehmen zu lohnenswerten Zielen.
- Was koennen Unternehmen gegen KI-gestuetzte Angriffe tun?
- Der erste Schritt ist ein realistisches Bild der eigenen Angriffsoberflaeche durch einen professionellen Penetrationstest. Danach kommen technische Massnahmen wie MFA, Netzwerksegmentierung und Anomalieerkennung sowie ein validierter Incident-Response-Plan. Unternehmen, die unter NIS2 oder KRITIS fallen, muessen zudem die gesetzlichen Resilienznachweise erbringen.
- Warum steigt der Anteil der Firmen, die auslaendische Geheimdienste vermuten?
- Zum einen verbessert sich die forensische Attribution: Mehr Unternehmen investieren in Threat Intelligence und koennen Angriffe zuverlässiger bestimmten Akteuren zuordnen. Zum anderen bestaetigt der BfV, dass digitale Operationen gegen die deutsche Wirtschaft koordinierter und methodisch aufwaendiger geworden sind — ein Muster, das auf staatlich gesteuerte Angreifer hindeutet.
Quellen: heise online, 26.08.2026 — heise online, 26.08.2026 — Bitkom, Wirtschaftsschutz 2026, 26.08.2026
Wollen Sie wissen, wie exponiert Ihre Softwaresysteme wirklich sind? Sprechen Sie mit unserem Security-Team — wir bewerten Ihre Angriffsoberflaeche und skizzieren konkrete Sicherheitsmassnahmen fuer Ihre Infrastruktur.