Wie sicher ist Deutschland wirklich?
Deutschland ist nicht sicher. Es ist nur noch nicht überall erpresst worden.
Wir diskutieren über digitale Souveränität, während neun von zehn Unternehmen bereits getroffen wurden. Die Zahlen dazu sind öffentlich. Man muss sie nicht recherchieren. Man muss sie nur ernst nehmen wollen.
Was die Lage tatsächlich sagt
Der Schaden durch Datendiebstahl, Spionage und Sabotage lag 2025 bei 289,2 Milliarden Euro, ein Plus von rund acht Prozent. 87 Prozent der Unternehmen berichten von entsprechenden Vorfällen, weitere zehn Prozent vermuten sie (Bitkom, Wirtschaftsschutz 2025). Rund 202,4 Milliarden Euro davon entfallen direkt auf Cyberangriffe.
Das ist keine IT-Kennzahl mehr. Das ist eine volkswirtschaftliche Größe.
Der BSI-Lagebericht 2025 mit dem Berichtszeitraum Juli 2024 bis Juni 2025 liefert die Erklärung dazu. Vier Befunde sind entscheidend:
- Die Selbstwahrnehmung ist das eigentliche Risiko: 91 Prozent der kleinen und mittleren Unternehmen schätzen ihre IT-Sicherheit als gut ein. In 600 durchgeführten CyberRisikoChecks nach DIN SPEC 27076 erfüllten sie im Schnitt knapp 56 Prozent der geprüften Anforderungen, mit Schwächen, die sich mit geringem Aufwand ausnutzen lassen. Zur Einordnung: Das sind Unternehmen, die den Check freiwillig gemacht haben. Die Grundgesamtheit dürfte schlechter liegen, nicht besser.
- Das Tempo ist nicht nebenbei zu halten: 119 neue Sicherheitslücken pro Tag, ein Anstieg von 24 Prozent. 2022 waren es 68, 2023 dann 78, 2024 bereits 96. Wer Patchmanagement als Nebentätigkeit der IT-Abteilung führt, verliert dieses Rennen strukturell, nicht wegen mangelnder Sorgfalt.
- Die Tür steht in vielen Fällen bereits offen: Hinter 47 Prozent der erreichbaren IP-Adressen von .de-Domains waren sensible Informationen öffentlich aus dem Internet einsehbar, darunter Geoinformationen und Hinweise auf potenzielle Schwachstellen. Das ist kein Angriff. Das ist ein unverschlossenes Werkstor.
- Die Angreifer haben ihr Geschäftsmodell umgestellt: Das BKA registrierte 950 Ransomware-Angriffe. Statt sich aufwendig an Großkonzernen abzuarbeiten, zielen die Täter mit geringerem Aufwand auf die Masse schwach geschützter Mittelständler und fordern dort kleinere Einzelsummen. Rund 80 Prozent der Ransomware-Angriffe treffen KMU. Und Backups helfen nur gegen die Verschlüsselung, nicht gegen die zweite Erpressungsstufe, die Drohung mit der Veröffentlichung gestohlener Daten.
Wer glaubt, zu klein zu sein, hat das Geschäftsmodell der Gegenseite nicht verstanden.
Der unbequeme Teil: Die Regulierung ist da, die Umsetzung nicht
Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft, die Registrierungsfrist beim BSI lief am 6. März 2026 ab. Rund 29.500 Unternehmen stehen jetzt unter BSI-Aufsicht, zuvor waren es etwa 4.500. Die Bußgelder reichen bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes.
Registriert hatten sich bis März 2026 nur rund 11.500 Unternehmen. Die Betroffenheitsprüfung gehört weiterhin zu den größten Fehlerquellen, besonders bei Konzernstrukturen und Zurechnungsfragen. Das BSI hat eine Nachfrist bis zum 31. Juli 2026 gesetzt; eine verspätete Registrierung bleibt möglich, ihr Fehlen ist ein eigenständiger Bußgeldtatbestand.
Zwei Drittel der Betroffenen haben also nicht einmal den rein administrativen Schritt getan. Das Problem ist nicht die Technik. Es ist die Verantwortungsübernahme. § 38 BSIG verlangt von Geschäftsleitungen ausdrücklich die Überwachung der Umsetzungsmaßnahmen und regelmäßige Schulung. Cybersicherheit ist damit Leitungsaufgabe, nicht Delegationsobjekt.
Was konkret zu tun ist, in den nächsten 30 Tagen
Nicht im nächsten Budgetzyklus. Zehn Maßnahmen, jede mit einem prüfbaren Ergebnis:
- Betroffenheitsprüfung schriftlich dokumentieren. Nicht „wir sind wohl nicht betroffen", sondern mit Sektorzuordnung, Schwellenwerten und Konzernzurechnung. Ergebnis: ein unterschriebenes Dokument, das vor der Aufsicht Bestand hat.
- Externen Penetrationstest beauftragen, auf alles, was von außen erreichbar ist. VPN-Gateways, Exchange und OWA, Fernwartungszugänge, Webanwendungen, Kundenportale. Scope schriftlich festlegen, Findings nach CVSS priorisieren, Behebungsfristen vereinbaren und einen Retest einplanen. Ohne Retest ist der Bericht ein Dokument, keine Verbesserung. § 30 Abs. 2 Nr. 6 BSIG verlangt Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen. Genau das ist ein Penetrationstest: der Nachweis, dass Maßnahmen nicht nur existieren, sondern wirken.
- Internen Penetrationstest oder Assumed-Breach-Assessment durchführen. Die Annahme lautet: Ein Arbeitsplatz ist bereits kompromittiert. Wie weit kommt der Angreifer? Wie lange braucht er bis zu Domain-Admin-Rechten? Die meisten Ransomware-Fälle scheitern nicht am Perimeter, sie eskalieren in der Rechtestruktur.
- Active Directory bewerten lassen. Privilegierte Konten, Service-Accounts mit veralteten Passwörtern, fehlendes Tiering, Angriffsflächen wie Kerberoasting. Das ist der Hebel mit dem besten Verhältnis von Aufwand zu Wirkung, und der am häufigsten übersehene.
- Phishing-Simulation mit Auswertung, nicht mit Pranger. Ziel ist die Meldequote, nicht die Klickquote. Eine Organisation, in der Verdachtsfälle innerhalb von Minuten gemeldet werden, ist widerstandsfähiger als eine, in der niemand klickt, aber auch niemand meldet.
- Restore-Test unter Zeitmessung. Die Frage ist nicht „haben wir Backups", sondern „in wie vielen Stunden läuft die Fertigung wieder". Backups offline und unveränderbar halten. Und das Datenleak-Szenario mitdenken: Wiederherstellung löst die Erpressung nicht auf.
- Lieferkette bewerten. § 30 Abs. 2 Nr. 4 BSIG verlangt die Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. Praktisch: alle Lieferanten mit Systemzugriff, Datenbezug oder Verfügbarkeitswirkung erfassen, bewerten, vertraglich nachziehen, Meldewege klären.
- Krisenübung mit der Geschäftsführung, und protokollieren. Zwei Stunden Tabletop, inklusive Datenleak, Presseanfrage und der Frage, wer bei Ausfall der Mailinfrastruktur wen erreicht. Das Protokoll ist im Schadensfall Ihr Haftungsnachweis nach § 38 BSIG.
- Für Unternehmen ohne eigenes ISMS: CyberRisikoCheck nach DIN SPEC 27076. Das BSI empfiehlt ihn als niederschwelligen Einstieg in ein systematisches Risikomanagement. Bund und Länder bezuschussen die Umsetzung der empfohlenen Maßnahmen derzeit mit bis zu 50 Prozent. Diese Förderung wird auffällig selten abgerufen.
- Registrierung nachholen, falls versäumt. Über das BSI-Portal. Die Nachfrist ist abgelaufen, die Registrierung bleibt trotzdem sinnvoll: Sie zeigt der Aufsicht Reaktionsfähigkeit.
Aus der Praxis: Produktionsausfälle durch Cyberangriffe sind keine theoretische Größe. Der Angriff auf Jaguar Land Rover im September 2025 führte zu einem wochenlangen Stillstand der Fertigung, mit Auswirkungen bis in die Zulieferkette. Die Frage in der Fertigung lautet deshalb nicht, ob die IT sicher ist, sondern wie lange die Produktion ohne sie weiterläuft und an welcher Stelle die Netze getrennt sind.
Wenn Sie nicht wissen, wo Sie anfangen sollen
Rufen Sie an: 0171 780 8084.
Ich mache das nicht allein. Ich arbeite mit einem Team aus Auditoren, Penetrationstestern und OT-Sicherheitsspezialisten, je nach Lage in Ihrem Haus. Wer anruft, bekommt zuerst eine ehrliche Einschätzung, ob überhaupt Handlungsbedarf besteht. Kein Angebot.
Ob Deutschland verwundbar ist, beantworten die Zahlen. Offen bleibt nur, warum Cybersicherheit in so vielen Vorständen immer noch als Thema gilt, das die IT schon irgendwie regelt.