IT-Sicherheit für Unternehmen: Grundlagen, Bedrohungen und Schutzmaßnahmen 2026
IT-Sicherheit entscheidet heute darüber, ob ein Unternehmen einen Cyberangriff überlebt oder nicht. 81 % aller deutschen Unternehmen wurden 2024 angegriffen – der Gesamtschaden lag bei 266,6 Milliarden Euro. Hier bekommst du die wichtigsten Grundlagen, Zahlen und Maßnahmen kompakt und fundiert.
Die aktuelle Bedrohungslage: Warum kein Unternehmen sicher ist
IT-Sicherheit für Unternehmen ist 2026 wichtiger denn je – und die Zahlen sprechen eine klare Sprache. Laut Bitkom waren 81 % aller deutschen Unternehmen im Zwölfmonatszeitraum 2024 von Cyberangriffen betroffen. Weitere 10 % vermuten, dass sie angegriffen wurden, ohne es sicher zu wissen. Das bedeutet: Praktisch jedes Unternehmen in Deutschland ist ein potenzielles Ziel.
Der Gesamtschaden durch Datendiebstahl, Spionage und Sabotage erreichte 2024 einen neuen Rekordwert von 266,6 Milliarden Euro. Das entspricht einem Anstieg von 29 % gegenüber dem Vorjahr (205,9 Mrd. €) – der stärkste jemals gemessene Jahresanstieg, wie Bitkom in seiner Wirtschaftsschutzstudie 2024 festhält. Selbst der bisherige Rekord aus dem Jahr 2021 (223,5 Mrd. €) wurde damit deutlich übertroffen.
Wer steckt dahinter? 70 % der betroffenen Unternehmen ordneten die Angriffe 2024 der organisierten Kriminalität zu – ein Anstieg von 9 Prozentpunkten gegenüber 2023. Gleichzeitig stieg der Anteil ausländischer Geheimdienste von 7 % auf 20 %. Geografisch gehen 45 % der Angriffe auf die deutsche Wirtschaft von China aus, 39 % von Russland.
Die wichtigsten Einfallstore bleiben konstant: Phishing-E-Mails mit schadhaften Links oder verseuchten Anhängen sowie ungepatchte Schwachstellen in Softwareprodukten. Besonders gefährlich ist Spear-Phishing – individualisierte, professionell gestaltete Angriffsmails, die gezielt auf einzelne Personen oder Unternehmen zugeschnitten sind. Sie sind kaum von echten E-Mails zu unterscheiden und umgehen klassische Spam-Filter zuverlässig.
Hinzu kommen Zero-Day-Angriffe: Dabei nutzen Angreifer Sicherheitslücken aus, für die noch kein Patch existiert. Klassische Antivirensoftware erkennt diese Angriffe nicht, weil sie auf bekannten Signaturen basiert. Moderne Bedrohungen erfordern deshalb verhaltensbasierte Erkennungssysteme.
Ein weit verbreiteter Irrglaube: „Wir sind zu klein, um interessant zu sein." Das BSI widerspricht klar. KMU gelten als besonders attraktive Ziele, weil sie häufig über begrenzte IT-Ressourcen und fehlendes Fachpersonal verfügen. Angreifer wissen das – und nutzen es systematisch aus. Die Bedrohungslage trifft Unternehmen jeder Größe und Branche.
Gesamtschaden durch Cyberangriffe, Spionage und Sabotage in der deutschen Wirtschaft
Ransomware: Die teuerste Bedrohung für deutsche Unternehmen
Ransomware ist die finanziell verheerendste Angriffsform, mit der Unternehmen heute konfrontiert sind. Das Prinzip ist simpel und brutal: Schadsoftware verschlüsselt alle erreichbaren Unternehmensdaten, der Betrieb kommt zum Stillstand, und die Angreifer fordern Lösegeld für den Entschlüsselungsschlüssel. Verbreitet wird Ransomware vor allem über Phishing-E-Mails, kompromittierte Remote-Zugänge und ungepatchte Softwareschwachstellen.
Die Kosten sind in Deutschland besonders hoch. Die durchschnittlichen Wiederherstellungskosten nach einem Ransomware-Angriff – wohlgemerkt ohne Lösegeld – lagen 2024 bei 2.054.987 Euro. Darin enthalten sind Forensik, IT-Wiederherstellung, Betriebsausfälle und Reputationsschäden. Wer dann noch Lösegeld zahlt, kommt teurer weg: Die mittlere Lösegeldzahlung in Deutschland betrug 2024 rund 5,14 Millionen Euro – fast das Dreifache des internationalen Durchschnitts von 1,85 Millionen Euro.
Trotzdem zahlten 75 % der betroffenen deutschen Unternehmen im ersten Halbjahr 2024 das geforderte Lösegeld. Das ist ein fataler Fehler – und zwar aus zwei Gründen. Erstens: 35 % der zahlenden Unternehmen erhielten keinen oder einen fehlerhaften Entschlüsselungsschlüssel. Sie verloren also ihr Geld und ihre Daten. Zweitens: Lösegeldzahlungen finanzieren die Weiterentwicklung von Ransomware und machen Unternehmen zu attraktiveren Zielen für Folgeangriffe. Das BSI rät deshalb ausdrücklich davon ab, Lösegeld zu zahlen.
Wie gelangt Ransomware ins Unternehmen? Die häufigsten Vektoren sind: eine unvorsichtig geöffnete Phishing-E-Mail mit verseuchtem Anhang, ein Remote-Desktop-Protokoll (RDP) ohne Zwei-Faktor-Schutz, oder eine bekannte Softwareschwachstelle, die nicht rechtzeitig gepatcht wurde. Alle drei Einfallstore lassen sich mit überschaubarem Aufwand schließen – dazu später mehr.
Die gute Nachricht: Wer regelmäßige, getestete Offline-Backups nach der 3-2-1-Regel hat, kann einen Ransomware-Angriff ohne Lösegeldzahlung überstehen. Das setzt allerdings voraus, dass die Backups tatsächlich funktionieren – viele Unternehmen stellen erst im Ernstfall fest, dass ihre Backups unvollständig oder nicht wiederherstellbar sind. Backups müssen deshalb regelmäßig auf Wiederherstellbarkeit getestet werden.
Mittlere Lösegeldzahlung nach Ransomware-Angriff 2024 im Vergleich
Die 8 wichtigsten Schutzmaßnahmen im Überblick
IT-Sicherheit ist kein Produkt, das man kauft – sie ist ein Prozess, der technische und organisatorische Maßnahmen kombiniert. Das BSI hat auf Basis seiner Top-10-Ransomware-Maßnahmen eine klare Prioritätenliste erarbeitet. Hier sind die acht wichtigsten Maßnahmen, die jedes Unternehmen umsetzen sollte:
1. Die 3-2-1-Backup-Regel
Das Fundament jeder IT-Sicherheitsstrategie ist ein funktionierendes Backup. Die 3-2-1-Regel des BSI besagt: drei Kopien der Daten, gespeichert auf zwei verschiedenen Medientypen, davon eine Kopie extern oder offline. Entscheidend ist das Wort „offline" – nur ein Backup, das vom Netzwerk getrennt ist, übersteht einen Ransomware-Angriff unbeschadet. Und: Backups müssen regelmäßig auf Wiederherstellbarkeit getestet werden. Ein Backup, das im Ernstfall nicht funktioniert, ist wertlos.
2. Multi-Faktor-Authentifizierung (MFA)
MFA kombiniert ein Passwort mit einem zweiten Faktor – etwa einer Authenticator-App oder einem SMS-Code. Sie ist besonders wichtig für Remote-Zugänge, E-Mail-Konten, Cloud-Dienste und Online-Banking. Kompromittierte Zugangsdaten sind einer der häufigsten Ransomware-Einstiegsvektoren. Mit MFA wird ein gestohlenes Passwort allein wertlos.
3. VPN mit MFA für externe Zugriffe
Alle externen Zugriffe auf das Unternehmensnetzwerk sollten ausschließlich über ein VPN (Virtual Private Network) laufen – einen verschlüsselten Tunnel, der Daten vor Abhören schützt. Das BSI empfiehlt ausdrücklich, VPN stets mit MFA zu kombinieren. Ein VPN ohne zweiten Faktor bietet nur begrenzten Schutz.
4. Prinzip der minimalen Berechtigung (Least Privilege)
Jeder Mitarbeiter sollte nur die Zugriffsrechte erhalten, die er für seine konkrete Aufgabe benötigt – nicht mehr. Dieses Prinzip begrenzt den Schaden, den ein kompromittiertes Konto anrichten kann. Administrationskonten sollten grundsätzlich von normalen Benutzerkonten getrennt sein.
5. Zeitnahes Patch-Management
Ungepatchte Softwareschwachstellen sind neben Phishing das wichtigste Einfallstor für Angreifer. Sicherheitsupdates sollten so schnell wie möglich eingespielt werden – priorisiert nach Kritikalität. Kritische Patches sollten innerhalb von 24 bis 72 Stunden nach Veröffentlichung installiert sein.
6. Fortlaufende Mitarbeiterschulungen
Menschen sind das häufigste Einfallstor – und gleichzeitig die wichtigste Verteidigungslinie. Schulungen sollten nicht einmalig, sondern fortlaufend stattfinden. Empfohlen werden monatliche Kurzformate sowie simulierte Phishing-Tests, um den Lernerfolg zu messen. Wer einmal auf eine simulierte Phishing-Mail hereingefallen ist, erinnert sich beim nächsten Mal.
7. Netzwerksegmentierung
Kritische Systeme – etwa Produktionsanlagen, Buchhaltungssysteme oder Server mit sensiblen Daten – sollten in separaten Netzwerksegmenten betrieben werden. Gelangt Schadsoftware ins Netzwerk, wird ihre interne Ausbreitung so erheblich erschwert.
8. EDR statt klassischer Antivirensoftware
Endpoint Detection and Response (EDR) geht weit über klassischen Virenschutz hinaus. EDR-Lösungen analysieren das Verhalten von Prozessen auf Endgeräten in Echtzeit und erkennen so auch unbekannte Bedrohungen und Zero-Day-Angriffe. Klassische Antivirensoftware, die auf bekannten Signaturen basiert, reicht gegen moderne Angriffe nicht mehr aus.
💡 Tipp: E-Mails im Nur-Text-Format lesen
In HTML-E-Mails können Links verschleiert werden – ein Link mit der Anzeige „www.bsi.de" kann tatsächlich auf eine Schadsoftware-Seite führen. Stelle deinen E-Mail-Client auf Nur-Text-Darstellung um: Alle Webadressen erscheinen dann im Klartext, und schadhafte Skripte können nicht automatisch ausgeführt werden. Das BSI empfiehlt diese Maßnahme ausdrücklich.
Ransomware-Schutzmaßnahmen nach Priorität
| Priorität | Maßnahme | Wirkung |
|---|---|---|
| 1 | Offline-Backups (3-2-1-Regel) | Wiederherstellung ohne Lösegeld möglich |
| 2 | Patch-Management (zeitnah, priorisiert) | Schließt häufigste Einfallstore |
| 3 | MFA für alle Remote-Zugänge + VPN | Verhindert Eindringen über kompromittierte Zugangsdaten |
| 4 | Mitarbeiterschulungen (fortlaufend) | Reduziert Erfolgsquote von Phishing |
| 5 | Makros deaktivieren / reglementieren | Verhindert automatische Ausführung von Schadcode |
| 6 | E-Mail-Darstellung auf Nur-Text | Verschleierte Links werden sichtbar |
| 7 | Netzwerksegmentierung | Begrenzt interne Ausbreitung |
| 8 | Getrennte Administrationskonten | Erschwert Rechteausweitung durch Angreifer |
IT-Sicherheitslösungen im Vergleich: Von Antivirus bis EDR
Der Markt für IT-Sicherheitslösungen ist unübersichtlich. Welche Lösung passt zu welchem Unternehmen? Die Antwort hängt von Größe, Budget und Risikoexposition ab. Eines ist jedoch klar: Klassische Antivirensoftware allein reicht nicht mehr aus. Sie erkennt bekannte Schadsoftware anhand von Signaturen – aber gegen Zero-Day-Angriffe und KI-generierte Phishing-Mails ist sie weitgehend machtlos.
Die nächste Stufe sind Endpoint Protection Platforms (EPP). Sie kombinieren klassischen Virenschutz mit Verhaltensanalyse und einer integrierten Firewall. Kosten: typischerweise 3 bis 15 Euro pro Gerät und Monat. Für die meisten KMU ist eine EPP-Lösung ein guter Einstieg, der deutlich mehr Schutz bietet als ein einfaches Antivirenprogramm.
Für Unternehmen mit höherem Schutzbedarf empfehlen sich Endpoint Detection and Response (EDR)-Lösungen. Sie analysieren das Verhalten von Prozessen in Echtzeit und erkennen auch unbekannte Bedrohungen. Ab etwa 10 Euro pro Gerät und Monat sind EDR-Lösungen wie CrowdStrike Falcon oder Microsoft Defender for Business verfügbar. CrowdStrike setzt dabei auf KI-basierte, Cloud-native Bedrohungserkennung. Microsoft Defender for Business ist in Microsoft 365 Business Premium (ca. 22 Euro pro Nutzer und Monat) integriert und lässt sich zentral verwalten – ein klarer Vorteil für Unternehmen, die bereits auf Microsoft-Produkte setzen.
Für Server-Workloads und virtuelle Maschinen gibt es spezialisierte Lösungen wie Trend Micro Deep Security (ab ca. 8 Euro pro Server und Monat). ESET PROTECT Advanced bietet Echtzeitschutz mit integrierter Netzwerkfirewall ab 36,96 Euro pro Jahr – eine günstige Option für kleinere Unternehmen.
Unabhängig von der gewählten Endpunktlösung ist eine professionelle Firewall für jedes Unternehmen Pflicht. Sie kostet zwischen 500 und 10.000 Euro pro Jahr und bildet die grundlegende Netzwerksicherheitsschicht. Ohne Firewall sind alle anderen Maßnahmen deutlich weniger wirksam.
Wichtig: Technische Lösungen allein reichen nicht. Jede Sicherheitsstrategie muss organisatorische Maßnahmen einschließen – Schulungen, Richtlinien, Notfallpläne. Die beste EDR-Lösung hilft nicht, wenn ein Mitarbeiter seine Zugangsdaten auf einer Phishing-Seite eingibt.
ℹ️ Gut zu wissen: BSI-Broschüre für KMU
Das BSI hat im September 2024 die dritte Auflage seiner Broschüre „Cybersicherheit für KMU" veröffentlicht. Sie enthält 14 Leitfragen zu IT-Sicherheitsgrundlagen und ist speziell auf kleine und mittlere Unternehmen zugeschnitten. Der Download ist kostenlos über die BSI-Website verfügbar – ein guter Einstiegspunkt für Unternehmen ohne dediziertes IT-Sicherheitsteam.
IT-Sicherheitslösungen im Vergleich
| Lösung | Schutzebene | Typische Kosten | Besonderheit |
|---|---|---|---|
| Klassische Antivirensoftware | Endgerät | 30–100 €/Nutzer/Jahr | Basisschutz; reicht allein nicht mehr aus |
| Endpoint Protection Platform (EPP) | Endgerät | 3–15 €/Gerät/Monat | Antivirus + Verhaltensanalyse + Firewall kombiniert |
| Endpoint Detection & Response (EDR) | Endgerät + Netzwerk | ab ca. 10 €/Gerät/Monat | Erkennt auch Zero-Day-Angriffe durch Verhaltensanalyse |
| Firewall (professionell) | Netzwerk | 500–10.000 €/Jahr | Grundlegende Netzwerksicherheit; Pflichtkomponente |
| Microsoft Defender for Business | Endgerät + Cloud | ca. 22 €/Nutzer/Monat | Integriert in M365 Business Premium, zentral verwaltbar |
| CrowdStrike Falcon | Endgerät (Cloud-nativ) | ab ca. 10 €/Gerät/Monat | KI-basierte Bedrohungserkennung |
| ESET PROTECT Advanced | Endgerät | ab 36,96 €/Jahr | Echtzeitschutz + Netzwerkfirewall, günstig für KMU |
NIS2: Pflichten, Schwellenwerte und Bußgelder für Unternehmen
Am 6. Dezember 2025 ist das deutsche NIS2-Umsetzungsgesetz (NIS2UmsuCG) in Kraft getreten. Es setzt die EU-Richtlinie NIS2 (Network and Information Security Directive 2.0) in deutsches Recht um und ist die bislang weitreichendste Cybersicherheitsregulierung für Unternehmen in Deutschland. Wer betroffen ist, muss handeln – die Registrierungspflicht beim BSI endet am 6. März 2026.
Direkt betroffen sind knapp 30.000 Unternehmen in Deutschland. Über Lieferketten und Wertschöpfungsketten könnten jedoch über 200.000 weitere Unternehmen indirekt verpflichtet sein – etwa als Zulieferer oder Dienstleister für betroffene Einrichtungen. Das bedeutet: Auch wenn dein Unternehmen die Schwellenwerte nicht direkt erfüllt, können Kunden oder Auftraggeber NIS2-konforme Sicherheitsmaßnahmen von dir verlangen.
Wer ist direkt betroffen?
NIS2 unterscheidet zwei Kategorien:
| Kategorie | Mitarbeiter | Jahresumsatz | Beispielsektoren |
|---|---|---|---|
| Besonders wichtige Einrichtungen | ≥ 250 | > 50 Mio. € | Energie, Verkehr, Bankwesen, Gesundheit, Wasser, digitale Infrastruktur |
| Wichtige Einrichtungen | ≥ 50 | > 10 Mio. € | Post, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Anbieter, Forschung |
Was müssen betroffene Unternehmen konkret tun? NIS2 schreibt unter anderem vor: Risikomanagement-Maßnahmen für Cybersicherheit, Sicherheitskonzepte für Informationssysteme, Maßnahmen zur Geschäftskontinuität (Backup, Notfallmanagement), Sicherheit in der Lieferkette sowie regelmäßige Schulungen der Mitarbeiter. Sicherheitsvorfälle müssen innerhalb von 24 Stunden nach Kenntnisnahme beim BSI gemeldet werden.
Die Konsequenzen bei Verstößen sind erheblich. Bußgelder können bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes betragen – je nachdem, welcher Betrag höher ist. Besonders einschneidend: Das Gesetz sieht ausdrücklich die persönliche Haftung der Geschäftsleitung vor. Geschäftsführer und Vorstände können also persönlich für Sicherheitsmängel haftbar gemacht werden. Das ist ein starkes Signal: IT-Sicherheit ist Chefsache.
Für die Umsetzung empfiehlt sich das BSI IT-Grundschutz-Kompendium als Orientierungsrahmen. Es enthält strukturierte Bausteine mit Gefährdungsanalysen und konkreten Sicherheitsanforderungen und bildet die Grundlage für ein vollständiges Informationssicherheits-Managementsystem (ISMS). Unternehmen, die NIS2 einhalten müssen, sollten frühzeitig eine Gap-Analyse durchführen und fehlende Maßnahmen priorisiert umsetzen.
Häufige Fragen zur IT-Sicherheit für Unternehmen
Q Bin ich als kleines Unternehmen überhaupt ein Angriffsziel?
Ja. KMU gelten als besonders attraktive Ziele wegen begrenzter IT-Ressourcen. 81 % aller deutschen Unternehmen – unabhängig von Größe oder Branche – waren 2024 von Cyberangriffen betroffen. Die Annahme, zu klein für Hacker zu sein, ist laut BSI falsch.
Q Was ist die wichtigste Einzelmaßnahme gegen Ransomware?
Regelmäßige, getestete Offline-Backups nach der 3-2-1-Regel. Sie ermöglichen Wiederherstellung ohne Lösegeldzahlung. Das BSI rät ausdrücklich davon ab zu zahlen – 35 % der zahlenden Unternehmen erhalten ohnehin keinen funktionierenden Entschlüsselungsschlüssel.
Q Muss mein Unternehmen NIS2 einhalten?
Direkt betroffen sind Unternehmen ab 50 Mitarbeitern oder 10 Mio. € Umsatz in bestimmten Sektoren. Über Lieferketten können aber auch kleinere Unternehmen indirekt verpflichtet sein. Schätzungsweise sind über 200.000 Unternehmen in Deutschland mittelbar betroffen.
Q Was droht bei Verstößen gegen NIS2?
Bußgelder bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes. Zusätzlich ist die persönliche Haftung der Geschäftsleitung ausdrücklich vorgesehen – Geschäftsführer können also direkt haftbar gemacht werden.
Q Reicht eine Antivirensoftware als Schutz aus?
Nein. Moderne Angriffe nutzen Zero-Day-Lücken und KI-generierte Phishing-Mails, gegen die klassische Antivirensoftware keinen ausreichenden Schutz bietet. Empfohlen werden Endpoint Protection Platforms (EPP) oder EDR-Lösungen kombiniert mit organisatorischen Maßnahmen.
Q Was kostet ein Ransomware-Angriff ein deutsches Unternehmen durchschnittlich?
Die Wiederherstellungskosten allein (ohne Lösegeld) betragen durchschnittlich rund 2,05 Mio. €. Die mittlere Lösegeldzahlung in Deutschland lag 2024 bei 5,14 Mio. € – weit über dem internationalen Durchschnitt von 1,85 Mio. €.
Q Wie schütze ich Remote-Zugänge richtig?
Ausschließlich über VPN in Kombination mit Zwei-Faktor-Authentifizierung (MFA). Kompromittierte Remote-Zugänge ohne MFA sind einer der häufigsten Ransomware-Einstiegsvektoren. Das BSI empfiehlt diese Kombination ausdrücklich als Mindeststandard.
Quellen
- Bitkom – Wirtschaftsschutz 2024 (Studie und Pressemitteilung)
- BSI – Lagebericht IT-Sicherheit in Deutschland 2024
- BSI – Top-10-Maßnahmen zum Schutz vor Ransomware
- BSI – Informationen und Empfehlungen für KMU (inkl. Broschüre „Cybersicherheit für KMU", 3. Auflage September 2024)
- OpenKRITIS – NIS2-Umsetzungsgesetz Deutschland (NIS2UmsuCG)
- DIHK – Schutz gegen Ransomware-Angriffe
- Sparkasse – Schutz vor Cyberangriffen für Unternehmen
- Proact – Ransomware-Schutz: Die 12 besten Maßnahmen
- Check Point – Umgang mit Ransomware
- Microsoft Learn – Ransomware-Prävention
- Geekflare – Beste Antiviren-Software für Unternehmen 2026