IT-Sicherheitsumfrage 2026 Eco-Verband: Der Mittelstand braucht Unterstützung

Anbieter zum Thema

cidaas by Widas ID GmbH

FAST LTA GmbH

Laut einer Eco-Umfrage gehen Unternehmen heute besser mit Sicherheits­vor­fäl­len um als noch vor ein bis zwei Jahren. Bei NIS2, Notfallplänen und Budgets gibt es aber Lücken. Viele könnten einen Ausfall ihrer Kernsysteme nur kurz überbrücken.

In 42 Prozent der Unternehmen seien im Vergleich zum Vorjahr mehr relevante Cyber­sicher­heitsvorfälle verzeichnet worden. Das zeigt die IT-Sicherheitsumfrage 2026 von Eco, dem Verband der Internetwirtschaft. Bei 40 Prozent sei die Zahl der Vorfälle gleich geblieben, sechs Prozent hätten einen Rückgang gemeldet. Gleichzeitig würden 45 Prozent deutliche Fortschritte im Umgang mit Vorfällen gegenüber dem Stand vor ein bis zwei Jahren sehen. Weitere 28 Prozent hätten von leichten Verbesserungen berichtet. Als wirksamste Maßnahmen hätten die Befragten Schulungen der Belegschaft (58 Prozent) und die technische Moder­ni­sier­ung der Sicherheitsinfrastruktur (53 Prozent) genannt.

Für die Umfrage hat die Kompetenzgruppe Sicherheit des Eco zwischen September und Dezember 2025 insgesamt 100 IT-Sicherheitsfachleute befragt, online und bei Veranstaltungen. Obwohl diese ersten Zahlen nach einem positiven Stimmungsbild aussehen, ordnet der Ver­band die Ergebnisse als Warnung ein und appelliert: Der Mittelstand braucht Unterstützung.

Bitkom Wirtschaftsschutz-Studie 2026

Wachsende Unsicherheit und Angriffe durch ausländische Geheimdienste

Wenn Kernsysteme ausfallen

Denn 31 Prozent der Befragten hätten berichtet, dass es in ihrem Unternehmen in den vergangenen zwölf Monaten Sicherheitsvorfälle mit spürbaren Folgen gab. Elf Prozent hätten Betriebsunterbrechungen oder Produktionsstillstände genannt, neun Prozent einen Abfluss personenbezogener Daten, sieben Prozent manipulierte Prozesse oder Produkte und vier Prozent Lösegeldforderungen.

Wie lange sie einen Ausfall ihrer Kernsysteme verkraften können, ohne existenziell gefährdet zu sein, sei sehr unterschiedlich. Zwölf Prozent der Befragten würden schon nach weniger als zwölf Stunden in eine kritische Lage geraten, 17 Prozent nach zwölf bis 48 Stunden. 28 Prozent könnten zwei bis fünf Tage überbrücken, 14 Prozent mehr als fünf Tage. 15 Prozent könnten das nicht einschätzen. Getestete Incident-Response-Pläne für verschiedene Angriffsszenarien wie Ransomware oder DDoS hätten 17 Prozent vollständig und 41 Prozent für einzelne Szenarien vorliegen. Bei 23 Prozent gebe es solche Pläne nur ansatzweise, bei elf Prozent gar nicht.

IBM Cost of a Data Breach Report 2026

Datenlecks kosten im Schnitt 4,25 Millionen Euro

NIS2 selten vollständig umgesetzt

Nur sieben Prozent der Befragten hätten die Anforderungen der NIS2-Richtlinie bereits vollständig umgesetzt. Bei 32 Prozent laufe die Umsetzung nach Plan, 33 Prozent seien nach eigener Einschätzung nicht betroffen. Als größte Herausforderungen hätten die Befragten Nachweispflichten und Audits (54 Prozent) genannt, die Meldepflichten mit ihren Fristen von 24 und 72 Stunden (42 Prozent) sowie das Risikomanagement (40 Prozent). 45 Prozent würden die Umsetzung im Mittelstand nur mit externer Hilfe für machbar halten. Die Befragung lief allerdings überwiegend, bevor das deutsche NIS2-Umsetzungsgesetz am 6. Dezember 2025 in Kraft trat.

Kurz vor Fristende am 6. März 2026

Run auf BSI-Registrierungsportal

Verantwortung ohne Budget

Zwei Drittel der Befragten hätten angegeben, dass die Verantwortung für Cybersicherheit in der Geschäftsleitung verankert sei und es Berichtspflichten an CEO oder Vorstand gebe. Ein eigenes, selbst verantwortetes Budget habe der CISO aber nur in 31 Prozent der Unternehmen, 27 Prozent hätten gar keinen eigenen CISO. 28 Prozent würden weniger als fünf Prozent ihres IT-Budgets für Sicherheit aufwenden. Je nach Branche und Risikoprofil werden laut Eco fünf bis 25 Prozent empfohlen.

Beim Thema KI gehen 60 Prozent davon aus, dass sich die Bedrohungslage in den kommenden zwölf Monaten verschärft, weil Angreifer durch KI effizienter werden. Nur neun Prozent erwarten, dass sich das durch den KI-Einsatz in der Abwehr ausgleicht.

Bundeshaushalt 2027

ISC2 fordert mehr Geld für Deutschlands Cyberresilienz

Mittelstand braucht mehr Unterstützung

Aus den Ergebnissen leitet Eco auch Forderungen an den Staat ab. Behörden müssten regulatorische Anforderungen verständlich und umsetzbar gestalten, sodass Unternehmen sie in ihre bestehenden Prozesse einbinden können. Vor allem der Mittelstand brauche klare Vorgaben, verlässliche Informationen und Hilfe bei der praktischen Umsetzung. Das zeige sich auch in den Erwartungen an das BSI: Die Befragten würden sich vor allem Standards und Vorgaben für den Mittelstand (56 Prozent) sowie eine zentrale Stelle, die Threat Intelligence verteilt (44 Prozent) wünschen. 41 Prozent würden sich wünschen, dass das BSI den Austausch zwischen Behörden und Wirtschaft vermittelt. Eine stärkere Rolle des BSI als Bußgeldbehörde würden dagegen nur sieben Prozent wollen. Kontrolle und Sanktionen allein decken den praktischen Unterstützungsbedarf laut Eco nur begrenzt ab.

Verbesserungsbedarf sieht der Verband auch bei der Zusammenarbeit mit Behörden, wenn es zu Vorfällen kommt. Nur fünf Prozent der Befragten hätten die Zusammenarbeit mit BSI, Polizei und Verfassungsschutz als sehr gut bewertet, 32 Prozent als gut im Rahmen der Möglichkeiten. 21 Prozent würden sie für unzureichend halten, etwa wegen fehlenden Know-hows oder zu langer Reaktionszeiten. 29 Prozent hätten noch keine Erfahrung damit gemacht. Dem Eco-Verband nach könnten klare Kontaktpunkte, einheitliche Melde- und Eskalationswege, vertrauliche Austauschformate und gemeinsame Übungen helfen, schneller zu reagieren und Vorfälle besser aufzuklären.

Die IT-Sicherheitsumfrage 2026 des Eco können Sie hier herunterladen.

Administrative Cooperation Group

BSI erhält Vorsitz für Zusammenarbeit für CRA

(ID:50973391)