Kontinuierliche Awareness statt Einmal-Schulungen Phishing und Deepfakes erfordern 2026 eine gelebte Sicherheitskultur

Anbieter zum Thema

Transferstelle für IT-Sicherheit im Mittelstand

Fsas Technologies GmbH

FTAPI Software GmbH

Phishing bleibt effektiv und Deepfakes verschärfen das Risiko, besonders für Führungskräfte. 2026 zählt deshalb eine gelebte Sicherheitskultur, die kontinuierliche Sensibilisierung, realitätsnahe Übungen und einfache Meldemechanismen mit Technik und klaren Prozessen verbindet. So wächst Cyberresilienz über Schulungstermine hinaus.

Prävention und Reaktion sind in der Cybersicherheit zwei Grundsäulen, die darüber entscheiden, welche Auswirkungen ein Hackerangriff auf ein Unternehmen hat. Doch obwohl laut Studien Unternehmen ihre Prozesse immer besser schützen, nehmen die Angriffe weiterhin zu. Warum? Eine Cyberstrategie darf nicht nur technisch gedacht werden. Auch die menschliche Variabel ist ein entscheidender Faktor für die Cyberresilienz eines Betriebs. In 2026 müssen deshalb Schulungen und Sensibilisierungsmaßnahmen für die Geschäftsleitung und die Mitarbeitenden hoch oben auf der To-do-Liste der Unternehmen verankert werden.

Cybersecurity Awareness Month 2025

Lagebild zeigt, dass sich Cyberangriffe auf Mittelstand vervierfacht

Die Zahlen sprechen für sich

Die Auswertung des Selbstchecks des kostenfreien Tools „CYBERsicher Notfallhilfe“ zeigt, dass 19 Prozent der Nutzerinnen und Nutzer sich an die Plattform aufgrund von menschlichen Fehlverhaltens wenden. Davon melden mehr als die Hälfte (55 Prozent), dass auf einen unbekannten Link geklickt wurde und bei 16 Prozent ein unbekannter Anhang geöffnet wurde. Aktivitäten wie diese müssen keine schwerwiegenden Folgen haben, reichen allerdings aus, um Schadsoftware ins Unternehmensnetzwerk einzuschleusen oder sensible Zugangsdaten preiszugeben.

Phishing-Angriffe, von denen die genannten unbekannten Links und Anhänge Teil sind, gehören zu den verbreitetsten Angriffsformen und werden auch im kommenden Jahr große Schäden anrichten. Die Qualität der Phishing-Attacken nimmt nämlich kontinuierlich zu und werden für die Betroffenen immer schwieriger zu erkennen. Technische Entwicklungen, vor allem im Bereich künstlicher Intelligenz, tragen dazu bei, dass Angriffsziele präzise und umfassend recherchiert werden und die Ansprachen und Texte sehr gezielt und persönlich gestaltet werden können.

Handlungsempfehlungen zur Cyber-Resilienz

IT-Sicherheit ist eine nicht-delegierbare Chefsache!

IT-Sicherheit ist Chefsache

Besonders betroffen von Cyberattacken sind Menschen in Führungspositionen. Geschäftsführer erleben laut einer Barracuda-Studie durchschnittlich 57 Phishing-Attacken pro Jahr. IT-Leitungen werden 40-mal jährlich angegriffen. Diese Zahlen zeigen, dass Angreifer gezielt die Personen ins Visier nehmen, die Zugang zu kritischen Systemen oder finanziellen Entscheidungen haben.

Die Methoden sind vielfältig. Beim klassischen Phishing wird versucht, über gefälschte E-Mails an Passwörter oder Zugangsdaten zu kommen. CEO Fraud geht einen Schritt weiter. Hier geben sich Angreifer als Geschäftsführung aus und fordern Mitarbeitende per E-Mail zu dringenden Überweisungen oder anderen Handlungen auf. Leider immer wieder mit Erfolg: So überwies eine Mitarbeiterin einer Innsbrucker Firma im November 2025 basierend auf einer vermeintlichen Mail ihres Chefs 10.000 Euro auf ein ausländisches Konto. In anderen Fällen kann ein solcher CEO-Fraud sogar in die Millionen gehen. Aber wieso sind diese Angriffe erfolgreich und werden nicht als Fake erkannt? Die Methode des sogenannten Social Engineerings nutzt psychologische Tricks. Die Angreifer bauen Vertrauen auf, schaffen künstliche Dringlichkeit oder appellieren an Hilfsbereitschaft. Diese Faktoren werden eingesetzt, um sowohl Mitarbeitende zu Aktionen zu verleiten oder auch Geschäftsführende direkt zu adressieren.

Die Auswirkungen sind erheblich. Wenn Führungskräfte kompromittiert werden, gefährdet das nicht nur ihre eigenen Zugänge, sondern auch strategische Entscheidungen und sensible Unternehmensdaten. Ein erfolgreicher Angriff auf die Geschäftsleitung kann weitreichende Folgen haben, weil hier zentrale Informationen zusammenlaufen.

So schützen Unternehmen digitales Vertrauen vor Deepfake-Angriffen

Deepfake-Risiken gezielt bekämpfen

Deepfakes und Social Engineering 2.0

Eine neue Dimension erreicht die Bedrohung durch Deepfakes. Die Technologie ermöglicht es, Stimmen und Gesichter täuschend echt zu imitieren. Im Vergleich zum Vorjahr sind Deepfake-Angriffe laut eines Sumsub-Reports um 1100 Prozent gestiegen. Diese Zahl zeigt, wie schnell sich die Bedrohungslage verschärft hat.

Die Herausforderung liegt in der Prävention. Technische Lösungen zur Erkennung von Deepfakes existieren, sind aber noch nicht flächendeckend im Einsatz. Gleichzeitig entwickelt sich die Technologie so schnell weiter, dass Erkennungssysteme kaum Schritt halten. Was bleibt, ist erneut der Faktor Mensch. Kritisches Nachfragen, Bestätigungsschleifen über andere Kanäle und gesunde Skepsis bei ungewöhnlichen Anfragen sind aktuell die einzigen wirksamen Schutzmechanismen.

244 Prozent mehr digital gefälschte Dokumente

Alle fünf Minuten passiert ein Deepfake-Angriff

Schulungen reichen nicht aus

Viele Unternehmen setzen bereits auf Awareness-Trainings, um die Sensibilität der Mitarbeitenden zu erhöhen. Die Idee dahinter ist nachvollziehbar. Wer über Risiken Bescheid weiß, handelt vorsichtiger. In der Praxis zeigt sich aber ein gemischtes Bild.

Schulungen helfen, ein Grundwissen über Phishing, sichere Passwörter und verdächtige E-Mails zu vermitteln. Doch die Wirkung verpufft oft schnell. Nach einigen Wochen oder Monaten sinkt die Aufmerksamkeit wieder. Mitarbeitende fallen in alte Muster zurück, weil der Arbeitsalltag andere Prioritäten setzt. Ein weiteres Problem ist die Umsetzung. Viele Trainings sind zu theoretisch oder werden als lästige Pflichtveranstaltung wahrgenommen.

Nachhaltige Awareness im Bereich Cybersicherheit entsteht nur, wenn mehrere Faktoren in einem Unternehmen zusammenkommen. Es braucht regelmäßige, realitätsnahe Übungen, bei denen Mitarbeitende lernen, echte Bedrohungen zu erkennen. Es braucht eine Unternehmenskultur, in der Sicherheit nicht als Zusatzaufgabe gilt, sondern als selbstverständlicher Teil der Arbeit und von der Geschäftsführung vorgelebt wird. Einhergeht damit außerdem eine entsprechende Fehlerkultur im Betrieb. Mitarbeitende müssen sich trauen, potenzielle Cyberangriffe zu melden, ohne Konsequenzen befürchten zu müssen. Und es braucht klare Prozesse, die im Ernstfall greifen, ohne dass einzelne Personen überfordert sind.

IBM Cost of a Data Breach Report 2025

Kosten von Datenlecks sinken in Deutschland erstmals seit 5 Jahren

Wirtschaftlicher Schaden und Konsequenzen

Laut Bitkom machten Phishing-Angriffe 2025 etwa 22 Prozent aller Cyberangriffe aus. Das klingt nach einem überschaubaren Anteil, doch die Schadenssummen sind enorm. Unternehmen verlieren Geld durch Betrug, müssen Systeme und Reputation wiederherstellen und rechtliche Konsequenzen bewältigen.

Der Kostenfaktor „Human Risk“ wird oft unterschätzt. Es geht nicht nur um den direkten finanziellen Verlust durch einen erfolgreichen Angriff. Es geht auch um Betriebsunterbrechungen, verlorene Aufträge und beschädigtes Vertrauen bei Kunden und Partnern. Bei einem Cyberangriff kann es Wochen oder Monate dauern, bis alle Systeme wieder laufen. In dieser Zeit steht das Geschäft still oder läuft nur eingeschränkt. Vor allem kleine und mittlere Unternehmen sollten sich dieser Gefahr bewusst sein und die Cybersicherheit in ihren Betrieben stärken. Eine Sicherheitskultur entsteht jedoch nicht über Nacht. Sie braucht Führung, die das Thema ernst nimmt und vorlebt. Sie braucht Mitarbeitende, die wissen, was im Ernstfall zu tun ist. Und sie braucht kontinuierliche Weiterentwicklung, weil sich die Bedrohungen ständig verändern.

Bitkom Wirtschaftsschutz-Studie 2025

Finanzieller Schaden für deutsche Wirtschaft steigt um 22,6 Milliarden

Neues Jahr, neues Glück?

Leider wird sich das aktuelle Bild im kommenden Jahr nicht ins Positive wenden. Eher im Gegenteil: Die Angriffsmethoden werden raffinierter, personalisierter und schwerer zu durchschauen. Deepfakes erweitern zusätzlich die Angriffsmethoden der Hacker um eine Dimension, die bisher kaum kontrollierbar ist.

Gleichzeitig zeigt sich, dass klassische Ansätze wie einmalige Schulungen nicht ausreichen. Nachhaltiger Schutz entsteht nur durch kontinuierliche Sensibilisierung, technische Absicherung und eine Unternehmenskultur, die Sicherheit als Gemeinschaftsaufgabe begreift.

Die Herausforderung für Unternehmen liegt darin, diese Faktoren zusammenzubringen. Es reicht nicht, nur in Technik zu investieren oder nur Mitarbeitende zu schulen. Beides muss ineinandergreifen.

Über den Autor: Marc Dönges ist Projektleiter der Transferstelle Cybersicherheit im Mittelstand.

Führung in der digitalen Bedrohungslage

Warum Cyber-Resilienz Chefsache ist

(ID:50661208)