Wissen · Marktüberblick

Cybersicherheit in DACH: Bedrohungslage und Markt 2026

Die Angriffe auf Unternehmen in Deutschland, Österreich und der Schweiz bleiben auf hohem Niveau. Ransomware, schlecht abgesicherte Systeme am Netzrand und der Zugriff über Lieferanten sind die immer wiederkehrenden Ursachen. Gleichzeitig zwingen NIS2 und verwandte Regeln tausende weitere Organisationen dazu, Sicherheitsleistungen einzukaufen. Hier findest du die aktuellen amtlichen Zahlen und was sie für dich bedeuten.

Aktualisiert: 6. November 2026

Die Lage in Zahlen

Der aktuelle BSI-Bericht ist die Ausgabe 2025, erschienen am 11. November 2025; die Ausgabe 2026 wird in diesem Monat erwartet. Das BSI bewertet die Lage als angespannt. Es zählt im Schnitt 119 neue Schwachstellen pro Tag, rund 24 Prozent mehr als zuvor, und 950 vom Bundeskriminalamt erfasste Ransomware-Angriffe, kaum verändert. Etwa 80 Prozent der gemeldeten Ransomware-Angriffe trafen kleine und mittlere Unternehmen. Finanziell motivierte Cyberkriminalität sank um 9 Prozent, was das BSI zum Teil auf internationale Ermittlungen zurückführt.

Die Bitkom-Studie Wirtschaftsschutz 2026 mit 1.003 befragten deutschen Unternehmen ergab, dass 96 Prozent in den vergangenen zwölf Monaten von Diebstahl, Spionage oder Sabotage betroffen waren oder dies vermuten. Bitkom beziffert den jährlichen Gesamtschaden auf 211 bis 270,8 Milliarden Euro, davon entfallen 76 Prozent auf Cyberangriffe. 63 Prozent der Unternehmen registrierten mehr Cyberangriffe als im Vorjahr.

In Österreich zählte das Bundeskriminalamt 2025 insgesamt 63.459 Cybercrime-Anzeigen, ein Plus von 1,8 Prozent. Cybercrime im engeren Sinn, bei dem IT-Systeme das Ziel sind, stieg um 8,6 Prozent auf 21.988 Anzeigen; dazu kamen 111 Ransomware-Fälle. In der Schweiz gingen beim BACS im ersten Halbjahr 2026 insgesamt 27.128 freiwillige und 200 verpflichtende Meldungen ein, dazu 79 Ransomware-Fälle, eine stabile Zahl.

Die wichtigsten Bedrohungen

Ransomware bleibt das zentrale Geschäftsrisiko. In der Bitkom-Studie waren 45 Prozent der Unternehmen in den letzten zwölf Monaten betroffen, und 20 Prozent der Betroffenen zahlten Lösegeld. Das BSI weist darauf hin, dass Backups nicht gegen die zweite Erpressungsstufe helfen, also die Drohung, gestohlene Daten zu veröffentlichen. Das BACS beobachtet eine zersplitterte Ransomware-Landschaft, und in Österreich waren INC und Akira die aktivsten benannten Gruppen.

• Schwache Systeme am Netzrand: Das BSI sieht falsch konfigurierte Server, angreifbare Webanwendungen und verspätetes Patchen als häufige Einstiegspunkte.
• Lieferkette und Anbieterzugriff: Das BSI warnt vor Providern und Herstellern, die dauerhaft und schlecht kontrolliert auf Kundensysteme zugreifen, vor allem in Cloud, Energie und Automobil.
• Phishing und Betrug: Das BACS meldet mehr Microsoft-365-Phishing, übernommene Geschäfts-Mailkonten und Angreifer, die sich als IT-Helpdesk oder Führungskraft ausgeben, zunehmend mit KI-formulierten Nachrichten.
• DDoS und Sabotage: DDoS machte 15 Prozent der schadensverursachenden Angriffe in der Bitkom-Studie aus und 12,7 Prozent der Pflichtmeldungen in der Schweiz. Das BACS sieht Sabotage als Risiko bei geopolitischen Spannungen, kennt aber bisher keine gezielten Angriffe auf Schweizer kritische Infrastrukturen.
• Staatliche Akteure: 37 Prozent der Bitkom-Befragten nannten ausländische Geheimdienste unter den Tätern, nach 28 Prozent im Vorjahr.

Regulierung als Nachfragetreiber

Deutschland: Das NIS-2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Das BSI rechnet mit rund 29.500 regulierten Einrichtungen, zuvor waren es etwa 4.500. Stand 30. September 2026 waren 20.141 Einrichtungen im BSI-Portal registriert, und beim BSI lagen 1.272 Erstmeldungen nach NIS2 vor. Betroffene Unternehmen müssen sich registrieren, Risikomanagementmaßnahmen dokumentieren und erhebliche Vorfälle melden.

Österreich: Das NISG 2026 löst das NISG 2018 ab und gilt ab dem 1. Oktober 2026. Die WKO spricht von rund 4.000 Unternehmen und Einrichtungen in 18 Sektoren. Bei erheblichen Vorfällen sind eine Frühwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden und ein Abschlussbericht binnen eines Monats nötig. Die Frist zur Registrierung wird in Sekundärquellen uneinheitlich genannt, frag sie daher bei der Behörde nach.

Schweiz: Das Land ist nicht an NIS2 gebunden. Stattdessen müssen Betreiber kritischer Infrastrukturen Cyberangriffe seit dem 1. April 2025 innerhalb von 24 Stunden dem BACS melden; für versäumte Meldungen drohen seit dem 1. Oktober 2025 Bussen bis 100.000 Franken. Schweizer Firmen können trotzdem betroffen sein, wenn EU-Kunden NIS2-Anforderungen in der Lieferkette weitergeben.

DORA, die EU-Verordnung zur digitalen operationalen Resilienz im Finanzsektor, gilt seit dem 17. Januar 2025 und betrifft Finanzunternehmen in Deutschland und Österreich.

Marktgröße und Fachkräftemangel

Bitkom beziffert den deutschen IT-Sicherheitsmarkt nach IDC-Daten für 2026 auf 14,3 Milliarden Euro, ein Plus von 11,7 Prozent, und erwartet für 2027 rund 15,8 Milliarden Euro. Software macht 7,8 Milliarden Euro aus und wächst mit 14,5 Prozent am stärksten. Services erreichen 5,3 Milliarden Euro bei 7,3 Prozent Wachstum. Laut Bitkom fehlen 2026 in Deutschland etwa 79.000 IT-Fachkräfte; eine absolute Zahl nur für Sicherheitsfachkräfte nennt die Studie nicht. Das ist ein Grund, warum viele Unternehmen Kapazität einkaufen, statt sie einzustellen.

Welche Leistungen gefragt sind

Kein amtlicher Bericht reiht Leistungen nach Nachfrage, die folgende Liste ist daher unsere Ableitung aus den genannten Vorgaben und Befunden. NIS2 verlangt Vorfallbehandlung, Schwachstellenmanagement und Sicherheit der Lieferkette, und das BSI fand bei Betreibern kritischer Infrastrukturen die Angriffserkennung mit 48 Prozent am schwächsten ausgeprägt. Daraus ergeben sich diese Leistungen.

• Managed SOC und MDR/EDR: laufende Überwachung und Reaktion, ohne ein eigenes 24/7-Team aufzubauen.
• Incident Response und Retainer: ein Vertrag mit festen Reaktionszeiten vor dem Angriff, der auch die 24-Stunden-Meldepflichten unterstützt.
• Schwachstellenanalysen und Penetrationstests: regelmäßige Scans und Nachweis behobener Lücken an Systemen mit Internetzugang.
• Cloud- und Identitätssicherheit: Absicherung von Microsoft 365 und anderen Cloud-Diensten, Multi-Faktor-Authentifizierung und Zugriffskontrolle.
• Lieferantenprüfungen und NIS2-Gap-Analysen für Firmen, die an regulierte Kunden liefern.

Was das für Käufer bedeutet

Kläre zuerst, ob du selbst reguliert bist oder einen regulierten Kunden belieferst. Beschreibe das Projekt dann über Ergebnisse, etwa Abdeckung der Erkennung, Reaktionszeiten in Stunden und Unterstützung bei Meldungen, statt über Produktnamen.

• Frag, wo Daten verarbeitet werden und welche Unterauftragnehmer Zugriff haben; 70 Prozent der Bitkom-Befragten wollen europäische Sicherheitslösungen bevorzugen.
• Vereinbare Vertragsbedingungen, die zu den Meldefristen von 24 und 72 Stunden passen.
• Verlange klare Übergabepunkte zwischen deinem Team und dem Anbieter sowie einen benannten Ansprechpartner für Vorfälle.
• Vergleiche Angebote für denselben definierten Umfang und nicht nur nach dem Monatspreis.

Was das für Anbieter bedeutet

Die Nachfrage folgt Fristen: Deutsche Einrichtungen müssen sich registrieren, Maßnahmen dokumentieren und Vorfälle melden, und österreichische Unternehmen haben ab Oktober 2026 erste Pflichten. Anbieter, die erklären können, welche NIS2-Anforderung eine Leistung abdeckt, und das in der Sprache des jeweiligen Landes tun, sind leichter vergleichbar. Der Mittelstand ist das wichtigste Wachstumssegment, denn laut BSI trifft Ransomware überwiegend kleine und mittlere Unternehmen mit begrenzten Ressourcen. Fertige Pakete mit festem Umfang und klarer Meldeunterstützung passen zu diesen Käufern besser als offene Beratung.