2025 hat das BSI für Deutschland die höchste Bedrohungslage seit Beginn der Aufzeichnungen gemeldet. Für Mittelständler bedeutet das nicht primär mehr Angriffe, es bedeutet, dass die Angriffe professioneller, automatisierter und schwerer zu erkennen sind. Gleichzeitig zieht der Gesetzgeber an: NIS2 ist seit Oktober 2024 in Kraft, DSGVO-Bußgelder werden konsequenter verhängt, und die Geschäftsführer-Haftung für IT-Sicherheits-Versäumnisse ist juristisch geklärt. Wer 2026 noch kein solides Fundament hat, handelt nicht nur fahrlässig, er riskiert die persönliche Haftung.
Die Bedrohungslage 2026
Der BSI-Lagebericht 2025 hat drei Entwicklungen besonders hervorgehoben: Erstens, KI senkt die Einstiegshürde für Angreifer drastisch. Phishing-Mails in perfektem Deutsch, personalisiert auf LinkedIn-Daten, sind heute Standard. Zweitens, Ransomware-Gruppen agieren als organisierte Dienstleister, „Ransomware-as-a-Service" ist ein etabliertes kriminelles Geschäftsmodell. Drittens, die Angriffsfläche wächst schneller als die Verteidigung: Jedes neue SaaS-Tool, jeder neue Zulieferer, jede IoT-Anbindung ist ein Einfallstor.
Betroffen ist explizit der Mittelstand, gerade weil Großkonzerne inzwischen besser gesichert sind. Das BKA berichtet, dass sich Angreifer zunehmend auf Unternehmen mit 50–500 Mitarbeitern konzentrieren: groß genug, um zu zahlen; klein genug, um nicht alle Ressourcen auf Sicherheit zu verwenden. Die durchschnittliche Schadenssumme pro erfolgreichem Angriff liegt laut Bitkom-Studie bei 190.000 €, plus 23 Tage Ausfallzeit im Mittel.
NIS2: Was jetzt Pflicht ist
Die NIS2-Richtlinie der EU wurde im Oktober 2024 national umgesetzt und erweitert die Anzahl der betroffenen Unternehmen massiv. Direkt betroffen sind Unternehmen ab 50 Mitarbeitern oder 10 Mio. € Umsatz in 18 Sektoren, darunter digitale Dienste, produzierendes Gewerbe, Lebensmittel, Logistik, Gesundheit, Abfallwirtschaft und öffentliche Verwaltung. Indirekt betroffen ist jeder Zulieferer, dessen Kunde NIS2 unterliegt.
Die 10 NIS2-Mindestanforderungen
- Risikoanalyse und Sicherheitsleitlinie
- Incident-Handling und Meldepflichten (24/72h)
- Business-Continuity- und Backup-Strategie
- Lieferketten-Sicherheit
- Sicherheit bei Beschaffung und Entwicklung
- Wirksamkeits-Bewertung der Maßnahmen
- Cyber-Hygiene und Awareness-Schulung
- Kryptographie und Verschlüsselung
- Zugriffskontrolle und Asset-Management
- Multi-Faktor-Authentifizierung und abgesicherte Kommunikation
Neu und brisant: Die Geschäftsleitung haftet persönlich für Versäumnisse. Bußgelder von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes sind möglich, und zwar nicht abstrakt, sondern konkret gegen Geschäftsführer durchsetzbar, wenn sie die Umsetzung nicht überwacht haben. Wer 2026 noch keine dokumentierte Risikoanalyse, keinen Incident-Response-Plan und keine Awareness-Trainings nachweisen kann, steht im Ernstfall persönlich in der Verantwortung.
Die 5 realen Bedrohungen
Die Bedrohungslandschaft ist unübersichtlich, aber 90 % der erfolgreichen Angriffe auf Mittelständler laufen über fünf bekannte Vektoren. Wer hier absichert, hat den Großteil der realen Gefahr im Griff.
Phishing & Business Email Compromise
KI-generierte Phishing-Mails sind seit 2024 nicht mehr an schlechtem Deutsch erkennbar. CEO-Fraud-Fälle kosten deutsche Mittelständler im Schnitt 240.000 €. Der Angriffsvektor Nr. 1, und der, bei dem Ihre Mitarbeiter entscheiden, ob es gutgeht.
Ransomware mit doppelter Erpressung
Moderne Ransomware verschlüsselt nicht nur, sie exfiltriert vorher Daten und droht mit Veröffentlichung. Backups allein reichen nicht mehr. Betroffen ist laut BSI-Lagebericht 2025 inzwischen jeder fünfte deutsche Mittelständler.
Lieferketten-Angriffe
Ihr Steuerberater, Ihr IT-Dienstleister, Ihr CRM-Anbieter, jede Schnittstelle ist ein potenzielles Einfallstor. NIS2 verlangt deshalb Sicherheitsanforderungen an die gesamte Lieferkette, nicht nur an die eigene Infrastruktur.
Insider-Risiken
Unzufriedene Mitarbeiter, geteilte Passwörter, unkontrollierte Admin-Rechte. 60 % der DSGVO-meldepflichtigen Vorfälle bei KMUs gehen auf fahrlässiges oder bewusstes Insider-Verhalten zurück, nicht auf externe Hacker.
SaaS-Lock-out & Cloud-Konto-Übernahme
Ein kompromittiertes Microsoft-365- oder Google-Konto legt in vielen Mittelständlern das gesamte Unternehmen lahm. Ohne MFA reicht ein gelecktes Passwort aus Datenbanken wie HaveIBeenPwned, in 4 von 10 Fällen funktioniert es noch.
8 Maßnahmen mit echtem Hebel
Nicht alles gleichzeitig. Nicht perfekt. Aber diese acht Maßnahmen decken 80 % der realen Risiken ab, und sind im Mittelstand mit vorhandenen Ressourcen umsetzbar. Die Reihenfolge ist bewusst: Fangen Sie oben an.
- 01
Multi-Faktor-Authentifizierung, überall
Laut Microsoft blockiert MFA 99,9 % aller Kontoübernahmen. Pflicht für: E-Mail, VPN, Cloud-Dienste, Admin-Konten, Remote-Zugänge. Verwenden Sie Authenticator-Apps oder Hardware-Keys (YubiKey), nicht SMS. Passkeys sind der neue Standard für 2026.
- 02
Backup nach 3-2-1-1-Regel
3 Kopien, 2 verschiedene Medien, 1 offsite, 1 offline (air-gapped). Die letzte „1" ist neu, nur offline-Backups überleben moderne Ransomware. Monatliche Wiederherstellungs-Tests sind Pflicht, nicht Kür. Ein Backup, das nie zurückgespielt wurde, existiert nicht.
- 03
Awareness-Trainings mit Phishing-Simulationen
Vierteljährliche simulierte Phishing-Kampagnen senken die Klickrate nachweislich von 30 % auf unter 5 %. Keine Bestrafung bei Klicks, sondern Lerneffekt. Ihre Mitarbeiter sind die wichtigste Security-Schicht, nicht die Firewall.
- 04
Patch-Management mit klaren Fristen
Kritische Patches innerhalb 48 Stunden, regulär binnen 14 Tagen. Automatisierte Inventarisierung (z.B. mit ManageEngine oder Baramundi) verhindert vergessene Systeme. Unpatched-CVEs sind der zweithäufigste Einfallsweg nach Phishing.
- 05
Least-Privilege & Admin-Trennung
Niemand arbeitet dauerhaft mit Admin-Rechten, auch Sie nicht. Separate Accounts für Verwaltung und Alltag. Regelmäßige Review-Pflichten: Wer hat welche Rechte? Wer sollte sie noch haben? DSGVO-Art. 32 macht das zur Pflicht.
- 06
EDR statt klassisches Antivirus
Signatur-basiertes AV erkennt moderne Angriffe nicht mehr. Endpoint Detection & Response (z.B. Microsoft Defender for Business, SentinelOne) überwacht Verhalten, nicht nur Dateien. Für NIS2-betroffene Unternehmen effektiv Pflicht.
- 07
Lieferanten-Sicherheit vertraglich verankern
NIS2 verlangt explizit Sicherheitsnachweise von Dienstleistern. Minimum: Auftragsverarbeitungs-Verträge nach DSGVO, Zertifikate (ISO 27001, BSI-Grundschutz), Vorfall-Meldepflichten. Ein IT-Dienstleister ohne diese Nachweise ist 2026 kein akzeptables Risiko mehr.
- 08
Incident-Response-Plan mit Telefonbaum
Wen rufen Sie Freitag abend um 22 Uhr an, wenn die Produktion steht? Dokumentierter IR-Plan (CERT, Anwalt, Versicherung, BSI-Meldung) auf Papier, nicht im verschlüsselten Fileserver. Einmal jährlich Tabletop-Übung. Spart im Ernstfall Tage.
Fazit: Sicherheit ist kein Projekt
Cyber-Sicherheit im Mittelstand 2026 ist weder ein Einmal-Projekt noch ein Technik-Thema. Es ist eine Management-Disziplin mit klaren gesetzlichen Rahmen (NIS2, DSGVO, BSI-Grundschutz) und persönlicher Haftung der Geschäftsleitung. Die gute Nachricht: Die Basis ist mit überschaubarem Aufwand umsetzbar. Die schlechte: Wer sie nicht hat, verliert im Ernstfall nicht nur Daten, sondern möglicherweise die Versicherung, Kundenverträge mit Sicherheits-Klauseln und im schlimmsten Fall die Existenz des Unternehmens.
Starten Sie mit den ersten drei Maßnahmen: MFA überall, Backup nach 3-2-1-1-Regel, Awareness-Training. Das sind die Hebel mit dem größten Effekt pro investierter Stunde. Alles weitere baut darauf auf, und wird einfacher, sobald das Fundament steht.
Häufige Fragen