Bitkom-Studie 2026: Bis zu 270,8 Milliarden Euro Schaden durch Cyberangriffe

Am 26. August 2026 hat der Digitalverband Bitkom gemeinsam mit dem Bundesamt für Verfassungsschutz seine jährliche Wirtschaftsschutz-Studie vorgestellt – und zum ersten Mal keine einzelne Schadenssumme genannt, sondern eine Spanne. Laut einer Erhebung von Bitkom Research im Auftrag des Digitalverbands Bitkom (öffnet in neuem Tab) liegt der durch Datendiebstahl, Industriespionage und Sabotage verursachte Schaden für die deutsche Wirtschaft 2026 zwischen 211 und 270,8 Milliarden Euro. Für einen Mittelständler ohne eigenes Sicherheitsteam ist die Zahl selbst weniger interessant als das, was dahintersteckt: Wer sind die Täter, welche Angriffswege funktionieren, und wo genau versagen die Schutzmaßnahmen, die es bei den Geschädigten am Ende nicht taten?

Dieser Beitrag ordnet die aktuelle Studie ein, trennt Trend von Einzeljahr und zeigt, welche drei Zahlen aus der Erhebung sich am ehesten in eine konkrete Prioritätenliste für die eigene IT übersetzen lassen.

Woher die Zahlen kommen

Zur Methodik: Bitkom (öffnet in neuem Tab) befragte für die Studie 1.003 Unternehmen ab 10 Beschäftigten und mit einem Jahresumsatz von mindestens 1 Million Euro in Deutschland, telefonisch, zwischen Kalenderwoche 16 und 23 des Jahres 2026. Die Erhebung sei nach Verbandsangaben repräsentativ. Neu in diesem Jahr ist, dass Bitkom erstmals einen Schadenskorridor statt einer einzelnen Summe ausweist – laut Verband, weil die Unsicherheit bei den Unternehmen selbst gewachsen ist: Nur noch 67 Prozent der Befragten konnten einen erfolgreichen Angriff mit Sicherheit feststellen, ein Jahr zuvor waren es noch 87 Prozent. Der Anteil, der einen Angriff vermutet, ihn aber nicht belegen kann, stieg im selben Zeitraum von 10 auf 29 Prozent. Diese wachsende Unsicherheit selbst ist ein Befund, den man nicht übersehen sollte – sie deutet darauf hin, dass Angriffe schwerer zu erkennen werden, nicht nur, dass sie seltener würden.

Der Trend zeigt nach unten – mit einer wichtigen Einschränkung

Die Schadenssumme ist gegenüber dem Vorjahr gesunken, nicht gestiegen. Bitkom-Präsident Ralf Wintergerst (öffnet in neuem Tab) ordnete das gegenüber heise online so ein: Im Vorjahr habe die Befragung noch 289,2 Milliarden Euro Schäden ergeben, die aktuelle Summe liege damit wieder etwa auf dem Niveau von 2021. Besonders deutlich fiel der Rückgang bei einer Teilkategorie aus: Die von den Unternehmen bezifferten Produktionsausfälle sanken laut heise von 73,3 Milliarden Euro im Vorjahr auf 36,5 Milliarden Euro in diesem Jahr – mehr als eine Halbierung.

Das ist eine gute Nachricht, aber keine, die zur Entwarnung taugt. Die Gesamtkosten bewegen sich laut heise weiterhin im unteren dreistelligen Milliardenbereich, und ein relevanter Teil davon entfällt nach wie vor auf Rechtsstreitigkeiten, Datenschutzmaßnahmen und Imageschäden – also auf Folgekosten, die erst nach dem eigentlichen Vorfall anfallen und sich schwerer vermeiden lassen als der ursprüngliche technische Schaden.

Wer hinter den Angriffen steckt: Kriminalität bleibt vorn, Staaten holen auf

Für die Einordnung der eigenen Bedrohungslage ist die Täterstruktur aufschlussreicher als die Gesamtsumme. Laut Bitkom-Erhebung, zitiert von heise online (öffnet in neuem Tab), bleibt organisierte Kriminalität die wichtigste Tätergruppe: 62 Prozent der betroffenen Unternehmen konnten mindestens einen Angriff dorthin zurückverfolgen – allerdings ein Rückgang gegenüber 68 Prozent im Vorjahr.

Gleichzeitig wächst der Anteil der Unternehmen, die einen Angriff auf ausländische Nachrichtendienste zurückführen, deutlich: von 7 Prozent im Jahr 2023 über 28 Prozent im Vorjahr auf jetzt 37 Prozent. Als häufigste Ursprungsländer nennen die Unternehmen China (52 Prozent der sicher betroffenen Unternehmen) und Russland (49 Prozent), mit deutlichem Abstand gefolgt von Osteuropa außerhalb der EU (34 Prozent), den USA (27 Prozent) und EU-Ländern ohne Deutschland (26 Prozent). Neu in der Rangliste ist der Iran mit rund 9 Prozent.

Für die praktische Einordnung heißt das: Der typische Mittelständler wird nach wie vor eher Opfer eines kriminellen, finanziell motivierten Angriffs als einer gezielten Spionageoperation. Wer besonders wettbewerbsrelevantes Know-how, sicherheitsrelevante Zulieferstrukturen oder Rüstungsbezug hat, sollte den wachsenden Staatsanteil aber nicht ignorieren – laut Bitkom sind Sicherheits- und Verteidigungswirtschaft besonders häufig Ziel ausländischer Dienste.

Welche Angriffswege tatsächlich funktionieren

Bei der Art der Cyberangriffe dominiert laut heise weiterhin Ransomware, allerdings mit rückläufigem Anteil: 25 Prozent gegenüber 34 Prozent im Vorjahr. Dahinter folgen Angriffe auf Passwörter (18 Prozent), Phishing (16 Prozent), DDoS-Attacken zur Netzwerklähmung (15 Prozent) sowie Infizierung mit sonstiger Schadsoftware und Spoofing mit je 11 Prozent.

Interessanter als die Rangliste selbst ist, was die geschädigten Unternehmen als Ursache für den eingetretenen Schaden nennen. Die häufigsten Gründe, laut heise mit Mehrfachnennungen möglich: unzureichende Erkennung von Sicherheitsvorfällen (59 Prozent), Fehlkonfigurationen von IT-Systemen (57 Prozent), unzureichendes Identitäts- und Zugriffsmanagement (55 Prozent), technische Schwachstellen (50 Prozent), veraltete Hard- oder Software (43 Prozent) und Kompromittierung über externe Dienstleister oder Zulieferer (8 Prozent).

Diese Liste ist bemerkenswert, weil sie fast ausschließlich Punkte enthält, die sich ohne Spezialbudget angehen lassen: Erkennung, Konfiguration und Zugriffsrechte sind organisatorische Hausaufgaben, keine Frage der Anschaffung teurer Spezialtechnik. Veraltete Software und technische Schwachstellen – zusammen bei knapp der Hälfte der Fälle ein Faktor – sind ebenfalls in erster Linie eine Frage konsequenten Patch-Managements, nicht eines neuen Produkts.

KI verändert die Angriffsseite, nicht (nur) als Behauptung

82 Prozent der befragten Unternehmen schätzen laut heise, dass KI-gestützte Methoden bei Angriffen auf dem Vormarsch sind. Sie machen das an konkreten Beobachtungen fest, nicht an einem allgemeinen Gefühl: an der automatisierten Anpassung von Angriffsversuchen (53 Prozent), an der hohen Qualität gefälschter Audio- und Videoaufnahmen (48 Prozent), an der sprachlichen Qualität von Textnachrichten und E-Mails (38 Prozent) sowie an der insgesamt höheren Frequenz von Angriffsversuchen (34 Prozent).

Das deckt sich mit einer Einschätzung, die BSI und Verfassungsschutz wenige Tage zuvor unabhängig geäußert hatten: KI senke Aufwand, Zeitbedarf und Einstiegshürden für Angriffe. Bitkom-Präsident Wintergerst bezeichnete die Entwicklung laut heise als „Booster für die Bedrohungslage". Praktisch bedeutet das vor allem eines: Klassische Warnsignale wie holpriges Deutsch in einer Phishing-Mail oder ein unnatürlicher Tonfall in einem gefälschten Anruf verlieren an Verlässlichkeit. Wer sich bislang auf die Aufmerksamkeit der Mitarbeitenden als letzte Verteidigungslinie verlassen hat, sollte diese Annahme neu bewerten.

Das Budget-Problem: 18 Prozent Ist-Zustand, 20 Prozent Empfehlung

Ein Punkt aus der Studie betrifft direkt die Ressourcenplanung: Der Anteil der IT-Sicherheit am gesamten IT-Budget liegt laut Bitkom im Schnitt unverändert bei 18 Prozent – stagnierend gegenüber dem Vorjahr. Der Verband verweist dabei auf das BSI, das einen Richtwert von 20 Prozent empfiehlt. Immerhin 45 Prozent der Unternehmen erreichen diesen Wert bereits oder liegen darüber; für die übrige Mehrheit bleibt eine Lücke zwischen empfohlenem und tatsächlichem Anteil bestehen.

Bitkom-Präsident Wintergerst fasste das laut heise online mit dem Satz zusammen: „IT-Sicherheit betrifft jedes Unternehmen, ausreichende Investitionen sind unerlässlich. Unternehmen dürfen es nicht darauf ankommen lassen, dass ihnen nichts passieren wird." Angesichts der oben genannten Schadensursachen – Erkennung, Konfiguration, Zugriffsmanagement – lohnt sich vor der Budgetfrage aber zuerst die Frage, wohin ein höherer Anteil überhaupt fließen sollte. Ein größeres Budget kauft keine bessere Erkennung, wenn niemand die Konfigurationen regelmäßig prüft.

Was sich daraus für die eigene Priorisierung ableiten lässt

Drei Konsequenzen lassen sich aus der Studie ziehen, ohne dass sie zusätzliche eigene Erhebungen brauchen:

Erstens: Die Schadensursachen sind bekannt und meist organisatorisch, nicht technisch exotisch. Unzureichende Erkennung, Fehlkonfigurationen und schwaches Zugriffsmanagement stehen zusammen bei den meisten geschädigten Unternehmen ganz oben. Wer prüfen will, ob die eigene IT hier eine Lücke hat, kommt ohne teure Spezialtools aus – ein strukturierter Blick auf Zugriffsrechte, Konfigurationsstandards und Protokollierung reicht als erster Schritt.

Zweitens: Die wachsende Unsicherheit bei der Erkennung ist selbst ein Warnsignal. Dass immer mehr Unternehmen einen Angriff vermuten, aber nicht mehr sicher belegen können, deutet darauf hin, dass Angriffe leiser werden – nicht, dass sie seltener werden. Monitoring, das auf ungewöhnliches Verhalten reagiert statt nur auf bekannte Signaturen, gewinnt dadurch an Bedeutung.

Drittens: Der Budget-Richtwert ist eine Orientierung, keine Blankovollmacht. 20 Prozent des IT-Budgets für Sicherheit ist ein sinnvoller Fixpunkt für die eigene Planung – aber erst, nachdem geklärt ist, welche der oben genannten Lücken im eigenen Betrieb überhaupt bestehen. Sonst wird ein höheres Budget zu einem höheren Betrag ohne klare Wirkung.

Die Bitkom-Studie liefert damit weniger eine Schreckzahl als eine Checkliste: Wer die fünf häufigsten Schadensursachen kennt und ehrlich prüft, wo das eigene Unternehmen bei jeder einzelnen steht, hat mehr gewonnen als durch die Kenntnis der Gesamtsumme allein.