NIS2 betrifft 30.000 Unternehmen
Das NIS2-Umsetzungsgesetz verpflichtet Unternehmen zu verschärften Cybersecurity-Maßnahmen. Bei Verstößen drohen Bußgelder bis 10 Mio. EUR. Die Geschäftsleitung haftet zusätzlich persönlich.
Lageanalyse — aktualisiert März 2026
Aktuelle Cyber-Bedrohungslage Deutschland
Ransomware, KI-Phishing und Supply-Chain-Angriffe erreichen 2025 neue Dimensionen. Diese Seite fasst die relevantesten Bedrohungen, Statistiken und regulatorischen Entwicklungen für deutsche Unternehmen zusammen — quellengestützt und handlungsorientiert.
Bedrohungsstatus Deutschland
Erhöht- Ransomware-Angriffe
- 5/5
- Phishing & Social Engineering
- 5/5
- Supply-Chain-Risiken
- 4/5
- Cloud-Fehlkonfigurationen
- 4/5
- Zero-Day-Exploits
- 3/5
- Schaden DE 2024
- 148 Mrd. €
- Bitkom-Studie
- Betroffene Unternehmen
- 7 von 10
- wurden 2024 angegriffen
Quellen: Bitkom 2024, BSI Lagebericht 2024, IBM X-Force 2024
LIVE
- Mittel BSI [UPDATE] [mittel] Red Hat Enterprise Linux (sg3_utils): Schwachstelle ermöglicht Ausführen von beliebigem Programmcode mit Administratorrechten 2026-09-08
- Mittel BSI [UPDATE] [mittel] Red Hat Enterprise Linux (libreswan): Mehrere Schwachstellen ermöglichen Denial of Service 2026-09-08
- Mittel BSI [UPDATE] [mittel] gzip: Mehrere Schwachstellen 2026-09-08
- Mittel BSI [UPDATE] [mittel] Golang Go-Module (Net, Image, Crypto: Mehrere Schwachstellen 2026-09-08
- Hoch BSI [UPDATE] [hoch] Golang Go: Mehrere Schwachstellen 2026-09-08
- Mittel BSI [NEU] [mittel] Eclipse Jetty: Schwachstelle ermöglicht Denial of Service 2026-09-08
- Mittel BSI [NEU] [mittel] Siemens SICAM 8: Mehrere Schwachstellen 2026-09-08
- Hoch BSI [NEU] [hoch] Roundcube: Mehrere Schwachstellen 2026-09-08
- Hoch BSI [NEU] [hoch] strongSwan: Mehrere Schwachstellen 2026-09-08
- Mittel BSI [NEU] [mittel] Red Hat Enterprise Linux: Mehrere Schwachstellen 2026-09-08
- Kritisch NVD CVE-2026-85661 (CVSS 9.8): excel-mcp-server 0.1.8 fails to enforce path confinement in stdio mode when E... 2026-09-04
- Kritisch NVD CVE-2026-85031 (CVSS 9.9): A vulnerability was found in TOTOLINK CP450 4.1.0. The impacted element is an... 2026-09-03
- Kritisch NVD CVE-2026-85183 (CVSS 9.3): Taipy configures its socket.io server with wildcard CORS origin and credentia... 2026-09-03
- Kritisch NVD CVE-2026-85394 (CVSS 9.1): python-jose through 3.5.0 fails to properly validate asymmetric keys in HMAC ... 2026-09-03
- Kritisch NVD CVE-2026-62916 (CVSS 9.1): Authentication bypass using an alternate path or channel in Microsoft Entra I... 2026-09-03
- Kritisch NVD CVE-2026-65818 (CVSS 8.5): Server-side request forgery (ssrf) in Power Automate allows an authorized att... 2026-09-03
- Kritisch NVD CVE-2026-80098 (CVSS 9.3): Improper verification of cryptographic signature in Copilot Studio allows an ... 2026-09-03
- Kritisch NVD CVE-2026-85428 (CVSS 9.8): MOOS core-moos through 10.4.0 contains an authentication bypass vulnerability... 2026-09-03
- Kritisch NVD CVE-2026-85433 (CVSS 9.8): MOOS essential-moos pShare through 10.0.1 fails to properly authorize PSHARE_... 2026-09-03
- Kritisch NVD CVE-2026-85438 (CVSS 9.8): MOOS-IvP through 24.8.1 contains a buffer overflow vulnerability in StringToI... 2026-09-03
- 309.000
- Neue Schadprogramme pro Tag (BSI 2024)
- 119
- Neue Schwachstellen pro Tag (BSI 2025)
- 80 %
- Ransomware-Opfer sind KMU (BSI 2025)
- 22
- APT-Gruppen in DE aktiv (BSI 2024)
Warum Handeln dringend ist
Bedrohungslage aus vier Perspektiven
Regulatorische Pflichten, wirtschaftliche Folgen, öffentlich sichtbare Informationen und technische Exposition beschreiben unterschiedliche Teile der Bedrohungslage.
5,31 Mio. USD pro Datenleck
Die durchschnittlichen Kosten eines Datenlecks in Deutschland (IBM 2024). Weltweit liegt der Schnitt bei 4,88 Mio. USD.
Bei 25 von 30 Organisationen: verwertbare Spuren
Bei 25 von 30 untersuchten Organisationen fanden sich unter den online identifizierten Beschäftigten 5.910 Personen, für die jeweils sieben bis 15 öffentlich zugängliche Attribute zusammengeführt werden konnten. Die berichteten 71 % beziehen sich nur auf online identifizierte Beschäftigte, nicht auf die gesamte Belegschaft.
95 % am letzten Messpunkt potenziell betroffen
Im letzten Messpunkt im Juni 2020 nutzten 95 % der beobachteten Websites mindestens ein erkanntes Softwareprodukt, dessen Version einer bekannten Schwachstelle zugeordnet war. Insgesamt umfasste die 18-monatige Langzeitstudie über 5,6 Mio. Websites. Ob die zugeordneten Schwachstellen im konkreten Betrieb ausnutzbar waren, wurde nicht geprüft.
Quellen: IBM Cost of a Data Breach Report 2024; Urban et al., Plenty of Phish in the Sea (ESORICS 2020); Demir et al., Our (in)Secure Web (PAM 2021); BSI
Offizielle Lageeinschätzung
BSI Lagebericht zur IT-Sicherheit
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bewertet die Cybersicherheitslage in Deutschland als besorgniserregend und auf einem historisch hohen Niveau.
«Insbesondere Ransomware, Spionage und Desinformation bedrohen unseren Wohlstand und gefährden unsere Demokratie.»
Nr.KennzahlEinordnungQuelle
Kennzahl
309.000
Neue Schadprogramm-Varianten
pro Tag
Einordnung
+26 % gegenüber Vorjahr. Haupttreiber: +256 % bei Windows-64-Bit-Malware.
Quelle
BSI Lagebericht 2024, S. 11
Kennzahl
119
Neue Schwachstellen
pro Tag
Einordnung
+24 % zum Vorjahr. 2023 waren es noch 78 pro Tag. Monatlich 18 Zero-Day-Meldungen.
Quelle
BSI Lagebericht 2025
Kennzahl
950
Ransomware-Angriffe
Anzeigen
Einordnung
72 % davon mit Datenleaks verbunden. LockBit: 2.500+ Opfer weltweit, 40 in Deutschland.
Quelle
BSI Lagebericht 2025
Kennzahl
1.183
Vorfälle bei KRITIS-Betreibern
Störungen
Einordnung
Ein einzelner Ransomware-Angriff auf einen kommunalen IT-Dienstleister betraf 72 Kommunen und 850.000 Arbeitsplätze.
Quelle
BSI Lagebericht 2024
Kennzahl
22
APT-Gruppen in Deutschland aktiv
von ~140 weltweit
Einordnung
Zusätzlich über 100 Cybercrime-Gruppen. Angreifer deaktivieren gezielt EDR-Systeme in kompromittierten Netzen.
Quelle
BSI Lagebericht 2024
Kennzahl
~80 %
Richten sich gegen KMU
aller Angriffe
Einordnung
Die meisten durch automatisierte, großflächige Attacken — nicht gezielt, aber verheerend für 3,1 Mio. Mittelständler.
Quelle
BSI Lagebericht 2025
«Wir sind den Bedrohungen nicht schutzlos ausgeliefert! Wir sehen deutlich: Die Schutzmaßnahmen wirken und wir sind in der Lage, den Angriffen effektiv entgegenzutreten.»
Alle Zahlen: BSI — Die Lage der IT-Sicherheit in Deutschland 2024/2025
Bedrohungsanalyse 2025
Die fünf größten Cyberbedrohungen
Diese Angriffsvektoren verursachen den Großteil der Schäden bei deutschen Unternehmen — eingestuft nach Verbreitung, Schadenshöhe und Entwicklungstrend.
Risk-Matrix 2025
Wahrscheinlichkeit × Auswirkung nach BSI-Einschätzung. Klick auf Punkt → Bedrohungsdetail.
KritischHoch
Nr.BedrohungTrendSchwere
Bedrohung
Ransomware-as-a-Service
Laut BSI Lagebericht bleibt Ransomware die größte Gefahr für die IT-Sicherheit in Deutschland. Im Berichtszeitraum wurden 950 Anzeigen erfasst, 72 % davon mit Datenleaks. LockBit war mit weltweit über 2.500 Opfern die aktivste Gruppe - allein 40 deutsche Unternehmen erschienen auf deren Leak-Seite. Rund 80 % aller Ransomware-Opfer sind KMU.
Betroffene Branchen
Produzierendes Gewerbe · Gesundheitswesen · Kommunen · Logistik
Trend
950 Anzeigen / 72 % Datenleaks
BSI Lagebericht 2024/2025
Schwere
Kritisch
Bedrohung
AI-gestütztes Phishing & Social Engineering
Das BSI warnt: Cyberkriminelle nutzen KI-Sprachmodelle zur Generierung fehlerfreier Phishing-Mails und optimiertem Schadcode. Angreifer zielen laut BSI zunehmend darauf ab, Zugangsdaten zur Multifaktor-Authentifizierung zu stehlen - eine der letzten Verteidigungslinien wird damit untergraben. Kampagnen missbrauchen verstärkt Streaming-Dienste als Köder.
Betroffene Branchen
Alle Branchen · Finanzdienstleistungen · Versicherungen
Trend
MFA-Phishing nimmt zu (BSI)
BSI Lagebericht 2024
Schwere
Kritisch
Bedrohung
Supply-Chain-Angriffe
Angreifer kompromittieren Software-Anbieter, um über vertrauenswürdige Update-Pfade in Zielsysteme einzudringen. Das BSI stuft Supply-Chain-Risiken als eine der zentralen Bedrohungsdimensionen ein. XZ Utils (2024) und MOVEit (2023) zeigen: Eine einzige kompromittierte Abhängigkeit betrifft tausende Organisationen. Das BSI empfiehlt Software Bill of Materials (SBOM) und Zero-Trust-Architektur.
Betroffene Branchen
Software-Entwicklung · IT-Dienstleistungen · KRITIS · Automotive
Trend
+245 % seit 2021
BSI / ENISA Threat Landscape 2024
Schwere
Hoch
Bedrohung
Malware-Explosion & Botnetze
Das BSI registriert täglich 309.000 neue Schadprogramm-Varianten - ein Anstieg von 26 % gegenüber dem Vorjahr. Besonders alarmierend: +256 % bei Windows-64-Bit-Malware und +48 % bei Android-Varianten. Sechs der zehn aktivsten Botnetze in Deutschland zielen auf Android-Geräte und sind für 71,4 % aller Infektionen verantwortlich.
Betroffene Branchen
Alle Branchen · Mobile-Nutzer · Behörden · Unternehmen
Trend
309.000 Varianten/Tag (+26 %)
BSI Lagebericht 2024
Schwere
Hoch
Bedrohung
Zero-Day-Exploits & ungepatchte Systeme
Das BSI verzeichnet aktuell 119 neue Schwachstellen pro Tag - ein Anstieg von 24 % gegenüber dem Vorjahr. Monatlich werden 18 Zero-Day-Schwachstellen über das BSI-CVD-Verfahren gemeldet. Der Ivanti-Fall (Januar 2024) illustriert die Gefahr: Zwei kombinierte Zero-Days (CVE-2023-46805, CVSS 8.2 + CVE-2024-21887, CVSS 9.1) kompromittierten über 1.700 Systeme weltweit, bevor ein Patch verfügbar war.
Betroffene Branchen
OT/ICS · Gesundheitswesen · KRITIS · Behörden
Trend
119 Schwachstellen/Tag (+24 %)
BSI Lagebericht 2024/2025
Schwere
Kritisch
Quellen: BSI Lagebericht 2024/2025 · BSI Lagebericht 2025 Zusammenfassung · ENISA Threat Landscape 2024 · Bitkom 2024
Regulatorisches Umfeld
Neue Pflichten, persönliche Haftung
Die regulatorischen Anforderungen an Cybersicherheit verschärfen sich in allen Branchen. Geschäftsführer haften persönlich — Unwissenheit schützt nicht vor Strafe.
Nr.RegelwerkInhaltFrist
Regelwerk
NIS-2-Richtlinie
In Kraft
Inhalt
Das deutsche Umsetzungsgesetz NIS2UmsuCG ist seit dem 6. Dezember 2025 in Kraft. Rund 30.000 Unternehmen in 18 Sektoren unterliegen verschärften Sicherheitspflichten. Geschäftsleiter haften persönlich - Bußgelder bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes.
Regelwerk
DSGVO-Durchsetzung
Verschärft
Inhalt
Europäische Datenschutzbehörden verhängten 2024 Bußgelder von insgesamt über 1,8 Mrd. EUR - ein Anstieg von 14 % zum Vorjahr. Meldepflichten bei Datenpannen (72-Stunden-Frist) werden konsequent kontrolliert. Technischer Datenschutz steht verstärkt im Fokus der Aufsichtsbehörden.
Regelwerk
BSI IT-Grundschutz 2023+
Aktualisiert
Inhalt
Das BSI hat das IT-Grundschutz-Kompendium 2023 mit neuen Bausteinen für Cloud-Nutzung, KI-Systeme und Remote-Work-Infrastrukturen erweitert. Neue ORP-Bausteine adressieren die Lieferkettensicherheit. Für KRITIS-Betreiber ist die Umsetzung des Grundschutzes verpflichtend.
Regelwerk
DORA (Digital Operational Resilience Act)
In Kraft
Inhalt
DORA gilt seit dem 17. Januar 2025 für Finanzunternehmen und ihre kritischen IKT-Dienstleister in der EU. Verpflichtend: IKT-Risikomanagement, Incident-Reporting, Resilienztests (TLPT) sowie Anforderungen an IKT-Drittanbieter. Finanzaufsichten prüfen aktiv die Umsetzung.
Handlungsempfehlungen
Was können Sie jetzt tun?
Fünf konkrete Maßnahmen, die den größten Schutzeffekt mit dem geringsten Aufwand erzielen — priorisiert nach Wirksamkeit.
Ausnutzbare Schwachstellen aufdecken und dokumentiert beheben
Ein jährlicher Penetrationstest Ihrer exponierten Systeme deckt ausnutzbare Schwachstellen auf, bevor sie zur Eintrittspforte werden. Wir prüfen Webanwendungen, Netzwerkinfrastruktur, Cloud-Konfigurationen und interne Segmentierung.
Penetrationstest anfragenMitarbeiter zur letzten Verteidigungslinie machen
KI-generiertes Phishing umgeht technische Filter. Regelmäßige Phishing-Simulationen und Security-Awareness-Trainings senken die Klickrate nachweislich um bis zu 70 %. Ihre Mitarbeiter sind Ihr wichtigstes Sicherheitswerkzeug.
Phishing-Simulation startenCompliance-Anforderungen systematisch erfüllen
NIS-2, DSGVO und DORA sind keine Option. Ein strukturiertes ISMS nach ISO 27001 schafft die Grundlage für alle regulatorischen Anforderungen gleichzeitig - und schützt Ihre Geschäftsführung vor persönlicher Haftung.
ISO 27001 BeratungLieferkette in den Sicherheitsrahmen einbeziehen
Supply-Chain-Angriffe nutzen das schwächste Glied in Ihrer Zulieferkette. Definieren Sie Sicherheitsanforderungen für Lieferanten, prüfen Sie deren Umsetzung und überwachen Sie privilegierte Drittanbieter-Zugänge.
Sicherheitsanalyse anfragenReaktionsfähigkeit im Ernstfall sicherstellen
Ein erprobter Incident-Response-Plan verkürzt die Reaktionszeit von Tagen auf Stunden. Tabletop-Übungen mit Ihrem Team machen den Ernstfall beherrschbar und stellen die NIS-2-Meldepflicht sicher.
Red-Teaming & Incident ResponseHäufige Fragen
Fragen zur Bedrohungslage
Antworten auf die wichtigsten Fragen rund um aktuelle Cyberbedrohungen und Schutzmaßnahmen.
Welche Cyberbedrohungen sind 2025 für deutsche Unternehmen am gefährlichsten?
Laut BSI Lagebericht 2024/2025 sind die gravierendsten Bedrohungen: (1) Ransomware - 950 Anzeigen im Berichtszeitraum, 72 % mit Datenleaks, BSI-Präsidentin Plattner nennt sie explizit die größte Gefahr; (2) KI-gestütztes Phishing - Cyberkriminelle nutzen LLMs für fehlerfreie, personalisierte Angriffsmails, zunehmend mit MFA-Phishing; (3) Supply-Chain-Angriffe - das BSI stuft sie als zentrale Bedrohungsdimension ein; (4) APT-Gruppen - 22 staatlich gesteuerte Gruppen sind in Deutschland aktiv (von ~140 weltweit); (5) Schwachstellen-Explosion - 119 neue Schwachstellen pro Tag (+24 %). Rund 80 % der Ransomware-Opfer sind KMU.
Was sagt der BSI Lagebericht zur aktuellen Situation?
Das BSI bewertet die Lage als „besorgniserregend" und auf historisch hohem Niveau. Kernzahlen: 309.000 neue Schadprogramm-Varianten pro Tag (+26 % ggü. Vorjahr), 119 neue Schwachstellen täglich, 22 aktive APT-Gruppen und über 100 Cybercrime-Gruppen in Deutschland. 1.183 Störungen bei KRITIS-Betreibern wurden registriert. Positiv: Die Resilienz steigt - der Anteil der Ransomware-Opfer, die Lösegeld zahlen, sinkt stetig. BSI-Präsidentin Plattner betont: „Die Schutzmaßnahmen wirken und wir sind in der Lage, den Angriffen effektiv entgegenzutreten." (Quelle: bsi.bund.de/lagebericht)
Was ist die NIS-2-Richtlinie und bin ich davon betroffen?
Die NIS-2-Richtlinie (Network and Information Security Directive 2) ist eine EU-Richtlinie zur Stärkung der Cybersicherheit. Das deutsche Umsetzungsgesetz (NIS2UmsuCG) ist seit dem 6. Dezember 2025 in Kraft. Betroffen sind Unternehmen ab 50 Mitarbeitern ODER 10 Mio. EUR Jahresumsatz in 18 Sektoren. Schätzungsweise 29.000 bis 40.000 Unternehmen fallen darunter, die Mehrheit Mittelständler. Pflichten: Risikomanagement, 24-Stunden-Meldefristen, Lieferkettensicherheit und persönliche Haftung der Geschäftsleitung. Das BSI hat aktualisierte GAiN-Anforderungen und KRITIS-Mängellisten veröffentlicht.
Was kostet ein Cyberangriff ein deutsches Unternehmen durchschnittlich?
Der Bitkom beziffert den Gesamtschaden durch Cyberkriminalität in Deutschland 2024 auf 148 Mrd. EUR. Laut IBM liegt der Durchschnittsschaden eines einzelnen Datenlecks in Deutschland bei 4,67 Mio. USD - Platz 3 weltweit. Das BSI dokumentiert im Lagebericht 2024, dass ein einziger Ransomware-Angriff auf einen kommunalen IT-Dienstleister 72 Kommunen und etwa 850.000 Arbeitsplätze betraf. Die Kosten umfassen Betriebsunterbrechung, Forensik, Systemwiederherstellung, Reputationsschäden und Bußgelder.
Wie kann ich mein Unternehmen kurzfristig gegen die größten Risiken schützen?
Das BSI und AWARE7 empfehlen als Sofortmaßnahmen: (1) Multi-Faktor-Authentifizierung aktivieren - Achtung: Das BSI warnt, dass Angreifer zunehmend auch MFA-Credentials stehlen; (2) Offline-Backups und regelmäßige Wiederherstellungstests - der sinkende Anteil zahlender Ransomware-Opfer zeigt: Backups wirken; (3) Patch-Management priorisieren - bei 119 neuen Schwachstellen täglich ist schnelles Patchen kritisch; (4) Least-Privilege-Prinzip konsequent umsetzen; (5) Mitarbeiter sensibilisieren - KI-gestütztes Phishing ist ohne Schulung kaum zu erkennen. Für eine systematische Standortbestimmung empfehlen wir eine Sicherheitsanalyse.
Wie gut ist Ihre Organisation geschützt?
Erfahren Sie in einer kostenlosen 30-minütigen Erstberatung, wo Ihre größten Risiken liegen - und wie Sie diese gezielt und wirtschaftlich adressieren können.
Kostenlos · 30 Minuten · Unverbindlich
