Wie gut sind wir eigentlich vor Cyberangriffen geschützt?
Auf diese Frage dürften viele Menschen zunächst beruhigend antworten. Schließlich gehören sichere Passwörter, Zwei-Faktor-Authentisierung, Virenschutz und regelmäßige Updates mittlerweile zu den bekanntesten Maßnahmen für mehr Cybersicherheit. Der Cybersicherheitsmonitor 2026 des Bundesamtes für Sicherheit in der Informationstechnik (BSI) und der Polizeilichen Kriminalprävention der Länder und des Bundes (ProPK) zeigt jedoch: Zwischen dem Gefühl, ausreichend geschützt zu sein und den tatsächlich eingesetzten Schutzmaßnahmen besteht weiterhin eine deutliche Lücke. Die Studie untersucht zwar das Verhalten von Privatpersonen, dennoch lohnt sich der Blick auf die Zahlen auch für Geschäftsführungen und IT-Verantwortliche. Denn sie machen deutlich, wie Cybersicherheit allgemein wahrgenommen wird, obwohl wichtige Schutzmaßnahmen im Alltag noch längst nicht selbstverständlich sind.
Mehr als die Hälfte hält das eigene Cyberrisiko für gering
Eine der auffälligsten Zahlen des Cybersicherheitsmonitors 2026: 55 Prozent der Befragten halten ihr persönliches Risiko, von Cyberkriminalität betroffen zu sein, für eher oder sehr gering beziehungsweise sogar für ausgeschlossen. Dieses Sicherheitsgefühl spiegelt sich auch bei der Frage wider, warum bekannte Schutzmaßnahmen nicht eingesetzt werden. 27 Prozent der Befragten geben als Grund an, dass sie sich bereits sicher fühlen. Andere empfinden die Umsetzung als schwierig: Jeweils 23 Prozent sagen, Schutzmaßnahmen seien zu kompliziert oder sie fühlten sich damit überfordert. Weitere 20 Prozent wissen nicht, was sie tun sollen, weil aus ihrer Sicht überall etwas anderes empfohlen wird. Für Unternehmen steckt darin eine wichtige Erkenntnis: Cybersicherheit scheitert nicht zwangsläufig daran, dass Risiken völlig unbekannt sind. Sicherheit muss auch verständlich, einfach umsetzbar und fest in den Arbeitsalltag integriert sein.
Bekannt bedeutet noch lange nicht umgesetzt
Wie groß die Lücke zwischen Wissen und Umsetzung ist, zeigen weitere Ergebnisse des Cybersicherheitsmonitors. Von 19 vorgeschlagenen Schutzmaßnahmen kennen die Befragten durchschnittlich lediglich 6 Maßnahmen. Tatsächlich genutzt werden im Durchschnitt sogar nur etwa 4.
Auch bei bekannten Maßnahmen bleibt Luft nach oben:
- 46 Prozent nutzen sichere Passwörter,
- 40 Prozent ein aktuelles Antivirenprogramm,
- 40 Prozent eine Zwei-Faktor-Authentisierung,
- 26 Prozent haben die automatische Installation verfügbarer Updates aktiviert,
- 21 Prozent nutzen passwortloses Anmelden, beispielsweise mit Passkeys.
Die Zahlen beziehen sich auf private Internetnutzung. Für Unternehmen stellt sich daraus trotzdem eine interessante Frage: Wie viele Sicherheitsmaßnahmen sind im eigenen Unternehmen lediglich vorgesehen und wie viele davon werden tatsächlich konsequent umgesetzt? Eine Sicherheitsrichtlinie allein verhindert schließlich noch keinen Angriff. Entscheidend ist, was technisch durchgesetzt und im täglichen Arbeiten tatsächlich gelebt wird.
Cybersicherheit darf nicht von einzelnen Entscheidungen abhängen
Genau hier unterscheidet sich professionelle IT-Sicherheit im Unternehmen vom privaten Umgang mit Cybersicherheit. Im Idealfall muss ein Mitarbeitender nicht jeden Tag selbst entscheiden, ob sein Notebook ausreichend geschützt ist oder ob ein wichtiges Sicherheitsupdate installiert werden sollte. Viele Schutzmaßnahmen können zentral organisiert werden. Dazu gehören beispielsweise:
- zentral gesteuerte Updates und Patchmanagement,
- Mehr-Faktor-Authentifizierung für Unternehmensanwendungen,
- definierte Passwort- und Zugriffsrichtlinien,
- Endpoint Protection und zentrale Sicherheitsüberwachung,
- geregelte Benutzer- und Berechtigungsverwaltung,
- regelmäßige Datensicherungen,
- kontrollierte Gerätekonfigurationen.
Je stärker solche Maßnahmen technisch und organisatorisch verankert sind, desto weniger hängt die Sicherheit davon ab, dass jeder einzelne Mitarbeitende jederzeit die richtige Entscheidung trifft. Das bedeutet allerdings nicht, dass der Mensch für die Cybersicherheit keine Rolle mehr spielt. Im Gegenteil.
Nur 14 Prozent informieren sich regelmäßig über Cybersicherheit
Auch beim Informationsverhalten zeigt der Cybersicherheitsmonitor deutlichen Nachholbedarf. Lediglich 14 Prozent der Befragten informieren sich regelmäßig über Cybersicherheit. 40 Prozent beschäftigen sich immerhin hin und wieder damit. Rund ein Viertel, 24 Prozent, informiert sich dagegen nach eigener Aussage eigentlich nie. Interessant ist außerdem: Personen, die innerhalb der vergangenen zwölf Monate bereits von Cyberkriminalität betroffen waren, informieren sich häufiger über das Thema. Das verdeutlicht ein bekanntes Problem: Mit Cybersicherheit beschäftigen sich viele Menschen intensiver, wenn bereits etwas passiert ist. Für Unternehmen sollte genau das vermieden werden. Awareness und Sicherheitsmaßnahmen sollten nicht erst dann Aufmerksamkeit bekommen, wenn ein verdächtiger Anhang geöffnet, ein Kennwort kompromittiert oder ein System verschlüsselt wurde.
Mitarbeitende müssen wissen, worauf es ankommt
Technische Schutzmaßnahmen sind deshalb nur eine Seite einer wirksamen Sicherheitsstrategie.
Mitarbeitende sollten beispielsweise erkennen können:
- Wann ist eine E-Mail verdächtig?
- Woran erkenne ich eine ungewöhnliche Anmeldeaufforderung?
- Wie gehe ich mit unerwarteten MFA-Anfragen um?
- Was mache ich, wenn ich möglicherweise auf einen Phishing-Link geklickt habe?
- An wen kann ich mich im Unternehmen wenden?
- Was sollte ich bei einem Sicherheitsvorfall auf keinen Fall selbst ausprobieren?
Dabei geht es nicht darum, aus jedem Mitarbeitenden einen IT-Sicherheitsexperten zu machen. Viel wichtiger sind einfache Regeln, klare Ansprechpartner und regelmäßige Sensibilisierung. Auch der Cybersicherheitsmonitor zeigt, dass Menschen vor allem konkrete Hilfestellungen suchen: Für Informationssuchende sind Tipps für den Ernstfall besonders relevant, gefolgt von Erkennungszeichen für Cyberkriminalität und Anleitungen zur präventiven Absicherung. Das Prinzip lässt sich sehr gut auf Unternehmen übertragen: Mitarbeitende benötigen nicht nur theoretisches Wissen über Cybergefahren, sondern konkrete Handlungsmöglichkeiten.
Cyberkriminalität ist kein theoretisches Risiko
Das hohe subjektive Sicherheitsgefühl steht zudem einem anderen Ergebnis gegenüber. 11 Prozent der Befragten geben an, innerhalb der vergangenen zwölf Monate von Cyberkriminalität betroffen gewesen zu sein. Insgesamt berichten 27 Prozent, bereits mindestens einmal Cyberkriminalität erlebt zu haben. Unter den Personen, die innerhalb der vergangenen zwölf Monate betroffen waren, gehörten unter anderem Fremdzugriffe auf Online-Accounts und Phishing zu den genannten Vorfällen. Und ein erfolgreicher Angriff bleibt häufig nicht ohne Folgen. Bei den ausgewerteten Betroffenen mussten 88 Prozent einen Schaden hinnehmen. Genannt wurden unter anderem:
- finanzielle Schäden,
- Vertrauensverlust in entsprechende Onlinedienste,
- zeitlicher Schaden,
- Datenverlust.
Das BSI weist aufgrund der vergleichsweise geringen Fallzahl bei dieser Frage ausdrücklich darauf hin, dass Veränderungen zwischen einzelnen Jahren nur als grobe Indikatoren verstanden werden sollten. Für Unternehmen lassen sich auch diese Schadenswerte nicht übertragen. Die grundsätzlichen Schadenskategorien sind allerdings bekannt: Ein Sicherheitsvorfall kann nicht nur finanzielle Folgen haben, sondern auch Zeit binden, Daten gefährden und Vertrauen beschädigen.
Vom Sicherheitsgefühl zur tatsächlichen Sicherheit
Der Cybersicherheitsmonitor 2026 zeigt vor allem eines sehr deutlich: Sich sicher zu fühlen ist nicht dasselbe wie sicher zu sein. Für Unternehmen sollte Cybersicherheit deshalb möglichst wenig vom subjektiven Sicherheitsgefühl einzelner Personen abhängen. Stattdessen braucht es ein Zusammenspiel aus mehreren Ebenen:
Technik: Systeme, Endgeräte und Konten müssen mit geeigneten Sicherheitsmaßnahmen geschützt werden.
Prozesse: Updates, Zugriffsrechte, Backups oder der Umgang mit Sicherheitsvorfällen brauchen klare Abläufe und Verantwortlichkeiten.
Menschen: Mitarbeitende sollten Risiken erkennen und wissen, wie sie im Ernstfall reagieren müssen.
Vor allem aber sollten diese drei Bereiche regelmäßig überprüft werden. Denn eine Sicherheitsmaßnahme, die vor zwei Jahren eingerichtet wurde, muss heute nicht automatisch noch ausreichend sein.
Wie gut funktioniert Cybersicherheit in Ihrem Unternehmen wirklich?
Die entscheidende Frage lautet deshalb nicht: „Haben wir Maßnahmen für IT-Sicherheit?“, sondern: „Funktionieren unsere Sicherheitsmaßnahmen im täglichen Betrieb?“
Sind Updates auf allen Geräten aktuell? Ist Mehr-Faktor-Authentifizierung konsequent eingerichtet? Werden Zugriffsrechte regelmäßig überprüft? Können Backups tatsächlich wiederhergestellt werden? Wissen Mitarbeitende, was sie bei einer verdächtigen Nachricht tun sollen? Genau solche Fragen helfen dabei, aus einem guten Sicherheitsgefühl tatsächliche Cybersicherheit zu machen. Denn Schutz entsteht nicht dadurch, möglichst viele Sicherheitsmaßnahmen aufzuzählen. Er entsteht dann, wenn Technik, Prozesse und Mitarbeitende zuverlässig zusammenspielen.
Quelle der genannten Befragungsdaten: Bundesamt für Sicherheit in der Informationstechnik (BSI) und Polizeiliche Kriminalprävention der Länder und des Bundes (ProPK), „Befragung zur Cybersicherheit 2026 – Cybersicherheitsmonitor“, Stand April 2026. Befragt wurden 3.060 deutschsprachige Personen ab 16 Jahren in Privathaushalten mit Internetzugang. Die Befragung erfasst Einstellungen und berichtetes Verhalten; daraus können laut Studienhinweis nicht zwingend Rückschlüsse auf das tatsächliche Verhalten gezogen werden.
Häufige Fragen zu Cybersicherheitsmonitoring
Wie oft sollte ein Unternehmen seine IT-Sicherheitsmaßnahmen überprüfen?
Eine feste allgemeingültige Frist gibt es nicht. Sinnvoll ist jedoch eine regelmäßige Überprüfung sowie zusätzlich immer dann, wenn sich die IT-Infrastruktur verändert, neue Systeme eingeführt werden oder neue Bedrohungen bekannt werden. Besonders kritische Bereiche wie Zugriffsrechte, Backups oder Sicherheitsupdates sollten kontinuierlich kontrolliert werden.
Wer ist im Unternehmen für Cybersicherheit verantwortlich?
Cybersicherheit ist keine reine Aufgabe der IT-Abteilung. Die Geschäftsführung trägt Verantwortung dafür, geeignete Rahmenbedingungen und Ressourcen zu schaffen. Die IT setzt technische Maßnahmen um, während Mitarbeitende durch einen sicheren Umgang mit Systemen und Daten ihren Teil beitragen. Entscheidend sind klar definierte Zuständigkeiten.
Wie können Unternehmen feststellen, ob ihre Sicherheitsmaßnahmen tatsächlich funktionieren?
Neben der technischen Kontrolle können beispielsweise regelmäßige Sicherheitsaudits, Schwachstellenanalysen, Wiederherstellungstests von Backups oder simulierte Phishing-Kampagnen helfen. So lässt sich überprüfen, ob Maßnahmen nicht nur eingerichtet wurden, sondern auch im Ernstfall funktionieren.
Was sollte ein Unternehmen tun, wenn ein Cyberangriff vermutet wird?
Verdächtige Aktivitäten sollten möglichst schnell an die zuständige IT oder den IT-Dienstleister gemeldet werden. Wichtig ist, nach einem definierten Notfallplan vorzugehen, betroffene Systeme zu untersuchen und Beweise zu sichern. Unkoordinierte Maßnahmen können die spätere Analyse eines Vorfalls erschweren.
Kann eine Cyberversicherung technische Sicherheitsmaßnahmen ersetzen?
Nein. Eine Cyberversicherung kann bestimmte finanzielle Folgen eines Sicherheitsvorfalls absichern, verhindert aber keinen Angriff. Versicherer stellen zudem häufig Anforderungen an vorhandene Schutzmaßnahmen. Eine Versicherung sollte deshalb immer nur ein zusätzlicher Baustein innerhalb einer umfassenden IT-Sicherheitsstrategie sein.
