IT-Sicherheit in Deutschland 2026 Der Stand der Dinge

IT-Sicherheit in Deutschland 2026: Der Stand der Dinge

/ Redaktionell / Von

Wer 2026 einen Blick auf die deutsche IT-Sicherheitslage wirft, findet ein Bild aus zwei Seiten derselben Medaille: Auf der einen Seite eine Bedrohungslage, die unverändert angespannt bleibt und in Teilen sogar neue Rekordwerte erreicht. Auf der anderen Seite eine Regulatorik, die in diesem Jahr endlich Fahrt aufgenommen hat und Unternehmen wie Behörden zu deutlich mehr Verbindlichkeit zwingt. Ein Überblick über Zahlen, Gesetze und die wichtigsten Entwicklungen.

Die Bedrohungslage bleibt angespannt

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beobachtet die Cybersicherheitslage kontinuierlich anhand mehrerer Dimensionen: Bedrohungen, Angriffsfläche, Gefährdungen, Schadwirkung und Resilienz. Für den aktuellen Berichtszeitraum gibt es aus Sicht der Behörde keinen Grund zur Entwarnung.

Einige Kennzahlen verdeutlichen das Ausmaß: Im Schnitt wurden zuletzt rund 119 neue Sicherheitslücken pro Tag registriert, ein Plus von 24 Prozent gegenüber dem Vorjahr. Bei den Schadprogrammen zeigt sich allerdings ein differenzierteres Bild als noch vor einem Jahr. Während im Jahresvergleich zeitweise von rund 280.000 neuen Schadprogrammvarianten pro Tag die Rede war, meldete das BSI für Juni 2026 rund 7,42 Millionen neue Varianten im gesamten Monat – spürbar weniger als im Juni 2025 mit 9,5 Millionen. Seit Mitte 2025 ist die Zahl der beobachteten Malware-Varianten damit tendenziell rückläufig.

Auch bei den Botnetzen zeigt sich Bewegung: Der sogenannte Unique-IP-Index, der die Zahl infizierter, in Botnetzen aktiver Systeme misst, lag im Juni 2026 bei durchschnittlich 896 Punkten – ein Anstieg von 16 Prozent gegenüber dem Vormonat. Als aktivstes Botnetz gilt derzeit Badbox. Gleichzeitig verzeichnet das BSI eine gewisse Stabilisierung im Cybercrime-Bereich: Internationale Strafverfolgungsmaßnahmen haben dazu geführt, dass zwei zuvor sehr aktive Angreifergruppen ihre Tätigkeit nahezu eingestellt haben.

Ransomware bleibt dennoch die zentrale Bedrohung für Unternehmen. Im Berichtszeitraum wurden rund 950 Ransomware-Anzeigen registriert, in 72 Prozent der Fälle kombiniert mit einem Datenleak. Etwa 80 Prozent der angezeigten Angriffe richteten sich gegen kleine und mittlere Unternehmen – ein Hinweis darauf, dass Cyberkriminelle zunehmend dort ansetzen, wo Sicherheitsbudgets und -ressourcen knapper sind als bei Großkonzernen. Dabei muss Lauschabwehr für Unternehmen wahrlich kein Vermögen kosten. In vielen Fällen dürfte es sich um eine sinnvolle Investition zur langfristigen Steigerung der IT-Security handeln.

Der wirtschaftliche Schaden erreicht einen neuen Höchstwert

Die Bitkom-Studie zum Wirtschaftsschutz beziffert den jährlichen Gesamtschaden durch Diebstahl, Sabotage und Industriespionage für die deutsche Wirtschaft auf rund 289,2 Milliarden Euro – einen neuen Rekordwert. Davon entfallen etwa 202,4 Milliarden Euro auf Cyberangriffe im engeren Sinn, eingerechnet Produktionsausfälle, Wiederherstellungskosten, Reputationsverluste und Lösegeldzahlungen. Nach dieser Studie waren 87 Prozent aller deutschen Unternehmen in den vergangenen zwölf Monaten von mindestens einem Angriff betroffen.

Bemerkenswert ist zudem die geopolitische Dimension: Nach Einschätzung des BSI richten sich rund 25 Prozent aller weltweit relevanten APT-Gruppen (Advanced Persistent Threats) gegen deutsche Ziele. Damit liegt Deutschland auf Platz vier der weltweit am stärksten anvisierten Staaten. Lesen Sie auch: Deutsche IT-Magazine mit Tiefgang: 6 Quellen für IT-Profis im Vergleich

Regulatorik: NIS2 und das neue BSI-Gesetz sind da

Nach jahrelanger Verzögerung ist die europäische NIS2-Richtlinie 2025/2026 endlich in deutsches Recht überführt worden. Das NIS2-Umsetzungsgesetz wurde am 13. November 2025 vom Bundestag verabschiedet, am 20. November vom Bundesrat bestätigt und trat am 6. Dezember 2025 ohne Übergangsfrist in Kraft. Es novelliert vor allem das BSI-Gesetz (BSIG) und verpflichtet nach Schätzungen rund 29.500 bis 30.000 Unternehmen in 18 Sektoren zu Risikomanagement, gestuften Meldepflichten und einer Registrierung beim BSI. Das ist gegenüber der alten Rechtslage, die nur rund 4.500 KRITIS-Betreiber erfasste, eine Steigerung um den Faktor 6,5.

Einige Eckpunkte des neuen Rechtsrahmens:

  • Registrierungspflicht: Seit dem 6. Januar 2026 war das BSI-Meldeportal freigeschaltet, die Registrierungsfrist für besonders wichtige Einrichtungen endete am 6. März 2026.
  • KRITIS-Dachgesetz: Seit dem 17. März 2026 ergänzt dieses Gesetz die NIS2-Umsetzung um Anforderungen an die physische Resilienz kritischer Anlagen, etwa Schutz vor Naturkatastrophen oder Sabotage.
  • Persönliche Haftung: Nach § 38 BSIG trägt die Geschäftsleitung nun ausdrücklich Verantwortung für die Umsetzung der Sicherheitsmaßnahmen.
  • Bußgelder: Verstöße können mit Bußgeldern zwischen 100.000 Euro und bis zu 10 beziehungsweise 20 Millionen Euro geahndet werden, teils gekoppelt an den weltweiten Jahresumsatz.
  • Erster Prüfnachweis: Die Frist für den ersten Audit-Nachweis wurde von Ende 2025 auf den 30. Juni 2026 verschoben – eine Atempause, die laut Fachbeobachtern aber nicht als Entwarnung verstanden werden sollte.

Für Unternehmen mit einem bestehenden Informationssicherheits-Managementsystem nach ISO 27001 gilt als Faustregel, dass dieses bereits 70 bis 80 Prozent der NIS2-Anforderungen abdeckt. Die restlichen 20 bis 30 Prozent betreffen NIS2-spezifische Pflichten wie die BSI-Registrierung, das gestufte Meldeverfahren und die neuen Geschäftsleitungspflichten.

Fazit: Angespannt, aber nicht unbeherrschbar

Das Gesamtbild für 2026 ist ambivalent. Die Bedrohungslage bleibt hoch, der wirtschaftliche Schaden erreicht neue Höchststände, und Deutschland steht als Industrienation weiterhin im Fokus staatlich gestützter wie krimineller Angreifergruppen. Gleichzeitig hat der Gesetzgeber mit NIS2-Umsetzungsgesetz und KRITIS-Dachgesetz einen wichtigen regulatorischen Rückstand aufgeholt und den Kreis verpflichteter Unternehmen erheblich ausgeweitet. Ob diese neue Pflichtenlage tatsächlich zu mehr Resilienz führt, wird sich erst in den kommenden Jahren zeigen – belastbare Wirksamkeitszahlen will das BSI mit seinem erweiterten Lagebericht 2025 künftig regelmäßig liefern.

Für Unternehmen bleibt die praktische Konsequenz dieselbe wie in den Vorjahren: Wer die eigene Betroffenheit von NIS2 noch nicht geprüft hat, sollte dies zeitnah nachholen. Die Übergangsfristen sind ausgelaufen, und die Aufsichtsbehörden haben ihre Werkzeuge inzwischen geschärft.

Quellen

Hinweis: Die genannten Zahlen und Fristen basieren auf öffentlich verfügbaren Quellen mit Stand Juli 2026. Für eine rechtsverbindliche Einordnung der NIS2-Pflichten im Einzelfall empfiehlt sich die Rücksprache mit dem BSI oder einer auf IT-Recht spezialisierten Kanzlei.