Cyber-Angriffe treffen deutsche kleine und mittlere Unternehmen häufiger und härter als vielfach angenommen. Im vergangenen Jahr wurde fast ein Drittel (31 Prozent) erfolgreich angegriffen. Von den betroffenen Unternehmen sah wiederum jedes dritte (33 Prozent) seine Zahlungsfähigkeit oder Existenz erheblich gefährdet.
Das zeigt der Hiscox Cyber Readiness Report 2026, für den Wakefield Research im Auftrag des Spezialversicherers Unternehmen befragt hat. International sind deutsche KMU dabei vergleichsweise gut abgesichert: 39 Prozent verfügen über eine vollumfängliche Standalone-Cyber-Versicherung (global: 31 Prozent), weitere 32 Prozent decken Cyber-Gefahren über eine andere Versicherung ab.
Bei den erfolgreichen Angriffen dominieren Finanzbetrug durch Payment Diversion (45 Prozent) und DDoS-Attacken (42 Prozent). Es folgen der Missbrauch von IT-Ressourcen (40 Prozent), der Verlust unverschlüsselter Daten (35 Prozent) sowie verschlüsselter Daten (28 Prozent) und Ransomware- beziehungsweise Erpressungsfälle (27 Prozent). Die Angriffe treffen damit zentrale Geschäftsbereiche: Zahlungsströme, Datenbestände und den laufenden Betrieb.
Die Folgen sind vor allem wirtschaftlich und operativ spürbar. Betroffene deutsche Unternehmen standen im Schnitt 41,7 Stunden still, global waren es nur 31,6 Stunden. Cyber-Angriffe werden damit schnell zum Liquiditäts- und Betriebsrisiko – deutlich schneller, als es die Risikowahrnehmung vieler Unternehmen widerspiegelt.
Reputationsangst übertrifft reale Schäden
In der Wahrnehmung der Unternehmen dominiert dennoch die Sorge um den Ruf: 48 Prozent nennen Reputationsschäden als größte Befürchtung. Tatsächlich berichten Betroffene deutlich seltener von negativer Öffentlichkeitswirkung (25 Prozent), vom Verlust von Geschäftspartnern (21 Prozent) oder von Kunden (18 Prozent). Die Außenwirkung wird damit häufig überschätzt, während finanzielle und operative Folgen schwerer wiegen.
Cyber-Security rückt in deutschen KMU zunehmend auf die Ebene des Managements. Nach einem Angriff koppeln 41 Prozent der Unternehmen die Vergütung der Führungsebene an Cyber-Security-Ziele, global sind es 32 Prozent. Cyber-Resilienz wandert damit von der IT-Abteilung in die strategische Unternehmenssteuerung.
„Viele deutsche KMU sind für Cyber-Risiken sensibilisiert und investieren in Absicherung. Ein erfolgreicher Angriff kann dennoch schnell existenziell werden. Im Ernstfall zählen vor allem Liquidität, Geschäftsbetrieb und schnelle Unterstützung. Eine vollwertige Standalone-Cyber-Versicherung kann finanzielle Schäden abfedern und Unternehmen mit Expertenhilfe durch den Vorfall begleiten“, sagt Klemens Lemke, Underwriting Manager Cyber bei Hiscox.
Investitionslücke trotz hohem Problembewusstsein
Die meisten deutschen KMU stärken ihre Cyber-Resilienz: 97 Prozent ergreifen entsprechende Maßnahmen. Am häufigsten investieren sie in aktualisierte Security-Trainings (65 Prozent), zusätzliches Personal (59 Prozent) und Software (55 Prozent). Das Budget bleibt jedoch oft knapp: 58 Prozent geben jährlich weniger als rund 8.700 Euro (10.000 US-Dollar) aus, 12 Prozent investieren gar nichts. Zwischen Problembewusstsein und finanzieller Ausstattung bleibt damit eine Lücke.
Hinzu kommt, dass Künstliche Intelligenz die Risikolage weiter verschärfen dürfte. Als größte KI-bezogene Bedrohungen für die kommenden fünf Jahre nennen deutsche KMU Data Poisoning (45 Prozent), Schwachstellen durch Dritt-KI-Tools wie ChatGPT (44 Prozent), eine zu große Abhängigkeit von KI beziehungsweise nachlassende menschliche Kontrolle (43 Prozent) sowie das Risiko, dass KI die Kontrolle über Unternehmensdaten übernimmt (43 Prozent).
Für den Hiscox Cyber Readiness Report 2026 befragte Wakefield Research im Auftrag von Hiscox 6.800 Cyber-Security-Fachleute und Entscheider aus Unternehmen mit weniger als 250 Mitarbeitenden in den USA, Frankreich, Deutschland, Spanien, dem Vereinigten Königreich, Irland, Portugal, Italien, den Niederlanden und Belgien. Die Befragung fand vom 5. bis 17. Juni 2026 per E-Mail-Einladung und Online-Umfrage statt.
