Nicht nur Konzerne, auch kleine und mittlere Unternehmen (KMU) sowie Selbstständige sind Cyberrisiken ausgesetzt. Das ist vielen von ihnen auch bewusst. 60 Prozent stufen Cyberschäden als relevantes Risiko ein. Fast ein Drittel bewertet das Risiko, dass ihr Unternehmen innerhalb der nächsten zwei Jahre Ziel einer Cyberattacke wird, als „hoch“ oder „eher hoch“. Und jedes dritte der befragten Unternehmen sieht sogar seine Existenz im Falle eines massiven Cyberschadens gefährdet.
Das sind einige Ergebnisse der Cyberstudie 2026 der HDI Versicherung. Der Versicherer hat Anfang 2026 rund 1.100 Entscheider in IT- und Versicherungsfragen von KMU sowie Selbstständige in Deutschland durch das Marktforschungsunternehmen Sirius Campus befragen lassen.
Auch wenn heute bereits viele Cyberangriffe abgewehrt werden können, die Gefahr bleibt real. Rund 35 Prozent der Befragten gaben an, dass ihr Unternehmen im Verlauf der vergangenen fünf Jahre mindestens einmal Ziel einer Cyberattacke geworden sei. Die durchschnittliche Schadenhöhe bei erfolgreichen Angriffen ist laut der HDI Cyberstudie 2026 allerdings gesunken. In der diesjährigen Umfrage lag sie bei rund 25.000 Euro. In den Vorgängerstudien seit 2022 war sie mit mindestens 68.000 Euro wesentlich höher.
„Die deutlich gesunkene Schadenhöhe kann bedeuten, dass viele Unternehmen inzwischen routinierter mit der Bedrohung umgehen, präventive Maßnahmen greifen und Angriffe schneller eingegrenzt werden“, sagt Peter Bertram. Der Leiter Produktmanagement und Underwriting Cyber der HDI Versicherung gibt aber zu bedenken: „Neue Gefahr droht, wenn aus Routine Nachlässigkeit wird und der Fokus auf die Cybersicherheit nachlässt.“
Zur Vorsorge nutzen die meisten Befragten (87 Prozent) Maßnahmen wie Firewalls oder automatische Backups. Weitere verbreitete Präventionsmaßnahmen sind Schulungen von Mitarbeitenden (71 Prozent) und organisatorische Maßnahmen wie IT-Richtlinien oder Sicherheitsstrategien (69 Prozent).
Auch die Nutzung von Cloud-Lösungen für die IT-Infrastruktur soll Risiken senken. Mehr als die Hälfte der befragten Unternehmen (54 Prozent) arbeiten inzwischen zumindest teilweise in einer Cloud. Als Treiber für die Nutzung der Cloud sehen viele die erhöhte IT-Sicherheit.
Zentrale Schwachstelle und Einfallstor in die Unternehmens-IT bleibt der Mensch. Phishing-Mails sind weiterhin die häufigste Angriffsmethode. 64 Prozent der innerhalb der vergangenen zwölf Monate vor der Befragung attackierten Unternehmen berichten von entsprechenden Angriffen, gefolgt von E-Mails mit Schadsoftware (47 Prozent) und versehentlichem Download von Schadsoftware aus dem Internet (30 Prozent).
Neben den etablierten Angriffsmethoden rücken auch neue, KI-gestützte Bedrohungsszenarien in den Fokus. „CEO-Fraud oder Deepfake-basierte Täuschungen werden im Jahr 2026 von einem relevanten Anteil der Unternehmen als ernsthafte Risiken wahrgenommen“, erklärt Peter Bertram. Die Mehrheit der Befragten (55 Prozent) sieht KI jedoch als Chance. 26 Prozent der Studienteilnehmer sind der Ansicht, dass KI die Cyberresilienz ihrer Unternehmen stärkt.
