Cyber-Bedrohungen 2026: Worauf sich Unternehmen jetzt einstellen sollten

Über Bedrohungen lässt sich trefflich spekulieren. Nützlicher ist ein Blick auf das, was in Vorfalluntersuchungen tatsächlich gezählt wird. Die folgenden Zahlen stammen aus dem BSI-Lagebericht 2025 und aus Mandiants M-Trends 2026, das über 500.000 Stunden Incident Response aus dem Jahr 2025 auswertet. Manches davon widerspricht dem, was man gemeinhin erzählt bekommt – auch dem, was wir selbst noch vor zwei Jahren geschrieben hätten.

1 · Der Einstieg kommt über die Lücke, nicht über die Mail

Der häufigste Einstiegsweg ist zum sechsten Jahr in Folge die Ausnutzung einer Schwachstelle: 32 Prozent aller untersuchten Vorfälle. E-Mail-Phishing liegt bei 6 Prozent – deutlich gefallen, weil automatisierte Filter besser geworden sind.

Das ist bemerkenswert, weil das Sicherheitsbudget häufig genau umgekehrt verteilt wird: viel Aufmerksamkeit für Awareness, wenig für das zeitnahe Patchen dessen, was aus dem Internet erreichbar ist. Die Zahlen legen die andere Reihenfolge nahe.

Was hilft: Wissen, was von außen erreichbar ist – und es zuerst patchen. Ein Schwachstellenmanagement, das die Außensicht fortlaufend prüft, adressiert damit den mit Abstand größten Einzelvektor.

2 · Anrufe statt E-Mails

Der zweithäufigste Einstiegsweg ist inzwischen Voice Phishing mit 11 Prozent – ein deutlicher Anstieg. Angerufen wird typischerweise der Helpdesk: Jemand gibt sich als Mitarbeiter aus, bittet um ein Passwort-Zurücksetzen oder um die Registrierung eines neuen zweiten Faktors. Mit synthetischen Stimmen ist das inzwischen überzeugend genug.

Was hilft: Ein definierter Identitätsnachweis am Helpdesk, der nicht auf Erkennen der Stimme beruht – Rückruf unter der hinterlegten Nummer, Bestätigung durch die Führungskraft, Verifikation im Videocall mit Ausweis. Und die klare Ansage an das Helpdesk-Team, dass Ablehnen nie ein Fehler ist.

3 · Die Übergabe dauert 22 Sekunden

Die vielleicht unangenehmste Zahl: Zwischen dem ersten Zugang und der Übergabe an eine zweite Angreifergruppe lagen 2025 im Median 22 Sekunden. 2022 waren es noch über acht Stunden.

Dahinter steckt Arbeitsteilung. Spezialisierte Gruppen verschaffen sich Zugänge und reichen sie weiter; das Werkzeug der nachfolgenden Gruppe wird beim Einbruch gleich mitplatziert. Die Vorstellung, man habe nach einem Einbruch noch Stunden für eine Reaktion, ist damit hinfällig.

Was hilft: Automatische Reaktion statt manueller. Kompromittierte Konten sperren, Sitzungen beenden, Geräte isolieren – wenn das erst nach einer Mail an einen Bereitschaftsdienst passiert, ist es zu spät.

4 · Ransomware kommt über gekauften Zugang

Der häufigste Einstiegsweg speziell bei Ransomware ist die vorherige Kompromittierung: 30 Prozent, gestiegen von 15 Prozent im Vorjahr. Übersetzt: Die Erpresser brechen selbst gar nicht ein. Sie kaufen den Zugang bei jemandem, der schon drin ist – manchmal seit Monaten.

Was hilft: Alte, unbemerkte Kompromittierungen finden, statt nur neue abzuwehren. Das ist der Zweck von Angriffserkennung und von der Durchsicht dessen, was an Konten und Zugängen existiert.

5 · Erpresst wird mit Daten, nicht mit Verschlüsselung

Das BSI beschreibt für seinen Berichtszeitraum eine sinkende Zahlungsbereitschaft bei reiner Verschlüsselung – und zugleich die höchsten je erfassten durchschnittlichen Zahlungen im Zusammenhang mit Datenleaks. Für exfiltrierte Daten wurde im Mittel fast dreimal so viel gezahlt wie für verschlüsselte. Rund 80 Prozent der gemeldeten Angriffe trafen kleine und mittlere Unternehmen.

Was hilft: Backups bleiben Pflicht, reichen aber nicht mehr – sie stellen Systeme wieder her, machen eine Veröffentlichung aber nicht rückgängig. Gegen Datenabfluss wirken Zugriffsbeschränkung, Segmentierung und die Fähigkeit, den Abfluss überhaupt zu bemerken. Mehr dazu im Ransomware-Ratgeber.

6 · Manche sitzen sehr lange drin

Die mittlere Verweildauer über alle Vorfälle liegt bei 14 Tagen, gestiegen von 11. Der Mittelwert verdeckt aber die Spreizung: Bei Spionagefällen sind es 122 Tage, und bei einer besonders hartnäckigen Hintertür wurden fast 400 Tage gemessen.

Wer nur auf laute Vorfälle schaut, übersieht diese Kategorie vollständig. Sie fällt nicht auf, weil nichts kaputtgeht.

Was das für Ihre Prioritäten heißt

Keine dieser Entwicklungen verlangt nach exotischer Technik. Sie verlangt nach einer anderen Reihenfolge, als sie oft gewählt wird:

1. Außenfläche kennen und patchen – größter Einzelvektor, 32 Prozent.
2. Identitätsprozesse absichern, besonders am Helpdesk – zweitgrößter Vektor.
3. Erkennen und automatisch reagieren – weil 22 Sekunden keine Zeit für Handarbeit lassen.
4. Datenabfluss adressieren, nicht nur Verschlüsselung.
5. Awareness – wichtig, aber nachweislich kein Ersatz für die vier Punkte davor. Warum, steht im Phishing-Ratgeber.

Wer nicht weiß, wo er steht, verschafft sich am besten zuerst einen ehrlichen Überblick.

Stand: August 2026. Zahlen aus Mandiant M-Trends 2026 (veröffentlicht März 2026, Datenbasis 2025) und dem BSI-Lagebericht „Die Lage der IT-Sicherheit in Deutschland 2025" (Berichtszeitraum 1. Juli 2024 bis 30. Juni 2025).

Weiterführend: Schwachstellenmanagement · Ransomware-Schutz · GUARDIANVIEW – Managed SIEM · Cyber-Risiko-Check