Überschätzte Cyberabwehrkräfte: Trügerische Sicherheit im deutschen Mittelstand

Benchmarks aus PwC-Analysen zeigen, dass die tatsächlichen Reifegrade des Schutzniveaus deutlich niedriger sind als die Selbsteinschätzungen der Unternehmen. Gleichzeitig werden die IT-Sicherheitsbudgets der aktuellen Bedrohungslage häufig nicht gerecht und reichen vielfach nicht aus, um den steigenden Anforderungen zu begegnen. Darüber hinaus richten Angreifer ihren Fokus zunehmend auf die Lieferkette, da Schwachstellen bei Dienstleistern und Partnern attraktive Angriffspunkte bieten.

Der Einsatz von künstlicher Intelligenz verändert die Bedrohungslandschaft grundlegend, indem sowohl Angreifer als auch Verteidiger neue Möglichkeiten erhalten. Zudem entwickeln sich externe Dienstleister zunehmend zu einem festen Bestandteil moderner Sicherheitsarchitekturen und übernehmen wichtige Aufgaben beim Schutz der IT-Infrastruktur.

Massive Zunahme von Datenlecks

Die Diskrepanz zwischen dem subjektiven Sicherheitsgefühl und dem niedrigeren, durch Reifegradanalysen belegten Schutzniveau ist vor dem Hintergrund der aktuellen Bedrohungslage besonders kritisch. So zeigt die kürzlich erschienene PwC-Studie „Threat Dynamics“, dass es eine massive Zunahme von Datenlecks und Ransomware-Aktivitäten in Deutschland gibt. Besonders anfällig sei danach der Mittelstand, weil sich viele Unternehmen noch in der Umstellung auf Zero-Trust-Architekturen befinden und Benutzerkonten ohne durchgängige Zugriffskontrollen über alle Netzwerkgrenzen hinweg eine entscheidende Schwachstelle bleiben.

„Als Motor der deutschen Wirtschaft ist der Mittelstand
leider ein hochlukratives Ziel für Angreifer.”

Uwe Rittmann,
Leiter Familienunternehmen und Mittelstand,
PwC Deutschland

Die Gefährdung des Mittelstandes bestätigt auch der BKA-Lagebericht 2025, wonach 90 Prozent digitaler Erpressungsopfer KMUs seien. „Als Motor der deutschen Wirtschaft ist der Mittelstand leider ein hochlukratives Ziel für Angreifer. Das Dilemma liegt darin, dass wir bei vielen Unternehmen deutliche Fortschritte im Bereich der Digitalisierung sehen – sich dadurch aber nicht nur das Innovationspotenzial, sondern auch die Angriffsfläche vergrößert“, so Uwe Rittmann, Leiter Familienunternehmen und Mittelstand bei PwC Deutschland.

Während die Mehrheit den eigenen Reifegrad als fortgeschritten einschätzt, zeichnen die zum Vergleich herangezogenen Benchmarks ein anderes Bild. Die Selbsteinschätzungen fallen durchgehend um ein bis zwei Reifegradstufen höher aus als die Benchmarks. Letztere basieren auf konkret durchgeführten Analysen, die unter anderem technische Inspektionen der IT-Infrastruktur, Reviews der vorhandenen Sicherheitsdokumentation und Interviews mit den verantwortlichen Fachbereichen umfassen.

Investitionsvolumina zu gering

„Die eigenen Fähigkeiten in der Cyberabwehr werden systematisch überschätzt. Das spiegelt sich auch in den teils unverhältnismäßig niedrigen Sicherheitsbudgets wider“, sagt PwC-IT-Sicherheitsexperte Nial Moore. Während für kleine Unternehmen mit weniger als 200 Mitarbeitenden ein jährliches Budget von 50.000 Euro noch angemessen sein kann, ließen sich damit in größeren Betrieben die Risiken nicht ausreichend adressieren. Trotzdem investieren auch viele deutlich größere Unternehmen weniger als 50.000 Euro in ihre IT-Sicherheit – nach Ansicht des Experten ein hohes Risiko: „Für ein professionelles Monitoring oder getestete Notfallprozesse reichen solche Budgets nicht aus. Hier wird am falschen Ende gespart, denn das Schadenspotenzial selbst vermeintlich kleiner Vorfälle übersteigt in der Regel die Investitionen für eine angemessene Absicherung bei Weitem.“ (Quelle: PwC)