Jedes dritte betroffene KMU sah Zahlungsfähigkeit oder Existenz erheblich gefährdet / 41,7 Stunden durchschnittlicher Stillstand nach Cyber-Angriffen / Reputationsschäden werden stärker gefürchtet als reale finanzielle und operative Folgen / KI-Risiken rücken weiter in den Fokus
Cyber-Angriffe treffen deutsche KMU nicht nur häufig, sondern oft härter als erwartet: Fast ein Drittel (31 %) wurde im vergangenen Jahr erfolgreich angegriffen. Von den betroffenen Unternehmen sah wiederum jedes dritte (33 %) seine Zahlungsfähigkeit oder Existenz erheblich gefährdet. Das zeigt der Hiscox Cyber Readiness Report 2026, den Wakefield Research im Auftrag des Spezialversicherers durchführte. Zwar sind deutsche KMU international gut abgesichert: 39 % verfügen über eine vollumfängliche Standalone-Cyber-Versicherung (global: 31 %), weitere 32 % decken Cyber-Gefahren über eine andere Versicherung ab. Doch die tatsächlichen Folgen erfolgreicher Angriffe reichen deutlich tiefer als die oft befürchteten Reputationsschäden.
Finanzbetrug und DDoS-Angriffe dominieren
Bei erfolgreichen Angriffen auf deutsche KMU stehen Finanzbetrug durch Payment Diversion (45 %) und DDoS-Attacken (42 %) an der Spitze. Es folgen der Missbrauch von IT-Ressourcen (40 %), der Verlust unverschlüsselter Daten (35 %) und verschlüsselter Daten (28 %) sowie Ransomware- und Erpressungsfälle (27 %). Die Angriffe treffen damit zentrale Geschäftsbereiche: Zahlungsströme, Datenbestände und den laufenden Betrieb.
Angriffe gefährden Liquidität und Betrieb
Die Folgen sind vor allem wirtschaftlich und operativ spürbar. Ein Drittel der betroffenen deutschen KMU (33 %) sah Zahlungsfähigkeit oder Existenz erheblich gefährdet (global: 25 %). Hinzu kommen lange Ausfälle: Im Schnitt standen betroffene Unternehmen in Deutschland 41,7 Stunden still (global: 31,6 Stunden). Damit werden Cyber-Angriffe schnell zum Liquiditäts- und Betriebsrisiko.
Reputationsrisiko überstrahlt reale Schäden
In der Risikowahrnehmung dominiert dennoch die Sorge um den Ruf: 48 % nennen Reputationsschäden als größte Befürchtung. Tatsächlich berichten Betroffene deutlich seltener von negativer Öffentlichkeitswirkung (25 %), dem Verlust von Geschäftspartnern (21 %) oder Kunden (18 %). Die Außenwirkung wird damit häufig überschätzt, während finanzielle und operative Folgen schwerer wiegen.
Cyber-Security erreicht die Chefetage
Cyber-Security wird in deutschen KMU zunehmend zur Managementaufgabe. Nach einem Angriff koppeln 41 % der Unternehmen die Vergütung der Führungsebene an Cyber-Security-Ziele (global: 32 %). Damit wandert Cyber-Resilienz von der IT-Abteilung in die strategische Unternehmenssteuerung.
„Viele deutsche KMU sind für Cyber-Risiken sensibilisiert und investieren in Absicherung. Ein erfolgreicher Angriff kann dennoch schnell existenziell werden. Im Ernstfall zählen vor allem Liquidität, Geschäftsbetrieb und schnelle Unterstützung. Eine vollwertige Standalone-Cyber-Versicherung kann finanzielle Schäden abfedern und Unternehmen mit Expertenhilfe durch den Vorfall begleiten“, sagt Klemens Lemke, Underwriting Manager Cyber bei Hiscox.
Resilienz ja, Investitionslücke bleibt
Die meisten deutschen KMU stärken ihre Cyber-Resilienz: 97 % ergreifen entsprechende Maßnahmen. Am häufigsten investieren sie in aktualisierte Security-Trainings (65 %), zusätzliches Personal (59 %) und Software (55 %). Das Budget bleibt jedoch oft knapp: 58 % geben jährlich weniger als rund 8.700 Euro (10.000 US-Dollar) aus, 12 % investieren gar nichts. Zwischen Problembewusstsein und finanzieller Ausstattung bleibt damit eine Lücke.
KI verschärft die Risikolage zusätzlich
Hinzu kommt, dass Künstliche Intelligenz die Risikolage weiter verschärfen dürfte. Als größte KI-bezogene Bedrohungen in den kommenden fünf Jahren nennen deutsche KMU Data Poisoning (45 %), Schwachstellen durch Dritt-KI-Tools wie ChatGPT (44 %), eine zu große Abhängigkeit von KI beziehungsweise nachlassende menschliche Kontrolle (43 %) sowie das Risiko, dass KI die Kontrolle über Unternehmensdaten übernimmt (43 %). Für Unternehmen wächst damit der Druck, Cyber-Risiken technisch, strategisch und organisatorisch zu adressieren.
