Cyberangriffe kosteten die deutsche Wirtschaft 2024 rund 267 Milliarden €. Warum DACH-Unternehmen — besonders der Mittelstand — bevorzugte Ziele sind und was sie jetzt zu ihrer Verteidigung tun müssen.
Die DACH-Region — Deutschland, Österreich und die Schweiz — gehört zu den weltweit am stärksten von Cyberangriffen betroffenen Räumen. Als Heimat der größten Volkswirtschaft Europas, eines dichten Netzes hochwertiger Hersteller und tausender innovativer Mittelstandsunternehmen ist DACH ein unwiderstehliches Ziel für Cyberkriminelle und staatlich gesteuerte Angreifer gleichermaßen.
Allein 2024 kosteten Cyberangriffe die deutsche Wirtschaft geschätzte 267 Milliarden €, so der Branchenverband Bitkom — fast doppelt so viel wie noch drei Jahre zuvor. Und die Bedrohung beschleunigt sich.
Die Statistik zeichnet ein deutliches Bild:
Der deutsche Mittelstand — das Rückgrat aus rund 3,5 Millionen kleinen und mittleren Unternehmen — ist besonders verwundbar. Diese Unternehmen sind oft:
Das erzeugt eine verheerende Asymmetrie: hochwertige Ziele mit Sicherheitsbudgets auf Startup-Niveau.
Die DACH-Region ist Europas Fertigungszentrum. Allein Deutschland macht über 25 % der EU-Industrieproduktion aus. Diese industrielle Konzentration bedeutet:
Die politische und wirtschaftliche Bedeutung der DACH-Region macht sie zu einem Schwerpunkt für staatlich gesteuerte Cyber-Spionage:
Das Bundesamt für Verfassungsschutz (BfV) hat gewarnt, dass Cyber-Spionage die größte Bedrohung für die wirtschaftliche Sicherheit Deutschlands ist, mit geschätzten Verlusten von über 50 Milliarden € jährlich allein durch IP-Diebstahl.
DACH-Unternehmen bewegen sich in einem Geflecht überlappender Vorschriften:
Die Komplexität selbst wird zur Schwachstelle. Unternehmen verbringen so viel Zeit damit zu verstehen, welche Vorschriften gelten, dass es ihnen schwerfällt, die erforderlichen Sicherheitsmaßnahmen tatsächlich umzusetzen.
Die vergangenen zwei Jahre brachten eine unerbittliche Angriffswelle gegen DACH-Organisationen:
Die Ransomware-Gruppe LockBit stahl rund 40 Terabyte Daten von Continental, einem der weltgrößten Automobilzulieferer. Die Angreifer hatten über einen Monat lang Netzwerkzugang, bevor sie entdeckt wurden. Continental weigerte sich, das Lösegeld zu zahlen, und sensible Daten — darunter Mitarbeiterinformationen, Kundenverträge und technische Unterlagen — wurden im Darkweb veröffentlicht.
Deutschlands größter Rüstungskonzern wurde von einem gezielten Cyberangriff getroffen, der den zivilen Geschäftsbetrieb störte. Während militärische Systeme Berichten zufolge unberührt blieben, verdeutlichte der Angriff die Verwundbarkeit selbst sicherheitsbewusster Organisationen.
Ein Ransomware-Angriff auf die Südwestfalen-IT, einen kommunalen IT-Dienstleister, lähmte Verwaltungsdienste in 72 Kommunen in Nordrhein-Westfalen. Bürgerinnen und Bürger konnten wochenlang keine Fahrzeuge anmelden, keine Pässe beantragen und keine wesentlichen Verwaltungsdienste nutzen. Der Angriff zeigte, wie ein einziger Ausfallpunkt in gemeinsam genutzter IT-Infrastruktur eine ganze Region lahmlegen kann.
Der Batteriehersteller Varta AG erlitt einen Cyberangriff, der das Unternehmen zwang, alle IT-Systeme und Produktionslinien abzuschalten. Der Angriff trug zu erheblichen finanziellen Verlusten bei und war ein Faktor im späteren Insolvenzverfahren des Unternehmens — ein eindrückliches Beispiel dafür, wie Cyberangriffe für mittelständische Unternehmen existenzbedrohend sein können.
Obwohl nicht aktuell, bleibt dieser Angriff ein Präzedenzfall: Ein Ransomware-Angriff auf ein deutsches Krankenhaus führte zur Umleitung von Notfallpatienten und zum Tod einer Patientin, die nicht rechtzeitig versorgt werden konnte. Es war der erste bekannte Fall eines Todesfalls, der direkt mit einem Cyberangriff in Verbindung steht.
Im Februar 2026 wurde Deutschlands nationaler Bahnbetreiber von einem massiven DDoS-Angriff getroffen, der Onlinedienste und digitale Infrastruktur störte und die anhaltende Verwundbarkeit kritischer Verkehrssysteme verdeutlichte.
Ransomware ist zur dominierenden Cyber-Bedrohung in der DACH-Region geworden. Zentrale Trends sind:
Die durchschnittliche Ransomware-Forderung für DACH-Unternehmen ist auf rund 1,2 Millionen € gestiegen, wobei Großunternehmen Forderungen von 5-20 Millionen € gegenüberstehen. Manche Angreifer recherchieren inzwischen die Cyber-Versicherungspolicen ihrer Opfer und passen die Forderungen entsprechend an.
Moderne Ransomware-Angriffe verschlüsseln nicht nur Daten — sie: 1. exfiltrieren Daten, bevor sie sie verschlüsseln 2. drohen mit der Veröffentlichung gestohlener Daten, falls kein Lösegeld gezahlt wird 3. kontaktieren Kunden und Partner direkt, um das Opfer unter Druck zu setzen 4. starten DDoS-Angriffe gegen die verbliebene Infrastruktur des Opfers
Fortgeschrittene Ransomware-Gruppen zielen inzwischen gezielt zuerst auf Backup-Systeme und zerstören die Fähigkeit einer Organisation, ohne Zahlung wiederherzustellen. Angriffe auf Backup-Infrastruktur stiegen 2024 um 94 %.
Ransomware-as-a-Service-Plattformen haben die Einstiegshürde gesenkt. Gruppen wie LockBit, ALPHV/BlackCat und Clop stellen Partnern fertige Angriffswerkzeuge bereit, sodass selbst wenig versierte Angreifer verheerende Kampagnen gegen DACH-Unternehmen starten können.
Es gibt den gefährlichen Irrglauben, Cyberangriffe zielten vorrangig auf Großunternehmen. Die Daten erzählen eine andere Geschichte:
Angreifer zielen auf KMU, weil sie maximalen Ertrag bei minimalem Aufwand bieten: - weniger Sicherheitskontrollen und Überwachungsfähigkeiten - seltener vorhandene Incident-Response-Pläne - höhere Zahlungsbereitschaft, um den Betrieb schnell wieder aufzunehmen - dienen als Einstiegspunkte in größere Lieferketten
Ein gängiges Angriffsmuster: einen kleinen Zulieferer kompromittieren und dessen vertrauenswürdigen Zugang nutzen, um das größere Ziel zu erreichen. Die Angriffe auf SolarWinds und Kaseya zeigten dies im globalen Maßstab, doch im regionalen Maßstab geschieht es täglich in ganz DACH.
Man kann nicht verteidigen, was man nicht sieht. Viele DACH-Unternehmen haben Schatten-IT, vergessene Subdomains, exponierte Entwicklungsumgebungen und Alt-Anwendungen, die sie aus dem Blick verloren haben. Der erste Schritt ist eine umfassende Bewertung der Angriffsfläche.
Jährliche Penetrationstests reichen gegen wöchentlich neue Bedrohungen nicht aus. Führen Sie kontinuierliche automatisierte Sicherheitstests ein, die Ihre Webanwendungen, APIs und externe Infrastruktur abdecken.
Die NIS2-Richtlinie wird schätzungsweise 29.000 Organisationen allein in Deutschland betreffen. Wenn Sie in einem erfassten Sektor mit über 50 Mitarbeitenden tätig sind, beginnen Sie jetzt mit Ihrer Compliance-Vorbereitung. Zu den Anforderungen zählen die verpflichtende Vorfallmeldung binnen 24 Stunden, Sicherheitsbewertungen der Lieferkette und die Verantwortlichkeit der Geschäftsleitung.
Haben Sie einen Plan, bevor Sie ihn brauchen. Das bedeutet: - dokumentierte Incident-Response-Prozesse - benannte externe Forensik- und Rechtspartner - regelmäßige Tabletop-Übungen - Offline-Backups, auf tatsächliche Wiederherstellung getestet
Phishing bleibt der Initialzugangsvektor Nr. 1 in DACH. Regelmäßige Security-Awareness-Schulungen, Phishing-Simulationen und starke Authentifizierung (MFA überall) sind unerlässlich.
Bewerten Sie die Sicherheitslage Ihrer kritischen Zulieferer. Unter NIS2 werden Sie ohnehin dazu verpflichtet sein — kluge Organisationen gehen der Vorschrift jedoch voraus.
Die Rechnung ist einfach: - Durchschnittliche Kosten eines Vorfalls in Deutschland: 4,9 Millionen € - Durchschnittliche Kosten proaktiver Sicherheitsmaßnahmen: ein Bruchteil davon
Jede Woche ohne angemessene Sicherheitstests ist eine Woche, in der Schwachstellen unentdeckt bleiben, Angreifer freien Zugang haben und der nächste schlagzeilenträchtige Vorfall näher rückt.
Die wirtschaftliche Stärke der DACH-Region beruht auf ingenieurtechnischer Exzellenz, Präzision und Weitblick. Es ist Zeit, dieselben Prinzipien auf die Cybersicherheit anzuwenden.
KENSAI gibt DACH-Unternehmen die kontinuierlichen, KI-gestützten Sicherheitstests, die sie brauchen — ohne den Preis für Großunternehmen. Sehen Sie Ihre Schwachstellen, bevor Angreifer es tun.
👉 Holen Sie sich Ihren kostenlosen Security-Scan auf kensai.app/free-scan — dauert 2 Minuten und deckt Ihre gesamte Angriffsfläche ab.
Scannen Sie Ihre Infrastruktur in Minuten auf Schwachstellen — keine Kreditkarte erforderlich.
Kostenlosen Scan starten →Veröffentlicht von KENSAI Security Research — KI-gestützte Cybersecurity-Plattform