Während versicherte Großkonzerne ihre Cybersicherheit erfolgreich ausbauen, vernachlässigen kleine und mittelständische Unternehmen (KMU) grundlegende Schutzmaßnahmen. Das zeigen zwei aktuelle Studien.
Mittelständler überschätzen ihre IT-Sicherheit
Deutsche Mittelständler schätzen ihre IT-Sicherheit deutlich besser ein, als sie tatsächlich ist. Das ergibt eine aktuelle Forsa-Umfrage im Auftrag des Gesamtverbandes der Deutschen Versicherungswirtschaft (GDV). Obwohl sich 77 Prozent der 300 befragten kleinen und mittelständischen Unternehmen (KMU) für ausreichend gegen Cyberangriffe gewappnet halten, erfüllen mehr als zwei Drittel nicht einmal alle Basiskriterien für IT-Sicherheit.
Besonders problematisch: 64 Prozent der Befragten verzichten auf Mitarbeiterschulungen zur Sensibilisierung. Dabei starten 68 Prozent der erfolgreichen Cyberangriffe laut Studie mit Phishing-Mails oder E-Mails mit Schadsoftware.
Jedes zweite KMU ohne Notfallplan
Die organisatorischen Mängel sind laut Studie gravierend: Jedes zweite Unternehmen hat für den Ernstfall keinen Notfallplan entwickelt. Gleichzeitig vernachlässigen viele Betriebe technische Schutzmaßnahmen wie regelmäßige Software-Updates oder die Datensicherung.
In der Forsa-Umfrage wurden im Auftrag des GDV 300 Entscheider und IT-Verantwortliche kleiner und mittlerer Unternehmen zu ihrer Wahrnehmung von Cyberrisiken und den IT-Sicherheitsmaßnahmen befragt. Der GDV führt diese repräsentative Befragung seit 2018 jährlich im Rahmen seiner Initiative Cyber-Sicher durch.
Versicherte Großunternehmen: Cyber-Schäden sinken um 50 Prozent
Ein ganz anderes Bild zeigt hingegen der aktuelle „Cyber Security Resilience Outlook“ von Allianz Commercial. Bei versicherten Großunternehmen weltweit ging die Schwere der Cyberschäden in der ersten Jahreshälfte 2025 um mehr als 50 Prozent zurück. Die Häufigkeit von Großschäden über eine Million Euro sank um rund 30 Prozent.
„In diesem Jahr haben mehrere Ransomware-Vorfälle Schlagzeilen produziert, aber insgesamt sehen wir, dass die versicherten Schäden durch diese Angriffe im Jahr 2025 bisher rückläufig sind“, sagt Michael Daum, Global Head of Cyber Claims bei Allianz Commercial. Die verbesserten Erkennungs- und Reaktionsfähigkeiten der Unternehmen würden dazu beitragen, Angriffe frühzeitig zu stoppen.
Ransomware-Attacken: Höchste Kosten für kleine Firmen
Ransomware-Angriffe verursachen nach wie vor die höchsten Cyberschäden: Sie sind für 60 Prozent des finanziellen Schadens bei Großvorfällen verantwortlich. Allerdings verlagern Angreifer ihren Fokus zunehmend auf kleinere Unternehmen.
Das bestätigen auch die Daten des US-Telekommunikationskonzern Verizon, dessen Jahresbericht zu den wichtigsten Cybersicherheitsstudien weltweit zählt. Laut dem jüngsten „Data Breach Investigations Report“ von Verizon war Ransomware an 88 Prozent der Datenverstöße bei kleinen und mittleren Unternehmen beteiligt - aber nur an 39 Prozent bei Großunternehmen.
Die Allianz-Analyse basiert auf rund 300 globalen Cyber-Schadensfällen versicherter Unternehmen aus der ersten Jahreshälfte 2025. Für das Gesamtjahr erwartet Allianz Commercial etwa 700 Schadensfälle, einschließlich des saisonalen Anstiegs zwischen Black Friday und Jahresende.
Zwei-Klassen-Cybersicherheit entsteht
Die scheinbar widersprüchlichen Ergebnisse der beiden Studien erklären sich durch ihre unterschiedlichen Zielgruppen. Während Allianz Commercial versicherte Großunternehmen mit entsprechenden Sicherheitsstandards betrachtet, fokussiert sich die GDV-Umfrage auf den vulnerablen Mittelstand.
Die Allianz-Analyse bestätigt indirekt die GDV-Erkenntnisse: Cyberkriminelle wenden sich verstärkt kleineren Unternehmen zu, die in der Regel weniger widerstandsfähig sind als multinationale Konzerne. In Deutschland spiegelt sich diese Entwicklung in den Schadenszahlen wider: Während die Schadenssumme von Cyber-Versicherten binnen vier Jahren um 70 Prozent stieg, nahmen die wirtschaftlichen Auswirkungen von Cyberkriminalität insgesamt um 250 Prozent zu.
Dieses Verhältnis von mehr als 3:1 zeigt die wachsende Kluft zwischen versicherten und nicht versicherten Unternehmen. „Cyberversicherungen spielen eine wichtige Rolle beim Aufbau von Resilienz“, betont Jarrod Schlesinger, Global Head of Financial Lines und Cyber bei Allianz Commercial. Denn die Versicherer haben hohe Mindestvoraussetzungen für die IT der von ihnen abzusichernden Unternehmen.
Hohe Erwartungen an den Staat
Unterdessen setzen deutsche Unternehmen stark auf staatliche Hilfe. 89 Prozent der GDV-Befragten befürchten massive volkswirtschaftliche Schäden durch Angriffe auf Schlüsselunternehmen. 73 Prozent sehen den Staat in der Pflicht, technische Hilfe zu leisten, 57 Prozent erwarten sogar finanzielle Unterstützung.
