Cyberangriffe 2026: Zahlen, Wege und was jetzt zählt

Wer die Bedrohungslage durch Cyberangriffe einschätzen will, muss zwei Arten von Quellen unterscheiden. Die großen Jahresberichte von BSI, BKA und ENISA beschreiben jeweils das vergangene Jahr, also das Jahr 2025. Dennoch lassen sich hieraus aktuelle Trends für dieses Jahr ableiten. Das laufende Bild liefert der Monatsbericht zur IT-Sicherheitslage des Bundesamts für Sicherheit in der Informationstechnik (BSI), zuletzt für den Berichtszeitraum Juni 2026. Für Unternehmen, die unter das NIS2-Umsetzungsgesetz fallen, ist das keine Statistik zur Kenntnisnahme. Seit dem 6. Dezember 2025 müssen sie ihre Maßnahmen an der tatsächlichen Risikolage ausrichten und diese Ausrichtung belegen können.

Cyberangriffe 2026: Was die laufenden Zahlen zeigen

Der BSI-Monatsbericht für Juni 2026 zählt rund 7,42 Millionen neue Schadprogramm-Varianten, im Schnitt 247.000 pro Tag und damit 15 Prozent weniger als im Mai. Im Juni 2025 waren es noch 9,5 Millionen. Die reine Menge an Schadsoftware, mit der Cyberangriffe vorbereitet werden, ist also rückläufig.

Die Angriffsfläche entwickelt sich gegenläufig. Die Zahl der bekannt gewordenen Schwachstellen stieg von 10.702 im vierten Quartal 2025 auf 10.806 im ersten Quartal 2026. Bei Überlastungsangriffen fällt die Entwicklung deutlicher aus: Der BSI-Index für DDoS-Angriffe lag im Juni 2026 bei 320 Punkten, elf Prozent über dem Vormonat und steigt seit Februar 2026 spürbar an. Das BSI bewertet die Lage als sehr bedrohlich.

Am deutlichsten zeigt sich das bei der Schadwirkung. Der BSI-Index für mutmaßlich Geschädigte aus Deutschland auf sogenannten Leak-Seiten stieg von 268 Punkten im ersten Quartal 2026 auf 359 Punkte im zweiten Quartal, ein Plus von 34 Prozent. Cyberangriffe werden also nicht zahlreicher, sondern in ihrer Wirkung härter.

Was die Jahresberichte aus 2025 beitragen

Die Jahresberichte ordnen Cyberangriffe in längere Entwicklungen ein, die reine Monatszahlen nicht zeigen. Entscheidend ist: Sie beschreiben das Vorjahr, nicht das laufende Jahr.

Das Bundeskriminalamt hat im Bundeslagebild Cybercrime 2025, veröffentlicht am 12. Mai 2026, für das Berichtsjahr 2025 insgesamt 333.922 Cybercrime-Fälle erfasst, davon 126.034 Inlandstaten und 207.888 Taten mit Auslandsbezug. Der BSI-Lagebericht 2025 vom 11. November 2025 deckt den Zeitraum Juli 2024 bis Juni 2025 ab und nennt durchschnittlich 119 neue Schwachstellen pro Tag, ein Plus von 24 Prozent. Der ENISA Threat Landscape 2025 wertet für denselben Zeitraum 4.875 Vorfälle in der EU aus, mit der öffentlichen Verwaltung als am häufigsten betroffenem Sektor (63,1 Prozent).

Den wirtschaftlichen Schaden beziffert die Bitkom-Studie Wirtschaftsschutz 2025 auf 289,2 Milliarden Euro für Diebstahl, Spionage und Sabotage zusammen, davon rund 202,4 Milliarden Euro allein durch Cyberangriffe. 87 Prozent der befragten Unternehmen waren betroffen. Eine neuere Erhebung liegt nicht vor.

Ransomware bleibt teuer, der Druck verlagert sich

Ransomware bleibt die Form der Cyberangriffe mit dem größten Schadenspotenzial für einzelne Unternehmen. Das BKA zählt für 2025 insgesamt 1.041 angezeigte Fälle, ein Zuwachs von zehn Prozent. Die Verteilung der Betroffenen ist eindeutig:

96 Prozent der Betroffenen waren Unternehmen und Behörden
rund 90 Prozent davon kleine und mittlere Unternehmen
nur 7 Prozent der Betroffenen zahlten Lösegeld

Die gesunkene Zahlungsbereitschaft hat eine Nebenwirkung. Wenn Verschlüsselung allein nicht mehr zahlt, verschieben Angreifer den Druck auf die Veröffentlichung der Daten. Genau das zeigt der gestiegene Leak-Index. Cyberangriffe enden damit immer häufiger nicht mit der Verschlüsselung, sondern mit dem Datenabfluss. Die Meldepflicht gegenüber der Aufsicht bleibt in beiden Fällen bestehen.

Die Wege, über die Cyberangriffe beginnen

Über alle Berichte hinweg wiederholen sich fünf Einstiegspunkte:

Phishing und Identitätsmissbrauch, sprachlich unauffälliger als noch vor zwei Jahren
Ungepatchte Systeme mit Internetzugang, deren Zahl auch 2026 weiter steigt
IT-Dienstleister und Lieferanten mit administrativem Zugang zu fremden Systemen
Unzureichend gesicherte IoT-Geräte, in Deutschland dominiert vom Botnetz Badbox
Überlastungsangriffe als Begleitung oder Ablenkung, seit Februar 2026 mit steigender Tendenz

Zwei Punkte haben hierbei eine eigene Dynamik. Laut Einschätzung des BKA senken frei verfügbare Sprachmodelle den Aufwand für Phishing-Kampagnen. Eine gemessene Größe ist dies jedoch nicht, denn die Fallstatistik kennt kein Merkmal für den Einsatz von KI. Der Zugang über Dienstleister verlagert das Risiko zudem aus der IT-Abteilung heraus in Einkauf und Vertragsmanagement.

Was die Bedrohungslage für die NIS2 Anforderungen bedeutet

Die Pflichten aus § 30 BSIG lesen sich anders, wenn die Lagezahlen daneben liegen. Risikomanagement, Angriffserkennung, Business Continuity, Lieferkettensicherheit und Schulungen sind keine abstrakte Liste, sondern die Antwort auf die fünf Wege, über die Cyberangriffe beginnen. Das BSI verlangt geeignete, verhältnismäßige und wirksame Maßnahmen und deren Dokumentation. Verhältnismäßig heißt: gemessen an der Risikolage.

Bei einem erheblichen Sicherheitsvorfall gelten drei Fristen: 24 Stunden für die Erstmeldung, 72 Stunden für die Meldung mit erster Bewertung, ein Monat für die Abschlussmeldung. Wer bei einem Ransomware-Vorfall am Wochenende erst Zuständigkeiten klären muss, verliert die erste Frist.

Wie weit die Umsetzung ist, zeigt die offizielle Statistik des BSI. Zum 30. Juni 2026 waren 17.945 NIS-2-Registrierungen erfasst, darunter 11.501 wichtige und 6.215 besonders wichtige Einrichtungen. Über das Portal gingen 692 Erstmeldungen und insgesamt 1.659 Meldungen ein. Die gesetzliche Registrierungsfrist endete am 6. März 2026, die vom BSI eingeräumte Nachfrist bis zum 31. Juli 2026 ist ebenfalls verstrichen. Was Unternehmen tun können, die die NIS2-Frist versäumt haben, hat die SAVISCON in einem eigenen Beitrag zusammengestellt.

Fünf Punkte, die aus der aktuellen Lage folgen

Aus dem Lagebild der Cyberangriffe lassen sich Prioritäten ableiten, die ohne großes Vorprojekt umsetzbar sind:

Angriffsfläche inventarisieren: Welche Systeme sind aus dem Internet erreichbar, wer betreibt sie, wann wurden sie zuletzt aktualisiert?
Patch-Zeiten messen statt Patch-Prozesse beschreiben. Die Zeit bis zur Schließung einer Schwachstelle ist eine belastbare Kennzahl.
Wiederanlauf üben statt nur Backups anlegen. Getestet wird die Wiederherstellung.
Meldeprozess vorbereiten, mit benannter Kontaktstelle, Vertretungsregelung für Wochenenden und fertiger Meldevorlage.
Zugänge von Dienstleistern prüfen: Wer hat administrative Rechte, seit wann, und wird das nachgehalten?

Der Punkt, an dem Projekte hängen bleiben, ist selten die Auswahl der Maßnahmen, sondern der Nachweis, dass sie laufen. Ohne festgehaltene Entscheidungen, Reviews und Termine bleibt auch eine gute Umsetzung schwer belegbar.

Wie die SAVISCON Sie unterstützt

Wer die Bedrohungslage in konkrete Steuerung übersetzen will, braucht Risikobewertung, Maßnahmen und Nachweis an einer Stelle. Das GRC-COCKPIT führt Risikobewertung, Maßnahmenverfolgung, Richtlinien und Reporting in einer Oberfläche zusammen. Freigaben und Änderungen bleiben nachvollziehbar, der Status für die Geschäftsführung entsteht aus den laufenden Daten. Ergänzend führt die SAVISCON auf Wunsch ein NIS2-Assessment zum Festpreis durch, welches den Ist-Stand gegen das BSIG abgleicht.

Sie möchten schnellstmöglich mit der Umsetzung von NIS2 starten? Der NIS2-Kickstart im GRC-COCKPIT liefert Ihnen einen Einstieg, mit dem Sie nicht bei null beginnen.

Dieser Beitrag wurde teilweise mit Unterstützung von KI erstellt und redaktionell überarbeitet.