Ob Produktionsstraße, Buchhaltung oder Kundendatenbank, kaum ein Unternehmensbereich kommt heute ohne digitale Infrastruktur aus. Genau das macht Attacken aus dem Netz zu einem Risiko, das längst nicht mehr allein die IT-Abteilung beschäftigt, sondern regelmäßig in der Geschäftsführung landet. Wie gut die heimische Wirtschaft darauf vorbereitet ist, hat EY Österreich erneut in seiner alljährlichen Cybersecurity Studie erhoben, für die im April 2026 insgesamt 200 Führungskräfte aus Geschäftsführung, IT-Sicherheit und Datenschutz befragt wurden. Berücksichtigt wurden dabei ausschließlich Betriebe ab 20 Mitarbeitenden.
Gefühlte Gefahr sinkt, gemeldete Vorfälle steigen
Auffällig ist zunächst eine Schere zwischen Stimmung und Faktenlage. Nur noch 38 Prozent der befragten Entscheider:innen halten das Risiko einer Attacke für hoch, im Vorjahr waren es noch 47 Prozent. Damit ist die Einschätzung annähernd wieder dort angekommen, wo sie 2024 gestanden ist (35 %). In die Gegenrichtung bewegt sich die Zahl jener, die tatsächlich betroffen waren. Konkrete Hinweise auf Zugriffe auf Netzwerke und Daten meldeten 36 Prozent der Befragten, um vier Prozentpunkte mehr als im Vorjahr (32 %). Dass die Entspannung verfrüht sein dürfte, legt auch der Ausblick nahe: 82 Prozent rechnen damit, dass das Thema künftig noch wichtiger wird.
Wie viele Vorfälle überhaupt ans Licht kommen, hängt allerdings stark von der eingesetzten Technik ab. Wer Künstliche Intelligenz (KI) in der Sicherheitsarchitektur nutzt, meldet mit rund 65 Prozent weit häufiger Auffälligkeiten als jene Betriebe, die darauf verzichten (29 %). Ein Teil der niedrigen Werte dürfte also weniger mit Sicherheit, als mit fehlender Sicht auf das eigene System zu tun haben. "Dass die wahrgenommene Gefahr sinkt, während die tatsächlichen Vorfälle steigen, ist ein gefährlicher Trugschluss. Wer KI gezielt einsetzt, erkennt deutlich mehr Angriffe – und Sichtbarkeit ist der erste Schritt zu wirksamer Abwehr", kommentiert Gottfried Tonweber, Partner und Leiter Cybersecurity bei EY Österreich.
Künstliche Intelligenz wird zum Sichtbarkeitsfaktor
Verbreitet ist KI bislang in einer Minderheit der Unternehmen, legt aber zu. 20 Prozent arbeiten heuer mit entsprechenden Lösungen, im Jahr davor war es erst gut jedes siebente Unternehmen (15 %). Wer dazugehört, lässt sich recht gut vorhersagen: je größer der Umsatz und je ausgeprägter das eigene Risikobewusstsein, desto höher die Quote. Die Aufgaben, die KI dabei übernimmt, liegen überwiegend im Bereich der Beobachtung. An erster Stelle steht das Aufspüren von Anomalien (61 %), danach folgen die automatisierte Sicherheitsüberwachung (59 %) und die Analyse von Bedrohungen (55 %). Sparen will damit kaum jemand, im Vordergrund steht die bessere Erkennung. Ein knappes Drittel (31 %) hat sich überhaupt noch keine konkreten Ziele hinsichtlich des KI-Einsatzes gesetzt. Deutlich verschoben hat sich hingegen die Einschätzung des Nutzens: Einen sehr großen Beitrag zur eigenen Sicherheit sehen inzwischen 21 Prozent der Anwender:innen, dreimal so viele wie im Jahr davor (7 %).
"Dass sich der Wert von KI in so kurzer Zeit verdreifacht hat, zeigt, wie schnell sich diese Technologien in der Praxis bewähren. KI-gestützte Lösungen erkennen Bedrohungen früher und unterstützen überlastete Sicherheitsteams", erklärt Bernhard Zacherl, Director im Bereich Cybersecurity bei EY Österreich.
Bei den übrigen vier Fünfteln überwiegt dennoch die Skepsis. Die Hälfte davon will vorerst gar nicht einsteigen, 35 Prozent haben zumindest Interesse oder bereits konkrete Vorhaben. Ausschlaggebend für die Zurückhaltung sind weniger technische als rechtliche und ethische Fragen: Datenschutz und Ethik werden mit 40 Prozent am häufigsten als Hürde genannt, während hohe Kosten (23 %) und fehlendes Fachpersonal (17 %) im Zeitvergleich an Gewicht verlieren. Wer die Technologie bereits nutzt, will meist mehr davon. Jedes zweite dieser Unternehmen steht vor einer Änderung, 26 Prozent wollen den Einsatz ausweiten, weitere 20 Prozent zusätzliche Anwendungen einführen. Zurückfahren will ihn nur eine Randgruppe von drei Prozent.
Phishing bleibt das Einfallstor Nummer eins
An der Rangordnung der Angriffsarten hat sich wenig geändert. Mit 71 Prozent führt Phishing das Feld weiterhin klar an und bleibt damit nahe am Vorjahreswert (73 %). Kräftig zugelegt hat dahinter Malware, deren Anteil von 44 auf 52 Prozent gestiegen ist. Ransomware (21 %), Passwortangriffe (18 %) und DDoS-Attacken (17 %) folgen mit deutlichem Abstand. Ins Visier geraten vor allem jene Systeme, über die im Alltag kommuniziert wird. Auf Kommunikations- und Kollaborationsservices entfallen 46 Prozent aller Angriffe, danach kommen Daten- und Speicherservices (35 %) sowie Arbeitsplatz- und Enduser-Services (31 %). Als gefährlichste Urheber gilt unverändert das organisierte Verbrechen, etwas weniger Sorge als 2025 bereiten den Befragten dagegen Hacktivist:innen.
Was im Ernstfall am meisten schmerzen würde, ist für die Unternehmen eindeutig. 48 Prozent nennen Datenverlust und Datenschutzverletzungen als gravierendste Folge, deutlich seltener genannt werden Betriebsunterbrechungen (26 %) und finanzielle Einbußen (23 %). Zu zahlen aufgefordert wurden zuletzt weniger Betriebe als davor, 19 Prozent der bereits Betroffenen berichten von Erpressungsversuchen, nach 27 Prozent im Vorjahr. Beim finanziellen Sicherheitsnetz bewegt sich hingegen nichts. Wie schon 2025 hat erst knapp jedes zweite Unternehmen (45 %) eine Polizze gegen digitale Risiken abgeschlossen.
Vorfälle fallen häufiger intern auf
Glimpflich verlaufen sind bisher die allermeisten Zwischenfälle. Der schwerste Vorfall der vergangenen fünf Jahre fällt für 70 Prozent in die Kategorie gering. Auch die Ausfallzeiten hielten sich in Grenzen: 95 Prozent der betroffenen Unternehmen hatten den Betrieb nach wenigen Tagen wieder im Griff, 78 Prozent davon brauchten dafür nicht einmal einen ganzen Tag. Bei der Aufdeckung verschiebt sich das Gewicht ins eigene Haus, auf das interne Kontrollsystem gehen mittlerweile 59 Prozent der entdeckten Fälle zurück (2025: 51 %). Den stärksten Sprung machten Meldungen von außerhalb des Unternehmens, deren Anteil von zwei auf 13 Prozent kletterte.
"Phishing ist und bleibt das Einfallstor Nummer eins, und der starke Anstieg bei Malware zeigt, dass Angreifer ihre Methoden konsequent weiterentwickeln. Dass Unternehmen Vorfälle zunehmend über interne Kontrollen erkennen, ist erfreulich – entscheidend bleibt aber, dass auf die Erkennung auch ein eingeübter Notfallprozess folgt", meint Tonweber.
Zu einer Selbstverständlichkeit entwickelt sich auch die Suche nach den eigenen Schwachstellen. Komplett darauf verzichten nur noch 15 Prozent, nach 31 Prozent im Jahr davor. Regelmäßig prüfen lassen sich inzwischen 70 Prozent, knapp drei von zehn sogar mindestens halbjährlich. Für den Wiederaufbau der Infrastruktur nach einem Angriff wiederum haben 84 Prozent einen Plan in der Schublade oder sind gerade dabei, einen zu erstellen. Am weitesten sind hier die Tech-, Medien- und Telekommunikationsbranchen, wo 92 Prozent bereits fertige Konzepte vorweisen und die übrigen acht Prozent daran arbeiten.
Mehr Schutz bei gleichbleibendem Geld
Ausgebaut wurde zuletzt praktisch überall, sämtliche abgefragten Vorkehrungen kommen heuer häufiger zum Einsatz als in den Vorjahren. Die Grundausstattung ist längst Standard, Firewalls und Antivirus-Software laufen in 97 Prozent der Betriebe, regelmäßige Sicherheitsupdates in 92 Prozent und mehrstufige Authentifizierung in 88 Prozent. Kräftig aufgeholt haben Notfallpläne und Incident-Response-Teams, die von 57 auf 73 Prozent zulegten, auf 70 Prozent kommen automatisierte Überwachungsmechanismen, auf 68 Prozent regelmäßige Sicherheitsaudits. Auf einer Skala von eins bis fünf liegen die Reifegrade der einzelnen Vorkehrungen zwischen 4,1 und 4,4. Beim Personal wird ebenfalls angesetzt, 83 Prozent schulen ihre Belegschaft, jeweils 80 Prozent nennen Awareness-Maßnahmen und eine modernisierte IT-Infrastruktur. Neue Angriffsformen wie Deepfakes oder KI-gestützte Attacken haben 48 Prozent bereits berücksichtigt, 23 Prozent wollen nachziehen. In der umsatzstärksten Gruppe ab 51 Millionen Euro sind es ausnahmslos alle. Entsprechend gelassen blickt man nach vorne, 87 Prozent halten sich für (sehr) gut gerüstet.
Beim Budget endet der Aufwärtstrend allerdings abrupt. Mehr als 40 Prozent geben pro Jahr weniger als 25.000 Euro für Cybersecurity aus, sechs Prozent haben überhaupt keinen eigenen Topf dafür und ein knappes Drittel (32 %) kann die eigenen Ausgaben nicht einmal beziffern. Aufstocken will in den kommenden zwei Jahren nur gut ein Viertel (28 %), und auch das nur leicht. Für die Mehrheit bleibt es beim bisherigen Rahmen.
"Dass praktisch jede Sicherheitsmaßnahme an Verbreitung gewinnt, ist ein ermutigendes Signal. Gleichzeitig stagnieren die Budgets – und ohne ausreichende, gezielt eingesetzte Mittel lässt sich das erreichte Schutzniveau auf Dauer kaum halten. Cybersicherheit ist ein Dauerinvestment, kein einmaliges Projekt", so Zacherl.
Bei NIS-2 fehlt vielen die Orientierung
Im laufenden Risikomanagement geben sich die Befragten organisiert. Knapp 80 Prozent gehen ihre IT- und Cyber-Risiken zumindest teilweise systematisch durch und greifen dabei auf ein breites Repertoire zurück, allen voran regelmäßige Überprüfungen (82 %) und Risikoanalysen (76 %).
Umso auffälliger ist der Bruch beim Blick auf die NIS-2-Richtlinie. Ob und in welcher Form sie überhaupt darunterfallen, können 44 Prozent nicht sagen. Auch die Termine sind weithin unbekannt, 61 Prozent kennen die Fristen nach eigenen Angaben nicht, während sich lediglich 22 Prozent als vollständig informiert und fristenkonform einstufen. Dementsprechend mager fällt die Bilanz bei der Umsetzung aus. In 70 Prozent der Betriebe ist bislang kein einziger der zentralen Maßnahmenbereiche weitgehend fertig bearbeitet. Am schwersten tun sich kleinere Unternehmen mit weniger als zehn Millionen Euro Umsatz (74 %), in der umsatzstärkeren Gruppe fehlt knapp jedem Zweiten ein abgeschlossenes Paket (47 %). Ob Risikoanalyse und Sicherheitskonzept, Schulungen und Managementverantwortung oder Kryptographie und Zugangskontrollen, das Niveau ist quer über alle Bereiche niedrig.
"NIS-2 ist nicht nur regulatorische Pflicht, sondern eine Chance, die eigene Resilienz auf ein neues Niveau zu heben. Dass viele Unternehmen ihre Betroffenheit nicht einmal einschätzen können, ist alarmierend – hier braucht es dringend Klarheit und konkrete Umsetzungsschritte", so Tonweber.
Die gesamte Studie finden Sie hier zum Download.
www.ey.com
Kommentar veröffentlichen