64 % der Unternehmen, die in den letzten zwölf Monaten Opfer eines Cyberangriffs wurden, berichten von Phishing-Mails als Angriffsweg. Vor drei bis fünf Jahren lag dieser Anteil noch bei 12 %. Die Angriffsmethode, die am direktesten auf Ihre Mitarbeitenden zielt, ist heute so relevant wie nie zuvor – und sie wächst schneller als jede andere.
Das ist keine abstrakte Zahl aus einer Fachpublikation. Es ist die aktuelle HDI Cyberstudie 2026, eine repräsentative Befragung von 1.083 Entscheidenden in deutschen KMU. Und sie bestätigt etwas, das viele Geschäftsführer intuitiv ahnen, aber selten ernst genug nehmen: Die teuerste Firewall nützt wenig, wenn ein Mitarbeiter auf den falschen Link klickt.
Was hat sich verändert? Cyberkriminelle haben ihre Strategie verschoben. Technische Schutzmaßnahmen sind in den letzten Jahren besser geworden – also zielen Angreifer verstärkt auf den Menschen. Die Studie zeigt das deutlich:
| Kennzahl | Wert |
| KMU, die in den letzten 5 Jahren mindestens einmal angegriffen wurden | 35 % |
| Anteil Phishing-Mails als Angriffsweg (letzte 12 Monate) | 64 % |
| Anteil Schadsoftware in E-Mail-Anhängen (letzte 12 Monate) | 47 % |
| Anstieg des Phishing-Anteils gegenüber vor 3–5 Jahren | von 12 % auf 64 % |
Quelle: HDI Cyberstudie 2026
Ein Beispiel aus der Praxis. Ein Steuerberatungsbüro mit 18 Mitarbeitenden in Baden-Württemberg erhält eine E-Mail, die aussieht wie eine Rechnung eines bekannten Softwareanbieters. Eine Mitarbeiterin öffnet den Anhang – im Vertrauen darauf, dass es sich um einen Routinevorgang handelt. Innerhalb weniger Stunden sind mehrere Systeme verschlüsselt. Der wirtschaftliche Schaden: rund 28.000 Euro, dazu mehrere Tage Betriebsunterbrechung mitten in der Mandantenbetreuung. Ein Einzelfall? Nein – ein typisches Muster, das sich in vielen deutschen KMU so oder ähnlich abspielt.
Warum eine Firewall allein nicht reicht
„Wir haben doch eine gute IT-Security-Lösung bzw. einen kompetenten IT-Dienstleister“ ist der Satz, den wir sehr häufig hören. Und er stimmt – technische Maßnahmen sind wichtig und wirken. Aber sie lösen nicht das eigentliche Problem: Phishing-Mails werden gezielt so gestaltet, dass sie technische Filter umgehen und direkt beim Menschen landen.
Eine einmalige Schulung reicht ebenfalls nicht aus. Wissen über Phishing verblasst innerhalb weniger Wochen, wenn es nicht wiederholt und aktualisiert wird – neue Angriffsmuster erscheinen laufend, und Mitarbeitende brauchen kontinuierliche, nicht punktuelle Sensibilisierung. Genau das zeigt auch die Studie: Unternehmen, die Cyberrisiken einmal thematisiert haben, unterschätzen sie mit der Zeit wieder – die Risikowahrnehmung sinkt, obwohl das objektive Risiko unverändert bleibt.
Die Lösung: Kontinuierliche Sensibilisierung statt Einmal-Schulung
Eine einmalige Schulung reicht ebenfalls nicht aus. Wissen über Phishing verblasst innerhalb weniger Wochen, wenn es nicht wiederholt und aktualisiert wird – neue Angriffsmuster erscheinen laufend, und Mitarbeitende brauchen kontinuierliche, nicht punktuelle Sensibilisierung. Genau das zeigt auch die Studie: Unternehmen, die Cyberrisiken einmal thematisiert haben, unterschätzen sie mit der Zeit wieder – die Risikowahrnehmung sinkt, obwohl das objektive Risiko unverändert bleibt.
Was tatsächlich wirkt, ist keine einmalige Präsentation, sondern ein fortlaufender Prozess: Regelmäßige, kurze Schulungseinheiten, kurze, auf den Arbeitsalltag ausgerichtete Info-Mails und ab und zu ein kleiner Test, ob das Gehörte oder Gelesene auch „sitzt“. Ein weiterer Erfolgsfaktor sind verständliche Materialien, die auch Mitarbeitende ohne IT-Kenntnisse selbst durcharbeiten können. Der Aufwand für Sie als Geschäftsführung bleibt dabei überschaubar – die Wirkung ist es, die zählt.
Warum jetzt der richtige Zeitpunkt ist
Drei Gründe sprechen dafür, das Thema jetzt anzugehen, nicht erst nach dem nächsten Vorfall: Erstens verlangen Cyberversicherer zunehmend Nachweise über durchgeführte Mitarbeiterschulungen, bevor sie überhaupt eine Police ausstellen. Zweitens wächst mit NIS2 der regulatorische Druck auf immer mehr Branchen, Sensibilisierung nachweisbar zu dokumentieren. Drittens: Jeder Monat ohne Schulung ist ein Monat, in dem Ihre Mitarbeitenden ungeschützt gegenüber einer Angriffsmethode sind, die laut Studie so dynamisch wächst wie keine andere.
Quelle: HDI Cyberstudie 2026
Weitere Beiträge zum Thema: