Jedes dritte Unternehmen fürchtet um seine Existenz nach einem Cyberangriff

Das zeigt die HDI Cyberstudie 2026, für die das Marktforschungsunternehmen Sirius Campus rund 1.100 Entscheiderinnen und Entscheider aus kleinen und mittleren Unternehmen befragt hat. 35 Prozent der Unternehmen haben in den vergangenen fünf Jahren mindestens einen Cyberangriff erlebt. Cyberkriminalität ist damit längst kein abstraktes Risiko mehr, sondern gelebte Realität im deutschen Mittelstand.

Wie real ist die Existenzbedrohung durch Cyberangriffe?

Die Studie liefert auf den ersten Blick eine beruhigende Zahl: Die durchschnittliche Schadenhöhe erfolgreicher Angriffe ist 2026 auf rund 25.000 Euro gesunken – in den Vorgängerstudien seit 2022 lag dieser Wert stets bei mindestens 68.000 Euro. Prävention und routinierteres Krisenmanagement zeigen also Wirkung.

Diese Entwicklung darf aber nicht darüber hinwegtäuschen, dass ein einzelner schwerer Vorfall weiterhin existenzbedrohend sein kann. Besonders kleinere Unternehmen mit einem Jahresumsatz zwischen 2,5 und zehn Millionen Euro sind überproportional betroffen. Ihnen fehlt häufig die finanzielle Reserve, um einen Großschaden ohne Weiteres zu kompensieren – anders als größeren Betrieben mit breiterer Kapitaldecke.

Manche Branchen schätzen Risiko einer Cyberattacke höher ein als andere

Wie stark die Existenzsorge ausgeprägt ist, hängt auch von der Branche ab. Besonders hoch ist sie bei Steuerberatern und Wirtschaftsprüfern: 66 Prozent von ihnen sehen ihre Existenz durch einen massiven Cyberschaden gefährdet – fast doppelt so viele wie im Durchschnitt aller Unternehmen (35 Prozent). Auch Architekten und Ingenieure (51 Prozent) sowie das verarbeitende Gewerbe (48 Prozent) liegen deutlich über dem Schnitt.

Abb.: Existenzbedrohung im Branchenvergleich, Quelle: HDI Cyberstudie 2026

Diese erhöhte Sorge kommt nicht von ungefähr: Wer mit sensiblen Mandantendaten arbeitet und dabei zunehmend auf cloudbasierte Systeme setzt, ist sich der eigenen Angriffsfläche offenbar bewusster als andere Branchen.

Warum unterschätzen viele Geschäftsführer das Risiko eines Cyberangriffs?

60 Prozent der befragten Unternehmen stufen Cyberschäden inzwischen als relevantes Geschäftsrisiko ein. Nur 31 Prozent halten es aber für wahrscheinlich, selbst innerhalb der nächsten zwei Jahre betroffen zu sein. Diese Lücke zwischen genereller Risikoeinschätzung und persönlicher Betroffenheit ist gefährlich: Viele Unternehmen erkennen die Existenzgefahr erst beim konkreten Vorfall – wenn es für Prävention bereits zu spät ist.

Was schützt tatsächlich vor der Existenzbedrohung durch eine Cyberattacke?

Die Studie zeigt, worauf Unternehmen bereits setzen: 87 Prozent haben technische Maßnahmen wie Firewalls oder automatische Backups umgesetzt, 69 Prozent organisatorische Maßnahmen wie IT-Richtlinien. Mitarbeiterschulungen führen 71 Prozent durch – und damit spürbar weniger Unternehmen als bei rein technischen Maßnahmen.

Das ist bemerkenswert, denn Schulungen gehören zu den Präventionsmaßnahmen mit dem besten Verhältnis von Aufwand zu Wirkung. Anders als eine neue Firewall oder ein Backup-System erfordern sie keine hohen Investitionen in Technik, sondern in erster Linie Konsequenz: regelmäßige, kurze Einheiten statt einmaliger Kickoff-Schulungen.

Existenzbedrohung ist auch eine Frage der Geschäftsführer-Verantwortung

Ein schwerer Cyberschaden trifft nicht nur das Unternehmen – er kann auch persönliche Konsequenzen für die Geschäftsführung haben. Nach § 43 GmbHG haften Geschäftsführer für die sorgfältige Führung ihres Unternehmens, wozu auch angemessene Vorkehrungen gegen absehbare Risiken zählen. Wer nachweislich keine grundlegenden Schutzmaßnahmen ergriffen hat, riskiert im Schadensfall mehr als nur den wirtschaftlichen Verlust.

Unsere kostenlose Checkliste zur Geschäftsführerhaftung zeigt im Detail, welche Sofortmaßnahmen jetzt zählen.

Häufige Fragen zur Existenzbedrohung durch Cyberschäden

Quelle: HDI Cyberstudie 2026