334.000 Cybercrime-Fälle im Jahr 2025
Deutschland steht digital unter Beschuss. Cyberkriminelle greifen längst nicht mehr nur Konzerne, Ministerien oder Banken an. Sie attackieren Produktionsbetriebe, Autohäuser, Handwerker, Arztpraxen, IT-Dienstleister, Kommunen und Zulieferer. Mal geht es um Lösegeld, mal um Spionage, mal um Sabotage. Immer häufiger verschwimmen die Grenzen zwischen organisierter Kriminalität, politischem Hacktivismus und staatlich unterstützten Gruppen.
Die Zahlen zeigen, warum die Bundesregierung handeln will. Für 2025 weist das Bundeslagebild Cybercrime rund 334.000 Cybercrime-Fälle aus. Besonders gefährlich bleiben Ransomware-Angriffe, bei denen Kriminelle Daten verschlüsseln und zusätzlich mit der Veröffentlichung sensibler Informationen drohen. 2025 wurden laut Bundesregierung 1.041 Ransomware-Angriffe angezeigt, 10-Prozent mehr als im Vorjahr. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt zudem, dass ein großer Teil der angezeigten Angriffe – rund 80-Prozent – auf kleine und mittlere Unternehmen entfiel. Für Mittelständler wird daraus schnell ein Betriebs- und Liquiditätsrisiko.
Cybersicherheitsgesetz: Was der Staat plant
Vor diesem Hintergrund plant die Bundesregierung eine deutliche Stärkung der staatlichen Cyberabwehr. Das geplante Cybersicherheitsgesetz soll die Befugnisse von BSI, Bundeskriminalamt (BKA) und Bundespolizei erweitern. Ziel ist es, konkrete Cyberangriffe und länger laufende Angriffskampagnen früher zu erkennen, besser aufzuklären und Vorbereitungshandlungen schneller sichtbar zu machen. Zudem sollen Behörden mehr Möglichkeiten erhalten, schwere Angriffe mit großem Schadenspotenzial zu stoppen oder ihre Folgen abzumildern. Dazu sollen sie unter bestimmten Voraussetzungen Datenverkehr umleiten sowie Daten auslesen, löschen oder verändern können, um schwere Cyberangriffe abzuwehren.
„Wir schlagen zurück. Wir schalten die Bedrohung aus, wenn wir angegriffen werden. Wir werden Angreifer stören und deren Infrastruktur zerstören können“— betont Bundesinnenminister Alexander Dobrindt.
Bisher habe man Angriffe vor allem in schadlose Bereiche des Netzes umzuleiten versucht. Künftig wolle man stärker den Angreifer selbst, seine Server, seine Software und seine Strategie in den Blick nehmen. Das geplante Cybersicherheitsgesetz zeigt damit vor allem eines: Digitale Angriffe werden nicht länger als Randproblem behandelt, sondern als Sicherheitsrisiko für Staat und Wirtschaft.
Berlin kann warnen – retten muss sich der Betrieb selbst
Doch mehr staatliche Abwehr beantwortet nicht die entscheidende Frage im Betrieb: Was passiert, wenn der Angriff trotzdem durchkommt? Der zentrale Trugschluss wäre, den Gesetzentwurf als Sicherheitsgarantie für Unternehmen zu verstehen. Das Gesetz stärkt vor allem die staatliche Abwehrarchitektur. Es soll Behörden schneller, handlungsfähiger und besser vernetzt machen. Für Unternehmen ist das zunächst eine gute Nachricht: Bessere Aufklärung, stärkere Behörden und klarere Strukturen können helfen, Angriffe früher zu erkennen und größere Schäden zu verhindern. Aber sie ersetzen keine betriebliche Resilienz.
Der Staat kann Angriffsinfrastrukturen analysieren, Warnungen aussprechen und in bestimmten Fällen eingreifen. Er kann aber nicht verhindern, dass ein Mitarbeiter auf eine täuschend echte Phishing-Mail klickt. Er kann nicht garantieren, dass der externe IT-Dienstleister ausreichend abgesichert ist. Er kann keine verschlüsselten Daten wiederherstellen, wenn das Backup ebenfalls infiziert wurde. Und er kann einem Unternehmen nicht automatisch die verlorene Liquidität ersetzen, wenn der Betrieb tagelang stillsteht.
Der Ernstfall beginnt oft mit einer E-Mail
Die entscheidende Frage für Unternehmer lautet deshalb nicht: Was darf der Staat künftig? Sie lautet: Was passiert im Betrieb am ersten Tag des Angriffs? Oft beginnt er unspektakulär: Mit einem gefälschten Anhang, einer angeblichen Rechnung, einem manipulierten Link. Künstliche Intelligenz macht solche Angriffe glaubwürdiger, schneller und schwerer erkennbar – während kleine IT-Teams oder externe Dienstleister im Ernstfall meist neben dem Tagesgeschäft reagieren müssen.
Für Mittelständler ist das besonders riskant, weil fast jeder Betriebsablauf an digitalen Systemen hängt: Angebote, Rechnungen, Bestellungen, Liefertermine, Kundendaten. Fällt die IT aus, wird aus einem technischen Vorfall schnell ein Liquiditätsproblem. Dann zählen nicht abstrakte Behördenbefugnisse, sondern einfache Fragen: Wer entscheidet? Wer ruft den IT-Dienstleister an? Wer informiert Kunden, Versicherer oder Datenschutzbehörde? Wo liegen Notfallnummern, wenn E-Mail und Teams ausfallen? Können Aufträge, Rechnungen oder Lieferscheine notfalls manuell erstellt werden? Diese Fragen entscheiden darüber, ob ein Angriff kontrollierbar bleibt – oder zur existenziellen Krise wird.
Die unterschätzte Falle: Cyberversicherung
Auch eine Cyberversicherung ist kein Freibrief. Viele Betriebe glauben, sie hätten das Risiko ausgelagert, sobald eine Police abgeschlossen ist. Doch das kann ein gefährlicher Irrtum sein.
Im Schadensfall prüfen Versicherer genau, ob vereinbarte Sicherheitsstandards eingehalten wurden. Gab es Mehrfaktor-Authentifizierung für wichtige Zugänge? Wurden Sicherheitsupdates regelmäßig eingespielt? Waren Administratorrechte klar begrenzt? Existierten aktuelle Backups? Wurden diese Backups vom Netzwerk getrennt gespeichert und tatsächlich getestet? Wer solche Grundlagen nicht nachweisen kann, riskiert Streit mit dem Versicherer – gerade dann, wenn das Unternehmen schnelle Hilfe braucht.
Für Unternehmer heißt das: Cybersicherheit muss nicht nur umgesetzt, sondern auch dokumentiert werden. Wer im Ernstfall zeigen kann, dass Schutzmaßnahmen geplant, geprüft und geübt wurden, steht deutlich besser da.
Cybersicherheitsgesetz: Der Staat rüstet auf – Unternehmen müssen es auch tun
Das geplante Cybersicherheitsgesetz ist ein notwendiger Schritt. Es stärkt die staatliche Abwehr gegen Cyberangriffe und ordnet digitale Attacken als Risiko für Wirtschaft, Verwaltung und kritische Infrastruktur ein. Für Unternehmen wäre es jedoch fatal, daraus ein Gefühl der Sicherheit abzuleiten. Der Staat schützt in erster Linie die öffentliche Sicherheit und die Stabilität kritischer Strukturen. Unternehmer müssen ihre eigene Betriebsfähigkeit schützen. Wer beides verwechselt, wiegt sich in falscher Sicherheit.
Die entscheidende Verteidigungslinie des Mittelstands verläuft nicht in Berlin. Sie verläuft im eigenen Betrieb: bei Zugriffsrechten, Backups, Dienstleisterverträgen, Schulungen, Versicherungsbedingungen, Notfallplänen und der Frage, ob die Geschäftsführung Cybersicherheit als Überlebensfrage begreift.
Der Staat rüstet auf. Der Mittelstand muss nachziehen – nicht aus Angst, sondern um Lieferfähigkeit, Vertrauen, Arbeitsplätze und die eigene Existenz zu schützen.
