Wie belastbar sind die neuen Milliarden- und Täterzahlen zum Wirtschaftsschutz? In der Bundespressekonferenz vom 26. August 2026 stellen Bitkom-Präsident Ralf Wintergerst und Verfassungsschutzpräsident Sinan Selen die Wirtschaftsschutzstudie 2026 vor. Die Zahlen zeichnen ein ernstes Bild: Fast alle befragten Unternehmen melden sichere oder vermutete Angriffe, organisierte Kriminalität bleibt die meistgenannte Tätergruppe und ausländische Nachrichtendienste werden deutlich häufiger genannt als früher. Der Kern ist durch die veröffentlichte Bitkom-Auswertung gedeckt. Entscheidend ist aber, Befragungsergebnisse, Hochrechnungen und behördlich bestätigte Fälle nicht miteinander zu verwechseln.
Was genau wurde untersucht?
Bitkom Research befragte zwischen Kalenderwoche 16 und 23 des Jahres 2026 telefonisch 1.003 Unternehmen in Deutschland. Einbezogen wurden Betriebe ab zehn Beschäftigten und mindestens einer Million Euro Jahresumsatz; befragt wurden für das Thema verantwortliche Personen. Bitkom bezeichnet die Stichprobe als repräsentativ. Die statistische Unsicherheit liegt laut Präsentation bei rund drei Prozentpunkten. Prozentwerte sind deshalb keine exakten Zählungen der gesamten deutschen Wirtschaft.
Die Fragen beziehen sich überwiegend auf die vorausgegangenen zwölf Monate. Unternehmen berichten, was sie sicher festgestellt oder aufgrund eigener Indizien vermutet haben. Die Studie ist damit eine wichtige Dunkelfeld- und Wahrnehmungserhebung, aber weder Polizeistatistik noch forensische Vollerhebung. Besonders bei Täter- und Herkunftszuordnungen bleibt offen, wie belastbar einzelne interne Analysen waren.
96 Prozent betroffen – aber das Dunkelfeld wächst
67 Prozent der Unternehmen sagten, sie seien sicher von Datendiebstahl, Industriespionage oder Sabotage betroffen gewesen; weitere 29 Prozent vermuteten einen Vorfall. Zusammen ergibt das die häufig zitierte Quote von 96 Prozent. Im Vorjahr lagen die Werte bei 87 beziehungsweise 10 Prozent. Die Gesamtsumme bleibt also ähnlich hoch, die Gewissheit verschiebt sich jedoch stark: weniger eindeutig nachgewiesene, mehr vermutete Fälle.
Das kann mehrere Ursachen haben. Angriffe können verdeckter werden, Unternehmen können sensibler auf Auffälligkeiten reagieren oder ihre Erkennung kann Lücken haben. Die Studie beweist nicht, welcher Faktor den Ausschlag gibt. Sie zeigt zunächst nur, dass sich die Antworten verändert haben. Genau deshalb ist die Formulierung fast alle Unternehmen seien angegriffen worden zu grob; korrekt ist: 96 Prozent waren nach eigener Auskunft sicher betroffen oder vermuteten es.
Organisierte Kriminalität und Nachrichtendienste
Unter den betroffenen Unternehmen ordneten 62 Prozent mindestens einen Angriff der organisierten Kriminalität zu. Ausländische Nachrichtendienste wurden von 37 Prozent genannt, nach 28 Prozent im Vorjahr und 7 Prozent im Jahr 2023. Mehrfachnennungen waren möglich. Ein Unternehmen konnte also zugleich kriminelle Strukturen und einen staatlichen Hintergrund vermuten. Die Anteile dürfen nicht zu hundert addiert und nicht als Aufteilung aller Angriffe gelesen werden.
Der starke Anstieg bei Nachrichtendiensten ist als Befragungsergebnis richtig wiedergegeben. Er bedeutet aber nicht, dass eine Behörde 37 Prozent aller Vorfälle einem ausländischen Dienst forensisch zugerechnet hat. Bitkom erfasst die Zuordnung der Unternehmen. Sinan Selen ergänzt eine behördliche Lageeinschätzung: Staatliche Akteure nutzten teils kriminelle Gruppen, Mittelsleute oder niedrig qualifizierte Helfer. Diese Vermischung macht eindeutige Kategorien schwieriger.
China, Russland und Iran
Von den sicher betroffenen Unternehmen führten 52 Prozent mindestens einen Angriff nach China zurück, 49 Prozent nach Russland und 9 Prozent in den Iran. Gegenüber 2025 stiegen China und Russland jeweils von 46 Prozent, Iran von 4 Prozent. Auch hier waren mehrere Nennungen möglich. Die Zahlen beschreiben die vermutete oder ermittelte Herkunft mindestens eines Vorfalls, nicht automatisch die Staatsangehörigkeit einzelner Täter und erst recht nicht in jedem Fall eine staatliche Beauftragung.
Technische Infrastruktur, Sprache, Arbeitszeiten, Schadsoftware und behördliche Hinweise können eine Zuordnung stützen, lassen sich aber verschleiern. Ein Serverstandort ist kein Täterpass. Die Werte sind deshalb für Trendbeobachtung nützlich, müssen jedoch von einer belastbaren Attribution in einem konkreten Ermittlungsverfahren getrennt werden. Das Bundesamt für Verfassungsschutz bestätigt unabhängig davon, dass fremde Dienste und staatlich beauftragte Gruppen Daten, Know-how und Technologien deutscher Unternehmen abschöpfen wollen.
Was bedeuten 211 bis 270,8 Milliarden Euro Schaden?
Bitkom nennt erstmals einen Schadenskorridor. Das untere Ende von 211 Milliarden Euro basiert auf hochgerechneten Angaben der Unternehmen, die einen Angriff sicher nachweisen konnten. Für das obere Ende von 270,8 Milliarden Euro wird zusätzlich jener Teil der vermutlich betroffenen Unternehmen einbezogen, der über dem Durchschnitt der Jahre 2021 bis 2025 liegt. Damals lag der Vermutungsanteil im Mittel bei 10 Prozent, 2026 bei 29 Prozent.
Die obere Zahl ist damit ausdrücklich ein Szenario. Auch die untere Zahl ist keine aus Rechnungen aller deutschen Unternehmen addierte Summe, sondern eine Hochrechnung aus Befragungsangaben. Einbezogen werden direkte Kosten wie Ausfälle, Ermittlungen, Ersatzmaßnahmen, Rechtsstreitigkeiten und Erpressung, aber auch geschätzte Umsatzeinbußen durch Plagiate und verlorene Wettbewerbsvorteile. Solche indirekten Schäden sind ökonomisch real, zugleich schwerer präzise zu beziffern.
Die Formulierung Schaden im laufenden Jahr kann zudem missverstanden werden. Erhoben wurden Erfahrungen der vergangenen zwölf Monate, nicht ausschließlich Vorgänge seit dem 1. Januar 2026. Seriös ist daher: Bitkom schätzt den Schaden im Zwölfmonatszeitraum auf mindestens 211 Milliarden Euro und modelliert unter Einbeziehung zusätzlicher Verdachtsfälle bis zu 270,8 Milliarden Euro.
Cyberangriffe tragen den größten Anteil
Nach der Studie entfallen 76 Prozent des Gesamtschadens auf Cyberattacken, gegenüber 70 Prozent im Vorjahr. Das entspricht je nach Ende des Korridors 160,4 bis 205,8 Milliarden Euro. 63 Prozent der Unternehmen registrierten mehr Cyberangriffe, 69 Prozent erwarten in den kommenden zwölf Monaten eine weitere Zunahme. Diese Erwartung ist eine Prognose der Befragten, keine sichere Vorhersage.
Die Ransomware-Zahl im Vortrag ist falsch
Ransomware bleibt laut Studie die häufigste schadenswirksame Cyberangriffsart. 25 Prozent aller Unternehmen berichteten einen Schaden durch verschlüsselte und gegen Lösegeld gesperrte Daten. Im Vortrag heißt es an einer Stelle, der Vorjahreswert habe 55 Prozent betragen. Die offizielle Presseinformation und Präsentation nennen jedoch 34 Prozent für 2025. Der Rückgang auf 25 Prozent ist richtig; die genannte Ausgangszahl 55 ist falsch.
Aus einem einzelnen Rückgang folgt noch keine dauerhafte Trendwende. Außerdem erfasst die Kennzahl Unternehmen mit eingetretenem Schaden, nicht sämtliche Ransomware-Versuche. Verbesserte Backups oder Abwehr können dazu führen, dass Angriffe stattfinden, aber weniger oft als Schaden gemeldet werden.
Warum erfolgreiche Angriffe Schaden anrichten
Unter den Unternehmen mit Cyberangriffsschaden nannten 59 Prozent eine unzureichende Erkennung von Sicherheitsvorfällen, 57 Prozent Fehlkonfigurationen und 55 Prozent Schwächen im Identitäts- und Zugriffsmanagement. Es folgen technische Schwachstellen mit 50 Prozent und veraltete Hard- oder Software mit 43 Prozent. Nur 18 Prozent nannten mangelndes Sicherheitsbewusstsein der Beschäftigten. Auch diese Frage erlaubte mehrere Antworten.
Die Rangfolge widerspricht der beliebten Erzählung, fast jeder Schaden sei vor allem menschliches Fehlverhalten. Sie zeigt vielmehr technische und organisatorische Defizite. Dennoch ist sie keine Ursachenanalyse jedes einzelnen Vorfalls: Befragte bewerten rückblickend, welche Faktoren einen Schaden ermöglichten. Gute Protokollierung, Angriffserkennung, saubere Konfiguration und strenges Berechtigungsmanagement sind daraus plausible Prioritäten.
Stagnierende Sicherheitsbudgets
Im Durchschnitt entfallen nach Selbstauskunft 18 Prozent des IT-Budgets auf IT-Sicherheit, genauso viel wie im Vorjahr. Bitkom und BSI empfehlen 20 Prozent. 45 Prozent der Unternehmen erreichen mindestens diese Marke. Der Durchschnitt allein sagt allerdings wenig über absolute Beträge oder Wirksamkeit. Ein kleiner Betrieb mit geringem IT-Budget kann prozentual viel und absolut zu wenig ausgeben; ein hoher Anteil garantiert keine gute Architektur.
Mehr Hinweise von Behörden
50 Prozent der Unternehmen, die Täter oder Herkunft ermitteln konnten, erhielten dabei Hinweise von Behörden. 2025 waren es 35 Prozent, zwei Jahre zuvor 24 Prozent. Das spricht für intensiveren Informationsaustausch. Es beweist aber nicht, dass die Hälfte aller Angriffe behördlich aufgeklärt wurde: Die Bezugsgruppe ist kleiner und umfasst nur Unternehmen, die überhaupt eine Zuordnung vornehmen konnten.
Welche Rolle spielt KI?
Wintergerst und Selen sprechen von KI als Verstärker für Phishing, Deepfakes und automatisierte Angriffe. Die Studie meldet steigende Schäden durch Robocalls und Deepfakes. Zugleich ist die Erkennbarkeit begrenzt: 31 Prozent der Unternehmen sind sich sicher, dass Angreifer KI nutzten; 51 Prozent vermuten es. Zusammen 82 Prozent als festgestellte KI-Nutzung zu formulieren wäre daher zu stark. Belastbar ist, dass Unternehmen KI häufiger als Teil der Bedrohung wahrnehmen; unbelegt wäre, KI erkläre allein den Anstieg der Unsicherheit.
Fazit
Die meisten Zahlen der Bundespressekonferenz stehen korrekt in der Bitkom-Studie: 62 Prozent nennen organisierte Kriminalität, 37 Prozent ausländische Nachrichtendienste, 76 Prozent des Schadens entfallen auf Cyberattacken und der ausgewiesene Korridor reicht von 211 bis 270,8 Milliarden Euro. Der wichtigste Vorbehalt betrifft die Messart. Es sind repräsentativ hochgerechnete Selbstauskünfte mit Mehrfachnennungen, keine vollständige Fall- oder Schadensbilanz. Die obere Schadenszahl ist ein Szenario, Länderzuordnungen sind keine automatische Staatsattribution. Sachlich falsch ist im Vortrag der Vorjahreswert von 55 Prozent bei Ransomware; veröffentlicht sind 34 Prozent. Die Studie belegt eine hohe Bedrohung und wachsende Unsicherheit – nicht jede zugespitzte Deutung.