Studie zur Cybersicherheit der deutschen Wirtschaft: BSI warnt Unternehmen vor trügerischer Sicherheit

Das BSI hat gemeinsam mit dem TÜV-Verband eine neue repräsentative Umfrage zur Cybersicherheit in Unternehmen durchgeführt – deren Ergebnisse seien in zweifacher Hinsicht „besorgniserregend“

[datensicherheit.de, 22.06.2025] Laut einer Meldung vom 11. Juni 2025 hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeinsam mit dem TÜV-Verband eine neue repräsentative Umfrage zur Cybersicherheit in Unternehmen durchgeführt. Deren Ergebnisse seien in zweifacher Hinsicht „besorgniserregend“: Erstens habe ein Anstieg der Bedrohungslage verzeichnet werden müssen, zweitens zeigten die Umfrageergebnisse, „dass viele Firmen die Lage unterschätzen und die eigene Resilienz überbewerten“. Das BSI warnt daher eindringlich vor „trügerischer Sicherheit“.

Abbildung: TÜV-Verband

TÜV Cybersecurity Studie 2025: Cybersicherheit in deutschen Unternehmen

NIS-2: Für ca. 29.000 „wesentliche“ bzw „wichtige“ Einrichtungen ergeben sich erstmals gesetzliche Pflichten

Zudem habe nur etwa die Hälfte der Befragten angegeben, die zweite EU-Richtlinie zur Netzwerk- und Informationssicherheit (NIS-2) zu kennen. Jedoch: „Mit der Umsetzung der NIS-2-Richtlinie in nationales Recht, die aufgrund der vorgezogenen Neuwahlen in Deutschland bisher nicht erfolgt ist, wird das BSI für deutlich mehr Unternehmen als zuvor Aufsichtsbehörde.“

Für die bestehenden Kritischen Infrastrukturen (KRITIS) ändere sich hierdurch voraussichtlich wenig, aber für ca. 29.000 nach der NIS-2-Richtlinie „wesentliche“ (essential entities) und „wichtige“ Einrichtungen (important entities) ergäben sich erstmals gesetzliche Pflichten.

Viele Unternehmen scheinen die Risiken zu unterschätzen

Dr. Michael Fübi, Präsident des TÜV-Verbands, kommentiert: „Die deutsche Wirtschaft steht im Fadenkreuz staatlicher und krimineller Hacker, die sensible Daten erbeuten, Geld erpressen oder wichtige Versorgungsstrukturen sabotieren wollen. Allerdings scheinen viele Unternehmen die Risiken zu unterschätzen.“

• Neun von zehn (91%) bewerteten ihre Cybersicherheit als „gut“ oder „sehr gut“. Zudem gebe jedes vierte Unternehmen (27%) an, dass IT-Sicherheit für sie nur eine „kleine“ oder „gar keine“ Rolle spiele.

Eine Mehrheit spreche sich allerdings für gesetzliche Vorgaben aus, um das Schutzniveau in der Wirtschaft zu erhöhen: 56 Prozent seien der Meinung, dass alle Unternehmen verpflichtet sein sollten, angemessene Maßnahmen für ihre Cybersecurity zu ergreifen. „Die Bundesregierung sollte die überfällige nationale Umsetzung der NIS-2-Richtlinie zügig verabschieden“, legt Fübi nahe.

Auf dem Weg zur „Cybernation Deutschland“ noch eine Menge Arbeit voraus

„Die Studie des TÜV-Verbandes zeigt, dass auf dem Weg zur ,Cybernation Deutschland’ noch eine Menge Arbeit vor uns liegt. Was mich besonders besorgt, ist die geringe Bekanntheit der NIS-2-Richtlinie“, so die BSI-Präsidentin, Claudia Plattner.

• Umso wichtiger sei ihre zügige Umsetzung in nationales Recht. Verständlicherweise wiesen Unternehmen darauf hin, „dass regulatorische Vorgaben herausfordernd sind“ – auch, weil sie zu Bürokratie und damit zu Mehraufwand führen könnten. Richtig umgesetzt könnten sie uns aber dabei helfen, die Resilienz unserer Wirtschaft umfassend zu erhöhen.

„Wir als BSI legen dabei unseren Schwerpunkt auf Hilfestellung und Kooperation – und unterstützen Unternehmen auch heute schon mit umfangreichen Informations- und Beratungsangeboten. Unser Credo lautet ‚Cybersicherheit vor Bürokratie‘.“ Dies betreffe übrigens auch den „Cyber Resilience Act“ (CRA), im Rahmen dessen das BSI die Übernahme der Marktüberwachung anstrebe.

Das BSI beobachtet, analysiert und bewertet IT-Sicherheit in fünf Dimensionen

Der CRA gibt ein Mindestmaß an Cybersicherheit für vernetzte Produkte auf dem EU-Markt vor. Als nationale Stelle für Zertifizierung und Standardisierung von Cybersicherheitsmaßnahmen verfügt das BSI nach eigenen Angaben über etablierte Strukturen, die schnell für die Marktüberwachung im Sinne des CRA nutzbar gemacht werden können.

Um die Anforderungen greifbarer zu machen, hat das BSI die „Technische Richtlinie TR-03183“ erarbeitet, in der die im CRA formulierten Anforderungen an Hersteller und Produkte übersichtlich beschrieben und erklärt werden. Als Cybersicherheitsbehörde Deutschlands beobachte, analysiere und bewerte das BSI die Lage der IT-Sicherheit in fünf Dimensionen und fungiere als zivile Verteidigungsmacht des Digitalen Raumes.

Weitere Informationen zum Thema:

TÜV VERBAND
TÜV Cybersecurity Studie 2025: Cybersicherheit in deutschen Unternehmen / Neue Bedrohungslage – besserer Schutz

TÜV VERBAND
TÜV Cybersecurity Studie 2025: Cyberbedrohungen wachsen, aber viele Unternehmen hinken beim Schutz hinterher. Die TÜV Cybersecurity Studie 2025 zeigt: KI-gestützte Angriffe nehmen zu, doch nur wenige Betriebe setzen KI zur Verteidigung ein. Die Studie liefert alarmierende Zahlen – und klare Handlungsempfehlungen für Politik und Wirtschaft.

Bundesamt für Sicherheit in der Informationstechnik
BSI TR-03183 Cyber-Resilienz-Anforderungen

datensicherheit.de, 20.06.2025
Cybersicherheit geht alle an: Interaktive Trainingsplattform CyberALARM für Unternehmen vorgestellt / Mit „CyberALARM“ soll eine praxisnahe, interaktive Plattform für mehr Cybersicherheit im Mittelstand, im öffentlichen Sektor und in Bildungseinrichtungen geboten werden

datensicherheit.de, 16.05.2025
Cyber Gangsta’s Paradise: THA-Professor für IT-Sicherheit macht mit Musikvideo auf den Cyber Resilience Act (CRA) aufmerksam / Mit der EU-Regulierung wird die digitale Sicherheit von Produkten wird zur Pflicht.

datensicherheit.de, 06.04.2025
CRA erzwingt Produktanpassungen: Höchste Zeit für Hersteller zu handeln / Geräte mit ausnutzbaren Cyber-Schwachstellen dürfen nach CRA-Inkrafttreten in der EU bald nicht mehr verkauft werden

datensicherheit.de, 07.02.2025
Dennis Weyel erinnert im NIS-2-Kontext daran: Firmenleitung haftet bei Cyber-Attacken! / Laut aktueller Manager-Umfrage ist sich nur knapp die Hälfte ihrer Verantwortung für Cyber-Sicherheit bewusst

datensicherheit.de, 20.05.2025
Cybersicherheit: Deutsche Unternehmen sehen dringenden Handlungsbedarf / Laut einer QBE-Studie betreffen 64 Prozent der Cybervorfälle Schwachstellen in der Lieferkette. Dabei gehen zwei Drittel der Befragten gehen davon aus, dass sich das Budget für Cybersicherheit in den nächsten zwölf Monaten in ihrem Unternehmen erhöhen wird. 85 Prozent der Befragten sehen steigende Bedrohungen im Vergleich zum Vorjahr