Große Ambivalenz beim Thema Cybersecurity
Aktuelle Cybersecurity-Studie von EY belegt bei österreichischen Betrieben große Orientierungslosigkeit beim Thema NIS2. Bei nötigen Schutzmaßnahmen zeigt sich mehr Bewusstsein und ein verstärkter Einsatz von KI. Parallel stagnieren die Geldmittel zur Cyberabwehr.
36 Prozent der österreichischen Unternehmen haben konkrete Hinweise auf Cyberangriffe, im Vorjahr waren es noch 32 Prozent. Jedes fünfte Unternehmen (20 Prozent) setzt mittlerweile KI-Technologien in der Cyberabwehr ein. 2025 waren es 15 Prozent. Der Einsatz von Sicherheitsmaßnahmen und Notfallplänen stieg von 57 auf 73 Prozent. Die häufigste Angriffsart bleibt Phishing mit 71 Prozent. Malware-Angriffe legen deutlich auf 52 Prozent zu.
Cyberangriffe weiter bei größten Bedrohungen für Unternehmen
Über 40 Prozent der Unternehmen haben ein Cybersecurity-Budget von unter 25.000 Euro, die Budgets stagnieren hier weitgehend. Bei den neuen gesetzlichen Regularien von NIS2 können immer noch 44 (!) Prozent der Unternehmen ihre eigene Betroffenheit nicht einschätzen. Bei 70 Prozent ist noch kein Maßnahmenbereich abgeschlossen. Das sind Ergebnisse einer Studie von EY Österreich, wo Angaben zufolge 200 Geschäftsführer und IT-Führungskräfte von österreichischen Unternehmen ab 20 Mitarbeitenden befragt wurden.
Cyberangriffe zählen weiterhin zu den größten Bedrohungen für Unternehmen. Während 2025 noch 47 Prozent der Entscheider in Österreich das Risiko eines Cyberangriffs als hoch einschätzten, ist dieser Anteil 2026 auf 38 Prozent gesunken (2024 waren es 35 Prozent). Die tatsächliche Bedrohungslage entwickelt sich jedoch in die andere Richtung: 36 Prozent der Unternehmen hatten konkrete Hinweise auf Angriffe auf ihre Netzwerke und Daten, und das ist ein Plus von vier Prozentpunkten gegenüber dem Vorjahr (32 Prozent).
Positiver Trend bei Schutzmaßnahmen
Besonders auffällig ist, dass Unternehmen, die KI-Technologien in der Cybersecurity einsetzen, registrieren mit rund 65 Prozent weit häufiger Hinweise auf Angriffe als Unternehmen ohne KI-Einsatz (29 Prozent). 82 Prozent aller Befragten erwarten zudem, dass die Bedeutung von Cyberangriffen künftig weiter zunehmen wird. „Dass die wahrgenommene Gefahr sinkt, während die tatsächlichen Vorfälle steigen, ist ein gefährlicher Trugschluss. Wer KI gezielt einsetzt, erkennt deutlich mehr Angriffe. Sichtbarkeit ist der erste Schritt zu wirksamer Abwehr“, so Gottfried Tonweber, Partner und Leiter Cybersecurity bei EY Österreich.
Bei den Schutzmaßnahmen zeigt sich ein klar positiver Trend: Jede abgefragte Sicherheitsmaßnahme wird 2026 häufiger eingesetzt als in den Jahren zuvor. Firewalls und Antivirus-Software sind mit 97 Prozent nahezu flächendeckend im Einsatz, gefolgt von regelmäßigen Sicherheitsupdates und mehrstufiger Authentifizierung. Besonders stark gewachsen sind Notfallpläne und Incident-Response-Teams, die von 57 Prozent im Vorjahr auf 73 Prozent zulegten, ebenso wie automatisierte Überwachungsmechanismen (70) und regelmäßige Sicherheitsaudits (68 Prozent).
Ohne ausreichende Mittel kein adäquates Schutzniveau
Die eingesetzten Maßnahmen gelten dabei als weitgehend ausgereift. Auch organisatorisch wird aufgerüstet: 83 Prozent setzen auf die Sensibilisierung der Mitarbeiter, jeweils 80 Prozent auf Awareness-Maßnahmen und die Modernisierung der IT-Infrastruktur. Knapp die Hälfte der Unternehmen berücksichtigt dabei bereits aktuelle Bedrohungen wie Deepfakes oder den Umgang mit KI-Angriffen. Ein weiteres Viertel plant dies. Vorreiter dabei sind die umsatzstärksten Unternehmen.
Bei den Budgets bleibt die Lage hingegen angespannt. Über 40 Prozent der Betriebe investieren weniger als 25.000 Euro jährlich in Cybersecurity, sechs Prozent verfügen über kein gesondertes Budget und 32 Prozent können ihre Ausgaben nicht beziffern. Nur rund ein Viertel plant in den kommenden zwei Jahren zumindest eine leichte Erhöhung. Die Mehrheit der Budgets bleibt unverändert. „Ohne ausreichende, gezielt eingesetzte Mittel lässt sich ein Schutzniveau kaum halten. Cybersicherheit ist ein Dauerinvestment und kein einmaliges Projekt“, so Bernhard Zacherl von EY Österreich.
Phishing dominiert und auch Malware-Angriffe legen deutlich zu
Als gefährlichste Tätergruppe gilt weiterhin das organisierte Verbrechen, während das eingeschätzte Risiko durch Hacktivisten leicht zurückgeht. Für knapp die Hälfte wäre Datenverlust und Datenschutzverletzungen die gravierendste Folge eines Angriffs, gefolgt von Betriebsunterbrechungen und finanziellen Verlusten. Phishing bleibt mit 71 Prozent die mit Abstand häufigste Angriffsart. Deutlich zugenommen haben Malware-Angriffe, danach folgen Ransomware, Passwortangriffe und DDoS-Attacken.
Am häufigsten getroffen werden Kommunikations- und Kollaborationsservices: Knapp die Hälfte aller Angriffe zielt auf diesen Bereich, gefolgt von Daten- und Speicherservices sowie Arbeitsplatz- und Enduser-Services. Erpressungsversuche sind dabei leicht zurückgegangen: 19 Prozent der bereits betroffenen Unternehmen wurden zu Geldzahlungen aufgefordert, nach 27 Prozent im Vorjahr.
Der Einsatz von KI
Bei der finanziellen Absicherung herrscht hingegen Stillstand – wie schon 2025 hat nur knapp jeder Zweite (45 Prozent) eine Versicherung gegen digitale Risiken abgeschlossen. Bei der Aufdeckung gewinnen interne Mechanismen an Bedeutung. Besonders stark stiegen unternehmensexterne Hinweise an – von zwei Prozent im Vorjahr auf 13 Prozent. Zu den wirksamsten Maßnahmen gegen Cyberangriffe gehören regelmäßige Schwachstellen-Tests und rund 70 Prozent der Betriebe tun das auch regelmäßig.
Der Einsatz von KI in der Cyberabwehr nimmt zu: 2026 setzt bereits jedes fünfte Unternehmen (20 Prozent) entsprechende Technologien ein, nach 15 Prozent im Vorjahr. Genutzt wird KI vor allem zur Anomalieerkennung, zur automatisierten Sicherheitsüberwachung und zur Bedrohungsanalyse. Die Hälfte der Unternehmen ohne KI-Einsatz plant derzeit keinen Einstieg. Als größte Hürde bei der Implementierung gelten Bedenken bei Datenschutz und Ethik, während Kosten und der Mangel an qualifiziertem Personal an Bedeutung verlieren.
Große Orientierungslosigkeit bei NIS‑2 Richtlinie
Beim Thema Risikomanagement zeigen sich die Unternehmen organisiert: Knapp 80 Prozent erfassen ihre IT- und Cyber-Risiken zumindest teilweise systematisch. Umso größer ist der Kontrast beim Thema NIS‑2, wo weiterhin erhebliche Unsicherheit herrscht: 44 Prozent der Betriebe können nicht einschätzen, ob und in welcher Form sie von der Richtlinie betroffen sind. 61 Prozent geben zudem an, die Fristen nicht zu kennen. Nur 22 Prozent sehen sich vollständig informiert und fristenkonform. Entsprechend gering ist der Umsetzungsstand: bei 70 Prozent der Unternehmen ist bislang in keinem der zentralen NIS-2-Maßnahmenbereiche die Umsetzung abgeschlossen.
Besonders kleinere Unternehmen mit einem Umsatz von weniger als zehn Millionen Euro kämpfen mit der Umsetzung (74 Prozent). Bei umsatzstärkeren Unternehmen fehlt nur bei knapp jedem zweiten ein abgeschlossenes Maßnahmenpaket. „NIS‑2 ist nicht nur regulatorische Pflicht, sondern eine Chance, die eigene Resilienz auf ein neues Niveau zu heben. Dass viele Unternehmen ihre Betroffenheit nicht einmal einschätzen können, ist alarmierend“, betont Gottfried Tonweber, Leiter Cybersecurity bei EY Österreich. „Hier braucht es dringend Klarheit und konkrete Umsetzungsschritte!“ (red/czaak)