Rasanter Anstieg von Cyberangriffen auf Unternehmen
2024 war bereits jedes dritte österreichische Unternehmen von Cyber-Attacken betroffen. Fast die Hälfte der Betriebe sehen hohes Risiko. Bei adäquaten Abwehrmaßnahmen gibt es Aufholbedarf und das inkludiert auch den Einsatz von KI, so neue EY-Studie.
Cyberangriffe sind heute eine der größten Bedrohungen für Unternehmen weltweit. Während 2024 lediglich 35 Prozent der Entscheider in Österreich das Risiko eines Cyberangriffs als hoch einschätzten, ist dieser Anteil 2025 auf 47 Prozent gestiegen.
Noch klarer zeigt sich die Realität bei den Vorfällen: 32 Prozent der Unternehmen hatten in den letzten fünf Jahren konkrete Hinweise auf Angriffe, ein Plus von zehn Prozentpunkten gegenüber dem Vorjahr. Besonders große Unternehmen sind betroffen: In der Umsatzklasse über 51 Mio. Euro berichten 33 Prozent von wiederholten Angriffen.
Vielen Betrieben fehlt ganzheitliche Strategie
90 Prozent aller Befragten erwarten zudem, dass sich die Bedrohungslage künftig weiter verschärfen wird. Das sind Ergebnisse einer Studie der Prüfungs- und Beratungsorganisation EY Österreich, wo 200 Führungskräfte aus den Bereichen IT-Sicherheit und Datenschutz von österreichischen Unternehmen ab 20 Mitarbeitern befragt wurden. „Unternehmen müssen Cybersicherheit endlich als Teil ihrer Geschäftsstrategie begreifen – wer zu spät reagiert, riskiert finanzielle Schäden und Vertrauensverlust“, sagt Gottfried Tonweber, Leiter Cybersecurity und Partner bei EY Österreich.
Trotz der hohen Risikowahrnehmung fehlt vielen Unternehmen eine klare Gesamtstrategie für Cybersicherheit. Maßnahmen werden punktuell umgesetzt, doch ein strukturierter Fahrplan ist selten vorhanden. Ohne strategischen Rahmen bleiben Investitionen unkoordiniert – und die Wirksamkeit der Abwehr gering. Die fehlende Steuerung zeigt sich besonders bei den Budgets. 34 Prozent der Unternehmen verfügen über kein festes Cybersecurity-Budget, weitere 42 Prozent können ihre Ausgaben nicht beziffern. Nur neun Prozent investieren mehr als 25.000 Euro jährlich in IT-Sicherheit.
Budgeterhöhungen für Cybersicherheit geplant
Bei den kriminellen Methoden ist Phishing mit 73 Prozent die am häufigsten genannte Angriffsart. Malware (44 Prozent) und Ransomware (19 Prozent) folgen. Auffällig ist, dass organisatorische Gegenmaßnahmen oft fehlen: Nur 57 Prozent der Unternehmen haben Notfallpläne oder Abwehr-Teams eingerichtet. 38 Prozent der Angriffe betreffen Finanz- und Kreditabteilungen, 30 Prozent den Vertrieb, 25 Prozent das Management. Auch das Personalwesen (24 Prozent) ist zunehmend gefährdet.
„Phishing-Mails sind oft der Türöffner für weitergehende Attacken. Ohne strukturierte Notfallpläne verlieren Unternehmen im Ernstfall wertvolle Zeit – und riskieren, dass ein lokaler Vorfall zur systemweiten Krise eskaliert“, erklärt Tonweber. Regelmäßige Schwachstellen-Tests gehören zu den effektivsten Maßnahmen gegen Cyberangriffe. Dennoch verzichten 31 Prozent der Unternehmen vollständig darauf. Nur 13 Prozent testen monatlich, 29 Prozent einmal jährlich. Insgesamt führen nur 61 Prozent Penetrationstests oder Audits durch. Diese Versäumnisse stehen im Widerspruch zur hohen Risikowahrnehmung.
KI zur Cyberabwehr noch Nischenthema
Trotz der zunehmenden Bedrohung setzen bis dato nur 15 Prozent der Unternehmen auf KI-Technologien zur Abwehr von Cyberangriffen. Diese Zahl ist zwar ein kleiner Anstieg im Vergleich zum Vorjahr (12 Prozent), bleibt jedoch insgesamt niedrig. Die häufigste Verwendung von KI liegt in der automatisierten Sicherheitsüberwachung und Anomalieerkennung.
Fast jedes dritte Unternehmen plant aber den Einstieg, davon elf Prozent bereits mit konkreten Projekten. Faktoren, die die Anwendung von KI in der Cyberabwehr einschränken, sind Bedenken bei Datenschutz und Ethik (28 Prozent) sowie hohe Implementierungskosten (21). Auch der Mangel an qualifiziertem Personal (14 Prozent) wird als Herausforderung angesehen.
Die Situation beim Thema NIS‑2 Richtlinie
Ein Viertel der befragten Unternehmen ist zudem direkt oder indirekt von der neuen NIS2-Richtlinie betroffen. Von diesen haben zwar 70 Prozent begonnen, die Vorgaben umzusetzen, aber erst 25 Prozent haben die Anforderungen vollständig erfüllt. Besonders weit sind Unternehmen bei technischer Sicherheit (67 Prozent), Personalsicherheit (61) und Risikomanagement (58).
Gleichzeitig kennen 47 Prozent der Befragten die Details der Richtlinie noch nicht. „NIS2 ist nicht nur regulatorische Pflicht, sondern Chance, Sicherheitsstandards auf ein neues Niveau zu heben. Wer hier proaktiv handelt, stärkt nicht nur die Compliance, sondern die gesamte Resilienz des Unternehmens“, so Gottfried Tonweber, Leiter Cybersecurity und Partner bei EY Österreich. (red/czaak)