Einmal im Jahr legt das Bundesamt für Sicherheit in der Informationstechnik (BSI) seinen Lagebericht vor — die nüchternste, belastbarste Bestandsaufnahme der IT-Sicherheit in Deutschland. Die Ausgabe 2025 (Berichtszeitraum Juli 2024 bis Juni 2025) liest sich für den Mittelstand wie ein Weckruf. Nicht wegen einzelner Schlagzeilen, sondern wegen einer Zahl: 80 Prozent.
Die Zahlen, die zählen
Das BSI dokumentiert für den Berichtszeitraum 950 registrierte Ransomware-Angriffe — und rund 80 Prozent davon richteten sich gegen kleine und mittlere Unternehmen. Bei 72 Prozent der angezeigten Fälle wurden die Daten zusätzlich abgegriffen und mit Veröffentlichung gedroht (sogenannte doppelte Erpressung).
Dazu kommt das Mengengerüst: rund 119 neue Sicherheitslücken pro Tag — ein Anstieg von 24 Prozent gegenüber dem Vorjahr — und etwa 280.000 neue Schadprogrammvarianten täglich. Die ergänzende Bitkom-Wirtschaftsschutzstudie 2025 beziffert den jährlichen Gesamtschaden durch Cyberangriffe, Sabotage und Spionage auf 289,2 Milliarden Euro; 87 Prozent der befragten Unternehmen waren betroffen.
Die Frage ist nicht mehr ob.
Sondern wann — und wie gut vorbereitet.
Warum gerade der Mittelstand im Fokus steht
Die Logik der Angreifer ist betriebswirtschaftlich: Konzerne haben Sicherheitsteams, KMU oft nicht. Mittelständler verfügen über wertvolle Daten und zahlungsfähige Kunden, aber häufig über dünn besetzte oder ganz fehlende IT-Sicherheitsstrukturen. Das macht sie zum effizientesten Ziel — viel Wirkung bei wenig Widerstand.
Fünf Maßnahmen, die jetzt zählen
Der Lagebericht ist kein Grund zur Panik, sondern zum Handeln. Fünf Punkte mit dem besten Verhältnis aus Aufwand und Wirkung:
- Mehrstufige, unveränderbare Backups — und regelmäßig getestete Wiederherstellung.
- Multi-Faktor-Authentifizierung überall, wo es geht — besonders bei Microsoft 365 und VPN.
- Verhaltensbasierter Endpoint-Schutz (EDR) statt reinem Virenscanner.
- Gepatchte Systeme — die meisten Angriffe nutzen bekannte, längst geschlossene Lücken.
- Sensibilisierte Mitarbeitende — Awareness ist die erste Firewall.
Wer wissen will, wo das eigene Unternehmen steht, beginnt am besten mit einer ehrlichen Bestandsaufnahme — etwa über unseren IT-Check oder die Checks im Security-Hub.
Quellen: BSI, „Die Lage der IT-Sicherheit in Deutschland 2025“; Bitkom, Wirtschaftsschutzstudie 2025.