Report: Aphos Cyberlage 2026 – IT-Sicherheit in Mittelstand und öffentlichem Sektor

Künstliche Intelligenz ist im Maschinenraum der Angreifer angekommen, und die Verteidiger spüren es bereits. In der Aphos Cyberlage 2026 geben 81 Prozent der befragten Organisationen an, schon KI-Angriffsversuche bemerkt zu haben. Allen voran auffällig professionell formulierte Phishing-Mails.

Für die Aphos Cyberlage 2026 haben wir 31 Verantwortliche aus IT, Security und Geschäftsführung in Deutschland befragt, überwiegend aus Dienstleistung, Industrie, Gesundheitswesen und öffentlicher Verwaltung. Die Erhebung ist bewusst kein repräsentatives Branchenbarometer, sondern ein Praxis-Stimmungsbild. Es zeigt, dass die Angreifer mit KI aufrüsten und längst nicht mehr nur auf die Firewall zielen, sondern auf Identitäten, Cloud und Lieferketten.

Die wichtigsten Erkenntnisse der Cyberlage 2026 im Überblick

Die Befragung liefert ein erstaunlich klares Bild. Die folgenden Punkte fassen die zentralen Ergebnisse der Aphos Cyberlage 2026 zusammen.

KI-Angriffe auf Unternehmen: vom Zukunftsthema zum Angriffsalltag

81 Prozent bemerken bereits KI-gestützte Angriffsversuche

KI ist von der Zukunftssorge zum Angriffsalltag geworden. 81 Prozent der Befragten haben bereits Angriffsversuche bemerkt, die auf KI hindeuten, allen voran auffällig professionell formulierte Phishing-Mails. Bei jeder vierten Organisation (26 Prozent) war der KI-Bezug sogar eindeutig erkennbar. Sprachliche Fehler taugen nicht mehr als Warnsignal.

KI-Phishing trifft Unternehmen fehlerfrei und in Sekunden

Die Wahrnehmung ist nahezu einstimmig. 97 Prozent sehen die Bedrohungslage durch KI spürbar bis sehr stark verändert, für jede zweite Organisation sogar sehr stark. Entsprechend weit oben stehen KI-gestützte Angriffe im Ranking. Besonders glaubwürdige Köder entstehen beim klassischen Phishing und vor allem beim gezielten Spear Phishing, das KI auf ein neues Niveau hebt.

KI macht überzeugende Angriffe billig. Vier von fünf Organisationen sehen bereits Phishing- und Betrugsversuche mit deutlicher KI-Handschrift. Was früher an holprigem Deutsch scheiterte, kommt heute fehlerfrei und in Sekunden. Darauf antwortet man nicht mit mehr Mauern, sondern mit schnellerer Erkennung.

Roman Jacobi, Geschäftsführer, Aphos Gesellschaft für IT-Sicherheit mbH

<img src="https://aphos.de/images/charts/cyberlage-2026-ki-bedrohungslage.jpg" alt="Wie stark verändert KI die Bedrohungslage – Aphos Cyberlage 2026" width="720">
<p>Quelle: <a href="https://aphos.de/cyberlage-2026">Aphos Cyberlage 2026</a></p>

Welche KI-Risiken die Befragten besonders fürchten

Hinter der wachsenden KI-Bedrohung stehen konkrete Mechaniken. Gefragt, welche KI-bezogenen Risiken sie besonders kritisch sehen, nennen die Befragten am häufigsten realistischere Phishing-Mails (94 Prozent), gefolgt von automatisierter Schwachstellensuche (81 Prozent), Deepfakes und CEO-Fraud (74 Prozent) sowie schnellerer Malware-Entwicklung (71 Prozent). Datenabfluss über KI-Tools und der Missbrauch öffentlich verfügbarer Daten liegen mit je 58 Prozent gleichauf.

<img src="https://aphos.de/images/charts/cyberlage-2026-ki-risiken.jpg" alt="Als besonders kritisch gesehene KI-Risiken – Aphos Cyberlage 2026" width="720">
<p>Quelle: <a href="https://aphos.de/cyberlage-2026">Aphos Cyberlage 2026</a></p>

Bedrohungslage 2026: Phishing, KI-Angriffe und Zugangsdaten an der Spitze

Geht es um die kritische Einschätzung der Bedrohungslage insgesamt, so steht auch hier Phishing (und/oder Social Engineering) mit 74 Prozent an der Spitze. KI-gestützte Angriffe liegen auf Platz zwei (68 Prozent), exakt gleichauf mit einem alten Bekannten, den kompromittierten Zugangsdaten (68 Prozent). Direkt darunter folgt die Cloud mit 61 Prozent, und jede zweite Organisation rechnet mit dem Angriff über Lieferkette oder Dienstleister (52 Prozent). Damit drehen sich gleich mehrere der größten Sorgen um die Identität, nicht um das Netzwerk.

<img src="https://aphos.de/images/charts/cyberlage-2026-bedrohungsranking.jpg" alt="Bedrohungs-Ranking 2026 nach Anteil der Befragten – Aphos Cyberlage 2026" width="720">
<p>Quelle: <a href="https://aphos.de/cyberlage-2026">Aphos Cyberlage 2026</a></p>

Das Einfallstor hat sich verschoben, vom Perimeter zum Login. Ein gestohlenes Konto öffnet heute die Cloud, ohne dass eine einzige Mauer fällt, und genau dort liegen die Daten. Begrenzen lässt sich der seitliche Vormarsch nach einem solchen Erstzugriff durch konsequente Netzwerksegmentierung, die Lateral Movement innerhalb des Netzes ausbremst.

Identität und Zugangsdaten als zentrales Einfallstor

Kompromittierte Zugangsdaten fast gleichauf mit Phishing

Die Identität ist nicht neu als Angriffsziel, ihre Brisanz hat aber spürbar zugenommen. Die klassische Vorstellung vom Angriff, der an der Firewall abprallt, passt nicht mehr zur Realität. Kompromittierte Zugangsdaten zählen mit 68 Prozent zu den am häufigsten genannten kritischen Bedrohungen, praktisch gleichauf mit Phishing und auf einer Stufe mit KI-gestützten Angriffen. Massenhaft erbeutete Login-Daten aus früheren Leaks befeuern diese Lage zusätzlich und machen Credential Stuffing zu einem zentralen Treiber. Wie schnell aus erbeuteten Daten ein realer Vorfall wird, zeigt auch der jüngst dokumentierte FortiBleed-Vorfall mit massenhaft abgegriffenen Zugangsdaten.

Cloud und Microsoft 365 als große Sorge

Parallel rückt die Cloud in den Fokus. 61 Prozent fürchten Angriffe auf Microsoft 365 und Cloud-Dienste, also genau dort, wo heute die Geschäftsdaten liegen. Pflicht ist dabei eine saubere Absicherung der M365-Mailflows mit SPF, DKIM und DMARC. Und jede zweite Organisation (52 Prozent) rechnet mit dem Angriff über die Lieferkette, also über ein Vertrauensverhältnis, das sich technisch kaum härten lässt. Gerade hier rückt die Absicherung von Dienstleister-Zugängen in den Vordergrund, ein Kernthema der NIS-2-Umsetzung.

In Kundengesprächen hat sich die erste Frage verschoben, weg von „Steht die Firewall?“ hin zu „Wer bewegt sich eigentlich gerade in meinen Systemen?“. Wenn 68 Prozent kompromittierte Zugangsdaten fürchten, ist die Identität das eigentliche Schutzgut, und genau dorthin verschieben sich die Investitionen.

Sebastian Geide, Chief Sales Officer, Aphos Gesellschaft für IT-Sicherheit mbH

Identitätsschutz und Zero Trust als Antwort

Antworten auf diese Verschiebung sind ein konsequenter Zero-Trust-Ansatz und gezielter Identitätsschutz. Verdächtige Anmeldungen und kompromittierte Konten lassen sich mit spezialisierten Verfahren zur Identitätserkennung (ITDR) aufspüren, bevor aus einem gestohlenen Passwort ein Vorfall wird.

Erkennungslücke im Mittelstand: starker Grundschutz, schwache Detection

Grundschutz nahezu flächendeckend, Selbstbild positiv

Das Selbstbild der Befragten ist gut. 55 Prozent schätzen ihren Cybersecurity-Reifegrad als eher oder sehr hoch ein, nur 16 Prozent als eher niedrig. Doch dieses solide Selbstvertrauen trifft im weiteren Verlauf der Auswertung auf einige unbequeme Lücken. Beim Grundschutz macht der Mittelstand seine Hausaufgaben, danach bricht die Kurve ein. Backup (97 Prozent), Firewall (94 Prozent) und E-Mail-Security (87 Prozent) gehören praktisch überall dazu. Moderne, erkennungsorientierte Verfahren bleiben die Ausnahme. Managed Detection (MDR) erreicht 42 Prozent, XDR 39 und Netzwerk-Erkennung (NDR) nur 35.

<img src="https://aphos.de/images/charts/cyberlage-2026-erkennungsluecke.jpg" alt="Eingesetzte Sicherheitsmaßnahmen und Erkennungslücke – Aphos Cyberlage 2026" width="720">
<p>Quelle: <a href="https://aphos.de/cyberlage-2026">Aphos Cyberlage 2026</a></p>

Unsicherheit über die eigene Vorfallslage

Genau hier liegt das strategische Problem. Backup und Firewall halten Mauern hoch und stellen nach einem Treffer wieder her, aber sie sehen den Angreifer nicht, der gerade durch die Vordertür spaziert, schon gar nicht, wenn er mit KI-Tempo arbeitet. Dazu passt, dass 19 Prozent für die letzten 24 Monate nicht sicher sagen können, ob es einen relevanten Vorfall gab. Ob das an fehlender Sichtbarkeit oder an der eigenen Rolle im Unternehmen liegt, lässt die Befragung offen. Klar ist aber, je weniger transparent die Lage, desto schwerer fällt eine schnelle Reaktion.

Backup und Firewall haben fast alle, das ist gut, reicht aber nicht. Wenn nur 16 Prozent sich „sehr gut“ vorbereitet fühlen und fast jeder Fünfte nicht sagen kann, ob er betroffen war, ist das die eigentliche Lücke. Sicherheit entscheidet sich daran, wie schnell man einen laufenden Angriff sieht.

Roman Jacobi, Geschäftsführer, Aphos Gesellschaft für IT-Sicherheit mbH

MDR, XDR und NDR schließen die Erkennungslücke

Die Antwort auf die Erkennungslücke sind erkennungsorientierte Dienste. Managed Detection and Response (MDR) und XDR setzen dabei an unterschiedlichen Punkten an, das eine als betreuter Service mit eigenem Analyseteam, das andere als Zusammenführung von Telemetrie aus mehreren Quellen. Für Organisationen ohne eigenes Security Operations Center ist MDR der naheliegende Einstieg in eine Detection rund um die Uhr.

KI-Governance: Unternehmen ohne Regeln für KI-Tools

Auffällig ist eine hausgemachte Lücke. Fast alle sehen die Gefahr durch KI, aber nur 29 Prozent haben verbindliche Regeln für den eigenen Umgang mit KI-Tools, 32 Prozent gar keine. Zwei Drittel arbeiten also mit halben oder ohne Vorgaben. Wo Mitarbeitende KI ungeregelt nutzen, wandern Unternehmensdaten unkontrolliert in fremde Dienste ab.

<img src="https://aphos.de/images/charts/cyberlage-2026-ki-paradox.jpg" alt="KI-Paradox: 97 Prozent sehen die Gefahr, 29 Prozent haben Regeln – Aphos Cyberlage 2026" width="720">
<p>Quelle: <a href="https://aphos.de/cyberlage-2026">Aphos Cyberlage 2026</a></p>

Hier geht es nicht um die Angreifer, sondern um den eigenen Umgang mit KI. Wer KI-Tools im Unternehmen ohne Leitplanken laufen lässt, riskiert, dass sensible Daten in fremden Diensten landen. 97 Prozent sehen das Risiko, aber nur 29 Prozent haben Regeln. Das ist ein Führungs-, kein Technikthema.

Roman Jacobi, Geschäftsführer, Aphos Gesellschaft für IT-Sicherheit mbH

Ransomware-Schutz, Budget und IT-Komplexität im Mittelstand

Ransomware-Vorbereitung zwischen Optimismus und Realität

Bei Ransomware klaffen Selbstbild und geprüfte Realität auseinander. 55 Prozent halten sich für gut oder sehr gut gerüstet, aber nur 16 Prozent trauen sich das Prädikat sehr gut zu. Die Mehrheit verlässt sich auf ein gutes Gefühl, das im Ernstfall selten getestet wurde. Im Licht der Erkennungslücke ist dieses Selbstvertrauen mit Vorsicht zu genießen, denn ein Ransomware-Angriff trifft die unvorbereiteten Stellen zuerst.

Budget und gewachsene IT als größte Bremsen

Die Bremsen sind klassische Mittelstands-Themen, allen voran Geld und Komplexität, dann erst Personal. Größter Engpass ist zu wenig Budget (52 Prozent), dicht gefolgt von über Jahre gewachsener IT, die niemand mehr ganz überblickt (48 Prozent). Danach kommen Personalmangel und zu viele Parallelprojekte (je 35 Prozent). Sicherheit scheitert hier seltener am Willen als an Ressourcen und gewachsener Infrastruktur.

Tabelle: Engpässe im Bereich Cybersicherheit

Managed Security als klarer Trend im Mittelstand

Externe Unterstützung ist Normalität geworden. 61 Prozent der Befragten setzen auf externe Security-Services, für 35 Prozent sind sie bereits zentraler Bestandteil der Strategie. Dahinter steht ein klarer Trend zu Managed Security im Mittelstand, weil sich Bedrohungserkennung rund um die Uhr intern kaum noch leisten lässt, erst recht nicht gegen Angriffe im KI-Tempo. Auch der laufende Betrieb von Firewall und Endpoint wandert zunehmend zu spezialisierten Dienstleistern.

61 Prozent setzen heute auf externe Security-Services, für gut jeden Dritten sind sie bereits zentral. Das ist kein Trend mehr, das ist die neue Normalität. Erkennung rund um die Uhr lässt sich intern kaum noch leisten, erst recht nicht gegen Angriffe im KI-Tempo.

Sebastian Geide, Chief Sales Officer, Aphos Gesellschaft für IT-Sicherheit mbH

NIS-2 und die unterschätzte Regulatorik

Beim Thema Regulatorik fühlen sich 52 Prozent eher oder sehr sicher, während 23 Prozent regulatorische Anforderungen für sich aktuell als nicht wesentlich einstufen. Ob das zutrifft, hängt vom Einzelfall ab, denn nicht jede befragte Organisation fällt unter NIS-2. Angesichts der schrittweisen Ausweitung des Betroffenenkreises lohnt aber eine Prüfung des eigenen Status. Welche Organisationen konkret unter die Pflichten des NIS-2-Umsetzungsgesetzes fallen, ist vielerorts noch offen. Den breiteren Kontext zeichnet die Lage der Cybersicherheit in Deutschland 2026, ergänzt um die Taktiken aktiver Angreifer aus dem Sophos Active Adversary Report 2026.

Cybersicherheit 2026: Handlungsempfehlungen für Entscheider

Aus den Befunden der Aphos Cyberlage 2026 lassen sich konkrete Handlungsfelder ableiten. Sie folgen der Logik der Daten, weil sich Bedrohung und Steuerung schneller professionalisieren, als Erkennung in den Organisationen nachzieht.

• Identität zum Schutzgut erster Ordnung machen. Konsequente Multi-Faktor-Authentifizierung, Conditional Access und gezielter Identitätsschutz schließen das größte Einfallstor.
• Die Erkennungslücke schließen. Wer Backup und Firewall hat, aber keine 24-7-Erkennung über MDR oder XDR, sieht laufende Angriffe nicht. Detection gehört auf dieselbe Prioritätsstufe wie Prävention.
• KI-Governance etablieren. Verbindliche Regeln für den Einsatz von KI-Tools verhindern unkontrollierten Datenabfluss und gehören auf die Führungsebene.
• Mensch und Prozess härten. KI-Phishing wird perfekt, deshalb verschiebt sich Awareness vom Rechtschreib-Check zur Verhaltens- und Prozessfrage. Bausteine sind regelmäßige Awareness-Trainings und realistische Phishing-Simulationen.
• Cloud und E-Mail absichern. M365-Härtung, sauberes DMARC und moderne E-Mail-Sicherheit nehmen dem KI-Phishing seine Wirkung.
• Wiederanlauf testen statt vermuten. Ein nie geprobter Restore ist kein Wiederanlauf. Ransomware-Vorbereitung wird erst durch regelmäßige Tests belastbar.

Fazit

Die Aphos Cyberlage 2026 zeichnet ein konsistentes Bild. KI ist im Angriffsalltag angekommen, das Einfallstor hat sich von der Firewall zur Identität verschoben, und ein hohes Selbstvertrauen trifft auf eine reale Erkennungslücke. Grundschutz ist breit vorhanden, doch ohne moderne Erkennung bleibt der laufende Angriff unsichtbar. Wer die drei Hebel Identitätsschutz, Erkennung und KI-Governance jetzt angeht, verschafft sich genau dort einen Vorsprung, wo die Daten die größte Lücke zeigen. Die kleine, nicht repräsentative Stichprobe von 31 Antworten liefert kein Branchenbarometer, aber ein erstaunlich eindeutiges Stimmungsbild aus der Praxis.