Cyberangriffe nehmen zu – jedes dritte Unternehmen in Österreich war bereits betroffen

Kriminalität

Cyberangriffe nehmen zu – jedes dritte Unternehmen in Österreich war bereits betroffen

EY-Report zeigt: Obwohl die Angriffe zunehmen, sinkt die Einschätzung des Risikos. Phishing dominiert bei Angriffen, Malware-Attacken legen deutlich zu

Bettina Pfluger

Wien – Cyberangriffe zählen weiterhin zu den größten Bedrohungen für Unternehmen. Während 2025 noch 47 Prozent der Entscheider in Österreich das Risiko eines Cyberangriffs als hoch einschätzten, ist dieser Anteil 2026 auf 38 Prozent gesunken – und liegt damit annähernd auf dem Niveau von 2024 (35 Prozent). Die tatsächliche Bedrohungslage entwickelt sich jedoch in die andere Richtung: 36 Prozent der Unternehmen hatten in den vergangenen fünf Jahren konkrete Hinweise auf Angriffe auf ihre Netzwerke und Daten – ein Plus von vier Prozentpunkten gegenüber dem Vorjahr. Das zeigt eine Umfrage der Prüfungs- und Beratungsorganisation EY Österreich für die im April 2026 insgesamt 200 Geschäftsführer sowie Führungskräfte aus den Bereichen IT-Sicherheit und Datenschutz von österreichischen Unternehmen ab 20 Mitarbeitenden befragt worden sind.

Besonders auffällig: Unternehmen, die KI-Technologien in der Cybersecurity einsetzen, registrieren mit rund 65 Prozent weit häufiger Hinweise auf Angriffe als Unternehmen ohne KI-Einsatz (29 Prozent).

"Gefährlicher Trugschluss"

82 Prozent aller Befragten erwarten zudem, dass die Bedeutung von Cyberangriffen künftig weiter zunehmen wird. „Dass die wahrgenommene Gefahr sinkt, während die tatsächlichen Vorfälle steigen, ist ein gefährlicher Trugschluss. Wer KI gezielt einsetzt, erkennt deutlich mehr Angriffe – und Sichtbarkeit ist der erste Schritt zu wirksamer Abwehr“, so Gottfried Tonweber, Partner und Leiter Cybersecurity bei EY Österreich.

Bei den Schutzmaßnahmen zeigt sich ein positiver Trend: Jede abgefragte Sicherheitsmaßnahme wird 2026 häufiger eingesetzt als in den Jahren zuvor. Firewalls und Antivirus-Software sind mit 97 Prozent nahezu flächendeckend im Einsatz, gefolgt von regelmäßigen Sicherheitsupdates (92 Prozent) und mehrstufiger Authentifizierung (88 Prozent). Besonders stark gewachsen sind Notfallpläne und Incident-Response-Teams, die von 57 Prozent im Vorjahr auf 73 Prozent zulegten, ebenso wie automatisierte Überwachungsmechanismen (70 Prozent) und regelmäßige Sicherheitsaudits (68 Prozent).

Sensibilisierung der Mitarbeiter

Die eingesetzten Maßnahmen gelten dabei als weitgehend ausgereift und erreichen auf einer Skala bis fünf Reifegrade zwischen 4,1 und 4,4. Auch organisatorisch wird aufgerüstet: 83 Prozent setzen auf die Sensibilisierung der Mitarbeiter, jeweils 80 Prozent auf Awareness-Maßnahmen und die Modernisierung der IT-Infrastruktur. Knapp die Hälfte der Unternehmen (48 Prozent) berücksichtigt dabei bereits aktuelle Bedrohungen wie Deepfakes oder den Umgang mit KI-Angriffen, ein weiteres Viertel (23 Prozent) plant dies – die umsatzstärksten Unternehmen (ab 51 Mio. Euro) sind hier mit 100 Prozent Vorreiter.

Entsprechend zuversichtlich sind die Unternehmen: 87 Prozent fühlen sich auf künftige Bedrohungen (sehr) gut vorbereitet. Bei den Budgets bleibt die Lage hingegen angespannt. Mehr als 40 Prozent der Unternehmen investieren weniger als 25.000 Euro jährlich in Cybersecurity, sechs Prozent verfügen über kein gesondertes Budget und 32 Prozent können ihre Ausgaben nicht beziffern. Nur rund ein Viertel (28 Prozent) plant in den kommenden zwei Jahren zumindest eine leichte Erhöhung – die Mehrheit der Budgets bleibt unverändert.

"Dass praktisch jede Sicherheitsmaßnahme an Verbreitung gewinnt, ist ein ermutigendes Signal", sagt Bernhard Zacherl, Director im Bereich Cybersecurity bei EY Österreich. Doch ohne ausreichende, gezielt eingesetzte Mittel lasse sich das erreichte Schutzniveau auf Dauer kaum halten. "Cybersicherheit ist ein Dauerinvestment, kein einmaliges Projekt", sagt Zacherl.

Phishing dominiert

Als gefährlichste Tätergruppe gilt – wie schon 2025 – das organisierte Verbrechen, während das eingeschätzte Risiko durch Hacktivisten leicht zurückgeht. Käme es zum Ernstfall, fürchten die Unternehmen vor allem Datenverlust und Datenschutzverletzungen: Für knapp die Hälfte (48 Prozent) wäre das die gravierendste Folge eines Angriffs, gefolgt von Betriebsunterbrechungen (26 Prozent) und finanziellen Verlusten (23 Prozent).

Phishing bleibt mit 71 Prozent die mit Abstand häufigste Angriffsart und liegt damit nahezu auf Vorjahresniveau (73 Prozent). Deutlich zugenommen haben hingegen Malware-Angriffe, die von 44 auf 52 Prozent sprangen. Es folgen Ransomware (21 Prozent), Passwortangriffe (18 Prozent) und DDoS-Attacken (17 Prozent). Am häufigsten getroffen werden Kommunikations- und Kollaborationsservices: Knapp die Hälfte aller Angriffe (46 Prozent) zielt auf diesen Bereich, gefolgt von Daten- und Speicherservices (35 Prozent) sowie Arbeitsplatz- und Enduser-Services (31 Prozent).

Erpressungsversuche sind dabei leicht zurückgegangen: 19 Prozent der bereits betroffenen Unternehmen wurden zu Geldzahlungen aufgefordert, nach 27 Prozent im Vorjahr. Bei der finanziellen Absicherung herrscht hingegen Stillstand – wie schon 2025 hat nur knapp jeder Zweite (45 Prozent) eine Versicherung gegen digitale Risiken abgeschlossen.

Die gute Nachricht: 70 Prozent stufen den schwersten Vorfall der vergangenen fünf Jahre als gering ein, und 95 Prozent der betroffenen Unternehmen konnten den Betrieb innerhalb weniger Tage wiederherstellen, 78 Prozent davon sogar innerhalb eines Tages. Bei der Aufdeckung gewinnen interne Mechanismen an Bedeutung – das interne Kontrollsystem deckte 59 Prozent der Vorfälle auf (2025: 51 Prozent).

NIS-2 schafft Orientierungslosigkeit

Im laufenden Risikomanagement zeigen sich die Unternehmen durchaus organisiert: Knapp 80 Prozent erfassen ihre IT- und Cyber-Risiken zumindest teilweise systematisch und stützen sich dabei auf ein breites Spektrum aktiver Maßnahmen wie regelmäßige Überprüfungen (82 Prozent) und Risikoanalysen (76 Prozent). Umso größer ist der Kontrast beim Thema NIS-2, wo weiterhin erhebliche Unsicherheit herrscht: 44 Prozent der Unternehmen können nicht einschätzen, ob und in welcher Form sie von der Richtlinie betroffen sind. Auch der vorgegebene Fristenlauf ist überwiegend unbekannt: 61 Prozent geben an, die Fristen nicht zu kennen, nur 22 Prozent sehen sich vollständig informiert und fristenkonform.

Entsprechend gering ist der Umsetzungsstand – bei 70 Prozent der Unternehmen ist bislang in keinem der zentralen NIS-2-Maßnahmenbereiche die Umsetzung weitgehend abgeschlossen. Besonders kleinere Unternehmen mit einem Umsatz von weniger als zehn Millionen Euro kämpfen mit der Umsetzung (74 Prozent), bei umsatzstärkeren Unternehmen fehlt nur bei knapp jedem zweiten ein abgeschlossenes Maßnahmenpaket (47 Prozent). Die einzelnen Bereiche wie Risikoanalyse und Sicherheitskonzept, Schulungen und Managementverantwortung oder Kryptographie- und Zugangskontrollen werden auf durchwegs niedrigem Niveau bearbeitet.

"NIS-2 ist nicht nur regulatorische Pflicht, sondern eine Chance, die eigene Resilienz auf ein neues Niveau zu heben", sagt Tonweger. Dass viele Unternehmen ihre Betroffenheit nicht einmal einschätzen können, sei jedoch alarmierend. (Bettina Pfluger, 1.9.2026)

Forum: 8 Postings

Ihre Meinung zählt.

Die Kommentare im Forum geben nicht notwendigerweise die Meinung der Redaktion wieder. Die Redaktion behält sich vor, Kommentare, welche straf- oder zivilrechtliche Normen verletzen, den guten Sitten widersprechen oder sonst dem Ansehen des Mediums zuwiderlaufen (siehe ausführliche Forenregeln), zu entfernen. Benutzer:innen können diesfalls keine Ansprüche stellen. Weiters behält sich die STANDARD Verlagsgesellschaft m.b.H. vor, Schadenersatzansprüche geltend zu machen und strafrechtlich relevante Tatbestände zur Anzeige zu bringen.