Cybersecurity-Trends 2026

Die Bedrohungslage in Deutschland ist quantitativ gut dokumentiert. Das BSI registriert im Durchschnitt 119 neue Schwachstellen pro Tag, und der Bitkom-Wirtschaftsschutz 2025 bezifferte den jährlichen Gesamtschaden durch Cyberangriffe auf rund 289 Milliarden Euro. Interessanter als die Zahlen ist aber die Verschiebung dahinter: Was 2023 noch eine Empfehlung war, ist 2026 in mehreren Punkten eine Rechtspflicht oder eine technische Notwendigkeit mit Fristendruck.

1. NIS2 gilt, die Pflicht ist da

Das NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten, und zwar ohne Übergangsfrist für die technischen und organisatorischen Maßnahmen. Die Registrierungsfrist beim BSI endete am 6. März 2026. Betroffen sind rund 29.500 Einrichtungen in 18 Sektoren, zuvor standen etwa 4.500 unter BSI-Aufsicht.

Neu ist vor allem die Verbindlichkeit für den Mittelstand. Als Faustregel gilt: ab 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz in einem regulierten Sektor. Bußgelder reichen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, und die Geschäftsleitung haftet persönlich. Die Meldefristen sind knapp: 24 Stunden Frühwarnung, 72 Stunden Erstmeldung, ein Monat Endbericht.

Was daraus folgt: Zwei der zehn Kernmaßnahmen nach dem neuen BSIG betreffen unmittelbar die Netzwerkbeschaffung, nämlich Lieferketten-Sicherheit und Notfallplanung. Wer Anbindungen einkauft, kauft damit auch Compliance-Nachweise ein oder eben nicht. Trotzdem unterschätzt laut dem Cyber Security Report 2026 rund die Hälfte der befragten Unternehmen die eigene regulatorische Betroffenheit.

2. KI wird zum Akteur, nicht nur zum Werkzeug

Die entscheidende Veränderung der letzten zwölf Monate ist nicht, dass Angreifer KI nutzen. Das taten sie vorher auch. Neu ist, dass KI-Systeme Angriffsschritte selbst ausführen. Das BSI hat am 22. Juni 2026 eine Cybersicherheitswarnung zu den Auswirkungen der KI-Entwicklung auf die Bedrohungslage veröffentlicht, eingeordnet mit Kritikalität 2 von 4. Kernaussage: KI senkt Aufwand, Zeitbedarf und Einstiegshürden für offensive Fähigkeiten. Aus veröffentlichten Patches lässt sich per Patch-Diffing in Minuten bis Stunden ableiten, wie ein Exploit aussehen muss.

Praktische Konsequenz für das Schwachstellenmanagement: CVSS-Base-Scores allein reichen als Priorisierungsgrundlage nicht mehr aus, weil KI mehrere einzeln unkritische Schwachstellen zu einer Angriffskette verbinden kann. Das BSI empfiehlt, um umgebungsabhängiges Risiko zu ergänzen, etwa über die CVSS-4.0-Environmental-Metrik und lückenlose Inventarlisten.

Die zweite Hälfte des Problems ist die eigene KI-Nutzung. Ein Agent, der Kampagnenanalysen automatisiert, braucht Zugriff auf CRM, Mailplattform, Kundendaten und externe APIs. Jeder dieser Zugriffe ist ein potenzieller Angriffspunkt, und Prompt Injection macht daraus einen realistischen Pfad: eine manipulierte E-Mail mit versteckten Anweisungen kann einen Agenten dazu bringen, vertrauliche Inhalte weiterzuleiten. Genau hier setzt Shadow-AI-Governance über SASE an.

3. Post-Quantum: Das Krypto-Inventar wird Pflichtaufgabe

Das BSI hat in der 2026er-Ausgabe der Technischen Richtlinie TR-02102-1 erstmals festgehalten, dass sich Unternehmen nicht mehr allein auf klassische asymmetrische Verschlüsselung verlassen sollten, und setzt dafür einen Zeitrahmen bis 2031. Die NIST-Standards liegen seit August 2024 vor: FIPS 203 für Schlüsselkapselung, FIPS 204 und FIPS 205 für Signaturen. Für die Übergangsphase empfiehlt das BSI hybride Verfahren, die klassische und quantensichere Algorithmen parallel einsetzen.

Der Zeitdruck kommt nicht vom Quantencomputer selbst, sondern von der Vorlaufzeit. Eine Krypto-Migration in einer gewachsenen Infrastruktur ist ein mehrjähriges Vorhaben, und das Risiko läuft schon heute: Bei „Harvest Now, Decrypt Later“ wird verschlüsselter Verkehr heute mitgeschnitten und später entschlüsselt. Für Daten mit langer Vertraulichkeitsdauer ist das relevant, unabhängig davon, wann leistungsfähige Quantencomputer verfügbar sind.

Der erste Schritt ist unspektakulär und wird deshalb oft übersprungen: ein vollständiges Inventar aller kryptografischen Abhängigkeiten. TLS-Zertifikate, VPN-Tunnel, eingebettete SSH-Schlüssel, Anwendungen mit eigener Kryptografie. Ohne dieses Inventar lässt sich nicht priorisieren, und ohne Priorisierung wird die Migration beliebig. Bei Netzwerkdiensten gehört die Frage nach der PQC-Roadmap deshalb ab jetzt in jede Anbieterbewertung.

4. Zero Trust wird operativ statt konzeptionell

Zero Trust ist als Prinzip weitgehend akzeptiert, Gartner-Erhebungen zeigen eine breite Mehrheit von Unternehmen mit begonnener oder teilweise umgesetzter Strategie. Die interessante Differenz liegt zwischen „begonnen“ und „durchgesetzt“. Ein Zero-Trust-Konzept, das an drei Stellen Ausnahmen für Altsysteme macht, ist im Ergebnis ein Perimeter-Modell mit zusätzlichem Aufwand.

Operativ heißt: durchgängige Identitätsprüfung statt standortbasiertem Vertrauen, Least Privilege auch für privilegierte Konten, und konsistente Policy-Durchsetzung unabhängig davon, ob der Zugriff aus der Zentrale, dem Homeoffice oder von einem mobilen Gerät kommt. Genau daran scheitern isolierte Umsetzungen: Wer für jeden Zugriffspfad ein eigenes Regelwerk pflegt, bekommt Inkonsistenzen, die im Störungsfall zum Problem werden.

Der Übergang von klassischen VPN-Strukturen zu Zero Trust ist deshalb weniger eine Produktentscheidung als eine Frage der Betriebsdisziplin. Was hilft, ist eine Architektur, die nur ein Regelwerk kennt.

5. Konsolidierung: SASE und SSE statt Punktlösungen

Der Treiber der Stack-Konsolidierung ist nicht Sicherheit, sondern Betriebsaufwand. Getrennte Systeme für Secure Web Gateway, CASB, ZTNA und DLP bedeuten getrennte Regelwerke, getrennte Logs und im Störungsfall getrennte Supportketten. Gartner erwartet, dass bis 2028 etwa die Hälfte aller neuen SASE-Einführungen auf einen einzigen Anbieter setzt, gegenüber rund 30 Prozent im Jahr 2025.

Technisch verschiebt sich damit die Prüfung von Appliances in eine verteilte Cloud-Fabric mit Single-Pass-Inspection an globalen Points of Presence. Das vermeidet den Latenz-Aufschlag, der entsteht, wenn Verkehr mehrere getrennte Prüfstufen durchlaufen muss. Der Weg dorthin läuft in der Praxis stufenweise, meist beginnend beim Remote-Zugriff.

Der Punkt, der bei Plattformvergleichen regelmäßig untergeht: SASE funktioniert nur so gut wie das Underlay. Eine Plattform mit erstklassiger Policy-Engine nützt wenig, wenn die Anbindung am Standort das Nadelöhr ist. Plattformwahl und Underlay-Beschaffung gehören deshalb getrennt bewertet und gemeinsam entschieden.

6. Resilienz statt reiner Prävention

Das BSI beobachtet, dass Angreifer den Weg des geringsten Widerstandes gehen und sich die Ziele mit dem niedrigsten Schutzniveau aussuchen. Das trifft überproportional kleine und mittlere Unternehmen. Gleichzeitig warnt das BSI vor trügerischer Sicherheit: Die Selbsteinschätzung vieler Unternehmen liegt deutlich über dem tatsächlichen Reifegrad.

Daraus folgt eine Verschiebung der Messgröße. Nicht mehr allein, wie viele Angriffe abgewehrt wurden, sondern wie lange der Betrieb nach einem erfolgreichen Angriff steht. Das ist auch der Punkt, an dem NIS2 und die neuen Regeln der Ausfallsicherheit zusammenlaufen: Notfallplanung ist keine Kür mehr, sondern Teil der geforderten Risikomanagement-Maßnahmen.

Konkret heißt das: redundante Anbindung je Standort, ein getesteter Wiederanlaufplan und die Fähigkeit, arbeitsfähig zu bleiben, während die eigentlichen Systeme wiederhergestellt werden. Für den letzten Punkt gibt es mit Notfallarbeitsplätzen eine Antwort, die sich vorab vertraglich regeln lässt, statt sie im Ernstfall improvisieren zu müssen.