Security-Briefing September 2026: 87% der Unternehmen betroffen, AI-Phishing auf Rekordniveau

Das ist das monatliche Security-Briefing von smetrics für September 2026. Kompakt, praxisnah, ohne Panik — was Ihr Unternehmen im aktuellen Monat wissen muss: Die Bedrohungslage hat sich weiter zugespitzt, KI-generierte Angriffe erreichen ein neues Niveau, und die ersten Ransomware-Gruppen passen ihre Taktik an.

🔴 Das müssen Sie wissen

Bitkom-Studie 2025/26: 87% der deutschen Unternehmen betroffen — Rekordwert erreicht

Was ist passiert?

Die Bitkom-Wirtschaftsschutzstudie 2025 zeigt eine drastische Zahlenlage: 87 Prozent aller deutschen Unternehmen wurden in den vergangenen zwölf Monaten Opfer von Cyberangriffen, digitaler Spionage oder Sabotage. Der Gesamtschaden für die deutsche Wirtschaft beläuft sich auf 289,2 Milliarden Euro pro Jahr — ein neuer Rekordwert.

Von diesen Angriffen entfallen 202,4 Milliarden Euro auf digitale Formen (Datendiebstahl, Sabotage, Cyberspionage), der Rest verteilt sich auf analoge Spionage und physischen Diebstahl. Der Anstieg ist strukturell: Seit mehreren Jahren verschiebt sich die Bedrohungslage weg von seltenen Einzelvorfällen hin zu einem stetigen Angriffsgeschehen, das kaum noch wahrzunehmen ist, solange kein konkreter Vorfall eintritt.

Warum ist das relevant für Ihren Betrieb?

Die Zahl 87% bedeutet nicht, dass 13% von der Bedrohung ausgenommen sind. Sie bedeutet: Cyberangriffe sind zum Standardbetrieb geworden. Wer glaubt, “von uns wird niemand angegriffen”, verkennt die Realität der digitalen Landschaft — deutsche Unternehmen zählen laut BSI zu den weltweit am häufigsten angegriffenen Zielen.

Besonders besorgniserregend: Ein Großteil der angezeigten Ransomware-Angriffe richtet sich gegen kleine und mittlere Unternehmen. KMU gelten für Angreifer als attraktiv, weil oft schwächere Sicherheitsstrukturen herrschen, aber dennoch genug Datenwert vorhanden ist.

Was sollten Sie jetzt prüfen?

1. Schwachstellen-Scan durchführen: Haben Sie einen aktuellen Überblick über Ihre exponierten Systeme (Server, Firewalls, Remote-Zugänge)?
2. Backup-Strategie testen: Funktionieren Ihre Backups wirklich — und sind sie gegen Ransomware gesichert (3-2-1 mit Offline/Kopie)?
3. Mitarbeiter-Sensibilisierung aktualisieren: Wenn Ihre letzte Security Awareness-Schulung länger als 6 Monate zurückliegt, ist der Zeitpunkt gekommen.

Quellen: Bitkom Wirtschaftsschutzstudie 2025 · BSI-Lagebericht IT-Sicherheit 2025

Ransomware professionalisiert sich — 1.041 Anzeigen, aber das Dunkelfeld ist um ein Vielfaches größer

Was ist passiert?

Das Bundeskriminalamt (BKA) verzeichnete im Bundeslagebild Cybercrime 2025 1.041 angezeigte Ransomware-Fälle — ein Anstieg um rund zehn Prozent gegenüber dem Vorjahr. Double Extortion ist dabei zum Standard-Vorgehen geworden: Angreifer verschlüsseln nicht nur die Daten — sie stehlen vorher sensible Informationen und drohen mit Veröffentlichung, falls kein Lösegeld gezahlt wird.

Ein Großteil dieser Angriffe trifft kleine und mittlere Unternehmen. Die Ausfallzeit nach einem erfolgreichen Angriff reicht häufig von mehreren Tagen bis zu mehreren Wochen — für viele Mittelständler existenzbedrohend. Laut Sophos Active Adversary Report 2026 greifen Angreifer im Median bereits nach nur 3,4 Stunden auf Active Directory zu — das ist 70% schneller als noch im Vorjahr.

Professionalisierung zeigt sich auch im “Ransomware-as-a-Service”-Modell: Gruppen wie Qilin, Akira und LockBit stellen ihre Tools anderen Kriminellen zur Verfügung, senken damit die Einstiegshürden drastisch und erweitern das Angriffsvolumen.

Warum ist das relevant für Ihren Betrieb?

Double Extortion bedeutet: Selbst wenn Sie perfekte Backups haben, können Angreifer Ihre Geschäfte erpressen — durch Datenlecks, Compliance-Verstöße oder Reputationsschäden. Die 3,4 Stunden bis zum Active Directory-Zugriff zeigen: Herkömmliche Verteidigung mit manueller Reaktion kommt zu langsam an.

Was sollten Sie jetzt prüfen?

1. Active Directory-Härtung: Sind alle Admin-Konten durch MFA geschützt? Gibt es privilegierte Zugangswege, die nicht überwacht werden?
2. Network Monitoring aktivieren: Erkennt Ihr SOC oder IT-Sicherheitsteam Anomalien in Echtzeit, bevor der Angreifer sich lateral bewegend weiter ausbreitet?
3. Incident-Response-Plan: Steht ein strukturierter Ablauf parat, den Sie im Ernstfall sofort abarbeiten können — ohne Hektik und Ad-hoc-Entscheidungen unter Druck?

Ein Intrusion Detection & SOC-Monitoring erkennt die ersten Indikatoren eines Angriffs Minuten, nicht Tage nach Beginn.

Quellen: BKA Bundeslagebild Cybercrime 2025 · Sophos Active Adversary Report 2026

🟠 Wichtige Patches & Schwachstellen (August/September 2026)

Schwelle: CVSS-Score ≥ 8.0 oder Microsoft-Klassifizierung “Critical” · Nur Patches mit direkter KMU-Relevanz

Wichtigster Hinweis: Die Cisco Firestarter-Kampagne bleibt eine der kritischsten Bedrohungen für den Mittelstand. Ein kompromittiertes Firewall-Gerät ist kein Schutz mehr, sondern ein offenes Einfallstor: Angreifer können Datenverkehr mitlesen, Verbindungen umleiten und sich dauerhaft im Netzwerk festsetzen — selbst nach dem Einspielen offizieller Patches.

Wenn Sie Cisco ASA/Firepower einsetzen: Gerät isolieren, Logs auf Anomalien prüfen (ungewöhnliche Prozesse, unbekannte Konfigurationsänderungen), bei Verdacht IT-Dienstleister mit forensischer Kompetenz einschalten. Selbst-Patching ist in diesem Fall nicht ausreichend.

Quellen: BSI Cybersicherheitswarnungen · Microsoft Patch Tuesday Recap August 2026

🟢 Tipp des Monats: KI-generierte Phishing-Mails — wie Sie Ihre Mitarbeiter schulen, wenn Rechtschreibung perfekt ist

Das Problem:

86% aller Phishing-Angriffe sind mittlerweile KI-gestützt (KnowBe4). Das bedeutet klassische Erkennungsmerkmale funktionieren nicht mehr: Keine Rechtschreibfehler, keine holprigen Sätze, kein “Sehr geehrte Frau Müller” als offensichtlicher Spam-Indikator.

Künstliche Intelligenz ermöglicht personalisierte Angriffe in fehlerfreiem Deutsch — häufiger Basis für Social-Engineering-Versuche. Deepfake-Angriffe (Voice und Video) haben deutlich zugenommen. Beim sogenannten CEO-Fraud ruft ein vermeintlicher Geschäftsführer oder Finanzverantwortlicher die Buchhaltung an, ordnet eine dringende Überweisung an und nutzt vertrauenerweckende Sprache.

Drei konkrete Schutzmaßnahmen:

1. Auszahlungs- und Datenänderungen immer über zweiten Kanal verifizieren. Eine E-Mail oder ein Anruf reichen nie aus für kritische Transaktionen. Rufen Sie zurück — aber NICHT die Nummer, die im Verdachtskontakt angegeben ist. Nutzen Sie eine bekannte, hinterlegte Nummer (Visitenkarte, Firmendatenblatt).

2. Prävention statt Reaktion: Führen Sie regelmäßige Phishing-Simulationen durch, aber nicht als “Bestrafung” sondern als Training. Mitarbeiter müssen erkennen, wann etwas falsch läuft — ohne Angst vor Sanktionen. Das Ziel: eine Kultur der Vorsicht, nicht des Misstrauens.

3. Outbound-Kontrollen verschärfen: Viele Phishing-Angriffe zielen darauf ab, aus Ihrem eigenen M365/Exchange Konto E-Mails an Kunden zu senden — mit Ihrer Domain, von Ihrem System. Setzen Sie externe-Freigaberegeln, warnende Bannern bei External-Absendern und Alert-Regelungen für ungewöhnliche Aktivitäten (Große Anhänge nachts, Massenversand an fremde Domains).

Der entscheidende Punkt: Technik allein reicht nicht mehr. 86% KI-gestützte Phishing-Angriffe bedeuten, dass selbst erfahrene ITler getäuscht werden können. Der Mensch muss geschult sein, aber gleichzeitig müssen Prozesse technische “Flüchtlinge” abwehren — etwa wenn ein Account wirklich kompromittiert ist.

Quellen: KnowBe4 Phishing Trends Report 2026 · BSI Social Engineering Leitfaden

Bis Oktober 2026

Das nächste Briefing erscheint Ende September / Anfang Oktober 2026 mit denselben drei Blöcken. Wenn Sie Fragen zu einem der heutigen Punkte haben — zu Ransomware-Schutz, KI-Angriffen oder der Bitkom-Studie — sprechen Sie uns direkt an über smetrics.de/kontakt.

Eine kostenlose Erstberatung klärt Ihren konkreten Fall und zeigt Ihnen, wo in Ihrer aktuellen IT-Umgebung die größten Risiken liegen.