Cybersicherheit in KMU: Fast ein Viertel der Chefetage versteht Geschäftsrelevanz nicht

Dem C-Level von kleinen und mittelständischen Unternehmen (KMU) in Deutschland fehlt es an Verständnis für die geschäftliche Relevanz von Cybersicherheit; das sagen 23 Prozent der IT-Führungskräfte in KMU in Deutschland. Damit zeigt sich eine strukturelle Diskrepanz zwischen den Prioritäten in der Chefetage und der Abwehr von Cyberbedrohungen. Denn gleichzeitig sagt über ein Drittel (35 Prozent), dass die Verfolgung potenzieller Bedrohungen ein Vollzeitjob ist, während 22 Prozent mehr Zeit mit der Fehlerbehebung von Tools verbringen als mit der tatsächlichen Abwehr und jeder Zehnte (10 Prozent) mit Warnmeldungen überflutet wird. Diese Ergebnisse gehen aus der aktuellen Kaspersky-Umfrage „Klartext in Sachen Cybersicherheit – Was nervt, was fehlt, was hilft wirklich?“ hervor [1].

Die operative Belastung in Sachen Cybersicherheit in mittelständischen Unternehmen in Deutschland ist allgegenwärtig. Viele Sicherheitsteams in KMU kämpfen damit, überhaupt die Kontrolle zu behalten. So geben 35 Prozent an, dass die Überwachung potenzieller Cyberbedrohungen eine Vollzeitaufgabe ist. 22 Prozent verbringen sogar mehr Zeit mit dem Troubleshooting von Sicherheitstools als mit der eigentlichen Abwehr von Angriffen. 10 Prozent fühlen sich zudem von Warnmeldungen überwältigt und haben Schwierigkeiten, kritische Vorfälle von Fehlalarmen zu unterscheiden. Das Gesamtbild ist eindeutig: Der Aufwand ist hoch, die Wirkung gering. Viele Verantwortliche berichten zudem, dass ihre Sicherheitslösungen sie eher ausbremsen als unterstützen.

Dabei bleibt die Bedrohungslage ernst. Kaspersky-Daten [2] aus europäischen KMU-Umgebungen zeigen, dass Backdoors (24 Prozent), Trojaner (17 Prozent) und „Not-a-Virus:Downloader“ (16 Prozent) zu den häufigsten Angriffstypen gehören. Trotz regionaler Unterschiede verdeutlicht dieses Muster, dass eine konsequente Triage und schnelle Reaktionsfähigkeit entscheidend sind.

Fehlendes Verständnis in der C-Riege und Fachkräftemangel erhöhen das Risiko

Eine weitere Herausforderung entsteht durch Kompetenz- und Verständnislücken zwischen Geschäftsleitung und operativen Sicherheitsteams. Fast ein Viertel (23 Prozent) der Befragten gibt an, dass Führungskräfte die geschäftliche Bedeutung von Cybersicherheit nicht vollständig verstehen – was notwendige Entscheidungen und Investitionen verzögern dürfte. Des Weiteren berichten drei von zehn (30 Prozent) über einen Mangel an qualifizierten Fachkräften, weswegen sich die Mehrheit der KMU daher auf allgemeine IT-Teams (42 Prozent) oder Sicherheitsverantwortliche innerhalb dieser Teams (30 Prozent) stützt. Nur 18 Prozent verfügen über ein dediziertes Cybersicherheitsteam, 10 Prozent verlassen sich ausschließlich auf externe Partner.

Trotzdem zeigt sich ein paradoxes Bild, wenn es um die Zufriedenheit mit den eigenen Sicherheitsteams geht: 67 Prozent sind zufrieden mit Sicherheitsexperten innerhalb des IT-Teams, 84 Prozent mit den IT-Abteilungen insgesamt und 73 Prozent mit internen Cyberteams. Das deutet auf eine Dissonanz zwischen subjektiver Zufriedenheit und tatsächlicher Sicherheitslage hin.

„Mittelständischen Unternehmen mangelt es nicht an Cybersicherheits-Tools, sondern an Kohärenz“, resümiert Waldemar Bergstreiser, General Manager DACH bei Kaspersky. „Cybersicherheitsrelevante Informationen trudeln über Lösungen schneller ein als Entscheidungen getroffen werden können. Dadurch geraten Kontrollen und Arbeitsabläufe in Konflikt und die Verantwortung verschwimmt genau in von der Erkennung zur Reaktion übergegangen werden müsste. Allerdings stemmen in vielen KMU oft allgemeine IT-Mitarbeiter und einzelne Spezialisten den Sicherheitsalltag, was die Cybersecurity gefährdet. Denn dadurch verlangsamt sich die Triage, Kontext geht verloren und taktische Probleme wachsen sich zu strategischen Risiken aus. Entscheidungsträger müssen ihren Teams jetzt die richtigen Ressourcen, Lösungen und Fachkräfte bereitstellen – und vor allem verstehen, dass Cybersicherheit kein reines IT-Thema, sondern ein geschäftsentscheidendes Thema ist. Nur so können sich mittelständische Unternehmen zukunftssicher aufstellen.“

Kaspersky-Empfehlungen zum Schutz von KMU

• Cybersicherheitspläne in effektiven Schutz überführen: Kaspersky Next [3] für kleine und mittlere Unternehmen kombiniert moderne Endpoint Protection mit EDR und XDR – und bietet damit Echtzeit-Transparenz, schnelle Reaktionsfähigkeit auf Bedrohungen sowie die erforderliche Nachvollziehbarkeit, um Sicherheitsstrategien in die Praxis umzusetzen. Für KMU mit etablierter IT-Infrastruktur bietet Kaspersky Next XDR Optimum [4] eine erweiterte Integration und Sichtbarkeit.
• Schutz für begrenzte IT-Ressourcen ermöglichen: Auch sehr kleine Unternehmen sollten sich um einen professionellen Cyberschutz bemühen. Kaspersky Small Office Security [5] lässt sich einfach implementieren und verwalten und schützt vor finanziellen Verlusten, Datendiebstahl und Ransomware, ohne dass internes Fachwissen erforderlich ist.
• In Awareness und Weiterbildung investieren: Durch Trainingsprogramme und Awareness-Initiativen auf allen Ebenen der Organisation lässt sich das Risiko interner Sicherheitsvorfälle minimieren. Die Kaspersky Automated Security Awareness Platform [6] unterstützt KMU zudem mit skalierbaren, rollenbasierten Lernmodulen.
• Cyberresilienz integrieren und fördern: Im gesamten Unternehmen eine Sicherheitskultur etablieren, die Mitarbeiter befähigt, neu auftretende Bedrohungen im Arbeitsalltag effektiv zu bewältigen.

Die vollständige Kaspersky-Umfrage ist verfügbar unter https://kas.pr/klartext

[1] https://kas.pr/klartext  / Kaspersky hat Arlington Research mit der Durchführung einer Online-Umfrage zum Selbstausfüllen für Entscheidungsträger mit wesentlichen Aufgaben im Bereich Cybersicherheit in Unternehmen mit weniger als 500 Mitarbeitern in Europa und Afrika im August und September 2025 beauftragt. Arlington führte insgesamt 880 Interviews mit dieser Zielgruppe (Europa: 600; Afrika: 280; je 60 Interviews pro Land: Deutschland, Österreich, Schweiz, Großbritannien, Frankreich, Spanien, Italien, Griechenland, Rumänien, Serbien, Marokko, Algerien, Tunesien, Kamerun; je 20 Interviews: Senegal, Elfenbeinküste).

[2] https://media.kasperskydaily.com/wp-content/uploads/sites/92/2025/09/12073543/20250910_Kaspersky-Europe-and-Africa-SMB-Report-2025.pdf

[3] https://www.kaspersky.de/next

[4] https://www.kaspersky.de/next-xdr-optimum

[5] https://www.kaspersky.de/small-office-security

[6] https://www.kaspersky.de/small-to-medium-business-security/security-awareness-platform

Nützliche Links:

• Kaspersky-Report „Klartext in Sachen Cybersicherheit – Was nervt, was fehlt, was hilft wirklich?“: https://kas.pr/klartext
• Kasperskys SMB Threat Report für Europa und Afrika: https://media.kasperskydaily.com/wp-content/uploads/sites/92/2025/09/12073543/20250910_Kaspersky-Europe-and-Africa-SMB-Report-2025.pdf
• Kaspersky Next: https://www.kaspersky.de/next
• Kaspersky Next XDR Optimum: https://www.kaspersky.de/next-xdr-optimum
• Kaspersky Small Office Security: https://www.kaspersky.de/small-office-security

Kaspersky Automated Security Awareness Platform: https://www.kaspersky.de/small-to-medium-business-security/security-awareness-platform