Unternehmen in Deutschland überschätzen ihre Compliance-Reife

Viele Unternehmen in Deutschland überschätzen ihre Compliance-Reife. Zwar bewerten 72 Prozent der befragten CEOs, Geschäftsführer und Inhaber die Nachweisfähigkeit ihres Unternehmens als gut. Als ausgereift und vollständig compliant sehen ihre Organisation jedoch nur 16 Prozent. Zugleich bestätigen 71 Prozent, dass einzelne Sicherheitslösungen ohne klar definierte Prozesse, Dokumentation, Monitoring und Verantwortlichkeiten nicht ausreichen. Diese Ergebnisse gehen aus der aktuellen Kaspersky-Umfrage „Cyber-Compliance in DACH: Wie Unternehmen Cybersicherheit nachweisen, steuern und weiterentwickeln“ in Deutschland, Österreich und der Schweiz hervor [1].

Viele Geschäftsführer haben die zentralen Bausteine von Cyber-Compliance bereits im Blick. Sie kennen technische Schutzmaßnahmen, Datenschutzvorgaben und die Anforderungen an Umsetzung, Dokumentation und regelmäßige Überprüfung. Das schafft Vertrauen – insbesondere dann, wenn sich zu einzelnen Maßnahmen konkrete Belege vorlegen lassen. So wissen jeweils 71 Prozent der Befragten in Deutschland, dass sie technische Schutzmaßnahmen beziehungsweise Datenschutzmaßnahmen einsetzen müssen. Jeweils 69 Prozent fühlen sich mit den relevanten gesetzlichen Vorgaben wie DSGVO oder NIS-2 sowie den Anforderungen an Umsetzung, Dokumentation und regelmäßige Überprüfung vertraut.

Der Compliance-Confidence-Gap und die Unsicherheit bezüglich Compliance und Cybersicherheit

Es offenbart sich jedoch ein sogenannter Compliance-Confidence-Gap: Denn das Vertrauen in die eigenen Nachweise ist deutlich größer als der Anteil an Unternehmen, die sich als vollständig compliant einstufen. Gerade das Wissen über einzelne Bausteine kann ein zu positives Gesamtbild vortäuschen. Verständnis sichert noch keine Umsetzung, und ein vorhandener Nachweis ist noch kein Beleg für die Reife des gesamten Compliance-Systems. Eine vorhandene Firewall, dokumentierte Backups oder absolvierte Schulungen belegen zunächst nur, dass bestimmte Maßnahmen umgesetzt wurden. Sie sagen noch nichts darüber aus, ob die Maßnahmen vollständig sind, zu den individuellen Risiken des Unternehmens passen, regelmäßig auf ihre Wirksamkeit geprüft werden und eindeutig verantwortet werden. Unternehmen vertrauen häufig auf Einzelnachweise und überschätzen dadurch möglicherweise die Reife ihres gesamten Compliance-Systems.

So sind 64 Prozent überzeugt, hinreichend belegen zu können, dass geeignete Cybersicherheitsmaßnahmen umgesetzt, dokumentiert und regelmäßig überprüft werden. Auf die direkte Frage nach der Qualität ihrer Nachweise bewerten sogar 72 Prozent ihre Situation als gut. Gleichzeitig zeigt sich eine bemerkenswerte Unsicherheit: 58 Prozent der Befragten sind sich nicht sicher, was Compliance in Bezug auf Cybersicherheit konkret umfasst, und nur 16 Prozent bezeichnen ihr Unternehmen als ausgereift und vollständig compliant. Ohne ein klares Gesamtverständnis lässt sich nur schwer beurteilen, ob vorhandene Nachweise tatsächlich alle relevanten Anforderungen und Risiken abdecken. 57 Prozent der Befragten sehen ihre Organisation zwar bereits als fortgeschritten an, räumen aber weiterhin Lücken ein. Weitere 19 Prozent befinden sich noch in der Entwicklung und 6 Prozent erst in der Planung. Damit erreichen insgesamt 85 Prozent nach eigener Einschätzung noch nicht die höchste Reifestufe.

Die Diskrepanzen machen deutlich, worin die eigentliche Herausforderung liegt: Unternehmen verstehen bereits viele Einzelteile und trauen sich zu, diese nachweisen zu können, verbinden sie aber noch nicht durchgängig zu einem belastbaren Gesamtsystem. Dass technische Einzellösungen dafür nicht genügen, ist den meisten Verantwortlichen durchaus bewusst. 71 Prozent bestätigen, dass Sicherheitslösungen ohne klar definierte Prozesse, Dokumentation, Monitoring und Verantwortlichkeiten nicht ausreichen.

„Für Geschäftsführungen ist entscheidend, aus einzelnen Nachweisen ein belastbares Gesamtbild zu gewinnen. Sie müssen nachvollziehen können, welche Anforderungen relevant sind, wie diese umgesetzt werden, wer Verantwortung trägt und ob die Maßnahmen regelmäßig überprüft werden. Erst diese Transparenz schafft die Grundlage, Cyber-Compliance aktiv zu steuern und bestehende Lücken gezielt zu schließen. Dafür müssen Prävention, Erkennung und Reaktion ebenso zusammenspielen wie der Aufbau von Know-how, eine nachvollziehbare Dokumentation und belastbare Nachweise. Orientierung und Unterstützung bietet Kaspersky mit einem Online-Informationshub zur NIS-2-Richtlinie sowie den modular aufgebauten Paketen ‚Compliance Essential‘ und ‚Compliance Managed‘“, kommentiert Waldemar Bergstreiser, General Manager DACH bei Kaspersky und Geschäftsführer der Kaspersky Labs GmbH.

Kaspersky-Empfehlungen für adäquate Cyber-Compliance

• Anforderungen und Verantwortlichkeiten zuordnen: Gesetzliche, vertragliche und interne Anforderungen in einem verbindlichen Verantwortungsmodell zusammenführen.
• Kontrollen mit Nachweisen verbinden: Für jede wesentliche Sicherheitsmaßnahme dokumentieren, wie sie umgesetzt, überwacht und regelmäßig überprüft wird.
• Reife regelmäßig bewerten: Lücken nicht nur technisch, sondern auch bei Prozessen, Zuständigkeiten und Management-Reporting erfassen und priorisieren.
• Einzeldokumente konsolidieren: Nachweise so strukturieren, dass sie für Audits und Entscheidungen aktuell, auffindbar und nachvollziehbar sind.
• Technische Prävention und Know-how stärken: Das Lösungspaket Kaspersky Compliance Essential [2] unterstützt Unternehmen bei Systemhärtung, Schwachstellenmanagement und Mitarbeiterschulungen.
• Erkennung und Reaktion kontinuierlich absichern: Das Lösungspaket Kaspersky Compliance Managed [3] ergänzt diese Maßnahmen um 24/7-Überwachung, Experten-gestützte Incident Response und proaktive Sicherheitsanalysen.

Der vollständige Kaspersky-Report „Cyber-Compliance in DACH: Wie Unternehmen Cybersicherheit nachweisen, steuern und weiterentwickeln“ ist verfügbar unter https://kas.pr/compliance-report

[1] Censuswide befragte im Auftrag von Kaspersky im Juli 2026 insgesamt 403 Geschäftsführer, CEOs und Inhaber in Deutschland, Österreich und der Schweiz. Davon entfielen 200 Interviews auf Deutschland, 100 auf Österreich und 103 auf die Schweiz. / https://kas.pr/compliance-report

[2] https://kas.pr/compliance-promo

[3] https://kas.pr/compliance-promo

Nützliche Links:

• Kaspersky-Report „Cyber-Compliance in DACH: Wie Unternehmen Cybersicherheit nachweisen, steuern und weiterentwickeln“: https://kas.pr/compliance-report
• Kaspersky Compliance: https://kas.pr/compliance-promo