Deutsche Industrie unterschätzt Gefahren durch Sicherheitslücken

Cyberangriffe, IT-Ausfälle, Lieferkettenprobleme und Extremwetterlagen gehören längst zum betrieblichen Alltag vieler Unternehmen in Deutschland. Dennoch zeigt eine Studie der Freien Universität Berlin, der Helmut-Schmidt-Universität Hamburg und des Sozio-ökonomischen Panels (SOEP) am DIW Berlin erhebliche Defizite bei der Krisenvorsorge deutscher Betriebe. Besonders alarmierend: Viele Unternehmen reagieren erst dann, wenn eine Krise bereits eingetreten ist – statt Risiken frühzeitig systematisch zu analysieren und präventive Maßnahmen zu etablieren.

Seltene Szenarien weiterhin stark unterschätzt

Für die Untersuchung wurden zwischen März 2025 und Januar 2026 insgesamt 1224 Unternehmen in Deutschland befragt. Die Ergebnisse zeichnen ein deutliches Bild: Während bekannte Gefahren wie Cyberangriffe inzwischen stärker in den Fokus gerückt sind, bleiben seltene, aber potenziell existenzbedrohende Szenarien weiterhin stark unterschätzt.

Cyberangriffe bleiben größtes Risiko für Unternehmen in Deutschland

Die Studie zeigt, dass Cyberangriffe branchenübergreifend als größtes Risiko wahrgenommen werden. Gleichzeitig berichtet fast die Hälfte der befragten Unternehmen, in den vergangenen fünf Jahren bereits von IT-Ausfällen oder Störungen in den Lieferketten betroffen gewesen zu sein. Damit bestätigen die Daten, dass digitale Abhängigkeiten und global vernetzte Wertschöpfungsketten erhebliche Verwundbarkeiten erzeugen.

IT-Ausfälle und Lieferkettenstörungen gefährden die Wirtschaft

Vor allem Produktionsunternehmen und Betreiber kritischer Infrastrukturen stehen zunehmend unter Druck. Ausfälle in IT-Systemen oder Unterbrechungen internationaler Lieferketten können heute innerhalb weniger Stunden erhebliche wirtschaftliche Schäden verursachen. Die Studie macht deutlich, dass viele Unternehmen ihre operative Stabilität überschätzen und Risiken in komplexen Liefernetzwerken oft nicht ausreichend absichern.

„Die Ergebnisse zeigen, dass viele Unternehmen auf bereits erlebte Krisen reagieren, aber zu selten vorausschauend handeln“, sagt Tamara Böhm, Soziologin an der Freien Universität Berlin und Mitautorin der Studie.

IT-Sicherheit in Unternehmen: Viele Betriebe handeln nur reaktiv

Zwar haben 91 % der Unternehmen bereits Maßnahmen zur IT-Sicherheit umgesetzt, doch insbesondere bei der Weiterentwicklung bestehender Sicherheitskonzepte sind sie zurückhaltend. Nur 17 % der großen Unternehmen planen zusätzliche Investitionen oder neue Schutzmaßnahmen. Nach Einschätzung der Forschenden deutet dies darauf hin, dass viele Betriebe ihre Krisenvorsorge vor allem reaktiv gestalten und weniger auf langfristige Resilienzstrategien setzen.

Kritische Infrastrukturen benötigen bessere Ausfallsicherheit

Betreiber kritischer Infrastrukturen in Bereichen wie Energieversorgung, IT oder Gesundheitswesen bewerten das Risiko von Systemausfällen deutlich höher als andere Branchen. Die Forschenden sehen daher dringenden Handlungsbedarf beim Ausbau redundanter Systeme, moderner Back-up-Architekturen und widerstandsfähiger IT-Infrastrukturen. Gerade für Industrieunternehmen und Betreiber sensibler Anlagen wird Ausfallsicherheit zunehmend zu einem strategischen Faktor.

Großunternehmen sind bei Krisenmanagement und Notfallplanung besser vorbereitet

Ein weiteres zentrales Ergebnis der Studie betrifft die Unterschiede zwischen Großunternehmen und kleinen sowie mittleren Unternehmen. Große Betriebe verfügen wesentlich häufiger über strukturierte Risikoanalysen, etablierte Notfallpläne und technische Schutzmaßnahmen wie Notstromversorgung oder redundante Systeme. So besitzen 63 % der Großunternehmen Notstromaggregate, während dies nur bei 35 % der kleinen Betriebe der Fall ist.

KMU haben Nachholbedarf bei Resilienz und Risikomanagement

KMU setzen dagegen stärker auf finanzielle Rücklagen, weisen jedoch häufig Defizite bei organisatorischen und strategischen Vorsorgemaßnahmen auf. Hinzu kommt eine geringere Vernetzung mit Behörden, Hilfsorganisationen oder regionalen Krisennetzwerken. Auch die Diversifizierung von Lieferketten bleibt bei vielen kleineren Unternehmen unzureichend.

Dabei betonen die Studienautorinnen und -autoren, dass zahlreiche Verbesserungen mit vergleichsweise geringem Aufwand möglich wären. Staatliche Förderprogramme, branchenspezifische Leitfäden sowie regionale Kooperationen könnten insbesondere KMU dabei unterstützen, ihre Resilienz deutlich zu erhöhen.

Katastrophenschutz in Städten schlechter als in ländlichen Regionen

Die Untersuchung zeigt zudem auffällige regionale Unterschiede. Unternehmen in ländlichen Regionen sind beim Thema Katastrophenschutz offenbar stärker sensibilisiert als Betriebe in urbanen Räumen. Rund 41 % der Unternehmen auf dem Land haben ihre Zusammenarbeit mit lokalen Akteuren des Krisen- und Katastrophenschutzes intensiviert. In Städten liegt dieser Anteil lediglich bei 34 %.

Lesen Sie auch:Internetstörung in Deutschland: Was hinter dem Ausfall steckt

Unternehmen auf dem Land stärker mit Behörden vernetzt

Auch die Bereitschaft, im Krisenfall Ressourcen wie Personal, Fahrzeuge oder Transportkapazitäten bereitzustellen, ist in ländlichen Regionen höher ausgeprägt. In urbanen Zentren sehen die Forschenden dagegen erheblichen Nachholbedarf bei der Zusammenarbeit mit Behörden und Hilfsorganisationen sowie bei der Schulung und Sensibilisierung der Mitarbeitenden.

Hybride Bedrohungen und militärische Krisen werden unterschätzt

Besonders kritisch bewerten die Forschenden die geringe Vorbereitung deutscher Unternehmen auf militärische oder hybride Krisenszenarien. Nur rund 10 % der befragten Unternehmen verfügen über entsprechende Notfallpläne. Selbst in systemrelevanten Branchen wie Energieversorgung, IT oder Gesundheitswesen fehlen häufig konkrete Vorsorgekonzepte.

„Lediglich rund 10 % der Unternehmen verfügen über entsprechende Notfallpläne – selbst in systemrelevanten Branchen wie IT, Energie oder Gesundheitswesen. Angesichts zunehmender geopolitischer Spannungen gibt es hier dringenden Handlungsbedarf“, sagt Stefan Liebig vom Institut für Soziologie der Freien Universität Berlin und Co-Leiter der Studie.

Geopolitische Risiken erfordern neue Notfallpläne für Unternehmen

Angesichts wachsender geopolitischer Spannungen und zunehmender hybrider Bedrohungen sehen die Studienverantwortlichen hierin eine erhebliche Sicherheitslücke. Unternehmen müssten künftig deutlich stärker analysieren, welche Rolle sie in Krisensituationen einnehmen und welche infrastrukturellen oder organisatorischen Anforderungen daraus entstehen.

Resilienz in Unternehmen wird zum entscheidenden Wettbewerbsfaktor

Die Studienergebnisse machen deutlich, dass Krisenvorsorge heute weit über klassische IT-Sicherheit hinausgeht. Gefragt sind integrierte Resilienzstrategien, die technologische, organisatorische und geopolitische Risiken gleichermaßen berücksichtigen. Dazu gehören belastbare Lieferketten, redundante IT-Systeme, strukturierte Krisenkommunikation und regelmäßige Schulungen der Beschäftigten.

Strategische Krisenvorsorge sichert langfristige Wettbewerbsfähigkeit

Die Forschenden empfehlen Unternehmen, Risiken breiter zu analysieren und auch seltene, aber gravierende Szenarien in ihre Planungen einzubeziehen. Gleichzeitig müsse insbesondere die Unterstützung kleiner und mittlerer Unternehmen ausgebaut werden. Städte sollten ihre Vernetzung mit Behörden und Hilfsorganisationen intensivieren und Unternehmen stärker in lokale Krisenschutzstrukturen integrieren.

Die zentrale Botschaft der Studie ist eindeutig: Resilienz entwickelt sich zunehmend zu einem entscheidenden Wettbewerbs- und Überlebensfaktor. „Resilienz ist keine Option, sondern Überlebensstrategie. Wer heute investiert, sichert morgen seine Handlungsfähigkeit“, betont Wenzel Matiaske von der Helmut-Schmidt-Universität/Universität der Bundeswehr Hamburg und Co-Leiter der Studie.

Lesen Sie auch: Wenn Quantencomputer die Cybersicherheit gefährden