Bitkom Wirtschaftsschutzbericht 2026 und die Pflicht zur Datenhoheit

Der Bitkom Wirtschaftsschutzbericht 2026 belegt, dass 37 Prozent der von Datendiebstahl und Sabotage betroffenen Unternehmen mindestens einen Angriff fremden Nachrichtendiensten zuordnen. Im Vorjahr lag dieser Wert noch bei 28 Prozent, im Jahr 2023 bei lediglich 7 Prozent. Die Bedrohungslage für den deutschen Mittelstand hat sich fundamental verschoben: Weg von ungerichteter Kriminalität, hin zu gezielter staatlicher Spionage. Insgesamt sind 96 Prozent der deutschen Unternehmen von Datendiebstahl, Industriespionage oder Sabotage betroffen oder vermuten entsprechende Vorfälle. Wer in dieser Lage sensible Unternehmensdaten über ungesicherte Schnittstellen verarbeitet, handelt grob fahrlässig.

Was der Bitkom Wirtschaftsschutzbericht 2026 im Detail offenlegt

Die Zahlen des Bitkom e.V. zeigen eine massive Zunahme der staatlich gesteuerten Angriffe, primär aus drei Staaten. Von den sicher betroffenen Unternehmen konnten 52 Prozent mindestens einen Angriff nach China zurückverfolgen. Russland folgt dicht dahinter mit 49 Prozent, während der Iran mit 9 Prozent der Nennungen seine Präsenz im Vergleich zum Vorjahr mehr als verdoppelt hat. Der konkret bezifferbare Schaden für die deutsche Wirtschaft bewegt sich in einem Korridor zwischen 211 und 270,8 Milliarden Euro.

Besonders alarmierend ist das wachsende Dunkelfeld. Nur noch 67 Prozent der Firmen können einen erfolgreich ausgeführten Angriff mit Sicherheit belegen, im Vorjahr waren es noch 87 Prozent. Gleichzeitig stieg der Anteil der Unternehmen, die einen Vorfall nur vermuten, auf 29 Prozent. Die Angriffsvektoren sind dabei primär digitaler Natur: 57 Prozent der Unternehmen waren von digitaler Sabotage betroffen, 54 Prozent vom Ausspähen ihrer Kommunikation und 45 Prozent vom digitalen Diebstahl von Geschäftsdaten. Bei der Aufklärung hilft zunehmend der Staat: Jedes zweite Unternehmen, das Täter ermitteln konnte, erhielt Hinweise von Behörden.

Warum abgelaufene NIS2-Fristen die Haftung der Geschäftsführung verschärfen

Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz ohne jegliche Übergangsfrist, und die Registrierungsfristen beim BSI sind seit dem 31. Juli 2026 abgelaufen. Damit fallen rund 29.850 Einrichtungen unter eine strenge Aufsicht, die weit über die bisherigen KRITIS-Betreiber hinausgeht. Die Geschäftsleitung ist nun persönlich in der Pflicht: Sie muss die Cybersicherheitsmaßnahmen billigen, überwachen und sich regelmäßig schulen lassen.

Die Meldefristen bei Sicherheitsvorfällen sind extrem eng getaktet. Betroffene Unternehmen müssen innerhalb von 24 Stunden eine frühe Erstmeldung abgeben, nach 72 Stunden eine Meldung mit erster Bewertung und exakt einen Monat danach die Abschlussmeldung. Trotz dieser scharfen Vorgaben unterschätzen laut aktuellen Erhebungen rund 48 Prozent der befragten Unternehmen ihre regulatorische Betroffenheit. Wer jetzt noch auf veraltete IT-Strukturen oder unklare Datenabflüsse setzt, riskiert nicht nur den Verlust von Geschäftsgeheimnissen, sondern direkte rechtliche Konsequenzen für das Management.

Wie eine strikte Governance-Architektur für Finanzdaten aussieht

Sensible Finanzdaten erfordern eine geschlossene Verarbeitungskette, die ausschließlich über abgesicherte europäische Endpunkte läuft. Ein System, das Rohdaten aus vielen Quellen zu einer durchgängigen Gewinn- und Verlustrechnung, EBITDA- und Liquiditätsrechnung zusammenführt, darf keine Blackbox sein. Jede Kennzahl muss bis zur Quelle rückverfolgbar bleiben: vom Quellfeld über das Mapping und den Tarif bis zur finalen Formel.

In der Praxis bedeutet das den Abschied von fehleranfälligen Excel-Inseln. Kostenmodellierungen bis zur einzelnen Rechnungszeile, wie Versand-, Provisions- oder Lagerkosten, müssen versioniert und je Kanal, Kategorie und Land allokiert werden. Wenn ein System 1,2 Millionen Rechnungen und 2 Millionen Rechnungszeilen mit Historie verarbeitet, ist Auditierbarkeit die Grundvoraussetzung. Nur so lassen sich Fragen nach Planabweichungen, etwa durch gestiegene Energiekosten oder teureres Fremdpersonal, rechtssicher und belegbar beantworten.

Wie Systeme mit integrierter Datenhoheit in der Praxis arbeiten

Ein System mit integrierter Governance verarbeitet Daten über EU-Endpunkte wie Vertex AI oder Azure und hält sensible Informationen strikt in einem definierten Rahmen. Governance ist dabei kein nachträgliches Anhängsel, sondern in jedes Werkzeug fest eingebaut. Freigaben, Protokolle und Limits regeln exakt, welche Daten das Unternehmen verlassen und welche Entscheidungen automatisiert getroffen werden dürfen.

Ein Doku- und Buchhaltungssystem macht aus einem Dokumentenarchiv eine weitgehend automatisierte, DATEV-kompatible Buchhaltung. Der Weg vom Beleg zur Buchung erfolgt ohne Medienbruch. Das System liest Dokumente per OCR und KI-Vision und erstellt fertige Buchungsvorschläge mit Konten, Splits und Steuerschlüsseln. Dabei greift ein Sicherheitsnetz aus vier Quellen: starre Regeln, historische Daten, Machine Learning und Large Language Models. Ein Orchestrator entscheidet dreistufig, ob ein Beleg automatisch verbucht, zur Prüfung vorgelegt oder manuell bearbeitet wird. Nichts wird blind durchgewunken. Das System ist GoBD-konform, arbeitet mit einer Verfahrensdokumentation und bleibt revisionssicher bis zum DATEV-Export.

Welche Schritte zur Absicherung jetzt zwingend sind

Unternehmen müssen ihre Datenströme auditieren und offene Schnittstellen durch geschlossene, versionierte Bausteine ersetzen. Der EU AI Act verlangt klare Risikoklassen, Transparenz und menschliche Aufsicht. Diese Anforderungen müssen in den Freigabestufen von L0 bis L4 fest angelegt sein. Ein Approval-First-Ansatz stellt sicher, dass konkrete Empfehlungen für Preise, Nachbestellungen oder Kampagnen immer mit einer Begründung versehen sind und erst nach menschlicher Freigabe ausgeführt werden.

Die Qualität und Nachvollziehbarkeit der Datenverarbeitung entscheidet über die Widerstandsfähigkeit eines Unternehmens. Antworten von KI-Systemen müssen zwingend mit einem Quellenbezug versehen sein. Feedback-Loops und Double-Checks garantieren, dass jede Aktion nachvollziehbar bleibt. Wer seine Systeme nach diesem Baukasten-Prinzip aufbaut, konfiguriert Prozesse und Regeln top-down und rollt sie ohne Übersetzungsverluste in die Abteilungen aus. Angesichts der Bedrohungslage durch staatliche Spionage ist diese Form der digitalen Souveränität keine Option mehr, sondern die Voraussetzung für das Überleben am Markt.