- 36 Prozent der österreichischen Unternehmen hatten konkrete Hinweise auf Cyberangriffe – leicht mehr als im Vorjahr (32 %)
- Jedes fünfte Unternehmen (20 %) setzt mittlerweile KI-Technologien in der Cyberabwehr ein – 2025 waren es erst 15 Prozent
- Alle abgefragten Sicherheitsmaßnahmen werden 2026 häufiger eingesetzt als in den Jahren zuvor – Notfallpläne stiegen von 57 auf 73 Prozent
- Phishing bleibt mit 71 Prozent die häufigste Angriffsart – Malware-Angriffe legen deutlich auf 52 Prozent zu
- Über 40 Prozent der Unternehmen haben ein Cybersecurity-Budget von unter 25.000 Euro – die Budgets stagnieren weitgehend
- NIS-2: 44 Prozent der Unternehmen können ihre eigene Betroffenheit nicht einschätzen, bei 70 Prozent ist noch kein Maßnahmenbereich abgeschlossen
Wien, 1. September 2026. Cyberangriffe zählen weiterhin zu den größten Bedrohungen für Unternehmen. Während 2025 noch 47 Prozent der Entscheider:innen in Österreich das Risiko eines Cyberangriffs als hoch einschätzten, ist dieser Anteil 2026 auf 38 Prozent gesunken – und liegt damit annähernd auf dem Niveau von 2024 (35 %). Die tatsächliche Bedrohungslage entwickelt sich jedoch in die andere Richtung: 36 Prozent der Unternehmen hatten konkrete Hinweise auf Angriffe auf ihre Netzwerke und Daten – ein Plus von vier Prozentpunkten gegenüber dem Vorjahr (32 %). Besonders auffällig: Unternehmen, die KI-Technologien in der Cybersecurity einsetzen, registrieren mit rund 65 Prozent weit häufiger Hinweise auf Angriffe als Unternehmen ohne KI-Einsatz (29 %). 82 Prozent aller Befragten erwarten zudem, dass die Bedeutung von Cyberangriffen künftig weiter zunehmen wird. „Dass die wahrgenommene Gefahr sinkt, während die tatsächlichen Vorfälle steigen, ist ein gefährlicher Trugschluss. Wer KI gezielt einsetzt, erkennt deutlich mehr Angriffe – und Sichtbarkeit ist der erste Schritt zu wirksamer Abwehr“, so Gottfried Tonweber, Partner und Leiter Cybersecurity bei EY Österreich.
Das sind Ergebnisse einer Studie der Prüfungs- und Beratungsorganisation EY Österreich. Dafür wurden im April 2026 insgesamt 200 Geschäftsführer:innen sowie Führungskräfte aus den Bereichen IT-Sicherheit und Datenschutz von österreichischen Unternehmen ab 20 Mitarbeitenden befragt.
Sicherheitsmaßnahmen ausgebaut – doch die Budgets bleiben knapp
Bei den Schutzmaßnahmen zeigt sich ein klar positiver Trend: Jede abgefragte Sicherheitsmaßnahme wird 2026 häufiger eingesetzt als in den Jahren zuvor. Firewalls und Antivirus-Software sind mit 97 Prozent nahezu flächendeckend im Einsatz, gefolgt von regelmäßigen Sicherheitsupdates (92 %) und mehrstufiger Authentifizierung (88 %). Besonders stark gewachsen sind Notfallpläne und Incident-Response-Teams, die von 57 Prozent im Vorjahr auf 73 Prozent zulegten, ebenso wie automatisierte Überwachungsmechanismen (70 %) und regelmäßige Sicherheitsaudits (68 %). Die eingesetzten Maßnahmen gelten dabei als weitgehend ausgereift und erreichen auf einer Skala bis fünf Reifegrade zwischen 4,1 und 4,4. Auch organisatorisch wird aufgerüstet: 83 Prozent setzen auf die Sensibilisierung der Mitarbeiter:innen, jeweils 80 Prozent auf Awareness-Maßnahmen und die Modernisierung der IT-Infrastruktur. Knapp die Hälfte der Unternehmen (48 %) berücksichtigt dabei bereits aktuelle Bedrohungen wie Deepfakes oder den Umgang mit KI-Angriffen, ein weiteres Viertel (23 %) plant dies – die umsatzstärksten Unternehmen (51+ Mio. €) sind hier mit 100 Prozent Vorreiter.
Entsprechend zuversichtlich sind die Unternehmen: 87 Prozent fühlen sich auf künftige Bedrohungen (sehr) gut vorbereitet. Bei den Budgets bleibt die Lage hingegen angespannt. Über 40 Prozent der Unternehmen investieren weniger als 25.000 Euro jährlich in Cybersecurity, sechs Prozent verfügen über kein gesondertes Budget und 32 Prozent können ihre Ausgaben nicht beziffern. Nur rund ein Viertel (28 %) plant in den kommenden zwei Jahren zumindest eine leichte Erhöhung – die Mehrheit der Budgets bleibt unverändert.
„Dass praktisch jede Sicherheitsmaßnahme an Verbreitung gewinnt, ist ein ermutigendes Signal. Gleichzeitig stagnieren die Budgets – und ohne ausreichende, gezielt eingesetzte Mittel lässt sich das erreichte Schutzniveau auf Dauer kaum halten. Cybersicherheit ist ein Dauerinvestment, kein einmaliges Projekt“, so Bernhard Zacherl, Director im Bereich Cybersecurity bei EY Österreich.
Phishing dominiert – Malware-Angriffe legen deutlich zu
Als gefährlichste Tätergruppe gilt – wie schon 2025 – das organisierte Verbrechen, während das eingeschätzte Risiko durch Hacktivist:innen leicht zurückgeht. Käme es zum Ernstfall, fürchten die Unternehmen vor allem Datenverlust und Datenschutzverletzungen: Für knapp die Hälfte (48 %) wäre das die gravierendste Folge eines Angriffs, gefolgt von Betriebsunterbrechungen (26 %) und finanziellen Verlusten (23 %). Phishing bleibt mit 71 Prozent die mit Abstand häufigste Angriffsart und liegt damit nahezu auf Vorjahresniveau (73 %). Deutlich zugenommen haben hingegen Malware-Angriffe, die von 44 auf 52 Prozent sprangen. Es folgen Ransomware (21 %), Passwortangriffe (18 %) und DDoS-Attacken (17 %). Am häufigsten getroffen werden Kommunikations- und Kollaborationsservices: Knapp die Hälfte aller Angriffe (46 %) zielt auf diesen Bereich, gefolgt von Daten- und Speicherservices (35 %) sowie Arbeitsplatz- und Enduser-Services (31 %). Erpressungsversuche sind dabei leicht zurückgegangen: 19 Prozent der bereits betroffenen Unternehmen wurden zu Geldzahlungen aufgefordert, nach 27 Prozent im Vorjahr. Bei der finanziellen Absicherung herrscht hingegen Stillstand – wie schon 2025 hat nur knapp jeder Zweite (45 %) eine Versicherung gegen digitale Risiken abgeschlossen.
Die gute Nachricht: 70 Prozent stufen den schwersten Vorfall der vergangenen fünf Jahre als gering ein, und 95 Prozent der betroffenen Unternehmen konnten den Betrieb innerhalb weniger Tage wiederherstellen, 78 Prozent davon sogar innerhalb eines Tages. Bei der Aufdeckung gewinnen interne Mechanismen an Bedeutung – das interne Kontrollsystem deckte 59 Prozent der Vorfälle auf (2025: 51 %), besonders stark stiegen unternehmensexterne Hinweise an – von zwei Prozent im Vorjahr auf 13 Prozent.
„Phishing ist und bleibt das Einfallstor Nummer eins, und der starke Anstieg bei Malware zeigt, dass Angreifer ihre Methoden konsequent weiterentwickeln. Dass Unternehmen Vorfälle zunehmend über interne Kontrollen erkennen, ist erfreulich – entscheidend bleibt aber, dass auf die Erkennung auch ein eingeübter Notfallprozess folgt“, erklärt Tonweber.
Regelmäßige Schwachstellen-Tests gehören zu den wirksamsten Maßnahmen gegen Cyberangriffe – und werden zunehmend genutzt: Nur noch 15 Prozent der Unternehmen verzichten vollständig darauf, nach 31 Prozent im Vorjahr. Rund sieben von zehn Unternehmen (70 %) lassen sich mittlerweile regelmäßig testen, knapp drei von zehn zumindest halbjährlich. Auch bei der Wiederherstellung sind die Unternehmen gut aufgestellt: 84 Prozent verfügen über Pläne für den Wiederaufbau der Infrastruktur nach einem Angriff oder erarbeiten diese gerade. Besonders die Tech-, Medien- und Telekommunikationsbranchen sind in diesem Bereich führend: 92 Prozent haben hier bereits entsprechende Pläne, acht Prozent sind derzeit in Ausarbeitung.
KI in der Cyberabwehr gewinnt an Bedeutung
Der Einsatz von KI in der Cyberabwehr nimmt zu: 2026 setzt bereits jedes fünfte Unternehmen (20 %) entsprechende Technologien ein, nach 15 Prozent im Vorjahr. Der Einsatz korreliert dabei stark mit der Unternehmensgröße und dem eigenen Risikoprofil – bei umsatzstarken Unternehmen und solchen mit hohem Risikobewusstsein liegt die Quote deutlich höher. Genutzt wird KI vor allem zur Anomalieerkennung (61 %), zur automatisierten Sicherheitsüberwachung (59 %) und zur Bedrohungsanalyse (55 %). Vorrangiges Ziel beim KI-Einsatz ist klar die Verbesserung der Bedrohungserkennung, während Kostenreduktion kaum eine Rolle spielt; rund ein Drittel (31 %) verfolgt allerdings noch keine spezifischen Ziele. Auch der wahrgenommene Nutzen steigt deutlich: 21 Prozent der Anwender:innen sehen in KI einen sehr großen Beitrag zur Cybersicherheit – dreimal so viele wie im Vorjahr (7 %). „Dass sich der Wert von KI in so kurzer Zeit verdreifacht hat, zeigt, wie schnell sich diese Technologien in der Praxis bewähren. KI-gestützte Lösungen erkennen Bedrohungen früher und unterstützen überlastete Sicherheitsteams“, erklärt Zacherl.
Zurückhaltung bleibt dennoch spürbar: Die Hälfte der Unternehmen ohne KI-Einsatz plant derzeit keinen Einstieg, nur 35 Prozent zeigen Interesse oder verfolgen konkrete Pläne. Als größte Hürde bei der Implementierung gelten Bedenken hinsichtlich Datenschutz und Ethik (40 %), während hohe Kosten (23 %) und der Mangel an qualifiziertem Personal (17 %) im Zeitvergleich an Bedeutung verlieren. Jedes zweite Unternehmen, das KI bereits einsetzt, plant in den nächsten Monaten eine Veränderung: 26 Prozent möchten den KI-Einsatz erweitern, weitere 20 Prozent neue KI-Technologien einführen – nur drei Prozent planen eine Reduktion von KI in ihrem Unternehmen.
NIS-2-Richtlinie: Große Orientierungslosigkeit
Im laufenden Risikomanagement zeigen sich die Unternehmen durchaus organisiert: Knapp 80 Prozent erfassen ihre IT- und Cyber-Risiken zumindest teilweise systematisch und stützen sich dabei auf ein breites Spektrum aktiver Maßnahmen wie regelmäßige Überprüfungen (82 %) und Risikoanalysen (76 %). Umso größer ist der Kontrast beim Thema NIS-2, wo weiterhin erhebliche Unsicherheit herrscht: 44 Prozent der Unternehmen können nicht einschätzen, ob und in welcher Form sie von der Richtlinie betroffen sind. Auch der vorgegebene Fristenlauf ist überwiegend unbekannt: 61 Prozent geben an, die Fristen nicht zu kennen, nur 22 Prozent sehen sich vollständig informiert und fristenkonform. Entsprechend gering ist der Umsetzungsstand – bei 70 Prozent der Unternehmen ist bislang in keinem der zentralen NIS-2-Maßnahmenbereiche die Umsetzung weitgehend abgeschlossen. Besonders kleinere Unternehmen mit einem Umsatz von weniger als zehn Millionen Euro kämpfen mit der Umsetzung (74 %). Bei umsatzstärkeren Unternehmen fehlt nur bei knapp jedem zweiten ein abgeschlossenes Maßnahmenpaket (47 %). Die einzelnen Bereiche wie Risikoanalyse und Sicherheitskonzept, Schulungen und Managementverantwortung oder Kryptographie- und Zugangskontrollen werden auf durchwegs niedrigem Niveau bearbeitet. „NIS-2 ist nicht nur regulatorische Pflicht, sondern eine Chance, die eigene Resilienz auf ein neues Niveau zu heben. Dass viele Unternehmen ihre Betroffenheit nicht einmal einschätzen können, ist alarmierend – hier braucht es dringend Klarheit und konkrete Umsetzungsschritte“, so Tonweber.