KI-Malware ängstigt deutsche Unternehmen: Was die ESET-Studie 2026 für KMU zeigt

Kleine und mittlere Unternehmen in Deutschland haben ein neues Lieblingswort für ihre schlaflosen Nächte: KI-Malware. Zumindest, wenn man der frisch veröffentlichten ESET-Cyberresilienz-Studie 2026 für KMU glaubt. 42 Prozent der Befragten zählen künstliche Intelligenz auf Seiten der Angreifer zu den größten Bedrohungen der kommenden zwölf Monate. Doch die Studie verrät noch etwas anderes, das viel spannender ist: Die Vorfälle, die Unternehmen tatsächlich erlebt haben, kommen meist aus alter Schule. Phishing-Mails und ungepatchte Schwachstellen schlagen weiterhin alles, was angeblich so neu daherkommt.

Angst vor morgen, Probleme von gestern

Der Blick auf die Zahlen lohnt sich, weil er eine Lücke zeigt, die viele Sicherheitsverantwortliche ungern benennen. Auf der Liste der befürchteten Bedrohungen landet KI-gestützte Malware klar auf Platz eins. Danach folgen Phishing beziehungsweise Spear-Phishing mit 32 Prozent und Bedrohungen im Cloud-Umfeld mit 25 Prozent. Klingt nach einer Bedrohungslandschaft im Umbruch. Doch wenn Unternehmen danach gefragt werden, was bei ihnen tatsächlich passiert ist, dominieren bekannte Angriffswege. Phishing nennen 29 Prozent als Ursache von Sicherheitsvorfällen, ungepatchte Schwachstellen 28 Prozent. Fehlendes Sicherheitsmonitoring schafft es auf 23 Prozent, schwache Passwörter auf 21 Prozent.

Anders gesagt: Viele Betriebe bereiten sich mental auf einen Gegner vor, der mit künstlicher Intelligenz operiert, während die Haustür noch offen steht, weil niemand die Schlösser gewechselt hat. Das ist keine Polemik, das ist der Kernbefund der Studie.

82 Prozent nutzen KI, 68 Prozent haben Regeln dafür

Ein Detail der Studie dürfte überraschen. Sage und schreibe 82 Prozent der befragten Unternehmen setzen bereits KI-Anwendungen ein. Das ist kein Zukunftsszenario mehr, das ist Alltag: Textassistenten, Analysewerkzeuge, Automatisierungen in Verwaltungsprozessen. Gleichzeitig stimmen 67 Prozent der Aussage zu, dass dieser Einsatz zusätzliche Sicherheitsrisiken mit sich bringt. Wer also von beidem spricht, von Chance und Risiko der eigenen KI-Nutzung, bewegt sich im Mainstream.

Interessant ist die Frage nach den Hausregeln. 68 Prozent der Unternehmen geben an, Regeln für die KI-Nutzung zu haben. Umgekehrt: Fast jedes dritte Unternehmen lässt seine Leute mit KI-Werkzeugen arbeiten, ohne klare Vorgaben. Was darf in den Chatbot kopiert werden? Welche Daten bleiben tabu? Wer ist zuständig, wenn etwas schiefgeht? Wer das nicht schriftlich geklärt hat, verlässt sich auf Bauchgefühl, und das ist in der IT-Sicherheit ein denkbar schlechter Berater.

ESET nennt die Lage eine doppelte Aufgabe. Unternehmen müssen sich gegen KI auf der Angreiferseite wappnen und gleichzeitig die eigenen KI-Anwendungen absichern. Die Empfehlung klingt simpel und ist trotzdem oft nicht umgesetzt: klare Vorgaben zu freigegebenen Werkzeugen, zum Umgang mit vertraulichen Informationen und zu Zuständigkeiten. Wer solche Regeln einmal sauber aufschreibt, nimmt gleich zwei Risiken auf einmal vom Tisch.

Geld ist da, Köpfe sind knapp

Wer jetzt vermutet, dass alles am Budget scheitert, liegt falsch. 84 Prozent der Befragten bewerten ihr Budget für Cybersicherheit als ausreichend oder sogar mehr als ausreichend. 40 Prozent erwarten in den kommenden zwölf Monaten eine Erhöhung. Bei den geplanten Investitionen stehen Cloud-Sicherheit mit 44 Prozent und Mitarbeiterschulungen mit 42 Prozent ganz oben. Geld fließt, und es fließt in die richtigen Themen: Technik zum Absichern der Cloud und Wissen für die eigenen Leute.

Das Problem sitzt anderswo. 37 Prozent nennen das Schritthalten mit aktuellen IT-Sicherheitsbedrohungen als Schwierigkeit, 34 Prozent den Umgang mit neuen Technologien wie KI. Für 31 Prozent gehört die Überlastung der eigenen IT- oder Security-Teams zu den größten Herausforderungen. Und als häufigste Hürde bei der Verbesserung der IT-Sicherheit nennen die Befragten fehlende Fachkräfte beziehungsweise Kompetenzen mit 26 Prozent. Man kann also Budgets bereitstellen, wie man will: Wenn niemand da ist, der die Werkzeuge bedient, oder wenn die vorhandenen Teams schlicht überlastet sind, nützt die beste Sicherheitssoftware wenig.

Holger Suhl, Country Manager DACH bei ESET, fasst das so zusammen: “Cyberresilienz ist längst keine Option mehr, sondern eine geschäftliche Notwendigkeit. Gerade KMU müssen heute einer Bedrohungslage begegnen, die sich rasant verändert und durch neue Technologien wie KI zusätzlich beschleunigt wird.” Fortschritte entstehen dort, wo Unternehmen Cybersicherheit als laufenden Prozess verstehen und gezielt in Menschen, Technologien und resiliente Strukturen investieren.

Was ein Angriff wirklich kostet

Die Studie fragt auch danach, was Unternehmen am meisten fürchten, wenn der Ernstfall eintritt. 54 Prozent sorgen sich um Datenverlust, jeweils 46 Prozent um finanzielle Schäden und Betriebsunterbrechungen. Es geht also nicht um abstrakte Gefahren, sondern um konkrete Betriebsrisiken: Aufträge, die nicht bearbeitet werden können, Kunden, deren Daten weg sind, Geld, das fehlt.

Gleichzeitig zeigen sich 73 Prozent hinsichtlich der eigenen Cyberresilienz zuversichtlich.

Was KMU jetzt konkret tun können

Die Empfehlungen von ESET sind bewusst unspektakulär. Vorrang haben die konsequente Behebung bekannter Sicherheitslücken, abgesicherte Zugänge und die frühzeitige Erkennung verdächtiger Aktivitäten. Dazu kommen Mitarbeiterschulungen, eindeutige Meldewege sowie erprobte Notfall- und Wiederherstellungsprozesse. Kein Wort von exotischer KI-Abwehr, und das ist kein Zufall. Die Studie sagt zwischen den Zeilen: Bevor ihr euch vor KI-Malware fürchtet, macht erst mal die Hausaufgaben.

Das passt zur Geschichte des ganzen Feldes. Die gefährlichsten Angriffe sind selten die elegantesten. Sie sind die, bei denen ein ungepatchter Server monatelang im Netz stand oder eine überzeugend gefälschte E-Mail den richtigen Empfänger fand. Künstliche Intelligenz mag die Angriffe der Zukunft schneller und überzeugender machen, aber sie ändert nichts daran, dass die Grundlagen zählen: patchen, absichern, überwachen, schulen, üben.

Wer sich die Zahlen der Studie als Liste an die Wand hängt, hat einen besseren Fahrplan als viele teure Strategiepapiere. Phishing und ungepatchte Schwachstellen liegen bei rund 30 Prozent der gemeldeten Vorfälle, also gehört genau dorthin die meiste Aufmerksamkeit. Klare KI-Regeln schließen die Lücke bei den eigenen Anwendungen. Und wenn die Teams überlastet sind, hilft manchmal auch externe Unterstützung, bevor die eigenen Leute Fehler machen, die niemand wollte.

Frequently Asked Questions

Was sagt die ESET-Cyberresilienz-Studie 2026 für KMU aus?

Laut der am 20. Oktober 2026 veröffentlichten Studie zählen 42 Prozent der Befragten KI-gestützte Malware zu den größten Bedrohungen der kommenden zwölf Monate. Gleichzeitig dominieren bei den tatsächlich gemeldeten Sicherheitsvorfällen bekannte Angriffswege: Phishing mit 29 Prozent und ungepatchte Schwachstellen mit 28 Prozent. 82 Prozent der Unternehmen setzen bereits KI-Anwendungen ein, 67 Prozent sehen darin zusätzliche Sicherheitsrisiken.

Wovor haben deutsche KMU bei Cyberangriffen am meisten Angst?

Die größten Befürchtungen sind Datenverlust mit 54 Prozent sowie finanzielle Schäden und Betriebsunterbrechungen mit jeweils 46 Prozent. Trotz dieser Sorgen zeigen sich 73 Prozent der Befragten hinsichtlich der eigenen Cyberresilienz zuversichtlich.

Wie können KMU ihre Cybersicherheit konkret verbessern?

ESET empfiehlt, bekannte Sicherheitslücken konsequent zu beheben, Zugänge abzusichern und verdächtige Aktivitäten früh zu erkennen. Dazu kommen Mitarbeiterschulungen, klare Meldewege und erprobte Notfall- und Wiederherstellungsprozesse. Wichtig ist außerdem, Regeln für die eigene KI-Nutzung aufzustellen, weil fast ein Drittel der Unternehmen bislang keine solchen Vorgaben hat.