Cyber: Wie sich Unternehmen schützen und versichern

2.10.2025 – Deutlich mehr Unternehmen als im Vorjahr schätzen nun das Risiko, Opfer von Cyberkriminalität zu werden, als hoch ein. Auch konkrete Hinweise auf Angriffe haben stark zugenommen. Ein fixes Budget für Cybersecurity hat allerdings nur jedes dritte Unternehmen, fast die Hälfte verfügt über eine Versicherung gegen digitale Risiken.

EY-Cybersicherheitsstudie (Cover)

Die Triple M Matzka Markt- und Meinungsforschung KG hat im Auftrag der EY Ernst & Young ServicegmbH eine Studie zur Cybersicherheit in Österreich erstellt. Dafür wurden zwischen 3. Juni und 2. Juli dieses Jahres 200 österreichische Unternehmen ab 20 Mitarbeitern telefonisch interviewt.

Befragt wurden Geschäftsführer, Entscheider in den Bereichen Controlling und IT sowie Datenschutz-Verantwortliche aus zehn Branchen, darunter auch von Versicherungen. 40 Prozent der Unternehmen haben weniger als 50 Mitarbeiter, 52 Prozent zwischen 50 und 499, acht Prozent 500 und mehr Mitarbeiter.

Cyberangriffe seien heute eine der größten Bedrohungen für Unternehmen weltweit, so EY. Unternehmen müssten Cybersicherheit deshalb „endlich als Teil ihrer Geschäftsstrategie begreifen“, betont Gottfried Tonweber, Leiter Cybersecurity und Partner bei EY Österreich.

Wie die Risiken eingeschätzt werden

Die subjektive Einschätzung des Risikos von Cyberangriffen habe gegenüber der letztjährigen Befragung (VersicherungsJournal 29.11.2024) deutlich zugenommen. 47 Prozent schätzen nun das Risiko, dass ihr Unternehmen Opfer von Cyberangriffen bzw. Datendiebstahl wird, als hoch oder sehr hoch ein (2024: 35 Prozent).

Große Unternehmen mit einem Jahresumsatz von mehr als 51 Millionen Euro Jahresumsatz liegen dabei deutlich über dem Durchschnitt; 61 Prozent sehen ein sehr oder eher hohes Risiko. Bei Unternehmen mit weniger als zehn Millionen Euro Jahresumsatz sind dies nur 37 Prozent.

Starke Unterschiede gibt es auch zwischen einzelnen Branchen. Große oder sehr große Risiken sehen 60 Prozent der Vertreter der Bau- und Immobilienbranche, aber nur 36 Prozent aus den Bereichen Handel und Konsumgüter.

Auffällig ist, dass 43 Prozent der Befragten aus Versicherungen ein sehr hohes Risiko sehen, was den Höchstwert bedeutet. Weitere 14 Prozent sehen ein eher hohes Risiko. Ganz vorne liegen Versicherer auch bei der Einschätzung der Entwicklung: 100 Prozent erwarten eine Zunahme von Cyberangriffen und Datenklau.

Mehr Angriffe, fehlende Budgets

32 Prozent der befragten Unternehmen geben an, dass es in den vergangenen fünf Jahren konkrete Hinweise auf Angriffe auf ihre Netzwerke und Daten gegeben hat; auch hier sind große Unternehmen stärker betroffen. Insgesamt bedeutet das ein Plus von zehn Prozentpunkten gegenüber 2024.

Während Angriffe und Datendiebstahl in den Finanz- und Kreditabteilungen gegenüber dem Vorjahr stabil blieben, nahmen jene im Vertrieb, auf höherer Managementebene und im Personalbereich zu, so EY. Am häufigsten wurden Phishing- und Malware-Angriffe berichtet.

17 der 200 befragten Unternehmen waren bereits mindestens einmal von Erpressungsversuchen betroffen, bei denen Geld gefordert wurde. Bezahlt hat aber keines von ihnen.

Trotz der zunehmenden Bedrohung verfügen laut Studie 34 Prozent der befragten Unternehmen nicht über ein festes Cybersecurity-Budget, nur neun Prozent investieren mehr als 25.000 Euro jährlich in IT-Sicherheit. Jedes fünfte Unternehmen plant aber eine Erhöhung der Ausgaben in den nächsten zwei Jahren.

Wie sich Unternehmen schützen

Um sich vor Cyberangriffen zu schützen, setzen 88 Prozent der Unternehmen „Regeln, Sicherheitsupdates und Patches“ ein, 87 Prozent nützen Firewalls und Antivirus-Software. Mehrstufige Authentifizierung verwenden 77 Prozent, die Verschlüsselung sensibler Daten 72 Prozent.

Stark zugenommen haben im Jahresvergleich Schulungs- und Fortbildungsmaßnahmen für Mitarbeiter. Hatten 2024 noch 42 Prozent angegeben, keine solchen Maßnahmen anzubieten, sank dieser Anteil nun auf 22 Prozent.

Unverändert ist dagegen die Zahl der Firmen, die eine Versicherung gegen digitale Risiken abgeschlossen haben: Insgesamt sind dies 47 Prozent, den höchsten Anteil weisen Versicherer selbst mit 86 Prozent aus, den niedrigsten der Bereich Automobil/Transport mit 32 Prozent.

Die wichtigsten umgesetzten Maßnahmen im vergangenen Jahr waren die Sensibilisierung von Mitarbeitern (von 70 Prozent vorgenommen) sowie die Modernisierung der IT-Infrastruktur (63 Prozent). 13 Prozent haben allerdings im Vorjahr keinerlei Maßnahmen ergriffen.

Aufholbedarf bei NIS 2

Von der neuen Cybersicherheits-Richtlinie NIS 2 sind 51 der befragten 200 Unternehmen direkt oder indirekt betroffen.

Ein Viertel von ihnen hat die entsprechenden Vorgaben bereits vollständig durchgeführt, bei drei von zehn Unternehmen befindet sich die Umsetzung aber noch in Planung. Den Bereich „Technische Sicherheit“ haben zwei Drittel der betroffenen Firmen bereits abgeschlossen.

NIS 2 sei nicht nur regulatorische Pflicht, sondern auch eine Chance, Sicherheitsstandards auf ein neues Niveau zu heben, erklärt Tonweber. Wer hier proaktiv handelt, stärke nicht nur die Compliance, sondern die gesamte Resilienz des Unternehmens.

Weitere Informationen

Die Studie kann von einer Website von EY heruntergeladen werden.