Die 10 größten Bedrohungen der Informationssicherheit 2026 — Wie man das Ranking liest und was KMU wirklich absichern sollten

„Ransomware.“ „Supply-Chain-Angriffe.“ „KI-Risiko.“ Ich vermute, viele Menschen lassen diese Begriffe, die sie ständig in den Nachrichten sehen, einfach an sich vorbeiziehen, ohne je wirklich herauszufinden, wie sehr sie tatsächlich das eigene Unternehmen betreffen.

Eine jährliche Orientierungshilfe, die Sie für diese Einschätzung nutzen können, sind die 10 größten Bedrohungen der Informationssicherheit, veröffentlicht von der IPA (Information-technology Promotion Agency, einer unabhängigen Verwaltungseinrichtung). Es wird durch Beratung und Abstimmung eines Auswahlausschusses aus rund 250 Personen bestimmt, darunter Forschende und Fachleute aus Unternehmen, und deckt die Bedrohungen mit der größten gesellschaftlichen Wirkung des Vorjahres ab; die Ausgabe 2026 wurde am 29. Januar 2026 veröffentlicht.

Dieser Artikel geht die Top 10 der Organisationsausgabe 2026 durch und arbeitet heraus, welche davon ein KMU als eigenes Problem behandeln sollte und wo der richtige Ansatzpunkt liegt.

1. Das Wichtigste zuerst

• In der Organisationsausgabe 2026 sind die Spitzenplätze eingefroren: Platz 1 Ransomware-Angriffe (11 Jahre in Folge), Platz 2 Supply-Chain-Angriffe (8 Jahre in Folge). Mit anderen Worten: Es ist nicht so, dass „sich der Trend geändert hätte“ — sondern dass „dieselben Angriffe weiterhin wirken“
• Das erstmals gewählte „Cyberrisiko im Umgang mit KI“ steigt auf Platz 3 ein. Es umfasst nicht nur den Missbrauch von KI durch Angreifer, sondern auch Informationslecks durch die KI-Nutzung der eigenen Mitarbeitenden
• Besonders relevant für KMU sind Ransomware-Angriffe, Supply-Chain-Angriffe (als angegriffene Partei), das Ausnutzen von Schwachstellen und Business E-Mail Compromise
• Die meisten der bestplatzierten Bedrohungen ruhen auf einem Fundament aus Basismaßnahmen — Aktualisieren von Betriebssystem und Software, Backups, stärkere Passwörter und Kenntnis der Angreifermethoden. Prüfen Sie, wie konsequent Sie die Grundlagen tatsächlich anwenden, bevor Sie wegen des Rankings ein neues Produkt kaufen
• Nutzen Sie das Ranking als jährlichen Anstoß, um Ihre eigenen Maßnahmen zu überprüfen. Entscheiden Sie die Priorität nach der Auswirkung auf Ihr eigenes Unternehmen, falls es Sie träfe — nicht nach dem Rang selbst

2. Die Top 10 der Organisationsausgabe (Ausgabe 2026)

Es gibt auch eine Ausgabe für Privatpersonen, die ihre 10 Punkte jedoch in alphabetischer Reihenfolge ohne Rangfolge auflistet — ein bewusstes Design, um das Missverständnis zu vermeiden, „niedrig eingestuft bedeutet unbedenklich“. Dieselbe Denkweise gilt genauso direkt für die Lektüre der Organisationsausgabe.

Betrachtet man die Liste, fällt vor allem auf, wie eingefroren die Zusammensetzung ist. Die Plätze 1 und 2 haben sich seit über vier Jahren nicht verändert, und die meisten der Top 10 wurden fünf Jahre oder länger in Folge ausgewählt. Angriffsmethoden werden Jahr für Jahr raffinierter, aber das, was ins Visier gerät, hat sich nicht geändert. Das bedeutet auch, dass die Ausrichtung Ihrer Maßnahmen nicht jedes Jahr von Grund auf neu überdacht werden muss — der Kern besteht einfach darin, kontinuierlich konsequenter in der Anwendung der Grundlagen zu werden.

3. Die wichtigsten Bedrohungen aus Sicht eines KMU

Platz 1: Ransomware-Angriffe — „Das Geschäft durch Geiselnahme der Daten lahmlegen“

Dies ist ein Angriff, der unter anderem Ihre Daten verschlüsselt und Lösegeld fordert. Es ist kein reines Großunternehmen-Problem — KMU mit dünnen Sicherheitsmaßnahmen geraten gerade deshalb ins Visier, weil sie leicht zu durchbrechen sind. Der Schaden beschränkt sich nicht auf ein Datenleck; er führt direkt zu einem Geschäftsstillstand, bei dem Sie weder Aufträge annehmen noch etwas ausliefern können.

Die Säulen der Gegenmaßnahme sind das Schließen der Eintrittswege (Aktualisieren von VPN-Geräten, Betriebssystem und Software; Stärken der Passwörter) sowie die Vorbereitung, den Geschäftsbetrieb auch nach einem erfolgreichen Angriff wieder aufnehmen zu können (Backups anlegen, isoliert aufbewahren und die Wiederherstellbarkeit prüfen). Als IPAs „Informationssicherheits-Leitlinie für KMU“ Version 4.0 „Legen Sie Backups an!“ zu ihren „6 Artikeln der Informationssicherheit“ hinzufügte, geschah dies genau zur Vorbereitung auf diese Bedrohung (Details finden Sie in unserem Artikel zur 4. Ausgabe der Leitlinie).

Platz 2: Angriffe auf Lieferketten oder Subunternehmer — KMU geraten als „Einfallstor“ ins Visier

Statt das Zielunternehmen direkt anzugreifen, nutzt dieser Angriff einen Geschäftspartner oder Subunternehmer mit schwächerer Sicherheit als Sprungbrett. Für ein KMU trägt diese Bedrohung eine doppelte Bedeutung: Nicht nur kann „das eigene Unternehmen zum Opfer werden“, sondern „das eigene Unternehmen kann zum Einfallstor werden, über das dem Geschäftspartner geschadet wird“.

Genau deshalb treffen inzwischen Sicherheits-Checklisten von Geschäftspartnern ein. Die Bewegung, das Sicherheitsniveau entlang der gesamten Lieferkette zu überprüfen, wird künftig nur stärker werden, nicht schwächer. Die eigenen Maßnahmen so weit voranzubringen, dass man sie erklären kann, wird ebenso zu einer geschäftlichen Voraussetzung für die Fortsetzung der Beziehung wie zu einer Sicherheitsmaßnahme.

Platz 3: Cyberrisiko im Umgang mit KI — Erstmalige Auswahl

Dies wurde erstmals zu einer Kandidatenbedrohung und sofort auf Platz 3 gewählt. Der Inhalt erstreckt sich sowohl über die Angriffs- als auch über die Nutzungsseite. IPAs Pressemitteilung nennt unbeabsichtigte Informationslecks oder Verletzungen der Rechte Dritter aufgrund unzureichenden KI-Verständnisses, Probleme durch die ungeprüfte Übernahme von KI-verarbeiteten oder KI-generierten Ergebnissen sowie Cyberangriffe, die durch den Missbrauch von KI einfacher und raffinierter werden.

Für ein KMU liegt das praktisch relevante Thema weniger in der eigenen KI-Nutzung der Angreifer als vielmehr in der Nutzung generativer KI durch die eigenen Mitarbeitenden. Ist es in Ordnung, Kunden- oder Konstruktionsinformationen in einen KI-Dienst einzugeben? Ist es in Ordnung, generierten Text oder Code ohne Prüfung zu verwenden? Sowohl ein pauschales Verbot als auch völliges Gewährenlassen führen zu Problemen, daher ist der erste Schritt, einfache interne Regeln festzulegen: „Was darf eingegeben werden?“ und „Wie wird das Ergebnis überprüft?“

Platz 4: Angriffe, die Systemschwachstellen ausnutzen — „Vernachlässigte Updates“ werden zum Einfallstor

Dieser Angriff trifft eine bekannte Schwachstelle in Software. Geräte und Software, für die bereits ein Patch veröffentlicht, aber nie eingespielt wurde, geraten ins Visier. Typische Beispiele sind VPN-Geräte, ein Betriebssystem, dessen Support beendet wurde, und eine WordPress-Site, die keine Updates mehr erhält.

Das ist kein technisch anspruchsvolles Problem — es ist ein organisatorisches: die Frage, ob tatsächlich festgelegt ist, wer was wann aktualisiert. Falls Ihre eigene Website darunterfallen könnte, lesen Sie auch unseren Artikel zu IPAs „Anleitung für sichere Websites“.

Platz 7: Internes Fehlverhalten und Platz 10: Business E-Mail Compromise — Bedrohungen durch Menschen und Prozesse

Informationslecks durch internes Fehlverhalten sind eine Bedrohung, an der aktuelle oder ehemalige Mitarbeitende beteiligt sind — etwa ein ausscheidender Mitarbeiter, der Kundendaten mitnimmt. Die Gegenmaßnahme besteht aus einem Stapel unglamouröser Verfahren: Zugriffsrechte aufräumen, Konten beim Austritt deaktivieren und Daten von zu entsorgenden PCs löschen.

Business E-Mail Compromise ist Betrug, bei dem sich jemand als Geschäftspartner oder Führungskraft ausgibt, um eine Überweisung auf ein gefälschtes Konto zu veranlassen. Neben technischen Maßnahmen ist eine geschäftliche Regel wie „eine Änderung des Überweisungsempfängers wird immer telefonisch bestätigt“ der entscheidende Faktor. Bei der Überprüfung Ihrer E-Mail-Praktiken lohnt es sich, auch unseren Beitrag zum Verzicht auf PPAP im selben Kontext zu betrachten.

4. Der richtige Umgang mit dem Ranking

Über die 10 größten Bedrohungen wird jedes Jahr gesprochen, aber wer sie falsch nutzt, macht am Ende das Pferd von hinten auf — „ein Produkt gegen die diesjährige Bedrohung Nr. 1 kaufen und die Sache als erledigt betrachten“. Was die IPA tatsächlich betont, ist die kontinuierliche Sammlung von Bedrohungsinformationen sowie das Identifizieren und Angehen der für die eigene Organisation relevanten Risiken.

In der Praxis ist es realistisch, daraus die folgende jährliche Routine zu machen.

• Bei der Veröffentlichung Ende Januar jedes Jahres die Top 10 durchgehen und einzeln durchdenken: „Was würde bei uns nicht mehr funktionieren, wenn das passiert?“
• Für die Bedrohungen, die für Ihr Unternehmen besonders relevant sind, prüfen, wie konsequent Sie die Basismaßnahmen anwenden (Aktualisieren von Betriebssystem und Software, Backups, Passwörter, Freigabeeinstellungen, Kenntnis der Angreifermethoden)
• Wo eine Lücke besteht, diese mit der Selbsteinschätzung und den Anhängen der Informationssicherheits-Leitlinien für KMU schließen

Die IPA veröffentlicht für die Organisationsausgabe zudem ein 64-seitiges Erläuterungsheft und Präsentationsunterlagen kostenlos, die Sie unverändert für ein Morgenmeeting oder eine interne Schulung nutzen können. „Kenne die Bedrohungen und die Methoden der Angreifer“ ist selbst einer der 6 Artikel der Informationssicherheit, und allein das jährliche interne Teilen der 10 größten Bedrohungen zählt bereits als Umsetzung davon.

Zusammenfassung

Hier eine Rekapitulation der wichtigsten Punkte der 10 größten Bedrohungen der Informationssicherheit 2026.

• Die Organisationsausgabe führt Ransomware-Angriffe auf Platz 1, Supply-Chain-Angriffe auf Platz 2 und das erstmals gewählte KI-Risiko auf Platz 3. Die Spitzenplätze sind seit Jahren eingefroren, was zeigt, dass dieselben Angriffe weiterhin wirken
• KMU sollten Ransomware, Supply-Chain-Angriffe, das Ausnutzen von Schwachstellen und Business E-Mail Compromise besonders als eigenes Problem behandeln
• Das KI-Risiko betrifft nicht nur die Angriffsseite — es umfasst auch Informationslecks und ungeprüfte Übernahme von Ergebnissen durch die eigene Nutzung generativer KI durch Mitarbeitende. Beginnen Sie mit einfachen internen Regeln
• Das Fundament der Maßnahmen für die bestplatzierten Bedrohungen ist die konsequente Anwendung der Grundlagen. Nutzen Sie das Ranking als jährlichen Anstoß zur Überprüfung
• Der Rang spiegelt die Auswirkung auf die Gesellschaft als Ganzes wider; Ihre eigene Priorität sollten Sie anhand der Auswirkung auf Ihr eigenes Geschäft festlegen

Wenn Sie Schwierigkeiten haben, die für Ihr Unternehmen relevanten Bedrohungen zu identifizieren

Um zu beurteilen, „welche Bedrohungen für uns relevant sind“, müssen Sie Ihre eigene Systemkonfiguration und Ihren Geschäftsablauf tatsächlich verstehen. Haben Sie ein VPN? Wo läuft noch alte Software? Lassen sich Ihre Backups tatsächlich wiederherstellen? Diese Art von Bestandsaufnahme ist eine individuelle Überprüfungsarbeit, keine Frage allgemeiner Theorie.

Die Komura Software LLC (合同会社小村ソフト) übernimmt, gestützt auf unsere Erfahrung in der Entwicklung und Wartung von Windows-Geschäftsanwendungen und Websystemen, Beratungen zur Identifikation von Risiken rund um Geschäftssysteme sowie zur Anpassung und Wartung bestehender Software, die keine Updates mehr erhält. Wir sprechen gern auch schon in der Phase „Ich weiß nicht einmal, wo ich mit der Prüfung anfangen soll“ mit Ihnen.

Verwandte Artikel

Aktuelle Artikel mit denselben Schlagwörtern führen zu verwandten Themen weiter.

Verwandte Themen

Diese Seiten ordnen den Artikel in einen größeren Leistungs- und Entscheidungskontext ein.

Leistungen zu diesem Thema

Dieser Artikel ist direkt mit den folgenden Leistungen verbunden.

Häufige Fragen

Fragen, die in Beratungen zu diesem Artikelthema häufig gestellt werden.

Was sind die „10 größten Bedrohungen der Informationssicherheit“?

Es handelt sich um ein jährliches Ranking, das die IPA (Information-technology Promotion Agency, eine unabhängige Verwaltungseinrichtung) veröffentlicht und das die Informationssicherheitsbedrohungen mit der größten gesellschaftlichen Wirkung des Vorjahres auflistet. Die IPA wählt die Kandidatenbedrohungen aus, und das endgültige Ranking wird durch Beratung und Abstimmung eines „Auswahlausschusses der 10 größten Bedrohungen“ festgelegt, dem rund 250 Personen angehören, darunter Forschende und Fachleute aus Unternehmen. Es gibt eine Ausgabe für Organisationen und eine für Privatpersonen; die Ausgabe 2026 wurde am 29. Januar 2026 veröffentlicht. Für die Organisationsausgabe werden zudem ein Erläuterungsheft und Präsentationsunterlagen kostenlos bereitgestellt, die sich auch für interne Schulungen nutzen lassen.

Gibt es in der Organisationsausgabe 2026 eine neue Bedrohung?

Das „Cyberrisiko im Umgang mit KI“ wurde erstmals als Kandidatenbedrohung aufgenommen und sofort auf Platz 3 gewählt. Es umfasst Risiken sowohl auf der Nutzungs- als auch auf der Angriffsseite: unbeabsichtigte Informationslecks oder Verletzungen der Rechte Dritter aufgrund unzureichenden KI-Verständnisses, Probleme durch die ungeprüfte Übernahme von KI-generierten Ergebnissen sowie Cyberangriffe, die durch den Missbrauch von KI einfacher und raffinierter werden.

Welchen Punkt des Rankings sollte ein KMU zuerst angehen?

Die Grundregel lautet, nach der „Auswirkung, falls es das eigene Unternehmen träfe“ auszuwählen, statt nach dem Rang. Doch die Bedrohungen, die für die meisten KMU besonders relevant sind, sind: Platz 1, Ransomware-Angriffe (Backups und Schutz der Eintrittspunkte); Platz 2, Supply-Chain-Angriffe (als Geschäftspartner ins Visier geraten oder Sicherheitsnachweise erbringen müssen); Platz 4, Angriffe, die Systemschwachstellen ausnutzen (vernachlässigte VPN-Geräte oder veraltete Software); und Platz 10, Business E-Mail Compromise (Betrug wie gefälschte Änderungen der Überweisungsempfänger). In jedem Fall bilden Basismaßnahmen — Aktualisieren von Betriebssystem und Software, Backups anlegen und Passwörter stärken — das Fundament.

Ist es in Ordnung, Bedrohungen zu ignorieren, die es nicht ins Ranking geschafft haben?

Nein, das ist keine gute Idee. Die 10 größten Bedrohungen sind lediglich ein Ranking dessen, was im Vorjahr gesellschaftlich große Wirkung hatte; wie wichtig etwas für die eigene Organisation ist, ist eine davon getrennte Frage. Die IPA selbst betont, wie wichtig es ist, kontinuierlich Bedrohungsinformationen zu sammeln und die für die eigene Organisation relevanten Risiken zu identifizieren und anzugehen. Der richtige Umgang mit dem Ranking besteht darin, es als Anstoß zu nutzen, um allgemeine Trends kennenzulernen und die eigenen Maßnahmen zu überprüfen.

Autorenprofil

Profilseite des Artikelautors.

Go Komura

Geschäftsführer von KomuraSoft LLC

Spezialisiert auf Windows-Softwareentwicklung, technische Beratung und Fehleranalyse, insbesondere bei bestehenden Systemen und schwer reproduzierbaren Störungen.