IT-Sicherheitsbudgets sind bekanntlich nicht unbegrenzt. Unternehmen stehen daher stets vor der Frage, welche Schutzmaßnahmen sie zuerst umsetzen sollen. Die aktuelle Studie „Cybersicherheit in Zahlen“ von G Data, Statista und Brand eins liefert dazu aufschlussreiche Zahlen: Der Schutz geschäftskritischer Systeme und Prozesse hat für die befragten Entscheider die höchste Priorität – noch vor Risikoabwägung, Budgetrestriktionen oder externen Erwartungen. Damit zeichnet sich ein klarer Trend ab: IT-Sicherheit wird zunehmend aus der Geschäftsperspektive bewertet, nicht mehr allein aus der technischen.
Schutz geschäftskritischer Systeme als oberste Priorität
Für den Report legten die Studienautoren eine Skala von 1,0 (höchste Priorität) bis 5,0 (geringste Priorität) fest. Der Schutz geschäftskritischer Systeme und Prozesse erreicht mit einem Wert von 2,72 den Spitzenplatz. Knapp dahinter folgen Risiko und potenzielle Schäden für das Unternehmen mit 2,75 sowie das verfügbare Budget für IT-Sicherheit mit 2,78. Unternehmen priorisieren demnach vor allem jene Maßnahmen, die einen unmittelbaren Geschäftsunterbruch verhindern. Die Ergebnisse unterstreichen, dass Ausfälle oder Kompromittierungen von Kernsystemen als existenziell betrachtet werden – weit mehr als etwa die Erwartungen von Kunden oder Partnern.
Die neue Studie für das Jahr 2026/2027 wird im September 2026 veröffentlicht. Die Daten basieren auf einer Befragung von Sicherheitsverantwortlichen und Geschäftsleitern in deutschen Unternehmen unterschiedlicher Größe und Branchen.
Compliance und Sicherheitsstrategie bleiben wichtig
Auch regulatorische Anforderungen und langfristige Sicherheitsziele prägen die Planung. Die Einhaltung von Compliance-Vorgaben erreicht in der Untersuchung einen Wert von 2,94. Die interne Sicherheitsstrategie beziehungsweise Roadmap folgt mit 2,95. Danach nennen die Befragten die Kosten-Nutzen-Abwägung geplanter Maßnahmen mit 2,97.
Diese Zahlen verdeutlichen, dass IT-Sicherheit zu einem integralen Bestandteil der Unternehmensführung geworden ist. Budgetentscheidungen, regulatorische Pflichten (etwa nach NIS-2 oder dem Cyber Resilience Act) und die strategische Ausrichtung der Organisation fließen direkt in die Priorisierung ein. Die Studie zeigt, dass die Abstimmung zwischen IT-Abteilung, Compliance und Geschäftsleitung bereits weit fortgeschritten ist – ein Zeichen von wachsender organisatorischer Reife.
Zeit, Bedrohungslage und Ressourcen nachrangig
Verfügbare Zeitfenster für die Umsetzung von Sicherheitsmaßnahmen kommen auf einen Wert von 3,05. Die aktuelle und zukünftige Bedrohungslage sowie die technische Integration in bestehende Systeme folgen jeweils mit 3,08. Die Verfügbarkeit interner Fachkräfte und Ressourcen liegt bei 3,15. Diese Faktoren haben zwar Einfluss, rangieren aber hinter den geschäftskritischen und strategischen Kriterien.
Am unteren Ende der Rangliste stehen Erfahrungen mit früheren Sicherheitsvorfällen mit 3,25. Noch geringer gewichten die Befragten Erwartungen von Kunden, Partnern oder Aufsichtsbehörden mit 3,28. Gerade dieser letzte Punkt überrascht: Obwohl Datenschutz und Kundenerwartungen in der öffentlichen Debatte eine große Rolle spielen, setzen Unternehmen ihre Sicherheitsbudgets primär nach innen gerichtet ein – internen Geschäftsprozessen zuliebe, nicht externen Stakeholdern.
G Data weist darauf hin, dass Erfahrungen aus vergangenen Sicherheitsvorfällen wertvolle Hinweise auf technische Schwachstellen, unklare Zuständigkeiten oder fehlende Prozesse liefern können. Die Studie zeigt jedoch, dass dieses Wissen in der Priorisierung nur nachrangig genutzt wird. Unternehmen sollten daher prüfen, ob sie Erkenntnisse aus Incidents stärker in ihre Sicherheitsstrategien, Meldewege und Notfallprozesse integrieren. Gerade in Zeiten steigender Bedrohungslagen – das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt regelmäßig vor zunehmenden Angriffen auf kritische Infrastrukturen – kann das Lernen aus eigenen Vorfällen den entscheidenden Vorsprung bringen.
Die Ergebnisse der Studie „Cybersicherheit in Zahlen“ zeichnen ein klares Bild: IT-Sicherheit ist in deutschen Unternehmen längst Chefsache. Die Priorisierung folgt einer unternehmerischen Logik, die Geschäftskontinuität, Risiko und Budget in den Mittelpunkt stellt. Künftig wird es darauf ankommen, diese strategische Ausrichtung durch agile Prozesse zu ergänzen, die auch kurzfristige Bedrohungserkenntnisse und externe Anforderungen flexibel berücksichtigen können. Die im September 2026 erscheinende Fortsetzung der Studie wird zeigen, ob sich dieser Trend weiter verfestigt oder ob neue Rahmenbedingungen – etwa strengere Compliance-Vorgaben oder spektakuläre Cybervorfälle – zu einer Verschiebung der Prioritäten führen.
