Viele Organisationen investieren in Sicherheitssoftware, Incident-Response-Teams und technische Maßnahmen. Trotzdem zeigt eine aktuelle Untersuchung: Eine ernsthafte Cyberattacke würde bei vielen Firmen voraussichtlich nicht reibungslos abgewehrt werden. Das zentrale Problem ist weniger das Vorhandensein einzelner Bausteine, sondern wie gut sie in der Praxis unter Zeitdruck zusammenwirken.
Die Ergebnisse aus „State of Incident Response Readiness 2026“ beruhen auf einer Umfrage unter 600 IT-Entscheidern im Zeitraum Januar bis Februar 2026. Dabei gaben 73% der Befragten an, sie wären im Ernstfall nicht „vollständig einsatzbereit“, falls morgen ein relevanter Cyberangriff beginnt. Genau diese Lücke nennen wir hier: Cyberangriff Einsatzreife.
Warum Pläne allein keine Cyberangriff Einsatzreife garantieren
Incident Response ist längst mehr als reines „Eindämmen“ eines Angriffs. Reife Prozesse umfassen heute unter anderem Krisenmanagement durch die Unternehmensführung, juristische und regulatorische Abstimmung, Kommunikation mit Stakeholdern, Untersuchung über das gesamte Unternehmen, Maßnahmen zur Behebung sowie Monitoring nach dem Vorfall.
Die Studie macht deutlich, dass viele Organisationen diese Elemente zwar irgendwo in ihrer Organisation haben, sie aber nicht als zusammenhängendes System ausführen können. Weniger als 40% der Teilnehmenden bewerten zentrale Bestandteile als „sehr effektiv“, darunter dokumentierte Pläne, Tabletop-Übungen, Threat Hunting, digitale Forensik und 24/7-Überwachung.
Damit wird ein wichtiger Punkt sichtbar: Es zählt, ob Maßnahmen im Moment der Entscheidung funktionieren – wenn Lagebilder unklar sind, Zeit knapp ist und verschiedene Teams gleichzeitig handeln müssen.
Koordination stockt – und Verzögerungen werden teuer
Ein besonders starkes Signal: In vielen Organisationen erwarten Verantwortliche erhebliche Schwierigkeiten bei der Koordination von Stakeholdern während eines bedeutenden Vorfalls. 90% gehen davon aus, dass Abstimmung intern problematisch wird.
Besonders kritisch wird es, wenn juristische, Kommunikations-, Security-, IT- und Führungsteams nicht bereits vor dem Ernstfall gemeinsam ausgerichtet sind. 75% der Befragten stimmen zu, dass Verzögerungen oder Unsicherheit bei der Einbindung von Legal- und Kommunikationsverantwortlichen die Entscheidungsfindung bei Cybervorfällen verlangsamen.
Auch die Rolle der Führung zeigt Lücken: 89% nennen eine geringe Beteiligung von Executive- oder Board-Ebene bei Bereitschaft und Entscheidungsprozessen. In der Folge kann sich ein gefährliches Muster entwickeln:
- Technische Teams untersuchen und versuchen, den Angriff einzudämmen.
- Führungskräfte benötigen Updates, bevor größere Maßnahmen genehmigt werden.
- Recht und Kommunikation kommen häufig erst später dazu.
- Entscheidungen zu Offenlegung, Kundenbotschaften und Eskalation hinken nach.
- Die Response-Teams verlieren Zeit, wenn es bei der Eindämmung auf Tempo ankommt.
Unklare Zuständigkeiten können aus einem geplanten Ablauf einen reaktiven Prozess machen: Statt des rehearsed Vorgehens entstehen zusätzliche Runden für Briefing, Klärung von Autoritäten und Abwarten von Freigaben. Genau dort entsteht die Bremswirkung, die die Cyberangriff Einsatzreife ausbremst.
Blind Spots erhöhen das Risiko wiederkehrender Vorfälle
Neben der organisatorischen Komponente zeigt die Studie auch technische Herausforderungen. Viele Unternehmen können Angreiferbewegungen offenbar nicht durchgängig nachvollziehen. 78% der Befragten stimmen der Aussage zu, dass blinde Bereiche in der Umgebung zu persistentem Zugriff beitragen und das Risiko wiederholter Vorfälle erhöhen.
Diese „Blind Spots“ können sich über mehrere Bereiche erstrecken: On-Premise-Infrastrukturen, öffentliche Cloud-Umgebungen, Endpoints, SaaS-Plattformen, Identitätssysteme und – je nach Branche – auch operative Technologie (OT) bzw. industrielle Steuerumgebungen (ICS).
Wenn Sichtbarkeit fehlt, lassen sich zentrale Fragen im Ernstfall schwer beantworten, etwa:
- Wie ist der Angreifer eingedrungen?
- Welche Systeme wurden tatsächlich erreicht?
- Hat der Angreifer sich lateral weiterbewegt?
- Sind privilegierte Konten kompromittiert?
- Wurde Schadsoftware oder Persistenz wirklich entfernt?
- Könnte der Angreifer nach der „Wiederherstellung“ zurückkehren?
Ohne verlässliches Lagebild besteht die Gefahr, dass man nur einen Teil des Vorfalls eindämmt – während der Angreiferzugang im Hintergrund bestehen bleibt. Dann wird aus dem „Incident“ sehr schnell ein wiederkehrendes Muster.
OT und ICS: Wenn IT-Angriffe den Betrieb gefährden
Ein weiterer Schwerpunkt liegt auf dem Risiko, dass Angreifer von klassischen IT-Systemen in operative Technologie überwechseln. 84% der Organisationen geben an, sie sorgen sich genau davor.
Das ist besonders relevant für Bereiche wie Produktion, Energie, Gesundheitswesen, Verkehr und Kritische Infrastruktur. In solchen Umgebungen können Cybervorfälle Auswirkungen haben, die über Datenabfluss oder IT-Ausfall hinausgehen: Sie können Produktion, Sicherheit, Servicebereitstellung und Wiederanlaufzeiten beeinflussen.
Die Studie deutet darauf hin, dass viele diese Exposition zwar erkennen, aber weiterhin nicht über eine einheitliche Sicht verfügen, um ein Übergreifen zwischen Umgebungen schnell zu erkennen und zu stoppen. Für die Cyberangriff Einsatzreife bedeutet das: Prozesse müssen sowohl technisches Monitoring als auch organisationsweite Koordination über IT und OT hinweg abdecken.
Cyberangriffe sind bereits Realität – mit spürbaren Folgen
Die Untersuchung zeigt außerdem: Cyberangriffe sind nicht hypothetisch. 76% der Organisationen berichten von mindestens einem Vorfall in den vergangenen zwölf Monaten, 32% hatten sogar mehr als einen.
Zu den beobachteten Auswirkungen zählen unter anderem operative Abschaltungen, Datenverlust, Reputationsschäden, Verlust von Kunden, entgangener Umsatz und spürbare Unterbrechung auf Führungsebene.
Je nach Branche unterscheiden sich die Muster. Einzelhandel meldet besonders häufig operative Shutdowns sowie Umsatzeinbußen oder Profitverlust. Produktion und Finanzdienstleistungen berichten eher über Datenverluste. Im Bereich Krypto und dezentrale Finanzen wird die höchste Angriffsfrequenz genannt. Private Gesundheitsorganisationen zeigen besonders hohe Besorgnis, wenn es um Verzögerungen in Legal- und Kommunikationsprozessen geht.
Auch regionale Unterschiede werden sichtbar: Nordamerika nennt die höchste Anzahl an Cyberangriffen. Befragte aus APAC berichten vergleichsweise häufiger über Datenverluste, Reputations- und Kundenverluste. Europa meldet insgesamt weniger Vorfälle, aber dort führen diese häufiger zu Umsatzeinbußen oder Profitverlust.
Ransomware und Cloud-Angriffe prägen die nächsten Sorgen – nicht nur ein Szenario
Wenn es um die Zukunft geht, nennen die Teilnehmenden eine breite Palette von Bedrohungen, die finanziell, operativ oder reputationsbezogen schwer treffen können. Ransomware steht dabei an erster Stelle, dicht gefolgt von Angriffen auf Cloud-Umgebungen.
Wichtig ist jedoch: Die Befragten bereiten sich nicht auf nur eine dominante Gefahr vor. Stattdessen entsteht ein Umfeld mit vielen parallelen Pfaden, darunter Cloud-Kompromittierung, Missbrauch von Identitäten, Drittanbieter-Risiken, AI-gestützte Angriffe, Ransomware sowie Angriffe, die sich über hybride Umgebungen bewegen.
Damit wird die Definition von Cyberangriff Einsatzreife anspruchsvoller. Organisationen müssen Antworten auf unterschiedliche Angriffswege liefern – und nicht nur ein einzelnes Muster proben.
AI hilft – ersetzt aber keine Entscheidungen und Sichtbarkeit
Ein interessanter Befund: Viele Unternehmen nutzen zunehmend AI- und Machine-Learning-gestützte Funktionen für Threat Detection und Incident Response. Fast ein Drittel der Organisationen berichtet von einer „umfangreichen“ Nutzung in den meisten oder allen relevanten Aktivitäten – ein Anstieg gegenüber dem Vorjahr.
Bis 2027 erwarten 63%, dass AI in diese Prozesse integriert sein wird. Die Studie legt nahe, dass Organisationen mit moderater oder umfangreicher AI-Nutzung Incident-Response-Bausteine eher als wirksam bewerten als Unternehmen, die AI nur eingeschränkt verwenden.
Allerdings gibt es klare Grenzen: AI kann Abläufe unterstützen, sie aber nicht vollständig ersetzen. Ohne klare Governance, fehlende Entscheidungsrechte und fragmentierte Stakeholder-Koordination bleibt die Einsatzreife unvollständig. Ebenso gilt: AI kann die notwendige Sichtbarkeit nicht alleine „herstellen“.
Externes Support-Modell wird neu bewertet
Viele Organisationen überdenken zudem ihre externen Partnerschaften rund um Incident Response sowie Managed Detection and Response. Die Studie zeigt, dass viele am Ende laufender Verträge den Anbieter wechseln wollen.
Als Gründe werden unter anderem genannt: Unterstützung, die proaktiver zur Bereitschaft beiträgt, breitere Abdeckung über IT, OT, Cloud und hybride Umgebungen, tieferes Know-how bei komplexen Vorfällen, bessere Sicht über einzelne Technologieketten hinweg sowie schnellere Unterstützung bei Ermittlungen unter hohem Druck.
Ein weiterer Aspekt ist die Sorge vor Abhängigkeit von engen Technologie-Ökosystemen. Wenn Response-Teams nur eine Plattform oder ein Toolset nutzen können, kann Untersuchung und Eindämmung eingeschränkt sein – etwa durch begrenzte Erkennungsmöglichkeiten oder Zugriffsrollen.
So verbessern Unternehmen die Cyberangriff Einsatzreife
Die zentralen Handlungsempfehlungen aus der Studie lassen sich auf einen gemeinsamen Nenner bringen: Bereitschaft ist eine laufende betriebliche Disziplin – nicht nur ein Dokument für jährliche Compliance.
1) Entscheidungsrechte vor dem Ernstfall festlegen
Security, Führung, Legal, Kommunikation, Compliance und Business sollten Rollen, Eskalationswege und Genehmigungsschwellen vorab kennen. Diese Zuständigkeiten müssen dokumentiert und in Übungen überprüft werden.
2) Cross-funktionale Koordination konsequent testen
Tabletop-Übungen sollten nicht nur technische Beteiligte umfassen. Wenn auch nicht-technische Stakeholder teilnehmen, wird klar, wo Entscheidungsgeschwindigkeit leidet und wo Autoritäten unklar sind. So werden Response-Pläne realistischer gegenüber den echten Abhängigkeiten im Betrieb.
3) Sichtbarkeit in den relevanten Umgebungen prüfen
Organisationen sollten bewerten, ob sie Ermittlungen über Endpoints, Identitätssysteme, Cloud-Plattformen, SaaS, On-Premise-Strukturen und OT (wo relevant) durchführen können. Testmethoden können Threat Hunting, Attack Simulation, Red- oder Purple-Team-Aktivitäten sein.
4) AI als Beschleuniger, nicht als Ersatz begreifen
AI und Automatisierung können Triaging, Alert-Anreicherung und Threat Hunting beschleunigen. Entscheidend ist, dass diese Fähigkeiten in klar definierte Workflows eingebettet sind – mit menschlicher Aufsicht, Eskalationskriterien und getesteten Abläufen.
5) Kapazitäten intern und extern realistisch einordnen
Schließlich sollten Unternehmen festlegen, welche Aufgaben sie intern abdecken können und wo externe Expertise sinnvoll ist. Wenn Anbieter beteiligt sind, sollten sie anhand von Erfahrung, Reaktionsgeschwindigkeit, technischer Tiefe, Fähigkeit zur Arbeit über Umgebungen hinweg sowie Kommunikationspraxis und Unterstützung bei Verbesserungen nach dem Vorfall beurteilt werden.
Fazit: Cyberangriff Einsatzreife entsteht durch Zusammenspiel
Die Umfrage zeichnet ein klares Bild: Angriffe treffen viele Unternehmen bereits heute – doch viele sind nicht sicher, ob ihre Incident-Response-Fähigkeiten unter realem Druck standhalten. Die Herausforderung besteht nicht mehr nur darin, einen Plan zu erstellen. Entscheidend ist, dass dieser Plan im Zusammenspiel funktioniert: über Teams, Technologien und Führung hinweg – inklusive Legal- und Kommunikationsverantwortlichen sowie den Geschäftsbereichen.
Wenn Angreifer schneller durch Cloud, IT, Identität, SaaS und OT navigieren, muss Cyberangriff Einsatzreife kontinuierlich aufgebaut werden. Wer Lücken bei Sichtbarkeit, Autoritäten oder Koordination erst im Live-Vorfall entdeckt, riskiert Kosten, die sich nicht nur in betroffenen Systemen zeigen, sondern auch in Umsatz, Ruf und Vertrauen.
Quelle: https://thehackernews.com/2026/07/73-of-organizations-say-they-are-not.html
