Inhalt in Kürze
- Deutsche Unternehmen werden im Februar 2026 mit durchschnittlich 1.345 Cyberangriffen pro Woche attackiert — ein Plus von 11 Prozent gegenüber dem Vorjahr.
- Seit Mai 2026 setzt das BSI die NIS2-Richtlinie aktiv durch: Nur 38 Prozent der über 29.000 betroffenen Unternehmen haben sich fristgerecht registriert, Geschäftsführer haften persönlich.
- Klinik-Hacks im Mai 2026 mit über 172.000 betroffenen Patienten zeigen: Supply-Chain-Angriffe über IT-Dienstleister sind das dominante Angriffsmuster.
- 80 Prozent aller Ransomware-Angriffe 2025 trafen den Mittelstand — 64 Prozent der Zahler bekommen ihre Daten trotzdem nicht zurück.
Die Lage im Mai 2026: Warum dieser Monat anders ist
Deutsche Unternehmen stehen unter Dauerfeuer. Im Februar 2026 verzeichnete Check Point Research durchschnittlich 1.345 Cyberangriffe pro Woche je Unternehmen — 11 Prozent mehr als im Vorjahr (BornCity / Check Point Research). Im Januar waren es bereits 1.314 Angriffe pro Woche, plus 16 Prozent (it-daily.net).
Der April brachte 707 öffentlich gemeldete Ransomware-Vorfälle, ein Plus von 5 Prozent gegenüber März (netzpalaver). Das BKA-Bundeslagebild Cybercrime 2025 zählt 334.000 Fälle und einen Gesamtschaden von 202 Milliarden Euro (all-about-security.de).
Hamburg ist mittendrin. Die Hansestadt ist Logistikdrehscheibe, Medizinstandort und Heimat tausender Mittelständler. Genau diese Mischung macht sie zum lohnenden Ziel.
NIS2-Durchgriff seit Mai 2026: Das BSI macht jetzt Ernst
Seit Mai 2026 setzt das Bundesamt für Sicherheit in der Informationstechnik die NIS2-Richtlinie aktiv durch. Der Stichtag für die Registrierung lief am 6. März 2026 ab. Das Ergebnis ist ernüchternd: Nur 38 Prozent der über 29.000 betroffenen Unternehmen haben sich fristgerecht registriert (it-boltwise).
Die Konsequenzen sind keine Theorie mehr. Es drohen Bußgelder im Millionenbereich und — für viele Geschäftsführer das eigentliche Damoklesschwert — die persönliche Haftung. Wer NIS2 ignoriert, riskiert das Privatvermögen (CIO).
Konkret prüfen die Behörden ab Mai 2026 vor allem zwei Dinge: veraltete Authentifizierungsmethoden und fehlende Phishing-resistente Multi-Faktor-Authentifizierung. SMS-TANs und einfache Passwörter reichen nicht mehr (boerse-express).
Dazu kommt die 24-Stunden-Meldepflicht. Seit dem 6. Dezember 2025 müssen betroffene Unternehmen Sicherheitsvorfälle binnen 24 Stunden an das BSI melden — ein völlig neues Tempo gegenüber den 72-Stunden-Fristen aus der DSGVO (dr-datenschutz.de).
NIS2 trifft auch viele KMU, die sich bisher nicht angesprochen fühlten — etwa als Zulieferer kritischer Branchen. Prüfen Sie jetzt, ob Ihr Unternehmen registrierungspflichtig ist. Im Zweifel hilft unser NIS2-Betroffenheits-Check — in zwei Minuten wissen Sie, woran Sie sind. Die Haftung trifft Sie persönlich.
Klinik-Hacks 2026: Warum Supply-Chain das neue Einfallstor ist
Der Mai 2026 hat zwei Dinge bewiesen: Krankenhäuser sind massiv verwundbar, und die Schwachstelle liegt fast nie im Klinikum selbst. Sie liegt beim Dienstleister.
Nach dem Angriff auf den Abrechnungsdienstleister Unimed wurden zehntausende Patientendaten gestohlen, betroffen sind auch Patienten aus Mitteldeutschland (MDR). Bei einem weiteren Vorfall sind über 72.000 Patientinnen und Patienten der Universitätskliniken Freiburg, Ulm, Heidelberg und weiterer Häuser betroffen (Zeit). Ein dritter Vorfall: über 100.000 Patientendaten deutscher Kliniken — wieder über einen externen Dienstleister abgegriffen (CIO).
Was hat das mit Ihrem Mittelstand zu tun? Sehr viel. Wenn Sie einen Steuerberater nutzen, ein Lohnbüro, einen externen IT-Support, einen Cloud-Anbieter oder ein Wartungsunternehmen mit Fernzugriff — dann sind Sie Teil einer Lieferkette. Fällt einer dieser Partner, fallen seine Kunden mit.
Das macht NIS2 so brisant: Das Gesetz verpflichtet betroffene Unternehmen, ihre gesamte Lieferkette zu prüfen. Wer als Zulieferer keine Antworten zu Sicherheitsmaßnahmen liefern kann, fliegt aus den Verträgen — auch ohne selbst direkt unter NIS2 zu fallen. Mehr dazu in unserer NIS2-Beratung für Hamburg.
Ransomware-Trends: RMM-Tools werden zur Waffe
Ransomware bleibt 2026 die teuerste Bedrohung — und sie wird raffinierter. Die Erkennungen sind um 190 Prozent gestiegen. Der Grund: Angreifer kapern legitime Remote-Management-Software wie AnyDesk, TeamViewer oder ConnectWise, um klassische Schutzmechanismen zu umgehen (BornCity).
Die Logik ist perfide: Diese Tools sind erlaubt, signiert und gehören oft zum Standard-IT-Setup. Antivirenlösungen schlagen nicht an, weil das Programm legitim ist. Erst wenn die Daten verschlüsselt sind, fällt der Einbruch auf.
Parallel läuft das KI-getriebene Phishing in eine neue Dimension. Mobile Cyberangriffe erreichen 2026 Rekordhöhen — getrieben durch personalisierte, in fehlerfreiem Deutsch verfasste Mails und neue Banking-Trojaner mit NFC-Schadsoftware (BornCity).
Und wer zahlt, gewinnt selten. Der aktuelle Hiscox Cyber Readiness Report zeigt: 64 Prozent der zahlenden Unternehmen können ihre Daten nach der Lösegeldzahlung nicht oder nur teilweise wiederherstellen (it-daily.net).
Es trifft auch die kleineren Unternehmen, die nicht direkt unter NIS2 fallen — aber als Teil der Lieferkette plötzlich im Fokus stehen.
Jens HagelGeschäftsführer, hagel IT-Services GmbH
KMU im Fadenkreuz: 80 Prozent aller Ransomware-Angriffe trafen Mittelstand
Der Mythos vom "zu kleinen, um interessant zu sein"-Unternehmen ist tot. 80 Prozent aller gemeldeten Ransomware-Angriffe 2025 trafen kleine und mittlere Unternehmen (gastgewerbe-magazin.de). Der Security Navigator 2026 bestätigt: Der deutsche Mittelstand ist überproportional von Cyber-Erpressung betroffen (unternehmen-cybersicherheit.de).
Warum gerade KMU mit 5 bis 50 Mitarbeitern? Drei Gründe:
- Limitiertes IT-Budget, keine eigene Security-Abteilung.
- Veraltete Authentifizierung — oft noch Passwörter ohne MFA.
- Geringere Sichtbarkeit für Angreifer? Falsch. Automatisierte Scanner finden jeden offenen RDP-Port in Minuten.
Der geopolitische Kontext verschärft die Lage. Das Bundesamt für Verfassungsschutz stuft Deutschland im Februar 2026 als attraktives Ziel für staatlich gesteuerte Cyberangriffe ein — die zentrale geografische Lage in Europa und die politische Rolle in der EU machen es zum Top-Ziel (Verfassungsschutz). Die Mehrheit der Angriffe stammt aus Russland und China.
Acht konkrete Maßnahmen für die nächsten 30 Tage
Reden hilft nicht. Hier ist Ihre Checkliste für den nächsten Monat:
- NIS2-Registrierung prüfen: Klären Sie, ob Ihr Unternehmen betroffen ist (auch als Zulieferer!) und registrieren Sie sich notfalls nachträglich beim BSI. Bußgelder und persönliche Haftung sind real.
- Phishing-resistente MFA einführen: SMS-TAN reicht nicht. Hardware-Tokens (YubiKey, FIDO2) oder zertifikatsbasierte Lösungen sind Pflicht — für Geschäftsführung, Buchhaltung und IT zuerst.
- Dienstleister-Risiken managen: Listen Sie alle externen IT-Partner auf. Fordern Sie Sicherheitsnachweise an. In Hamburg helfen wir Ihnen, einen pragmatischen Lieferanten-Check aufzusetzen.
- Backup-Strategie testen: 64 Prozent der Zahler bekommen keine Daten zurück. Testen Sie Ihr Backup mit einer echten Wiederherstellung — nicht nur mit dem grünen Häkchen im Dashboard.
- RMM-Tools absichern: AnyDesk, TeamViewer & Co. nur mit MFA, IP-Whitelisting und Logging. Unbenutzte Fernzugriffe deinstallieren.
- 24h-Meldeprozess aufsetzen: Wer macht was, wenn der Vorfall um 18:00 Uhr am Freitag passiert? Rollen, Telefonnummern, Eskalationspfad — schriftlich.
- KI-Phishing-Schulung: Mitarbeiter trainieren, jetzt mit aktuellen KI-Beispielen. Die alten "Erkennen Sie Rechtschreibfehler"-Tipps sind 2026 wertlos.
- Prävention vor Reaktion: Ein Schwachstellen-Scan und ein NIS2-Check kosten weniger als ein einziger Tag Betriebsausfall nach einem Ransomware-Vorfall.
Wir sehen bei Kunden immer wieder dasselbe Muster: Ein externer Dienstleister hat noch einen alten VPN-Zugang, der seit Jahren niemandem aufgefallen ist. Genau über diese vergessenen Zugänge laufen 2026 die meisten Angriffe. Inventarisieren Sie alle Fernzugriffe — und schalten Sie alles ab, was nicht aktiv genutzt wird.
BSI-Termine und Ressourcen für Geschäftsführer
Sie müssen das Rad nicht neu erfinden. Es gibt aktuell drei Anlaufstellen, die für Hamburger KMU sofort relevant sind:
- 39. Cyber-Sicherheits-Tag der Allianz für Cyber-Sicherheit am 11. Juni 2026 — Fokus auf KMU-Schutz, kompakt und praxisnah (ACS).
- BSI-Webinarreihe #nis2know — laufende Online-Sessions zur konkreten NIS2-Umsetzung (BSI).
- DIHK-Webinarreihe "Cybersicherheitsgesetze — und jetzt?" mit konkreten Umsetzungsschritten für Mittelständler (DIHK).
Was bedeutet das für Sie?
Wenn Sie ein Hamburger KMU mit 20 bis 300 Mitarbeitern führen, sind Sie aus drei Richtungen unter Druck:
- Regulatorisch: NIS2 verpflichtet Sie entweder direkt — oder über Ihre Kunden, die Sie als Zulieferer prüfen werden.
- Operativ: Die Angreifer professionalisieren sich, RMM-Tools und KI-Phishing schlagen klassische Schutzmechanismen.
- Haftungsrechtlich: Geschäftsführer haften persönlich. Ein Vorfall ohne nachweisbare Schutzmaßnahmen wird teuer.
Die gute Nachricht: Sie müssen nicht alles auf einmal lösen. Beginnen Sie mit den drei wichtigsten Hebeln — MFA, Backup-Test, Dienstleister-Inventur. Damit haben Sie 80 Prozent des Risikos abgedeckt.
Fazit / Ihr nächster Schritt
NIS2-Check für Ihr Hamburger KMU — in 15 Minuten wissen Sie, wo Sie stehen
Vereinbaren Sie ein unverbindliches Erstgespräch mit Jens Hagel und dem Team von hagel IT-Services. Wir klären Betroffenheit, Sofortmaßnahmen und realistischen Umsetzungsplan — ohne Verkaufsdruck.
Erstgespräch buchenWeitere Hintergründe finden Sie auf unserer Seite zu Leistungen oder direkt in unserer NIS2-Beratung für Hamburg.
Häufige Fragen (FAQ)
Ist mein KMU von NIS2 betroffen, auch wenn wir keine kritische Infrastruktur sind?
Möglicherweise ja. NIS2 erfasst 18 Sektoren und rund 29.000 deutsche Unternehmen, darunter auch IT-Dienstleister, Logistik, Lebensmittel und Hersteller. Zusätzlich treffen die Anforderungen indirekt jeden Zulieferer eines NIS2-Unternehmens. Lassen Sie die Betroffenheit prüfen — der Test dauert keine Stunde.
Was kostet ein NIS2-Verstoß konkret?
Für "wichtige Einrichtungen" bis zu 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes — je nachdem, was höher ist. Für "wesentliche Einrichtungen" bis zu 10 Millionen Euro oder 2 Prozent. Hinzu kommt die persönliche Haftung der Geschäftsführung.
Warum ist Multi-Faktor-Authentifizierung per SMS nicht mehr ausreichend?
SMS-basierte MFA ist anfällig für SIM-Swapping und Phishing-Proxys. Das BSI fordert seit Mai 2026 phishing-resistente Verfahren — typischerweise FIDO2-Hardware-Tokens oder zertifikatsbasierte Lösungen. Authenticator-Apps sind ein akzeptabler Mittelweg, Hardware-Tokens der Goldstandard.
Sollten wir Lösegeld zahlen, wenn wir von Ransomware betroffen sind?
Klare Empfehlung: Nein. 64 Prozent der zahlenden Unternehmen bekommen ihre Daten laut Hiscox nicht oder nur teilweise zurück. Zahlungen finanzieren weitere Angriffe und können rechtliche Probleme verursachen (Geldwäsche, Sanktionsverstöße). Investieren Sie das Geld vorher in funktionierende Backups.
Wie schnell muss ein Cybervorfall an das BSI gemeldet werden?
Seit dem 6. Dezember 2025 gilt für NIS2-Betroffene: Erstmeldung binnen 24 Stunden nach Kenntnisnahme, Folgemeldung binnen 72 Stunden, Abschlussbericht binnen einem Monat. Das ist deutlich enger als die DSGVO-Frist und erfordert vorab definierte interne Prozesse.
Wie prüfen wir, ob unsere IT-Dienstleister sicher genug arbeiten?
Standardisierter Fragenkatalog (ISO 27001, BSI IT-Grundschutz), schriftliche Bestätigung der eingesetzten Schutzmaßnahmen, regelmäßige Audits, vertraglich zugesicherte Meldepflichten. Für Hamburger KMU bieten wir einen pragmatischen Dienstleister-Check, der ohne großes Compliance-Theater auskommt — Details unter Kontakt.
