In der deutschen Wirtschaft fehlen rund 109.000 IT-Fachkräfte. Eine offene Stelle bleibt im Schnitt 7,7 Monate unbesetzt, bei jedem fünften Unternehmen dauert die Suche zehn bis zwölf Monate. Das sind die Ergebnisse der Bitkom-Studie zum Arbeitsmarkt für IT-Fachkräfte. Die WirtschaftsWoche hat daraus im Juli 2026 einen Bericht gemacht, dessen Überschrift die Lage zusammenfasst: „Wie fehlende Experten Unternehmen ruinieren können".
Gelesen wird der IT-Fachkräftemangel meist als Konzernthema: Personalabteilungen, Headhunter, Gehaltspoker. Dabei trifft der Engpass die Kleinen härter. Ein Konzern kann den Bieterwettbewerb um Security-Personal notfalls über das Gehalt entscheiden, die WirtschaftsWoche beschreibt, dass schon Behörden und Verbände dabei aussteigen. Ein Betrieb mit 15 Beschäftigten spielt in diesem Wettbewerb gar nicht erst mit.
Genau daraus entsteht das eigentliche Problem: Der IT-Fachkräftemangel verschiebt das Cyberrisiko dorthin, wo keine Experten sitzen. Dieser Artikel zeigt, warum kleine und mittlere Unternehmen davon am stärksten betroffen sind und welche vier Wege ein Betrieb hat, der die eigene Security-Stelle weder findet noch bezahlen kann.
Die Angreiferseite hat kein Personalproblem: Ransomware läuft als arbeitsteiliges Dienstleistungsmodell, während auf der Verteidigerseite 109.000 Fachkräfte fehlen. Laut BSI-Lagebericht 2025 richteten sich 80 Prozent der 950 registrierten Ransomware-Angriffe gegen kleine und mittlere Unternehmen: genau die Betriebe, die im Wettbewerb um Security-Personal als Erste leer ausgehen.
109.000 fehlende IT-Fachkräfte: Der Markt, auf dem KMU nicht mitbieten
Die Zahlen der Bitkom-Studie 2025 zeichnen einen Arbeitsmarkt, der sich nur auf dem Papier entspannt hat. 109.000 unbesetzte IT-Stellen sind weniger als die 149.000 von vor zwei Jahren, allerdings beklagen weiterhin 85 Prozent der Unternehmen einen Mangel an IT-Fachkräften, und 79 Prozent erwarten, dass er sich verschärft. Die durchschnittliche Besetzungsdauer von 7,7 Monaten verteilt sich dabei ungleich: Bei 21 Prozent der Unternehmen dauert die Besetzung 10 bis 12 Monate, bei 4 Prozent länger als ein Jahr.
Im Sicherheitsbereich ist die Nachfrage zuletzt weiter gestiegen. Die WirtschaftsWoche zählt unter Berufung auf den Personalmarktforscher Index für 2025 insgesamt 25.839 ausgeschriebene Cybersecurity-Stellen, sechs Prozent mehr als im Vorjahr, dazu 12.732 weitere allein in den ersten fünf Monaten 2026. Wer diese Leute sucht, konkurriert mit Konzernen, Beratungen und Personaldienstleistern, die einen erheblichen Teil der Ausschreibungen selbst stellen.
In meiner Beratung sieht die IT-Realität kleiner Betriebe anders aus: Ein externer Dienstleister betreut Server und Arbeitsplätze, intern kümmert sich der Kollege, der gut mit Computern kann. Für den Betrieb der Systeme funktioniert das. Für deren Verteidigung funktioniert es nur, wenn die Aufgabe ausdrücklich vergeben ist, und genau daran hakt es, dazu gleich mehr.
Die Gegenseite hat kein Personalproblem
Während Unternehmen mehr als sieben Monate nach Fachkräften suchen, mietet die Gegenseite ihre Werkzeuge fertig an. Das BSI beschreibt in seiner Übersicht der aktiven Crime-Gruppen eine arbeitsteilige Industrie: Bestandteile eines Cyberangriffs werden an jeweils spezialisierte Angreifergruppen ausgelagert, vergleichbar mit dem Outsourcing von Dienstleistungen. Access Broker verkaufen den Zugang zum Netzwerk, Betreiber von Ransomware-as-a-Service entwickeln die Schadsoftware und stellen die Infrastruktur, Partner führen die eigentlichen Angriffe aus. Die Erpressung funktioniert damit wie eine Dienstleistungsbranche, mit Zulieferern und Auftragnehmern.
Die Folgen stehen in der Bitkom-Wirtschaftsschutzstudie 2025: 87 Prozent der befragten Unternehmen waren binnen zwölf Monaten von Datendiebstahl, Spionage oder Sabotage betroffen, der Schaden durch Cyberangriffe erreichte 202,4 Milliarden Euro. Von Ransomware berichten 34 Prozent der Unternehmen, 2022 waren es noch 12 Prozent. Auch das BSI misst die Eskalation: Der Index der auf Leak-Seiten genannten mutmaßlich Geschädigten aus Deutschland lag im ersten Quartal 2026 bei 264 Punkten und damit laut BSI 2,58-mal höher als im Jahresdurchschnitt 2021 (BSI-Lagebild Schadwirkung).
Wen es trifft, lässt sich an denselben Leak-Seiten ablesen. Ende Juni 2026 listete die Gruppe The Gentlemen dort den Marineschiffbauer TKMS samt der Tochter Atlas Elektronik, der Konzern bestätigte laut WirtschaftsWoche einen Angriff auf eine abgegrenzte US-Tochtergesellschaft. Wenn es ein Rüstungsunternehmen mit eigener Sicherheitsorganisation trifft, taugt die Betriebsgröße nicht als Schutzargument. Die Masse der Opfer sind ohnehin nicht die Konzerne: 80 Prozent der vom BSI registrierten Ransomware-Angriffe richteten sich gegen kleine und mittlere Unternehmen.
Was die unbesetzte Stelle im Alltag bedeutet
Eine fehlende Security-Zuständigkeit sieht im Betriebsalltag unspektakulär aus: Updates werden eingespielt, wenn Zeit ist. Backups laufen, aber niemand prüft, ob sich daraus ein System wiederherstellen lässt. Warnmeldungen der Firewall liest keiner, den Ernstfall geübt hat der Betrieb nie. Dahinter steckt kein böser Wille, die Aufgabe ist schlicht nie vergeben worden.
Wie groß die Lücke zwischen Selbstbild und Zustand ist, zeigt eine Forsa-Umfrage im Auftrag des GDV von 2025: 77 Prozent der befragten KMU-Entscheider halten ihren Betrieb für ausreichend geschützt, aber über 66 Prozent erfüllen nicht alle Basiskriterien wie starke Passwörter und regelmäßige Updates, und 48 Prozent haben keinen Notfallplan. Dieselbe Umfrage zeigt, wo die Angriffe ankommen: 68 Prozent der erfolgreichen Attacken auf KMU beginnen mit Phishing- oder Schadsoftware-Mails, also im Posteingang von Mitarbeitern, die niemand geschult hat. Woran Sie solche Mails erkennen, steht im Beitrag Phishing-Angriffe erkennen.
Für den Versicherungsschutz hat die Lücke eine Konsequenz, die viele Betriebe erst im Schadenfall kennenlernen. Die Obliegenheiten aus dem Vertrag, zeitnahe Updates, geschützte Backups, individuelle Zugänge, gelten für den Betrieb, egal wer sie umsetzt und ob eine Stelle dafür existiert. In der Deckungsprüfung fragt der Versicherer nach Patch-Protokollen, Backup-Nachweisen und Zugriffskonzepten, nicht nach dem Stellenplan. Wie diese Prüfung Schritt für Schritt abläuft, habe ich im Beitrag zur Deckungsprüfung im Schadenfall beschrieben. Dazu kommt die persönliche Ebene: Für angemessene IT-Sicherheit zu sorgen, ist Aufgabe der Geschäftsführung. Delegieren lässt sich die Umsetzung, die Verantwortung bleibt, im Ernstfall bis zur persönlichen Haftung des Geschäftsführers.
Vier Wege, wenn die eigene Security-Stelle unerreichbar ist
Die gute Nachricht: Kein kleiner Betrieb braucht einen eigenen Security-Analysten, um die Anforderungen der Versicherer und ein vernünftiges Schutzniveau zu erfüllen. Er braucht eine klare Zuständigkeit und eine Reihenfolge. Vier Wege, die sich kombinieren lassen:
Weg 1: Sicherheit einkaufen statt einstellen
Patch-Management, Backup-Betrieb, Überwachung und Notfall-Erreichbarkeit lassen sich als Servicevertrag bei einem IT-Dienstleister oder spezialisierten Anbieter für Managed Security einkaufen. Für kleine Betriebe ist das in der Regel der realistische Weg, denn er verwandelt eine unbesetzbare Stelle in eine planbare Monatspauschale. Zwei Bedingungen gehören dazu. Erstens muss Sicherheit ausdrücklich beauftragt sein, ein Wartungsvertrag für Server und Drucker deckt sie nicht ab. Zweitens wird der Dienstleister selbst zum Risiko, wenn seine Fernwartungszugänge schlecht abgesichert sind: Wer die Systeme von zwanzig Kunden administriert, ist für Angreifer ein lohnenderes Ziel als jeder einzelne Kunde. Die Prüffragen dafür stehen im nächsten Abschnitt.
Weg 2: CyberRisikoCheck nach DIN SPEC 27076
Der CyberRisikoCheck des BSI ist eine standardisierte Sicherheitsberatung für Unternehmen bis etwa 50 Beschäftigte: ein strukturiertes Interview mit 27 Fragen in sechs Themenfeldern, am Ende steht ein priorisierter Risikobericht. Für einen Betrieb ohne eigenes Security-Personal ersetzt er die erste Analyse, die sonst niemand macht, und liefert eine abarbeitbare Reihenfolge statt einer Bauchentscheidung. Wie der Check abläuft und was er kostet, habe ich im Beitrag zum CyberRisikoCheck nach DIN SPEC 27076 beschrieben. Da an der Entwicklung der DIN SPEC eine Tochtergesellschaft des GDV beteiligt war, kann der Bericht gegenüber Versicherern als Nachweis grundlegender Maßnahmen dienen.
Weg 3: Die Basismaßnahmen nach Prioritätenliste umsetzen
Wer wissen will, welche Maßnahmen zuerst kommen, kann die Prioritätenliste kostenlos beim Versichererverband abholen: Der GDV-Muster-Risikofragebogen fragt genau die Punkte ab, an denen Angriffe scheitern oder gelingen: mindestens wöchentliche Datensicherungen, geschützt vor unberechtigtem Zugriff und Überschreiben, zeitnah eingespielte Sicherheitsupdates, individuelle Zugänge, eingeschränkte Administratorrechte, aktueller Virenschutz. Jede dieser Maßnahmen ist ohne Vollzeitstelle umsetzbar, verlangt aber einen Termin im Kalender und ein Protokoll im Ordner. Der zweite Baustein, der kein Budget kostet, ist ein Cyber-Notfallplan: Wer im Ernstfall wen anruft und was als Erstes abgeschaltet wird, entscheidet über Tage an Stillstand.
Weg 4: Das Restrisiko versichern
Eine Cyberversicherung ersetzt weder IT-Sicherheit noch den fehlenden Experten. Sie fängt das finanzielle Restrisiko ab, das nach den Basismaßnahmen bleibt: Wiederherstellungskosten, Ertragsausfall bei Betriebsunterbrechung, Haftpflichtansprüche Dritter. Für Betriebe ohne eigenes Security-Personal kommt ein Baustein dazu, der in der Diskussion oft untergeht: Je nach Tarif gehören eine Notfall-Hotline und der Zugriff auf Forensiker und Krisendienstleister zum Leistungsumfang. Im Ernstfall stellt die Police dem Betrieb damit genau das Expertenteam, das er auf dem Arbeitsmarkt nie bekommen hätte. Welche Bausteine marktüblich enthalten sind und was eine Cyberversicherung kostet, steht im Kosten-Artikel.
Checkliste: Sechs Fragen an Ihren IT-Dienstleister
Wenn die Sicherheit eingekauft wird, ist das Gespräch mit dem Dienstleister aus meiner Beratungserfahrung der wichtigste Sicherheitstermin des Jahres. Diese sechs Fragen zeigen, ob die Verteidigung tatsächlich beauftragt ist oder nur gefühlt:
| Frage | Worauf die Antwort hinauslaufen muss |
|---|---|
| 1. Wer spielt Sicherheitsupdates ein, in welchem Rhythmus, und wo steht das? | Fester Turnus mit Protokoll. Das sind dieselben Nachweise, die der Versicherer im Schadenfall verlangt. |
| 2. Werden unsere Backups getestet oder nur erstellt? | Regelmäßige Wiederherstellungstests und eine Kopie, die getrennt vom Netzwerk liegt. Ein Backup, das noch nie zurückgespielt wurde, ist eine Hoffnung. |
| 3. Wie schnell reagieren Sie im Notfall, auch am Wochenende? | Vertraglich zugesicherte Reaktionszeit und Erreichbarkeit außerhalb der Bürozeiten. Ransomware wird bevorzugt freitagabends ausgelöst. |
| 4. Wie sind Ihre eigenen Fernwartungszugänge abgesichert? | Zwei-Faktor-Authentifizierung, individuelle Konten, Protokollierung der Zugriffe. Der Dienstleister-Zugang ist ein bevorzugtes Einfallstor. |
| 5. Was ist vertraglich Ihre Aufgabe, was bleibt bei uns? | Eine schriftliche Leistungsabgrenzung. Die gefährlichste Antwort ist „das machen wir schon irgendwie mit". |
| 6. Unterstützen Sie uns beim Risikofragebogen des Versicherers? | Ein klares Ja. Wer die Fragen des GDV-Fragebogens zu Ihrer IT nicht beantworten kann, kennt sie nicht gut genug. |
Der schnellste Weg zur eigenen Standortbestimmung ist unser kostenloser Cyber-Risikocheck: acht Fragen, anonym, mit sofortiger Einordnung, ob Ihre IT die marktüblichen Anforderungen der Versicherer erfüllt. Das Ergebnis ist zugleich eine brauchbare Gesprächsgrundlage für den nächsten Termin mit dem Dienstleister.
Der IT-Fachkräftemangel ist längst eine Sicherheitslücke: 109.000 fehlende Fachkräfte auf der einen Seite, industrialisierte Angreifer auf der anderen, und dazwischen Betriebe, deren Verteidigung niemandes Aufgabe ist. Wer keinen Security-Experten einstellen kann, muss drei Dinge tun: Sicherheit mit klaren Verträgen einkaufen, die Basismaßnahmen dokumentiert umsetzen und das Restrisiko versichern. Alles andere heißt darauf hoffen, übersehen zu werden.
Häufige Fragen zu IT-Fachkräftemangel und Cybersicherheit im KMU
Braucht ein kleines Unternehmen einen eigenen IT-Sicherheitsbeauftragten?
Eine eigene Vollzeitstelle für IT-Sicherheit schreibt für die meisten kleinen und mittleren Unternehmen kein Gesetz vor. Pflichten entstehen trotzdem: Die Geschäftsführung muss für angemessene IT-Sicherheit sorgen, sonst haftet sie im Schadenfall unter Umständen persönlich. Betriebe in regulierten Sektoren oder als Zulieferer NIS2-regulierter Auftraggeber müssen zusätzlich Sicherheitsnachweise erbringen. Praktisch heißt das: Die Aufgabe muss ausdrücklich vergeben sein, an einen benannten Mitarbeiter oder einen externen Dienstleister mit schriftlich geregeltem Auftrag. Was zählt, sind umgesetzte und dokumentierte Maßnahmen, keine Stellenbezeichnung.
Zahlt die Cyberversicherung auch, wenn wir keinen IT-Experten im Haus haben?
Ja, sofern die vertraglichen Anforderungen erfüllt sind. Der Muster-Risikofragebogen des GDV fragt nach Maßnahmen, etwa regelmäßigen geschützten Datensicherungen, zeitnah eingespielten Updates und individuellen Zugängen, aber nicht nach Stellenplänen. Diese Maßnahmen gelten während der Vertragslaufzeit als Obliegenheiten, egal ob ein Mitarbeiter oder ein Dienstleister sie umsetzt. Entscheidend ist die Dokumentation: Im Schadenfall trägt der Versicherungsnehmer die Beweislast dafür, dass die Pflichten gelebt wurden. Wer die Umsetzung an einen Dienstleister vergibt, sollte sich die Protokolle regelmäßig liefern lassen.
Reicht unser bestehender IT-Dienstleister als Schutz vor Cyberangriffen?
Nur, wenn IT-Sicherheit ausdrücklich Teil seines Auftrags ist. Ein klassischer Wartungsvertrag deckt den Betrieb der Systeme ab, nicht deren Verteidigung: Patch-Management mit Protokoll, getestete Backups, Überwachung, zugesicherte Reaktionszeiten im Notfall und abgesicherte Fernwartungszugänge sind eigene Leistungen, die vertraglich vereinbart sein müssen. In der Praxis liegt zwischen der gefühlten Zuständigkeit des Dienstleisters und seinem tatsächlichen Auftrag oft eine Lücke, die erst im Schadenfall auffällt. Die sechs Prüffragen aus der Checkliste oben sind für genau dieses Gespräch gedacht.
Was bringt der CyberRisikoCheck nach DIN SPEC 27076 einem Betrieb ohne IT-Personal?
Der CyberRisikoCheck ist eine standardisierte IT-Sicherheitsberatung für Unternehmen bis etwa 50 Beschäftigte: ein strukturiertes Interview mit 27 Fragen in sechs Themenfeldern, am Ende steht ein priorisierter Risikobericht mit konkreten Handlungsempfehlungen. Für Betriebe ohne eigenes Security-Personal ersetzt er die erste Analyse, die sonst niemand macht, und liefert eine abarbeitbare Reihenfolge statt einer Bauchentscheidung. Da an der Entwicklung der DIN SPEC eine Tochtergesellschaft des GDV beteiligt war, kann der Bericht gegenüber Versicherern als Nachweis grundlegender Maßnahmen dienen.
Keine eigene Security-Stelle, aber die volle Verantwortung? Markus Kopka prüft, welche Bausteine das Restrisiko Ihres Betriebs abfangen: Forensik-Zugang, Betriebsunterbrechung, Krisendienstleister. Kostenlos und unverbindlich.
Jetzt kostenlos beraten lassen →