Fast jedes dritte Unternehmen in Österreich wurde bereits Opfer von Cyberangriffen – Tendenz steigend. Laut der aktuellen EY-Cybersecurity-Studie 2025 nehmen nicht nur die Vorfälle, sondern auch die Risikowahrnehmung deutlich zu. Dennoch fehlt es vielen Betrieben an Budgets, Strategien und Notfallplänen.

Foto: EY

Foto: EY/Robert Herbst Leiter Cybersecurity und Data Privacy bei EY Österreich Foto: EY/Christina Häusler Bernhard Zacherl, Direktor und Experte für Cybersecurity bei EY Österreich Cyberangriffe haben sich für Unternehmen in Österreich längst von einer abstrakten Bedrohung zu einer konkreten Realität entwickelt. 47 Prozent der Entscheider:innen stufen das Risiko mittlerweile als hoch ein – 2024 waren es noch 35 Prozent. Tatsächlich berichten 32 Prozent der befragten Unternehmen von Angriffen in den vergangenen fünf Jahren, ein Plus von zehn Prozentpunkten. Vor allem große Unternehmen mit einem Umsatz von mehr als 51 Millionen Euro sind betroffen: Hier melden 33 Prozent wiederholte Attacken. „Die steigende Zahl an Angriffen macht deutlich, dass Cyberrisiken keine theoretische Gefahr mehr sind. Unternehmen müssen Cybersicherheit endlich als Teil ihrer Geschäftsstrategie begreifen – wer zu spät reagiert, riskiert finanzielle Schäden und Vertrauensverlust“, warnt Gottfried Tonweber, Leiter Cybersecurity und Partner bei EY Österreich.

Fehlende Budgets und fragmentierte Abwehr

Die EY-Studie offenbart eine Diskrepanz zwischen Risikowahrnehmung und Handeln. 34 Prozent der Unternehmen verfügen über kein festes Cybersecurity-Budget, weitere 42 Prozent können ihre Ausgaben nicht beziffern. Nur neun Prozent investieren mehr als 25.000 Euro jährlich in IT-Sicherheit. Ein Fünftel plant, die Ausgaben in den kommenden zwei Jahren zu erhöhen. Für EY-Experte Bernhard Zacherl ist das eine riskante Schieflage: „Das Fehlen klarer Budgets ist ein Alarmsignal. Ohne ausreichende und gezielt eingesetzte Mittel bleiben selbst die besten Sicherheitskonzepte Theorie. Unternehmen sollten Cybersicherheit als Dauerinvestment verstehen – vergleichbar mit Versicherungen oder Qualitätsmanagement.“

Phishing dominiert – viele ohne Notfallpläne

Phishing bleibt mit 73 Prozent die am häufigsten genannte Angriffsform, gefolgt von Malware (44 Prozent) und Ransomware (19 Prozent). Gleichzeitig verfügen nur 57 Prozent der Unternehmen über Notfallpläne oder Incident-Response-Teams. Besonders häufig sind Finanz- und Kreditabteilungen betroffen (38 Prozent), gefolgt vom Vertrieb (30 Prozent), der Geschäftsleitung (25 Prozent) und dem Personalwesen (24 Prozent). Laut Tonweber ist das Versäumnis gravierend: „Phishing-Mails sind oft der Türöffner für weitergehende Attacken. Ohne strukturierte Notfallpläne verlieren Unternehmen im Ernstfall wertvolle Zeit – und riskieren, dass ein lokaler Vorfall zur systemweiten Krise eskaliert.“ Zwar enden 71 Prozent der Angriffe innerhalb eines Tages und 95 Prozent der betroffenen Unternehmen konnten den Betrieb rasch stabilisieren – dennoch fehlt vielfach eine methodische Reaktion.

Auch präventive Maßnahmen sind ausbaufähig: 31 Prozent der Befragten verzichten vollständig auf Schwachstellen-Tests, lediglich 13 Prozent führen diese monatlich durch, 29 Prozent jährlich. Damit prüfen nur 61 Prozent ihre Systeme mit Penetrationstests oder Audits.

Einsatz von KI und Regulierung zögerlich

Nur 15 Prozent der österreichischen Unternehmen setzen derzeit KI-Technologien in der Cyberabwehr ein, ein leichter Anstieg gegenüber 2024 (12 Prozent). KI wird vor allem in der Sicherheitsüberwachung (52 Prozent) und Anomalieerkennung (48 Prozent) genutzt. Fast jedes dritte Unternehmen plant jedoch den Einstieg, elf Prozent davon mit konkreten Projekten. „Die Implementierung von KI-gestützten Sicherheitslösungen hat enormes Potenzial, um Bedrohungen frühzeitig zu erkennen. Der geringe Einsatz von KI zeigt jedoch, dass viele Unternehmen hier erst am Anfang stehen“, sagt Zacherl.

Hinderungsgründe sind Datenschutz- und Ethikbedenken (28 Prozent), hohe Kosten (21 Prozent) sowie ein Mangel an Fachkräften (14 Prozent).

Zusätzlich zeigt sich bei der NIS2-Richtlinie ein gemischtes Bild: Ein Viertel der Unternehmen ist direkt oder indirekt betroffen, doch erst 25 Prozent haben die Anforderungen vollständig umgesetzt. 70 Prozent haben mit der Umsetzung begonnen, insbesondere bei technischer Sicherheit (67 Prozent), Personalsicherheit (61 Prozent) und Risikomanagement (58 Prozent). Dennoch kennen 47 Prozent die Details der Richtlinie noch nicht. Tonweber betont: „NIS2 ist nicht nur regulatorische Pflicht, sondern Chance, Sicherheitsstandards auf ein neues Niveau zu heben. Wer hier proaktiv handelt, stärkt nicht nur die Compliance, sondern die gesamte Resilienz des Unternehmens.“

Die Ergebnisse der Studie stehen Ihnen hier zur Verfügung.