Die KI-Sicherheitsstudie 2026 von BSI und TÜV-Verband zeigt eine deutliche Lücke: Nur elf Prozent der befragten Unternehmen haben eigene Abläufe für Sicherheitsvorfälle, bei denen künstliche Intelligenz im Spiel ist. Für KMU in Wertheim und im Main-Tauber-Kreis heißt das nicht, ein neues Sicherheitskonzept zu kaufen, sondern das bestehende um ein paar klare Regeln zu ergänzen.
Was steht in der KI-Sicherheitsstudie 2026?
Die KI-Sicherheitsstudie 2026 ist eine Forsa-Befragung im Auftrag des Bundesamts für Sicherheit in der Informationstechnik (BSI) und des TÜV-Verbands. Befragt wurden im Juli 2026 insgesamt 505 Unternehmen ab 20 Beschäftigten, vorgestellt wurden die Ergebnisse am 7. Oktober in Berlin. Sie beschreibt zwei Seiten: wie Firmen KI selbst nutzen und wie gut sie gegen KI-gestützte Angriffe gewappnet sind.
| Frage | Ergebnis |
|---|---|
| Spezielle Prozesse für KI-bezogene Sicherheitsvorfälle vorhanden | 11 % |
| Allgemeine IT-Sicherheitsprozesse, aber ohne KI-Regeln | 43 % |
| Prozesse für KI-Vorfälle in Arbeit | 20 % |
| Keine Regelung für solche Vorfälle | 25 % |
| Unternehmen, die KI bereits einsetzen | 49 % |
| Unternehmen, die einen KI-gestützten Angriff bestätigt oder vermutet haben | 17 % |
Unter den betroffenen Unternehmen kamen die Angriffe zu 90 Prozent über manipulierte E-Mails. 40 Prozent berichteten von automatisierten Werkzeugen, die Systeme nach Schwachstellen absuchen, elf Prozent von gefälschten Sprach- oder Videoaufnahmen. Die Studie weist selbst darauf hin, dass die Dunkelziffer höher liegen dürfte, weil KI hinter einem Angriff oft nicht erkennbar ist.
Warum die 11 Prozent die eigentliche Nachricht sind
Dass Angreifer KI nutzen, ist inzwischen bekannt. Wir haben das in unserem Beitrag zu KI-Cyberangriffen im Mittelstand ausführlich beschrieben. Neu an der Studie ist der Blick nach innen: Fast die Hälfte der Firmen setzt KI ein, aber nur ein Bruchteil hat festgelegt, was passiert, wenn dabei etwas schiefgeht.
Ein Prozess für KI-Sicherheitsvorfälle ist eine schriftlich festgelegte Regel, wer bei einem Vorfall mit KI-Bezug was tut. Dazu gehören zwei Fälle: ein Angriff, der mit KI arbeitet, etwa eine gefälschte Stimme des Chefs am Telefon, und ein Fehler beim eigenen KI-Einsatz, etwa Kundendaten, die in einem öffentlichen Chatbot gelandet sind.
Der zweite Fall wird häufig übersehen. Laut Studie nutzen 96 Prozent der KI-Anwender die Werkzeuge, um Texte, Bilder oder Code zu erstellen. Genau dabei landen schnell Angebote, Personaldaten oder Patientendaten in Diensten, für die es keinen Vertrag zur Auftragsverarbeitung gibt. Das ist kein Hackerangriff, aber ein meldepflichtiger Datenschutzvorfall kann es trotzdem sein.
Was ein KI-Vorfallprozess in einem KMU konkret regeln sollte
Ein mittelständischer Betrieb braucht dafür kein eigenes Handbuch. In den meisten Fällen reicht es, den vorhandenen IT-Notfallplan um wenige Punkte zu erweitern.
Erlaubte KI-Werkzeuge festlegen
Eine kurze Liste, welche Dienste mit welchen Daten genutzt werden dürfen, etwa Microsoft 365 Copilot im eigenen Tenant ja, kostenlose Chatbots mit Kundendaten nein. Was nicht auf der Liste steht, ist nicht freigegeben.
Rückrufregel für ungewöhnliche Anweisungen
Zahlungsanweisungen, Kontoänderungen oder Passwortanfragen per Mail, Sprachnachricht oder Videoanruf werden grundsätzlich über eine bekannte Nummer zurückbestätigt. Diese Regel hilft gegen Deepfakes, ohne dass jemand eine Fälschung erkennen muss.
Meldeweg für Fehler mit KI
Wer versehentlich vertrauliche Daten in ein KI-Werkzeug kopiert hat, meldet das sofort an eine benannte Person. Die prüft, ob eine Meldung an die Datenschutzaufsicht innerhalb von 72 Stunden nötig ist.
Technische Grundabsicherung prüfen
Mail-Filter, Multi-Faktor-Authentifizierung und zeitnahes Patchen bremsen KI-gestützte Angriffe genauso wie klassische. Das BSI empfiehlt ausdrücklich, Angriffsflächen zu verkleinern und Systeme zu härten.
Einmal im Jahr durchspielen
Ein kurzer Probelauf mit einem realistischen Szenario zeigt, ob Meldeweg und Rückrufregel im Alltag funktionieren oder nur auf dem Papier stehen.
Welche Schutzmaßnahmen gegen KI-Angriffe wirklich helfen
Die gute Nachricht der Studie: Die meisten KI-gestützten Angriffe laufen über bekannte Wege. Wer die Grundlagen sauber umgesetzt hat, ist auch gegen die neue Variante deutlich besser aufgestellt.
E-Mail-Schutz
Neun von zehn KI-Angriffen kamen per Mail. Ein guter Spam- und Phishing-Filter, etwa von Hornetsecurity, fängt einen Großteil ab, bevor jemand klicken kann.
Multi-Faktor-Authentifizierung
Auch ein perfekt formuliertes Phishing führt ins Leere, wenn ein gestohlenes Passwort allein nicht reicht.
Schnelles Patchen
Automatisierte Scanner finden offene Lücken in Stunden. Updates für Firewall, Server und Clients gehören deshalb in einen festen Rhythmus.
Geschulte Mitarbeitende
Wer weiß, dass Stimmen und Videos gefälscht sein können, hält sich eher an die Rückrufregel. Kurze, wiederkehrende Schulungen wirken besser als eine Pflichtveranstaltung im Jahr.
Praxisbeispiel aus der Region
Ein Handwerksbetrieb im Main-Tauber-Kreis mit rund 30 Beschäftigten nutzt KI für Angebotstexte und Social-Media-Beiträge. Bei einer Überprüfung fällt auf, dass ein Mitarbeiter Kundenadressen in einen frei verfügbaren Chatbot kopiert hat, um Serienbriefe zu formulieren. Die Lösung bestand aus drei Teilen: einer freigegebenen Alternative im eigenen Microsoft-365-Tenant, einer einseitigen Nutzungsregel und einem benannten Ansprechpartner für Fehler. Aufwand: ein halber Tag.
Was die Studie für Arztpraxen bedeutet
Arztpraxen verarbeiten besonders schützenswerte Daten. Patientendaten in einem KI-Dienst ohne geeignete Vertragsgrundlage sind ein ernstes Datenschutzproblem. Auch für Praxen gilt: Die Regel, welche Werkzeuge mit welchen Daten genutzt werden dürfen, ist der wichtigste erste Schritt. Die CoKom GmbH betreut Arztpraxen in Wertheim und Umgebung und prüft dabei auch, welche KI-Funktionen in Praxissoftware und Microsoft 365 aktiv sind. Mehr zur IT-Absicherung im Praxisalltag finden Sie auf unserer Seite zu IT für Arztpraxen.
Häufige Fragen zur KI-Sicherheitsstudie 2026
Wer hat die KI-Sicherheitsstudie 2026 erstellt?
Das Meinungsforschungsinstitut Forsa im Auftrag des BSI und des TÜV-Verbands. Befragt wurden 505 Unternehmen ab 20 Beschäftigten im Juli 2026, die Ergebnisse wurden am 7. Oktober 2026 vorgestellt.
Wie viele Unternehmen wurden bereits mit KI angegriffen?
17 Prozent der Befragten berichten von einem bestätigten oder vermuteten KI-gestützten Angriff. Bestätigt sind davon nur wenige Fälle, die Mehrheit sind Verdachtsfälle.
Brauchen kleine Betriebe einen eigenen KI-Notfallplan?
Ein eigenes Dokument ist meist nicht nötig. Es reicht, den bestehenden IT-Notfallplan um erlaubte Werkzeuge, eine Rückrufregel und einen Meldeweg für Fehler mit KI zu ergänzen.
Erkennt ein Virenscanner KI-gestützte Angriffe?
Teilweise. Schadsoftware bleibt Schadsoftware, egal wie sie erstellt wurde. Gegen gefälschte Stimmen oder sehr gut formulierte Betrugsmails hilft dagegen vor allem eine klare Prozessregel wie der Rückruf über eine bekannte Nummer.
Fazit: Die KI-Sicherheitsstudie 2026 ist ein Auftrag für den Notfallplan
Die KI-Sicherheitsstudie 2026 zeigt weniger ein Technik- als ein Organisationsproblem. Die Schutzmaßnahmen gegen KI-Angriffe sind weitgehend bekannt, es fehlen in vielen Betrieben die Regeln für den Ernstfall und für den eigenen KI-Einsatz. Beides lässt sich in kurzer Zeit nachholen.
Die CoKom GmbH unterstützt Unternehmen und Arztpraxen in Wertheim, im Main-Tauber-Kreis und in Baden-Württemberg dabei, Notfallplan, E-Mail-Schutz und Microsoft-365-Einstellungen auf den aktuellen Stand zu bringen. Einen Überblick über unsere Leistungen zur IT-Sicherheit finden Sie auf unserer Website.