Top-Risiko ist die Scheinsicherheit

Die neue Studie „IT- und Cloud-Security 2026“ zeigt: Der gefühlte Cyberschutz und die tatsächliche Möglichkeit, erfolgreiche Cyberattacken zu verhindern, liegen weit auseinander.Gorodenkoff | shutterstock.com



Gut geschützt, aber erfolgreich angegriffen



Dieser Satz gehört zu den häufigsten Statements, die man gegenwärtig in der Cybersicherheit hört: „Es ist nicht die Frage, ob man angegriffen wird, sondern wann“. Auch wenn Unternehmen davon ausgehen müssen, dass sie angegriffen werden oder bereits attackiert wurden, ohne es bemerkt zu haben: Wer einen schweren IT-Sicherheitsvorfall erlitten hat, sollte nicht glauben, er sei erstklassig geschützt.



Wie die aktuelle Studie „IT- und Cloud-Security 2026“ von Computerwoche und CIO in Zusammenarbeit mit 8com und Lufthansa Industry Solutions zeigt, tun dies aber viele der befragten Unternehmen. Über 80 Prozent der Befragten halten ihren Cyberschutz für mehr als durchschnittlich und vergeben dafür mindestens sechs von zehn Punkten, 24 Prozent der Befragten sagen sogar, sie fühlen sich sehr gut oder erstklassig gegen Cybergefahren geschützt. Gleichzeitig berichten 47 Prozent der Unternehmen von mindestens einem schweren IT-Sicherheitsvorfall in den letzten zwei Jahren.



Offensichtlich liegen der gefühlte Cyberschutz und die tatsächliche Möglichkeit, erfolgreiche Cyberattacken zu verhindern, weit auseinander. Die neue Studie „IT- und Cloud-Security 2026“ macht aber nicht nur diese Scheinsicherheit sichtbar, sie gibt auch Hinweise darauf, woran diese gefährliche Situation liegen kann.



Security-Kompetenzen liegen brach



Kaum ein Bereich der Digitalisierung ist so vielschichtig und komplex wie Cybersecurity, da sie auf allen Ebenen der digitalen Strukturen eine fundamentale Rolle spielen muss. Auf den ersten Blick scheint die Bedeutung der Security es zu rechtfertigen, wenn sie direkt der Geschäftsführung oder dem IT-C-Level (Vorstände für IT und Technik) zugewiesen wird.



Doch für die Planung, Umsetzung und Kontrolle der Security-Maßnahmen ist viel fachliches Know-how erforderlich, dies kann und sollte man nicht von CEOs, CIOS oder CTOs erwarten. Hierfür gibt es spezielle Führungskräfte, die Security verantworten sollten.



Die aktuelle Studie „IT- und Cloud-Security 2026“ offenbart aber, dass die Realität in den befragten Unternehmen ganz anders aussieht: Security-Führungskräfte sind nur bei neun Prozent der befragten Unternehmen die Security-Entscheidenden und nur bei 19 Prozent der Befragten zumindest beratend eingebunden, wenn es um ihr Thema Security geht. Stattdessen wird Security von IT oder Geschäftsführung entschieden.          



Wenn aber interne Kompetenzen für Security kaum eingebunden werden, ist es sehr wahrscheinlich, dass der Status der eigenen Cybersicherheit falsch bewertet wird. Eine mögliche Folge sind unzureichende Security-Maßnahmen und entsprechend erfolgreiche Cyberangriffe.






Security-Führungskräfte sind nur bei neun Prozent der befragten Unternehmen die Security-Entscheidenden
Research Services: Christine Plote



Steigende Cloud- und KI-Nutzung, unzureichende Kontrollen



Nicht nur die Cyberdefense-Maßnahmen können unter einer Scheinsicherheit leiden, auch die notwendige Überwachung zur Nutzung digitaler Ressourcen, wie die Studie „IT- und Cloud-Security 2026“ deutlich macht.



Nur drei von zehn der befragten Cloud-Anwender sorgen dafür, dass die Sicherheit der eigenen Cloud-Konfiguration, der eigenen Cloud-Inhalte und der SaaS-Dienste vollständig und im Detail überwacht wird. Gleichzeitig fürchten 42 Prozent der Cloud-Nutzenden, ihre Daten könnten in der Cloud abfließen. Das tut der Cloud-Nutzung aber keinen Abbruch: 69 Prozent der befragten Unternehmen nutzen bereits Cloud-Services, weitere 23 Prozent planen es.



Ähnliches gilt für den Einsatz von Künstlicher Intelligenz (KI): 54 Prozent der befragten Unternehmen fürchten Datenlecks durch KI-Agenten, 36 Prozent der Befragten einen Kontrollverlust durch die eigenständigen KI-Lösungen. Gleichzeitig setzen aber 59 Prozent der Unternehmen bereits KI-Agenten ein oder planen dies.






59 Prozent der Unternehmen setzen bereits KI-Agenten ein oder planen dies.
Research Services: Christine Plote



Investitionen, aber zu wenig Schulungen bei KI



Wie die neue Studie von Computerwoche und CIO aufzeigt, klaffen nicht nur die Nutzung und die Kontrolle bei digitalen Ressourcen wie Cloud und KI auseinander.



So sind sich die befragten Unternehmen der Risiken durch und der erforderlichen Sicherheit für KI teils schon bewusst: 29 Prozent der Befragten sehen eine deutlich steigende Bedeutung für die Sicherheit von KI-Systemen in den nächsten zwei bis drei Jahren. 48 Prozent der Teilnehmenden halten den Bedarf für dedizierte IT-Security-Maßnahmen zum Schutz von KI-Systemen für hoch bis essenziell.






48 Prozent der Teilnehmenden halten den Bedarf für dedizierte IT-Security-Maßnahmen zum Schutz von KI-Systemen für hoch bis essenziell.
Research Services: Christine Plote



Passend dazu wollen mehr als drei von zehn der Befragten in Identitäts- und Berechtigungsmanagement (IAM) oder Sicherheitsarchitektur (wie Zero-Trust-Ansatz) investieren, denn diese Security-Konzepte können bei der Kontrolle von KI-Lösungen helfen. Doch Pflicht-Schulungen für Beschäftigte zum Einsatz von KI fehlen bei 63 Prozent der Befragten.



Wenn Unternehmen aber Regeln für KI-Lösungen einführen und durchsetzen wollen, aber bei den menschlichen Nutzerinnen und Nutzern keine entsprechenden Schulungen einführen, kann dies nicht zu der gewünschten und notwendigen Sicherheit bei KI führen.



Rolle des Menschen bei KI wird unterschätzt



Die Studie „IT- und Cloud-Security 2026“ legt auch an anderer Stelle nahe, dass die Security-Entscheider und -Entscheiderinnen und damit die CEOs, CIOS und CTOs bei KI ein unvollständiges Bild der Risiken haben.



47 Prozent der Befragten stimmen zu, dass das Prinzip „Human in the loop“ in der IT-Security eher nicht verfolgt werden sollte, denn wenn ein Mensch erst einmal alles verstehen müsse, gehe dadurch jeglicher zeitliche Vorteil durch eine automatisierte Angriffserkennung verloren. Nur neun Prozent der befragten Unternehmen lehnen diese Aussage ab.



Die größte Zustimmung mit 55 Prozent der Antworten hat diese Aussage unter Mitgliedern des IT-C-Levels. Weniger überzeugt davon sind jedoch die Befragten, die zu der Gruppe IT-Leitung / IT-Fachbereichsleitung / IT-Bereich / IT-Security gehören, hier liegt die Zustimmung nur noch bei 40 Prozent.



Dieser Teil der Befragten stammt in der Regel aus der Security- und IT-Praxis und hält Human-in-the-Loop bei KI-Nutzung in der Cybersicherheit eher für machbar. Dabei sind es insbesondere diese Personen, die die Entscheidungen nach dem Prinzip Human-in-the-Loop zu treffen hätten.            



Wer also dichter an der Security dran ist, scheint die Bedeutung des Menschen in einer KI-unterstützten Sicherheit höher einzustufen. Dabei kann es auch eine Rolle spielen, dass es mitunter die Sorgen bei Security-Fachkräften gibt, dass ihre Arbeitsstellen durch KI in Gefahr geraten könnten. Doch das Gegenteil sollte der Fall sein.



Fazit: Security-Verantwortliche sollten verantworten



Es zeigt sich: Die für die Security geplanten und ergriffenen Maßnahmen weichen oftmals von der tatsächlichen Nutzung der zu schützenden digitalen Infrastrukturen, Systeme und Daten ab. Der Einsatz von Cloud und KI schreitet voran, die Risiken dadurch werden häufig gesehen, aber die notwendigen Konsequenzen bleiben aus, sei es die Kontrolle der Cloud- und KI-Ressourcen, sei es die Schulung der Beschäftigten in neuen und wichtigen Themenfeldern wie KI.



Eine dringende Empfehlung lautet deshalb, zum einen auf Security-Dienstleister zu setzen, was laut der neuen Studie eher für die Implementierung als für die Planung und Konzeption der Security geschieht.



Zum anderen sollten Unternehmen die bereits intern vorhandene Security-Kompetenz nutzen und den Security-Verantwortlichen, ob sie nun CISOs genannt werden oder nicht, auch die Aufgabe der Verantwortung in der Cybersicherheit übergeben.



Ohne umfassendes Security-Know-how kann der Cyberschutz nicht so gut werden, wie ihn die befragten Unternehmen oftmals heute schon sehen. Da hilft auch keine KI allein, vielmehr muss auch diese besser überwacht werden, nicht nur technisch, sondern auch durch geschulte Menschen. Hier besteht umgehend Handlungsbedarf, denn in Zeiten der steigenden KI-Nutzung auch auf Seiten der Angreifenden ist die Zeit des Überlegens und Zögerns in der Cybersicherheit endgültig vorbei.






Die neue Studie “IT- & Cloud-Security 2026” von CIO, COMPUTERWOCHE und Research Services
Research Services: Christine Plote



 Studiensteckbrief



Herausgeber: CIO und COMPUTERWOCHE



Studienpartner:  8com GmbH; Lufthansa Industry Solutions GmbH & Co. KG



Grundgesamtheit: Oberste (IT-)Verantwortliche in Unternehmen der DACH-Region: Beteiligte an strategischen (IT-)Entscheidungsprozessen im C-Level-Bereich und in den Fachbereichen (LoBs); Entscheidungsbefugte sowie Experten und Expertinnen aus dem IT-(Security) Bereich



Teilnehmergenerierung: Persönliche E-Mail-Einladung über die Entscheiderdatenbank von CIO und COMPUTERWOCHE sowie – zur Erfüllung von Quotenvorgaben – über externe Online-Access-Panels



Gesamtstichprobe: 307 abgeschlossene und qualifizierte Interviews



Untersuchungszeitraum: 09. bis 16. Juli 2026



Methode: Online-Umfrage (CAWI) Fragebogenentwicklung & Durchführung: Custom Research Team von CIO und Computerwoche in Abstimmung mit den Studienpartnern