Was ist IT-Sicherheit?

IT-Sicherheit bezeichnet den Schutz von IT-Systemen, Netzwerken, Anwendungen und elektronisch verarbeiteten Daten vor Angriffen, Ausfällen und Missbrauch. Sie soll sicherstellen, dass Informationen vertraulich bleiben, nicht unbefugt verändert werden und verfügbar sind, wenn sie gebraucht werden. Dafür wirken technische, organisatorische und personelle Maßnahmen zusammen, die Risiken auf ein vertretbares Maß senken.

Stand: 19. Oktober 2026. Diesen herstellerneutralen Leitfaden veröffentlicht der Marktplatz IT-Sicherheit des Instituts für Internet-Sicherheit – if(is), gestützt auf Primärquellen des Bundesamts für Sicherheit in der Informationstechnik (BSI), von BKA, Bitkom und TÜV-Verband sowie auf Gesetzes- und EU-Rechtstexte.

Definition: Was IT-Sicherheit nach Gesetz und BSI bedeutet

Das BSI-Gesetz (BSIG) definiert „Sicherheit in der Informationstechnik“ in § 2 Nr. 39 als „die Einhaltung bestimmter Sicherheitsstandards, die die Verfügbarkeit, Integrität oder Vertraulichkeit von Informationen betreffen“. Erreicht wird sie durch Sicherheitsvorkehrungen in IT-Systemen, Komponenten oder Prozessen oder bei deren Anwendung.

Der BSI-Standard 200-1 ordnet IT-Sicherheit als Teil der Informationssicherheit ein, der elektronisch gespeicherte Informationen und deren Verarbeitung betrifft. Prof. Dr. Norbert Pohlmann, Leiter des if(is) an der Westfälischen Hochschule, sieht das Ziel der IT-Sicherheit darin, vorhandene Risiken auf ein angemessenes Maß zu reduzieren.

IT-Sicherheit, Informationssicherheit, Cyber-Sicherheit und Datenschutz: die Unterschiede

Die Begriffe überschneiden sich, meinen aber Unterschiedliches:

Kurz: Informationssicherheit ist der Oberbegriff, IT-Sicherheit ihr technischer Kern, Cyber-Sicherheit der Blick auf alle vernetzten Systeme. Datenschutz regelt, ob und wie personenbezogene Daten verarbeitet werden dürfen; IT-Sicherheit soll das absichern. In der OT-Sicherheit haben Verfügbarkeit und der Schutz von Menschen Vorrang. Weitere Begriffe erklärt die Nomenklatur der Fachbegriffe.

Die Schutzziele der IT-Sicherheit

Der IT-Grundschutz des BSI nennt die drei klassischen Schutzziele Grundwerte:

• Vertraulichkeit: Nur Befugte haben Zugriff. Beispiel: Gehaltsdaten sieht nur die Personalabteilung. Mittel: Berechtigungen, Verschlüsselung.
• Integrität: Daten sind korrekt, Systeme arbeiten wie vorgesehen. Beispiel: Niemand ändert unbemerkt die Bankverbindung auf einer Rechnung. Mittel: Signaturen, Prüfsummen, Protokollierung.
• Verfügbarkeit: Dienste und Informationen sind nutzbar, wenn sie gebraucht werden. Beispiel: Der Onlineshop soll auch bei einem Überlastungsangriff (DDoS) erreichbar bleiben. Mittel: Redundanz, DDoS-Schutz, getestete Backups.

Bereiche der IT-Sicherheit

Geschützt werden Netzwerke (Firewalls, Segmentierung), Endgeräte (Updates, Schutz vor Schadsoftware), Identitäten und Zugänge (Multi-Faktor-Authentisierung, kurz MFA, und möglichst geringe Rechte), Anwendungen und E-Mail, Cloud-Dienste, Daten und Backups, Gebäude und Räume (Zutritts-, Brand- und Stromausfallschutz) sowie OT und IoT, also Anlagen und vernetzte Geräte im Internet der Dinge.

Warum IT-Sicherheit wichtig ist: die Bedrohungslage 2026

Das BSI nennt die Lage im Lagebericht 2025 (Juli 2024 bis Juni 2025) weiterhin angespannt, vor allem wegen schlecht geschützter Angriffsflächen. Laut Bitkom-Studie Wirtschaftsschutz 2026 (1.003 Unternehmen, August 2026) kosten Datendiebstahl, Industriespionage und Sabotage die deutsche Wirtschaft 211 bis 270,8 Milliarden Euro in zwölf Monaten, 76 Prozent davon durch Cyber-Angriffe. Die Spanne nennt Bitkom erstmals, weil 29 Prozent der Befragten einen Vorfall nur vermuten; mit dem Vorjahreswert von 289,2 Milliarden Euro ist sie nur bedingt vergleichbar.

Ein Vorfall bedeutet oft Stillstand, Kosten, Meldepflichten und Vertrauensverlust: 45 Prozent der Unternehmen sehen laut Bitkom ihre Existenz durch Cyber-Angriffe bedroht.

Ransomware und Erpressung mit gestohlenen Daten

Ransomware (Erpressungssoftware) verschlüsselt Daten und Systeme; meist stehlen die Täter vorher Daten und drohen mit deren Veröffentlichung. Laut BKA wurden 2025 in Deutschland 1.041 Ransomware-Angriffe angezeigt, 10 Prozent mehr als im Vorjahr; rund 76 Prozent folgten diesem Muster doppelter Erpressung, rund 90 Prozent richteten sich gegen kleine und mittlere Unternehmen (KMU). Getestete Offline-Backups helfen beim Wiederanlauf, nicht aber gegen die Veröffentlichung gestohlener Daten; dagegen helfen Vorbeugung und frühe Erkennung. Das BSI rät, kein Lösegeld zu zahlen und Anzeige zu erstatten.

Phishing, Social Engineering und KI-gestützter Betrug

Social Engineering nutzt Vertrauen und Zeitdruck aus, meist per Phishing: gefälschte Mails, SMS, Anrufe oder QR-Codes, die Zugangsdaten oder Zahlungen erschleichen sollen. Künstliche Intelligenz (KI) macht solche Nachrichten glaubwürdiger. In der KI-Sicherheitsstudie von BSI und TÜV-Verband (Oktober 2026) berichten 17 Prozent der befragten Unternehmen ab 20 Beschäftigten von bestätigten oder vermuteten KI-gestützten Angriffen oder Betrugsversuchen binnen zwölf Monaten, meist mit täuschend echten Phishing-Mails, seltener mit Deepfakes, also gefälschten Stimmen oder Videos. Das Risiko senken Schulungen, MFA und Rückrufregeln vor Zahlungen.

Schwachstellen in Software und Geräten

Laut BSI-Lagebericht wurden täglich durchschnittlich 119 neue Schwachstellen bekannt, rund 24 Prozent mehr als im Vorjahreszeitraum, teils wegen geänderter Meldepraxis. Wichtige Einfallstore sind laut BSI Lücken in Systemen am Netzrand wie Firewalls und VPN-Gateways. Im Juni 2026 warnte das BSI, dass KI-Modelle Schwachstellen schnell und teils autonom finden und in Angriffswege überführen können.

Lieferkette, Innentäter, DDoS und staatliche Akteure

Über Dienstleister, Updates oder Open-Source-Pakete erreichen Angreifer viele Kunden zugleich, im März 2026 etwa über manipulierte Versionen des Sicherheitsscanners Trivy. Innentäter handeln vorsätzlich, andere Beschäftigte werden unwissentlich ausgenutzt. DDoS-Angriffe legen Webdienste durch Überlastung lahm. Laut Bitkom konnten 37 Prozent der Betroffenen mindestens einen Vorfall einem ausländischen Nachrichtendienst zuordnen. Aktuelle Fälle zeigen die Meldungen zu Angriffen und Schwachstellen, Auswertungen die Übersicht der IT-Sicherheitsstudien.

Maßnahmen: So schützen sich Unternehmen

Als häufigste Gründe für Schäden nennen geschädigte Unternehmen laut Bitkom eine unzureichende Erkennung von Sicherheitsvorfällen (59 Prozent), Fehlkonfigurationen (57 Prozent) und Lücken im Identitäts- und Zugriffsmanagement (55 Prozent). Wirksamer Schutz verbindet:

• Technik: MFA, Updates, Offline-Backups, Verschlüsselung, Netzsegmentierung, Protokollierung und Angriffserkennung.
• Organisation: Zuständigkeiten, Inventar, Risikoanalyse, möglichst geringe Rechte und einen Notfallplan.
• Personal: regelmäßige Schulungen und eine Kultur, in der Verdachtsfälle sofort gemeldet werden.

Vier Strategien, Zero Trust und gestaffelte Verteidigung

Prof. Pohlmann unterscheidet vier Cyber-Sicherheitsstrategien: Angriffe vermeiden (kleinere Angriffsfläche), ihnen entgegenwirken (etwa mit Verschlüsselung), sie erkennen und auf sie reagieren (Notfallplan, Wiederherstellung). Wer nur die ersten beiden umsetzt, bemerkt erfolgreiche Angriffe oft zu spät. Zero Trust prüft jeden Zugriff, statt dem internen Netz pauschal zu vertrauen; die gestaffelte Verteidigung (Defense in Depth) legt mehrere Schutzschichten hintereinander.

Was gehört in ein IT-Sicherheitskonzept?

Ein IT-Sicherheitskonzept hält fest, wie ein Unternehmen seine Informationen schützt. Typische Bestandteile:

• Geltungsbereich, Ziele und Verantwortliche.
• Übersicht über Informationen, Systeme und Dienstleister.
• Schutzbedarf je Schutzziel und Risikoanalyse.
• Maßnahmen mit Zuständigen, Fristen und Budget.
• Notfallregeln, Meldewege und regelmäßige Überprüfung.

Eine bewährte Methodik beschreibt der BSI-Standard 200-2; für NIS-2-Einrichtungen verlangt § 30 BSIG solche Konzepte ausdrücklich.

Checkliste: Erste Schritte für IT-Sicherheit im Unternehmen

In den ersten 30 Tagen:

1. Zuständigkeit und Budget festlegen; BSI und Bitkom empfehlen 20 Prozent des IT-Budgets für Sicherheit, im Schnitt sind es 18 Prozent.
2. MFA für E-Mail, Fernzugänge, Cloud-Dienste und Administratorkonten einschalten.
3. Updates automatisieren, Firewalls und VPN-Zugänge zuerst aktualisieren.
4. Backups offline aufbewahren und die Wiederherstellung testen.
5. Bankverbindungen nur nach Rückruf ändern und vor CEO-Fraud warnen, also vor falschen Chef-Anweisungen.

Bis 90 Tage:

1. Geräte, Software, Cloud-Dienste und Dienstleister erfassen.
2. Administratorrechte von Alltagskonten trennen.
3. Notfallplan mit Meldewegen und ausgedruckter Kontaktliste erstellen.
4. Protokollierung aktivieren und festlegen, wer Warnungen auswertet.
5. Schulungen einplanen und prüfen, ob NIS-2, die EU-Verordnung DORA für den Finanzsektor oder Branchenvorgaben gelten.

Einen schnellen Einstieg bieten die kostenlosen Checks für Datenlecks, Passwörter und Mailserver; ohne Kosten helfen auch das BSI, die Transferstelle Cybersicherheit im Mittelstand und die Allianz für Cyber-Sicherheit.

Rechtlicher Rahmen in Deutschland und der EU (Stand Oktober 2026)

NIS-2 und BSI-Gesetz

Seit dem 6. Dezember 2025 gilt mit dem NIS-2-Umsetzungsgesetz ein neues BSI-Gesetz, ohne allgemeine Übergangsfrist. Betroffen sind laut BSI-Schätzung rund 29.500 Einrichtungen statt bisher etwa 4.500.

Wichtige Einrichtungen sind Unternehmen aus Sektoren wie Energie, Gesundheit, digitale Infrastruktur, Chemie oder verarbeitendes Gewerbe mit mindestens 50 Beschäftigten oder mit jeweils mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme. Besonders wichtig sind solche aus Anlage 1 BSIG mit mindestens 250 Beschäftigten oder mit mehr als 50 Millionen Euro Umsatz und zugleich mehr als 43 Millionen Euro Bilanzsumme sowie, unabhängig von der Größe, etwa Betreiber kritischer Anlagen.

• Risikomanagement (§ 30 BSIG): Maßnahmen nach dem Stand der Technik, etwa zu Vorfallbewältigung, Backups, Lieferkette, Schwachstellen, Schulungen, Kryptografie und MFA.
• Meldungen (§ 32 BSIG): Erhebliche Sicherheitsvorfälle sind dem BSI binnen 24 Stunden zu melden, binnen 72 Stunden folgt eine erste Bewertung, spätestens einen Monat danach die Abschlussmeldung.
• Registrierung (§ 33 BSIG): Die gesetzliche Frist endete am 6. März 2026, auch eine Nachfrist des BSI ist abgelaufen. Bis 30. September 2026 hatten sich laut BSI 20.141 Einrichtungen registriert, rund zwei Drittel der Schätzung; neu Betroffene haben drei Monate Zeit.
• Geschäftsleitung (§ 38 BSIG): Sie muss die Maßnahmen nach § 30 umsetzen und überwachen, regelmäßig an Schulungen teilnehmen und haftet der Einrichtung für schuldhaft verursachte Schäden.

Verstöße gegen Risikomanagement- und Meldepflichten oder bestimmte BSI-Anordnungen können besonders wichtige Einrichtungen bis zu 10 Millionen Euro kosten, wichtige bis zu 7 Millionen Euro, bei mehr als 500 Millionen Euro weltweitem Jahresumsatz bis zu 2 beziehungsweise 1,4 Prozent davon. Andere Verstöße haben niedrigere Grenzen, etwa 500.000 Euro bei fehlender Registrierung.

Für Finanzunternehmen gilt statt zentraler BSIG-Pflichten DORA, für Telekommunikations- und Energienetzbetreiber gelten teils Sonderregeln. Den europäischen Rahmen erklärt die Seite zur NIS-2-Richtlinie.

KRITIS-Dachgesetz

Das KRITIS-Dachgesetz (KRITIS: kritische Infrastrukturen) setzt die CER-Richtlinie zum Schutz kritischer Einrichtungen um und regelt erstmals sektorübergreifend den physischen Schutz kritischer Anlagen, in der Regel ab 500.000 versorgten Einwohnern. Eine Registrierungspflicht besteht laut Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) noch nicht, weil die nötige Rechtsverordnung fehlt. Für die Cyber-Sicherheit kritischer Anlagen gilt das BSI-Gesetz, etwa mit der Pflicht zur Angriffserkennung und zu Nachweisen alle drei Jahre.

DSGVO, Cyber Resilience Act, DORA und KI-Verordnung

• DSGVO: Art. 32 verlangt risikogerechte Schutzmaßnahmen, Art. 33 die Meldung von Datenschutzverletzungen an die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden. Mehr zur Datenschutz-Grundverordnung (DSGVO).
• Cyber Resilience Act (CRA): Hersteller vernetzter Hard- und Software müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über eine Plattform der EU-Agentur für Cybersicherheit (ENISA) melden, die Frühwarnung binnen 24 Stunden. Mehr zu den Pflichten und Fristen des Cyber Resilience Act.
• DORA: Seit Januar 2025 regelt die DORA-Verordnung für den Finanzsektor IT-Risikomanagement, Vorfallmeldungen, Resilienztests und Dienstleisterrisiken.
• KI-Verordnung: Hochrisiko-KI-Systeme müssen nach Art. 15 künftig unter anderem robust und gegen Angriffe geschützt sein. Mehr zu den Pflichten und Fristen der KI-Verordnung.

Fristen auf einen Blick

Noch nicht beschlossen sind der Entwurf eines „Gesetzes zur Stärkung der Cybersicherheit“ (Bundestagsdrucksache 21/6585), von der EU-Kommission vorgeschlagene NIS-2-Änderungen und die im Digital-Omnibus vorgeschlagene 96-Stunden-Meldefrist der DSGVO. Eine erste Orientierung gibt der Gesetz-Finder des Legal Trust Navigators, den Gesamtüberblick die Liste aller Rechtsakte aus EU und Deutschland. Diese Übersicht ersetzt keine Rechtsberatung im Einzelfall.

Standards und Zertifizierungen

• ISO/IEC 27001: Standard für ein Informationssicherheits-Managementsystem (ISMS); Zertifikate nach der alten Fassung 2013 sind seit Ende Oktober 2025 ungültig. Mehr zur Zertifizierung nach ISO/IEC 27001.
• IT-Grundschutz des BSI: Methodik der BSI-Standards 200-1 bis 200-4 mit dem IT-Grundschutz-Kompendium (Edition 2023); Nachfolger ist Grundschutz++, der klassische Grundschutz bleibt bis Ende November 2031 zertifizierbar.
• NIST Cybersecurity Framework 2.0: frei verfügbarer Rahmen des US-Standardinstituts NIST.
• TISAX und C5: Prüfverfahren der Autoindustrie und Cloud-Kriterienkatalog des BSI.
• Für kleine Unternehmen: CyberRisikoCheck nach DIN SPEC 27076, VdS 10000, CISIS12 oder der ursprünglich für Kommunen entwickelte, frei nutzbare „Weg in die Basis-Absicherung“ (WiBA) des BSI.

Wer ist verantwortlich? Rollen in der IT-Sicherheit

Die Gesamtverantwortung trägt die Geschäftsleitung, in NIS-2-Einrichtungen per Gesetz (§ 38 BSIG). Informationssicherheitsbeauftragte (ISB), in Konzernen oft Chief Information Security Officer (CISO) genannt, steuern das Sicherheitsmanagement und berichten direkt an die Geschäftsleitung; sie sollten unabhängig vom IT-Betrieb arbeiten. Datenschutzbeauftragte (DSB) überwachen die Einhaltung des Datenschutzrechts, IT-Betrieb und Dienstleister setzen Maßnahmen um, geschulte Beschäftigte melden Auffälligkeiten. Kleineren Unternehmen helfen oft externe Informationssicherheitsbeauftragte.

Wie finden Sie passende IT-Sicherheitsanbieter?

Typische Leistungen sind Beratung, Penetrationstests (beauftragte Angriffssimulationen), ein Security Operations Center (SOC) zur Dauerüberwachung, Notfallhilfe (Incident Response) und Schulungen zur Sensibilisierung (Awareness). Prüfen Sie:

• Nachweise wie ein ISO-27001-Zertifikat mit passendem Geltungsbereich oder eine BSI-Qualifizierung als APT-Response-Dienstleister für gezielte Angriffe.
• Reaktionszeiten im Notfall, auch nachts und am Wochenende.
• Datenstandort, Vertrag zur Auftragsverarbeitung und Haftung.
• Referenzen aus Ihrer Branche und Größenklasse.

Vorsicht bei Angstmarketing und Versprechen wie „100 Prozent Sicherheit“. Das Anbieterverzeichnis für IT-Sicherheit umfasst mehr als 450 Einträge; nach Fachgebieten geordnet sind die interaktiven Listen spezialisierter Dienstleister. Transparenzhinweis: Anbieter sind mit einer kostenlosen Basis- oder einer kostenpflichtigen Mitgliedschaft auf dem Marktplatz vertreten. Ein Eintrag ist keine Empfehlung.

Ausblick: Trends, Berufe und Weiterbildung

KI verändert beide Seiten: Angreifer automatisieren Phishing und Schwachstellensuche, Verteidiger nutzen KI zur Angriffserkennung. Langfristig wichtig ist die Post-Quanten-Kryptografie, also Verschlüsselung, die auch künftigen Quantencomputern standhält. Für Weiterbildung und Berufseinstieg hilft der Ratgeber zu Zertifikaten für Personen, Unternehmen und Produkte.

Häufige Fragen

Was ist IT-Sicherheit – einfach erklärt?

IT-Sicherheit schützt Computer, Netzwerke, Programme und elektronische Daten vor Angriffen, Ausfällen und Fehlern. Nur Befugte sollen auf Informationen zugreifen, Daten dürfen nicht unbemerkt verändert werden, und Systeme müssen funktionieren, wenn sie gebraucht werden. Ein Beispiel: Legt Erpressungssoftware die IT eines Handwerksbetriebs lahm, kann er keine Rechnungen schreiben. IT-Sicherheit soll das verhindern oder den Schaden begrenzen, mit Updates, Backups, Multi-Faktor-Authentisierung, klaren Zuständigkeiten und geschulten Beschäftigten.

Was ist der Unterschied zwischen IT-Sicherheit und Informationssicherheit?

Informationssicherheit schützt Informationen in jeder Form, also digital, auf Papier oder als Wissen von Personen. IT-Sicherheit ist nach BSI-Standard 200-1 ein Teil davon und betrifft elektronisch gespeicherte Informationen und deren Verarbeitung. Wer ein Managementsystem nach ISO/IEC 27001 aufbaut, betrachtet deshalb auch Akten, Gespräche und Zutrittsregeln, nicht nur Server und Software.

Was unterscheidet IT-Sicherheit von Cyber-Sicherheit und Datenschutz?

Cyber-Sicherheit weitet den Blick auf alle mit dem Internet und vergleichbaren Netzen verbundenen Systeme und auf Angriffe aus dem Cyber-Raum; der Begriff prägt Regelwerke wie NIS-2 und den Cyber Resilience Act. Datenschutz schützt Menschen und ihre personenbezogenen Daten und regelt, ob und wie eine Verarbeitung erlaubt ist. IT-Sicherheit liefert die Mittel, um diese Verarbeitung abzusichern. Art. 32 DSGVO verlangt dafür angemessene technische und organisatorische Maßnahmen.

Welche Schutzziele hat die IT-Sicherheit – drei oder vier?

Grundlage sind drei Schutzziele: Vertraulichkeit, Integrität und Verfügbarkeit; mit diesen Grundwerten arbeitet der IT-Grundschutz des BSI. Wer von vier spricht, ergänzt meist die Authentizität, also die Echtheit einer Quelle. Der BSI-Standard 200-1 nennt als weitere Oberbegriffe neben der Authentizität Verbindlichkeit, Zuverlässigkeit, Resilienz und Nichtabstreitbarkeit, oft genannt wird auch Zurechenbarkeit. Das Modell von Prof. Dr. Norbert Pohlmann umfasst zudem Authentifikation, also die Prüfung einer Identität, sowie Anonymisierung und Pseudonymisierung, die vor allem dem Datenschutz dienen. Wie hoch der Schutzbedarf je Schutzziel ist, legen Sie in der Schutzbedarfsfeststellung fest.

Warum ist IT-Sicherheit auch für kleine Unternehmen wichtig?

IT-Sicherheit ist auch für kleine Unternehmen wichtig, weil Angreifer laut BSI zunehmend schlecht geschützte Ziele wählen. Rund 90 Prozent der 2025 in Deutschland angezeigten Ransomware-Angriffe richteten sich laut BKA gegen kleine und mittlere Unternehmen. Schon ein Ausfall von wenigen Tagen kann Aufträge, Kundendaten und die Liquidität gefährden. Grundmaßnahmen wie MFA, schnelle Updates, getestete Offline-Backups und ein Notfallplan helfen, viele Angriffe abzuwehren oder ihre Folgen deutlich zu begrenzen.

Wer ist im Unternehmen für IT-Sicherheit verantwortlich, und wer darf IT-Sicherheitsbeauftragter sein?

Verantwortlich ist die Geschäftsleitung. In NIS-2-Einrichtungen verpflichtet § 38 BSIG sie, die Risikomanagementmaßnahmen umzusetzen, ihre Umsetzung zu überwachen und regelmäßig an Schulungen teilzunehmen. Die operative Steuerung übernehmen meist Informationssicherheitsbeauftragte (ISB), also fachkundige Beschäftigte oder externe Dienstleister. Für die meisten Unternehmen schreibt kein Gesetz vor, wer ISB sein darf; Branchenregeln können Anforderungen stellen. ISB brauchen ausreichend Zeit und direkten Zugang zur Geschäftsleitung. Wer zugleich den IT-Betrieb leitet, kontrolliert sich selbst.

Gilt das IT-Sicherheitsgesetz (NIS-2) auch für mein Unternehmen?

Das hängt von Branche und Größe ab. Die Regeln der früheren IT-Sicherheitsgesetze sind heute im Wesentlichen im neuen BSI-Gesetz zusammengeführt, das seit dem 6. Dezember 2025 die NIS-2-Richtlinie umsetzt; für Telekommunikations- und Energienetzbetreiber gelten teils Sonderregeln. Erfasst sind in der Regel Unternehmen aus Sektoren wie Energie, Gesundheit, Chemie oder verarbeitendes Gewerbe mit mindestens 50 Beschäftigten oder mit jeweils mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme. Betroffene müssen sich beim BSI registrieren. Eine erste, unverbindliche Einschätzung liefert die NIS-2-Betroffenheitsprüfung des BSI. Bleiben Zweifel, lassen Sie Ihre Betroffenheit rechtlich prüfen.

Was ist ein IT-Sicherheitsvorfall, und was ist im Ernstfall zu tun?

Nach § 2 Nr. 40 BSIG ist ein Sicherheitsvorfall ein Ereignis, das die Verfügbarkeit, Integrität oder Vertraulichkeit von Daten oder Diensten beeinträchtigt. Im Ernstfall trennen Sie betroffene Systeme vom Netz, sichern Spuren, statt sie zu löschen, und starten den Notfallplan. Prüfen Sie dann die Meldepflichten: NIS-2-Einrichtungen melden erhebliche Sicherheitsvorfälle binnen 24 Stunden an das BSI. Datenschutzverletzungen mit Risiko für Betroffene gehen möglichst binnen 72 Stunden an die Datenschutzaufsicht. Hilfe bieten das BSI, die Zentralen Ansprechstellen Cybercrime (ZAC) der Polizei und die Transferstelle Cybersicherheit im Mittelstand.

Welche Berufe und Ausbildungswege gibt es in der IT-Sicherheit?

Fachleute für IT-Sicherheit arbeiten etwa in der Überwachung eines Security Operations Centers (SOC), bei Penetrationstests, im Informationssicherheitsmanagement oder in der Sicherheitsarchitektur. Der Einstieg führt meist über ein Studium mit Schwerpunkt IT- oder Cyber-Sicherheit, eine IT-Ausbildung mit anschließender Weiterbildung oder berufsbegleitende Qualifikationen. Fachwissen belegen Personenzertifikate, etwa der IT-Grundschutz-Praktiker des BSI oder international CISSP und CISM.

Was können Privatpersonen für ihre Sicherheit tun?

Für Privatpersonen gelten dieselben Grundregeln wie für Unternehmen: Updates zügig einspielen, für jeden Dienst ein eigenes Passwort aus einem Passwort-Manager nutzen, wo möglich einen zweiten Anmeldefaktor einschalten und wichtige Daten regelmäßig sichern. Laut Cybersicherheitsmonitor 2026 von BSI und Polizei waren 11 Prozent der Internetnutzenden ab 16 Jahren binnen eines Jahres von Cyber-Kriminalität betroffen. Verständliche Tipps gibt das BSI auf seinen Seiten für Verbraucherinnen und Verbraucher.

Quellen und Stand

Stand: 19. Oktober 2026; Aktualisierung nach dem BSI-Lagebericht 2026. Primärquellen:

• Gesetze: BSI-Gesetz (BSIG), Cyber Resilience Act, DORA und Verordnung (EU) 2026/1744.
• BSI: Standard 200-1, NIS-2-Pflichten, NIS-2 in Zahlen, NIS-2-Betroffenheitsprüfung, Lagebericht 2025, KI-Warnung (Juni 2026), Trivy-Warnung (März 2026), Grundschutz++, C5:2026 und Verbrauchertipps.
• Studien: BSI/TÜV-Verband: KI-Sicherheitsstudie 2026, BSI/Polizei: Cybersicherheitsmonitor 2026, Bitkom: Wirtschaftsschutz 2026 und BKA: Bundeslagebild Cybercrime 2025.
• Gesetzgebung: Bundestag: CRA-Durchführungsgesetz, Drucksache 21/6585, EU-Parlament: Digital-Omnibus und NIS-2-Änderung.
• Weitere: BBK: KRITIS-Dachgesetz, ENX: VDA ISA2027, NSAI: ISO/IEC 27001:2022 und Prof. Dr. Norbert Pohlmann: Cyber-Sicherheitsstrategien sowie sein Glossar-Eintrag „IT-Sicherheit“ auf norbert-pohlmann.com.

Weiterlesen: alle Ratgeber und die häufigsten Sicherheitsthemen in News und Suche.