BSI Lagebericht 2025: 5 Maßnahmen gegen die wachsende Bedrohungslage

280.000 neue Schadprogrammvarianten – pro Tag. Dazu 119 frisch entdeckte Sicherheitslücken, jeden einzelnen Tag, ein Plus von 24 Prozent gegenüber dem Vorjahr. Das sind die zentralen Zahlen aus dem BSI Lagebericht 2025, den das Bundesamt für Sicherheit in der Informationstechnik im November 2025 vorgelegt hat. Für den Berichtszeitraum Juli 2024 bis Juni 2025 zeichnet die Bundesbehörde ein Bild, das BSI-Präsidentin Claudia Plattner selbst als „angespannt“ beschreibt – trotz einzelner Fortschritte bei der Abwehr. Für Geschäftsführer und IT-Verantwortliche im Mittelstand ist das mehr als eine abstrakte Meldung: Der BSI Lagebericht 2025 markiert den Punkt, an dem IT-Sicherheit endgültig zur Chefsache wird. Dieser Beitrag ordnet die wichtigsten Zahlen ein und zeigt fünf konkrete Maßnahmen, mit denen Unternehmen der Bedrohungslage begegnen können.

Der BSI Lagebericht 2025 in Zahlen

Der BSI Lagebericht 2025 ist das offizielle Referenzdokument zur IT-Sicherheitslage in Deutschland. Anders als Marketingstudien einzelner Hersteller stützt sich der BSI Lagebericht 2025 auf behördliche Telemetrie, Meldungen aus dem CERT-Bund-Netzwerk und Daten aus der Wirtschaft – über alle Branchen hinweg, vom Konzern bis zum Handwerksbetrieb in der Region. Erstmals wertet das BSI die Lage dabei in einem neuen Online-Format mit mehr als 70 statistischen Auswertungen aus – mehr als doppelt so viele wie im Vorjahresbericht. Das Amt selbst spricht von einem wichtigen Schritt hin zu einem vollständig quantitativ messbaren Cyberlagebild für Deutschland. Die folgende Tabelle fasst die Kennzahlen zusammen, die für Unternehmen in der Metropolregion Rhein-Neckar besonders relevant sind.

Auffällig ist, wie klar die BSI-Präsidentin selbst zwischen Fortschritt und Risiko unterscheidet. Bei der Vorstellung des BSI Lagebericht 2025 sagte Claudia Plattner: „Vorab darf ich sagen, dass wir eine Stabilisierung im Bereich der Bedrohungen haben, weil wir die Abwehr in der vergangenen Periode stärken konnten und Infrastruktur von Angreifern vom Netz nehmen konnten.“ Im gleichen Atemzug stellte sie aber klar: „Das Ergebnis führt dazu, dass insgesamt die Gefährdung und das Gefährdungspotential steigt und erkennbar auch die Schäden steigen.“ Stabilisierung heißt hier ausdrücklich nicht Entwarnung.

Im internationalen Vergleich bestätigt sich dieses Bild: Deutschland zählt laut BSI Lagebericht 2025 zu den weltweit am stärksten von staatlich gesteuerten Angreifergruppen (APT) ins Visier genommenen Ländern. Rund ein Viertel aller global aktiven APT-Gruppen richtet ihre Angriffe zumindest zeitweise gegen deutsche Ziele – Behörden, Industrie und zunehmend auch mittelständische Zulieferer, die selbst über keine eigene Sicherheitsabteilung verfügen. Für Unternehmen in der Metropolregion Rhein-Neckar heißt das: Wer als Zulieferer für Automobilindustrie, Chemie oder öffentliche Hand arbeitet, gerät automatisch stärker in den Fokus, auch ohne selbst im Rampenlicht zu stehen.

Woran lässt sich erkennen, dass akuter Handlungsbedarf besteht? Typische Warnsignale, die auf eine ungenügend abgesicherte Angriffsfläche hindeuten, sind:

• Systeme oder Software, die seit mehr als 90 Tagen keine sicherheitsrelevanten Updates erhalten haben
• Keine Multi-Faktor-Authentisierung für Fernzugänge, VPN oder Admin-Konten
• Backups, die zwar existieren, aber nie auf Wiederherstellbarkeit getestet wurden
• Fehlende Übersicht darüber, welche Cloud-Dienste und Schatten-IT im Unternehmen tatsächlich genutzt werden
• Kein dokumentierter Ablaufplan für den Ernstfall eines Sicherheitsvorfalls

Wer mehrere dieser Punkte mit Ja beantwortet, sollte die im BSI Lagebericht 2025 beschriebene Bedrohungslage nicht als Randnotiz behandeln, sondern als konkreten Auftrag verstehen.

Warum der BSI Lagebericht 2025 den Mittelstand zur Chefsache macht

Besonders deutlich wird die BSI-Chefin bei den strukturellen Schwächen deutscher Unternehmen: „Wir haben in der Tat nach wie vor unzureichend geschützte Angriffsflächen in Deutschland, was uns damit auch im digitalen Raum verwundbar macht.“ Gemeint sind veraltete Systeme, ungepatchte VPN-Gateways und vergessene Server – genau die Einfallstore, über die Ransomware-Gruppen wie Qilin, Akira und LockBit nach dem Modell Ransomware-as-a-Service operieren. Ihr Geschäftsprinzip ist die doppelte Erpressung: Daten werden verschlüsselt und vorher gestohlen, die Drohung mit der Veröffentlichung erhöht den Druck zusätzlich – selbst wenn ein funktionierendes Backup vorhanden ist.

Diese Bedrohungslage trifft auf eine neue rechtliche Realität. Seit dem 2. Dezember 2025 ist das novellierte BSI-Gesetz in Kraft, das die EU-Richtlinie NIS2 in deutsches Recht überführt. Der Kreis der regulierten Unternehmen wächst dadurch massiv, von wenigen Tausend Betreibern kritischer Infrastruktur auf geschätzt rund 29.500 Einrichtungen – vom Energieversorger über die Chemieindustrie bis zum produzierenden Mittelstand.

Wer sich fragt, ob NIS2 das eigene Unternehmen überhaupt betrifft, findet bei unserer NIS2-Beratung für die Region Rhein-Neckar eine erste Einschätzung.

Die wirtschaftliche Dimension liefert der Digitalverband Bitkom in seiner Studie Wirtschaftsschutz: Der jährliche Gesamtschaden durch Diebstahl, Spionage und Sabotage für die deutsche Wirtschaft liegt inzwischen bei 289,2 Milliarden Euro, davon entfallen 202,4 Milliarden Euro auf Cyberangriffe im engeren Sinn – ein Anteil, der von Jahr zu Jahr wächst. Rund ein Drittel der befragten Unternehmen nennt Ransomware als größte Einzelbedrohung. Bitkom-Präsident Ralf Wintergerst verweist zudem darauf, dass ein wachsender Anteil der Angriffe auf staatlich gesteuerte Akteure zurückgeht, was die Verteidigung zusätzlich erschwert, weil hinter den Angriffen keine gewöhnlichen Kriminellen, sondern professionell ausgestattete Organisationen stehen.

5 Maßnahmen, mit denen Sie der Bedrohungslage aus dem BSI Lagebericht 2025 begegnen

Die gute Nachricht: Die wirksamsten Antworten auf den BSI Lagebericht 2025 sind selten die teuersten. Es kommt auf die richtige Reihenfolge und auf Konsequenz an.

1. Angriffsflächen kennen, bevor Angreifer sie finden

Man kann nur schützen, was man kennt. Ein vollständiges Asset-Inventar – Server, Endgeräte, Cloud-Dienste, vergessene Testsysteme – ist die Grundlage jeder wirksamen Verteidigung. Eine strukturierte Ist-Analyse deckt genau jene „unzureichend geschützten Angriffsflächen“ auf, die die BSI-Präsidentin anspricht. Regelmäßige Penetrationstests zeigen zusätzlich, welche Lücken ein echter Angreifer tatsächlich ausnutzen könnte. Wie so ein Schwachstellenmanagement systematisch aufgebaut wird, erläutern wir ausführlich in unserem Beitrag Was ist Schwachstellenmanagement?

2. Patches priorisieren statt im Patch-Chaos versinken

Bei 119 neuen Sicherheitslücken pro Tag kann kein IT-Team jede einzelne sofort bewerten. Entscheidend ist die Priorisierung: Lücken, die nachweislich bereits aktiv ausgenutzt werden, müssen zuerst geschlossen werden – unabhängig vom theoretischen Schweregrad. Ein klar definiertes Service-Level, etwa kritische Patches innerhalb von 72 Stunden, verhindert, dass sich Rückstände unbemerkt aufbauen. Wichtiger als Vollständigkeit ist Geschwindigkeit bei den Lücken, die tatsächlich ausgenutzt werden.

3. Verhalten erkennen statt nur Signaturen abgleichen

280.000 neue Schadprogrammvarianten pro Tag entstehen größtenteils automatisiert, um klassische Virenscanner zu umgehen. Reine Signaturerkennung hat damit ausgedient. Endpoint-Detection-and-Response-Systeme bewerten stattdessen Verhalten: Welcher Prozess verschlüsselt plötzlich tausende Dokumente, welche Verbindung baut ein Office-Makro zu einem unbekannten Server auf. Den Unterschied zwischen den gängigen Ansätzen erklären wir in Was ist der Unterschied zwischen EDR und MDR?

4. Backups testen, nicht nur anlegen

Weil Ransomware-Gruppen gezielt auch Backups angreifen, reicht die reine Existenz einer Sicherung nicht aus. Wirksam ist die 3-2-1-Regel – drei Kopien der Daten, zwei verschiedene Medien, eine Kopie offline oder unveränderlich – kombiniert mit regelmäßig geübter Wiederherstellung. Nur ein getesteter Notfallplan zeigt, ob die Recovery-Zeit im Ernstfall tatsächlich zum Geschäftsbetrieb passt. Mehr zu einer „Made in Germany“-Absicherung mit deutschen Rechenzentren finden Sie unter Backup & Disaster Recovery.

5. NIS2-Governance und Awareness zur Routine machen

Weil die Geschäftsleitung seit dem BSIG persönlich haftet, gehört IT-Sicherheit auf die Tagesordnung der Geschäftsführung – nicht nur in die IT-Abteilung. Ein strukturiertes Risikomanagement, dokumentierte Meldeprozesse und regelmäßige Schulungen der Belegschaft schließen die Lücke, die Technik allein nicht schließen kann. Denn ein Großteil erfolgreicher Angriffe beginnt weiterhin mit einer einzigen angeklickten Phishing-Mail. Fünf weitere Bausteine für eine belastbare Sicherheitsstrategie haben wir in 5 Take-aways für jede Cybersecurity-Strategie 2026 zusammengefasst.

Was Unternehmen in der Region Rhein-Neckar jetzt tun sollten

Die im BSI Lagebericht 2025 beschriebene Entwicklung ist kein rein deutsches Phänomen, trifft die Bundesrepublik im DACH-Vergleich aber überdurchschnittlich: Laut einer aktuellen Auswertung entfallen rund 82 Prozent aller in der DACH-Region erfassten Cybervorfälle auf Deutschland. Wirtschaftliche Bedeutung, hohe Mittelstandsdichte und geopolitische Sichtbarkeit machen das Land zu einem bevorzugten Ziel. Für Kommunen, Energie- und Wasserversorger, die Chemieindustrie und das produzierende Gewerbe in der Metropolregion Rhein-Neckar bedeutet das: Abwarten ist keine Option mehr.

Als herstellerunabhängiges IT-Systemhaus mit über 30 Jahren Erfahrung begleiten wir Unternehmen in der Region von der Ist-Analyse über das 360-Grad-IT-Sicherheitskonzept – Prevention, Detection, Action, Recover – bis zur laufenden Betreuung. Persönlicher Ansprechpartner statt anonymer Großkonzern-Support: Das ist der Unterschied, den Unternehmen in der Praxis spüren, wenn es im Ernstfall schnell gehen muss.

Das gilt branchenübergreifend, aber mit unterschiedlicher Dringlichkeit: Kommunen und öffentliche Verwaltungen stehen wegen ihrer Bürgerservices besonders im Fokus, Energie- und Wasserversorger fallen als KRITIS-Betreiber ohnehin unter verschärfte NIS2-Pflichten, und die Chemieindustrie muss zusätzlich Betriebstechnik und IT gemeinsam absichern. Der BSI Lagebericht 2025 macht deutlich, dass keine dieser Branchen auf eine Atempause hoffen sollte.

Fazit

Der BSI Lagebericht 2025 liefert keine Panikmache, sondern eine nüchterne Bestandsaufnahme: 280.000 neue Schadprogramme und 119 neue Sicherheitslücken pro Tag treffen auf eine Wirtschaft, die durch NIS2 seit Dezember 2025 auch rechtlich stärker in die Pflicht genommen wird. Wer jetzt mit Angriffsflächen-Analyse, priorisiertem Patch-Management, verhaltensbasierter Erkennung, getesteten Backups und gelebter NIS2-Governance beginnt, verwandelt die Bedrohungslage aus dem BSI Lagebericht 2025 in einen konkreten Handlungsplan statt in ein abstraktes Risiko.