BSI-Lagebericht: 119 neue Schwachstellen pro Tag – und KMU im Fokus
Einmal im Jahr vermisst das Bundesamt für Sicherheit in der Informationstechnik die Bedrohungslage – und der Lagebericht 2025 für den Berichtszeitraum Juli 2024 bis Juni 2025 enthält zwei Zahlen, die in mittelständischen Geschäftsleitungen hängen bleiben sollten. Erstens: Im Schnitt wurden 119 neue Schwachstellen pro Tag bekannt, ein Anstieg von 24 Prozent gegenüber dem Vorjahr. Zweitens: Von den 950 registrierten Ransomware-Angriffen des Berichtszeitraums trafen rund 80 Prozent kleine und mittlere Unternehmen, in den meisten Fällen verbunden mit Datenabfluss oder dessen Androhung.
Die Vorstellung, für Angreifer zu klein oder zu uninteressant zu sein, hält diesen Zahlen nicht stand. Ransomware-Gruppen arbeiten arbeitsteilig und opportunistisch: Angegriffen wird, was verwundbar ist, nicht was berühmt ist. Ein Mittelständler mit veralteter Firewall, fehlender Multi-Faktor-Authentifizierung und ungetestetem Backup ist ein leichteres Ziel als ein Konzern mit Security-Team – und die Lösegeldforderung wird an die Unternehmensgröße angepasst.
Die Lücke zwischen Lage und Vorsorge
Der Bericht benennt auch die Gegenseite: Kleine und mittlere Unternehmen erfüllen im Schnitt nur etwa 56 Prozent der Basisanforderungen an die IT-Sicherheit. Es fehlt selten am Problembewusstsein, häufig an Struktur – an einer Bestandsaufnahme, die zeigt, wo die eigenen Lücken liegen, und an einem Mechanismus, der Maßnahmen nachhaltbar macht. Genau hier setzen die regulatorischen Entwicklungen an: Was das BSIG von regulierten Einrichtungen verlangt – Risikoanalyse, Backup-Konzept, Zugriffskontrolle, Schulung, geübte Meldewege –, ist der Sache nach nichts anderes als der Basisschutz, dessen Fehlen der Lagebericht dokumentiert.
Für die Praxis heißt das: Die Prioritätenliste muss nicht erfunden werden. Ein strukturierter Selbst-Check entlang der zehn Maßnahmenbereiche des § 30 BSIG zeigt auch nicht regulierten Unternehmen, wo sie stehen – und liefert die Reihenfolge für die nächsten Schritte. Wie ein solcher Check mit Erfüllungsgrad und abgeleiteten Maßnahmen aussieht, zeigt das Modul NIS2; den vollständigen Lagebericht veröffentlicht das BSI auf seiner Website.
