TrendAI 2026 Cyberrisiko-Bericht: Der globale Cyberrisiko-Index verbessert sich im zweiten Jahr in Folge, doch Unternehmen stecken weiterhin tief in der mittleren Risikozone fest.

Globaler Cyber Risk Index verbessert sich das zweite Jahr in Folge, doch Unternehmen bleiben weiterhin tief im mittleren Risikobereich: Analyse des TrendAI 2026 Cyber Risk Reports

Einleitung: Das Cybersicherheitsrisiko globaler Unternehmen hat sich 2025 das zweite Jahr in Folge verbessert. Besorgniserregend ist jedoch, dass nahezu alle Organisationen, aus denen Telemetriedaten vorliegen, weiterhin im mittleren Risikobereich verharren – die strukturelle Distanz zur „Sicherheit“ bleibt also bestehen. Der TrendAI 2026 Cyber Risk Report wurde am 8. Juli 2026 veröffentlicht und basiert auf umfangreichen Telemetriedaten aus TrendAI Vision One Cyber Risk Exposure Management (CREM), XDR und globaler Bedrohungsaufklärung. Er liefert CISO und Sicherheitsteams ein Ganzjahresbild zu Risikoexposition, Identitätshygiene und Konfigurationsschwachstellen. Der Bericht ist nicht nur eine Ansammlung von Zahlen, sondern legt auch die langfristigen Risiken offen, die Unternehmen bei der Cloud-Migration, dem Identitätsmanagement, der OT-Digitalisierung und der Umsetzung von Zero Trust gerade säen.

Überblick: Ein jährliches Risikoprofil auf Basis globaler Telemetrie

Der TrendAI 2026 Cyber Risk Report ist der jährliche Flaggschiffbericht von TrendAI Research, einem Teil von TrendMicro. Die Daten stammen hauptsächlich aus Telemetrieinformationen, die im gesamten Jahr 2025 in Kundenumgebungen gesammelt wurden. Die zentrale Kennzahl des Berichts – der Cyber Risk Index (CRI) – fasst die Bewertungen verschiedener Assets und Risikofaktoren zu einem Zahlenwert zwischen 0 und 100 zusammen und bildet das Gesamtsicherheitsrisiko einer Organisation anschaulich ab. Neben dem CRI führt der Bericht erstmals auch Daten zur Angriffspfad-Vorhersage aus der Attack Path Prediction-Funktion von TrendAI Vision One ein, um die jährliche Risikostatistik um eine vorausschauende Perspektive zu ergänzen. Download des Berichts: TrendAI 2026 Cyber Risk Report.

Der Bericht stellt ausdrücklich klar, dass diese Daten keine statistisch repräsentative Stichprobe für eine Branche oder Region darstellen, sondern Beobachtungen aus der Kundenbasis sind, die als richtungsweisende Signale dienen sollen. Das bedeutet, dass konkrete Rankings eher als Trendreferenz denn als Branchenmaßstab zu verstehen sind.

Technische und Risikoanalyse: Strukturelle Risiken hinter der Verbesserung

Globaler Risikoindex: Rückgang, aber keine Entwarnung## Technik- und Risikoanalyse: Strukturelle Schwachstellen hinter der Verbesserung

Globaler Risikoindex: Rückgang, aber keine Entwarnung

Der durchschnittliche CRI sank 2025 weltweit von 38,5 im Jahr 2024 auf 35,8 und setzte damit den seit 2023 anhaltenden Verbesserungstrend fort. Doch der Weg der Verbesserung war nicht eben: Der CRI stieg im April vorübergehend auf 37,4, fiel im Juli auf einen Tiefststand von 34,1 und kletterte zum Jahresende wieder auf 36,7. Dieses Schwankungsmuster steht in deutlichem Kontrast zur kontinuierlich fallenden Kurve von 2024 und könnte darauf hindeuten, dass viele Unternehmen Risikoereignisse eher reaktiv bewältigen, anstatt systematisch Risikogovernance zu betreiben. Bemerkenswerterweise liegen weiterhin alle Organisationen, die an der Telemetrie der Studie teilnahmen, im „mittleren Risiko"-Bereich zwischen 31 und 69; kein einziges Unternehmen erreichte die Zone „geringes Risiko". Mit anderen Worten: Trotz der positiven Gesamtzahlen hat kein Unternehmen die Sicherheitsbasis wirklich erreicht.

Branchen-Risikorangliste: Infrastruktur und Gesundheitswesen weiterhin unter Druck

Nach Branchen aufgeschlüsselt zählen Bergbau, Gesundheitswesen, Landwirtschaft, Telekommunikation, Bildung, Regierung und Versorgungsunternehmen zu den zehn risikoreichsten Branchen. Der Bergbau belegt mit einem CRI von 42,5 erstmals den Spitzenplatz, was eng mit der rasanten Digitalisierung der OT (Operationstechnologie) an abgelegenen Standorten zusammenhängt. Die Angriffsfläche wächst offenbar schneller, als Sicherheitskontrollen ausgerollt werden können. Die Risikoereignisse im Bergbau sind überwiegend Bedrohungen per E-Mail und nicht – wie in anderen Branchen üblich – Cloud-App-Zugriffe. Das deutet darauf hin, dass gezieltes Phishing der wahrscheinlichste Einstiegsweg für Erstangriffe ist. Gleichzeitig bedeuten nicht optimierte Endpunkt-Sensoreinstellungen, dass diese Organisationen erhebliche blinde Flecken bei der Sicherheitserkennung aufweisen könnten.

Das Gesundheitswesen liegt mit einem CRI von 40,3 zum zweiten Jahr in Folge unter den ersten drei. Unter der enormen Zahl von Gerätebeständen läuft viel Software, die nicht gepatcht werden kann, ohne die Kontinuität der Patientenversorgung zu beeinträchtigen oder ohne behördliche Zulassung. Bereits die Daten von 2024 zeigten, dass die durchschnittliche Patch-Zeit im Gesundheitswesen mit 41,5 Tagen die langsamste aller Branchen ist. Bei den Risikoereignissen im Gesundheitswesen sind die Risiken von Cloud-App-Zugriffen hoch, und es gibt zahlreiche Fehlkonfigurationen bei Gerätekontrolleinstellungen. Dies spiegelt wider, dass cloudbasierte klinische Tools schnell eingeführt werden, die entsprechenden Governance-Strukturen jedoch noch nicht hinterhergekommen sind.

Die Landwirtschaft verzeichnet ebenfalls einen CRI von 40,3; ihre wichtigsten Risikoereignisse werden durch Verstöße beim Datenverlustschutz (DLP) dominiert. Angesichts der zunehmenden Abhängigkeit der Landwirtschaft von Präzisionslandwirtschaftstechnologien und vernetzten Maschinen bedeutet dies sehr wahrscheinlich, dass sensible Lieferketten- und Betriebsdaten über Kanäle mit unzureichender Kontrolle nach außen gelangen. Das häufige Auftreten von Fehlkonfigurationen bei Gerätekontrolleinstellungen deckt sich zudem mit der Ausweitung von IoT- und Automatisierungsgeräten.

Die Telekommunikationsbranche erreicht mit einem CRI von 39,9 erstmals die Top fünf. Die Umstellung auf 5G, cloudnative Architekturen und softwaredefinierte Infrastruktur stellt sie vor vielfältige Sicherheitsherausforderungen. Sie ist außerdem die einzige Branche unter den Top fünf, bei der gleichzeitig hohe Verstöße bei eingehenden E-Mail-Richtlinien und fehlgeschlagener Schutz vor ausgehendem Datenverlust auftreten. Das bedeutet, dass ihre Risiken nicht nur sie selbst betreffen, sondern auch Kunden und kritische Infrastruktur, die auf ihre Dienste angewiesen sind.Die Bildungsbranche belegt mit einem CRI von 39,8 den fünften Platz, verzeichnete jedoch die größte Verbesserung aller Branchen, mit einem Rückgang von 45,1 Anfang 2024 auf 39,8. Vier der fünf größten Risikoereignisse stehen in direktem Zusammenhang mit Identität, darunter verwaiste Konten, deaktivierte MFA, deaktivierte Passwortabläufe und deaktivierte starke Passwörter. Die hohe Fluktuation von Studierenden und Lehrkräften macht die Identitätsverwaltung zu einem dauerhaften Problem.

Darüber hinaus weist die Branche Regierung und öffentliche Dienstleistungen einen CRI von 39,7 auf, der langfristig durch lange Beschaffungszyklen, viele Altsysteme und eine verteilte Belegschaft beeinflusst wird; die Kommunikationsbranche sank auf 39,3, jedoch ist die Anzahl der Ereignisse „mögliche Deaktivierung von Antivirensoftware“ in ihrer XDR-Erkennung hoch, was darauf hindeutet, dass Angreifer nach dem Eindringen aktiv den Endpoint-Schutz lahmlegen. Der CRI des Finanzdienstleistungssektors liegt bei 38,9; trotz strenger Regulierung sind Konten mit deaktivierter MFA weiterhin häufig, was die Kluft zwischen politischen Anforderungen und operativer Umsetzung offenlegt. Auch Versorgungsunternehmen liegen bei 38,9 und erreichen erstmals die Top Ten; die Konvergenz von OT- und IT-Netzwerken setzt industrielle Steuerungssysteme, die für Zuverlässigkeit und nicht für Sicherheit ausgelegt sind, Bedrohungen aus. Die Versicherungsbranche liegt bei 38,8; die Governance-Komplexität von Multi-Cloud-Umgebungen (einschließlich GCP) verlangsamt die Behebungsgeschwindigkeit.

Unternehmensgröße: Mittelgroße Unternehmen als Risikoschwerpunkt

Der Bericht offenbart ein kontraintuitives Phänomen: Mittelgroße Unternehmen mit 5.001 bis 10.000 Mitarbeitern weisen einen durchschnittlichen CRI von 41,5 auf und übertreffen damit Unternehmen mit größeren Vermögenswerten. Diese Gruppe besitzt eine mit großen Unternehmen vergleichbare Netzwerkkomplexität, verfügt jedoch oft nicht über ein entsprechend ausgereiftes Security Operations Center und eine entsprechende personelle Tiefe. Sehr große Unternehmen erzielten die größte absolute Verbesserung, mit einem Rückgang um 3,8 Punkte von 44,2 im Jahr 2024 auf 40,4, was wahrscheinlich auf Skaleneffekte eines zentralisierten Risikomanagements zurückzuführen ist. Kleine Unternehmen mit weniger als 100 Mitarbeitern sind das einzige Größensegment, in dem der CRI im Jahresvergleich gestiegen ist, von 31,6 auf 32,4. Obwohl ihr absoluter Risikowert weiterhin im mittleren Bereich liegt, deckt sich der Aufwärtstrend mit der erhöhten Aufmerksamkeit, die Angreifer kleinen und mittleren Unternehmen als Einstiegspunkten in die Lieferkette widmen.

Risikoereignisse: Identität und Cloud-Zugriff dominieren zum zweiten Mal die Rangliste

In der Rangliste der Risikoereignisse steht „Riskanter Cloud-App-Zugriff“ das zweite Jahr in Folge an erster Stelle, „Verwaiste Konten in Microsoft Entra ID“ an zweiter Stelle. Sieben der zehn wichtigsten Ereignisse stehen in direktem Zusammenhang mit Identität, darunter „Konten mit deaktivierter MFA“ auf Platz vier und „Deaktivierter Passwortablauf“ auf Platz sieben/neun. Diese hohe Überschneidung zwei Jahre in Folge zeigt, dass Sicherheitsteams das Identitätsrisiko zwar kennen, es jedoch nicht in systematische Behebungsmaßnahmen umsetzen. Die Regelübereinstimmung von Zero-Trust Security Access (ZTSA) – Private-Access-Kontrolle – erreicht erstmals die Top Fünf. Dies könnte darauf hindeuten, dass nach der Ausweitung der Zero-Trust-Einführung bisher unentdeckte Richtlinienverstöße sichtbar werden. Aber verwaiste Konten und MFA-Schwachstellen bestehen weiterhin in großem Umfang, was eine gefährliche Diskrepanz darstellt: Zero-Trust-Frameworks werden auf einer Identitätsbasis eingesetzt, die noch nicht bereinigt ist.

Konfigurationsfehler: Systematisches Fehlen von Sicherheits-BaselinesWas Konfigurationsprobleme betrifft, dominieren bei der Liste der Endpunkt-Konfigurationsfehler die Web-Reputationseinstellungen, während in Branchen wie Gesundheitswesen und Landwirtschaft die Gerätesteuerungseinstellungen die häufigsten Fehlkonfigurationen darstellen. Diese Fehler betreffen nicht nur Endpunkte, sondern können auch die Wirksamkeit wichtiger Kontrollen wie DLP und Antivirus schwächen und Angreifern eine Gelegenheit bieten.

Analyse der Unternehmensauswirkungen: Die geschäftliche Bedeutung hinter den Risikodaten

• Operatives Risiko: Der hohe CRI mittlerer Unternehmen bedeutet, dass sie gegenüber Cyberangriffen verwundbarer sind. Ein erfolgreicher Ransomware- oder Phishing-Angriff kann ihre Kernprozesse unterbrechen, während ihnen die Redundanzen und Notfallressourcen großer Unternehmen fehlen. Für OT-intensive Branchen wie Bergbau und Versorgungsunternehmen können Angriffe sogar die physische Sicherheit gefährden.
• Finanzielles Risiko: Der Bericht weist darauf hin, dass der Anstieg des Risikos kleiner Unternehmen mit dem Trend von Lieferkettenangriffen übereinstimmt. Der Fall eines jeden kleinen oder mittleren Zulieferers kann als Sprungbrett für Angreifer dienen, um in die Netzwerke großer Kunden einzudringen, was zu Schadensersatz, Geldstrafen und Geschäftsverlusten führt. Für kleine und mittlere Unternehmen, die als Einstiegspunkt genutzt werden, können die finanziellen und reputationsbezogenen Verluste direkter sein.
• Compliance-Risiko: Das Gesundheits- und Finanzwesen unterliegt seit langem strenger Regulierung, doch MFA- und Patch-Probleme sind weiterhin ausgeprägt. Dies zeigt eine Umsetzungslücke zwischen der Erfüllung von Compliance-Prüfungen und der Bewältigung realer Bedrohungen. Aufsichtsbehörden verstärken ihre Prüfungen von Identitätsmanagement und Lieferkettensicherheit; diese Erkenntnisse könnten bei der nächsten Compliance-Prüfung als Belege für Verantwortlichkeit dienen.
• Markenrisiko: Die hohen Risiken in der Telekommunikations- und Gesundheitsbranche wirken sich direkt auf das öffentliche Interesse aus. Kommt es in diesen Branchen zu Datenschutzverletzungen, führt das häufig zu Vertrauenskrisen in der Öffentlichkeit und behördlichen Sanktionen. Im Bildungssektor kann aufgrund der hohen Sensibilität von Schülerdaten jeder Kompromittierung eines Identitätskontos zu einem großflächigen Datenschutzvorfall führen.
• Datenrisiko: Das gehäufte Auftreten von DLP-Verstößen in der Landwirtschaft deutet auf unzureichenden Schutz von Geschäftsgeheimnissen wie Lieferkettendaten und Produktionsdaten hin. In der Kommunikationsbranche bestehen gleichzeitig eingehende Angriffe und ausgehende Datenlecks, was zeigt, dass sie nicht nur Bedrohungen durch Eindringlinge ausgesetzt ist, sondern auch das Problem interner Datenabflüsse lösen muss.

Beobachtungen zu Branchentrends: Identitätshygiene, Zero Trust und OT-Ausweitung

Die in diesem Bericht aufgedeckten Trends sind keine isolierten Ereignisse, sondern der Schnittpunkt von mindestens drei langfristigen Veränderungen:1. Identitätssicherheit ist zum zentralen Risikofaktor für Unternehmen geworden. Zwei Jahre in Folge stehen Identitätsvorfälle an der Spitze der Rangliste – das zeigt, dass das Versagen traditioneller Grenzschutzmaßnahmen Angreifer zur Ausnutzung von Konten getrieben hat. Neue Generationen von Identitätssicherheitsarchitekturen (z. B. ID-first Security) müssen sich von „nachträglicher Bereinigung“ zu „von Natur aus sauber“ wandeln. 2. Zero Trust ist ein Verstärker, kein Allheilmittel. Dass ZTSA in die Top 5 aufgenommen wurde, beweist die Verbreitung von Zero-Trust-Implementierungen, deckt aber gleichzeitig die unzureichende zugrunde liegende Identitätshygiene auf. Ohne Identitäts-Governance kann sich das „Niemals vertrauen“ von Zero Trust nur in „immer Fehlalarme“ verwandeln. 3. Die OT/IT-Konvergenz führt dazu, dass die Infrastrukturbranche mit einer Kombination aus alten und neuen Risiken konfrontiert ist. Der Aufstieg von Bergbau, Versorgungsunternehmen und Landwirtschaft spiegelt den unvermeidlichen Trend der Digitalisierung wider, die sich vom Büro auf die Produktionsstätte ausdehnt. Diese Branchen müssen sich sowohl gegen traditionelle Netzwerkangriffe wehren als auch mit den besonderen Schwachstellen des IoT und der industriellen Steuerungssysteme umgehen.

Verteidigungs- und Handlungsempfehlungen: Von Daten zu Maßnahmen

Basierend auf den Erkenntnissen des Berichts sollten Unternehmen auf den folgenden vier Ebenen handeln:

1. Identitäts-Governance: Das grundlegendste Risiko beheben

• Führen Sie sofort eine Kontenprüfung durch und bereinigen Sie alle Zombie-Konten, Konten ausgeschiedener Mitarbeiter und Konten von Drittanbieter-Integrationen.
• Aktivieren Sie umfassend MFA, insbesondere für Cloud-Anwendungen, Fernzugriff und Administratorkonten. Kompromittieren Sie sich nicht bei „privilegierten“ Konten.
• Bewerten Sie die Strategie für den Passwort-Lebenszyklus neu, stellen Sie die Übereinstimmung mit den NIST-Richtlinien sicher und nutzen Sie bedingte Zugriffsrichtlinien, um ungewöhnliche Anmeldungen zu erkennen.

2. Zero Trust umsetzen: Erst bereinigen, dann anbinden

• Bevor Sie den ZTSA-Schutz ausweiten, lösen Sie zunächst das Problem der toten Konten und deaktivierten MFA; andernfalls können Zero-Trust-Richtlinien durch ungültige Identitäten umgangen werden.
• Kombinieren Sie Zero-Trust-Richtlinien mit Asset-Erkennung und Angriffspfad-Prognose, um kritische Daten und Konten mit hohen Berechtigungen bevorzugt zu schützen.

3. Härtung und Sichtbarkeit der Konfiguration

• Führen Sie eine Basisprüfung der Endpunktkonfiguration durch und beheben Sie vorrangig Risiken wie Web-Reputation-Einstellungen, Gerätekontrolleinstellungen und deaktivierten Antivirenschutz.
• Optimieren Sie die Sensoreinstellungen von EDR/XDR, stellen Sie eine vollständige Protokollabdeckung sicher und beseitigen Sie Erkennungslücken. Für OT-Umgebungen können Asset-Erkennung und Anomalieerkennung für industrielle Protokolle eingeführt werden.

4. Spezielle Programme für Schwachstellen

• Mittelgroße Unternehmen: Orientieren Sie sich an den ausgereiften Frameworks großer Unternehmen, nutzen Sie jedoch entsprechend dem tatsächlichen Budget bedarfsorientierte Modelle wie Managed Security Services (MDR), um Personalmangel auszugleichen.
• Gesundheitswesen und Bergbau: Bilden Sie OT-Sicherheitsteams oder beauftragen Sie externe Bewertungen; isolieren Sie Systeme, die nicht gepatcht werden können, und wenden Sie virtuelle Patches an. Stärken Sie gleichzeitig E-Mail-Sicherheitsgateways und DLP.
• Lieferkette: Kleine und mittlere Unternehmen sollten Basisschutz für Endpunkte und DLP bereitstellen; große Unternehmen sollten die Sicherheitsbewertung von Lieferanten in den Beschaffungsprozess aufnehmen.

SecurityPost InsightDer wahre Wert des TrendAI 2026 Cyber Risk Report liegt nicht darin, zu beweisen, dass „das Risiko sinkt“, sondern darin, klar aufzuzeigen, dass „Rückgang nicht gleich Sicherheit ist“. Die Tatsache, dass sich alle Organisationen im mittleren Risikobereich befinden, zeigt, dass die Grundlinie der gesamten Branche immer noch zu niedrig ist. Die auffälligste Zahl in dem Bericht ist, dass Identitätsprobleme zwei Jahre in Folge die Liste anführen – das ist kein technisches Problem, sondern ein Versagen von Management und Umsetzung. Während sich fortschrittliche Architekturen wie Zero Trust verbreiten, bleibt die zugrunde liegende Identitätshygiene ungelöst; diese Diskrepanz von „neuem Mantel, altem Futter“ dürfte sich in Zukunft in weitere Angriffsvektoren verwandeln. Mittelgroße Unternehmen verdienen besondere Aufmerksamkeit: Sie sind nicht klein, aber ihre Sicherheitsreife ist unzureichend – genau die bevorzugte Beute von Angreifern. Der Bericht kündigt außerdem die Aufnahme zukünftiger KI-bezogener Risikodaten an; es ist zu erwarten, dass der Bericht von 2027 klarer darstellen wird, wie KI die Angriffs- und Verteidigungslandschaft verändert. Für Unternehmen bedeutet das, dass sie jetzt Identitätsbereinigung, Konfigurationshärtung und OT-Sicherheit auf die Tagesordnung setzen sollten, denn das Zeitfenster, in dem sich der Risikoindex verbessert, ist die goldene Zeit, um die Verteidigung zu verstärken.