Auf die Schnelle

Eine IDC-Studie im Auftrag von Sage hat 2.210 kleine und mittlere Unternehmen befragt, davon 330 in Deutschland. Das Ergebnis für den deutschen Mittelstand ist ernüchternd: Nur 25 Prozent verfolgen einen proaktiven Sicherheitsansatz, 27 Prozent haben keinerlei spezielle Schutzmaßnahmen für ihre KI-Anwendungen, und nur 4 Prozent gelten als ausgereift. Gleichzeitig berichten 46 Prozent von einem Sicherheitsvorfall im vergangenen Jahr. Basisschutz wie E-Mail-Sicherheit und Mehr-Faktor-Authentifizierung ist verbreitet, der Schutz der neuen KI-Werkzeuge hinkt hinterher. Der Handlungsdruck ist konkret.

Nur 4 Prozent der deutschen KMU haben ihre KI-Sicherheit auf einem ausgereiften Stand. Das ist eine der klarsten Zahlen aus der IDC-Studie "KMU im KI-Zeitalter: Resilienz bei wachsender Komplexität", die Sage in Auftrag gegeben und im Frühjahr 2026 veröffentlicht hat. Befragt wurden 2.210 Betriebe in acht Märkten, 330 davon aus Deutschland. Während viele Firmen KI-Werkzeuge einführen, bleibt deren Absicherung oft auf der Strecke.

Was die Studie gemessen hat

Die Untersuchung schaut nicht nur darauf, ob Betriebe Antivirus installiert haben. Sie fragt, wie planvoll und wie tief die Sicherheit im Unternehmen verankert ist, und sie nimmt gezielt die neuen KI-Anwendungen in den Blick.

Beim proaktiven Sicherheitsansatz liegt Deutschland mit 25 Prozent unter dem globalen Schnitt von 30 Prozent. Proaktiv heißt: nicht erst reagieren, wenn etwas passiert ist, sondern Risiken vorher angehen. Drei von vier deutschen KMU tun das noch nicht. Das ist keine Kleinigkeit, denn wer wartet, bis der Schaden da ist, zahlt in aller Regel drauf.

Dass Vorfälle keine Ausnahme sind, zeigt eine weitere Zahl. 46 Prozent der Betriebe berichten von einem Sicherheitsvorfall im vergangenen Jahr. Bei 36 Prozent blieb die Auswirkung gering, bei 10 Prozent war sie erheblich. Fast die Hälfte hatte also etwas, und bei jedem zehnten hat es wirklich wehgetan. Ein erheblicher Vorfall bedeutet in der Praxis oft Betriebsunterbrechung, Datenverlust oder Zahlungen, die nie geplant waren.

Die Lücke sitzt bei den KI-Werkzeugen

27 Prozent der deutschen KMU haben keine speziellen Schutzmaßnahmen für ihre KI-Anwendungen, global sind es 22 Prozent. Mehr als ein Viertel setzt also KI ein, ohne dabei an Sicherheit zu denken.

Das ist heikler, als es klingt. Wer Kundendaten, Angebote oder interne Dokumente in ein KI-Werkzeug kippt, gibt möglicherweise sensible Informationen aus der Hand, ohne zu wissen, wo sie landen. Ein falsch konfigurierter Zugang, ein Mitarbeiter, der Firmendaten in einen kostenlosen Chatbot tippt, eine Automatisierung mit zu weiten Rechten: Das sind neue Einfallstore, die es vor drei Jahren so nicht gab. Und die vielen Betrieben schlicht noch nicht auf dem Schirm sind.

Dazu kommt eine rechtliche Seite. Landen personenbezogene Daten ungeprüft in einem KI-Dienst, kann daraus schnell ein Datenschutzproblem werden, unabhängig davon, ob ein Angreifer je zuschlägt. Sicherheit bei KI-Werkzeugen ist also nicht nur eine Frage der Abwehr, sondern auch eine Frage der Sorgfalt im Umgang mit den eigenen Daten.

Basisschutz ist da, der Rest fehlt

Es gibt auch eine ermutigende Seite. Der klassische Basisschutz ist im deutschen Mittelstand recht ordentlich aufgestellt. 77 Prozent setzen auf E-Mail-Sicherheit, 68 Prozent spielen regelmäßig Updates ein, und 61 Prozent nutzen Mehr-Faktor-Authentifizierung.

Diese Grundlage ist wertvoll, weil sie die häufigsten Alltagsangriffe abfängt. Sie zeigt aber auch, wo die eigentliche Baustelle liegt. Betriebe kümmern sich um das, was sie kennen, und lassen aus, was neu und unübersichtlich ist. Die KI-Sicherheit ist dieser blinde Fleck. Der Sprung von "wir haben Antivirus und MFA" zu "wir wissen, welche KI-Tools bei uns laufen und wie sie abgesichert sind" ist noch nicht vollzogen.

Ein Grund für den blinden Fleck ist das Tempo. KI-Werkzeuge sind in vielen Betrieben innerhalb weniger Monate eingezogen, oft schneller, als die Sicherheitsvorkehrungen hinterherkamen. Wo Antivirus und Firewall über Jahre gewachsen sind, ist der Umgang mit KI noch jung. Das erklärt die Lücke, entschuldigt sie aber nicht, denn durch diese Werkzeuge laufen dieselben sensiblen Firmendaten wie eh und je.

Warum das gerade jetzt zählt

Die Studie fällt in eine Zeit, in der die Bedrohungslage nachweislich steigt. Das Bundeskriminalamt hat für 2025 einen Wirtschaftsschaden von gut 202 Milliarden Euro durch Cybercrime beziffert und beobachtet, dass Angreifer zunehmend KI nutzen, um ihre Attacken zu verfeinern. Wer tiefer einsteigen will, findet die Details in unserem Beitrag zum Bundeslagebild Cybercrime 2025.

Beide Befunde greifen ineinander. Auf der einen Seite werden Angriffe schneller und professioneller. Auf der anderen Seite steht ein Mittelstand, der seine neuen KI-Werkzeuge kaum absichert. Diese Schere geht auf, und sie schließt sich nicht von allein.

Kleine und mittlere Betriebe sind dabei kein Randthema. Sie sind das Rückgrat der deutschen Wirtschaft und arbeiten längst eng vernetzt mit Kunden und Lieferanten. Ein erfolgreicher Angriff auf einen kleinen Zulieferer kann sich durch eine ganze Kette ziehen. Wer seine KI-Werkzeuge absichert, schützt damit nicht nur sich selbst, sondern auch die Partner, die auf ihn angewiesen sind. Immer öfter fragen große Auftraggeber ihre Zulieferer ohnehin nach einem Mindestmaß an Sicherheit, bevor sie zusammenarbeiten.

Was du konkret tun kannst

Der erste Schritt kostet nichts: eine Bestandsaufnahme. Welche KI-Werkzeuge nutzt dein Team eigentlich, offiziell und inoffiziell? Oft laufen mehr Tools im Betrieb, als die Geschäftsführung ahnt, weil Mitarbeiter sich eigenständig kostenlose Dienste holen. Wer die Liste kennt, kann überhaupt erst entscheiden, was abzusichern ist.

Danach folgen klare Regeln. Welche Daten dürfen in ein KI-Tool, welche nicht? Wer darf welche Anwendung nutzen? Wo bleiben Kundendaten außen vor? Solche Leitplanken lassen sich in einer einfachen, verständlichen Richtlinie festhalten, die jeder im Betrieb kennt. Das ist mehr wert als jede teure Software, die niemand richtig bedient.

Ein dritter Schritt ist die Auswahl der Werkzeuge selbst. Nicht jedes kostenlose Tool geht sorgsam mit deinen Daten um, und ein Blick in die Bedingungen lohnt sich, bevor Firmendaten hineingelangen. Anbieter, die klar sagen, wo Daten verarbeitet werden und ob sie zum Training verwendet werden, sind einem anonymen Gratisdienst vorzuziehen. Für sensible Vorgänge gibt es zudem Werkzeuge, die sich im eigenen Haus betreiben lassen, sodass die Daten den Betrieb nie verlassen.

Nichts davon erfordert eine eigene IT-Abteilung. Es erfordert die Bereitschaft, einmal bewusst hinzusehen, statt die Werkzeuge im Hintergrund einfach laufen zu lassen.

In unseren Kursen erleben wir immer wieder denselben Moment. Ein Teilnehmer merkt, dass er monatelang Firmendaten in einen kostenlosen Chatbot gegeben hat, ohne über den Verbleib nachzudenken. Das liegt fast nie an bösem Willen, es fehlt schlicht das nötige Wissen. Wer versteht, wie KI-Werkzeuge mit Daten umgehen und worauf bei der Auswahl zu achten ist, trifft von allein bessere Entscheidungen. Diese Kompetenz im Team aufzubauen ist der wirksamste Schutz, den ein kleiner Betrieb hat, und sie ist erschwinglicher als jeder Vorfall, den sie verhindert.

Quellen

Die genannten Angaben stützen sich auf folgende öffentlich zugängliche Quellen (Stand der Recherche: 21. Juli 2026):

Häufige Fragen

Wie gut sichern deutsche KMU ihre KI-Werkzeuge ab?

Nach der IDC-Studie im Auftrag von Sage nur schlecht. Lediglich 4 Prozent der deutschen KMU zeigen einen ausgereiften KI-Sicherheitsstatus, global sind es 6 Prozent. 27 Prozent haben überhaupt keine speziellen Schutzmaßnahmen für ihre KI-Anwendungen.

Wie viele KMU hatten einen Sicherheitsvorfall?

46 Prozent der befragten Betriebe berichten von einem Sicherheitsvorfall im vergangenen Jahr. Bei 36 Prozent blieb die Auswirkung gering, bei 10 Prozent war sie erheblich. Fast die Hälfte war also betroffen, und bei jedem zehnten Betrieb hat es ernsthaften Schaden gegeben.

Ist der Basisschutz im Mittelstand ausreichend?

Der klassische Basisschutz ist recht ordentlich aufgestellt: 77 Prozent nutzen E-Mail-Sicherheit, 68 Prozent spielen regelmäßig Updates ein, 61 Prozent setzen auf Mehr-Faktor-Authentifizierung. Die Lücke sitzt bei den neuen KI-Werkzeugen, die viele Betriebe noch nicht abgesichert haben. Nur 25 Prozent verfolgen einen proaktiven Sicherheitsansatz.

Was sollte ein KMU zuerst tun?

Der erste Schritt kostet nichts: eine Bestandsaufnahme, welche KI-Werkzeuge im Betrieb tatsächlich genutzt werden, offiziell und inoffiziell. Danach helfen klare Regeln, welche Daten in ein KI-Tool dürfen und wer welche Anwendung nutzen darf. Am wirksamsten ist es, im Team das Wissen aufzubauen, wie KI-Werkzeuge mit Daten umgehen.

KI im Betrieb praktisch einsetzen lernen?

Im kostenlosen KI-Schnupperkurs zeigen wir in fünf Lektionen, wie kleine und mittlere Firmen KI im Alltag nutzen. Tiefer und praxisnah geht es im Vollkurs Digitalisierungsmanager, DEKRA-zertifiziert und förderfähig über den Bildungsgutschein.

Zuletzt aktualisiert: 21. Juli 2026. Stand der Recherche: 21. Juli 2026.