Digital Trust Insights 2027: Wie sicher sind deutsche Unternehmen?

Ihr Experte für Fragen

Moritz Anders
Partner, Cyber Security, Data & Tech Risk Leader bei PwC Deutschland
Tel.: +49 1515 5455621
E-Mail

Cyberresilienz: Investieren allein reicht nicht

Cyberbedrohungen verändern sich, Technologien entwickeln sich weiter und Unternehmensökosysteme werden komplexer. Deutsche Unternehmen reagieren darauf: Sie investieren in ihre Cyberabwehr, stärken operative Fähigkeiten und prüfen zunehmend den Einsatz autonomer AI-Agenten.

Doch die Digital Trust Insights 2027 zeigen auch: Mehr Technologie und höhere Budgets führen nicht automatisch zu mehr Cyberresilienz. Lieferanten, Softwareabhängigkeiten, Connected Products und schwer modernisierbare Operational Technology (OT)-Systeme erweitern die Risikolandschaft. Gleichzeitig stellt der zunehmende Einsatz von AI in der Cyberabwehr Unternehmen vor neue Fragen nach Kontrolle, Governance und Verantwortung.

Die entscheidende Frage lautet deshalb nicht nur, wie gut Unternehmen geschützt sind, sondern wie resilient sie wirklich sind, insbesondere dann, wenn kritische Abhängigkeiten außerhalb ihrer direkten Kontrolle liegen.

Die Studie im Überblick

Cyberbudgets 2027: Mehr Geld. Mehr Cybersicherheit?

Deutsche Unternehmen erhöhen das Tempo bei ihren Cyberinvestitionen: Fast neun von zehn Befragten in Deutschland (87 %) erwarten bis 2027 steigende Cyberbudgets – global sind es 84 %. Damit setzt sich ein klarer Trend fort: In der Vorjahresstudie waren es gut drei Viertel (77 %), ein Jahr zuvor 72 %. Besonders deutlich fällt der Anstieg aus: Knapp die Hälfte der deutschen Unternehmen (47 %) rechnet mit einem Budgetplus von 6 bis 10 %. Im Vorjahr war es noch gut ein Drittel (36 %). Global liegt der Wert aktuell ebenfalls bei 36 %.

Doch mehr Budget bedeutet nicht automatisch mehr Resilienz. Entscheidend ist, wohin die Investitionen fließen. In Deutschland liegt der Fokus auf zukunftsorientierten Technologien: Mehr als die Hälfte priorisiert Künstliche Intelligenz (57 %) und Cloud Security (54 %). Zwei von fünf setzen auf Cyber Managed Services (40 %), knapp ein Drittel auf Connected Products (31 %).

Auffällig ist dagegen die geringe Priorität von Data Protection und Data Trust: Nur gut ein Viertel der deutschen Unternehmen (28 %) stuft diesen Bereich als Investitionsschwerpunkt ein – deutlich weniger als im globalen Durchschnitt (39 %).

Hier zeigt sich ein zentrales Spannungsfeld: Zukunftstechnologien wie KI und Cloud erfordern eine stabile Basis aus Datenschutz und Datenvertrauen. Für Unternehmen stellt sich deshalb nicht nur die Frage, wie viel sie investieren, sondern ob diese Investitionen ihre Resilienz tatsächlich stärken.

Lieferkette: Wie abhängig ist Cyberresilienz?

Cyberresilienz endet nicht an der eigenen Unternehmensgrenze. Lieferanten, Softwareabhängigkeiten und vernetzte Produkte bestimmen mit, wie widerstandsfähig ein Unternehmen tatsächlich ist. Hinzu kommen technische Strukturen, die sich nicht kurzfristig verändern lassen. Die Sorge ist nicht neu: Schon im Vorjahr befürchtete mehr als die Hälfte der deutschen Befragten (51 %) Angriffe auf Lieferketten. Inzwischen folgen konkrete Maßnahmen.

Die deutschen Ergebnisse zeigen einen aktiven Umgang mit Cyberrisiken in der Lieferkette. Knapp die Hälfte der Befragten (47 %) will die Sicherheit von Softwareentwicklungs- und Delivery-Pipelines stärken. Ebenso viele (47 %) planen, ihre Lieferanten zu diversifizieren und Notfallpläne für Lieferantenausfälle aufzubauen. 45 % wollen die Sichtbarkeit und das Risikomanagement von Softwareabhängigkeiten verbessern.

Ein Schwerpunkt liegt auf der gemeinsamen Krisenvorbereitung: Rund vier von zehn deutschen Befragten (41 %) wollen Lieferanten in Incident-Response- und Krisenübungen einbeziehen. Global ist es nicht einmal ein Drittel (29 %). Beim Informationsaustausch mit Schlüssellieferanten liegt Deutschland mit 42 % über dem globalen Wert von 37 %. Beim kontinuierlichen Supplier-Cyber-Risk-Monitoring liegt Deutschland mit 45 % dagegen leicht unter dem globalen Wert von 47 %.

Das Bild ist damit differenziert: Deutsche Unternehmen intensivieren nicht pauschal alle Maßnahmen. Sie setzen aber stärker auf Lieferantendiversifizierung, Transparenz bei Softwareabhängigkeiten und gemeinsame Krisenvorbereitung.

OT-Sicherheit: Technische Altlasten begrenzen die Cyberabwehr

In OT- und Industrial-Internet-of-Things (IIoT)-Umgebungen verschärfen sich die Herausforderungen zusätzlich. 42 % der deutschen Befragten nennen Lücken bei OT-Fachkräften und Ressourcen als zentrales Problem, 40 % verweisen auf Legacy-Systeme, die sich nicht patchen oder aktualisieren lassen. Beide Werte liegen über dem globalen Durchschnitt (38 % bzw. 33 %).

Weitere zentrale Herausforderungen nennt jeweils mehr als ein Drittel der Befragten: 

• die Absicherung KI-fähiger Zugänge zu OT-/IIoT-Geräten (38 %)
• unzureichende Finanzierung oder fehlende Unterstützung durch das Management (37 %)
• Risiken in Lieferketten und bei Drittparteien (36 %)

Diese Zahlen zeigen: Legacy-Technologie ist nur ein Teil des Problems. Der eigentliche Engpass liegt im Zusammenspiel mehrerer Faktoren – fehlendes Fachpersonal, begrenzte Budgets und zunehmend komplexe Vernetzung erschweren es, Sicherheitslücken zu schließen. Moderne Cyberabwehr muss deshalb in Umgebungen funktionieren, die sich oft nur schrittweise modernisieren lassen, nicht in einem idealtypischen, vollständig erneuerten Setup.

Geopolitische Risiken treiben Multi-Cloud- und Souveränitätsstrategien

Geopolitische Entwicklungen verändern auch die Technologieentscheidungen deutscher Unternehmen. 61 % der Befragten setzen auf Multi- oder Hybrid-Cloud-Strategien, um die Abhängigkeit von einzelnen Anbietern oder Rechtsräumen zu reduzieren. Im globalen Durchschnitt geht gut die Hälfte (54 %) diesen Weg.

Weitere Maßnahmen der deutschen Befragten:

• Die Hälfte (50 %) baut regionale Daten- und Technologie-Redundanzen auf.
• Knapp die Hälfte (46 %) verlagert Workloads zu souveränen oder regionsspezifischen Cloud-Anbietern.
• 45 % lokalisieren technologische Infrastruktur innerhalb bestimmter Rechtsräume (global: 37 %).

Deutsche Unternehmen reagieren damit sichtbar stärker auf geopolitische Risiken als der globale Durchschnitt. Praktisch kein deutsches Unternehmen lässt seinen Tech-Stack unverändert: Nur 1 % der Befragten passt ihn nicht an die geopolitische Lage an, global sind es 6 %.

Digitale Souveränität wird damit zu einer strategischen Sicherheitsfrage: Unternehmen bewerten nicht mehr nur technische Risiken, sondern zunehmend auch rechtliche und politische Abhängigkeiten – etwa, wo Daten gespeichert werden und welchem Rechtsraum sie unterliegen.

Notfallplanung: Resilienz zeigt sich in der Handlungsfähigkeit

Wie gut Unternehmen auf Störungen vorbereitet sind, zeigt sich auch in ihrer Operational-Continuity-Planung. Knapp ein Drittel der deutschen Befragten (29 %) verfügt bereits über vollständig formalisierte und integrierte Pläne, die Cyberbedrohungen ausdrücklich berücksichtigen – im globalen Vergleich (39 %) ist dieser Anteil etwas niedriger. Weitere 44 % befinden sich aktuell im Entwicklungsprozess entsprechender Pläne (global: 38 %).

In der Gesamtbetrachtung zeigt sich ein ähnliches Bild wie international: 73 % der deutschen Unternehmen haben bereits einen formalen Plan oder arbeiten aktiv daran (global: 77 %). Der Unterschied liegt weniger im „Ob“, sondern im „Wie weit“. Deutsche Unternehmen befinden sich häufiger noch im Aufbau, während international etwas mehr Organisationen den Formalisierungsprozess bereits abgeschlossen haben.

Wie viel Cyberabwehr darf AI übernehmen?

KI wird vom Analysewerkzeug zum operativen Akteur. Vor einem Jahr nutzte gut die Hälfte der deutschen Unternehmen (54 %) KI- und Machine-Learning-Tools vor allem, um dem Fachkräftemangel zu begegnen. Jetzt planen deutsche Unternehmen, KI-Agenten zunehmend für konkrete Aufgaben in der Cyberabwehr zu autorisieren. Nur 2 % schließen eine Autorisierung in jedem Bereich aus (global: 4 %).

Wie weit diese Autonomie reichen kann, zeigt ein weiterer Befund: 29 % der deutschen Befragten würden KI-Agenten vollständig eigenständig handeln lassen. 42 % würden zumindest risikoarme Aktionen ohne menschliche Freigabe zulassen. Bei Aktivitäten mit mittleren oder hohen Auswirkungen soll der Mensch dagegen entscheiden.

Die konkreten Einsatzpläne:

• Gut die Hälfte (51 %) will KI-Agenten einsetzen, um Schadsoftware zu entfernen und Systeme wiederherzustellen. 
• 49 % planen den Einsatz, um Phishing-E-Mails automatisch zu erkennen und zu löschen. 
• Jeweils 46 % wollen KI-Agenten autonom Incident-Tickets erstellen und eskalieren lassen bzw. Sicherheitslücken automatisch schließen und Konfigurationen ändern. 
• 45 % wollen KI-Agenten nutzen, um betroffene Endgeräte zu isolieren. 
• 39 % wollen sie für die Sperrung von Nutzerkonten oder den Entzug von Zugriffsrechten einsetzen. 

Dabei ist Deutschland nicht generell offener für jede Form autonomer Cyberabwehr. Beim Anreichern und Verknüpfen von Bedrohungsdaten (Threat Intelligence) liegt Deutschland mit 39 % unter dem globalen Wert von 49 %. Beim automatischen Blockieren oder Segmentieren von Netzwerkverkehr sind es 34 % in Deutschland und 39 % global.

Deutsche Unternehmen setzen auf KI-Autonomie dort, wo Aufgaben eindeutig und die Risiken überschaubar sind – nicht bei komplexer Analyse oder Entscheidungsfindung.

KI-Governance: Operative KI wächst schneller als ihre Leitplanken

Bei KI-bezogenen Cyberinvestitionen setzen deutsche Unternehmen unterschiedliche Schwerpunkte. 40 % priorisieren die Erkennung und Steuerung von Schatten-KI – also KI-Tools, die Mitarbeitende ohne Freigabe der IT-Abteilung nutzen. 37 % priorisieren Fähigkeiten im Bereich SOC und Incident Response, 31 % offensive Sicherheitsmaßnahmen.

Verantwortungsvolle KI-Governance und Compliance werden dagegen nur von 30 % der deutschen Befragten priorisiert, gegenüber 42 % global. Bei der Absicherung von KI-Modellen selbst liegt Deutschland bei 27 %, verglichen mit 33 % global. Schutzmechanismen und Inhaltsfilter für Sprachmodelle (LLM-/GenAI-Guardrails) erreichen 25 % in Deutschland und 31 % global.

Die Daten zeigen damit kein generelles Defizit bei KI-Investitionen. Bei einigen Governance-nahen Themen liegt Deutschland sogar über dem globalen Durchschnitt:

• beim Schutz von Trainingsdaten (35 % vs. 30 % global) 
• bei der kontinuierlichen Kontrolle von Risiken und Compliance: gut ein Viertel in Deutschland gegenüber jedem fünften Unternehmen global (26 % vs. 20 %) 

Es zeigt sich aber eine klare Prioritätenverschiebung: Operative KI-Fähigkeiten und ausgewählte Kontrollfunktionen erhalten mehr Gewicht als verantwortungsvolle KI-Governance, Modellsicherheit und Schutzmechanismen für Sprachmodelle. Je mehr KI-Agenten selbst handeln, desto wichtiger werden belastbare Verantwortlichkeiten und definierte Kontrollmechanismen.