Identitätsdiebstahl in Deutschland: Was der Mittelstand wissen muss

Deutschlands Cyberkriminalität hat eine Zahl, an der sich das Ausmaß gut ablesen lässt: rund 202,4 Milliarden Euro Schaden für die deutsche Wirtschaft im Berichtszeitraum 2025, etwa 4,5 Prozent des Bruttoinlandsprodukts, so das aktuelle Bundeslagebild Cybercrime des Bundeskriminalamts (BKA) in seinem Bericht. Hinter einem Großteil dieses Schadens steckt ein leiseres, aber anhaltendes Problem: Identitätsdiebstahl in Deutschland und die gestohlenen Zugangsdaten, die einen Großteil der übrigen Angriffskette erst möglich machen.

Identitätsdiebstahl in Deutschland treibt die Cyberkriminalität an

Nicht Schadsoftware, sondern Zugang ist für viele Angreifer die eigentliche Ware.

Das Bundeslagebild Cybercrime 2025 des BKA zählte rund 335.000 registrierte Fälle in Deutschland, davon rund zwei Drittel (207.888) aus dem Ausland oder von unbekanntem Tatort begangen. Als zentrales Geschäftsmodell hinter diesem Volumen beschreibt der Bericht „Cybercrime-as-a-Service“ — eine Underground Economy, die Zugänge, Schadsoftware und gestohlene Daten inzwischen in industriellem Maßstab anbietet, ein Trend, den das BKA durch KI weiter verstärkt sieht. Getrennt davon registrierte das Bundesamt für Sicherheit in der Informationstechnik (BSI) in seinem Lagebericht 2025 durchschnittlich 119 neu bekannt gewordene Schwachstellen pro Tag — ein Anstieg von 24 Prozent gegenüber dem Vorjahr.

Zwei unterschiedliche Berichte, zwei unterschiedliche Messgrößen, aber dieselbe Geschichte darunter: Angreifer müssen ihre Werkzeuge längst nicht mehr selbst bauen. Sie kaufen Zugänge, mieten Infrastruktur — und nutzen am häufigsten schlicht Zugangsdaten, die jemand anderes bereits gestohlen hat.

Warum gestohlene Zugangsdaten auch ein Mittelstandsproblem sind

Eine YouGov-Umfrage im Auftrag der Kriminalprävention „Sicher Handeln“ ergab, dass 11 Prozent der Erwachsenen in Deutschland — mehr als jeder Zehnte — bereits Opfer von Online-Identitätsdiebstahl wurden. Dieselbe Umfrage zeigte, dass ein Drittel der 18- bis 24-Jährigen dasselbe Passwort für mehrere Konten nutzt, gegenüber im Schnitt jedem Fünften. Solche Gewohnheiten bleiben selten ein rein privates Problem.

Der BKA-Cybercrime-Überblick erklärt, warum: Phishing und Spam-Mails werden typischerweise genutzt, um digitale Identitäten — Passwörter, E-Mail-Adressen, Bankdaten — zu erlangen, wobei Angreifer häufig vertrauenswürdige Organisationen imitieren oder aktuelle Themen für glaubwürdigere Köder nutzen. Im geschäftlichen Umfeld kann dieselbe gestohlene Identität, die ein privates Postfach leert, genauso gut Zugang zu einem Firmenpostfach, einer Buchhaltungsplattform oder einem Cloud-Speicher verschaffen. Sobald ein Angreifer mit einem scheinbar legitimen Login im System ist, werden unautorisierte Zahlungen, Business Email Compromise und der stille Zugriff auf interne Systeme deutlich einfacher als von außen.

Ransomware trifft weiterhin vor allem kleine Unternehmen

Kleinere Unternehmen tragen das größte Ransomware-Risiko — mit den wenigsten Mitteln, sich davon zu erholen.

Der BSI-Lagebericht 2025 verzeichnete 950 Ransomware-Angriffe in Deutschland im Berichtszeitraum, rund 80 Prozent der gemeldeten Ransomware-Vorfälle richteten sich gegen kleine und mittlere Unternehmen — Organisationen, denen laut BSI häufig die Mittel fehlen, um sich eigenständig zu schützen. Das BKA erfasst Ransomware in einem eigenen Berichtszeitraum mit eigener Methodik und zählte 1.041 angezeigte Angriffe, zehn Prozent mehr als im Vorjahr — eine andere Zählung mit anderem Zuschnitt, aber derselben Richtung. Beide Behörden betonen, dass ein ernster Ransomware-Vorfall die Existenz des betroffenen Unternehmens bedrohen kann — was in einem Land mit einer dichten Basis kleiner industrieller Zulieferer noch stärker ins Gewicht fällt.

Deutschland ist der Schwerpunkt einer wachsenden DACH-Bedrohung

Deutschland ist die größte und sichtbarste Angriffsfläche der Region.

Deutschland ist nicht nur die größte Volkswirtschaft im DACH-Raum — unabhängige Industrieforschung sieht das Land auch als dessen größte Angriffsfläche, wobei diese Daten eher als Bedrohungsanalyse denn als amtliche Statistik zu lesen sind, da sie anders gemessen werden als die BKA- und BSI-Zahlen oben. Check Point Research zufolge entfielen 2025 82 Prozent aller erfassten Cybervorfälle in der DACH-Region auf Deutschland, gegenüber 12 Prozent für die Schweiz und 8 Prozent für Österreich — bei einem Anstieg von Hacktivismus und Ransomware über alle drei Länder hinweg um 124 Prozent gegenüber dem Vorjahr. Dabei lohnt sich ein genauer Blick darauf, was diesen Anstieg treibt: Rund 66 Prozent der zugrunde liegenden Vorfälle waren Website-Defacement-Kampagnen, überwiegend orchestriert durch pro-russische Hacktivisten-Kollektive wie NoName057(16) — eine andere, lautere Risikokategorie als der Zugangsdatenklau und die Ransomware, um die es in diesem Beitrag vorrangig geht.

Betrachtet man Ransomware isoliert, zeigt sich ein ernüchterndes Bild für sich genommen: Im ersten Halbjahr 2026 lag Deutschland mit 176 Opfern weltweit auf Platz vier der am stärksten von Ransomware betroffenen Länder, hinter den USA, Kanada und Großbritannien, während die Schweiz (35 Opfer) und Österreich (29 Opfer) global deutlich weiter hinten liegen. Da Unternehmen im DACH-Raum häufig dieselben Cloud-Plattformen und Identitätsanbieter nutzen, kann sich eine auf Deutsch verfasste Phishing-Kampagne schnell über alle drei Länder ausbreiten — besonders, wenn sie eine Bank, eine Finanzbehörde oder ein Portal der öffentlichen Verwaltung imitiert.

Was das für den Mittelstand bedeutet

Identität ist eine Sicherheitskontrolle, keine reine Verwaltungsaufgabe.

Das bedeutet nicht, dass jedes Unternehmen kurz vor der Katastrophe steht, und es braucht auch keine alarmistische Sprache. Aber das Muster in den Daten von BSI, BKA und unabhängigen Forschern für 2025/2026 zu Identitätsdiebstahl in Deutschland ist eindeutig: Die Bedrohung ist anhaltend, zunehmend professionalisiert und deutlich häufiger auf gestohlene und missbrauchte Identitäten aufgebaut als auf neuartige Schadsoftware. Für den Mittelstand hat das eine konkrete Konsequenz: Sicherheit darf nicht bei Perimeter-Tools oder einer jährlichen Awareness-Schulung enden. Identitätsschutz, Phishing-Resistenz, Zugriffsverwaltung, saubere MFA-Hygiene und ein klarer Plan für Meldung und Eindämmung von Vorfällen verdienen mindestens so viel Aufmerksamkeit wie Endpoint- und Netzwerksicherheit.

Für Mittelständler ohne eigenes Sicherheitsteam, das all das intern abdecken kann, ist das eine Lücke, die Managed Detection and Response schließen kann — kontinuierliches Monitoring und schnelle Eindämmung, ohne ein eigenes SOC aufbauen und besetzen zu müssen.

Für Organisationen, die ihr eigenes Identitätsrisiko einschätzen wollen, ist eine Überprüfung von Zugriffskontrollen, MFA und der Reaktionsfähigkeit auf Vorfälle ein sinnvoller Ausgangspunkt. Kontaktieren Sie uns, wenn das ein Gespräch wert ist.