Regelmäßiger Website Security Check
Wie groß ist das Risiko für Ihre Website wirklich?
Drei unabhängige, jährlich erscheinende Untersuchungen beschreiben die Lage – vom deutschen Bundesamt für Sicherheit in der Informationstechnik, vom Digitalverband Bitkom und aus der weltweiten Auswertung realer Sicherheitsvorfälle durch Verizon. Wir fassen die Zahlen zusammen, die für Websites und Onlineshops relevant sind, und verlinken die Quellen.
Zuletzt aktualisiert: · Nächste Aktualisierung nach Erscheinen des BSI-Lageberichts 2026
Zum Verständnis
Was ist eine Schwachstelle – und wie wird sie ausgenutzt?
Eine Schwachstelle ist ein Fehler in Software oder in ihrer Einstellung, über den ein Angreifer etwas tun kann, was nicht vorgesehen ist: Daten lesen, Inhalte verändern, Schadcode einschleusen oder ein System übernehmen. Websites bestehen fast immer aus Standardsoftware – Content-Management-Systemen, Shop-Systemen, Erweiterungen, Bibliotheken. Wird darin eine Schwachstelle bekannt, betrifft sie alle Installationen gleichzeitig.
Angreifer müssen Ihre Website dafür nicht kennen. Automatisierte Scanner durchsuchen das Internet nach Installationen mit bekannten Lücken und greifen an, wo sie fündig werden. Zwischen dem Bekanntwerden einer Schwachstelle und ihrer Ausnutzung liegen heute oft nur Stunden – zwischen Bekanntwerden und Behebung dagegen im Median 43 Tage (Verizon, 2026). In diesem Fenster entstehen die meisten Schäden.
Stunden
bis eine neu bekannte Lücke automatisiert angegriffen wird
43 Tage
Median, bis Unternehmen eine bekannte Lücke vollständig geschlossen haben (Verizon DBIR 2026, Vorjahr 32 Tage)
Bundesamt für Sicherheit in der Informationstechnik (BSI)
Die Lage der IT-Sicherheit in Deutschland 2025
Das BSI zählt im Berichtszeitraum Juli 2024 bis Juni 2025 durchschnittlich 119 neu bekannt gewordene Schwachstellen pro Tag – 24 Prozent mehr als im Vorjahr. Die Reihe der letzten vier Berichte zeigt einen stetigen Anstieg: 68, 78, 96, 119.
Von den 950 im Zeitraum erfassten Ransomware-Angriffen trafen rund 80 Prozent kleine und mittlere Unternehmen. Das BSI beschreibt die Lage als „weiterhin angespannt“ und nennt unzureichend geschützte Angriffsflächen als eine der Hauptursachen.
Quelle: BSI, Die Lage der IT-Sicherheit in Deutschland 2025, bsi.bund.de/lagebericht (erscheint jährlich im November).
Neue Schwachstellen pro Tag
| 2022 | 68 |
|---|---|
| 2023 | 78 |
| 2024 | 96 |
| 2025 | 119 |
Verizon Business
Data Breach Investigations Report 2026
Der DBIR wertet jedes Jahr tausende bestätigte Sicherheitsvorfälle weltweit aus. In der Ausgabe 2026 ist die Ausnutzung von Schwachstellen mit 31 Prozent erstmals der häufigste Einstiegsweg in Unternehmen – vor gestohlenen Zugangsdaten. Im Vorjahr lag der Anteil bei 20 Prozent.
Gleichzeitig dauert das Schließen bekannter Lücken länger: Der Median stieg von 32 auf 43 Tage. Nur 26 Prozent der als „aktiv ausgenutzt“ gelisteten Schwachstellen wurden vollständig behoben (Vorjahr 38 Prozent). Ransomware war an 48 Prozent aller Vorfälle beteiligt.
Quelle: Verizon, 2026 Data Breach Investigations Report, verizon.com/business/resources/reports/dbir (erscheint jährlich im Mai).
31 %
der Datenpannen beginnen mit einer ausgenutzten Schwachstelle – 2025 waren es 20 %
26 %
der aktiv ausgenutzten Lücken werden vollständig geschlossen
Bitkom e. V.
Wirtschaftsschutz 2026
Der Digitalverband befragt jährlich rund 1.000 deutsche Unternehmen ab zehn Mitarbeitenden. 2026 berichten 87 Prozent, in den vergangenen zwölf Monaten von Datendiebstahl, Industriespionage oder Sabotage betroffen gewesen zu sein; weitere 10 Prozent vermuten es. Den Gesamtschaden beziffert Bitkom auf 211 bis 271 Milliarden Euro, davon drei Viertel durch Cyberangriffe.
82 Prozent der Unternehmen erkennen oder vermuten, dass Angreifer Künstliche Intelligenz einsetzen; 53 Prozent beobachten, dass sich Angriffe automatisch anpassen. 65 Prozent erwarten, dass die Zahl der Angriffe weiter zunimmt; 43 Prozent sehen ihre Existenz durch Cyberangriffe bedroht.
Quelle: Bitkom, Wirtschaftsschutz 2026 (Befragung KW 16–23/2026, n = 1.003), bitkom.org/Bitkom/Publikationen/Wirtschaftsschutz (erscheint jährlich im August/September).
87 %
der Unternehmen betroffen
82 %
vermuten oder erkennen KI-Einsatz bei Angriffen
211–271 Mrd. €
Gesamtschaden pro Jahr in Deutschland
Übertragen auf Ihre Website
Was diese Zahlen für eine Website mit CMS oder Shop bedeuten
Standardsoftware, Standardlücken
WordPress, Drupal, TYPO3, Shopware oder Magento und ihre Erweiterungen sind weit verbreitet – genau deshalb lohnt sich für Angreifer die automatisierte Suche nach bekannten Lücken darin.
Das Zeitfenster ist das Risiko
Zwischen Bekanntwerden einer Lücke und dem ersten automatisierten Angriff liegen Stunden, bis zur Behebung im Schnitt Wochen. Wer regelmäßig prüft, verkürzt dieses Fenster.
Ihre Domain ist Teil der Angriffsfläche
Auch ohne Einbruch kann Ihre Domain für Phishing missbraucht werden, wenn E-Mail-Schutzmechanismen fehlen – der Schaden trifft Ihren Ruf.
Kleine Unternehmen sind kein Sonderfall
Vier von fünf Ransomware-Opfern in Deutschland sind kleine und mittlere Unternehmen. Angreifer wählen nicht nach Größe, sondern nach Erreichbarkeit.
So gehen wir mit Zahlen um
Wir zitieren ausschließlich Primärquellen mit Jahr und rechnen nichts hoch. Die Werte gelten für den jeweils genannten Berichtszeitraum und die Methodik der Herausgeber; sie sind nicht direkt miteinander vergleichbar. Diese Seite aktualisieren wir nach Erscheinen jeder neuen Ausgabe.
Welche Leistungen passen zu Ihrer Website?
In 30 Minuten klären wir Größe, Optionen und Voraussetzungen – und zeigen Ihnen, was von außen über Ihre Website sichtbar ist.