Cyber-Resilienz in Österreich: Vom Gefühl zur Gewissheit
Fast neun von zehn österreichische Unternehmen fühlen sich für den nächsten Cyberangriff gerüstet, so ihre eigene Einschätzung. Gleichzeitig steigt die Zahl echter Attacken, professioneller Angreifer und KI-gestützter Methoden Jahr für Jahr. Zwischen diesen beiden Aussagen liegt die eigentliche Geschichte der österreichischen Cybersicherheit 2026: eine Lücke zwischen gefühlter und geprüfter Resilienz. Mit dem NIS-Gesetz 2026 vor der Tür wird aus dieser Lücke ein Risiko, das sich in Fristen und Bußgeldern beziffern lässt. Hitachi Vantara, globaler Anbieter für Dateninfrastruktur und Cyber-Resilienz, schließt diese Lücke bei Kunden weltweit mit einem klaren Prinzip: Wiederherstellung muss beweisbar sein, nicht nur gefühlt.
Die Bedrohungslage 2026
Jedes vierte Unternehmen in Österreich meldet mehr Cyberangriffe als vor einem Jahr. Jeder achte Angriff durchbricht die Sicherheitsbarrieren. Das zeigt die KPMG-Studie "Cybersecurity in Österreich 2026", für die 1.396 heimische Unternehmen befragt wurden.
Die Angreifer werden professioneller. Die Hälfte aller Attacken stammt von organisierter Kriminalität, ein Zehntel von staatlich gelenkten Akteuren. Ihre Werkzeuge: Malware in E-Mail-Anhängen (78 Prozent der Angriffe), Spear-Phishing über Links (69 Prozent) und ausgenutzte Software-Schwachstellen (58 Prozent).
Künstliche Intelligenz verschärft das Bild von beiden Seiten. 47 Prozent der Unternehmen registrieren mehr KI-gestützte Angriffe, die Hälfte nennt sie ihre größte Herausforderung. Gleichzeitig setzen erst 28 Prozent KI zur eigenen Verteidigung ein, oft mit Anlaufschwierigkeiten: 61 Prozent verzeichneten bereits Sicherheitsvorfälle, die auf Fehler im Umgang mit KI-Systemen zurückgehen.
Besonders die Lieferkette wird zum Einfallstor. 22 Prozent der Unternehmen wurden bereits angegriffen, nachdem zuvor ein Lieferant kompromittiert war, doppelt so viele wie im Jahr davor. Und 70 Prozent hängen stark von ausländischer Technologie ab. Mehr als die Hälfte davon könnte ohne sie höchstens drei Monate durchhalten.
Die Folge: Nur 15 Prozent halten Österreichs kritische Infrastruktur für ausreichend geschützt. 78 Prozent fordern deutlich mehr Investitionen in Cybersicherheit. Auch Hitachi Vantara beobachtet bei Kunden weltweit denselben Trend: Angreifer zielen zunehmend gezielt auf Backups und Wiederherstellungssysteme, um genau die letzte Verteidigungslinie eines Unternehmens auszuschalten.
Der Countdown läuft: NISG 2026
Am 1. Oktober 2026 tritt das österreichische NIS-Gesetz (NISG 2026) in Kraft. Rund 4.000 mittlere und große Unternehmen aus 18 Sektoren, von Energie über Gesundheit bis Lebensmittelproduktion, müssen dann Sicherheitsmaßnahmen nachweisen und Vorfälle melden.
Die nächsten Fristen folgen dicht: Registrierung bis 31. Dezember 2026, Selbsterklärung zu den umgesetzten Risikomanagementmaßnahmen bis 30. September 2027. Ab Oktober 2028 kann die Aufsichtsbehörde prüfen, ob Unternehmen das auch tatsächlich umgesetzt haben.
Wer die Vorgaben ignoriert, zahlt: Bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für wesentliche Einrichtungen, bis zu 7 Millionen oder 1,4 Prozent für wichtige. Und trotzdem geben laut KPMG 44 Prozent der Unternehmen an, gar nicht zu wissen, ob NIS2 sie betrifft. 61 Prozent kennen die Fristen nicht.
Das Gesetz verlangt mehr als eine Firewall. Es verlangt den Nachweis, dass ein Unternehmen im Ernstfall handlungsfähig bleibt und das belegen kann. Hitachi Vantara adressiert genau diesen Nachweis mit automatisiert erzeugten, auditierbaren Berichten, statt sie manuell und in letzter Minute vor einer Prüfung zusammenzutragen.
Die Resilienz-Lücke
Hier klaffen zwei Bilder auseinander. Die EY-Studie "Cybersecurity in Österreich 2026" zeichnet ein beruhigendes: 87 Prozent der Unternehmen fühlen sich für künftige Bedrohungen gut gerüstet. 95 Prozent der Betroffenen stellten den Betrieb nach einem Vorfall innerhalb weniger Tage wieder her, 78 Prozent sogar innerhalb von 24 Stunden.
Doch dieses Vertrauen stützt sich oft auf kleinere Vorfälle. 70 Prozent stufen ihren schlimmsten Zwischenfall im Nachhinein als gering ein. Ein ausgewachsener Ransomware-Angriff auf verschlüsselte Backups oder eine kompromittierte Lieferkette ist etwas anderes als ein abgewehrter Phishing-Versuch.
Die Zahlen dahinter erzählen die zweite Geschichte. 40 Prozent der Sicherheitsvorfälle gehen auf mangelhaftes Patch-Management zurück. Bei 63 Prozent der Angriffe lässt sich der Ursprung gar nicht mehr feststellen, ein Fünftel mehr als im Vorjahr. Ein Viertel der von Ransomware betroffenen Unternehmen zahlte Lösegeld. Und beim Budget bleibt die Vorsicht auf der Strecke: Mehr als 40 Prozent investieren weniger als 25.000 Euro pro Jahr in Cybersicherheit, nur 28 Prozent planen in den nächsten zwei Jahren mehr ein.
Sich vorbereitet zu fühlen ist keine Strategie. Resilienz zeigt sich erst, wenn sie unter echtem Druck getestet wird, nicht danach, wie ruhig man sich vorher fühlte.
Hitachi Vantara macht Resilienz beweisbar
Abwehr allein reicht nicht mehr. Bei Angreifern, die KI einsetzen und Lieferketten als Umweg nutzen, ist nicht die Frage, ob ein Angriff durchkommt, sondern wie schnell ein Unternehmen danach wieder steht. Genau das ist der Kern von Cyber-Resilienz: Systeme und Daten so aufstellen, dass Wiederherstellung planbar wird statt zum Glücksfall.
Hitachi Vantara verfolgt diesen Ansatz mit einem mehrschichtigen Sicherheits- und Recovery-Konzept: unveränderliche Snapshots, automatisierte digitale Zwillinge für echte Wiederherstellungstests und ein vom Produktivnetz isolierter Datentresor. Das Versprechen dahinter ist messbar, nicht nur beruhigend: bis zu 95 Prozent schnellere Wiederherstellung, hinunter auf Minuten statt Tage.
Wie das in der Praxis aussieht, zeigt ein Kunde aus der Energiebranche. Ein großer Energieversorger sicherte 370 Terabyte kritische Daten über ein air-gapped Vault mit VSP-5200-Speichersystemen ab. Die Software Ops Center Protector erstellt dabei unveränderliche Snapshots, die Automatisierungslösung CyberVR baut digitale Zwillinge für Recovery-Tests. Das Ergebnis: einzelne virtuelle Maschinen in rund 10 Sekunden zurückgeholt, die gesamte Systemlandschaft innerhalb einer Stunde.
Ein europäisches Finanzdienstleistungsunternehmen löste Compliance-, Kosten- und Resilienzanforderungen gleichzeitig: mit Data Protection as a Service und zentral auditierbaren Nachweisen genau der Art, die NIS2 nun von rund 4.000 österreichischen Betrieben verlangt.
Drei Prinzipien tragen diesen Ansatz: unveränderliche, isolierte Datenkopien, die auch bei kompromittierten Zugangsdaten unangetastet bleiben; automatisierte, regelmäßig getestete Wiederherstellung statt eines Notfallplans, der nur auf dem Papier existiert; und durchgängige Nachweisführung, die aus einer regulatorischen Pflicht einen Kontrollmechanismus macht. Denselben Anspruch wendet Hitachi Vantara auch dort an, wo Prüfungen am strengsten sind: 2025 ließ das Unternehmen sein Cyber-Resilienz-Programm für US-Bundesbehörden nach dem Secure Software Development Framework zertifizieren, demselben Rigor, den NIS2 nun auch von österreichischen Unternehmen verlangt. Und weil ein Ernstfall keine Zeit für Koordination zwischen mehreren Anbietern lässt, setzt Hitachi Vantara auf einen einzigen verlässlichen Partner statt auf ein Sammelsurium einzelner Tools.
Resilienz ist damit kein zusätzliches Sicherheitsprodukt, das man draufsetzt, sondern eine Eigenschaft der Dateninfrastruktur selbst, für die Hitachi Vantara mit seinen Kunden weltweit steht.
Drei Schritte zu echter Resilienz
- Wiederherstellungszeit testen, nicht schätzen. Ein Notfallplan beweist sich erst in der Übung, mit echten Systemen und einer Stoppuhr.
- Backups isolieren und unveränderlich machen. Nur Daten, die ein Angreifer nicht erreichen oder verändern kann, garantieren einen sauberen Wiederanlauf.
- Nachweise automatisieren. NISG 2026 verlangt Dokumentation. Wer sie laufend statt einmal jährlich erzeugt, ist der Prüfung immer einen Schritt voraus.
Österreichs Unternehmen rüsten auf, die Bedrohung wächst schneller mit. Der Unterschied zwischen den beiden liegt nicht im guten Gefühl nach dem letzten kleinen Vorfall, sondern in der geprüften Gewissheit, dass die Wiederherstellung auch beim großen Ernstfall funktioniert. Bis zum 1. Oktober bleiben noch wenige Wochen. Wer seine Wiederherstellung jetzt testet statt erst zu dokumentieren, wenn die Behörde fragt, macht aus einer regulatorischen Pflicht einen echten Wettbewerbsvorteil.
Mehr Erfahren →
