Jede zehnte Firma der BSI-Studie ist eine von 292, nicht von 505

„Nur jede zehnte Firma ist gegen KI-Cyberangriffe gewappnet“, titelt n-tv seit dem Vormittag, Handelsblatt und Rheinische Post schreiben „für KI-Angriffe gewappnet“. Grundlage ist die KI-Sicherheitsstudie 2026, die der TÜV-Verband und das Bundesamt für Sicherheit in der Informationstechnik (BSI) am 7. Oktober vorgestellt haben. Gezählt hat die Studie dafür Unternehmen, die einen eigenen Ablauf für „KI-bezogene Sicherheitsvorfälle“ haben. Gefragt wurden danach nur 292 der 505 Firmen, jene, die KI nutzen oder einführen wollen. Auf alle Befragten gerechnet hat rund jede sechzehnte einen solchen Ablauf.

Die elf Prozent stehen über einer Fußnote mit n = 292#

Die Frage auf Seite 47 der Studie tuev-verband.de ↗ lautet: „Welche trifft am ehesten auf Ihr Unternehmen hinsichtlich des Umgangs mit KI-bezogenen Sicherheitsvorfällen zu?“ 11 Prozent antworten: „Wir haben Prozesse speziell für KI-bezogene Sicherheitsvorfälle.“ 43 Prozent haben allgemeine IT-Sicherheitsprozesse, noch ohne spezielle KI-Regeln; 20 Prozent erarbeiten solche Prozesse gerade, und ein Viertel hat bislang keine Regelungen. Unter der Grafik steht: „Basis: Unternehmen, die KI-Anwendungen aktuell nutzen oder die den Einsatz planen (n = 292)“.

Die Herausgeber nennen die Basis selbst. TÜV-Präsident Dirk Stenkamp schreibt im Vorwort: „Nur 11 Prozent derjenigen, die KI nutzen oder einführen wollen, haben eigene Prozesse für KI-bezogene Sicherheitsvorfälle.“ Auch der Vorspann der Pressemitteilung des TÜV-Verbands¹ nennt „Unternehmen, die KI nutzen oder planen“, ihr Titel aber lautet: „Nur jedes zehnte Unternehmen gegen KI-gestützte Angriffe gerüstet“. Die Agenturmeldung übernimmt beides: Im ersten Absatz hat „lediglich etwa jede zehnte Firma“ Schutzmaßnahmen etabliert, wenige Sätze später die „Betriebe, die KI nutzen oder dies planen“.

292 von 505 sind 57,8 Prozent, das passt zu den 49 Prozent KI-Nutzern und 9 Prozent Planern, die BSI-Vizepräsident Thomas Caspers auf Seite 4 nennt. Elf Prozent von 292 sind etwa 32 Unternehmen, 32 von 505 sind 6,4 Prozent. Für die 213 Firmen ohne KI-Pläne gilt, was Caspers in der Pressemitteilung sagt: „dass auch Unternehmen, die selbst keine KI einsetzen, durch KI-gestützte Cyberangriffe gefährdet sind“.

Neun von zehn heißt 82 Firmen#

Jedes sechste Unternehmen, 17 Prozent, berichtet laut Seite 45 tuev-verband.de ↗ von einem Sicherheitsvorfall in den vergangenen zwölf Monaten, „bei dem KI eine Rolle gespielt hat bzw. haben könnte“: 4 Prozent bestätigt, 11 Prozent Verdacht, 2 Prozent beides. Nach der Angriffsart fragt Seite 46 tuev-verband.de ↗ nur diese Gruppe, n = 91: 90 Prozent nennen Phishing, 40 Prozent automatisierte Angriffsskripte, 11 Prozent Deepfakes. Der Fließtext daneben macht daraus: „Neun von zehn Unternehmen (90 Prozent) sind nach eigenen Angaben mit hochrealistischen Phishing-Mails attackiert worden.“ Neun von zehn aus 91 sind rund 82 Unternehmen, 16 Prozent aller Befragten; hinter den Deepfakes stehen etwa zehn. Die Pressemitteilung schreibt „90 Prozent der betroffenen Unternehmen“. Siebzehn Prozent von 505 wären 86 Firmen, die Grafik nennt 91. Ob die Ergebnisse gewichtet sind, erklärt die Studie nicht, obwohl sie sich auf der Titelseite „repräsentativ“ nennt.

Angerufen hat forsa vom 22. Juni bis 31. Juli 2026 Unternehmen ab 20 Beschäftigten. Laut Methodik tuev-verband.de ↗ haben 60 Prozent von ihnen 20 bis 49 Beschäftigte, 7 Prozent mehr als 250. Die Agenturmeldung spricht von „über 500 größere[n] Unternehmen“, die Pressemitteilung von „mehr als 500 Unternehmen ab 20 Mitarbeitenden“.

Das erste „jedes zehnte“ stammt von 2025#

Ein „jedes zehnte“ hatte der TÜV-Verband schon einmal. Seine Cybersecurity Studie 2025 überschrieb Seite 26 tuev-verband.de ↗: „Nur jedes zehnte Unternehmen nutzt KI für die Abwehr von Cyberangriffen“. Auf Seite 24 tuev-verband.de ↗ waren sich 51 Prozent sicher oder vermuteten, dass Angreifer KI gegen sie einsetzen, bei großen Firmen 81 Prozent, bei kleinen 47.

Einen Vergleich zu 2025 zieht die Studie 2026 nicht; ob zwischen den Spalten eine Entwicklung liegt oder nur eine andere Messung, lässt sie offen.

Stenkamp, zugleich CEO von TÜV Nord, fordert im Vorwort unabhängige Prüfungen von KI-Systemen. Wenige Zeilen später kündigt er drei Zertifizierungsprogramme an, die die TÜV-Organisationen mit dem TÜV AI.Lab entwickeln; sie sollen „Ende 2026 verfügbar sein“. Auf Seite 25 nennen 51 Prozent der Firmen, die KI nutzen oder planen, „Zertifizierungen durch unabhängige Prüforganisationen wie dem TÜV“ wichtig.