IT-Sicherheitsbudget 2027: welche Posten KMU jetzt einplanen sollten

Ein IT-Sicherheitsbudget ist weniger eine Frage der Betriebsgröße als der Planung: Wer die großen Posten für 2027 im Herbst bewusst einstellt, vermeidet ungeplante Ausgaben nach einem Vorfall. Laut der Bitkom-Studie Wirtschaftsschutz 2026 geben Unternehmen in Deutschland im Durchschnitt 18 Prozent ihres IT-Budgets für IT-Sicherheit aus, und 58 Prozent haben in den vergangenen zwölf Monaten einen Schaden durch Cyberangriffe erlitten. Für kleine und mittlere Unternehmen kommen 2027 feste Termine hinzu: neue Listenpreise für Microsoft 365 bei der nächsten Verlängerung, das Supportende für Office 2021 im Oktober 2026 und für Windows Server 2016 im Januar 2027 sowie die Folgekosten des Supportendes von Windows 10. Dieser Beitrag geht fünf Posten durch und nennt die Quellen, auf die Sie sich bei der Planung stützen können.

Die Orientierungsgröße: 18 Prozent des IT-Budgets

Der Bitkom hat die Studie Wirtschaftsschutz 2026 am 26. August 2026 vorgestellt; befragt wurden 1.003 Unternehmen ab zehn Beschäftigten. Der durchschnittliche Anteil des Budgets für IT-Sicherheit am gesamten IT-Budget liegt demnach bei 18 Prozent, nach 9 Prozent im Jahr 2022, 14 Prozent 2023 und 17 Prozent 2024. Seit 2025 verharrt der Wert auf diesem Niveau, der Bitkom spricht von einer stagnierenden Investitionsbereitschaft. Gleichzeitig beziffert die Studie den Schaden durch Datendiebstahl, Industriespionage und Sabotage auf mindestens 211 Milliarden Euro, davon 76 Prozent durch Cyberangriffe; 96 Prozent der Unternehmen waren betroffen oder vermuten es.

Aufschlussreicher als die Schadenssumme ist für die Budgetplanung die Frage, warum Angriffe gelingen. Die geschädigten Unternehmen nannten dem Bitkom vor allem eine unzureichende Erkennung von Sicherheitsvorfällen (59 Prozent), Fehlkonfigurationen (57 Prozent), unzureichendes Identitäts- und Zugriffsmanagement (55 Prozent), technische Schwachstellen (50 Prozent) und veraltete Hard- oder Software (43 Prozent). Ein unzureichendes Sicherheitsbewusstsein der Beschäftigten folgt mit 18 Prozent. Genau entlang dieser Ursachen lassen sich die Posten für 2027 sortieren. Die 18 Prozent sind dabei kein Ziel, sondern ein Vergleichswert: Ein Betrieb mit zehn Arbeitsplätzen und ohne eigenen Server hat andere Posten als ein Produktionsbetrieb mit Maschinensteuerungen.

Fehlkonfigurationen und Lücken bei Identitäten und Zugriffen lassen sich in Microsoft 365 schon vor der Planung sichtbar machen. Der kostenpflichtige H5M Sicherheitscheck für Microsoft 365 liest über 30 Einstellungen aus, von der Mehrfaktor-Anmeldung bis zu den Administratorkonten, und liefert einen nach Dringlichkeit sortierten Maßnahmenplan als Grundlage für die Posten. Wer lieber selbst nachsieht, nimmt die kostenlose Checkliste.

Posten 1: Lizenzen zu den neuen Listenpreisen

Microsoft hat am 4. Dezember 2025 angekündigt, dass zum 1. Juli 2026 neue Listenpreise gelten, unter anderem für Microsoft 365 Business Basic, Business Standard, Microsoft 365 E3 und E5 sowie Office 365 E3; Business Premium und Office 365 E1 blieben unverändert. Im Gegenzug wurden die Pläne erweitert, etwa um zusätzlichen Postfachspeicher und Copilot Chat. Für Ihr Budget zählt der Zeitpunkt der Verlängerung: Läuft Ihr Jahresvertrag 2027 aus, gilt ab dann der neue Preis. Was sich im Detail geändert hat, fasst der Beitrag Microsoft 365 ist teurer geworden zusammen.

Nutzen Sie die Verlängerung für eine Bereinigung: ungenutzte Lizenzen ausgeschiedener Beschäftigter entfernen, den Plan je Arbeitsplatz passend wählen und prüfen, ob ein Wechsel auf Business Premium separat bezahlte Sicherheitsprodukte ersetzt. Business Premium bündelt mit Defender for Business, Intune und Entra ID P1 Funktionen, die viele Betriebe heute als Einzelprodukte einkaufen. Ein zweiter Lizenzposten sind die erweiterten Sicherheitsupdates für Windows 10, falls noch Rechner damit laufen: Microsoft bietet sie Unternehmen für bis zu drei Jahre an, wobei sich der Preis jedes Jahr verdoppelt.

Posten 2: Hardware und Software mit Supportende

Veraltete Hard- oder Software nannten 43 Prozent der geschädigten Unternehmen als Faktor für einen erfolgreichen Angriff. Für 2027 stehen drei Termine im Kalender. Der Support für Windows 10 endete bereits am 14. Oktober 2025; Rechner, die die Anforderungen von Windows 11 nicht erfüllen, gehören auf die Ersatzliste, wie der Beitrag zum Umstieg auf Windows 11 beschreibt. Für Office 2021 und Office LTSC 2021 endet der Support am 13. Oktober 2026, danach gibt es keine Sicherheitsupdates mehr; die Alternativen sind die Microsoft 365 Apps im Abonnement oder eine aktuelle Kaufversion. Für Windows Server 2016 endet der erweiterte Support am 12. Januar 2027. Betroffen sind typischerweise Dateiserver, Domänencontroller und Anwendungsserver, und der Weg führt entweder zu einem neuen Server, in die Cloud mit SharePoint und Entra ID oder zu einer Kombination aus beidem.

Wer noch einen eigenen Exchange Server 2019 betreibt, hat den Termin bereits verpasst: Sein Support endete am 14. Oktober 2025. Ein Server ohne Sicherheitsupdates ist im Netz die Stelle, an der Angreifer zuerst ansetzen, weil bekannte Schwachstellen nicht mehr geschlossen werden. Solche Systeme gehören deshalb an den Anfang der Budgetliste, nicht ans Ende.

Posten 3: Backup mit Wiederherstellungstest

Das BSI zählt im Lagebericht 2025 für den Zeitraum Juli 2024 bis Juni 2025 950 angezeigte Ransomware-Angriffe, 72 Prozent davon mit Datenleaks; rund 80 Prozent der angezeigten Angriffe richteten sich gegen kleine und mittlere Unternehmen. Gegen Verschlüsselung hilft am Ende nur eine Sicherung, die die Angreifer nicht erreichen und die sich tatsächlich zurückspielen lässt. Beides kostet Geld: eine Sicherung außerhalb der produktiven Umgebung, eine unveränderbare oder offline gehaltene Kopie und Arbeitszeit für regelmäßige Wiederherstellungstests, mindestens einmal im Quartal.

Für Daten in Microsoft 365 gilt das Modell der geteilten Verantwortung: Microsoft betreibt die Plattform, die Sicherung der eigenen Daten bleibt Aufgabe des Unternehmens. Warum Papierkorb und Versionsverlauf kein Backup sind, erklärt der Beitrag Wird Microsoft 365 automatisch gesichert?. Planen Sie den Posten mit Lizenz, Speicher und Testzeit, nicht nur mit dem Lizenzpreis.

Posten 4: Erkennung und Reaktion statt reinem Virenscanner

Die unzureichende Erkennung von Sicherheitsvorfällen steht in der Bitkom-Studie an erster Stelle der Ursachen. Ein klassischer Virenscanner meldet bekannte Schadsoftware, sieht aber nicht, wenn sich jemand mit gestohlenen Zugangsdaten anmeldet und in Ruhe umsieht. Endpoint Detection and Response (EDR) erkennt solche Verhaltensmuster; Managed Detection and Response (MDR) sorgt dafür, dass jemand die Alarme auch nachts und am Wochenende bearbeitet. Den Unterschied erklärt der Beitrag Warum ein Virenscanner heute nicht mehr reicht.

Für Betriebe mit Business Premium ist der erste Schritt bereits bezahlt: Microsoft Defender for Business ist enthalten, für Unternehmen bis 300 Nutzer ausgelegt und bringt EDR, automatisierte Untersuchung und Schwachstellenmanagement mit. Budgetrelevant sind dann die Einrichtung, die Überwachung der Alarme und gegebenenfalls ein MDR-Dienst. Dazu kommen zwei weitere Punkte aus der Ursachenliste: die Anmeldung mit zweitem Faktor und bedingter Zugriff gegen Kontoübernahmen sowie ein Patchmanagement, das mit dem Tempo Schritt hält. Das BSI zählte im Berichtszeitraum durchschnittlich 119 neue Schwachstellen pro Tag, rund 24 Prozent mehr als im Vorjahreszeitraum.

Posten 5: Schulung, Notfallvorsorge und die Reserve

Nur 18 Prozent der geschädigten Unternehmen nennen ein unzureichendes Sicherheitsbewusstsein als Ursache, doch die Angriffe auf Menschen werden besser: Von den Unternehmen, die einen verstärkten Einsatz von KI bei Angriffen wahrnehmen, machen das laut Bitkom 48 Prozent an gefälschten Audio- oder Videoaufnahmen und 38 Prozent an der hohen sprachlichen Qualität von Textnachrichten und Mails fest. Eine kurze, regelmäßige Schulung mit konkreten Beispielen aus dem eigenen Betrieb kostet wenig und wirkt, wenn sie wiederholt wird. Der Europäische Cybersicherheitsmonat im Oktober ist ein passender Anlass für den Start.

Zur Vorsorge gehört ein geübter Notfallplan: Wer ruft wen an, welche Systeme werden zuerst getrennt, wo liegen die Kontaktdaten, wenn E-Mail und Telefonanlage nicht funktionieren. Planen Sie dafür einen halben Tag im Jahr ein. Prüfen Sie außerdem, welche Anforderungen Ihre Cyberversicherung stellt; viele Versicherer verlangen MFA, Backup und aktuelle Systeme als Voraussetzung, und die Posten aus diesem Beitrag zahlen auf genau diese Anforderungen ein.

Für die Zusammenstellung des Budgets beginnen Sie mit einer Inventarliste: Welche Geräte, Server und Programme laufen, mit welchem Supportende, welche Lizenzen verlängern sich wann. Ordnen Sie dann jeden Posten einer der fünf Kategorien zu und setzen Sie die festen Termine zuerst, weil sie sich nicht verschieben lassen. Danach folgen Erkennung und Backup, zuletzt Schulung und Übung. Halten Sie eine Reserve für den Vorfall vor, den Sie nicht planen können: externe Forensik, Ersatzgeräte, Überstunden. Und rechnen Sie in Arbeitszeit, nicht nur in Lizenzen, denn Einrichtung, Tests und Überwachung sind der größere Teil des Aufwands.

Häufige Fragen

Sind 18 Prozent des IT-Budgets für ein kleines Unternehmen realistisch?

Der Bitkom-Wert ist ein Durchschnitt über Unternehmen ab zehn Beschäftigten und kein Sollwert. Für einen kleinen Betrieb, der Microsoft 365 nutzt, steckt ein Teil der Sicherheit bereits in der Lizenz, sodass der separat sichtbare Anteil niedriger ausfallen kann. Entscheidend ist, dass alle fünf Posten bewusst geplant sind und keiner fehlt.

Reicht Business Premium, oder brauchen wir zusätzliche Sicherheitsprodukte?

Business Premium deckt mit Defender for Business, Intune und Entra ID P1 die Grundlagen für Endgeräte, Identitäten und Geräteverwaltung ab. Nicht enthalten sind ein Backup der eigenen Daten, die Überwachung der Alarme rund um die Uhr, Schulung und der Schutz von Servern, für den zusätzliche Lizenzen nötig sind. Diese Posten müssen gesondert eingeplant werden.

Was passiert, wenn wir den Serverwechsel auf 2028 verschieben?

Ein Windows Server 2016 erhält nach dem 12. Januar 2027 keine Sicherheitsupdates mehr, bekannte Schwachstellen bleiben dauerhaft offen. Ein solcher Server ist ein bevorzugtes Ziel für Ransomware und kann bei Versicherern und Kunden zu Rückfragen führen. Ist der Wechsel 2027 nicht zu schaffen, sollte der Server zumindest vom Internet getrennt, im Netz abgetrennt und eng überwacht werden, und der Wechsel sollte fest terminiert sein.

So unterstützt Sie die High5Manufaktur GmbH

Die High5Manufaktur GmbH erstellt mit Ihnen die Inventarliste, markiert Supportenden und Vertragslaufzeiten und ordnet die Posten den fünf Kategorien zu, sodass Sie eine belastbare Grundlage für das Budget 2027 haben. Wir richten Defender for Business, Intune und die Anmeldung mit zweitem Faktor ein, betreiben Patchmanagement und Backup mit dokumentierten Wiederherstellungstests und übernehmen die Überwachung der Alarme als Managed Service. Im kostenlosen Erstgespräch gehen wir Ihre Systemlandschaft durch und zeigen, welche Posten bei Ihnen Priorität haben. Wie wir Budget und Maßnahmen in eine IT-Strategie übersetzen, beschreibt unsere Leistungsseite.

Quellen

• Bitkom e. V., Wirtschaftsschutz 2026, Präsentation zur Pressekonferenz vom 26.08.2026, https://www.bitkom.org/sites/main/files/2026-08/bitkom-praesentation-wirtschaftsschutz-2026.pdf
• Bundesamt für Sicherheit in der Informationstechnik, Die Lage der IT-Sicherheit in Deutschland 2025, Kurzfassung, November 2025, https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Lageberichte/Lagebericht2025_Achtseiter.pdf
• Microsoft, Advancing Microsoft 365: New capabilities and pricing update, Microsoft 365 Blog, 04.12.2025, https://www.microsoft.com/en-us/microsoft-365/blog/2025/12/04/advancing-microsoft-365-new-capabilities-and-pricing-update/
• Microsoft Learn, Windows Server 2016, Microsoft Lifecycle, Stand 04.06.2024, https://learn.microsoft.com/en-us/lifecycle/products/windows-server-2016
• Microsoft Learn, Office LTSC 2021, Microsoft Lifecycle, Stand 18.04.2025, https://learn.microsoft.com/en-us/lifecycle/products/office-ltsc-2021
• Microsoft Learn, Extended Security Updates (ESU) program for Windows 10, Stand 17.11.2025, https://learn.microsoft.com/en-us/windows/whats-new/extended-security-updates