Lkw stehen bereit, Lager sind gefüllt – doch was passiert, wenn die IT ausfällt? Eine Studie von MHP und zNT zeigt erhebliche Schwächen bei der Krisenvorsorge deutscher Unternehmen. Besonders schlecht schneiden Logistik und Transport ab.
1.000 Führungskräfte aus deutschen Unternehmen befragt
Ein Fuhrpark mit Hunderten Lkw, leistungsfähige Lager und Tausende Mitarbeiter – auf dem Papier klingt das nach einer schlagkräftigen Logistik. Doch was nützen die Kapazitäten, wenn nach einem Cyberangriff plötzlich die Disposition ausfällt, Transportaufträge nicht mehr verarbeitet werden können und die Kommunikation zusammenbricht? Genau hier liegt offenbar eine der größten Schwachstellen der deutschen Wirtschaft. Eine aktuelle Studie der Management- und IT-Beratung MHP und des zentrums Nachhaltige Transformation (zNT) an der Quadriga Hochschule Berlin kommt zu einem ernüchternden Ergebnis: Ausgerechnet Transport- und Logistikunternehmen weisen besonders große Defizite bei der digitalen Krisenfestigkeit auf. Für die Untersuchung „Bedingt abwehrfähig?“ wurden 1.000 Führungskräfte aus deutschen Unternehmen mit einem Jahresumsatz zwischen 50 Millionen und fünf Milliarden Euro befragt.
91 Prozent der Logistikunternehmen mit erheblichen IT-Lücken
Die Zahlen haben es in sich. Rund 91 Prozent der befragten Logistikunternehmen haben mindestens fünf von neun untersuchten Maßnahmen zur Cyber-Resilienz nicht umgesetzt. Im Transportwesen sind es knapp 88 Prozent. Im Durchschnitt verfügen Logistikunternehmen lediglich über 2,7 der neun abgefragten Schutzmaßnahmen. Im Transportwesen sind es 2,8. Zum Vergleich: Im Finanzsektor liegt der Durchschnitt bei 4,2 Maßnahmen. Untersucht wurden unter anderem Offline-Backups, Netzwerksegmentierung, Multi-Faktor-Authentifizierung, regelmäßige Notfallübungen, dokumentierte Wiederanlaufpläne und spezielle Teams zur Bewältigung von IT-Sicherheitsvorfällen. Das Problem: Moderne Transportketten sind längst auf eine funktionierende digitale Infrastruktur angewiesen. Ohne Transport-Management-Systeme, Telematik, elektronische Dokumente und vernetzte Kommunikation können selbst vollständig verfügbare Fahrzeuge und Lagerkapazitäten schnell zum Stillstand kommen. „Ausgerechnet dort, wo Deutschland im Verteidigungsfall besonders auf die Wirtschaft angewiesen wäre, sehen wir erhebliche Lücken bei der digitalen Resilienz“, warnt Prof. Dr. Torsten Oltmanns, Managing Director des zNT Berlin.
Bei IT-Ausfall ist oft nach 24 Stunden Schluss
Wie verletzlich die Unternehmen insgesamt sind, zeigt eine weitere Zahl: 46 Prozent der Befragten können ihren Betrieb bei einem vollständigen Ausfall zentraler IT-Systeme höchstens 24 Stunden aufrechterhalten. Bei 76 Prozent ist spätestens nach ein bis drei Tagen Schluss. Dabei ist die Fähigkeit, ohne IT weiterzuarbeiten, nicht mit der Fähigkeit gleichzusetzen, ausgefallene Systeme anschließend wiederherzustellen. Besonders bemerkenswert: Von den Unternehmen, die ihre Produktion im Verteidigungsfall nach eigener Einschätzung innerhalb von 24 Stunden hochfahren könnten, würden 61 Prozent einen vollständigen IT-Ausfall höchstens einen Tag überstehen. Die Unternehmen trauen sich also teilweise eine schnelle Mobilisierung ihrer Kapazitäten zu, wären gleichzeitig aber stark von einer funktionierenden IT abhängig. Auch bei grundlegenden Sicherheitsmaßnahmen offenbart die Studie erhebliche Lücken. Über alle untersuchten Branchen hinweg verfügen lediglich 27 Prozent der Unternehmen über ein Incident-Response-Team. Dokumentierte Wiederanlaufpläne haben 38 Prozent, Offline-Backups 44 Prozent.
86 Prozent wollen helfen – nur 3,1 Prozent erfüllen alle Kriterien
Die eigentliche Diskrepanz wird beim Vergleich von Anspruch und Wirklichkeit deutlich. 86 Prozent der befragten Unternehmen wären grundsätzlich bereit, Kapazitäten für die Landesverteidigung bereitzustellen. 93 Prozent halten ihre Branche für relevant, wenn es um die Versorgungssicherheit Deutschlands geht. Doch die Studie prüft nicht nur diese Bereitschaft, sondern fünf organisatorische Grundlagen einer sogenannten Defense Readiness: die Kenntnis der eigenen Rolle im Verteidigungsfall, ein entsprechendes Risikomanagement, Transparenz über kritische Lieferketten, ein etabliertes Business Continuity Management und Cyber-Resilienz. Das Ergebnis: Gerade einmal 3,1 Prozent erfüllen alle fünf untersuchten Voraussetzungen. Rund ein Viertel erfüllt keine einzige. Besonders aufschlussreich ist dabei die Selbsteinschätzung: Selbst von den Unternehmen, die keine der fünf Grundlagen erfüllen, halten sich noch 46,2 Prozent für sehr gut oder eher gut vorbereitet. Mit anderen Worten: Das Vertrauen in die eigene Krisenfestigkeit ist vielerorts deutlich größer als die organisatorische Vorsorge.
Viele Unternehmen kennen ihre Rolle im Ernstfall nicht
Ein weiteres Problem ist die fehlende Vorbereitung auf konkrete Verteidigungsszenarien. Nur 41,7 Prozent der befragten Unternehmen haben ihre mögliche Rolle im Verteidigungsfall identifiziert und bewertet. Lediglich 33 Prozent berücksichtigen entsprechende Szenarien bereits in ihrem Risikomanagement. Ein vollständig etabliertes Business-Continuity-Management-Team, das den Weiterbetrieb kritischer Geschäftsprozesse absichern soll, gibt es bei 36,8 Prozent. Hinzu kommt mangelnde Transparenz entlang der Lieferketten: Nur 23,7 Prozent der Befragten geben an, ihre kritischen Lieferketten über mehrere Zuliefererstufen hinweg vollständig transparent machen zu können. Gerade für Speditionen und Logistikdienstleister kann das gravierende Folgen haben. Denn im Krisenfall muss nicht nur bekannt sein, welche Transportkapazitäten vorhanden sind. Entscheidend ist ebenso, ob Fahrer verfügbar sind, Kraftstoff geliefert werden kann, Umschlaganlagen funktionieren und IT-Systeme einsatzfähig bleiben.
Staat und Logistikbranche müssen enger zusammenarbeiten
Die Untersuchung zeigt außerdem, dass die Zusammenarbeit zwischen Wirtschaft und staatlichen Stellen noch ausbaufähig ist. Während branchenübergreifend 62 Prozent der Unternehmen die bisherige Zusammenarbeit bei der Krisenvorsorge positiv bewerten, sind es im Transportwesen lediglich 53 Prozent und in der Logistik 54 Prozent. Dabei besteht durchaus Bereitschaft zur Kooperation: 83 Prozent der Befragten könnten sich vorstellen, verfügbare Kapazitäten über eine bundesweite Plattform zu melden. MHP schlägt hierfür eine sogenannte „Digitale Versorgungsdrehscheibe Deutschland“ vor. Dabei sollen vorhandene Systeme und Datenquellen sicher miteinander vernetzt werden, statt sämtliche Informationen in einer neuen zentralen Datenbank zusammenzuführen. Ziel wäre es, im Krisenfall schneller erkennen zu können, welche Transport-, Produktions- oder Versorgungskapazitäten tatsächlich verfügbar sind und wo Engpässe drohen.
NIS-2 erhöht den Druck auf Unternehmen
Die Defizite bei der Cyber-Resilienz sind allerdings nicht nur ein Problem für den Verteidigungsfall. Sie können auch regulatorische Konsequenzen haben. Denn das deutsche NIS-2-Umsetzungsgesetz stellt an zahlreiche Unternehmen verbindliche Anforderungen an das Management von Cybersicherheitsrisiken. Dazu gehören unter anderem Maßnahmen zur Bewältigung von Sicherheitsvorfällen, zur Absicherung von Lieferketten sowie Backup- und Wiederherstellungskonzepte. Auch Unternehmen aus Transport und Logistik können darunterfallen. Ob ein Betrieb tatsächlich betroffen ist, hängt allerdings von seiner konkreten Tätigkeit sowie weiteren gesetzlichen Kriterien ab. Für betroffene Unternehmen ist die Umsetzung der Sicherheitsmaßnahmen damit nicht allein Sache der IT-Abteilung. Auch die Geschäftsleitung trägt Verantwortung.
So wurde die Studie durchgeführt
Die Untersuchung „Bedingt abwehrfähig? Wie gut Deutschlands Mittelstand seine Resilienz managt“ wurde von MHP und dem zNT an der Quadriga Hochschule Berlin erstellt. Grundlage ist eine Onlinebefragung des Meinungsforschungsinstituts Civey vom 31. Juli bis 17. August 2026. Befragt wurden 1.000 Führungskräfte ab Teamlead-Ebene aus Unternehmen mit einem Jahresumsatz von 50 Millionen bis fünf Milliarden Euro. Die Stichprobe umfasst verschiedene Branchen, darunter 143 Befragte aus der Logistik und 97 aus dem Transportwesen. Die Ergebnisse beruhen auf Selbstauskünften und statistischen Auswertungen. Der verwendete Defense-Readiness-Index ist ein exploratives Bewertungsinstrument und ersetzt keine unabhängige technische Sicherheitsprüfung. Der ausgewiesene statistische Fehler für die Gesamtergebnisse beträgt 3,1 Prozentpunkte.
In Kürze: die Key Facts
- Studie: „Bedingt abwehrfähig? Wie gut Deutschlands Mittelstand seine Resilienz managt“ von MHP und dem zentrum Nachhaltige Transformation (zNT).
- Befragung: 1.000 Führungskräfte aus deutschen Unternehmen mit 50 Millionen bis fünf Milliarden Euro Jahresumsatz.
- Erhebungszeitraum: 31. Juli bis 17. August 2026.
- Logistik: Rund 91 Prozent der befragten Logistikunternehmen fehlen mindestens fünf von neun untersuchten Cyber-Resilienz-Maßnahmen.
- Transportwesen: Knapp 88 Prozent der Unternehmen weisen entsprechende Defizite auf.
- Cyber-Schutzmaßnahmen: Logistikunternehmen haben im Durchschnitt 2,7 von neun Maßnahmen etabliert, Transportunternehmen 2,8.
- IT-Ausfall: 46 Prozent aller befragten Unternehmen können einen vollständigen Ausfall zentraler IT-Systeme höchstens 24 Stunden überbrücken.
- Krisenbereitschaft: 86 Prozent wären grundsätzlich bereit, Kapazitäten für die Landesverteidigung bereitzustellen.
- Defense Readiness: Nur 3,1 Prozent erfüllen alle fünf untersuchten organisatorischen Voraussetzungen.
- Lieferketten: Lediglich 23,7 Prozent der Unternehmen geben an, ihre kritischen Lieferketten vollständig transparent machen zu können.
- Zusammenarbeit mit dem Staat: 53 Prozent der Befragten aus dem Transportwesen und 54 Prozent aus der Logistik bewerten die bisherige Kooperation bei der Krisenvorsorge positiv.
- Methodik: Die Ergebnisse beruhen auf Selbstauskünften. Die Studie ist keine unabhängige technische Sicherheitsprüfung.
Fazit
Logistik im Krisenfall: Ohne IT steht auch der Lkw
Die Ergebnisse der MHP-Studie sind ein Warnsignal für die Transport- und Logistikbranche. Moderne Lieferketten funktionieren nur, solange Disposition, Kommunikation und digitale Steuerungssysteme verfügbar sind. Fehlen belastbare Notfallpläne, können selbst große Fuhrparks und Lagerkapazitäten im Ernstfall weitgehend nutzlos werden. Allerdings belegt die Untersuchung keine tatsächliche Ausfallquote und auch nicht, dass 91 Prozent der Logistikunternehmen unmittelbar durch einen Cyberangriff lahmgelegt werden könnten. Sie zeigt vielmehr, wie viele grundlegende Schutzmaßnahmen nach Angaben der Befragten fehlen. Gerade deshalb sollten die Ergebnisse ernstgenommen werden. Denn die entscheidende Frage lautet nicht, wie viele Lkw ein Unternehmen besitzt, sondern wie viele davon bei einem längeren IT-Ausfall tatsächlich noch eingesetzt werden könnten. Und diese Frage dürfte mancher Spediteur derzeit nur schwer beantworten können.
