FTAPI Secure Data Report 2026

85 Prozent der Unternehmen wollen Kontrolle beim Datenaustausch, aber nur 15 Prozent setzen sie technisch um

Fast alle deutschen Unternehmen setzen auf sicheren Datenaustausch: 88 Prozent setzen mindestens eine Lösung dafür ein, weitere 11 Prozent planen die Einführung. Doch ausgerechnet bei der Frage, was mit sensiblen Daten passiert, nachdem sie die eigene Unternehmensgrenze verlassen, verlieren die meisten den Überblick. Dabei wächst der Druck von zwei Seiten gleichzeitig: Zum einen steigen die Datenmengen so stark, dass 64 Prozent Automatisierung für die einzige Möglichkeit halten, sie künftig noch sicher zu bewältigen. Zum anderen verlangen neue Vorgaben wie NIS-2 und DORA einen lückenlosen Nachweis. Für die aktuelle Ausgabe des Secure Data Reports befragte das Analystenhaus techconsult im Auftrag von FTAPI 200 IT- und Sicherheitsverantwortliche aus Industrie, Gesundheitswesen, Banken/Versicherungen und der öffentlichen Verwaltung in Deutschland.  

Auf einen Blick: Die zentralen Ergebnisse 

Der Secure Data Report 2026 zeigt: Unternehmen investieren in sicheren Datenaustausch, haben die Lücke zwischen Anspruch und tatsächlicher Umsetzung aber noch nicht geschlossen. 

• Kontroll-Lücke: 85 % wollen Kontrolle über ihre Datenflüsse, aber nur 15 % überwachen den Datenaustausch technisch, etwa per SIEM-System. 

• Nachweis-Aufwand: 58 % empfinden revisionssichere Dokumentation als hohen oder sehr hohen Aufwand, automatisiert haben sie gerade einmal 2 %. 

• Analoge Datenträger: Fast jedes dritte Unternehmen (32 %) nutzt weiterhin physische Datenträger für sensible Daten, in der öffentlichen Verwaltung sogar 41 %. 

• Notbetrieb: 72 % weichen bei IT-Ausfällen auf unsichere Wege (z. B. unverschlüsselte E-Mail, USB-Sticks) aus.   

• Automatisierungs-Lücke: 81 % halten Automatisierung bei der Softwareauswahl für wichtig, aber erst bei 57 % ist sie überwiegend oder vollständig umgesetzt. Bei der Datenklassifizierung setzen nur 24 % darauf. 

Anspruch und Wirklichkeit: Der Mensch als letzte Kontrollinstanz 

85 Prozent der befragten Unternehmen bewerten Nachvollziehbarkeit und Kontrolle über den Datenfluss als wichtig oder sehr wichtig – ein Anstieg gegenüber 80 Prozent im Vorjahr. Tatsächlich überwachen aber nur 15 Prozent der Organisationen den Datenaustausch technisch, etwa über ein SIEM-System. 

Den Unterschied zwischen dem Wunsch nach Kontrolle und ihrer Umsetzung schließen Unternehmen bislang überwiegend über den Menschen: 67 Prozent setzen auf Schulung und Sensibilisierung der Mitarbeitenden, nur 24 Prozent auf automatisierte Klassifizierung. Die Verantwortung für sicheren Datenaustausch liegt damit an vielen Stellen bei Einzelnen, die im Tagesgeschäft schnell entscheiden müssen, welcher Weg für welche Daten der richtige ist. 

Wenn der Prüfer kommt: Manueller Aufwand bremst Compliance 

Sicherheitsrichtlinien allein reichen im Ernstfall nicht, entscheidend ist der lückenlose Nachweis. 58 Prozent der Unternehmen bewerten den Aufwand für revisionssichere Dokumentation als hoch oder sehr hoch. In den am stärksten geprüften Branchen, wie Banken und der öffentlichen Verwaltung, liegt dieser Wert sogar bei 68 Prozent. Der Grund: Compliance-Nachweise werden meist händisch und getrennt vom eigentlichen Datenaustausch geführt. Automatisiert führen den Nachweis nur 2 Prozent. Bei Audits müssen Informationen mühsam zusammengesucht werden. Was ein Nebenprodukt sicheren Austauschs sein könnte, wird so zu einer eigenen, zeit- und personalintensiven Aufgabe. 

Während sich Unternehmen bei etablierten Standards wie BSI IT-Grundschutz (72 Prozent) oder ISO 27001 (68 Prozent) gut gerüstet fühlen, wächst bei neueren Regulierungen die Unsicherheit. Bei NIS-2 sind es 56 Prozent, bei DORA 53 Prozent, beim Cyber Resilience Act 52 Prozent und beim AI Act 50 Prozent. Im Gesundheitswesen geben nur 57 Prozent an, gut oder sehr gut auf das Krankenhauszukunftsgesetz (KHZG) vorbereitet zu sein, das schon seit Jahren gilt. Der Grund liegt weniger im Wissen um die Vorgaben als in ihrer Umsetzung: Wer seine Sicherheitsprozesse nachweisbar im Griff hat, kann neue Anforderungen leichter abbilden. Wer den Nachweis manuell führt, gerät mit jeder weiteren Regulierung schneller unter Druck. 

Kein sicherer Plan B: Wenn der Notfall zum Regelverstoß wird  

Besonders kritisch wird es bei Systemausfällen: 72 Prozent der Unternehmen weichen im Notfall auf unsichere Kanäle wie unverschlüsselte E-Mails, private Cloud-Dienste oder USB-Sticks aus. Der Notbetrieb hebelt damit genau jene Compliance-Vorgaben aus, für die die Hauptlösung eigentlich angeschafft wurde. Ein Ausfall wird so nicht nur zur operativen Hürde, sondern potenziell zum handfesten Compliance-Verstoß. Für jedes fünfte Unternehmen (20 Prozent) bedeutet ein Ausfall der Austauschlösung zudem den sofortigen Stillstand des gesamten Betriebsalltags. Sicherer Datenaustausch ist damit für einen relevanten Teil der Unternehmen längst keine Zusatzfunktion mehr, sondern Kernbetriebsinfrastruktur. 

Digitalisierung auf halbem Weg: Datenträger und Automatisierungslücke 

Wie unterschiedlich weit die Digitalisierung fortgeschritten ist, zeigt ein weiterer Befund: Fast jedes dritte Unternehmen (32 Prozent) tauscht sensible Daten noch immer über physische Datenträger aus – in der öffentlichen Verwaltung sind es sogar 41 Prozent. Digitale und analoge Prozesse laufen damit in vielen Organisationen nebeneinander.  

Ähnlich verhält es sich bei der Automatisierung: 81 Prozent halten sie bei der Auswahl von Lösungen für den Datenaustausch für wichtig, 64 Prozent sehen sie als einzige Möglichkeit, künftige Datenmengen sicher zu bewältigen. Die Praxis hinkt jedoch hinterher. Erst bei 57 Prozent ist Automatisierung überwiegend oder vollständig umgesetzt. Bei 37 Prozent der Unternehmen wird bei essenziellen Schritten wie Verschlüsselung oder Passwortvergabe noch immer manuell Hand angelegt.  

Blinder Fleck Souveränität: Herkunft des Anbieters ist das am wenigsten gewichtetes Kriterium 

Bei der Wahl des Anbieters zeigt sich ein blinder Fleck: 65 Prozent der befragten Unternehmen bewerten die Herkunft des Anbieters als wichtiges oder sehr wichtiges Auswahlkriterium. Das ist der niedrigste Wert aller 16 abgefragten Kriterien, deutlich hinter Sicherheitsniveau (92 Prozent) oder DSGVO-Konformität (86 Prozent). Dabei betrifft die Frage die digitale Souveränität unmittelbar: Anbieter unter US-Recht können durch den CLOUD Act zur Herausgabe von Daten verpflichtet werden, selbst wenn die Server innerhalb der EU stehen. Wer die Herkunft nicht als Kriterium führt, hat dieses Risiko nicht bewertet. 

„Jede Organisation hat bereits ein System, über das sensible Daten nach außen gehen, ob geplant oder zufällig entstanden.“, resümiert Ari Albertini, CEO von FTAPI. „Die Aufgabe ist nun, dieses System, das System of Exchange, aktiv und nachvollziehbar zu gestalten, statt es aus unkontrollierten Einzelentscheidungen wachsen zu lassen. Nur dann trägt Sicherheit auch im Alltag und steht nicht bloß auf dem Papier.“ 

Über die Studie 

Für den Secure Data Report 2026 hat die techconsult GmbH im Auftrag von FTAPI 200 IT- und Sicherheitsverantwortliche befragt, die maßgeblich oder stark an Entscheidungen zur Anschaffung von Lösungen für sicheren Datenaustausch beteiligt sind. Befragt wurden Organisationen aus der Industrie (43 Prozent), dem Gesundheitswesen (23 Prozent) sowie Banken und Versicherungen und der öffentlichen Verwaltung (je 17 Prozent) mit 250 bis 9.999 Mitarbeitenden. Es ist die dritte Ausgabe des Secure Data Reports. Der vollständige Report steht hier zum kostenlosen Download bereit.

Über FTAPI  

FTAPI ist eine Plattform für sicheren Datenaustausch und die Automatisierung sensibler Datenprozesse. Seit der Gründung 2010 unterstützt das Münchner Software-Unternehmen über 2.000 Organisationen und mehr als eine Million Nutzer dabei, Daten sicher zu übertragen, zu verarbeiten und zu speichern. 

Mit flexibel kombinierbaren Lösungen sorgt FTAPI für eine ganzheitliche Absicherung von Datenaustauschprozessen – von der sicheren E-Mail-Kommunikation bis hin zur Automatisierung komplexer Datenflüsse. Die Plattform erfüllt anerkannte Sicherheitsstandards wie ISO 27001 und BSI C5 Typ II und wird ausschließlich auf Servern in Deutschland betrieben. 

Kontakt für Presseanfragen

Melanie Meier
melanie.meier@ftapi.com
Tel. 089-215273981