IT-Sicherheit Budget Mittelstand: Kosten pro Kopf 2026

Laut Bitkom fließen in deutschen Unternehmen im Schnitt 18 Prozent des IT-Budgets in IT-Sicherheit, als Richtwert gelten 20 Prozent. Diese Quote sagt aber nicht, was ein Mittelständler mit dem IT-Sicherheit Budget kaufen soll. Wer ohne Plan verteilt, hat am Ende eine große Firewall und ungeschützte Konten. Unser Rechenmodell zeigt: Der Grundschutz kostet rund 80 Euro netto pro Kopf und Jahr, Basis ist ein solider Endpoint-Schutz für Unternehmen.

Der Ratgeber rechnet mit belegten Richtwerten, echten Preisen aus unserem Shop und offengelegten Annahmen. Sie können jede Zahl mit Ihrer eigenen Mitarbeiterzahl nachrechnen.

IT-Sicherheit Budget im Mittelstand: Was Bitkom als Richtwert nennt

Die Bitkom-Studie Wirtschaftsschutz 2026 befragte 1.003 Unternehmen ab 10 Beschäftigten. Der Anteil der IT-Sicherheit am IT-Budget lag dort im Durchschnitt bei 18 Prozent, genau wie im Vorjahr. 2022 waren es laut Bitkom noch 9 Prozent.

Die Verteilung aus der Bitkom-Präsentation zur Studie ist aufschlussreich:

• 45 Prozent der Unternehmen erreichen 20 Prozent oder mehr.
• 40 Prozent liegen zwischen 10 und unter 20 Prozent.
• 6 Prozent liegen zwischen 5 und unter 10 Prozent.
• 4 Prozent geben weniger als 5 Prozent aus.

Laut der Bitkom-Presseinformation vom 28. Oktober 2026 liegt der Durchschnitt damit etwas unter dem von Bitkom und BSI empfohlenen Richtwert von 20 Prozent. Dieselbe Studie beziffert den jährlichen Schaden durch Datendiebstahl, Spionage und Sabotage auf mindestens 211 Milliarden Euro, 76 Prozent davon durch Cyberangriffe.

Wie viel sollte ein Mittelständler pro Mitarbeiter für IT-Sicherheit einplanen?

Ein belastbarer Euro-Wert pro Kopf existiert in den großen Studien nicht. Sinnvoll ist ein zweistufiger Ansatz: oben 20 Prozent des IT-Budgets als Richtwert, unten eine Pflichtausstattung pro Arbeitsplatz. Diese Grundausstattung aus Endpoint-Schutz und zwei Security Keys kostet in unserem Rechenmodell rund 80 Euro netto pro Kopf und Jahr, plus Firewall pro Standort.

Ein Rechenbeispiel für den Richtwert: Bei 100.000 Euro IT-Budget ergeben 20 Prozent 20.000 Euro. Bei 25 Beschäftigten sind das 800 Euro pro Kopf und Jahr. Davon sind die rund 80 Euro Grundschutz nur ein Zehntel, der Rest bleibt für Firewall, Backup, Schulung und MDR. Das IT-Budget selbst ist hier eine Annahme. Setzen Sie Ihre eigene Zahl ein.

Rechenmodell: Grundschutz für 25 Arbeitsplätze

Die Tabelle nutzt Preise aus dem Cyber Shop, Stand 8. November 2026, netto zuzüglich 19 Prozent MwSt. Bei den Sophos-Lizenzen gilt der Staffelpreis ab 10 Lizenzen für 12 Monate als Neulizenz.

Für 25 Arbeitsplätze kostet der Grundschutz rund 1.993 Euro netto im Jahr. Das sind 1.656 Euro für Sophos Endpoint Protection plus 337 Euro Jahresanteil der 50 Security Keys. Die Keys kosten einmalig 1.010 Euro, verteilt auf drei Jahre. Im ersten Jahr fließen deshalb rund 2.666 Euro ab, in den beiden Folgejahren nur die 1.656 Euro für die Lizenzen.

Ob ein MDR-Paket den Endpoint-Schutz bereits enthält, steht im jeweiligen Angebot. Prüfen Sie das vor der Bestellung, damit Sie nicht doppelt zahlen. Alle Lizenzen und Dienste des Herstellers finden Sie auf unserer Seite zu Sophos-Produkten.

Die WatchGuard Firebox T-Serie beginnt bei 452,85 Euro netto. Der Endpreis hängt von Modell und Lizenzlaufzeit ab. Welche Laufzeiten sich rechnen, zeigt unser Beitrag zu Firewall-Lizenzkosten.

Reihenfolge: Wofür das erste Geld ausgegeben wird

Ein knappes Budget wirkt am besten dort, wo viele Angriffe beginnen: bei Konten und Endgeräten. Wir empfehlen diese Reihenfolge:

1. MFA für alle Konten: Phishing-resistente Security Keys schützen E-Mail, VPN und Admin-Zugänge. Wie viele Keys Sie brauchen, erklärt unser Security-Key-Rollout.
2. Endpoint-Schutz: Jeder Rechner und Server braucht einen laufend gepflegten Schutz mit Verhaltenserkennung. Kriterien dafür stehen in unserem Ratgeber Endpoint Protection kaufen.
3. Backup mit Offline-Kopie: Ohne getrennte Sicherung kann Ransomware den Betrieb tagelang stoppen. Die Kosten hängen stark von der Datenmenge ab und fehlen deshalb im Rechenmodell.
4. Firewall pro Standort: Eine Next-Generation-Firewall trennt Netze und prüft eingehenden Verkehr.
5. Awareness-Schulung: Mitarbeitende erkennen Phishing besser, wenn sie es regelmäßig üben. Passende Angebote finden Sie unter Security Awareness.
6. MDR: Ein externes Team überwacht Alarme rund um die Uhr. Das lohnt sich, sobald intern niemand nachts und am Wochenende reagieren kann.

Wann MDR das Budget sprengt und wann es sich trägt

MDR ist im Rechenmodell der größte Posten pro Kopf. Bei 25 Lizenzen kostet Sophos MDR rund 3.384 Euro netto im Jahr, MDR Plus rund 5.622 Euro. Vergleichen Sie diese Summe mit dem, was eine eigene Rufbereitschaft für Sicherheitsalarme bei Ihnen kosten würde. Erst dieser Vergleich zeigt, ob der Dienst das Budget sprengt.

Sinnvoll ist MDR vor allem, wenn diese drei Punkte zutreffen:

• Es gibt keine eigene IT-Sicherheitsabteilung.
• Alarme laufen heute außerhalb der Bürozeiten ins Leere.
• Versicherer oder Kunden fragen nach Überwachung und Reaktionszeiten.

Kurz erklärt: EDR erkennt Angriffe auf dem einzelnen Gerät, XDR verknüpft mehrere Quellen, MDR heißt Überwachung durch ein externes Team. Mehr dazu im Überblick zu EDR, XDR und MDR. Die verfügbaren Dienste finden Sie in der Kategorie MDR-Services. Auch Cyber-Versicherer fragen viele dieser Bausteine ab, wie unser Beitrag zu den Anforderungen der Cyber-Versicherung zeigt.

Typische Fehler bei der Budgetplanung

Drei Muster kosten Mittelständler unnötig Geld:

• Einmalkauf ohne Laufzeit: Die Hardware ist bezahlt, die Lizenzverlängerung fehlt im Budget. Welche Funktionen dann wegfallen, regelt der jeweilige Hersteller.
• Alles auf ein Produkt: Eine starke Firewall ersetzt keinen Schutz auf dem Laptop im Homeoffice.
• Keine Reserve: Neue Mitarbeitende, Ersatz-Keys und zusätzliche Server tauchen im Budget nicht auf. Planen Sie einen Puffer von rund 10 Prozent ein.

Häufige Fragen zum IT-Sicherheitsbudget

Wie viel Prozent des IT-Budgets sollte in IT-Sicherheit fließen?

Laut Bitkom empfehlen Bitkom und BSI einen Richtwert von 20 Prozent. Der Durchschnitt deutscher Unternehmen lag laut Bitkom-Studie Wirtschaftsschutz 2026 bei 18 Prozent.

Wie viel Euro pro Mitarbeiter kostet IT-Grundschutz?

Rund 80 Euro netto pro Kopf und Jahr für Endpoint-Schutz und zwei Security Keys, plus Firewall pro Standort. Das ist unser Rechenmodell mit Shoppreisen, Stand 8. November 2026.

Was kostet Endpoint-Schutz pro Mitarbeiter?

Sophos Endpoint Protection kostet im Cyber Shop ab 10 Lizenzen 66,24 Euro netto je Lizenz für 12 Monate, Stand 8. November 2026.

Zählt die Firewall zum Budget pro Kopf?

Nein, die Firewall wird pro Standort gerechnet. Teilen Sie die Kosten durch die Zahl der Beschäftigten am Standort, wenn Sie einen Kopfwert brauchen.

Lohnt sich MDR schon für kleine Unternehmen?

Sophos MDR kostet ab 10 Lizenzen 135,37 Euro netto pro Kopf und Jahr, Stand 8. November 2026. Ob sich das lohnt, zeigt der Vergleich mit einer eigenen Rufbereitschaft.

Brauche ich wirklich zwei Security Keys pro Person?

Wir empfehlen es: Mit einem registrierten Zweitschlüssel bleibt die Anmeldung nach einem Verlust möglich, ohne auf SMS oder Passwort auszuweichen.

Fazit: Erst die Pflicht, dann die Kür

Ein realistisches IT-Sicherheitsbudget beginnt bei rund 80 Euro netto pro Kopf und Jahr für Endpoint-Schutz und MFA, plus Firewall pro Standort. Wer 20 Prozent des IT-Budgets erreicht, hat Spielraum für Backup, Awareness und MDR. Welche Bausteine bei Ihnen fehlen, klärt unser Produktberater in wenigen Schritten. Für ein Angebot mit Ihrer Mitarbeiterzahl nutzen Sie unser Kontaktformular.