Das Bundesministerium für Wirtschaft und Energie lässt Mittelständler im Mai 2026 ihre IT-Systeme kostenlos auf KI-gestützten Wegen prüfen. Träger ist die Transferstelle Cybersicherheit, ein Konsortium aus FZI Forschungszentrum Informatik, Leibniz Universität Hannover und der Magdeburger tti GmbH. Die bisherigen Ergebnisse sind unbequem: Bei 73 Prozent der bisher getesteten Betriebe fanden die Analysen kritische Konfigurationslücken, die intern niemandem aufgefallen waren (Quelle: mybusinessfuture.com).
Was die Transferstelle anbietet
Hinter dem Aktionsmonat „mAI” steht der Förderschwerpunkt Mittelstand-Digital des BMWE, der KMU seit Jahren bei IT-Themen unterstützt. Die Teilnahme ist für Unternehmen mit bis zu 250 Mitarbeitern gratis, Branche egal. Drei Bausteine bilden den Kern: ein automatisierter Netzwerk-Check auf bekannte Schwachstellen und offene Ports, eine Prüfung der E-Mail-Authentifizierung (DMARC, DKIM, SPF) und eine Konfigurationsanalyse für Microsoft 365 oder Google Workspace. Anmeldung läuft direkt über die Webseite der Transferstelle Cybersicherheit oder über die regionalen IHKs. Begleitend hat der Bundesverband mittelständische Wirtschaft (BVMW) im Mai vier einstündige Webimpulse zu KI-Compliance, Phishing-Erkennung mit NotebookLM, Cybersicherheit als Führungsaufgabe und KI-getriebener Cyberkriminalität organisiert (Quelle: presseportal.de).
Was die KI-Scans bisher gefunden haben
Die Zahlen, die das Magazin MyBusinessFuture aus den Daten der Transferstelle aufbereitet hat, zeichnen ein klares Bild. Seit dem Start des Programms im Jahr 2024 wurden über 1.200 Betriebe analysiert. Bei 73 Prozent fanden die KI-Tools mindestens eine kritische Konfigurationslücke, die im Unternehmen niemand auf dem Schirm hatte. Häufige Befunde betreffen unsichere Cloud-Berechtigungen in Microsoft 365 oder Google Workspace, falsch konfigurierte E-Mail-Authentifizierung und veraltete Software in Hintergrunddiensten. Die durchschnittliche Scan-Dauer liegt bei rund 2,8 Stunden pro Netzwerk. Für eine Geschäftsführerin, die bisher davon ausging, dass die eigene IT „läuft”, sind das harte Zahlen.
Was konkret im Scan steckt
- Externer Netzwerk-Scan: bekannte CVEs, offene Ports, exponierte Dienste
- E-Mail: DMARC-, DKIM- und SPF-Validierung für die genutzten Mail-Domains
- Cloud-Konfiguration: Microsoft 365 oder Google Workspace auf zu weit gefasste Berechtigungen und fehlende MFA
- Auswertung mit konkreten Empfehlungen je Fund, sortiert nach Risiko
- Begleitmaterial der BVMW-Webimpulse über die Transferstelle abrufbar (Aufzeichnung)
Wo der kostenfreie Scan endet
Wer sich von dem Angebot eine fertige Sicherheitsabteilung erhofft, wird enttäuscht. Die Transferstelle selbst und unabhängige Analysen sind eindeutig: Der KI-Scan ersetzt keinen Penetrationstest, deckt keine Zero-Day-Lücken auf und ist kein Schutz gegen gezieltes Social Engineering. Er ist ein Lichtschalter im dunklen Serverraum, nicht die Komplettsanierung. Die eigentliche Arbeit beginnt nach dem Bericht. Die Umsetzung der Befunde kostet bei externen Dienstleistern typischerweise zwischen 500 und 3.000 Euro pro Punkt, je nach Komplexität (Quelle: mybusinessfuture.com). Für einen Mittelständler mit Microsoft 365 und einer Handvoll Cloud-Anwendungen summiert sich das schnell. Wer den Bericht in der Schublade verschwinden lässt, hat dem nächsten Angreifer faktisch einen handsignierten Schwachstellen-Katalog geliefert.
Was das für KMU bedeutet
Wer 2026 noch nicht sicher sagen kann, wie der eigene Microsoft-365-Tenant konfiguriert ist und ob die Mails aus der Buchhaltung valide signiert werden, sollte das Angebot in den verbleibenden Mai-Tagen nutzen. Die Anmeldung ist in 30 Minuten gemacht, der Scan läuft im Hintergrund, und der Bericht legt im Klartext offen, wo es brennt. Schwieriger ist der zweite Schritt. Handwerksbetriebe, Pflegedienste, Praxen, Schulen und kleinere Agenturen haben in der Regel keine eigene IT-Sicherheit im Haus, und reine Tool-Lösungen aus dem App-Store decken bestenfalls Teile ab. Sinnvoller ist es, für die zwei oder drei kritischsten Befunde ein konkretes Umsetzungsangebot einzuholen, idealerweise von jemandem, der das Tool-Stack und die Prozesse des Betriebs versteht und dabei die DSGVO im Blick hat. Die 73 Prozent aus den Vorjahres-Scans zeigen, dass die Wahrscheinlichkeit hoch ist, dass es davon mehr gibt als gedacht.
Quellen
