Bayerns Unternehmen nach Größe
647.475 rechtliche Einheiten mit Sitz in Bayern zählt das Unternehmensregister für 2024, darunter Einzelunternehmer, Personen- und Kapitalgesellschaften mit Umsatzsteuervoranmeldung oder Beschäftigten. Bei 553.554 von ihnen arbeiten weniger als zehn abhängig Beschäftigte, das sind gut 85 Prozent. Die Zahlen stammen aus der Antwort der Bundesregierung in Bundestagsdrucksache 21/7502, Auswertungsstand 24.07.2026.
Dachorganisation der neun bayerischen Industrie- und Handelskammern ist der Bayerische Industrie- und Handelskammertag (BIHK). Im Handwerk gilt eine Verordnung von 1977: Die Bezirke der Handwerkskammern sind die Regierungsbezirke, nur Niederbayern und die Oberpfalz teilen sich die Handwerkskammer Niederbayern-Oberpfalz. So kommt Bayern auf sechs Handwerkskammern.
Das Landesamt für Datenschutzaufsicht in Ansbach
Bayern trennt die Datenschutzaufsicht: Für Unternehmen, Selbständige, Arztpraxen, Kanzleien, Vereine und andere nicht-öffentliche Stellen ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) zuständig, für Behörden der Bayerische Landesbeauftragte für den Datenschutz. Die Zahlen des BayLDA betreffen also nur den nicht-öffentlichen Bereich.
Laut seinem 15. Tätigkeitsbericht (März 2026) gingen 2025 beim BayLDA 3.603 Meldungen von Datenpannen ein, 23 Prozent mehr als im Vorjahr. Als typische Fälle nennt der Bericht Cyberangriffe, Ransomware, Softwarefehler sowie Verlust und Diebstahl. 524 Meldungen betrafen Ransomware bei bayerischen Verantwortlichen oder deren Dienstleistern. Knapp 400 meldeten Verantwortliche nach gehackten E-Mail-Konten und Phishing. In vielen dieser Fälle schrieben die Angreifer aus dem übernommenen Postfach nach Angaben der Betroffenen 1.000 bis 10.000 weitere Adressen an, auch bei fremden Firmen. Als Schwächen nennt das Amt unter anderem fehlende Mehrfaktor-Authentifizierung, fehlende Kontrolle der Anmeldungen und veraltete Software.
Vorläufig melden, später ergänzen
Über den Online-Service Datenschutzverletzung meldet ein Betrieb nach Art. 33 DSGVO. Steht das Risiko für die Betroffenen noch nicht fest, ist laut BayLDA eine vorläufige Meldung mit einer Risikoschätzung möglich, weitere Angaben folgen über die Funktion „Folgemeldung“. Nach dem Absenden erhält der Meldende eine Kennung, die als erster Nachweis samt Meldezeitpunkt dient.
Die DSGVO verlangt die Meldung unverzüglich und möglichst binnen 72 Stunden, nachdem die Panne bekannt wurde. Wer im Betrieb die Kennung aufhebt und die Folgemeldung schreibt, legen Sie am besten vorher fest.
Postfächer ehemaliger Beschäftigter
Aus Beschwerden früherer Mitarbeiter berichtet das BayLDA von Postfächern, die nach dem Ausscheiden weiterliefen. In einem Fall blieb ein persönliches Postfach mehrere Monate ohne Abwesenheitsnotiz aktiv, das Amt sprach eine Verwarnung aus. Es empfiehlt, im Offboarding zu regeln, ob und wie lange ein Postfach aktiv bleibt, wie mit vorhandenen und neuen Mails umgegangen wird und wer die Abwesenheitsnotiz einrichtet.
Die Checkliste Cyberfestung
Im Rahmen der bayerischen Cybersicherheitsstrategie hat das BayLDA 2025 die Checkliste Cyberfestung veröffentlicht, zehn Punkte als Prüfkriterien nach Art. 32 DSGVO, als PDF zum Herunterladen. Punkt 2 ist die Mehrfaktor-Authentifizierung: für Administratoren, für die Geschäftsleitung und für Cloud-Dienste bei allen Konten, ausdrücklich auch für Marketing, Vertrieb und Praktikanten. Das Amt geht nach seinem Bericht davon aus, dass sich bis zu 80 Prozent der Cyberangriffe mit bekannten, einfach umsetzbaren Maßnahmen verhindern ließen.
Polizei: die ZAC beim Bayerischen Landeskriminalamt
Für Unternehmen, Behörden, Vereine und Verbände mit Sitz in Bayern ist die Zentrale Ansprechstelle Cybercrime (ZAC) beim Bayerischen Landeskriminalamt der erste Kontakt nach einem strafrechtlich relevanten IT-Vorfall. Die ZAC bittet zuerst um einen Anruf: Ein Sachbearbeiter bewertet die Lage, empfiehlt Maßnahmen und leitet bei Bedarf ein Ermittlungsverfahren ein. Bürozeiten sind Montag bis Donnerstag 8 bis 16 Uhr und Freitag 8 bis 14 Uhr, Telefon 089 1212-3300. Läuft außerhalb dieser Zeiten ein Angriff, verweist die ZAC auf den Polizeinotruf 110.
Die ZAC gehört zur Cyberabwehr Bayern, einem Verbund mit dem Landesamt für Verfassungsschutz, der Generalstaatsanwaltschaft Bamberg, dem Landesamt für Sicherheit in der Informationstechnik und den beiden Datenschutzbehörden. Bei Angriffen fremder Staaten unterstützt das Cyber-Allianz-Zentrum des Verfassungsschutzes die Firmen.
Digitalbonus.Bayern: was er für IT-Sicherheit hergibt
Der Freistaat fördert mit dem Digitalbonus kleine Unternehmen der gewerblichen Wirtschaft mit weniger als 50 Beschäftigten, auch für die Einführung oder Verbesserung von Prozessen der IT-Sicherheit. Laut Ministerium läuft das Programm bis 31.12.2027, jeden Monat wird ein Kontingent freigegeben. Den Antrag stellt das Unternehmen selbst mit seinem ELSTER-Unternehmenskonto, Dienstleister dürfen das Zertifikat dafür nicht nutzen. Wie Sie das Zertifikat im Betrieb sicher verwahren, steht im Ratgeber ELSTER-Zertifikat und Mitarbeiter.
Drei Ausschlüsse sollten Sie vor der Planung kennen: Maßnahmen unter 4.000 Euro zuwendungsfähiger Ausgaben fördert das Programm nicht, ebenso wenig Vorhaben, für die schon ein Auftrag erteilt ist, auch mündlich. Freie Berufe und Arztpraxen sind nicht antragsberechtigt. Wartung und Server kosten im ersten Jahr zusammen rund 248 € (12 × 16,99 € Wartung plus ab 12 × 3,69 € Servermiete bei netcup, inkl. MwSt.), mit Backup-Paket rund 344 €. Für sich allein erreicht der Tresor die Grenze von 4.000 Euro also nicht.
Beispiel: Ein Zulieferer mit gekapertem Vertriebspostfach
Zulieferer im Maschinenbau zählt das BayLDA bei gehackten Postfächern zu den besonders gefährdeten Gruppen. Ein erfundener Fall: Ein Lohnfertiger für Drehteile mit 31 Beschäftigten im Zweischichtbetrieb. Ein Vertriebsmitarbeiter gibt sein Passwort auf einer nachgebauten Anmeldeseite ein. Zwei Tage später bekommen drei Kunden Rechnungen mit geänderter Bankverbindung, und im Postfach liegt eine Regel, die Antworten heimlich weiterleitet.
| Schritt | Welcher Zugang gebraucht wird | Wer ihn hat |
|---|---|---|
| Passwort ändern, Weiterleitungen und Regeln löschen | Admin-Konto beim Mailanbieter mit zweitem Faktor | Bisher nur der externe IT-Dienstleister, der diese Woche im Urlaub ist |
| Kunden warnen | Kundenliste aus der Warenwirtschaft, ein sicheres zweites Postfach | Vertriebsleitung |
| Anruf bei der ZAC, Meldung beim BayLDA | Telefonnummer, Online-Service, Ablage für Kennung und Folgemeldung | Geschäftsführer |
| Altes Postfach prüfen | Postfach eines Kollegen, der im Frühjahr ging und noch aktiv ist | Niemand weiß das Passwort |
In zwei der vier Zeilen fehlt der Zugang genau dann, wenn er gebraucht wird. Was nach einem übernommenen Postfach der Reihe nach zu tun ist, beschreibt der Ratgeber Firmen-E-Mail gehackt.
Was ein gemeinsamer Tresor daran ändert
Im Tresor legt der Geschäftsführer Sammlungen für Geschäftsführung, Vertrieb, Fertigung und IT an. Das Admin-Konto des Mailanbieters liegt in der Sammlung IT, auf die er selbst und der IT-Dienstleister zugreifen. Der Dienstleister bekommt dafür ein eigenes Konto ohne Aufpreis. Den Notfallzugang erhält der Fertigungsleiter, der im Alltag keinen Zugriff auf die Sammlung Geschäftsführung hat. Weil der Geschäftsführer Eigentümer der Organisation im Tresor ist, sieht der Fertigungsleiter nach der Übernahme seines Kontos auch alle Sammlungen, die dem Geschäftsführer zugewiesen sind. Wartezeit und Ablauf legen wir bei der Einrichtung fest.
Die Browser-Erweiterung schlägt Zugangsdaten nur auf der Domain vor, für die sie gespeichert sind. Auf einer nachgebauten Anmeldeseite unter fremder Adresse bleibt der Vorschlag deshalb aus. Das hilft beim Erkennen, eine Garantie gegen Phishing ist es nicht. Bestätigungscodes für gemeinsam genutzte Konten, etwa ein Kundenportal, liegen beim Eintrag im Tresor. Am Tresor selbst gilt eine Zwei-Faktor-Pflicht für alle Mitarbeiter. Eigentümer und Administratoren richten den zweiten Faktor selbst ein. Wie Sie den zweiten Faktor im ganzen Betrieb einführen, beschreibt der Ratgeber Zwei-Faktor im Unternehmen einführen.
Wenn jemand geht, sperrt der Geschäftsführer dessen Tresorkonto selbst. Welche Postfächer und Zugänge danach zu ändern sind, listet die Checkliste Mitarbeiter verlässt die Firma.
Der Tresor läuft auf einem Server, den Ihre Firma bei netcup mietet, die Inhalte sind Ende-zu-Ende-verschlüsselt und für uns nicht lesbar. Für 7,99 € im Monat inkl. MwSt. kommt auf Wunsch das Backup-Paket dazu, mit täglicher Sicherung außerhalb des Servers. Ohne dieses Paket sichern wir nicht. Den Tresor exportieren Sie dann selbst verschlüsselt, das Vorgehen erklären wir bei der Einrichtung.
Hinweis: Dieser Text ist keine Rechtsberatung und keine Förderberatung. Ob eine Panne meldepflichtig ist und ob ein Vorhaben gefördert werden kann, klären Sie im Einzelfall, beim Datenschutz mit Ihrem Datenschutzbeauftragten oder dem BayLDA, bei der Förderung mit Ihrer Bezirksregierung.
Ihre Ausgangslage sehen wir uns gern im kostenlosen Erstgespräch (15 Minuten) an, telefonisch oder per Video.
Anlaufstellen für Firmen in Bayern
| Datenschutz-Aufsicht für Firmen | Bayerisches Landesamt für Datenschutzaufsicht |
|---|---|
| Polizei bei Cyberangriffen auf Firmen | Zentrale Ansprechstelle Cybercrime (ZAC) des Bayerischen Landeskriminalamts |
| Industrie- und Handelskammern | 9 IHKs im BIHK |
| Handwerkskammern | 6, Bezirke nach Regierungsbezirken |
| Zentralstelle Cybercrime Bayern | Generalstaatsanwaltschaft Bamberg |
| Unternehmen | 647.475, davon 553.554 mit weniger als 10 Beschäftigten (2024) |
Wir betreuen Firmen in Bayern per Fernwartung aus Dresden. Einrichtung, Updates und Abstimmung laufen über das Internet, das kostenlose Erstgespräch am Telefon oder per Video.
Quellen: Deutscher Bundestag, Drucksache 21/7502 (Unternehmensregister 2024 nach Ländern); Bayerisches Landesamt für Datenschutzaufsicht, 15. Tätigkeitsbericht 2025; BayLDA, Checkliste Cyberfestung; Bayerische Polizei, Zentrale Ansprechstelle Cybercrime für die Wirtschaft; Bayerisches Wirtschaftsministerium, Förderprogramm Digitalbonus.Bayern. Stand: 14.10.2026.