A1 Business Security Studie 2025: Mensch bleibt das größte Sicherheitsrisiko

✨ AI Kontextualisierung

Phishing, KI-Angriffe und veraltete Systeme: Die neue A1 Business Security Studie 2025, durchgeführt vom Meinungsforschungsinstitut Integral im Auftrag von A1, zeigt, wo Österreichs Unternehmen bei IT-Sicherheit noch Nachholbedarf haben und warum digitale Souveränität zur Standortfrage wird.

Unterschätztes Risiko Mensch

Fast jedes zweite Unternehmen sieht das unvorsichtige Verhalten von Mitarbeiter:innen als größte Gefahr für die eigene Sicherheit – noch vor KI-Angriffen (45 %) und veralteten Systemen (44 %).
„Das größte Risiko sind die eigenen Mitarbeiter:innen, die nicht wissen, welche Bedrohungen auf sie zukommen“, sagt Martin Mayr, Mitglied der Geschäftsführung bei Integral. Besonders kleine Betriebe organisieren ihre IT-Sicherheit oft ausschließlich intern: „45 Prozent machen alles im Haus – bei Kleinstbetrieben sind es sogar über 60 Prozent.“

Viele Firmen unterschätzen laut Mayr auch, was ein Cyberangriff kosten kann. Nur ein Drittel hat die potenziellen Finanzfolgen tatsächlich durchgerechnet. „Wer die Folgen eines Angriffs nicht kennt, kann auch keine Prioritäten setzen. Dabei können die Schäden schnell in die Millionen gehen.“

Veraltete und ungepatchte Systeme

Neben menschlichen Fehlern zählen veraltete Systeme zu den größten Schwachstellen. „Rund 40 Prozent der Betriebe haben keine moderne Sicherheitsarchitektur implementiert“, so Mayr.
Von „ungepatchten Systemen“ spricht man, wenn Software nicht regelmäßig aktualisiert wird. Diese Updates – sogenannte Patches – schließen bekannte Sicherheitslücken, über die Angreifer ins System eindringen können. Besonders kleine Unternehmen verzichten oft aus Unsicherheit oder Ressourcengründen auf Updates – ein Risiko, das massiv unterschätzt wird.

KI verändert das Bedrohungsbild

84 Prozent der Unternehmen erwarten eine Zunahme von Phishing-Angriffen, 82 Prozent rechnen mit KI-gestützten Attacken. Für Martin Resel, stellvertretender Vorstandsvorsitzender von A1 Österreich , ist das Ausdruck einer neuen Realität: „Früher ging es um Ransomware und Lösegeldforderungen. Heute sehen wir zunehmend staatlich gestützte Angriffe, die Lieferketten stören oder Standorte schwächen.“ KI erleichtere solche Angriffe: Durch Deepfakes oder automatisierte Phishing-Mails können Angriffe massenhaft erfolgen.

Digitale Souveränität als Standortfrage

78 Prozent der befragten Unternehmen erwägen laut Studie, künftig auf europäische Cloud-Alternativen umzusteigen. Hintergrund sind rechtliche Risiken durch den US CLOUD Act, der US-Behörden potenziell Zugriff auf Daten gewährt – auch wenn diese in Europa liegen.
„Viele Kunden fragen heute ganz konkret: Unterliegt das Rechenzentrum dem US-Recht oder nicht?“, erklärt Resel.

A1 setzt daher auf eine hybride Cloud-Strategie: Neben globalen Hyperscalern wie Microsoft oder AWS bietet das Unternehmen mit Exoscale eine europäische Cloud-Plattform mit Rechenzentren in Wien, Zürich, Frankfurt, Zagreb und Sofia. Damit können Daten vollständig innerhalb der EU bleiben – sicher, DSGVO-konform und unabhängig von amerikanischer Judikatur.

Kosten und Grenzen europäischer Lösungen

Resel betont, dass europäische Lösungen nicht nur sicherer, sondern oft auch kostengünstiger seien: „Viele basieren auf Open Source und verrechnen nicht nach Volumen, sondern nach Lizenz – das ist ökonomisch attraktiver.“ A1 betreibt etwa seine Contact-Center-Anwendungen mit europäischen Modellen wie Mistral oder Aleph Alpha auf Exoscale – aus Gründen der Souveränität und der Kosteneffizienz.

Technologisch seien die USA und Asien jedoch noch voraus. „Sie investieren um ein Vielfaches mehr in Daten und Entwicklung. Europäische Modelle sind günstiger, aber oft weniger tief integriert“, sagt Resel. Besonders bei Microsoft Copilot zeige sich das: „Wer auf Microsoft setzt, bekommt eine nahtlos eingebundene Lösung“. Das könnten europäische Systeme derzeit kaum leisten.

Hybride Strategie als realistischer Weg

Eine komplette Abkehr von US-Anbietern hält Resel daher für unrealistisch. „Eine digitale Autarkie Europas ist aktuell wirtschaftlich nicht möglich. Aber: Für sensible Unternehmensdaten braucht es eine hybride Strategie, die sich an der Kritikalität der Daten orientiert.“

Kritische Applikationen sollen auf europäischen Plattformen laufen, produktive Tools mit hoher Integration könnten hingegen global betrieben werden. Entscheidend sei, so Resel, „dass Unternehmen genau wissen, welche Daten wo liegen und welche rechtlichen Rahmenbedingungen gelten“.

Dieser Text ist zuerst im brutkasten-Printmagazin von Mai 2026 „Die nächste Stufe“ erschienen. Eine Download-Möglichkeit des gesamten Magazins findet sich am Ende dieses Artikels.

Wer das neoom-Headquarter in Freistadt betritt, blickt zuerst nach oben: Im Eingangsbereich hängt ein Astronaut von der Decke, daneben führt eine Wendeltreppe empor, die an eine startende Rakete erinnert. Das Gebäude trägt den Namen „Free City“. Walter Kreisel, neoom-Gründer und seit Anfang des Jahres nicht mehr CEO, nennt es „Freistadt neu interpretiert als Raumschiff“ – mit Stadtmauer, grünem Turm, Stadtgraben und Zugbrücke.

Außen setzt sich diese Konsequenz fort: Schwarze Photovoltaikmodule nord-, ost-, west- und südseitig, dazu am Dach; rund 400 Kilowatt verteilt auf eine Bauwerkshülle, die zuerst Strom produziert und den Überschuss im 1,2 Megawattstunden großen Speicher zwischenlagert. Davor: ein Parkplatz, auf dem fast jedes Fahrzeug ein Elektroauto ist, fünfzig Ladestationen. Rund hundert neoom-Mitarbeiter:innen arbeiten hier auf 780 Quadratmetern, weitere hundert verteilt auf andere Standorte. 80 bis 85 Prozent der verbrauchten Energie produziert das Gebäude selbst.

Es ist eine Inszenierung, die Kreisels Stil als CEO über acht Jahre präzise zusammenfasst: Vision, Symbolik, Größe. Umso bemerkenswerter, dass dieser Mann seit Februar nicht mehr operativ verantwortlich ist – er hat das Steuer übergeben; an Nikolas Iwan, der zuvor bei Shell, H2 MOBILITY und McKinsey in Führungspositionen die Energiewende mitgestaltet hat. Mitte April 2026, am Tag des neoom-Live-Events, zu dem die wichtigsten Geschäftspartner – die „Power Partner“ – nach Freistadt anreisen, übernimmt erstmals Iwan die Hauptbühne. Kreisel hat sich am informellen Abend zuvor bewusst zurückgehalten.

„Wenn Walter gestern aufgetaucht wäre, hätte sich vieles auf ihn konzentriert“, sagt Iwan. „Er hat die Beziehungen zu den Power Partnern aufgebaut. Wir haben uns vorher abgestimmt.“ Diese Abstimmung – wer wann sichtbar ist, wer wo nicht auftaucht – ist seit Monaten Teil des täglichen Geschäfts der beiden. Sie ist der Grund, warum das Unternehmen den Wechsel an der Spitze bisher reibungslos gemeistert hat.

Denn ein CEO-Wechsel ist für ein Scaleup eine der riskantesten Operationen überhaupt. „Du hast dauerhaft den Zünder einer ungesicherten Handgranate in der Hand“, sagt Kreisel. „Wenn du da nicht stabil bist, sprengt es dir das Unternehmen; weil der Prozess völlig undefiniert abläuft – und ein massives Risiko ist.“

Das Tabuthema

Kreisels offene Worte sind selten – obwohl es zuletzt einige ähnliche Fälle gab. Im November 2025 gab Bitpanda-Mitgründer Eric Demuth seine Co-CEO-Rolle ab und wechselte als Executive Chairman in den Verwaltungsrat; Lukas Enzersdorfer-Konrad führt das Krypto-Unicorn nun allein. Im Januar 2026 zog sich Prewave-Mitgründerin Lisa Smith aus der Geschäftsführung zurück, ihr Co-Founder Harald Nitschinger übernahm die alleinige operative Verantwortung. Drei prominente Fälle innerhalb weniger Monate – das deutet auf einen Trend hin.

Während in den USA der Wechsel vom Gründer-CEO zum professionellen Manager als normaler Skalierungsschritt gilt – Investor Hermann Hauser hat wiederholt darauf hingewiesen, dass Europa nicht nur ein Kapital-, sondern auch ein Management-Problem habe –, herrscht hierzulande Schweigen über das Wie. „Bei Herr und Frau Österreicher ist so etwas ein Tabuthema“, sagt Kreisel. „Der Eigentümer ist Geschäftsführer bis zu seinem Tod, dann macht der Sohn oder die Tochter weiter.“

Witzigerweise ist der CEO ein massives Tabuthema. Aber an COO, CFO – da wird permanent rumgeschraubt.

Die Reaktionen auf seine Ankündigung im Februar bestätigen das. In der Region Freistadt wurde gefragt: „Haben sie ihn rausgehaut?“ In der Startup-Bubble wurde gefragt: „Wie viel Geld hast du rausgezogen?“ Dass der Gründer freiwillig in den Aufsichtsrat wechselt und keine Anteile verkauft hat, passte nicht ins gängige Schema. „Vom Aufsichtsrat über die Berater bis zu den Headhuntern: Niemand kennt sich aus“, kritisiert Kreisel. „Das war ein leerer Wald, ohne Baum und ohne Holz.“ Best-Practice-Modelle? Fehlanzeige. „Witzigerweise ist der CEO ein massives Tabuthema. Aber an COO, CFO – da wird permanent rumgeschraubt“, ergänzt Iwan.

Acht Jahre – ein Kilimandscharo

Schon während seines MBA-Studiums habe er sich mit Nachfolge beschäftigt, sagt Kreisel. Konkreter wurde es, als neoom vom freiwilligen Advisory Board zum echten Aufsichtsrat überging und schließlich zur AG wurde. Mitte 2023 entschied sich Kreisel, an der Donau-Universität Krems eine Ausbildung zum zertifizierten Aufsichtsrat zu absolvieren; nicht als formaler Akt, sondern um die Rolle in der Tiefe zu verstehen. Im Frühjahr 2025 schloss er ab.

Parallel begann ein bewusster persönlicher Reset – nach acht intensiven Jahren symbolisch verankert in einer Bergbesteigung. Es war der Kilimandscharo, ein 18 Jahre alter Traum, den Kreisel öffentlich als sein Ziel nach dem CEO-Ausstieg kommunizierte.

Die CEO-Suche selbst lief über eine internationale Executive-Search-Firma. Aus einer Longlist wurde eine Shortlist von sieben Kandidat:innen, am Ende blieb Iwan – obwohl er die entscheidende LinkedIn-Nachricht der Recruiterin beinahe übersehen hätte: „Die Nachricht kam am 30. Juni. Erst am 18. Juli habe ich sie zufällig gesehen – und bin gerade noch auf den Zug aufgesprungen“, erinnert sich Iwan. In der zweiten Interview-Runde lernten sich Kreisel und Iwan persönlich kennen. Die offizielle Zeit war nach 45 Minuten vorbei – sie redeten noch eine halbe Stunde weiter.

„Ich war noch nicht bereit“

Rückblickend würde Kreisel den Prozess sogar früher anstoßen, sagt er. Iwan widerspricht lachend: „Also ich wäre noch nicht bereit gewesen!“ Der Satz verweist darauf, dass Iwans Werdegang genau jetzt in die Rolle passte: Acht Jahre bei Shell in unterschiedlichen Managementpositionen, zuletzt als Country Manager für das Tankstellengeschäft in Österreich. 2016 der Wechsel als CEO zum deutschen Wasserstoff-Startup H2 MOBILITY, das er bis 2023 führte. Anschließend Geschäftsführer bei ennoo Rental in Berlin und als Senior Advisor bei McKinsey.

Dass Iwan ausgerechnet aus der Wasserstoffwelt zu einem Strom-Scaleup wechselt, ist kein Zufall – „ich komme aus der Molekülwelt“, sagt er. „Über 80 Prozent der Energie werden in Molekülform bewegt. Aber wir stehen am Beginn des Elektronen-Zeitalters.“

Bei H2 MOBILITY habe er sieben Jahre lang erlebt, dass Wasserstoff „nicht so schnell kommt, wie wir damals dachten“. Im Stromspeicher-Markt ist das Tempo ein anderes: 2025 wuchs der europäische Batteriespeichermarkt nach Daten von SolarPower Europe um 45 Prozent gegenüber dem Vorjahr; seit 2021 hat sich die installierte Kapazität auf 77,3 Gigawattstunden verzehnfacht
. BloombergNEF prognostiziert für 2026 weltweit 33 Prozent Zuwachs. Bis 2030 erwarten Analysten eine weitere Verzehnfachung. Entsprechend hoch sei allerdings auch der Wettbewerb bereits, merkt Iwan an

Sichtbarkeit als Strategie

Die heikelste Phase eines Wechsels ist nicht die Auswahl des Nachfolgers, sondern die Choreografie danach. „Es muss einen Cut geben“, sagt Kreisel, „sonst wird die Rollenveränderung durch die natürlichen Emotionen ein Stück weit überschrieben.“ Iwan formuliert nüchterner: „Wenn Walter jeden Tag hier rumlaufen würde, würden diese informellen Verbindungen meine Autorität ganz leicht unterminieren; obwohl alle wissen, dass es formal nicht mehr so ist.“ Deshalb stimmen sich die beiden vor jedem öffentlichen Auftritt ab. Es ist eine Disziplin, die Kreisel sich abverlangen muss: „Ich stehe auch gerne im Mittelpunkt. Aber es ist gerade wichtig, dass ich es nicht mehr bin – sonst funktioniert das Loslösen gar nicht.“ Gleichzeitig hat sich Iwan bemüht, die DNA des Unternehmens nicht anzutasten. Er nennt sich „neoomian“, trägt die Firmenkleidung.

„Normalerweise ist das Erste, was ein neuer Vorstand macht: Logo ändern, Vision umformulieren. Da gehen zwei Jahre drauf, in denen man sich gar nicht auf das Wesentliche konzentriert“, sagt Kreisel. „Dass Nikolas das nicht macht, ist ein riesiger Unterschied. Es zeigt, wie stark er sich mit der Vision und vor allem der Mission des Unternehmens und mit der Leidenschaft des Teams identifiziert.“

„It’s not about strategy, it’s about execution“

Inhaltlich hat Iwan in seiner ersten Aufsichtsratssitzung im März 2026 einen klaren Rahmen gesetzt: „Es geht nicht um Strategie – es geht um Umsetzung.“ Vision, Produktportfolio, Zielmärkte – all das stehe. Was fehle, sei methodische Umsetzungsstärke. In den ersten sechs Wochen habe er vor allem zugehört: „Ich saß stundenlang in den Wohnzimmern von Endkund:innen, habe den Vertrieb begleitet, mit Partnern und Industriekunden gesprochen.“ Erst danach wurden gemeinsam mit dem Management sechs Prioritäten für drei Monate festgelegt – inspiriert von OKR-Methoden. Intern werden sie „ROKKS“ genannt, visualisiert als sechs Berggipfel.

Es ist genau jener konsequente Stil, den Kreisel im eigenen Führungsverhalten als Schwachstelle identifiziert: „Diese Konsequenz habe ich als Gründer nicht immer eingehalten. Ein Markt, der jetzt anstrengender ist, braucht jemanden, der mehr Erfahrung mitbringt.“ Iwan formuliert den Unterschied: „Walter hat Ideen, die so stark sind, dass sie manchmal einfach rausmüssen, auch wenn kurz vorher noch eine andere wichtig war. For the good kannst du damit ein Unternehmen gründen; for the bad ist das in der täglichen Führung schwierig.“

Deutschland, Konsolidierung, schwarze Null

Operativ steht 2026 unter klaren Vorzeichen: organisches, profitables Wachstum, keine Hyperscale-Vorhaben. Österreich, wo neoom Marktführer ist, soll konsolidiert werden. Den eigentlichen Hebel sieht Iwan in Deutschland. Das mag überraschen, denn Deutschland gilt als der weiter entwickelte Markt. Beim regulatorischen Rahmen ist es aber umgekehrt: Während Österreich bei der Smart-Meter-Durchdringung bei rund 90 Prozent liegt, sei sie in Deutschland im einstelligen Prozentbereich, sagt Iwan. Energiegemeinschaften sind in Österreich seit Jahren etabliert, in Deutschland gibt es sie noch gar nicht. „Da können wir mit dem Absender Österreich punkten.“ Der Markt selbst sei riesig und weitgehend unbearbeitet. Erst zwei von zehn Dächern in Österreich tragen Photovoltaik, nur eines von zehn Gebäuden hat einen Stromspeicher. „Die Branche hat eigentlich noch alles vor sich“, sagt Kreisel. „Das war kurz gehypt mit Greta und Putin; jetzt mit dem Iran. Aber es ist nicht mehr so sexy, weil KI alle Aufmerksamkeit zieht.“

Wie konsequent neoom aufgestellt ist, zeigt ein Gang durchs Headquarter: ein Schaltschrankraum mit 1,2 Megawatt Netzanschluss, ein eigenes Hochvolt-Testlabor in Holzbau, eine Holzkiste, in der nach Kreisels Worten „neoom eigentlich begonnen hat“. Das Unternehmen entwickelt selbst Software, testet und integriert Hardware. Verkauft wird über Partner: Rund 20% der Installationsbetriebe machen 80 Prozent des Umsatzes, über 200 sind registriert. Das Geschäftsmodell ist B2B2C.

Oberstes Ziel für 2026: Profitabilität aus eigener Kraft. Eine konkrete Zahl wollen die beiden nicht nennen. „Profitabilität, ein wertvolles Unternehmen – das ist das oberste Ziel“, sagt Kreisel. „Darum ist das auch kein Rückschritt, sondern ein Anlauf; ein Anlauf, um in einer Branche, die noch gar nicht richtig gestartet hat, mit voller Kraft loszulegen.“

KI als Hebel

Eine zentrale Rolle spielt KI – nicht als Buzzword, sondern als Werkzeug für Effizienzgewinne. neoom hat knapp 100.000 Geräte an über 16.000 Standorten in seiner Cloud zu einem virtuellen Kraftwerk vernetzt. Diese Software-Schicht ist nach Iwans Überzeugung ein zentraler Enabler. „Hardware-Innovation kommt von externen Zulieferern. Aber die Innovationskraft im Software-Bereich entsteht bei uns Inhouse – und zeichnet uns gegenüber Wettbewerbern aus.“ Der KI-Hebel sei dramatisch: zwischen 50 und 1.000 Prozent Effizienzsteigerung in der Code-Entwicklung, je nach Review-Tiefe. Kreisel ergänzt: „Wir haben in den letzten Jahren genügend Ressourcen in Software investiert. Und wir haben keine Legacy. Das ist heute, mit KI, plötzlich unfassbar relevant.“

Was das österreichische Startup-Ökosystem lernen kann

Sowohl Kreisel als auch Iwan verstehen das, was sie gerade durchlaufen, als Beitrag zu einer offeneren Diskussion. „Ich glaube, viele würden Geld dafür bezahlen, diese Learnings zu hören“, sagt Kreisel. Was es brauche, seien sichtbare Best-Practice-Fälle. Iwan nennt einen strukturellen Grund, warum europäische Scaleups beim CEO-Thema zögern: „Es hängt mit dem knappen Kapital und dem Horizont der Investoren zusammen. Die erste Euphorie ist riesig. Dann läuft es nicht so wie gedacht – und die Euphorie ist plötzlich ganz klein.“ Statt pragmatisch nach Stellschrauben zu suchen, werde dann das Unternehmen als Ganzes infrage gestellt – nur die CEO-Frage bleibe das letzte Tabu.

Für neoom kommt jetzt die eigentliche Bewährungsprobe: das Hochfahren in einen Markt, der aufwärts geht – mit einem Team, das eine Konsolidierungsphase hinter sich hat, und einem Gründer im Aufsichtsrat, der sich bewusst zurücknimmt, ohne wegzugehen. Sein Nachfolger sieht die Aufgabe als langfristig an: „Ich bin hier, um zu bleiben“, sagt Iwan.