2025 Bericht zur Sicherheit von Web-Formularen

Ihre Web-Formulare erfassen Ihre sensibelsten Daten: Kundenanmeldedaten, Finanzunterlagen, Gesundheitsinformationen, amtliche Ausweisdokumente. 44% der Unternehmen haben in den letzten zwei Jahren bestätigte Datenschutzverstöße über diese Formulare erlitten.

Der 2025 Data Security and Compliance Risk: Annual Data Forms Survey Report analysierte die Antworten von 324 Fachleuten aus den Bereichen Cybersecurity, Risiko, IT und Compliance. Die Ergebnisse zeigen eine kritische Lücke: Unternehmen bewerten ihre Sicherheit als fortgeschritten, aber Vorfälle treten dennoch auf. 88% hatten in den letzten 24 Monaten mindestens einen Sicherheitsvorfall mit Web-Formularen.

wichtige Erkenntnisse

1. Sicherheitsreife verhindert keine Formular-Verstöße. Unternehmen, die ihre Sicherheit als fortgeschritten oder führend einstufen, berichten dennoch von einer Vorfallquote von 87%. Die Lücke zwischen der eigenen Einschätzung und der tatsächlichen Verhinderung von Verstößen zeigt, dass traditionelle Sicherheitskontrollen versagen, wenn sie nicht konsequent auf Legacy-, eingebettete und abteilungsbezogene Formulare angewendet werden – genau diese werden von Angreifern gezielt attackiert.
2. Datenhoheit ist zur unverzichtbaren Anforderung geworden. 85% der Unternehmen bewerten Datenhoheit als kritisch oder sehr wichtig, wobei Behörden (94%), Finanzdienstleister (93%) und das Gesundheitswesen (83%) die Anforderungen anführen. Unternehmen benötigen Nachweise, dass Daten innerhalb genehmigter Jurisdiktionen bleiben – vage Versprechen zur Cloud-Infrastruktur reichen nicht mehr aus. Diese Fähigkeit entscheidet über die Auswahl oder Ablehnung eines Anbieters.
3. Erkennung ohne Reaktion führt zu gefährlichen Verzögerungen. 82% verfügen über Echtzeit-Bedrohungserkennung, aber nur 48% über automatisierte Reaktionen – eine Lücke von 34%, in der Angriffe zwar erkannt werden, aber manuelle Tickets und Koordination zur Abwehr nötig sind. Angreifer agieren schneller als manuelle Prozesse, sodass aus der Aufklärung Datenabfluss wird, bevor eine Eindämmung erfolgt.
4. Mobile Formulare sind die größte ungeschützte Angriffsfläche. 71% der Unternehmen erhalten 21% bis 60% der Formulareinsendungen über mobile Geräte, doch mobile Sicherheitskontrollen hinken der Nutzung deutlich hinterher. Desktop-Workflows werden sicherheitsüberprüft und penetriert, während mobile Abläufe diese Prüfungen oft umgehen – so entstehen Lücken bei Passwort-Resets, Identitätsprüfungen und Anmeldeformularen für Leistungen.
5. Investitionen in Formularsicherheit zeigen strategischen Kurswechsel. 83% investieren jährlich mindestens 100.000 US-Dollar in Formularsicherheit, 48% sogar 250.000 US-Dollar oder mehr – getrieben durch aktuelle Vorfälle (82%), regulatorische Anforderungen (76%) und Kundennachfrage (69%). Formularsicherheit ist von der IT-Wartung zur strategischen Initiative auf Vorstandsebene geworden; 71% planen die Umsetzung innerhalb von sechs Monaten.

Es geht nicht darum, einfach ein weiteres Sicherheitstool einzuführen. Das Problem ist grundsätzlicher: Unternehmen haben ihre Formular-Infrastruktur auf Komfort statt auf Schutz ausgelegt – und zahlen jetzt den Preis dafür.

Confidence-Reality Gap

64% der Unternehmen beschreiben ihre Sicherheitsreife als fortgeschritten oder führend. Doch die tatsächlichen Vorfallzahlen entlarven diese Selbsteinschätzung.

Auch Unternehmen mit „fortgeschrittenen“ Sicherheitsprogrammen melden eine Vorfallquote von 87%. Bei „führenden“ Programmen sind es 83%. Der Unterschied zwischen „grundlegend“ und „führend“ beträgt nur 12 Prozentpunkte.

Diese Lücke zeigt: Traditionelle Sicherheitskontrollen wirken nur bei konsequenter Anwendung – doch daran scheitern die meisten Unternehmen. Sie sichern ihre Hauptplattform, lassen aber Legacy-Formulare, eingebettete und abteilungsbezogene Formulare ungeschützt.

Angriffsmuster, die Formular-Schwächen ausnutzen

Angreifer wissen, wo sie suchen müssen – sie zielen auf die Formulare, die Sie vergessen haben.

61% der Unternehmen waren Bot- und automatisierten Angriffen ausgesetzt. Das sind keine simplen Spam-Bots: Moderne Angriffe prüfen schwache Validierungen, testen Ratenbegrenzungen und versuchen Credential Stuffing über mehrere Formulare gleichzeitig.

47% erlebten SQL-Injection-Angriffe. Das passiert, obwohl 82% behaupten, sie nutzen parametrisierte Abfragen. Das Problem: Nicht jedes Formular ist an Dienste angebunden, die diese Abfragen umsetzen. Legacy-Backends verketten weiterhin Zeichenfolgen, Drittanbieter-Formulare umgehen die gehärtete Infrastruktur komplett.

39% hatten mit Cross-Site-Scripting-Schwachstellen zu tun. Angreifer schleusen Skripte in Formularfelder ein, die später im Browser anderer Anwender ausgeführt werden – der Schaden reicht weit über den Erstangriff hinaus.

28% litten unter Session Hijacking. Das passiert, wenn Authentifizierungskontrollen schwach oder Sitzungsverwaltung lax ist. Formulare mit Passwort-Authentifizierung zeigen die höchsten Hijacking-Raten.

Das Muster ist eindeutig: Angreifer zielen auf die schwächsten Formulare – öffentlich zugängliche Lead-Formulare, alte Formulare vor aktuellen Standards, mobile Abläufe mit dominanter Client-Logik und schwachen Server-Prüfungen.

Hohe Kosten formularbezogener Datenschutzverstöße

Bei der Bewertung der Folgen von Datenschutzverstößen stechen fünf Konsequenzen hervor.

37% halten finanzielle Verluste für katastrophal. Die durchschnittlichen Kosten eines Datenschutzverstoßes liegen laut externen Studien bei 4,44 Millionen US-Dollar – inklusive Incident Response, Forensik, Anwaltskosten, Benachrichtigungen, Kreditüberwachung und Systembereinigung.

26% sehen regulatorische Strafen als katastrophal an. 92% unterliegen der DSGVO, 58% dem PCI DSS, 41% HIPAA – Formular-Verstöße lösen behördenübergreifende Durchsetzung aus. DSGVO-Bußgelder sind an den weltweiten Umsatz gekoppelt, PCI-Verstöße führen zu Strafen pro Datensatz und potenziell zum Verlust der Zahlungsabwicklung.

23% bewerten rechtliche Haftung als katastrophal. Sammelklagen von Kunden und Mitarbeitern ziehen sich über Jahre, Vertragsstreitigkeiten mit Partnern verschärfen den Schaden.

Reputationsschäden und Vertrauensverlust bei Kunden werden von 20% bzw. 15% als katastrophal eingestuft. Dies äußert sich in geringeren Abschlussquoten, strengeren Partnerprüfungen und Druck durch den Vorstand.

Die finanziellen und regulatorischen Folgen stehen im Fokus. Doch die anhaltenden Kosten entstehen durch fortlaufendes Monitoring, Reporting und Compliance-Arbeit, die nach einem Verstoß nie endet.

Datenhoheit wird unverhandelbar

85% der Unternehmen bewerten Datenhoheit inzwischen als kritisch oder sehr wichtig. 61% geben an, dass sie für die Compliance zwingend erforderlich ist.

Das ist ein grundlegender Wandel: Vor fünf Jahren war Datenresidenz ein Häkchen auf der Checkliste – heute entscheidet sie über die Auswahl der Anbieter.

Behörden führen die Anforderungen an. 94% bewerten Datenhoheit als kritisch oder sehr wichtig, 75% verlangen, dass Daten im Land verbleiben. Können Sie nicht nachweisen, wo Bürgerdaten gespeichert sind, werden Sie ausgeschlossen.

Finanzdienstleister folgen mit 93%. Diese Unternehmen erfassen Finanzunterlagen (90%), Zahlungsdaten (83%) und Authentifizierungsdaten (79%) über Formulare. Fast alle unterliegen der DSGVO (98%) und PCI DSS (90%). Sie benötigen Bereitstellungsoptionen, die sowohl EU-Datenschutzstandards als auch US-Finanzregulierungen erfüllen.

Im Gesundheitswesen sind es 83%. 97% erfassen geschützte Gesundheitsdaten über Formulare. HIPAA-Compliance kombiniert sich mit DSGVO-Anforderungen für europäische Patienten und bundeslandspezifischen Datenschutzvorgaben. Die regulatorische Komplexität ist hoch und kompromisslos.

Sogar Technologieunternehmen, traditionell Cloud-orientiert, berichten zu 86%, dass sie Datenhoheit priorisieren. Globale Aktivitäten erfordern regionale Compliance, Kunden verlangen zunehmend Nachweise zur Datenresidenz.

Die Herausforderung besteht nicht nur darin, Daten in der richtigen Region zu speichern. Sie müssen auch verhindern, dass Daten regionsübergreifend repliziert werden, kontrollieren, wo Backups und Logs liegen, und jede Datenbewegung für Audits dokumentieren.

Regulatorische Rahmenbedingungen häufen sich

Unternehmen unterliegen nicht nur einer Regulierung, sondern müssen mehrere sich überschneidende Rahmen gleichzeitig erfüllen.

92% müssen die DSGVO einhalten. Das betrifft nicht nur europäische Firmen, sondern jedes Unternehmen, das Daten von EU-Bürgern erhebt. Die Anforderungen betreffen Einwilligungsmanagement, Datenminimierung, Zweckbindung und Kontrolle grenzüberschreitender Übertragungen.

58% unterliegen dem PCI DSS. Zahlungsformulare schaffen Risiken, auch wenn keine Kartendaten gespeichert werden. Anforderungen an Übertragungssicherheit, Netzwerksegmentierung und Protokollierung gelten dennoch.

41% arbeiten unter HIPAA. Im Gesundheitswesen sind es sogar 97%. Geschützte Gesundheitsdaten bewegen sich über Patientenaufnahmeformulare, Versicherungsprüfungen, Laboraufträge, Überweisungen und Telemedizin-Workflows.

37% müssen CCPA– und CPRA-Standards erfüllen. Das kalifornische Datenschutzgesetz gilt auch außerhalb Kaliforniens, wenn Sie Daten von Einwohnern des Bundesstaates erfassen.

75% der Behörden benötigen FedRAMP-Zertifizierung. 69% verlangen FIPS 140-3-validierte Verschlüsselung. Diese Zertifizierungen dauern Monate und schließen die meisten kommerziellen Formularanbieter aus.

Bei den größten Compliance-Herausforderungen stehen Anforderungen an Datenhoheit und -residenz an erster Stelle. Die Pflege von Audit-Trails und Dokumentation folgt direkt dahinter. Die Beweislast für Multi-Framework-Compliance überfordert manuelle Prozesse.

Detection-Response Gap schafft Risiken

82% verfügen über Echtzeit-Bedrohungserkennung. Das klingt beruhigend – bis man sieht, dass nur 48% automatisierte Reaktionen haben.

Die 34%-Lücke bedeutet: Unternehmen sehen Angriffe, sind aber auf manuelle Eingriffe angewiesen. Sicherheitsteams erhalten Alarme, eröffnen Tickets, versenden E-Mails, koordinieren zwischen Teams und führen Eindämmungsmaßnahmen manuell aus.

Angreifer sind schneller als Ihre Ticket-Queue. Was als Aufklärung beginnt, wird zum Datenabfluss, bevor Ihr Team die Reaktion koordiniert hat.

Unternehmen, die Erkennung mit automatisierter Reaktion kombinieren, berichten von insgesamt niedrigeren Vorfall- und insbesondere geringeren Durchbruchsraten. Wird ein SQL-Injection-Versuch erkannt, blockieren automatisierte Systeme die IP, invalidieren potenziell kompromittierte Sitzungen und starten zusätzliche Überwachung – ohne menschliches Zutun.

Die Lücke besteht, weil Erkennungstools sich schneller entwickelt haben als Response-Orchestrierung. Die meisten Unternehmen haben SIEM-Plattformen und Threat-Intelligence-Feeds gekauft, aber nie die Workflows gebaut, um auf diese Informationen automatisch zu reagieren.

Mobile Formularsicherheit hinkt Nutzung hinterher

71% der Unternehmen erhalten zwischen 21% und 60% der Formulareinsendungen von mobilen Geräten. Für 41% ist Mobile der größte Eingangskanal.

Doch mobile Sicherheitskontrollen halten mit dieser Nutzung nicht Schritt. Nur 23% bewerten Zertifikat-Pinning als kritisch. Biometrische Authentifizierung erreicht 48% Verbreitung, wird aber selten in risikoreichen Workflows durchgesetzt.

Diese Diskrepanz eröffnet Angreifern Chancen. Mobile Formulare für Passwort-Resets, Identitätsprüfung, Leistungsanmeldung und Serviceportale kombinieren sensible Daten mit schwächeren Client-seitigen Abwehrmechanismen.

Desktop-Workflows werden im Laufe der Zeit durch Sicherheitsreviews und Penetrationstests gehärtet. Mobile Abläufe umgehen diese Prozesse oft, weil sie als Nebenkanal betrachtet werden – das entspricht nicht mehr der Realität.

Investitionen zeigen strategische Priorität

Formularsicherheit ist von der IT-Wartung zur strategischen Initiative geworden – das Budget belegt es.

83% investieren jährlich mindestens 100.000 US-Dollar. 48% geben 250.000 US-Dollar oder mehr aus. 21% überschreiten 500.000 US-Dollar pro Jahr.

Diese Zahlen gelten für Unternehmen aller Größen. Selbst Firmen mit 500 bis 999 Mitarbeitern investieren sechsstellige Beträge. Formularsicherheit ist kein reines Großunternehmensthema.

Was treibt die Ausgaben? 82% nennen aktuelle Sicherheitsvorfälle, 76% neue oder ausgeweitete regulatorische Anforderungen, 69% Kunden- und Partnerforderungen, 61% Vorgaben von Vorstand oder Geschäftsleitung.

Der Zeitplan unterstreicht die Dringlichkeit: 71% planen Umsetzung oder Upgrade innerhalb von sechs Monaten, 30% wollen in drei Monaten fertig sein.

Doch es gibt Hürden: 72% nennen Budgetbeschränkungen, weil Formularsicherheit mit anderen Initiativen konkurriert. 58% fehlt internes Know-how. 48% sehen technische Komplexität. 41% kämpfen mit Legacy-Systemen.

Das Geld ist da – die Herausforderung ist, die Mittel im Wettbewerb um Prioritäten zu rechtfertigen und einen klaren ROI nachzuweisen.

Branchenspezifische Risikoprofile

Die Angriffstypen sind branchenübergreifend ähnlich, aber die Risikokonzentration variiert stark.

Finanzdienstleister

Finanzdienstleister haben das höchste Risikoprofil: 90% erfassen Finanzunterlagen, 85% Mitarbeiterdaten, 83% Zahlungsdaten und 79% Authentifizierungsdaten über Formulare.

Auch das regulatorische Umfeld ist intensiv: 98% unterliegen der DSGVO, 90% dem PCI DSS. Mehr als die Hälfte müssen SOX und länderspezifische Datenschutzgesetze erfüllen.

Formulare reichen von Kunden-Onboarding, Kreditanträgen, KYC- und AML-Workflows, Kontenaktualisierungen, Handelsoperationen bis zum Partnerdatenaustausch – jedes ist ein potenzieller Angriffsvektor.

Gesundheitswesen

Das Gesundheitswesen verarbeitet die sensibelsten Daten: 97% erfassen geschützte Gesundheitsinformationen über Formulare. Patientenaufnahme, Laboraufträge, Versicherungsdaten, Überweisungen und Telemedizin-Workflows bewegen PHI über Formularschnittstellen.

HIPAA-Compliance ist nahezu universell. Die DSGVO gilt bei Behandlung europäischer Patienten oder globaler Forschung. Staatliche Datenschutzgesetze kommen hinzu.

Legacy-Kliniksysteme und Drittanbieterportale sind dauerhafte Schwachstellen. Viele Formulare im Gesundheitswesen stammen aus Zeiten vor aktuellen Sicherheitsstandards und sind an jahrzehntealte EHR-Systeme angebunden.

Behörden

Behörden unterliegen den strengsten Anforderungen: 81% erfassen amtliche Ausweisnummern. Formulare unterstützen Anträge, Leistungsanmeldung, Genehmigungen, Beschaffung und Bürgerportale.

75% verlangen FedRAMP-Zertifizierung, 69% FIPS 140-3-validierte Verschlüsselung. CMMC 2.0 gilt für Verteidigungs- und Auftragnehmerumgebungen. Lokale und nationale Gesetze zur Datenresidenz verbieten Datenabfluss aus genehmigten Jurisdiktionen.

Kommerzielle Formularanbieter können diese Anforderungen oft nicht erfüllen. FedRAMP-Zertifizierung dauert Monate und erfordert hohe Investitionen. FIPS-Validierung verlangt kryptografische Module, die nach Bundesstandards geprüft werden. Die meisten Anbieter verfügen nicht über diese Fähigkeiten.

Was Unternehmen jetzt tun müssen

Der Bericht gibt klare Handlungsempfehlungen. Beginnen Sie mit diesen fünf Schritten:

Erstens: Alle Formulare inventarisieren. Sie können nur schützen, was Sie kennen. Legacy-, eingebettete, Drittanbieter- und mobile Formulare sowie abteilungsinterne Lösungen müssen identifiziert und bewertet werden. Viele Unternehmen entdecken Hunderte vergessene Formulare.

Zweitens: Ende-zu-Ende-Verschlüsselung durchsetzen. Fordern Sie TLS 1.3 für alle Übertragungen. Verschlüsseln Sie Daten ab Einreichung bis zur Speicherung. Nutzen Sie AES-256-Verschlüsselung für ruhende Daten. Wenden Sie Feldverschlüsselung auf besonders risikobehaftete Felder wie Sozialversicherungsnummern, Zahlungsdaten und Zugangsdaten an. Prüfen Sie FIPS 140-3-Compliance für regulierte Workloads.

Drittens: Datenhoheitskontrollen implementieren. Setzen Sie Formulare mit regionalen Residenzoptionen ein. Nutzen Sie Cloud-, Hybrid-, On-Premises- oder Government-Cloud-Bereitstellungen, die Ihre Compliance-Anforderungen erfüllen. Verhindern Sie regionsübergreifende Replikation, sofern nicht explizit genehmigt. Dokumentieren Sie für Audits, wo Daten gespeichert sind.

Viertens: Detection-Response Gap schließen. Kombinieren Sie Echtzeit-Monitoring mit automatisierter Incident Response. Integrieren Sie SIEM- und SOAR-Plattformen. Entwickeln Sie Playbooks, die Eindämmungsmaßnahmen ohne menschliche Freigabe ausführen. Testen Sie diese Workflows regelmäßig.

Fünftens: Compliance-Nachweise automatisieren. Bereiten Sie sich nicht mehr manuell auf Audits vor. Überwachen Sie Formular-Konfigurationen kontinuierlich. Erfassen Sie Audit-Logs für Zugriffe, Änderungen und Datenverarbeitung. Generieren Sie automatisch Nachweise, die DSGVO, PCI DSS, HIPAA, SOX und CMMC zugeordnet sind. Erkennen Sie Konfigurationsabweichungen in Echtzeit.

Der Markt teilt sich

Formularanbieter spalten sich in zwei Gruppen: Diejenigen, die Datenresidenz, Verschlüsselungsvalidierung und Sicherheitsstandards auf Behördenniveau nachweisen können – und diejenigen, die das nicht können.

Generische Formular-Builder sind auf Komfort, nicht auf Compliance optimiert. Sie bieten keine FedRAMP-Zertifizierung, FIPS 140-3-Validierung oder Multi-Region-Datenisolierung, weil ihre Architektur dafür nicht ausgelegt ist.

Legacy-Enterprise-Plattformen bringen jahrzehntelange technische Altlasten mit. Sie schützen Formulare, die innerhalb ihres Ökosystems erstellt wurden, können aber keinen Schutz auf eingebettete Formulare, mobile Abläufe oder Drittanbieter-Integrationen ausweiten.

Diese Lücke eröffnet Chancen: Unternehmen benötigen Formularlösungen, die speziell für regulierte Branchen entwickelt wurden – mit standardmäßigen Hoheitskontrollen, Verschlüsselungsvalidierung und automatisiertem Compliance-Monitoring, nicht als teure Zusatzoptionen.

Der Wandel von Web-Formularen zu sicheren Web-Formularen ist nicht mehr optional. Die Häufigkeit von Verstößen, Anforderungen an Datenhoheit und regulatorische Durchsetzung machen ihn zwingend. Unternehmen, die diese Transformation verzögern, akzeptieren unnötige Risiken, während Wettbewerber auf widerstandsfähigere Architekturen umstellen.

Web-Formulare stammen aus einer anderen Zeit. Sichere Web-Formulare sind für die heutigen regulatorischen und Bedrohungslandschaften gemacht.

Den vollständigen 2025 Data Forms Report erhalten Sie hier.