Was kostet ein Cyberangriff mein Unternehmen?

Die meisten angezeigten Angriffe treffen kleine und mittlere Unternehmen

Das deutsche Bundesamt für Sicherheit in der Informationstechnik schreibt im Lagebericht 2025, dass sich rund 80 Prozent der angezeigten Angriffe, etwa mit Ransomware, gegen kleine und mittlere Unternehmen richteten, denen häufig die Mittel und das Wissen fehlen, sich selbst zu schützen. Der Versicherer Hiscox nennt in seinem Faktenblatt 2025, dass 67 Prozent der deutschen kleinen und mittleren Unternehmen in den vorangegangenen zwölf Monaten einen Angriff festgestellt hatten; das ist eine Anbieterzahl aus einer Umfrage unter Unternehmen bis 250 Mitarbeitende, Befragung Juli und August 2025. In Österreich berichteten in der Studie von KPMG und KSÖ 2026 25 Prozent der 1.396 befragten Unternehmen von zunehmenden Angriffen, und jeder achte Angriff war erfolgreich. Für die kleinsten Betriebe liefert die Schweiz eine Messung: In der Studie von Die Mobiliar und Partnern 2025 gaben 4 bis 5 Prozent der 515 befragten KMU mit 1 bis 49 Mitarbeitenden an, in den letzten Jahren Opfer von Cyberkriminalität geworden zu sein; in der Folgestudie 2026 waren 6 Prozent in drei Jahren von einem gravierenden Angriff betroffen.

Vorbereitung verkürzt den Stillstand

Die Forsa-Umfrage des GDV 2025 unter 300 Entscheidern und IT-Verantwortlichen kleiner und mittlerer Unternehmen zeigt, woran es liegt, dass ein Vorfall teuer wird: 48 Prozent haben keinen Notfallplan, 64 Prozent verzichten auf Schulungen, und 68 Prozent der erfolgreichen Angriffe begannen mit einer Phishing-Mail oder einer Mail mit Schadsoftware. Zugleich halten sich 77 Prozent für ausreichend gewappnet, während laut GDV mehr als zwei Drittel nicht alle Basiskriterien wie starke Passwörter oder regelmäßige Updates erfüllen. Aus diesen Zahlen folgt für Ihr Unternehmen eine Einschätzung: Die Kosten eines Vorfalls hängen weniger davon ab, ob er kommt, als davon, wie schnell Sie ihn bemerken, wie schnell die Website wieder sauber läuft und ob Sie wissen, wie der Zustand davor war. Ein datierter Prüfbericht hält den Zustand der ausgelieferten Website fest; ob ein Versicherer oder eine Behörde ihn als Nachweis anerkennt, entscheidet sie selbst.

Die Kosten entstehen durch Stillstand, Kundenverlust und Benachrichtigungen

Die Umfragen nennen die Posten, aus denen sich der Schaden zusammensetzt. Von den betroffenen Schweizer Kleinbetrieben erlitten laut Mobiliar 2025 73 Prozent einen finanziellen Schaden, 27 Prozent verloren Kundendaten. In Deutschland nannten die angegriffenen kleinen und mittleren Unternehmen laut dem Hiscox-Faktenblatt 2025 zu 37 Prozent empfindliche finanzielle Belastungen, zu 29 Prozent Sicherheitsverletzungen bei Partnern und Lieferanten, zu 29 Prozent Schwierigkeiten, neue Kunden zu gewinnen, zu 25 Prozent hohe Aufwendungen für die Benachrichtigung betroffener Kunden und zu 25 Prozent Schäden an Marke und Ruf. Hiscox schreibt dazu, eine Betriebsunterbrechung könne Kosten im sechs- bis siebenstelligen Bereich verursachen; das ist die Einschätzung eines Versicherers in einem Blatt für Makler, keine Messung. Wie lange der Stillstand dauert, zeigt die Forsa-Umfrage des Versicherungsverbands GDV 2024: 30 Prozent der gehackten mittelständischen Unternehmen brauchten vier Tage oder länger, um den Angriff zu stoppen und die Systeme wiederherzustellen; nur ein Viertel war am selben Tag wieder arbeitsfähig. Bei den großen Schäden über einer Million Euro, die Allianz Commercial 2026 für das erste Halbjahr 2025 auswertet, stammten 60 Prozent des Schadenwerts aus Ransomware, und 40 Prozent des Werts enthielten Datendiebstahl.

Eine gehackte Website verschwindet aus der Suche

Ein Posten fehlt in den Umfragen, weil er auf keiner Rechnung steht: die Sichtbarkeit. Google beschreibt in der Hilfe zur Search Console gehackte Inhalte als alles, was ohne Ihre Erlaubnis über eine Sicherheitslücke auf Ihre Website gelangt. Solche Seiten bekommen in den Suchergebnissen die Kennzeichnung „This site may be hacked“ oder „This site may harm your computer“, und Chrome kann vor dem Aufruf eine Warnseite zeigen. Gehackte Seiten können aus den Ergebnissen entfernt werden; bei von Hand festgestellten Fällen müssen Sie nach der Bereinigung selbst eine Überprüfung beantragen. Für Spam-Fälle schreibt Google, die Überprüfung könne mehrere Wochen dauern, bei Schadsoftware einige Tage. In dieser Zeit erscheint Ihre Website in der Suche nicht oder mit Warnhinweis, und wer nach Ihrem Angebot sucht, sieht andere. Was diese Zeit kostet, hängt davon ab, wie viele Anfragen bei Ihnen über die Suche kommen; das ist eine Rechnung, die nur Ihr Betrieb aufstellen kann.

Nach dem Vorfall laufen Fristen und Pflichten gegenüber Dritten

Sind personenbezogene Daten betroffen, verlangt die Datenschutz-Grundverordnung in Artikel 33 die Meldung an die Aufsichtsbehörde „unverzüglich und möglichst binnen 72 Stunden“, nachdem Ihnen die Verletzung bekannt wurde; die Meldung entfällt, wenn die Verletzung voraussichtlich kein Risiko für die Rechte und Freiheiten der Betroffenen mit sich bringt. Artikel 32 verlangt davor „geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten“. Nach einem Vorfall stellt sich die Frage, ob Ihre Website solche Maßnahmen hatte. Ein Angriff bleibt zudem oft nicht beim Angegriffenen: Laut Bitkom 2026 berichten 21 Prozent der betroffenen Unternehmen von Auswirkungen auf andere Unternehmen, etwa Kunden oder Lieferanten. Ein Versicherer prüft nach einem Schaden, ob die vereinbarten Obliegenheiten eingehalten waren; was die Musterbedingungen dafür vorsehen, steht im Artikel über die Anforderungen der Versicherer. Was im Einzelfall zu melden ist und an wen, ist eine Frage an Ihren Datenschutzbeauftragten oder Rechtsbeistand.

Tipps aus der Praxis

• Google rät, die Überprüfung nach einer Bereinigung erst zu beantragen, wenn die Website vollständig sauber ist; der Antrag beschreibt, was Sie bereinigt haben.
• Viele Hoster zeigen im Kundenbereich, wann zuletzt eine Sicherung gelaufen ist. Sehen Sie das einmal nach, bevor Sie es brauchen.
• Ein Angriff beginnt laut GDV 2025 in rund zwei Dritteln der Fälle mit einer Mail. Die Website ist ein zweiter Weg; beide gehören in denselben Notfallplan.
• Fragen Sie Ihren Versicherer, wie er eine Betriebsunterbrechung entschädigt; manche Anbieter rechnen mit einer Tagespauschale. Vergleichen Sie den Betrag mit Ihrer eigenen Rechnung aus dem ersten Handgriff.