Wie hoch sind Schäden durch Cyberangriffe? Beispiele

Ein Montagmorgen, an dem weder Aufträge noch E-Mails bearbeitet werden können, ist kein reines IT-Problem. Für die Geschäftsführung stellt sich sofort die betriebswirtschaftliche Frage: Wie hoch sind die Schäden durch Cyberangriffe? Schadenbeispiele machen deutlich, dass die größte Belastung selten nur in der Wiederherstellung einzelner Systeme liegt. Entscheidend sind Betriebsunterbrechung, externe Spezialisten, Informationspflichten, Vertragsfolgen und der Verlust von Handlungsfähigkeit.

Für kleine und mittelständische Unternehmen ist deshalb nicht allein die Wahrscheinlichkeit eines Angriffs relevant. Sie müssen verstehen, welche Kostenketten ein Vorfall auslöst, welche Teile davon sie selbst tragen und ob ihre Cyberversicherung zu ihrer tatsächlichen Risikosituation passt.

Warum Cyberangriffe wirtschaftlich so weit reichen

Ein Cybervorfall entwickelt sich häufig in Phasen. Zunächst werden Systeme eingegrenzt und gesichert. Danach folgt die technische Analyse: Was ist betroffen, welche Daten oder Anwendungen sind beeinträchtigt, und kann der Geschäftsbetrieb sicher wieder anlaufen? Parallel entstehen kommunikative, datenschutzbezogene und vertragliche Aufgaben. Erst wenn diese Ebenen zusammenspielen, wird das volle Ausmaß sichtbar.

Der direkte IT-Aufwand ist dabei nur ein Kostenblock. Ein Unternehmen kann zwar Sicherungen besitzen, aber dennoch tagelang nicht fakturieren, disponieren oder produzieren. Sind Kundenportale, Warenwirtschaft, Telefonie oder Lieferketten betroffen, entstehen Folgekosten oft schneller als erwartet. Besonders kritisch wird es, wenn eine Organisation keine getesteten Wiederanlaufprozesse und keine klaren Zuständigkeiten für den Krisenfall definiert hat.

Die Höhe des Schadens hängt daher weniger von der Unternehmensgröße allein ab als von der Abhängigkeit von digitalen Prozessen. Ein kleiner Fertigungsbetrieb mit stark getakteter Produktion kann durch zwei Tage Ausfall stärker belastet sein als ein deutlich größeres Unternehmen mit manuellen Ausweichprozessen. Ebenso entscheidend sind Datenarten, vertragliche Verpflichtungen, vorhandene Sicherheitsmaßnahmen und die Qualität der Incident-Response-Planung.

Schadenbeispiele durch Cyberangriffe aus der Unternehmenspraxis

Die folgenden Szenarien sind typische, anonymisierte Fallkonstellationen. Sie zeigen keine pauschalen Schadenshöhen, sondern die Kostenarten, die bei der Risikobewertung und Deckungsprüfung berücksichtigt werden sollten.

Ransomware legt Warenwirtschaft und Produktion lahm

Ein mittelständisches Unternehmen stellt fest, dass zentrale Server und Arbeitsplätze nicht mehr verfügbar sind. Die Warenwirtschaft kann keine Aufträge freigeben, die Produktion erhält keine aktuellen Daten und der Versand steht weitgehend still. Der erste Schritt ist nicht die normale IT-Administration, sondern die koordinierte Krisenreaktion mit spezialisierten IT-Forensikern.

Kosten entstehen für Ursachenanalyse, Eindämmung, Wiederherstellung und den kontrollierten Neuaufbau betroffener Systeme. Hinzu kommt der Ertragsausfall während der Betriebsunterbrechung. Je nach Vertragslage können Lieferverzögerungen, Mehrkosten für Ersatzabläufe oder Ansprüche von Kunden folgen. Die zentrale Frage für die Cyberversicherung lautet dann: Sind Eigenschäden, Betriebsunterbrechung, Forensik und Krisendienstleistungen ausreichend versichert und ist die vereinbarte Haftzeit realistisch?

Eine zu knapp bemessene Haftzeit kann problematisch werden, wenn die technische Wiederherstellung zwar gelingt, Geschäftsprozesse aber erst später wieder die gewohnte Leistung erreichen. Der Schaden endet nicht automatisch mit dem ersten funktionierenden Server.

E-Mail-Betrug führt zu Fehlüberweisungen

In einem zweiten Szenario wird der geschäftliche E-Mail-Verkehr für eine täuschend echte Zahlungsaufforderung genutzt. Eine Finanzabteilung veranlasst eine Überweisung auf ein falsches Konto, weil vermeintliche Lieferantendaten oder Weisungen aus der Geschäftsleitung plausibel erscheinen.

Hier steht nicht der Systemausfall im Vordergrund, sondern der unmittelbare Vermögensschaden. Ob und in welchem Umfang eine Cyberpolice diesen abdeckt, hängt stark von der konkreten Bedingungsgestaltung ab. Manche Konzepte behandeln bestimmte Formen von Social Engineering oder Zahlungsmanipulation gesondert, begrenzen sie oder knüpfen sie an interne Kontrollanforderungen.

Für Unternehmen folgt daraus eine praktische Konsequenz: Versicherungsschutz und Zahlungsprozesse müssen zusammen geprüft werden. Vier-Augen-Freigaben, Rückrufverfahren bei geänderten Bankverbindungen und klar dokumentierte Eskalationswege sind nicht nur Sicherheitsmaßnahmen. Sie können für Versicherbarkeit und eine belastbare Schadenbearbeitung maßgeblich sein.

Datenschutzvorfall bei einem Dienstleistungsunternehmen

Ein Dienstleister verarbeitet Kunden-, Personal- oder Kontaktdaten und stellt fest, dass unbefugte Dritte Zugriff erlangt haben könnten. Nun müssen Sachverhalt und Umfang untersucht, betroffene Daten eingeordnet und geeignete Folgemaßnahmen organisiert werden. Der Zeitdruck ist hoch, weil Datenschutzanforderungen und vertragliche Informationspflichten berührt sein können.

Der finanzielle Schaden umfasst in einer solchen Lage häufig forensische Unterstützung, Krisenkommunikation, Benachrichtigungsprozesse und die Bearbeitung von Anfragen. Auch Kosten im Zusammenhang mit datenschutzbezogenen Verfahren oder Abwehr unberechtigter Ansprüche können relevant werden, soweit der Versicherungsvertrag dies vorsieht. Pauschale Aussagen sind hier riskant: Deckung, Sublimits, Selbstbehalte und mitversicherte Dienstleistungen unterscheiden sich erheblich.

Für die Geschäftsführung ist zudem die Haftungsperspektive wichtig. Wer bekannte technische oder organisatorische Defizite dauerhaft ungeprüft lässt, erhöht nicht nur das operative Risiko. Eine nachvollziehbare Sicherheitsorganisation, dokumentierte Entscheidungen und eine regelmäßige Überprüfung des Risikotransfers gehören zu verantwortungsvoller Unternehmensführung.

Welche Kostenblöcke gehören in die Schadenschätzung?

Eine belastbare Betrachtung trennt Eigenschäden, Ansprüche Dritter und Folgekosten. Zu den Eigenschäden zählen typischerweise IT-Forensik, Wiederherstellung von Daten und Systemen, externe Krisenunterstützung sowie entgangener Gewinn und fortlaufende Kosten während einer versicherten Betriebsunterbrechung.

Ansprüche Dritter können entstehen, wenn Kunden, Geschäftspartner oder andere Betroffene einen Schaden geltend machen. Daneben stehen Kosten für Kommunikation, Datenschutzmanagement, Rechts- und Krisenkoordination, soweit diese Leistungen im konkreten Bedingungswerk eingeschlossen sind. Nicht jede Ausgabe ist automatisch versichert. Gerade deshalb reicht es nicht aus, allein auf eine hohe Versicherungssumme zu schauen.

Mindestens ebenso relevant sind Sublimits, Selbstbehalte, Wartezeiten bei der Betriebsunterbrechung, Obliegenheiten und Ausschlüsse. Eine Police kann auf den ersten Blick umfangreich wirken, aber bei einem für das Unternehmen zentralen Schadentreiber nur begrenzten Schutz bieten. Umgekehrt kann ein gut strukturierter Vertrag mit passender Deckung und verlässlichen Assistance-Leistungen im Ernstfall wesentlich wertvoller sein als ein formal hoher, aber unpassender Rahmen.

Cyberversicherung ist Risikotransfer, kein Ersatz für IT-Sicherheit

Technische Schutzmaßnahmen reduzieren die Eintrittswahrscheinlichkeit und begrenzen Schäden. Dazu gehören unter anderem gesicherte Identitäten, Mehrfaktor-Authentifizierung, segmentierte Zugriffe, belastbare Datensicherungen, Patch- und Berechtigungsprozesse sowie geschulte Mitarbeitende. Eine Cyberversicherung übernimmt eine andere Funktion: Sie soll finanzielle Folgen und spezialisierte Hilfe abfedern, wenn Prävention nicht ausgereicht hat.

Diese dritte Säule der IT-Sicherheit funktioniert nur, wenn Technik, Organisation und Versicherungsvertrag zusammenpassen. Versicherer prüfen deshalb zunehmend, ob grundlegende Sicherheitsstandards tatsächlich umgesetzt und nachweisbar sind. Wer einen Fragebogen lediglich ausfüllt, ohne die zugrunde liegenden Prozesse mit dem IT-Dienstleister abzugleichen, riskiert falsche Annahmen - und im Schadenfall unangenehme Diskussionen.

Besonders bei wachsenden Compliance-Anforderungen, etwa durch NIS2-relevante Erwartungen, Datenschutz oder Sicherheitsvorgaben in Kundenverträgen, sollte die Prüfung strukturiert erfolgen. Es geht nicht darum, jedes theoretische Risiko auszuschließen. Es geht darum, den relevanten Schutzbedarf zu erkennen, Sicherheitslücken priorisiert zu schließen und den verbleibenden Schaden angemessen zu transferieren.

So wird aus einer Schadenschätzung eine belastbare Entscheidung

Der sinnvollste Ausgangspunkt ist die Frage: Welche digitalen Prozesse dürfen wie lange ausfallen, ohne dass das Unternehmen ernsthaft gefährdet wird? Daraus lassen sich Umsatzausfälle, Mehrkosten, Abhängigkeiten von Dienstleistern und notwendige Wiederanlaufzeiten ableiten. Anschließend sollte geprüft werden, welche Szenarien die bestehende Police tatsächlich abdeckt - nicht nur in der Produktbeschreibung, sondern im Bedingungswerk.

Für Unternehmen mit bestehendem Vertrag lohnt sich eine Deckungsanalyse vor der Verlängerung oder vor einer wesentlichen Veränderung der IT-Landschaft. Unternehmen ohne Cyberversicherung sollten Versicherbarkeit nicht als Hürde verstehen, sondern als strukturierten Verbesserungsprozess. Eine unabhängige Beratung wie durch CyberShield kann dabei Versichereranforderungen, technische Maßnahmen und den konkreten Risikotransfer zusammenführen - auch in Abstimmung mit dem eigenen Systemhaus oder IT-Dienstleister.

Der wirtschaftliche Schaden eines Cyberangriffs lässt sich nicht auf eine einzelne Zahl reduzieren. Wer jedoch kritische Prozesse, realistische Ausfallzeiten und die Bedingungen der eigenen Police kennt, trifft im Ernstfall nicht erst unter Druck die entscheidenden Entscheidungen.

Fachtexte und Ratgeberbeiträge entstehen unter Einsatz von KI und werden vor der Veröffentlichung fachlich geprüft. Die redaktionelle Verantwortung liegt bei uns.