Die Kosten eines Ransomware-Angriffs bestehen für ein mittelständisches Unternehmen selten aus einer einzelnen Zahl. Sie setzen sich zusammen aus Tagen ohne Betrieb, externen Kosten für die Wiederherstellung, möglichen Meldepflichten, einer neu verhandelten Versicherungsprämie und, je nach Branche, dem Vertrauen von Kunden, die währenddessen auf eine Lieferung oder eine Rückmeldung gewartet haben.
Woraus setzen sich die direkten Kosten zusammen?
Der sichtbarste Kostenblock ist der Betriebsausfall selbst: Tage, in denen E-Mail, Auftragsverwaltung oder Produktion nicht wie gewohnt laufen, während Löhne, Mieten und laufende Verträge unabhängig davon weiterlaufen. Dazu kommen externe Kosten für die Untersuchung des Vorfalls, die Wiederherstellung selbst und, falls nötig, Rechtsberatung zu Meldepflichten.
Die Zahlung eines geforderten Lösegelds gehört ausdrücklich nicht zu den empfohlenen Schritten. Sie garantiert keine funktionierende Wiederherstellung, ändert nichts an einer fehlenden Sicherungskopie für die Zukunft und kann je nach Empfänger rechtliche Folgen haben.
Welche Kosten werden erst später sichtbar?
Neben den direkten Kosten entsteht ein zweiter Block, der oft erst Monate danach auf einer Rechnung erscheint. Eine Cyber-Versicherung verhandelt die Prämie nach einem Vorfall in aller Regel neu. Ein Großkunde, der eine Lieferung erwartet hat, bewertet die Zuverlässigkeit des Unternehmens neu. Und ein anstehendes Audit oder ein Sicherheitsnachweis für einen Kunden verzögert sich um die Zeit, die die Wiederherstellung gedauert hat.
| Kostenblock | Wird sichtbar | Hängt ab von |
|---|---|---|
| Betriebsausfall | sofort | Dauer bis zur Wiederherstellung |
| Untersuchung und Wiederherstellung | in den ersten Wochen | Vorbereitung und Dokumentation |
| Rechtsberatung und Meldepflichten | in den ersten Wochen | Art der betroffenen Daten |
| Versicherungsprämie | bei der nächsten Verlängerung | nachgewiesene Schutzmaßnahmen |
| Kundenbeziehung | über Monate | Kommunikation während des Ausfalls |
| Verschobene Audits | zum nächsten Prüftermin | Zeitpuffer bis zum Termin |
Belastbare Durchschnittsbeträge für deutsche Unternehmen dieser Größe gibt es nicht, weil die Spanne zwischen einem Vorfall mit getesteter Sicherung und einem ohne so groß ist, dass ein Mittelwert nichts aussagt. Aussagekräftig ist die Anzahl der Blöcke, die gleichzeitig greifen — und die lässt sich vorab beeinflussen.
Warum macht „wir sind doch versichert" die Rechnung nicht automatisch kleiner?
Eine Cyber-Versicherung deckt in vielen Fällen einen Teil der Kosten, allerdings nicht automatisch und nicht ohne Bedingungen. Viele Policen verlangen den Nachweis bestimmter Schutzmaßnahmen zum Zeitpunkt des Vorfalls, etwa einen zweiten Sicherheitsschritt bei der Anmeldung oder eine getrennte Sicherungskopie. Fehlen diese Nachweise, kann eine Zahlung gekürzt werden oder ausbleiben.
Der Fragebogen, der beim Abschluss der Police ausgefüllt wurde, wird im Schadensfall zum Prüfmaßstab. Wer damals angekreuzt hat, dass eine Maßnahme aktiv ist, wird im Schadensfall gefragt, ob sie es zum Zeitpunkt des Vorfalls tatsächlich war — und wer das belegen kann, hat den Unterschied bereits vorher gemacht.
Was es kostet, wenn Sie nichts tun
Ohne laufende Kontrolle bleibt eine Lücke oft so lange unbemerkt, bis ein Angriff sie sichtbar macht. Dann steht neben der Wiederherstellung zusätzlich die Frage im Raum, seit wann die Lücke bestand und wer sie hätte bemerken müssen. Je später eine Schwachstelle auffällt, desto mehr der Kostenblöcke aus der Tabelle greifen gleichzeitig.
Ein Unternehmen, das diese Reihenfolge einmal durchlaufen hat, bewertet den Preis für laufende Überwachung danach in der Regel neu. Der Zeitpunkt dieser Neubewertung ist der einzige Punkt in der Rechnung, den eine Geschäftsführung frei wählen kann.
Was ändert sich mit laufender Kontrolle?
Nexus.365 Security setzt an, bevor eine Lücke zu einem Vorfall wird. Der Security Scan wertet Ihre Microsoft-365-Umgebung in sieben Werktagen read-only aus und liefert eine Executive Summary in Klartext mit den dringendsten offenen Punkten. Festpreis und Enddatum stehen vor Beginn fest.
Nexus.365 SecureWatch übernimmt anschließend den wiederkehrenden Konfigurations-Check: monatlicher Bericht in CEO-Sprache, Abgleich mit der eingefrorenen Ausgangskonfiguration und ein Anruf binnen einer Stunde, wenn eine kritische Abweichung auftaucht. Die monatlichen Berichte sind gleichzeitig die Nachweise, die ein Audit oder ein Versicherungsfragebogen abfragt. Der Unterschied zu einer einmaligen Prüfung liegt im Zeitpunkt: Eine Abweichung fällt auf, während sie noch eine Abweichung ist.
Häufige Fragen zum Thema
Was kostet ein Ransomware-Angriff ein mittelständisches Unternehmen tatsächlich?+
Neben den direkten Kosten für Ausfall und Wiederherstellung entstehen fast immer indirekte Kosten: eine höhere Versicherungsprämie, verzögerte Audits und ein Vertrauensverlust bei Kunden, die während des Ausfalls gewartet haben. Ein belastbarer Durchschnittsbetrag lässt sich daraus nicht bilden, weil die Spanne je nach Vorbereitung sehr groß ist.
Zahlt eine Cyber-Versicherung im Schadensfall automatisch?+
Nur, wenn die beim Abschluss der Police angegebenen Schutzmaßnahmen zum Zeitpunkt des Vorfalls tatsächlich vorhanden waren. Fehlende Nachweise können eine Zahlung kürzen oder verzögern.
Sollte ein gefordertes Lösegeld gezahlt werden?+
Das gehört nicht zu den empfohlenen Schritten. Eine Zahlung garantiert keine funktionierende Wiederherstellung, ändert nichts an einer fehlenden Sicherungskopie für die Zukunft und kann je nach Empfänger rechtliche Folgen haben.
Wie lange dauert die Wiederherstellung nach einem Ransomware-Angriff?+
Das hängt stark von der Vorbereitung ab. Mit einer getesteten, getrennten Sicherung sind es häufig Stunden bis wenige Tage. Ohne eine solche Vorbereitung kann es deutlich länger dauern, in ungünstigen Fällen Wochen.
Wie lässt sich das Risiko eines Ransomware-Angriffs vorab senken?+
Über eine Kombination aus Zugangskontrolle, einem zweiten Sicherheitsschritt bei der Anmeldung, einer getrennten Sicherungskopie und laufender Kontrolle der Konfiguration. Eine einzelne Maßnahme allein deckt die Wege nicht ab, über die ein Angriff üblicherweise läuft.
Den Zeitpunkt der Rechnung selbst bestimmen.
Der Nexus.365 Security Scan zeigt in sieben Werktagen, welche Lücken in Ihrer Microsoft-365-Umgebung heute offen sind — read-only, ohne Eingriff in den laufenden Betrieb. Festpreis und Enddatum stehen vor Beginn fest, das Erstgespräch ist unverbindlich.
Security Scan starten