Bulletin zur Wiederherstellbarkeit Nr. 2
Ausfallzeiten, nicht Lösegeld, sind die wahren Kosten eines Cybervorfalls
Wenn man in einem Sitzungssaal herumfragt, was ein Cybervorfall kostet, hört man von Lösegeld, Anwälten, Forensikunternehmen und Meldepflichten. Doch die Versicherer, die diese Rechnungen bezahlen, führen genauere Aufzeichnungen als alle anderen – und sie weisen auf etwas ganz anderes hin:
Der größte Teil der Kosten eines Cybervorfalls entsteht durch Ausfallzeiten – also die Tage und Wochen, in denen das Unternehmen nicht auf einem angemessenen Niveau arbeiten kann.
Diese Erkenntnis geht aus der Schadensanalyse im „State of Recoverability Report 2026“ von Fenix24 hervor und dürfte die Sichtweise von Sicherheitsverantwortlichen auf ihre Ausgaben verändern. Von allen Kosten, die bei einem Cyber-Schadensfall anfallen, sind Ausfallzeiten die einzigen, die noch reduziert werden können, sobald sich ein Angreifer im System eingenistet hat. Die Schadensdaten belegen beide Aspekte dieser Aussage.
Diejenigen, die die Rechnungen bezahlen, stimmen dem zu
Zu den zuverlässigsten Zeugen für die tatsächlichen Kosten von Cybervorfällen zählen die Versicherer, die diese abdecken, und ihre Schadensdaten kommen zu einem einheitlichen Ergebnis. In den weltweit größten unabhängigen Schadensdatensätzen stellen Betriebsunterbrechungen den dominierenden Schadenskomponente dar und übersteigen die Summe aus Lösegeldzahlungen, forensischen Untersuchungen, Anwaltskosten und Benachrichtigungskosten. Die Analyse von Allianz Commercial für das Jahr 2025 beziffert den Anteil der Betriebsunterbrechungen auf über 50 % des Schadenswerts bei großen Cyber-Schadensfällen. Munich Re schätzt diesen Anteil auf der Grundlage ihres eigenen Bestands auf 51 % der Kostenkomponenten bei Ransomware-Angriffen. Zwei Versicherer, zwei Datensätze, eine Antwort.
Die Fünf-Jahres-Studie von NetDiligence zu Versicherungsansprüchen zeigt, wie sich dieser Anteil auf die Gesamtsumme auswirkt. Versicherungsansprüche mit einer Betriebsunterbrechungskomponente kosten im Durchschnitt 650 % mehr als solche ohne, und Ransomware war für 81 % der KMU-Fälle verantwortlich, bei denen eine solche Komponente vorlag. Die Durchschnittswerte innerhalb dieser Schadensfälle verdeutlichen die Situation an beiden Enden des Marktes. Bei KMU beliefen sich die Betriebsunterbrechungskosten im Durchschnitt auf 1,2 Mio. US-Dollar bei Gesamtkosten von 1,8 Mio. US-Dollar pro Vorfall, während die Kosten für Krisenmanagement bei 297.000 US-Dollar lagen. Bei Großunternehmen betrugen die Betriebsunterbrechungskosten im Durchschnitt 26 Mio. US-Dollar bei Gesamtkosten von 36,1 Mio. US-Dollar, gegenüber 3,5 Mio. US-Dollar für Krisenmanagement. In beiden Größenordnungen machen die Betriebsunterbrechungskosten ein Vielfaches aller anderen Kosten des Schadensfalls zusammen aus.
Der einzige Kostenfaktor, der nach wie vor variabel ist
Diese Zahlen sind für einen Sicherheitsverantwortlichen nicht nur wegen ihrer Größenordnung von Bedeutung. Betriebsunterbrechungen verhalten sich anders als alle anderen Schadenskomponenten.
Sobald sich ein Vorfall ereignet, sind die Kosten für Forensik, Rechtsberatung und Benachrichtigung weitgehend feststehend. Die Ermittler stellen ihre Leistungen in Rechnung, die Anwälte berechnen ihre Honorare, und die Schreiben gehen an alle Betroffenen. Nichts, was das Unternehmen nach dem ersten Tag unternimmt, verändert diese Kostenpositionen wesentlich. Anders verhält es sich mit den Unterbrechungskosten. Sie ist eine Variable, und die Variable, die sie abbildet, ist die Wiederherstellungsgeschwindigkeit. Die Schadenanalysten der Allianz stellen fest, dass Betriebsunterbrechungsverluste in direktem Zusammenhang mit der Qualität der Reaktion und der Umsetzung von Kontinuitätsmaßnahmen stehen. Unentschlossenheit und schlechte Koordination verlängern diese Verluste.
Lesen Sie das so, wie es ein Finanzvorstand tun würde. Jedes andere Sicherheitsergebnis ist probabilistisch. Man investiert in Prävention, und die Wahrscheinlichkeit eines Schadensereignisses sinkt um einen Betrag, den niemand nachweisen kann. Die Wiederherstellungsfähigkeit zahlt sich deterministisch aus. Wenn der Geschäftsbetrieb nach vierzig Stunden statt nach drei Wochen wieder läuft, ist der Unterschied rein rechnerisch und schlägt sich in der höchsten Zeile der Schadensabrechnung nieder. Jede im Voraus erkaufte Stunde Wiederherstellungszeit ist ein Schadenswert, der niemals anfällt. Keine andere Sicherheitsinvestition steht in einem so direkten Zusammenhang mit der höchsten Zahl auf der Schadensbilanz.
Das ist auch der Grund, warum die Aussage „Wir haben eine Cyberversicherung“ die Sache nicht abschließt. Versicherer berechnen ihre Prämien anhand der zu erwartenden Auszahlungen. Ein Unternehmen, das einen kurzen, nachweisbaren Zeitrahmen für die Wiederherstellung vorweisen kann, weist ein um ein Vielfaches geringeres Schadenprofil auf als eines, das dies nicht kann. Die Police überträgt den Schaden. Sie verringert ihn nicht. Die Geschwindigkeit der Wiederherstellung verringert ihn.
Die Zahl in Ihrem Budget-Deck ist falsch.
In den meisten Anträgen auf Sicherheitsmittel werden gemeldete Verluste durch Ransomware angeführt, doch die Behörde, die diese Zahlen veröffentlicht, rät davon ab. Das IC3 des FBI verzeichnete im Jahr 2025 3.600 Beschwerden im Zusammenhang mit Ransomware mit gemeldeten Verlusten in Höhe von 32 Millionen US-Dollar. In der eigenen Methodik wird darauf hingewiesen, dass in der Gesamtsumme in der Regel entgangene Geschäfte, Zeit, Löhne, Dateien, Ausrüstung und Kosten für die Behebung durch Dritte nicht berücksichtigt sind. Außerdem werden nur die Vorfälle gezählt, die Opfer dem FBI melden.
Das Cyentia Institute schätzt unter Berücksichtigung der gesamten Vorfallspopulation einschließlich der Betriebskosten die jährlichen Verluste durch Ransomware für das Jahr 2023 auf rund 95 Milliarden US-Dollar. Die beiden Zahlen messen unterschiedliche Dinge, und genau darin liegt das Problem. Die Kategorien, die in der Schlagzeilenzahl bewusst nicht berücksichtigt werden, sind genau jene Ausfallkosten, die laut Schadensdaten den größten Teil der Kosten ausmachen. Ein an gemeldeten Verlusten orientierter Kostenplan lässt seinen größten Posten außer Acht, und ein Vorstand, dem mitgeteilt wird, dass „landesweit 32 Millionen Dollar durch Ransomware verloren gingen“, erhält damit einen Grund, weniger statt mehr auszugeben.
Das Cyberrisiko sollte anhand der Stunden, in denen der Betrieb unterbrochen war, gemessen werden, nicht anhand der Anzahl der offengelegten Datensätze. Die Schadensdaten berücksichtigen dies bereits.
Was eine Stunde kostet und wie man das herausfindet
Die Messung der Ausfallzeit in Stunden klingt einfach, bis man versucht, eine konkrete Zahl zu ermitteln, denn „das Unternehmen“ hat keinen Stundensatz. Unternehmensdienstleistungen haben einen, und dieser variiert stark. Eine Stunde ohne E-Commerce-Plattform ist mit einem bestimmten Umsatzverlust verbunden. Eine Stunde ohne Lohnabrechnung kostet am Dienstag nur wenig, am Freitag, wenn die Lohnabrechnung fällig ist, hingegen sehr viel. Eine Stunde ohne Fertigungssteuerungssystem legt ein Werk lahm, dessen Arbeits- und Vertragsstrafen unabhängig davon weiterlaufen.
Die Berechnung des Risikos erfolgt in drei Schritten, von denen jeder eine Arbeit darstellt, die die meisten Unternehmen bisher noch nicht geleistet haben. Erstens: Benennen Sie die Geschäftsdienste, die bei einem Ausfall der Umgebung unterbrochen werden – und zwar Dienst für Dienst statt Server für Server. Zweitens: Legen Sie für jeden einzelnen einen stündlichen Wert fest, der sich aus Umsatz, ungenutzter Arbeitskraft, SLA-Strafen und den Kunden ergibt, die nicht zurückkommen. Drittens – und dies ist der Schritt, der eine Schätzung von einer fundierten Aussage unterscheidet – ermitteln Sie, wie viele Stunden die Wiederherstellung jedes einzelnen Dienstes in Anspruch nehmen würde, und zwar auf der Grundlage von Tests und nicht anhand eines Zielwerts, den jemand in einem Plan festgehalten hat.
Diese dritte Zahl ist die, die fast niemand kennt. Bei den Einsätzen von Fenix24 wurden in den dokumentierten Wiederherstellungszeitzielen in der Regel 24 bis 48 Stunden versprochen. Von mehr als 800 Kunden kamen vier diesem Wert bei einem teilweisen Geschäftsbetrieb nahe. Multipliziert man die realistischen Stundenkosten mit der Differenz zwischen dem versprochenen und dem tatsächlich erreichten Zeitrahmen, erhält man das tatsächliche Risiko. Für die meisten Unternehmen ist dies die größte ungeprüfte Zahl im Risikoregister.
Stunden im Voraus kaufen, bevor man sie braucht
Wenn jede im Voraus erworbene Stunde Wiederherstellungszeit einen Anspruch darstellt, der niemals entsteht, stellt sich die praktische Frage, wo diese Stunden überhaupt zu kaufen sind. Aus der Perspektive der Wiederherstellung bei über 500 Ransomware-Einsätzen ist die Antwort konkret: Die Stunden gehen unter Bedingungen verloren, die schon lange vor dem Auftreten des Angreifers bestanden. Die Teams müssen während des Vorfalls die Abhängigkeiten zwischen den Anwendungen rekonstruieren, da keine aktuelle Übersicht vorlag. Backups, deren Erstellung als erfolgreich gemeldet wurde, erweisen sich als operativ nicht wiederherstellbar. Wiederhergestellte Daten können nirgendwo gespeichert werden, da niemand Speicherplatz für eine vollständige Wiederherstellung der Umgebung bereitgestellt hat. Entscheidungen verzögern sich, weil im Voraus nicht vereinbart wurde, wer um 3 Uhr morgens die Anweisungen zur Wiederherstellung erteilt.
Jeder dieser Punkte ist in Friedenszeiten messbar und behebbar, und jeder lässt sich direkt in Stunden umrechnen. Das ist die Budgetdiskussion, die diese Schadensdaten ermöglichen. Anstatt den Vorstand um Mittel für den Schutz vor einer Wahrscheinlichkeit zu bitten, kann ein Sicherheitsverantwortlicher den Preis für eine Stunde Ausfallzeit für jeden kritischen Geschäftsdienst beziffern, die Lücke zwischen versprochener und tatsächlich erreichter Wiederherstellungszeit aufzeigen und Investitionen in die Wiederherstellung als Mittel zum Schließen dieser Lücke darstellen. Es ist einer der seltenen Sicherheitsvorschläge, den ein Finanzvorstand wie jede andere Kapitalentscheidung bewerten kann, denn ausnahmsweise einmal wird die Rendite in derselben Einheit ausgedrückt wie der Verlust.
Den vollständigen Bericht herunterladen
Der „State of Recoverability Report 2026“ dreht sich vollständig um die Frage, die sich mittlerweile jeder Vorstand stellt: Wie lange wären wir tatsächlich außer Betrieb? Er fasst Schadensdaten, regulatorische Analysen und Umfragen unter Führungskräften führender Institutionen wie Allianz, Munich Re und Accenture zusammen und vergleicht all diese Informationen mit den Erkenntnissen, die Fenix24 bei über 500 realen Ransomware-Wiederherstellungen gewonnen hat. Kein anderer Bericht verbindet Branchenanalysen mit Praxisdaten des Teams, das weltweit mehr Wiederherstellungen durchführt als jedes andere. Er verdeutlicht den Unterschied zwischen dem, was Unternehmen über ihre Widerstandsfähigkeit sagen, und dem, was tatsächlich passiert, wenn das System ausfällt.
Klicken Sie hier, um den „State of Recoverability Report 2026“ von Fenix24 herunterzuladen.
