Cyberschäden in Deutschland: Zahlen und Budgetargumente für Tests

Die meisten CISOs kennen die Situation: Der Antrag für einen Sicherheitstest liegt auf dem Tisch der Geschäftsführung, und die Rückfrage lautet nicht „Brauchen wir das?“, sondern „Was bringt uns das im Verhältnis zu den Kosten?“. Das ist eine berechtigte Frage, und sie lässt sich beantworten – wenn man die richtigen Zahlen hat und sie sauber in eine Risikologik übersetzt.

Dieser Beitrag stellt die belastbaren Kennzahlen zur Schadenslage in Deutschland zusammen: aus dem Bitkom Wirtschaftsschutz 2025 und 2026, dem BSI-Lagebericht 2025, der IBM-Studie Cost of a Data Breach 2025 und dem Verizon Data Breach Investigations Report 2025. Jede Zahl steht mit Quelle und Jahr, damit Sie sie in eigenen Vorlagen zitieren können. Anschließend zeigen wir, wie daraus eine Budgetargumentation für Sicherheitstests entsteht, und geben einen Leitfaden für das Gespräch mit der Geschäftsführung.

Eine Vorbemerkung: Zahlen aus Branchenstudien sind Durchschnitte über sehr unterschiedliche Unternehmen. Sie belegen Größenordnungen, nicht Ihr individuelles Risiko. Genau deshalb gehört zur Argumentation immer auch die Einordnung auf das eigene Haus.

Die Schadenslage in Deutschland

Der Branchenverband Bitkom befragt jährlich Unternehmen zu Wirtschaftsschutz und Cyberangriffen. Die Ausgabe 2025 beziffert den Gesamtschaden durch Datendiebstahl, Spionage und Sabotage für die deutsche Wirtschaft auf 289,2 Milliarden Euro, davon 202,4 Milliarden Euro durch Cyberangriffe. 87 Prozent der befragten Unternehmen gaben an, betroffen gewesen zu sein; 59 Prozent sahen ihre Existenz durch Cyberangriffe bedroht. Ransomware traf laut dieser Befragung 34 Prozent der Unternehmen.

Die Ausgabe 2026 weist den Schaden in einer Spanne von 211 bis 270,8 Milliarden Euro aus. Ransomware nannten 25 Prozent der Unternehmen, Phishing 16 Prozent. Als Herkunft der Angriffe vermuteten 52 Prozent China und 49 Prozent Russland. Die Zahlen schwanken zwischen den Jahren, die Größenordnung bleibt: ein dreistelliger Milliardenbetrag pro Jahr.

Das Bundesamt für Sicherheit in der Informationstechnik ordnet die Lage aus Sicht der Behörde ein. Der Lagebericht 2025 zählt im Durchschnitt 119 neue Schwachstellen pro Tag, ein Anstieg um 24 Prozent gegenüber dem Vorjahr, und nennt Ransomware weiterhin die größte Bedrohung. Das BKA registrierte im Berichtszeitraum 950 angezeigte Ransomware-Angriffe – die Dunkelziffer liegt nach allgemeiner Einschätzung deutlich höher. Bei 47 Prozent der vom BSI untersuchten IP-Adressen waren sensible Informationen öffentlich erreichbar.

Was ein einzelner Vorfall kostet

Die Bitkom-Zahlen beschreiben die Summe. Für die Budgetrechnung eines einzelnen Unternehmens ist die Frage wichtiger: Was kostet ein Vorfall bei uns? Dafür ist die IBM-Studie Cost of a Data Breach die am häufigsten zitierte Quelle. Die Ausgabe 2025 beziffert die durchschnittlichen Kosten einer Datenschutzverletzung weltweit auf 4,44 Millionen US-Dollar und für Deutschland auf 3,87 Millionen Euro. Darin enthalten sind Erkennung und Eskalation, Benachrichtigung, Reaktion und Wiederherstellung sowie entgangenes Geschäft.

Zwei weitere Werte aus derselben Studie sind für die Argumentation nützlich. Erstens dauerte es in Deutschland im Schnitt 170 Tage, bis ein Vorfall erkannt und eingedämmt war. Zweitens war Phishing in Deutschland mit 14 Prozent einer der häufigsten Erstzugriffswege, und Vorfälle mit diesem Ausgangspunkt kosteten im Durchschnitt 4,15 Millionen Euro – mehr als der Landesdurchschnitt.

Der Verizon Data Breach Investigations Report 2025 ergänzt die Perspektive mit Daten aus über zehntausend analysierten Vorfällen. Ransomware war an 44 Prozent der Sicherheitsverletzungen beteiligt, bei kleinen Organisationen sogar an 88 Prozent. Das mediane gezahlte Lösegeld lag bei 115.000 US-Dollar. Die Ausnutzung von Schwachstellen als Erstzugriff stieg um 34 Prozent auf 20 Prozent, der Missbrauch gestohlener Zugangsdaten lag bei 22 Prozent. Drittparteien waren an 30 Prozent der Verletzungen beteiligt, doppelt so viele wie im Vorjahr.

Kennzahlen für den Mittelstand

Von der Kennzahl zur Risikologik

Die klassische Formel der Risikobewertung lautet: erwarteter jährlicher Schaden = Eintrittswahrscheinlichkeit × Schadenshöhe. Sie ist grob, aber sie zwingt zu zwei Annahmen, die man diskutieren kann, statt über Bauchgefühle zu streiten.

Ein typisches Szenario, hypothetisch gerechnet: Ein mittelständisches Unternehmen setzt die Schadenshöhe eines schweren Ransomware-Vorfalls mit 1,5 Millionen Euro an – deutlich unter dem IBM-Durchschnitt, weil Umsatz und Datenbestand kleiner sind, aber mit Produktionsausfall, Wiederherstellung und Beratung realistisch. Die jährliche Eintrittswahrscheinlichkeit schätzt es auf 10 Prozent, also einen schweren Vorfall in zehn Jahren. Der erwartete jährliche Schaden beträgt dann 150.000 Euro.

Ein Sicherheitstest senkt diese Zahl auf zwei Wegen. Er reduziert die Eintrittswahrscheinlichkeit, indem er Schwachstellen und Angriffspfade aufdeckt, bevor ein Angreifer sie nutzt. Und er reduziert die Schadenshöhe, indem er Erkennung und Reaktion verbessert – ein Angreifer, der nach Stunden statt nach Monaten gestoppt wird, verschlüsselt weniger und stiehlt weniger. Die IBM-Studie zeigt seit Jahren, dass kürzere Erkennungszeiten mit deutlich geringeren Kosten einhergehen.

Setzt man die Testkosten dagegen, wird das Verhältnis sichtbar. Ein Penetrationstest bewegt sich nach unserer Marktbeobachtung im niedrigen fünfstelligen Bereich, ein gezieltes Red Teaming beginnt bei rund 40 Personentagen, ein behördlich begleiteter TIBER- oder TLPT-Test liegt im sechsstelligen Bereich. Selbst wenn ein Test die Eintrittswahrscheinlichkeit im Beispiel nur von 10 auf 7 Prozent senkt, spart er rechnerisch 45.000 Euro erwarteten Schaden pro Jahr – und liefert zugleich den Nachweis gegenüber Versicherern, Prüfern und Aufsicht. Die Zahlen sind Annahmen; die Struktur der Rechnung ist das, was Sie in Ihr Unternehmen übertragen.

Argumentationsleitfaden für das Gespräch mit der Geschäftsführung

1. Mit dem Geschäft beginnen, nicht mit der Technik. Benennen Sie die zwei oder drei Geschäftsprozesse, deren Ausfall oder Kompromittierung das Unternehmen am härtesten trifft: Produktion, Zahlungsverkehr, Kundendaten. Daran hängt der Schaden.
2. Die Lage mit zwei Zahlen belegen. Mehr als zwei Studienzahlen überfordern jedes Gespräch. Bewährt haben sich die Betroffenheitsquote (87 Prozent, Bitkom 2025) und die Schadenshöhe pro Vorfall (3,87 Millionen Euro, IBM 2025).
3. Das eigene Risiko in einer Zeile rechnen. Eintrittswahrscheinlichkeit × Schadenshöhe, mit offen gelegten Annahmen. Laden Sie die Geschäftsführung ein, die Annahmen zu korrigieren – das schafft Mitverantwortung.
4. Den Test als Antwort auf eine Frage formulieren. Nicht „Wir wollen einen Pentest“, sondern „Wir wollen wissen, ob ein Angreifer von außen an die Produktionssteuerung kommt und ob wir es merken“. Welches Format welche Frage beantwortet, zeigt der Beitrag Red Teaming vs. Penetrationstest.
5. Kosten und Nutzen nebeneinanderstellen. Testkosten, erwartete Schadensminderung, zusätzlich die regulatorischen Nachweise: NIS2 verlangt Wirksamkeitskontrollen, Cyberversicherer fragen nach Tests, Kunden fordern Nachweise in Ausschreibungen.
6. Messbare Ergebnisse zusagen. Ein Red Teaming liefert eine MITRE-ATT&CK-Heatmap, Zeiten bis Erkennung und Eskalation sowie einen priorisierten Maßnahmenplan. Das sind Kennzahlen, die die Geschäftsführung im nächsten Jahr wieder sehen will.
7. Einen Einstieg anbieten. Wer noch nie getestet hat, startet mit einem Assumed-Breach-Szenario oder einem Pentest der externen Angriffsfläche. Das senkt die Einstiegshürde und liefert schnell erste Ergebnisse.

Typische Einwände und Antworten

„Wir sind zu klein, um ein Ziel zu sein.“ Der Verizon DBIR 2025 zeigt das Gegenteil: Bei kleinen Organisationen war Ransomware an 88 Prozent der Sicherheitsverletzungen beteiligt. Angreifer wählen nicht nach Größe, sondern nach Erreichbarkeit – und kleinere Unternehmen sind oft leichter zu erreichen.

„Wir haben doch eine Firewall und Virenschutz.“ Laut CrowdStrike Global Threat Report 2026 kamen 82 Prozent der Erkennungen ohne Schadsoftware aus; Angreifer nutzen gestohlene Zugangsdaten und Bordmittel. Präventive Technik ist nötig, aber ob sie wirkt, zeigt erst ein Test.

„Wir hatten noch nie einen Vorfall.“ Die mediane Dwell Time – die Zeit, die ein Angreifer unentdeckt im Netz verbringt – lag laut Mandiant M-Trends 2026 bei 14 Tagen; in Deutschland vergingen laut IBM 2025 im Schnitt 170 Tage bis zur Eindämmung. Kein bekannter Vorfall bedeutet nicht keinen Vorfall.

„Das Budget ist für dieses Jahr verplant.“ Ein Sicherheitstest ist planbar und begrenzt; ein Vorfall ist beides nicht. Wer die Rechnung aus dem vorigen Abschnitt vorlegt, verschiebt die Diskussion von „ob“ zu „wann und in welchem Umfang“.

Fazit

Die Schadenszahlen für Deutschland sind eindeutig und gut belegt: ein dreistelliger Milliardenbetrag pro Jahr laut Bitkom, 3,87 Millionen Euro pro Datenschutzverletzung laut IBM, 170 Tage bis zur Eindämmung. Für die Budgetargumentation zählt aber nicht die Zahl aus der Studie, sondern die Übersetzung auf das eigene Unternehmen: Eintrittswahrscheinlichkeit, Schadenshöhe, Testkosten – offen gerechnet und mit der Geschäftsführung geteilt. Sicherheitstests senken beide Faktoren des Risikos und liefern zugleich den Nachweis, den Regulierung und Versicherer fordern. Wenn Sie prüfen möchten, ob ein Angreifer Ihre kritischen Prozesse erreicht und ob Sie es bemerken würden, finden Sie unter Red Teaming unser Vorgehen und unter Ablauf, wie ein Projekt bei uns verläuft.

Quellen

• Bitkom e. V., Wirtschaftsschutz 2025 und Wirtschaftsschutz 2026 (Studienberichte)
• Bundesamt für Sicherheit in der Informationstechnik, Die Lage der IT-Sicherheit in Deutschland 2025, bsi.bund.de
• IBM Security und Ponemon Institute, Cost of a Data Breach Report 2025
• Verizon, Data Breach Investigations Report 2025
• Mandiant / Google Cloud, M-Trends 2026
• CrowdStrike, Global Threat Report 2026

Häufige Fragen zum Thema