IBM-Daten 2025: Ransomware kostet KMU 4,4 Mio. USD, nicht 115.000 USD

Der Cost of a Data Breach Report 2025 von IBM hat etwas in Zahlen gefasst, wovor Sicherheitsexperten seit Jahren warnen: Die Lösegeldforderung ist niemals die wahren Kosten eines Ransomware-Angriffs. Dem Bericht zufolge beliefen sich die durchschnittlichen Gesamtkosten eines Ransomware-Vorfalls auf 4,4 Millionen US-Dollar – mehr als das 38-Fache der durchschnittlichen Lösegeldforderung von 115.000 US-Dollar. Wenn die Analyse auf Sicherheitsverletzungen eingegrenzt wird, die speziell mit Ransomware oder Erpressung zu tun haben, steigen die Durchschnittskosten sogar noch weiter auf 5,08 Millionen US-Dollar.

Für kleine und mittlere Unternehmen (KMU) sind diese Zahlen nicht abstrakt. Sie stehen für die Kluft zwischen dem, wofür Unternehmen budgetieren (eine Lösegeldzahlung, von der sie hoffen, dass sie sie nie leisten müssen) und dem, was ein Angriff die Organisation tatsächlich kostet, wenn man Wiederherstellung, Ausfallzeiten, rechtliche Risiken und Reputationsschäden einbezieht.

Die Zahlen hinter der Schlagzeile

Der 38-fache Multiplikator zwischen Lösegeldforderung und Gesamtkosten des Vorfalls ist die wichtigste Zahl im IBM-Bericht und verdient mehr Aufmerksamkeit, als sie üblicherweise bekommt. Die meisten Diskussionen über Ransomware konzentrieren sich auf das Lösegeld selbst: Wie viel die Angreifer verlangen, ob man zahlen sollte und wie man verhandelt. Aber die Daten von IBM deuten darauf hin, dass die Fixierung auf die Lösegeldforderung die eigentliche finanzielle Bedrohung verschleiert.

Eine Lösegeldforderung von 115.000 US-Dollar klingt nach einer verkraftbaren, wenn auch schmerzhaften Geschäftsausgabe. Gesamtkosten von 4,4 Millionen US-Dollar sind eine ganz andere Diskussion – eine, die Lohnabrechnungen, Lieferantenverträge, Kundenvertrauen und in manchen Fällen das Überleben des Unternehmens selbst berührt. Die Zahl von 5,08 Millionen US-Dollar speziell für Ransomware- und Erpressungsvorfälle bestätigt, dass diese Kategorie von Vorfällen durchweg zu den teuersten Arten von Datenschutzverletzungen gehört, mit denen ein Unternehmen konfrontiert werden kann.

Warum die Lösegeldforderung der kleinste Teil der Rechnung ist

Die Lücke zwischen Lösegeld und Gesamtkosten entsteht, weil Ransomware nicht einfach nur Dateien verschlüsselt – sie legt den Betrieb lahm. Systeme gehen offline. Mitarbeiter können nicht auf die Werkzeuge zugreifen, die sie für ihre Arbeit benötigen. Kundenorientierte Dienste funktionieren nicht mehr. Wiederherstellungsteams müssen hinzugezogen werden, oft notfallmäßig, um die Infrastruktur von Grund auf neu aufzubauen, anstatt einfach einem Entschlüsselungsschlüssel des Angreifers zu vertrauen.

Zu den Betriebsunterbrechungen kommen Kosten hinzu, die sich noch lange nach der Wiederherstellung der Systeme anhäufen: Benachrichtigungen an Aufsichtsbehörden, mögliche Bußgelder, Kundenabwanderung, Anwaltskosten und der Reputationsschaden, der auf eine öffentliche Bekanntgabe der Sicherheitsverletzung folgen kann. Die breiter angelegte Forschung von IBM zu den Kosten von Datenschutzverletzungen hat immer wieder gezeigt, dass diese nachgelagerten Kosten – und nicht die anfängliche Erpressungsforderung – den Großteil dessen ausmachen, was eine Organisation letztlich ausgibt. Ransomware bündelt all diese Kosten einfach in einem kürzeren, chaotischeren Zeitrahmen.

Warum kleine und mittlere Unternehmen Ziel Nummer 1 sind

KMU sind attraktive Ziele, gerade weil sie im Vergleich zu großen Unternehmen tendenziell über geringere Sicherheitsbudgets und schlankere IT-Teams verfügen, während sie oft wertvolle Kunden- oder Finanzdaten speichern. Angreifer wissen, dass eine kleinere Organisation mit geringerer Wahrscheinlichkeit über redundante Systeme, spezielles Incident-Response-Personal oder die finanziellen Reserven verfügt, um einen längeren Ausfall ohne schwerwiegende Folgen zu überstehen.

Diese Dynamik hat sich in jüngsten Ransomware-Kampagnen sichtbar gezeigt. Gruppen wie Qilin und The Gentlemen eskalieren ihre Angriffe gezielt gegen kleine und mittlere Unternehmen und wetteifern um die Vorherrschaft im Bereich Ransomware-as-a-Service, indem sie sich auf Organisationen konzentrieren, die weniger in der Lage sind, sich zu wehren. Die Kostenzahlen von IBM helfen zu erklären, warum: Für Angreifer stellen KMU eine Kombination aus realem Auszahlungspotenzial und vergleichsweise schwacher Verteidigung dar – eine Kombination, die dieses Segment fest im Fadenkreuz hält.

Was das für Sie bedeutet

Wenn Sie ein kleines oder mittleres Unternehmen leiten oder dort arbeiten, sollten diese Zahlen Ihre Sichtweise auf das Ransomware-Risiko verändern. Die relevante Frage lautet nicht: „Können wir es uns leisten, ein Lösegeld zu zahlen, falls es dazu kommt?“, sondern: „Können wir die Gesamtkosten eines Vorfalls überleben, einschließlich wochenlanger Ausfallzeiten, Wiederherstellungskosten und der Nachwirkungen?“ Diese Gesamtkosten bewegen sich laut IBMs Daten in Millionenhöhe, nicht im fünfstelligen Bereich.

Dies hat auch direkte Auswirkungen auf den Datenschutz. Bei Ransomware-Vorfällen werden häufig Daten gestohlen und gleichzeitig verschlüsselt, was bedeutet, dass persönliche Daten von Kunden und Mitarbeitern offengelegt werden können, selbst wenn ein Lösegeld gezahlt wird. Unternehmen, die Ransomware nur als IT-Ausfallrisiko betrachten, unterschätzen die Datenschutz- und Compliance-Verpflichtungen, die auf eine Sicherheitsverletzung mit gestohlenen Daten folgen.

Praktische Handlungsempfehlungen

Angesichts des Ausmaßes dieser Kosten sind Prävention und Vorbereitung weit wichtiger als Verhandlungsstrategie. Einige konkrete Schritte, die Vorrang haben sollten:

• Pflegen Sie regelmäßige, getestete Backups, die offline oder so gespeichert werden, dass Angreifer sie nicht erreichen und zusammen mit Ihren Primärsystemen verschlüsseln können.
• Erstellen Sie einen Incident-Response-Plan, bevor ein Angriff passiert, nicht erst währenddessen, mit klaren Rollen dafür, wer Entscheidungen über Ausfallzeiten, Offenlegung und Kontaktaufnahme mit Strafverfolgungsbehörden trifft.
• Investieren Sie in grundlegende Sicherheitshygiene: Multi-Faktor-Authentifizierung, zeitnahes Patchen und Schulung der Mitarbeiter zur Phishing-Erkennung, da viele Ransomware-Infektionen mit einer einzigen kompromittierten Zugangsdaten oder einem E-Mail-Klick beginnen.
• Machen Sie sich im Voraus mit Ihren Meldepflichten bei Datenschutzverletzungen vertraut, denn Ransomware mit Datendiebstahl kann gesetzliche Anforderungen auslösen, unabhängig davon, ob ein Lösegeld gezahlt wird.

Die Ergebnisse von IBM 2025 machen eines deutlich: Die Lösegeldforderung lenkt von der tatsächlichen finanziellen Bedrohung ab, die Ransomware darstellt. Für KMU beginnt die Überbrückung der Kluft zwischen einer Forderung von 115.000 US-Dollar und einer Rechnung von 4,4 Millionen US-Dollar lange bevor ein Angreifer überhaupt die erste Nachricht sendet.