IBM's 2025 Cost of a Data Breach Report heeft een hard cijfer gezet op iets waar beveiligingsexperts al jaren voor waarschuwen: de losgeldsom is nooit de echte kostenpost van een ransomware-aanval. Volgens het rapport bedroeg de gemiddelde totale kosten van een ransomware-incident $4,4 miljoen, meer dan 38 keer zo hoog als de gemiddelde losgeldsom van $115.000. Wanneer de analyse zich beperkt tot datalekken met specifiek ransomware of afpersing, stijgen de gemiddelde kosten nog verder, naar $5,08 miljoen.

Voor kleine en middelgrote ondernemingen (mkb) zijn deze cijfers niet abstract. Ze vertegenwoordigen een kloof tussen waar bedrijven budget voor reserveren (een losgeldbetaling die ze hopen nooit te hoeven doen) en wat een aanval daadwerkelijk uit de organisatie trekt zodra herstel, uitvaltijd, juridische aansprakelijkheid en reputatieschade worden meegerekend.

De cijfers achter de kop

De vermenigvuldigingsfactor van 38x tussen de losgeldsom en de totale incidentkosten is het belangrijkste cijfer in het rapport van IBM, en het verdient meer aandacht dan het doorgaans krijgt. De meeste gesprekken over ransomware draaien om het losgeld zelf: hoeveel de aanvallers vragen, of je moet betalen en hoe je moet onderhandelen. Maar de gegevens van IBM suggereren dat die fixatie op het losgeldbedrag de werkelijke financiële dreiging verhult.

Een losgeldsom van $115.000 klinkt als een beheersbare, zij het pijnlijke, zakelijke kostenpost. Een totale kostenpost van $4,4 miljoen verandert het gesprek volledig: het raakt aan salarisbetalingen, leverancierscontracten, klantvertrouwen, en in sommige gevallen het voortbestaan van het bedrijf zelf. Het bedrag van $5,08 miljoen specifiek voor datalekken met ransomware en afpersing bevestigt dat dit type incident consistent tot de duurste soorten datalekken behoort waar een organisatie mee te maken kan krijgen.

Waarom de losgeldsom het kleinste deel van de rekening is

De kloof tussen het losgeld en de totale kosten bestaat omdat ransomware niet alleen bestanden versleutelt, maar de bedrijfsvoering verstoort. Systemen gaan offline. Medewerkers hebben geen toegang tot de tools die ze nodig hebben om hun werk te doen. Klantgerichte diensten vallen uit. Herstel-teams moeten worden ingeschakeld, vaak op spoedbasis, om infrastructuur vanaf nul opnieuw op te bouwen in plaats van simpelweg te vertrouwen op een decryptiesleutel van de aanvaller.

Bovenop de operationele verstoring komen nog de kosten die zich opstapelen lang nadat de systemen zijn hersteld: meldingsplichten aan toezichthouders, mogelijke boetes, klantverloop, juridische kosten en de reputatieschade die kan volgen op een openbare bekendmaking van een datalek. IBM's bredere Cost of a Data Breach-onderzoek heeft consequent laten zien dat deze latere kosten, en niet de initiële afpersingseis, het leeuwendeel uitmaken van wat een organisatie uiteindelijk kwijt is. Ransomware perst al deze kosten simpelweg samen in een korter, chaotischer tijdsbestek.

Waarom kleine en middelgrote bedrijven doelwit nummer 1 zijn

Mkb-bedrijven zijn aantrekkelijke doelwitten juist omdat ze doorgaans kleinere beveiligingsbudgetten en krappere IT-teams hebben dan grote ondernemingen, terwijl ze vaak over waardevolle klant- of financiële gegevens beschikken. Aanvallers weten dat een kleinere organisatie minder snel over redundante systemen, toegewijde incident-response-medewerkers of de kasreserves beschikt om een langdurige uitval op te vangen zonder ingrijpende gevolgen.

Deze dynamiek is duidelijk zichtbaar geworden in recente ransomware-campagnes. Groepen zoals Qilin en The Gentlemen hebben aanvallen specifiek op kleine en middelgrote bedrijven opgevoerd, waarbij ze in de ransomware-as-a-service-markt concurreren door zich te richten op organisaties die minder goed in staat zijn terug te vechten. De kostencijfers van IBM helpen verklaren waarom: voor aanvallers vormen mkb-bedrijven een combinatie van reële uitbetalingspotentie en relatief zwakke verdediging, een combinatie die dit segment stevig in het vizier houdt.

Wat dit voor u betekent

Als u een klein of middelgroot bedrijf runt of er werkt, moeten deze cijfers uw kijk op het risico van ransomware veranderen. De relevante vraag is niet 'kunnen we het ons veroorloven om losgeld te betalen als het zover komt', maar 'kunnen we de totale kosten van een incident overleven, inclusief wekenlange uitvaltijd, herstelkosten en de nasleep ervan'. Die totale kosten, zo blijkt uit IBM's gegevens, lopen in de miljoenen, niet in de tienduizenden.

Dit heeft ook directe privacy-implicaties. Ransomware-incidenten gaan vaak gepaard met gegevensdiefstal naast versleuteling, wat betekent dat persoonsgegevens van klanten en medewerkers openbaar kunnen raken, zelfs als er losgeld is betaald. Bedrijven die ransomware louter als een IT-uitvalrisico beschouwen, onderschatten de privacy- en nalevingsverplichtingen die volgen op een datalek met gestolen gegevens.

Praktische aanbevelingen

Gezien de omvang van deze kosten zijn preventie en voorbereiding veel belangrijker dan onderhandelingsstrategie. Enkele concrete stappen die de moeite waard zijn om prioriteit te geven:

  • Zorg voor regelmatige, geteste back-ups die offline worden bewaard of op een manier die aanvallers niet kunnen bereiken en versleutelen samen met uw primaire systemen.
  • Stel een incident-response-plan op voordat er een aanval plaatsvindt, niet tijdens een aanval, met duidelijke rollen voor wie beslissingen neemt over uitvaltijd, openbaarmaking en contact met de rechtshandhaving.
  • Investeer in basale beveiligingshygiëne: multi-factorauthenticatie, tijdig patchen en phishing-bewustzijn bij medewerkers, aangezien veel ransomware-infecties beginnen met één gecompromitteerd account of een e-mailklik.
  • Begrijp van tevoren uw verplichtingen voor het melden van datalekken, want ransomware met gegevensdiefstal kan wettelijke vereisten in werking stellen, ongeacht of er losgeld wordt betaald.

De bevindingen van IBM over 2025 maken één ding duidelijk: de losgeldsom leidt af van de echte financiële dreiging die ransomware vormt. Voor mkb-bedrijven begint het overbruggen van de kloof tussen een eis van $115.000 en een rekening van $4,4 miljoen al lang voordat een aanvaller ooit het eerste bericht stuurt.